Rol van de franchisegever en franchisenemer in het kader van de RGPD

In een beslissing van 22 april 2024 schept de Gegevensbeschermingsautoriteit duidelijkheid over de rol van een franchisegever en franchisenemer in het kader van de Algemene Verordening Gegevensbescherming en oordeelt dat beide partijen optreden als gezamenlijke verwerkingsverantwoordelijken.

Na onderzoek door de Gegevensbeschermingsautoriteit werd de verweerder (i.e. de franchisenemer) hierbij berispt omwille van het nalaten om tijdig te voldoen aan het inzageverzoek van de klager.

1. Context

Het voorwerp van de beslissing betrof een verzoek van de klager tot inzage om een volledige technisch diagnoseverslag van een voertuig te verstrekken in het kader van een expertise die moest worden uitgevoerd.

De klager verkreeg  dit verslag initieel echter niet van de franchisenemer, vanwege een interne beleidsregel van de franchisegever. De franchisenemer deelde hierbij mee aan de klager dat ze niet gerechtigd was om interne documenten te delen met derden buiten het netwerk van de franchisegever.

Pas nadat de franchisenemer uiteindelijk de toestemming verkreeg van de franchisegever, werd het recht op inzage toegekend en het uitleesverslag overgemaakt aan de klager.

2. Beslissing van de Gegevensbeschermingsautoriteit

In haar conclusies gaf de franchisenemer duidelijk aan dat zij de verwerkingsverantwoordelijke was. Desondanks, besliste de Gegevensbeschermingsautoriteit dat beide partijen,zowel de franchisenemer als de franchisegever, kwalificeren als gezamenlijke verwerkingsverantwoordelijke.

De Gegevensbeschermingsautoriteit benadrukte hierbij dat de franchisenemer gebonden is door de richtlijnen van de franchisegever. Het bleek immers duidelijk uit de feiten dat het recht op inzage initieel niet kon worden verstrekt omwille van de interne richtlijnen van de franchisegever. Bovendien werd het  verslag door de franchisenemer aan de klager enkel maar verstrekt nadat de franchisehouder hiervoor de toestemming had gegeven.

Conform de richtsnoeren van het Europees comité voor Gegevensbescherming moet bij de beoordeling of er sprake is van een gezamenlijke verwerkingsverantwoordelijkheid worden nagegaan of de verwerking al dan niet mogelijk zou zijn zonder de deelname van beide partijen. Zoals reeds verduidelijkt door het Hof van Justitie is het hiervoor niet noodzakelijk dat de gezamenlijke verantwoordelijkheid leidt tot een gelijkwaardige verantwoordelijkheid voor eenzelfde verwerking, aangezien actoren in verschillende stadia en in verschillende mate bij een verwerking betrokken kunnen zijn.

In deze concrete zaak had de franchisenemer enige vrijheid om zijn verwerkingsactiviteiten te organiseren, maar de Gegevensbeschermingsautoriteit meent dat dit echter in samenspraak met de franchisegever gebeurde. Gelet op het voorgaande besluit de Gegevensbeschermingsautoriteit dan ook dat de franchisenemer een gezamenlijke verwerkingsverantwoordelijke is met de franchisegever. Bijgevolg kan de klager eveneens de franchisegever aanspreken om zijn rechten overeenkomstig de Algemene Verordening Gegevensbescherming uit te oefenen.

3. Aanbevelingen

Deze beslissing van de Belgische Gegevensbeschermingsautoriteit betreft een in concreto beoordeling waarbij rekening werd gehouden met de specifieke omstandigheden van de zaak. Bijgevolg betekent dit niet dat een franchisenemer en franchisegever in ieder geval steeds zullen kwalificeren als een gezamenlijke verwerkingsverantwoordelijke. Er moet in iedere zaak steeds worden nagegaan of de franchisegever een invloed uitoefent op de franchisenemer, en of de franchisenemer kwalificeert als een gezamenlijke verwerkingsverantwoordelijke, dan wel als een verwerker.

Hoewel een overeenkomst tussen de franchisegever en franchisenemer de Gegevensautoriteit niet bindt, kan dit een nuttige indicatie geven van onder andere de afspraken die de franchisegever heeft gemaakt over zijn informatiesysteem of de instructies die de franchisegever aan de franchisenemer heeft verstrekt. Deze contractuele bepalingen kunnen bijgevolg een belangrijke rol spelen bij de juridische beoordeling wie kwalificeert als de verwerkingsverantwoordelijke.

Er dient echter wel benadrukt te worden dat de partijen zich niet kunnen vasthouden aan hetgeen contractueel overeengekomen werd vermits de Gegevensbeschermingsautoriteit steeds rekening zal houden met de feitelijke omstandigheden en  niet voorbij zal gaan aan de beoordeling van iedere partij zijn respectievelijke rol. Deze beoordeling heeft betrekking op de concrete verwerkingen en werkzaamheden, het naleven van instructies, enz., en niet op andere, hiertoe niet relevante vragen, zoals welke partij de “eigenaar” is van de gegevens dan wel welke partij het cliënteel heeft aangebracht.

Benjamin Docquir et Emilie Van Heck
Cabinet Osborne Clarke