Tijdens een bijeenkomst van de Nederlandse Orde van Advocaten waren de aanwezige privacyspecialisten er helder over: een advocaat is ten opzichte van zijn cliënt altijd ‘verantwoordelijke’ in de zin van de nieuwe privacyregelgeving, de Algemene Verordening Gegevensbescherming (AVG – maar onder de huidige wet is dat niet anders.) Accountants en belastingadviseurs lijken te denken dat zij ‘verwerker’ kunnen zijn, wat ik niet goed begrijp.
Accountants kennen uitgebreide regelgeving die minutieus regelt wat zij wel en niet mogen, zelfs als ze niet eens als accountant werken. Hun regels hebben uitstraling naar alle andere beroepsgroepen binnen hun accountantsorganisatie, zoals belastingadviseurs, salarismedewerkers en organisatieadviseurs. Verder vallen accountants en andere financials onder de Nederlandse antiwitwas-wetgeving, de Wwft. Deze beroepsbeoefenaren hebben een wettelijke taak en/of assisteren hun cliënten met de naleving van wettelijke verplichtingen. Dat betekent dat zij altijd het doel en de middelen van hun werkzaamheden bepalen en ten opzichte van hun cliënt nimmer de rol van ‘verwerker’ spelen. Die boodschap is echter niet tot hun beroepsorganisaties doorgedrongen.
NBA-toelichting
Op de site van de Nederlandse Beroepsorganisatie van Accountants (NBA) staat een toelichting op het begrip ‘verantwoordelijke’ en ‘verwerker’ waarin wordt gesuggereerd dat er situaties kunnen voorkomen waarin de cliënt aan de accountant instructies kan geven over de wijze waarop de werkzaamheden worden uitgevoerd. In zulke gevallen zou een accountant verwerker zijn. Dit lijkt op een misverstand van de auteurs te berusten. Er is een verschil tussen het definiëren van de inhoud van een opdracht en de wijze waarop en met welk doel de opdracht door de accountant wordt uitgevoerd. Overigens wordt door de NBA over het aansluiten van een verzamelloonstaat en het opnemen van een loonheffingsschuld gezegd dat de accountant daar verantwoordelijke is, terwijl ten aanzien van het voeren van de salarisadministratie wordt opgemerkt dat de accountant hier de instructie van de cliënt zou mogen opvolgen. Dat kan niet waar zijn. Het voeren van een salarisadministratie is niet anders dan het uitvoeren van samenstelwerkzaamheden, waarvan de NBA constateert dat de accountant daar ‘verantwoordelijke’ is.
Onbekendheid
Overigens is die salarisadministrateur een hardnekkig gebruikt voorbeeld van een ondernemingsactiviteit die per definitie ‘verwerking’ zou inhouden. Ik denk dat dit berust op onbekendheid met de activiteiten en verantwoordelijkheden van een salarisadministrateur, die onder meer verplichtingen op grond van de Wwft heeft. In hele oude parlementaire geschiedenis wordt het als voorbeeld genoemd, maar ik denk dat het niet (meer) klopt.
De Nederlandse Orde van Belastingadviseurs (NOB) lijkt in de handreiking die in januari 2018 is uitgebracht ook te denken dat de belastingadviseur in relatie tot cliënten verwerker kan zijn. Men lijkt te denken dat het voor verwerkerschap voldoende is dat de cliënt geen natuurlijke persoon is. De belastingadviseur speelt een centrale rol in de regelgeving ter bestrijding van belastingfraude en dient zich aan de Wwft te houden. Klakkeloos instructies van cliënten opvolgen is er niet bij. Ook die belastingadviseur is verantwoordelijke.
Nu het leven op dit punt eenvoudig is geworden kan iedereen met cybersecurity, dataminimalisatie en tijdig verwijderen aan de slag.
Mr. Ellen Timmer is advocaat ondernemingsrecht en verbonden aan Pellicaan Advocaten. Dit artikel is geschreven op persoonlijke titel.
