AVG-rolverdeling route C
De corporaties die aangesloten zijn bij het samenwerkingsverband zijn gezamenlijk verwerkingsverantwoordelijke gedurende het woonruimtebemiddelingsproces.
Er is sprake van een samenwerkingsverband van woningcorporaties en het samenwerkingsverband heeft woonruimteverdeling als doelstelling. Maar het samenwerkingsverband is geen woonruimteverdeler in de zin van de Woningwet. In deze situatie zijn de corporaties die aangesloten zijn bij het samenwerkingsverband gezamenlijk verwerkingsverantwoordelijk voor de verwerking van de digitaal opgehaalde gegevens vanaf inschrijving van de woningzoekende tot en met de acceptatie van een door de woningcorporatie aangeboden woning door de woningzoekende. Dat is inclusief de verwerking van het gevalideerde inkomen van een woningzoekende dat via MijnOverheid wordt gedeeld. De corporaties zijn gezamenlijk verwerkingsverantwoordelijk tot de gegevens uit het woonruimteverdeelsysteem zijn verwijderd.
De verwerkingsverantwoordelijke is bij wet aangewezen. Dit vloeit voort uit artikel 46 lid 4 en 5 Woningwet.
De woningcorporatie waar de woningzoekende uiteindelijk een woning krijgt toegewezen is verwerkingsverantwoordelijk vanaf het moment dat de digitale inkomensverklaring vanuit het woonruimteverdeelsysteem wordt verstrekt aan het verhuursysteem.
Wat moet je regelen bij gezamenlijke verwerkingsverantwoordelijkheid
Als er sprake is van een gezamenlijke verwerkingsverantwoordelijkheid moeten de woningcorporaties binnen het samenwerkingsverband over een aantal zaken met elkaar afspraken maken in een onderlinge regeling (zoals bedoeld in artikel 26 Algemene Verordening Gegevensbescherming). Als er al bestaande afspraken zijn, moet de scope daarvan uitgebreid worden met de gegevensverwerkingen die plaatsvinden voor de digitale procedure.
Er is geen model-document beschikbaar in de DIV-it-standaard voor de onderlinge regeling. Wel kunnen de teksten uit de standaard gebruikt worden voor de nadere invulling van de onderlinge regeling. In de onderlinge regeling moet tenminste worden beschreven hoe de corporaties die gezamenlijk verwerkingsverantwoordelijk zijn omgaan met:
Het informeren van de betrokkenen over de gegevensverwerking, zie ook: privacyverklaring.
Het uitvoering geven aan wettelijke verplichtingen in verband met de rechten van de betrokkenen, zie ook: rechten van betrokkenen.
Het melden, afhandelen en registreren van datalekken
Het inhuren van verwerkers, zie ook: verwerkers.
Het uitvoeren van een DPIA, zie ook: voer een DPIA uit.