29-10-2019

Een organisatie kan persoonsgegevens verwerken in twee hoedanigheden: als ‘verwerkingsverantwoordelijke’ of als ‘verwerker’. In de praktijk is onduidelijkheid ontstaan over het antwoord op de vraag onder welke groep accountants, belastingadviseurs en salarisprofessionals (hierna: zakelijke dienstverleners) vallen in relatie tot klanten. Nieuwe richtsnoeren die door de brancheorganisaties zijn opgesteld, zorgen voor verduidelijking.

AVG-richtsnoeren voor accountant, belastingadviseur en salarisprofessional

Een organisatie kan persoonsgegevens verwerken in twee hoedanigheden: als ‘verwerkingsverantwoordelijke’ of als ‘verwerker’. In de praktijk is onduidelijkheid ontstaan over het antwoord op de vraag onder welke groep accountants, belastingadviseurs en salarisprofessionals (hierna: zakelijke dienstverleners) vallen in relatie tot klanten. Nieuwe richtsnoeren die door de brancheorganisaties zijn opgesteld, zorgen voor verduidelijking.

Wat is ook alweer het verschil tussen een verwerker en verwerkingsverantwoordelijke?

Als verwerkingsverantwoordelijke stel je alleen of samen met anderen het doel en de middelen voor verwerking van persoonsgegevens vast. Met andere woorden, de verwerkingsverantwoordelijke bepaalt hoe en waarom er persoonsgegevens worden verwerkt. Denk aan een transportbedrijf dat klantgegevens ontvangt om facturen te maken en werknemers in dienst heeft van wie gegevens worden vermeldt.

Een verwerker, het woord zegt het eigenlijk al, ‘verwerkt’ persoonsgegevens ten behoeve van een verwerkingsverantwoordelijke. De verwerking van de persoonsgegevens moet ‘de primaire opdracht’ zijn. Vanaf de invoering van de AVG wordt als verwerker vaak als voorbeeld de ICT-er of salarisadministrateur genoemd. In ieder geval de vraag of de salarisadministrateur verwerker is, moet door deze richtsnoer genuanceerd worden.

Belang van het onderscheid

Allereerst verschillen de verplichtingen op grond van de AVG voor verwerkers en verwerkingsverantwoordelijken. Ook moet tussen verwerker en verwerkingsverantwoordelijke een verwerkersovereenkomst worden aangegaan. Dit is geen wettelijke verplichting het moment dat twee verwerkingsverantwoordelijken persoonsgegevens met elkaar uitwisselen.

In de praktijk wordt er vaak van uitgegaan dat een verwerkersovereenkomst verplicht is op het moment dat een zakelijke dienstverlener wordt ingeschakeld. Uit de richtsnoeren blijkt dat dit lang niet altijd nodig is, omdat de zakelijke dienstverlener vaak verwerkingsverantwoordelijke is.

AVG-richtsnoeren

De zakelijke dienstverlener moet per opdracht een afweging maken of hij verwerker of verwerkingsverantwoordelijke in de zin van de AVG is. Ook kan het zijn dat hij meerdere soorten werkzaamheden verricht voor de klant. Per dienst moet bepaald worden of de dienstverlener verwerkingsverantwoordelijke of verwerker is. Het is dus mogelijk dat een zakelijke dienstverlener richting de klant handelt als verwerkingsverantwoordelijke én als verwerker.

Voorbeelden

In de richtsnoeren wordt per zakelijke dienstverlener een aantal richtlijnen gegeven. Hieronder een aantal voorbeelden:

• De salarisadministrateur zal bij het uitvoeren van ‘kale’ salarisverwerking, waarbij aan de klant enkel een loonpakket ter beschikking wordt gesteld, over het algemeen verwerker zijn. Wordt niet alleen een pakket ter beschikking gesteld, maar worden ook controlerende en adviserende werkzaamheden uitgevoerd, zal de salarisadministrateur doorgaans verwerkingsverantwoordelijke zijn.
• Bij administratieve dienstverlening kan het zijn dat de zakelijk dienstverlener slechts een boekhoudpakket aan zijn cliënt ter beschikking stelt. In dit geval zal hij verwerker zijn. Kijkt de dienstverlener mee met de administratie in een boekhoudpakket dat de cliënt zelf heeft aangeschaft en controleert hij deze of voert hij namens zijn cliënt de administratie, dan zal hij verwerkingsverantwoordelijke zijn.
• Bij het opstellen of indienen van een belastingaangifte is het verwerken van persoonsgegevens niet het primaire doel. Dit is slechts een uitvloeisel van een andere vorm van dienstverlening. De belastingadviseur is voor deze dienst dus verwerkingsverantwoordelijke.

Wil je  dat wij beoordelen of je  verwerkingsverantwoordelijke of verwerker bent in de zin van de AVG voor bepaalde diensten? Neem dan contact met ons op!

Bij het samenstellen van dit artikel/deze nieuwsbrief is geen rekening gehouden met eventuele bijzondere van toepassing zijnde wetgeving en afspraken zoals opgenomen in de CAO en/of (arbeids)overeenkomst. Daarbij is rekening gehouden met de wetgeving die op het moment van het schrijven van de tekst geldend is. Het kan dus zijn dat, met de veranderende wetgeving, de inhoud later achterhaald is. Mocht je de informatie in de praktijk willen hanteren, neem dan van tevoren even contact op met een van de juristen van Recht-Direct zodat zij je goed kunnen informeren.