Wat is de rol van EDENRED BELGIUM ten aanzien van de verwerking van persoonsgegevens in het kader van het beheer van maaltijd- of ecocheques

 Het doel hiervan is om de verantwoordelijkheid en de rol van EDENRED BELGIUM te verduidelijken met betrekking tot de verwerking van persoonsgegevens in het kader van het beheer van maaltijdcheques en ecocheques die door haar zijn gepubliceerd onder de merken Edenred Maaltijd en Edenred Eco (hierna " Edenred Maaltijd en Edenred Eco ")

1. Het begrip “verantwoordelijke voor de verwerking”
   

   Het begrip "verantwoordelijke voor de verwerking" is een sleutelbegrip in het kader van de bescherming van de persoonlijke levenssfeer ten aanzien van de verwerking van persoonsgegevens.

   Volgens het Europese adviesorgaan "wordt met het begrip "verantwoordelijke voor de verwerking" allereerst bepaald wie verantwoordelijk is voor de naleving van de regelgeving voor gegevensbescherming en de manier waarop betrokkenen de rechten in de praktijk kunnen uitoefenen’.

   Onder "verantwoordelijke voor de verwerking” verstaat de Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (‘GDPR’) ‘en natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt’.

   De bevoegdheid om ‘het doel en de middelen vast te stellen...’ kan, volgens het adviesorgaan, ‘voortvloeien uit een expliciete wettelijke bevoegdheid, wanneer de voor de verwerking verantwoordelijke bij wet wordt aangesteld of de opdracht of plicht tot het verzamelen en verwerken van bepaalde gegevens bij wet is geregeld’.

2. EDENRED BELGIUM is verantwoordelijk voor de verwerking van persoonsgegevens verricht in het kader van het beheer van Edenred Maaltijd en Edenred Eco
   

   Een KB van 12 oktober 2010 stelt de erkenningsvoorwaarden en de erkenningsprocedure vast voor uitgevers van maaltijd- en ecocheques in een elektronische vorm (hierna “KB Erkenning” genoemd).

   Tot de erkenningsvoorwaarden behoren ‘voorwaarden inzake de veiligheid en bescherming van de persoonlijke levenssfeer’ (artikel 3). De verplichtingen van EDENRED BELGIUM op dat vlak worden hierin nauwkeurig gedefinieerd.

   EDENRED BELGIUM werd erkend als uitgever bij Ministerieel Besluit van 2 september 2011, genomen bij toepassing van artikel 6 van het KB Erkenning, en dit met ingang van 26 juli 2011.

   Artikel 6 van het KB Erkenning voorziet dat de uitgever erkend wordt na advies voor wat betreft de voorwaarden inzake de veiligheid en de bescherming van de persoonlijke levenssfeer.

   Als erkende uitgever is EDENRED BELGIUM erkend, krachtens artikel 3 van het KB Erkenning, als verantwoordelijke voor de verwerking van persoonsgegevens verricht in het kader van het beheer van Edenred Maaltijd en Edenred Eco.

   In de voorwaarden voor het gebruik van de Edenred-kaart worden de gebruikers geïnformeerd over het doel van de verwerking van hun gegevens in het kader van het beheer van Edenred Maaltijd en Edenred Eco, alsook over het bestaan, in dit kader, van het recht op toegang en rechtzetting bij EDENRED BELGIUM, die zich in dat opzicht voorstelt als enige contactpunt.

   Tot slot verwijzen wij voor verdere inlichtingen naar de verwerkingsverklaring die we hebben afgelegd bij de Commissie voor de bescherming van de persoonlijke levenssfeer.

3. Aparte verantwoordelijken voor de verwerking
   

   De uitwisseling van loongegevens in het kader van het beheer van Edenred Maaltijd en Edenred Eco tussen EDENRED BELGIUM en zijn klant-werkgever (“de KLANT” genoemd), moet beschouwd worden als een gegevensoverdracht tussen aparte verantwoordelijken, waarbij elke partij onderworpen is aan de verplichte bescherming van de gegevens met betrekking tot haar eigen verwerking van persoonsgegevens.

   EDENRED BELGIUM handelt in dit kader noch als verwerker, noch als gezamenlijke verantwoordelijke.

   Artikel 28 van de GDPR dat voorziet dat de voor de verwerking verantwoordelijke een overeenkomst moet sluiten met zijn verwerker, is niet van toepassing.

   Bovendien is de verplichting door artikel 26 van de GDPR opgelegd aan de gezamenlijke verantwoordelijken voor de verwerking om een overeenkomst te sluiten, ook niet van toepassing.

   Mochten EDENRED BELGIUM en de KLANT beschouwd worden als gezamenlijke verantwoordelijken voor de gegevensverwerking verricht in het kader van het beheer van Edenred Maaltijd en Edenred Eco, dan zouden ze vrijgesteld worden van de verplichting om een dergelijke overeenkomst te sluiten in de mate dat hun respectieve verplichtingen gedefinieerd worden door de wet (cf. hiervoor).

   Voor zover nodig en mocht een dergelijke overeenkomst vereist zijn, wordt onderhavig document, in voorkomend geval in een bijgewerkte versie, bij de Dienstverleningsovereenkomst gevoegd die EDENRED BELGIUM en de KLANT bindt en zal dit document daar integraal deel van uitmaken.