Vanaf 25 mei 2018 moet uw organisatie voldoen aan de nieuwe Europese privacywetgeving. Vanaf die datum gaat namelijk de Algemene verordening gegevensbescherming (AVG) in. We krijgen regelmatig de vraag van werkgevers of er een verwerkersovereenkomst afgesloten moet worden met de financieel adviseur. Uit een statement van brancheorganisatie Adfiz blijkt dat het afsluiten van een verwerkersovereenkomst niet nodig is om aan de nieuwe privacywet te voldoen. Heeft u hier vragen over? Neem dan gerust contact op met uw adviseur.
Als werkgever hoeft u geen verwerkersovereenkomst te sluiten wanneer u een financieel adviseur inschakelt voor het treffen van regelingen ten aanzien van werknemers (i.v.m. pensioen, arbeidsongeschiktheid, verzuim). Weliswaar verstrekt u hiervoor persoonsgegevens van medewerkers aan de financieel adviseur, maar daarmee is de financieel adviseur nog geen ‘verwerker’ in de zin van de wet.
Dit blijkt uit de AVG [1] en de uitleg die het ministerie van Justitie en Veiligheid [2] hier aan geeft. Het enkele feit dat een derde partij in opdracht van een werkgever werknemersgegevens verwerkt, maakt hem nog niet tot een ‘verwerker’. Een derde partij kan op grond van de privacyregelgeving namelijk ook de positie van een ‘verwerkingsverantwoordelijke’ hebben. Dit is het geval als het verwerken van de gegevens van de werknemers geen primaire opdracht is ten behoeve van de werkgever, maar logischerwijs voortvloeit uit van een vorm van dienstverlening die de derde partij aanbiedt. Deze situatie doet zich voor bij de dienstverlening van een financieel adviseur aan de werkgever bij het adviseren en bemiddelen bij regelingen voor werknemers.
Uiteraard is de financieel adviseur (als verwerkingsverantwoordelijke) onverminderd verplicht zeer zorgvuldig met de verkregen werknemersgegevens om te gaan in overeenstemming met de privacyregels uit de Algemene verordening gegevensbescherming. In het privacy statement kunt u nalezen hoe de financieel adviseur hier invulling aan geeft.
[1] Algemene verordening gegevensbescherming, art. 4.7 en 4.8, pag. 33
[2] Handleiding Algemene Verordening Gegevensbescherming, Ministerie Justitie en Veiligheid, pag. 33.