AVG voor accountants: klantdossiers en bewaarplicht

Een accountants- of administratiekantoor is per dienst nu eens verwerkingsverantwoordelijke en dan weer verwerker — en die rolbepaling bepaalt uw hele AVG-verplichtingenpakket. Bij een wettelijke controle bepaalt u zelf doel en middelen: u bent verantwoordelijke. Bij salarisverwerking in opdracht van een klant handelt u volgens diens instructies: dan bent u verwerker. Deze tweedeling, die de NBA en de Autoriteit Persoonsgegevens onderschrijven, beslist of u een verwerkersovereenkomst sluit of juist zelf een register bijhoudt. Hieronder leest u hoe u de rol per dienst bepaalt, hoe de fiscale bewaarplicht zich verhoudt tot dataminimalisatie en hoe u het BSN in de loonadministratie rechtmatig gebruikt.

Key Takeaways

• De rol wisselt per dienst: wettelijke controle en assurance = verwerkingsverantwoordelijke; salaris- en administratieverwerking op instructie = verwerker.
• Als verwerker sluit u een verwerkersovereenkomst (art. 28 AVG); als verantwoordelijke houdt u zelf een verwerkingsregister bij.
• De fiscale bewaarplicht van 7 jaar (art. 52 AWR) is een geldige grondslag om te bewaren, maar rechtvaardigt niet het bewaren van álle gegevens.
• Het BSN mag u alleen gebruiken waar de wet dat toestaat — in de loonadministratie mag het, daarbuiten meestal niet.
• Cliëntonderzoek onder de Wwft levert extra gegevensverwerking op met een eigen bewaartermijn van 5 jaar.

Rolbepaling per dienst

De kern van AVG-compliance voor een kantoor is de vraag: wie bepaalt doel en middelen? De EDPB-richtsnoeren en de Nederlandse praktijk leiden tot dit onderscheid:

Waarom telt dit? Bij een controleopdracht bepaalt de accountant zelf welke gegevens hij nodig acht en hoe hij die beoordeelt — dat is bepalend voor doel en middelen. Bij salarisverwerking voert u uit wat de klant opdraagt en beslist u niet zelfstandig over doelen. Wie de rol verkeerd inschat, sluit de verkeerde contracten en mist verplichtingen. Verdiep u desgewenst in het onderscheid verwerkingsverantwoordelijke versus verwerker.

Fiscale bewaarplicht versus dataminimalisatie

Accountants leunen graag op de fiscale bewaarplicht van 7 jaar uit artikel 52 van de Algemene wet inzake rijksbelastingen (AWR) — voor onroerend goed zelfs 10 jaar. Die bewaarplicht is een legitieme wettelijke grondslag onder artikel 6 AVG én een geldige onderbouwing voor de bewaartermijn onder het beginsel van opslagbeperking uit artikel 5 AVG.

Maar de bewaarplicht is geen vrijbrief om álles zeven jaar te bewaren. Zij ziet op de fiscaal relevante administratie, niet op bijvoorbeeld overtollige kopieën, e-mailwisselingen zonder fiscale betekenis of gegevens van afgewezen sollicitanten. Voor die laatste categorie geldt juist een korte termijn. Pas dataminimalisatie per gegevenscategorie toe: bewaar wat de wet vereist, verwijder de rest. Leg dit vast in een bewaarschema met een aparte kolom “wettelijke grondslag”.

BSN in de loonadministratie

Het burgerservicenummer (BSN) is een bijzonder identificatienummer. U mag het alleen verwerken als een wet dat voorschrijft of toestaat. In de loon- en salarisadministratie is dat het geval: de fiscale en socialezekerheidswetgeving verplicht tot BSN-gebruik voor de loonaangifte. Buiten die wettelijke context — bijvoorbeeld in een algemeen klantenbestand of een marketingsysteem — mag u het BSN niet vastleggen.

Praktisch betekent dit dat het BSN gescheiden en beveiligd wordt bewaard, alleen toegankelijk voor medewerkers die het voor de loonverwerking nodig hebben. Het verwerken van een BSN zonder grondslag is een klassieke bevinding bij een AP-controle.

Wwft-cliëntenonderzoek

Als accountant valt u onder de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Het cliëntenonderzoek verplicht u identiteitsgegevens en soms informatie over de herkomst van vermogen vast te leggen. Dit is een aparte verwerking met een eigen grondslag (wettelijke verplichting) en een eigen bewaartermijn van 5 jaar na het einde van de zakelijke relatie.

Let op de spanning met dataminimalisatie: verzamel voor het cliëntenonderzoek niet méér dan de Wwft vraagt. Een ongefilterde kopie van een identiteitsbewijs met pasfoto en BSN is vaak meer dan nodig; volg de richtsnoeren over identiteitscontrole en maak gegevens onherkenbaar die u niet mag verwerken.

Beveiliging en incidenten

Kantoren beheren financiële en fiscale gegevens die aantrekkelijk zijn voor fraude. Artikel 32 AVG verlangt passende beveiliging: versleutelde opslag, tweefactorauthenticatie op cliëntportalen en strak toegangsbeheer. Werkt u met klanten in de financiële sector, houd dan rekening met de aanvullende eisen die spelen bij AVG in de financiële sector.

Bij een datalek geldt de meldplicht binnen 72 uur bij de AP wanneer er risico is voor betrokkenen. Een lek van loon- of BSN-gegevens weegt in de risicobeoordeling zwaar, omdat het identiteitsfraude mogelijk maakt.

Het onderhouden van een correct register — met per dienst de juiste rol, grondslag en bewaartermijn — is voor kantoren met veel klanten arbeidsintensief. Software zoals Legiscope helpt om die registers en verwerkersovereenkomsten centraal en actueel te houden.

Rechten van betrokkenen en de informatieplicht

Klanten, hun personeel en andere betrokkenen hebben AVG-rechten die ook een accountantskantoor moet honoreren: inzage, rectificatie, verwijdering en bezwaar. Voor gegevens die u als verwerker beheert, verwijst u de betrokkene door naar de verantwoordelijke klant en verleent u bijstand op grond van de verwerkersovereenkomst. Voor gegevens waarvoor u zelf verantwoordelijke bent, behandelt u het verzoek zelf binnen een maand. Let op de spanning met de fiscale bewaarplicht: een verzoek om verwijdering kunt u weigeren voor zover een wettelijke bewaarplicht de gegevens vasthoudt.

De informatieplicht uit artikel 13 van de AVG verlangt dat u klanten en hun personeel duidelijk informeert over wat u verwerkt en waarom. Een heldere privacyverklaring, in begrijpelijke taal, hoort tot de basis. De Autoriteit Persoonsgegevens benadrukt bij haar toezicht op de zakelijke dienstverlening telkens dezelfde drie punten: de juiste rolbepaling, onderbouwde bewaartermijnen en beheerste toegang tot gegevens.

Verantwoordingsplicht op orde

De verantwoordingsplicht vraagt om aantoonbaarheid. Zorg dat u per dienst kunt laten zien welke rol u vervult, welke grondslag geldt, welke bewaartermijn u hanteert en met welke verwerkers u werkt. Dat betekent concreet: een actueel verwerkingsregister, een set standaard-verwerkersovereenkomsten, een bewaarschema met wettelijke ankers en een basisproces voor datalekken. Kantoren die met veel klantdossiers en wisselende diensten werken, lopen het risico dat de administratie verouderd raakt — juist dan telt een gestructureerde aanpak.

FAQ

Ben ik als accountant verwerker of verwerkingsverantwoordelijke?

Dat hangt af van de dienst. Bij een wettelijke controle, het samenstellen van een jaarrekening of een fiscale aangifte namens de klant bepaalt u zelf doel en middelen en bent u verwerkingsverantwoordelijke. Bij salarisverwerking of het voeren van een administratie op instructie van de klant bent u verwerker en sluit u een verwerkersovereenkomst.

Mag ik alle klantgegevens 7 jaar bewaren vanwege de fiscale bewaarplicht?

Nee. De fiscale bewaarplicht van artikel 52 AWR geldt voor de fiscaal relevante administratie, niet voor alle gegevens. Overige gegevens (zoals afgewezen sollicitaties of niet-fiscale correspondentie) bewaart u volgens hun eigen, vaak kortere termijn. Werk met een bewaarschema per categorie.

Mag ik het BSN van klanten of hun personeel gebruiken?

Alleen waar een wet dat toestaat. In de loon- en salarisadministratie is BSN-gebruik wettelijk verplicht en dus toegestaan. In algemene klantenbestanden of marketingsystemen mag u het BSN niet vastleggen. Bewaar BSN’s gescheiden en beperkt toegankelijk.

Welke bewaartermijn geldt voor het Wwft-cliëntenonderzoek?

De Wwft verplicht u de gegevens uit het cliëntenonderzoek tot 5 jaar na het einde van de zakelijke relatie te bewaren. Verzamel daarbij niet meer dan de Wwft vereist en maak overtollige gegevens op een identiteitsbewijs onherkenbaar.

Zie ook: AVG voor advocatenkantoren.