Deze richtsnoeren AVG geven handvatten aan de leden om zo hun verplichtingen ten aanzien van deze wetgeving beter in te kunnen vullen.
In de praktijk bestaat onduidelijkheid over de vraag of een accountant, belastingadviseur of salarisprofessional (zakelijke dienstverlener) optreedt als een ‘verwerkingsverantwoordelijke’ of ‘verwerker’ als gedefinieerd in de AVG bij het uitvoeren van diensten aan klanten. Deze richtsnoeren beogen daarvoor een leidraad te geven.
Verwerker of verwerkingsverantwoordelijke
De volgende aspecten zijn van belang bij de afweging of een zakelijke dienstverlener als verwerkingsverantwoordelijke of verwerker handelt bij het uitvoeren van diensten aan een klant:
- de vraag of zijn opdracht primair gericht is op het verwerken van persoonsgegevens of dat dit slechts een uitvloeisel is van een andere vorm van dienstverlening;
- de professionele deskundigheid van de zakelijke dienstverlener;
- het bestaan van beroeps- en gedragsregels die voorschrijven hoe een zakelijke dienstverlener zijn werkzaamheden moet uitvoeren; en
- wettelijke verplichtingen die zakelijke dienstverleners verplichten om bepaalde situaties aan een toezichthouder te melden.
Beroeps- en gedragsregels
Salarisprofessionals die zijn ingeschreven in het NIRPA-register RPP of RSa zijn gehouden tot naleving van de NIRPA-gedragscode. Deze gedragscode biedt het kader waaraan salarisprofessionals zich moeten houden:
- Professioneel gedrag;
- Deskundigheid (het op peil houden van competenties door het volgen van Permanente Educatie; deskundigheid op het gebied van zowel kennis als vaardigheden);
- Integriteit en vertrouwelijkheid; en de
- Relatie van de salarisprofessional met afnemers van diensten.
Bij aantoonbaar handelen in strijd met deze gedragscode kan een NIRPA-gecertificeerde salarisprofessional uit het register worden geschrapt, waarna hij niet langer de bij het register behorende titel RPP of RSa mag voeren.
Salarisverwerkingsopdracht
Een salarisverwerkingsopdracht kan op twee manieren worden uitgevoerd:
- Het uitvoeren van de ‘kale’ loonverwerking, daar waar de zakelijke dienstverlener aan zijn klant alleen de IT-infrastructuur (een loonpakket) ter beschikking stelt voor het opstellen van loonberekeningen/loonstroken en/of daar waar de zakelijke dienstverlener alleen de door de klant aangeleverde gegevens invoert in het loonpakket zonder daarbij aanvullende controle- of advieswerkzaamheden te verrichten; of
- Een uitgebreidere vorm van dienstverlening, waarbij niet alleen de IT-infrastructuur ter beschikking wordt gesteld maar waarbij de zakelijke dienstverlener ook controlerende en adviserende werkzaamheden uitvoert.
De laatste, uitgebreidere, vorm van dienstverlening is de variant die zakelijke dienstverleners doorgaans uitvoeren. Voor beide varianten geldt dat de zakelijke dienstverlener zich moet houden aan de beroeps- en gedragsregels.
Bij het ‘kale’ loonverwerkingsmodel treedt de zakelijke dienstverlener op als verwerker. Bij het uitvoeren van de uitgebreidere vorm van salarisverwerking treedt de zakelijke dienstverlener op als verwerkingsverantwoordelijke.
