_VD19506

Eigenaarschap van data

Harry Steen 27 mei 2021

Accountancy Gemak levert verrassend slimme oplossingen voor de accountant en ondernemer. Bij gebruik van deze slimme oplossingen worden veelal persoonsgegevens verwerkt. In dit blog wordt uitgelegd wat de rol van Accountancy Gemak is vanuit de Algemene verordening gegevensbescherming (AVG).

Dit stuk behandelt specifiek de rol van de zakelijke dienstverlener bij het verwerken van persoonsgegevens. En de positie die Accountancy Gemak heeft bij de verwerking van persoonsgegevens in aangeboden SaaS-diensten. Sinds 25 mei 2018 zijn in Nederland de AVG en de Uitvoeringswet AVG van kracht. Met de  inwerkingtreding van de AVG en de Uitvoeringswet AVG hebben betrokkenen van wie persoonsgegevens worden verwerkt meer rechten en hebben organisaties die persoonsgegevens verwerken meer verantwoordelijkheden gekregen bij de verwerking van persoonsgegevens.

Organisaties die persoonsgegevens verwerken kunnen dit doen in een hoedanigheid als ‘verwerkingsverantwoordelijke’ of als ‘verwerker’.

Definities

In de uitleg worden onderstaande begrippen gebruikt:

  • Betrokkene(n): een natuurlijk persoon op wie een Persoonsgegeven betrekking heeft.
  • Persoonsgegeven(s): elk gegeven betreffende een natuurlijk persoon die daardoor direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van één of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.
  • Verwerkingsverantwoordelijke: de partij die alleen of samen met anderen, het doel van en de middelen voor de Verwerking van de Persoonsgegevens vaststelt.
  • Verwerker: degene die ten behoeve van de Verwerkingsverantwoordelijke Persoonsgegevens Verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.
  • Verwerken/Verwerking: elke handeling of geheel van handelingen met betrekking tot de Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van Persoonsgegevens.

De verschillende rollen bij het verwerken van persoonsgegevens

Vanuit verschillende beroepsorganisaties is een leidraad opgesteld over de rol van een accountant, belastingadviseur of salarisprofessional (zakelijke dienstverlener) ten aanzien van de AVG. Deze leidraad is volledig na te lezen op de verschillende websites van de beroepsverenigingen. In dit stuk wordt voor zakelijke dienstverleners uitgelegd welke rol Accountancy Gemak heeft ten aanzien van het verwerken van klantdata en persoonsgegevens in het bijzonder.

De rol van Accountancy Gemak

Accountancy Gemak heeft de rol van verwerker binnen de geleverde diensten. Hierbij is het standpunt ingenomen dat de partij die de overeenkomst met Accountancy Gemak heeft afgesloten de verwerkingsverantwoordelijke is. Bij het aangaan van de overeenkomst worden algemene leveringsvoorwaarden en verwerkingsovereenkomst overeengekomen..

De rol van de zakelijk dienstverlener en zijn klant

De rol van Accountancy Gemak is dan wel duidelijk, maar wie is nu eigenlijk verwerkingsverantwoordelijke? Is dat de zakelijke dienstverlener of is dat zijn klant? Het opgestelde richtsnoer van de belangenorganisaties geeft hier een stuk duidelijkheid in.

Salarisverwerking

Vanuit opgesteld richtsnoer:

Een salarisverwerkingsopdracht kan samengevat op twee manieren worden uitgevoerd:

  1. Het uitvoeren van de “kale” loonverwerking, daar waar de zakelijke dienstverlener aan zijn klant enkel de IT-infrastructuur (een loonpakket) ter beschikking stelt ten behoeve van het opstellen van loonberekeningen/loonstroken en/of daar waar de zakelijke dienstverlener enkel de door de klant aangeleverde gegevens invoert in het loonpakket zonder daarbij aanvullende controle- of advieswerkzaamheden te verrichten; of
  2. Een uitgebreidere vorm van dienstverlening, waarbij niet alleen de IT-infrastructuur ter beschikking wordt gesteld maar waarbij de zakelijke dienstverlener ook controlerende en adviserende werkzaamheden uitvoert, zoals advisering ten aanzien van de inrichting van de loonadministratie, het beoordelen en waar nodig corrigeren van aangeleverde gegevens en het toetsen of wordt voldaan aan wet- en regelgeving (fiscale regelgeving, cao’s, pensioenafspraken etc.).

In het eerste geval is de zakelijke dienstverlener een verwerker; in het tweede geval is de zakelijke dienstverlener een verwerkingsverantwoordelijke.

Administratieve dienstverlening

Vanuit opgesteld richtsnoer:

Vergelijkbaar met het uitvoeren van een salarisverwerkingsopdracht dient bij het voeren van de administratie voor een klant te worden gekeken naar de aard en omvang van de door de zakelijke dienstverlener uit te voeren werkzaamheden. Samengevat kan onderscheid worden gemaakt tussen drie varianten:

  1. De zakelijke dienstverlener stelt aan zijn klant een boekhoudpakket ter beschikking (bijvoorbeeld als een Software as a Service-applicatie);
  2. De klant heeft zelf een boekhoudpakket aangeschaft en de zakelijke dienstverlener kijkt mee met de door de klant gevoerde administratie, waarbij de zakelijke dienstverlener adviseert of de financiële administratie van zijn klant op de juiste wijze wordt gevoerd en of de klant voldoet aan de wettelijke eisen ter zake; of
  3. De zakelijke dienstverlener voert namens zijn klant de administratie (in een eigen of door de klant aangeschaft boekhoudpakket), waarbij de zakelijke dienstverlener tevens adviseert of de financiële administratie van zijn klant op de juiste wijze wordt gevoerd en of de klant voldoet aan de wettelijke vereisten ter zake.

In het eerste geval is de zakelijke dienstverlener een verwerker; in het tweede en derde geval is de zakelijke dienstverlener een verwerkingsverantwoordelijke..

Eigenaarschap van data

Zoals eerder gesteld gaat Accountancy Gemak er vanuit dat de partij die de overeenkomst is aangegaan met Accountancy Gemak de verwerkingsverantwoordelijke is. Die partij stelt doel en middelen van de verwerking van data vast. Zoals in de definities van een verwerkingsverantwoordelijke is opgenomen, kan deze partij de verwerking alleen vaststellen of samen met een ander partij. En op dat punt ontstaat een stuk onduidelijkheid over eigenaarschap van data.

In de gevallen waar een zakelijke dienstverlener de verwerkingsverantwoordelijke is, kan een situatie ontstaan dat de klant wil overstappen naar een andere zakelijke dienstverlener. Van wie is dan de data en kan de klant deze data zomaar meenemen?

Om duidelijkheid te verschaffen tussen de zakelijke dienstverlener en zijn klant neemt Accountancy Gemak de overeenkomst als uitgangspunt. Hierin is voor Accountancy Gemak vastgelegd wie de verwerkingsverantwoordelijke is en aan wie data uitgeleverd mag worden.

Voorbeelden:

Voorbeeld 1:

Bedrijf A maakt gebruik van een zakelijke dienstverlener. Bedrijf A heeft een overeenkomst met Accountancy Gemak voor een boekhoudoplossing. De zakelijke dienstverlener voert de volledige administratie in dit pakket. Indien Bedrijf A gebruik wil maken van een andere zakelijke dienstverlener en aan Accountancy Gemak wordt gevraagd om data vanuit het boekhoudpakket aan te leveren dan wordt aanlevering gedaan aan Bedrijf A.

De zakelijke dienstverlener is volgens de richtsnoer verwerkingsverantwoordelijke, maar volgens de overeenkomst tussen bedrijf A en Accountancy Gemak is vastgesteld dat Bedrijf A de verwerkingsverantwoordelijke is. Data zal dan ook uitgeleverd worden aan bedrijf A.

Voorbeeld 2:

Een zakelijke dienstverlener heeft een overeenkomst met Accountancy Gemak voor een boekhoudoplossing die zij gebruiken voor klanten. De zakelijke dienstverlener voert de volledige administratie van Bedrijf B in dit boekhoudpakket. Indien Bedrijf B gebruik wil gaan maken van een andere zakelijke dienstverlener en de data opvraagt bij Accountancy Gemak zal Bedrijf B deze data niet krijgen. Volgens de overeenkomst tussen de zakelijke dienstverlener en Accountancy Gemak is de zakelijke dienstverlener de verwerkingsverantwoordelijke..

Voorkomen van geschillen over eigenaarschap van data

Aangezien het voor Accountancy Gemak in veel gevallen niet duidelijk is wat de relatie is tussen een zakelijke dienstverlener en zijn klanten grijpt Accountancy Gemak te allen tijde terug naar de overeenkomst die is gesloten. Er bestaat echter wel een grijs gebied in eigenaarschap van data. Een zakelijke dienstverlener die een complete administratie voert en de inrichting van deze administratie voor zijn rekening heeft genomen, is wellicht wel de eigenaar van de inrichting. En een overstap maken naar een andere zakelijke dienstverlener onmogelijk maken door de administratie van een klant te zien als eigendom is geen juiste benadering.

Het advies van Accountancy Gemak is dan ook om deze punten te bespreken op het moment dat een zakelijke dienstverlener een relatie aangaat met een klant. Alleen op die manier kan eigenaarschap van data goed bepaald worden.

Advies

Accountancy Gemak kijkt bij eigenaarschap van data altijd naar de afgesloten overeenkomst. De verantwoording van eigenaarschap van data ligt bij de zakelijke dienstverlener en de klant. Een goed punt om onderling te bespreken en een mooi moment om de relatie eens goed aan te halen.

Richtsnoer

In deze uitleg is gebruik gemaakt van “Richtsnoeren AVG voor accountants, belastingadviseurs en salarisprofessionals met betrekking tot de status als ‘verwerkingsverantwoordelijke’ of als ‘verwerker’ als bedoeld in de (Uitvoeringswet) Algemene verordening gegevensbescherming bij het verlenen van diensten aan klanten.” van oktober 2019.

Dit richtsnoer is opgesteld door:

  • Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA)
  • Stichting Nederlandse Organisatie van Accountants en Accountantskantoren (Novak)
  • Nederlandse Orde van Belastingadviseurs (NOB)
  • Register Belastingadviseurs (RB)
  • Nederlands Instituut van Register Payroll Accounting (NIRPA)

De volledige tekst van deze richtsnoer is te lezen via deze link.