Administratiekantoor verwerker of verwerkingsverantwoordelijke?

Sinds het aantreden van de AVG is er regelmatig discussie over de ‘rolverdeling’ in het AVG-speelveld. Welke partij neem welke rol aan? Dat is van belang om een partij ook zijn taken en verantwoordelijkheden toe te kennen. Ook diverse accountantskantoren hebben hierover massaal vragen gesteld aan de helpdesk van de NBA (Nederlandse Beroepsorganisatie van Accountants).

Dienstverlening onderzocht

Inmiddels is er onderzoek gedaan door diverse beroepsorganisaties en in samenwerking met de Autoriteit Persoonsgegevens hebben zij  de meest voorkomende dienstverlening (en de daarbij behorende werkzaamheden) binnen mkb-praktijk in kaart gebracht. Daarbij is bepaald wanneer men, vanuit AVG perspectief, ‘verwerkingsverantwoordelijke’ of ‘verwerker’ is. Dit is neergelegd in het document: Richtsnoeren AVG voor accountants, belastingadviseurs en salarisprofessionals d.d. 1 oktober 2019.

Bij de vaststelling wie verwerkingsverantwoordelijke of verwerker is bij een verwerkingsactiviteit moet er gekeken worden naar het soort dienstverlening:

• Is het verwerken van persoonsgegevens het primaire doel?
• Wat is de inhoud van de dienstverlening (betreft het ‘kale’ of uitgebreide dienstverlening)?
• Wie bepaalt het doel en de middelen?

In de richtsnoeren wordt onder andere ingegaan op de rol van salarisprofessionals bij salarisadministratie. De conclusie is, na afstemming met de Autoriteit Persoonsgegevens, dat men in veel gevallen verwerkingsverantwoordelijke is.

Bij de vaststelling wie verwerkingsverantwoordelijke of verwerker is bij een verwerkingsactiviteit moet er gekeken worden naar het soort dienstverlening

Salarisadministratie

Het voeren van een salarisadministratie wordt in de parlementaire geschiedenis van de Wbp (Wet bescherming persoonsgegevens) als een klassiek voorbeeld genoemd van werkzaamheden waarbij de klant als verwerkingsverantwoordelijke wordt aangemerkt en de zakelijke dienstverlener als verwerker. Naar aanleiding van deze richtsnoeren wordt hierin een nuance aangebracht.

Een salarisverwerkingsopdracht kan samengevat op 2 manieren worden uitgevoerd:

• Het uitvoeren van de “kale” salarisverwerking, daar waar de zakelijke dienstverlener aan zijn cliënt enkel de IT-infrastructuur (een loonpakket) ter beschikking stelt ten behoeve van het opstellen van salarisberekeningen/salarisstroken en/of daar waar de zakelijke dienstverlener enkel de door de cliënt aangeleverde gegevens invoert in de salarisapplicatie zonder daarbij aanvullende controle- of advieswerkzaamheden te verrichten; of
• Een uitgebreidere vorm van dienstverlening, waarbij niet alleen de IT-infrastructuur ter beschikking wordt gesteld maar waarbij de zakelijke dienstverlener ook controlerende en adviserende werkzaamheden uitvoert, zoals advisering ten aanzien van de inrichting van de salarisadministratie, het beoordelen en waar nodig corrigeren van aangeleverde gegevens en het toetsen of wordt voldaan aan wet- en regelgeving (fiscale regelgeving, cao’s, pensioenafspraken etc.).

De laatste vorm van dienstverlening is de variant die doorgaans door zakelijke dienstverleners binnen de mkb-praktijk wordt uitgevoerd.

Bij het “kale” salariswerkingsmodel treedt de zakelijke dienstverlener wél op als verwerker. Daar werkt hij in opdracht en ten behoeve van zijn cliënt, overeenkomstig de instructies. Bij deze vorm van dienstverlening is de opdracht primair gericht op het verwerken van persoonsgegevens. De cliënt bepaalt het doel en de middelen voor de verwerking van persoonsgegevens bij de te voeren salarisadministratie.

Maar, bij het uitvoeren van de uitgebreidere vorm van salarisverwerking treedt de zakelijke dienstverlener op als verwerkingsverantwoordelijke. Bij het uitvoeren van de salarisverwerkingsopdracht beoordeelt de zakelijke dienstverlener bepaalde zaken zelfstandig, zoals of de ingevoerde gegevens voldoen aan wet- en regelgeving. Daar waar nodig bepaalt hij of aanvullende werkzaamheden dienen te worden uitgevoerd.

De zakelijke dienstverlener wordt bij deze variant ingeschakeld vanwege zijn vaktechnische expertise, de dienstverlening is niet primair gericht op het verwerken van persoonsgegevens en de zakelijke dienstverlener is verantwoordelijk voor het bewaken van de kwaliteit van de te leveren diensten. Kortom, de zakelijke dienstverlener bepaalt het doel en de middelen voor de verwerking van persoonsgegevens. De controlerende- en adviserende werkzaamheden zijn dusdanig verweven met het ter beschikking stellen van de IT-infrastructuur (salarisapplicatie) aan de cliënt, dat deze variant geldt als één type dienst waarbij sprake is van “één gegevensverwerking” waarvoor de zakelijke dienstverlener optreedt als verwerkingsverantwoordelijke.

Bij het uitvoeren van de uitgebreidere vorm van salarisverwerking treedt de zakelijke dienstverlener op als verwerkingsverantwoordelijke.

Beoordeling per situatie

Van belang is  om elke situatie afzonderlijk te beoordelen omdat een nuance in dienstverlening kan betekenen dat een kantoor voor een bepaalde verwerkingsactiviteit toch wordt aangemerkt als verwerker terwijl in de richtsnoeren wordt gesproken over verwerkingsverantwoordelijke of andersom.