Accountants en de AVG / GDPR: wat is het verband?

Accountants verwerken op grote schaal persoonsgegevens. Denk aan bijvoorbeeld naam- en adresgegevens, BSN-nummers of financiële informatie die te herleiden is naar een natuurlijke persoon. De nieuwe Europese privacywetgeving vereist dat die verwerking aan allerlei spelregels voldoet.

Welke spelregels dat precies zijn, hangt af van de rol die de accountant aanneemt. De AVG/GDPR kent namelijk twee rollen: die van de verwerkingsverantwoordelijke, en die van verwerker. Die rolverdeling kent grote verschillen. 

Rol: verwerkingsverantwoordelijke
Een accountant is verwerkingsverantwoordelijke op het moment dat het accountantskantoor in zekere zin de regels van de verwerking zelf bepaalt en afstemt met de betrokkenen. In het gros van de werkzaamheden van de accountant zal hij/zij optreden in deze rol. Het controleren of samenstellen (uitvoeren samenstellingsopdracht) van de jaarrekening valt hier bijvoorbeeld onder.

Rol: externe verwerker
In de rol van de externe verwerker  bepaalt niet de accountant, maar zijn klant hoe de verwerking plaatsvindt (bijvoorbeeld als zij de salarisadministratie uitvoeren), en blijft de klant van de accountant eindverantwoordelijk voor een deugdelijk verwerkingsproces. De verwerker moet hierbij strikt de instructies opvolgen die de verantwoordelijke heeft opgesteld.

De NBA (Nederlandse Beroepsvereniging voor Accountants) heeft een overzicht beschikbaar gesteld bij welke opdrachten welke rol van toepassing is. Zie hier.

Volgende documenten mag een accountant bij een controle zien:

Deelnemers beroepsonderwijs/vavo:

• Onderwijsovereenkomst(controle BRON-gegevens)
• Kopieën voor vreemdelingenwet
• Bewijsstukken voor nationaliteit (wonen grensgebied)
• Presentie van de deelnemer, melding verzuimregister.
• Betaling cursusgeld, derdenmachtiging
• Beroepspraktijkovereenkomst

Diploma beroepsonderwijs/vavo

• Diploma
• Cijferlijst (alleen vavo)

Voor dit hele proces mag de accountant ook de OBO (Overzicht BRON Onderzoek) zien.