A 29 oktober 2019

AVG-richtsnoeren voor accountant, belastingadviseur en salarisprofessional

Een organisatie kan persoonsgegevens verwerken in twee hoedanigheden: als ‘verwerkingsverantwoordelijke’ of als ‘verwerker’. In de praktijk is onduidelijkheid ontstaan over het antwoord op de vraag onder welke groep accountants, belastingadviseurs en salarisprofessionals (hierna: zakelijke dienstverleners) vallen in relatie tot klanten. Nieuwe richtsnoeren die door de brancheorganisaties zijn opgesteld, zorgen voor verduidelijking.

Wat is ook alweer het verschil tussen een verwerker en verwerkingsverantwoordelijke?

Als verwerkingsverantwoordelijke stel je alleen of samen met anderen het doel en de middelen voor verwerking van persoonsgegevens vast. Met andere woorden, de verwerkingsverantwoordelijke bepaalt hoe en waarom er persoonsgegevens worden verwerkt. Denk aan een transportbedrijf dat klantgegevens ontvangt om facturen te maken en werknemers in dienst heeft van wie gegevens worden vermeldt.

Een verwerker, het woord zegt het eigenlijk al, ‘verwerkt’ persoonsgegevens ten behoeve van een verwerkingsverantwoordelijke. De verwerking van de persoonsgegevens moet ‘de primaire opdracht’ zijn. Vanaf de invoering van de AVG wordt als verwerker vaak als voorbeeld de ICT-er of salarisadministrateur genoemd. In ieder geval de vraag of de salarisadministrateur verwerker is, moet door deze richtsnoer genuanceerd worden.

Belang van het onderscheid

Allereerst verschillen de verplichtingen op grond van de AVG voor verwerkers en verwerkingsverantwoordelijken. Ook moet tussen verwerker en verwerkingsverantwoordelijke een verwerkersovereenkomst worden aangegaan. Dit is geen wettelijke verplichting het moment dat twee verwerkingsverantwoordelijken persoonsgegevens met elkaar uitwisselen.

In de praktijk wordt er vaak van uitgegaan dat een verwerkersovereenkomst verplicht is op het moment dat een zakelijke dienstverlener wordt ingeschakeld. Uit de richtsnoeren blijkt dat dit lang niet altijd nodig is, omdat de zakelijke dienstverlener vaak verwerkingsverantwoordelijke is.

AVG-richtsnoeren

De zakelijke dienstverlener moet per opdracht een afweging maken of hij verwerker of verwerkingsverantwoordelijke in de zin van de AVG is. Ook kan het zijn dat hij meerdere soorten werkzaamheden verricht voor de klant. Per dienst moet bepaald worden of de dienstverlener verwerkingsverantwoordelijke of verwerker is. Het is dus mogelijk dat een zakelijke dienstverlener richting de klant handelt als verwerkingsverantwoordelijke én als verwerker.

Voorbeelden

In de richtsnoeren wordt per zakelijke dienstverlener een aantal richtlijnen gegeven. Hieronder een aantal voorbeelden:

  • De salarisadministrateur zal bij het uitvoeren van ‘kale’ salarisverwerking, waarbij aan de klant enkel een loonpakket ter beschikking wordt gesteld, over het algemeen verwerker zijn. Wordt niet alleen een pakket ter beschikking gesteld, maar worden ook controlerende en adviserende werkzaamheden uitgevoerd, zal de salarisadministrateur doorgaans verwerkingsverantwoordelijke zijn.
  • Bij administratieve dienstverlening kan het zijn dat de zakelijk dienstverlener slechts een boekhoudpakket aan zijn cliënt ter beschikking stelt. In dit geval zal hij verwerker zijn. Kijkt de dienstverlener mee met de administratie in een boekhoudpakket dat de cliënt zelf heeft aangeschaft en controleert hij deze of voert hij namens zijn cliënt de administratie, dan zal hij verwerkingsverantwoordelijke zijn.
  • Bij het opstellen of indienen van een belastingaangifte is het verwerken van persoonsgegevens niet het primaire doel. Dit is slechts een uitvloeisel van een andere vorm van dienstverlening. De belastingadviseur is voor deze dienst dus verwerkingsverantwoordelijke.

Wil je  dat wij beoordelen of je  verwerkingsverantwoordelijke of verwerker bent in de zin van de AVG voor bepaalde diensten? Neem dan contact met ons op!