Blog van Polo van der Putt op IT en Recht met de titel Bewerkerschap, bewerkersovereenkomst en Google Analytics. Over het oordeel van het CBP inzake Smart TV zal vast en zeker nog veel worden gesproken. Het oordeel bevat een aantal interessante overwegingen over bijvoorbeeld het begrip persoonsgegeven (waarvan volgens het CBP sprake kan zijn indien een set gegevens van in potentie verschillende personen kunnen worden toegerekend aan een specifieke persoon, ook al is zijn naam onbekend) en de categorie “gevoelige gegevens” (zijnde gegevens die in context gevoelig zijn en waarvan de verwerking volgens het CBP al snel gebaseerd dient te zijn op uitdrukkelijke toestemming). Ik beperk me hier echter tot enkele overwegingen over de bewerker, de bewerkersovereenkomst en de kwalificatie van de Google Analytics.
In de praktijk wordt wellicht te snel aangenomen dat sprake is van een bewerker, ook als de kern van de dienstverlening niet het verwerken van persoonsgegevens is. Het CBP lijkt te suggereren dat in geval van bewerking altijd een specifieke bewerkersovereenkomst moet worden gesloten en niet mag worden teruggevallen op de overige bepalingen van dienstverleningsovereenkomst waar de bewerking deel vanuit maakt. Daarnaast voorzie ik nog een pittige discussie over de rol van de Google bij het leveren van Analytics-diensten. Als Google, zoals het CBP stelt, bewerker is, dienen alle gebuikers van Google Analytics bewerkersovereenkomsten te sluiten met Google, en Google lijkt dat vooralsnog te weigeren.
Lees hier verder.