De raad van bestuur is bevoegd voor het afsluiten van een verwerkersovereenkomst/overeenkomst 'gezamenlijke verwerkingsverantwoordelijken' bij een overeenkomst die door haar werd gesloten.
De raad van bestuur heeft volheid van bevoegdheid en kan beslissingen van dagelijks bestuur delegeren aan het directiecomité al dan niet met subdelegatie naar personeelsleden.
De Europese verordening 2016/679 van 27 april 2016 (AVG) verplicht AG Stedelijk Onderwijs als verwerkingsverantwoordelijke om een overeenkomst af te sluiten met de natuurlijke personen, rechtspersonen of andere organen die ten behoeve van AG Stedelijk Onderwijs persoonsgegevens verwerken. Deze overeenkomst omvat het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke.
Wanneer twee of meer verwerkingsverantwoordelijken gezamenlijk de doeleinden en middelen van de verwerking bepalen, zijn zij 'gezamenlijke verwerkingsverantwoordelijken'. De AVG bepaalt dat in dat geval de 'gezamenlijke verwerkingsverantwoordelijken' op transparante wijze hun respectieve verantwoordelijkheden voor de nakoming van de verplichtingen uit hoofde van deze verordening moeten vastleggen.
Overeenkomst gezamenlijke verwerkingsverantwoordelijken met Digipolis
Digipolis en AG Stedelijk Onderwijs werken intensief samen voor ICT-gerelateerde materies. In het kader hiervan moeten zij in overleg beslissingen nemen omtrent verwerkingen van persoonsgegevens.
De keuze van verwerkers wordt door AG Stedelijk Onderwijs en Digipolis gezamenlijk gemaakt. Bij het aangaan van overeenkomsten met deze verwerkers, neemt Digipolis mee de rol op van verwerkingsverantwoordelijke. Om deze gedeelde verantwoordelijkheid juridisch vorm te geven, voorziet de AVG de figuur 'gezamenlijke verwerkingsverantwoordelijken'.
Op basis van bovenstaande beslissen AG Stedelijk Onderwijs en Digipolis op te treden als 'gezamenlijke verwerkingsverantwoordelijken' zoals voorzien in de AVG. De overeenkomst in bijlage bij dit besluit geeft vorm aan het optreden als 'gezamenlijke verwerkingsverantwoordelijken'. Deze overeenkomst loopt door bij de omvorming van Digipolis Antwerpen tot het autonoom gemeentebedrijf Digipolis als kostendelende vereniging.
Delegatie sluiten van verwerkersovereenkomsten bij overeenkomsten die door de raad van bestuur werden gesloten
De verwerking van persoonsgegevens kan niet los worden gezien van de activiteiten waarvoor de verwerking gebeurt. Daarom wordt een verwerkersovereenkomst in principe samen met de basisovereenkomst goedgekeurd. Gebeurt dit toch later, dan is het orgaan dat de basisovereenkomst goedkeurde, bevoegd voor de goedkeuring van de verwerkersovereenkomst.
Omdat dergelijke overeenkomsten heel technisch zijn en AG Stedelijk Onderwijs niet verder verbinden dan de uitvoering van de basisovereenkomst lijkt het aangewezen dat de raad van bestuur zijn bevoegdheid op dit punt delegeert aan het directiecomité. In de gevallen dat de verwerkersovereenkomst na of aanvullend bij de basisovereenkomst ter goedkeuring wordt voorgelegd, delegeert de raad van bestuur zijn bevoegdheid om verwerkersovereenkomsten af te sluiten naar het directiecomité. De delegatie geldt dan zowel voor de verwerkingsovereenkomsten waarbij AG Stedelijk Onderwijs verwerkingsverantwoordelijke is, als die overeenkomsten waarbij ze samen met Digipolis optreedt als 'gezamenlijke verwerkingsverantwoordelijke'.
Delegatie opvolging wijzigingen subverwerkers
Een verwerker kan subverwerkers inschakelen, op voorwaarde dat de verwerker deze subverwerkers minimaal dezelfde verplichtingen inzake gegevensbescherming oplegt en dat zij AG Stedelijk Onderwijs als verwerkingsverantwoordelijke, of AG Stedelijk Onderwijs en Digipolis als 'gezamenlijke verwerkingsverantwoordelijken', tijdig inlicht over alle beoogde wijzigingen inzake subverwerkers. AG Stedelijk Onderwijs heeft als (gezamenlijke) verwerkingsverantwoordelijke de mogelijkheid om tegen deze wijzigingen bewaar te maken.
Het afsluiten van een verwerkersovereenkomst gebeurt door het beslissingsniveau dat de oorspronkelijke overeenkomst met de verwerker heeft afgesloten. De opvolging van wijzigingen inzake subverwerkers kan worden gedelegeerd naar de manager ICT.
Art. 26 en 28 van de Europese verordening 2016/679 van 27 april 2016
De raad van bestuur van het Autonoom Gemeentebedrijf Stedelijk Onderwijs Antwerpen delegeert voor overeenkomsten die gesloten werden door de raad van bestuur en waarbij AG Stedelijk Onderwijs optreedt als verwerkingsverantwoordelijke of als 'gezamenlijke verwerkingsverantwoordelijke' samen met Digipolis, de goedkeuring van de verwerkersovereenkomst naar het directiecomité.
De raad van bestuur van het Autonoom Gemeentebedrijf Stedelijk Onderwijs Antwerpen delegeert voor verwerkersovereenkomsten die volgens artikel 2 gedelegeerd werden naar het directiecomité, ook de opvolging van wijzigingen aan de subverwerkers naar het directiecomité dat dit op zijn beurt subdelegeert naar de manager ICT.
Uitvoering beslissing:
| Taak | Verantwoordelijke | Timing |
| Bewaren overeenkomst en recurrent overleg met Digipolis | werkgroep informatieveiligheid | / |