Een accountantskantoor moet per verwerking bepalen of het zelf het doel en de wezenlijke middelen vaststelt, of persoonsgegevens namens een klant verwerkt. Dat onderscheid beïnvloedt contracten, informatie aan betrokkenen, rechtenverzoeken en incidentmeldingen. Het betekent niet dat u kiest tussen een verwerkersovereenkomst en een verwerkingsregister: beide kunnen nodig zijn. Ook de fiscale bewaarplicht, het BSN en Wwft-dossiers vragen afzonderlijke beslissingen. Dit artikel helpt die beslissingen te verbinden met de dagelijkse inrichting van klantdossiers.
Rolbepaling per dienst en verwerking
Begin bij de opdracht en de feitelijke werkwijze. Welke uitkomst moet de dienst opleveren, welke persoonsgegevens zijn daarvoor nodig en wie beslist over verder gebruik? Een contractuele aanduiding als verwerker is niet doorslaggevend wanneer het kantoor in werkelijkheid zelfstandig doelen bepaalt. Omgekeerd maakt vrijheid over praktische software-instellingen een dienstverlener niet vanzelf verantwoordelijk voor alle klantgegevens. Het onderscheid tussen verwerkingsverantwoordelijke en verwerker vereist beoordeling van de concrete verwerking.
De NBA-uitleg over de rollen van accountants onderscheidt onder meer zelfstandige controle- en samenstellingswerkzaamheden van loonverwerking op instructie. Bij die laatste dienst kan het kantoor verwerker zijn. Advies, eigen cliëntacceptatie en Wwft-onderzoek kunnen daarnaast zelfstandige verwerkingen vormen. Beoordeel een pakket met meerdere diensten daarom in onderdelen. Een loonadministratie met aanvullend zelfstandig fiscaal advies hoeft niet voor ieder onderdeel dezelfde uitkomst te hebben.
Leg de reden achter de rol vast in de opdrachtadministratie. Bijvoorbeeld: de klant bepaalt welke werknemers worden verloond en levert goedgekeurde mutaties; het kantoor voert die instructies uit. Het kantoor bepaalt afzonderlijk welke gegevens nodig zijn voor zijn eigen facturatie en wettelijke cliëntonderzoek. Deze afbakening voorkomt dat een verzoek om een salarisbestand te verwijderen ook ten onrechte het zelfstandige Wwft-dossier raakt. Herbeoordeel de rollen wanneer de dienstverlening verandert, bijvoorbeeld bij het toevoegen van personeelsanalyses.
Contracten en registers vullen elkaar aan
Waar u verwerker bent, verlangt artikel 28 AVG een overeenkomst of een andere bindende rechtshandeling krachtens Unierecht of lidstatelijk recht, schriftelijk en ook mogelijk elektronisch. In de gewone klantrelatie gebruikt u een verwerkersovereenkomst. Beschrijf onder meer onderwerp, duur, aard, doel, gegevenscategorieën, betrokkenen en verantwoordelijkheden. Regel instructies, vertrouwelijkheid, beveiliging, bijstand en controle. Een algemeen beding dat het kantoor zorgvuldig werkt, maakt deze afspraken niet concreet genoeg.
Bij zelfstandige verantwoordelijken is artikel 28 niet het juiste instrument voor hun onderlinge verstrekking. Beide moeten de eigen verwerking en verstrekking kunnen rechtvaardigen. Maak wel duidelijke afspraken over veilige overdracht, contactpersonen en verantwoordelijkheid voor verzoeken. Alleen wanneer partijen gezamenlijk doelen en middelen bepalen, komt de regeling voor gezamenlijke verantwoordelijkheid van artikel 26 in beeld. Samenwerken of dezelfde software gebruiken is daarvoor op zichzelf onvoldoende.
Ook verwerkers houden een register van verwerkingsactiviteiten bij, met de daarvoor voorgeschreven gegevens, waaronder de verantwoordelijken namens wie zij werken en categorieën van verrichte verwerkingen. Voor eigen verwerkingen geldt het register voor verantwoordelijken. De uitzondering voor organisaties met minder dan 250 werknemers vervalt voor relevante verwerkingen die niet incidenteel zijn, waarschijnlijk een risico voor rechten en vrijheden opleveren, of gegevens uit artikel 9 of 10 betreffen. Terugkerende loonverwerking is dus geen incidentele activiteit. Een overzicht van grondslagen en dossierverantwoordelijken is praktisch nuttig, ook waar zulke velden niet letterlijk in artikel 30 staan.
Softwareleveranciers en onderaannemers
Beoordeel de leverancier die klantgegevens opslaat of bewerkt afzonderlijk. Wanneer u zelf verwerker bent en die partij namens u gegevens verwerkt, gaat het om een subverwerker. Daarvoor is voorafgaande specifieke of algemene schriftelijke toestemming van de verantwoordelijke nodig; bij algemene toestemming moet deze over voorgenomen wijzigingen worden geïnformeerd en gelegenheid krijgen bezwaar te maken. Leg dezelfde relevante gegevensbeschermingsverplichtingen bindend op en onthoud dat u tegenover de verantwoordelijke aansprakelijk blijft voor de nakoming door de subverwerker.
Controleer vóór de keuze voor een pakket ook waar ondersteuning toegang krijgt, welke partijen worden ingeschakeld en of dossiers volledig kunnen worden geëxporteerd. Een Europese opslaglocatie beantwoordt niet vanzelf de vraag naar toegang vanuit derde landen. Vraag concrete informatie over de dienstverlening en beoordeel zo nodig de doorgifteregels. Een leverancierscertificaat kan bewijs ondersteunen, maar vervangt uw eigen beoordeling en afspraken niet.
Kies de grondslag voor het eigen doel
Voor eigen verwerkingen bepaalt u welke grondslag van artikel 6 AVG werkelijk past. Een op het kantoor rustende wettelijke verplichting kan noodzakelijke verwerking rechtvaardigen. Benoem dan de concrete plicht en gegevens. Dat een klant belastingaangifte moet doen, maakt iedere advieshandeling van het kantoor nog niet tot een wettelijke verplichting van het kantoor zelf. Een opdrachtbevestiging kan evenmin alle verdere gegevensverwerking toestaan.
Contractuele noodzaak geldt alleen voor verwerking die noodzakelijk is voor de uitvoering van een overeenkomst met de betrokkene, of voor gevraagde maatregelen voorafgaand daaraan. Een contract met een bv dekt via deze grondslag dus niet automatisch de gegevens van al haar werknemers. Een gerechtvaardigd belang vergt een afzonderlijke beoordeling van doel, noodzaak en belangen. Leg uit waarom een minder ingrijpende werkwijze onvoldoende is en welke waarborgen gelden. Toestemming is geen reparatiemiddel voor een onnodige verzameling of een ontbrekende wettelijke bevoegdheid om het BSN te gebruiken.
Fiscale bewaarplicht versus dataminimalisatie
Artikel 52 AWR verplicht administratieplichtigen hun fiscaal relevante administratie in beginsel zeven jaar te bewaren. Stel eerst vast wiens administratie en verplichting het betreft. De klant kan zijn stukken bij het kantoor laten beheren, terwijl het kantoor daarnaast een eigen administratie heeft. Uitbesteding rechtvaardigt niet dat iedereen onbeperkt extra kopieën bewaart. Bepaal welke exemplaren nodig zijn voor de betreffende plicht en wie ze beschikbaar houdt.
De Belastingdienst onderscheidt zeven en tien jaar voor de btw-administratie: gegevens over onroerende zaken en rechten daarop kennen tien jaar, evenals relevante gegevens voor de Unie- en Invoerregeling van het eenloketsysteem. Dit is geen algemene tienjaarstermijn voor elk document van een vastgoedklant. Ook het startmoment verdient aandacht: gegevens die nog actuele betekenis hebben, blijven onderdeel van de administratie voordat de bewaartermijn begint. Een meerjarig contract kan daardoor langer aanwezig moeten blijven dan zeven jaar na ondertekening.
Maak in het bewaarschema onderscheid tussen fiscale bewijsstukken, professionele werkdossiers, losse aanleverbestanden en overtollige kopieën. Onderzoek voor een werkdossier de toepasselijke beroepsregels en het concrete doel; neem de fiscale termijn niet automatisch over. Een voorlopige export voor een controle kan overbodig worden zodra de noodzakelijke gegevens betrouwbaar in het juiste dossier zijn opgenomen. De uitleg over AVG-bewaartermijnen helpt om wettelijke termijnen en gemotiveerde eigen keuzes apart te registreren.
Bewaarde gegevens moeten ook bruikbaar blijven. Artikel 52 stelt voorwaarden aan overbrenging naar andere gegevensdragers en aan controleerbaarheid. Bij een softwarewissel volstaat daarom niet dat ergens een onleesbare databasekopie bestaat. Controleer met een representatief dossier of gegevens volledig, leesbaar en binnen redelijke tijd beschikbaar blijven. Leg ook vast welke tijdelijke migratiekopieën na controle verdwijnen. Zo verbindt u fiscale beschikbaarheid met beperking van onnodige duplicaten.
BSN in de loonadministratie
Het BSN valt onder de bijzondere nationale regeling voor identificatienummers; het is niet alleen daarom een bijzondere categorie persoonsgegevens van artikel 9 AVG. Artikel 46 UAVG beperkt het gebruik tot uitvoering van de betreffende wet of wettelijk bepaalde doeleinden. Een algemene gerechtvaardigd-belangafweging of toestemming geeft geen zelfstandige ruimte buiten die regeling. Gebruik daarom een intern klantnummer voor algemene dossierkoppeling wanneer het BSN daarvoor niet wettelijk nodig is.
De Wet op de loonbelasting, artikelen 28 en 29, regelt de loonadministratie, identificatie en het BSN van werknemers. De verplichtingen en toepasselijke uitzonderingen moeten vanuit de inhoudingsplichtige worden beoordeeld. Een kantoor dat de toegestane loonverwerking namens die werkgever uitvoert, verwerkt het nummer binnen die opdracht. Dat maakt hergebruik voor eigen marketing, bezoekersregistratie of algemene klantenanalyse niet geoorloofd.
Maak bij identiteitsdocumenten onderscheid tussen het doel van de kopie en de toepasselijke regel. De loonbelastingwet kent voor de betrokken werknemers een verplichting tot opname van een afschrift in de loonadministratie. Een algemene instructie om iedere kopie volledig te verwijderen of elk nummer altijd af te schermen kan daarmee botsen. Beperk wel wie het document kan openen en voorkom dat het in alle werkmappen wordt gedupliceerd. Werknemersgegevens over gezondheid vragen daarnaast een afzonderlijke toets aan de regels voor bijzondere persoonsgegevens; een BSN-regel lost die toets niet op.
Wwft-cliëntenonderzoek heeft een eigen dossierlogica
De Wwft omvat onder artikel 1a lid 4 onder a en b onder meer zelfstandig onafhankelijk werkende belastingadviseurs, externe accountants en beroepsmatig vergelijkbare activiteiten. Kijk bij een administratiekantoor naar de werkzaamheden en de wettelijke voorwaarden. De AVG-kwalificatie als verwerker voor salariswerk zegt niet dat er geen eigen Wwft-plicht kan bestaan. Het BFT publiceert specifieke beroepsleidraden die zijn uitleg van de normen geven; die guidance vervangt de wet niet.
Het cliëntenonderzoek kan identificatie, verificatie en informatie over de uiteindelijk belanghebbende omvatten. Verzamel gegevens die voor het toepasselijke onderzoek nodig zijn. Artikel 33 onderscheidt onder meer identificerende gegevens of een afschrift, plus gegevens over het verificatiedocument. Er bestaat dus geen algemene opdracht om van iedereen een volledige, ongefilterde paspoortkopie in iedere klantenmap te plaatsen. Beoordeel welke wettelijke route u gebruikt en voorkom dat het Wwft-dossier een onbeperkte verzameling wordt van alles wat de klant ooit heeft gestuurd.
Voor de onderzoeksgegevens geldt volgens artikel 33 in beginsel vijf jaar na het beëindigen van de zakelijke relatie of na de betreffende transactie. Gegevens over een melding van een ongebruikelijke transactie volgen artikel 34: vijf jaar vanaf het melden, respectievelijk de ontvangst van het FIU-bericht. Dit zijn andere startmomenten dan het einde van een boekjaar. Artikel 34a beperkt verder gebruik tot het antiwitwasdoel, verbiedt commercieel hergebruik en verlangt vernietiging na de termijnen, tenzij een wettelijk voorschrift anders bepaalt. Een nieuwsbriefbestand opbouwen uit het cliëntonderzoek past daar niet bij.
Beveiliging en incidenten in een kantoor met veel klanten
Financiële gegevens kunnen worden gebruikt voor identiteitsfraude, gerichte oplichting of ongewenste kennis van inkomens. Artikel 32 AVG verlangt passende maatregelen op basis van risico, stand van de techniek, kosten en verwerkingscontext. Beoordeel bijvoorbeeld meervoudige authenticatie voor externe toegang, versleuteling en herstelbare back-ups. Deze keuzes moeten inhoudelijk worden onderbouwd; artikel 32 bevat geen universele productlijst of vast controleschema voor elk kantoor.
Begin praktisch bij de scheiding tussen klanten en functies. Een medewerker die één loonadministratie behandelt, hoeft niet de salarisbestanden van alle klanten te zien. Controleer autorisaties bij opdrachtwijzigingen en vertrek. Laat medewerkers gewijzigde betaalgegevens via een betrouwbaar tweede kanaal verifiëren en oefen herstel van een dossier. Dit zijn uitvoeringsvoorbeelden om concrete risico’s te beheersen, geen afzonderlijke wettelijke standaardtermijnen. Bij dienstverlening aan banken of verzekeraars kunnen aanvullende contractuele en sectorale eisen spelen; beoordeel die in de context van de financiële sector.
Een verkeerd verzonden salarisbestand kan een persoonsgegevensinbreuk zijn. Als verwerker informeert het kantoor de verantwoordelijke zonder onredelijke vertraging na kennisname; het heeft geen eigen wachttijd van 72 uur. Als verantwoordelijke beoordeelt het kantoor de melding aan de AP: zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname, tenzij risico voor betrokkenen onwaarschijnlijk is. Een latere melding vereist motivering; ontbrekende informatie kan gefaseerd volgen. Documenteer iedere persoonsgegevensinbreuk, ook zonder melding. Informeren van betrokkenen bij waarschijnlijk hoog risico is een aparte beslissing onder artikel 34, met de wettelijke uitzonderingen.
Informatie en rechtenverzoeken organiseren
Een zakelijke klant is niet de enige betrokkene. Denk aan werknemers, eenmanszaken, vertegenwoordigers en uiteindelijk belanghebbenden. Bij rechtstreekse verzameling geldt artikel 13; bij gegevens uit andere bronnen kan artikel 14 gelden, met eigen termijnen en uitzonderingen. Maak duidelijk voor welke verwerkingen het kantoor zelf verantwoordelijk is en hoe iemand het kan bereiken. Eén ongedifferentieerde verklaring dat alle gegevens uitsluitend namens klanten worden verwerkt, past niet bij zelfstandige cliëntacceptatie of facturatie.
Komt een verzoek van een werknemer over door u beheerde loonbestanden, bepaal dan wie verantwoordelijk is voor de betreffende verwerking. Stuur het verzoek volgens de gemaakte afspraken door en help de klant bij het vinden en beoordelen van gegevens. Voor eigen verwerkingen handelt het kantoor zelf. In beginsel informeert u zonder onredelijke vertraging en binnen één maand over het gevolg. Een verlenging met maximaal twee maanden kan bij noodzakelijke complexiteit of aantallen verzoeken, mits binnen de eerste maand gemotiveerd aangekondigd. Bij niet-handelen meldt u uiterlijk binnen één maand de redenen en de klacht- en beroepsmogelijkheden.
Een wettelijke bewaarplicht kan verwijdering blokkeren voor de gegevens die zij daadwerkelijk omvat. Zij heft inzage of rectificatie niet automatisch op. Beoordeel ook rechten van anderen en specifieke geheimhoudingsregels; verklaar niet het hele cliëntdossier zonder verdere toets ontoegankelijk. Een gerichte uitleg welke stukken nog nodig zijn, op welke regel en tot welk start- en eindmoment, is bruikbaarder dan een algemene verwijzing naar zeven jaar. Bij samenwerken met juridische dienstverleners kunnen andere beroepsregels gelden, zoals uitgelegd voor advocatenkantoren.
Beëindiging van de opdracht
Spreek bij aanvang af hoe de klant zijn gegevens bij vertrek krijgt en hoe de overdracht wordt gecontroleerd. Als verwerker geeft u persoonsgegevens volgens de keuze van de verantwoordelijke terug of wist u ze na afloop; bestaande kopieën worden ook bij teruggave verwijderd, tenzij Unierecht of lidstatelijk recht dat op de verwerker van toepassing is opslag vereist. Leg uit hoe back-ups buiten regulier gebruik worden afgehandeld en voorkom dat herstel oude, inmiddels gewiste gegevens opnieuw actief maakt.
Houd dit gescheiden van gegevens die u terecht als zelfstandige verantwoordelijke bewaart, bijvoorbeeld een noodzakelijk wettelijk dossier. Een wettelijke uitzondering legitimeert alleen de betreffende opslag, geen voortzetting van alle toegang of dienstverlening. Trek portaalrechten in, controleer achtergebleven exports en leg de uitgevoerde overdracht vast. Daarmee wordt het einde van de opdracht een aantoonbare gegevenshandeling in plaats van alleen een wijziging in het facturatiesysteem.