Samensteller is 'verantwoordelijke' in kader AVG
De Autoriteit Persoonsgegevens (AP) merkt dienstverleners die jaarrekeningen samenstellen en daarvoor persoonsgegevens van cliënten vastleggen als 'verantwoordelijke' aan voor die gegevens. In het kader van privacy is het belangrijk om te weten wie die zogenoemde verantwoordelijke is en wie 'alleen maar' (sub)verwerker is. Wanneer zich een incident voordoet rond persoonsgegevens (een zogenaamd datalek), moet dit namelijk soms aan de AP (en soms ook aan de betrokken persoon/personen) worden gemeld. Dit moet de verantwoordelijke voor die gegevens doen. Een verwerker moet een eventueel incident melden aan de verantwoordelijke.
Een verantwoordelijke wordt geacht een ‘subjectieve keuze’ te hebben in de wijze waarop de persoonsgegevens worden verwerkt. Bij een (sub)verwerker is dit niet of maar zeer beperkt het geval. Bij de salarisverwerking is er bijvoorbeeld nauwelijks sprake van keuzes en afwegingen. Daarentegen beoordeelt een accountant of andere intermediair bij een samenstellingsopdracht een aantal zaken, zoals de integriteit van de cliënt, materialiteit, attentiepunten rond de opdracht en eventuele consequenties voor de werkzaamheden. Bij assurance-opdrachten is dit helemaal het geval.
Tip
Weet u niet zeker of u verwerker of verantwoordelijke bent, als zich een situatie voordoet waarin een incident rond persoonsgegevens moet worden gemeld? Uiteindelijk gaat het de AP erom dát er wordt gemeld. Wie de melding doet, lijkt daar dan wat ondergeschikt aan. U kunt de situatie dus gewoon met uw cliënt (die waarschijnlijk de verantwoordelijke zou zijn als u of uw kantoor dat niet is) afstemmen. Maak onderling duidelijke afspraken over wie wat gaat melden als de situatie daarom vraagt.