Accountantskantoren verwerken veel persoonsgegevens van klanten en zijn daarmee gebonden aan de Algemene Verordening Gegevensbescherming (AVG). De wet stelt concrete eisen aan hoe je klantgegevens verzamelt, bewaart, beveiligt en deelt. Dit artikel beantwoordt de meest gestelde vragen over de AVG-verplichtingen voor accountantskantoren, zodat je weet waar je aan toe bent.
Welke persoonsgegevens verwerken accountantskantoren precies?
Accountantskantoren verwerken een breed scala aan persoonsgegevens. Denk aan naam, adres, geboortedatum, BSN, financiële gegevens, inkomensgegevens, bedrijfsgegevens van eenmanszaken en soms ook gegevens van gezinsleden of medewerkers van klanten. Al deze gegevens vallen onder de AVG zodra ze herleidbaar zijn tot een natuurlijk persoon.
Naast deze basisgegevens verwerken accountantskantoren ook gegevens die extra gevoelig zijn, zoals informatie over schulden, belastingaanslagen, faillissementen of arbeidsconflicten. Hoewel dit geen bijzondere persoonsgegevens zijn in de zin van de AVG (zoals gezondheidsgegevens of strafrechtelijke gegevens), vragen ze wel om zorgvuldige omgang. Bij Wwft-plichtige diensten komen daar nog identificatiegegevens en UBO-informatie bij.
Het is belangrijk om voor je eigen kantoor in kaart te brengen welke gegevens je precies verwerkt, van wie, waarvoor en via welke systemen. Dit overzicht vormt de basis voor je verwerkingsregister, dat verplicht is onder de AVG.
Op welke wettelijke grondslag mogen accountants klantgegevens verwerken?
Accountantskantoren mogen klantgegevens verwerken op basis van meerdere wettelijke grondslagen uit de AVG. De meest gebruikte grondslag is de uitvoering van een overeenkomst: je verwerkt gegevens omdat je een opdracht uitvoert voor de klant. Daarnaast geldt voor veel verplichtingen de wettelijke verplichting als grondslag, zoals bij de Wwft of de fiscale bewaarplicht.
De zes grondslagen die de AVG erkent, zijn: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, algemeen belang en gerechtvaardigd belang. Voor accountantskantoren zijn de middelste vier in de praktijk het meest relevant. Toestemming is als grondslag minder sterk, omdat die altijd intrekbaar is. Gebruik toestemming alleen als geen andere grondslag van toepassing is.
Het is verstandig om per type verwerking vast te leggen welke grondslag van toepassing is. Dit helpt je niet alleen bij een eventuele controle door de Autoriteit Persoonsgegevens, maar ook bij het beantwoorden van vragen van klanten over hun gegevens.
Hoe lang mogen accountantskantoren klantgegevens bewaren?
Accountantskantoren mogen klantgegevens niet langer bewaren dan noodzakelijk voor het doel waarvoor ze zijn verzameld. In de praktijk geldt voor de meeste financiële en fiscale gegevens een wettelijke bewaarplicht van zeven jaar, afgeleid van de fiscale bewaarplicht. Voor notariële of juridische stukken kan dit langer zijn.
Na afloop van de bewaartermijn ben je verplicht de gegevens te verwijderen of te anonimiseren. Dit geldt ook voor gegevens in back-upsystemen en gearchiveerde dossiers. Een veelgemaakte fout is dat kantoren gegevens bewaren “voor het geval dat”, terwijl er geen concrete wettelijke of contractuele grondslag meer is.
Stel een retentiebeleid op waarin je per categorie gegevens vastlegt hoe lang je ze bewaart en op basis waarvan. Zo voorkom je dat klantgegevens onnodig lang in je systemen staan en verklein je het risico bij een datalek.
Wat zijn de verplichtingen rond datalekken bij accountantskantoren?
Bij een datalek ben je als accountantskantoor verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het datalek waarschijnlijk geen risico oplevert voor de betrokkenen. Is er een hoog risico voor de betrokkenen, dan moet je ook de klanten zelf informeren. Deze meldplicht geldt ook voor datalekken bij verwerkers die namens jou gegevens verwerken.
Een datalek is breder dan alleen een hack. Ook een verloren USB-stick, een e-mail die naar de verkeerde persoon is gestuurd of een gestolen laptop valt hieronder. Het is verstandig om intern een procedure te hebben voor het herkennen, documenteren en melden van datalekken. Leg ook alle datalekken vast in een intern datalekregister, ongeacht of je ze extern moet melden.
Zorg dat medewerkers weten wat ze moeten doen als ze een incident signaleren. Snelle interne melding is de sleutel om de 72-uurtermijn te halen.
Moet een accountantskantoor een verwerkersovereenkomst afsluiten met softwareleveranciers?
Ja, als een softwareleverancier persoonsgegevens verwerkt namens jouw kantoor, ben je verplicht een verwerkersovereenkomst af te sluiten. Dit geldt voor cloudoplossingen voor urenregistratie, facturatie, CRM, documentbeheer en andere systemen waarin klantgegevens staan. De verwerkersovereenkomst legt vast wat de leverancier wel en niet mag doen met die gegevens.
Controleer voor elk systeem dat je gebruikt of er een verwerkersovereenkomst aanwezig is. Veel leveranciers bieden deze standaard aan, maar je moet er zelf op letten dat je deze ook daadwerkelijk hebt ondertekend of geaccepteerd. Ontbreekt de overeenkomst, dan ben jij als verwerkingsverantwoordelijke aansprakelijk voor eventuele overtredingen.
Vraag bij twijfel altijd proactief naar de verwerkersovereenkomst en het privacybeleid van een leverancier. Een betrouwbare leverancier heeft dit op orde en is transparant over hoe en waar gegevens worden opgeslagen. Kijk ook naar certificeringen zoals ISO 27001, die aantonen dat een leverancier informatiebeveiliging serieus neemt. Meer informatie over hoe software voor accountantskantoren dit invult, vind je op de accountancy-overzichtspagina.
Welke AVG-documenten moet een accountantskantoor op orde hebben?
Een accountantskantoor moet minimaal de volgende AVG-documenten hebben opgesteld en actueel houden:
- Verwerkingsregister: een overzicht van alle verwerkingen van persoonsgegevens, inclusief doel, grondslag, bewaartermijn en betrokken systemen
- Privacyverklaring: een toegankelijke verklaring voor klanten over hoe je hun gegevens verwerkt
- Verwerkersovereenkomsten: met alle leveranciers die namens jou persoonsgegevens verwerken
- Datalekregister: een intern register van alle datalekken, ook als je ze niet extern hebt gemeld
- Beleid voor bewaartermijnen: per categorie gegevens vastgelegd hoe lang je ze bewaart
- Procedure voor datalekken: zodat medewerkers weten hoe ze een incident moeten melden en afhandelen
Afhankelijk van de omvang van je kantoor en de aard van je verwerkingen kan ook een Data Protection Impact Assessment (DPIA) verplicht zijn, bijvoorbeeld als je grootschalig gevoelige financiële gegevens verwerkt. Raadpleeg bij twijfel een privacyspecialist of juridisch adviseur.
Houd deze documenten actueel. De AVG is geen eenmalig project, maar een doorlopende verplichting. Wijs intern een verantwoordelijke aan die dit bijhoudt, ook bij wijzigingen in systemen of werkprocessen. Op fortesmilestones.com vind je meer over hoe softwareoplossingen voor accountantskantoren bijdragen aan een gestructureerde werkomgeving.
Hoe Fortes Milestones helpt met AVG-compliance rondom klantgegevens
Het beheren van klantgegevens op een AVG-conforme manier begint met één centrale plek waar alle informatie samenkomt. Versnipperde gegevens over meerdere systemen maken het moeilijk om overzicht te houden, bewaartermijnen te bewaken en verwerkingen te documenteren.
Fortes Milestones biedt accountantskantoren een geïntegreerde werkomgeving waarin klantbeheer, planning, urenregistratie en facturatie samenkomen. Specifiek voor AVG-compliance zijn de volgende aspecten relevant:
- Centraal klantbeheer: alle klantdata, contactpersonen en entiteiten op één plek, zodat je altijd weet welke gegevens je beheert en van wie
- Verwerkersovereenkomst beschikbaar: als softwareleverancier levert Fortes Milestones een verwerkersovereenkomst, zodat je aan die verplichting voldoet
- ISO 27001-gecertificeerd: Fortes Milestones voldoet aan de hoogste standaarden voor informatiebeveiliging
- Minder versnippering: door klantdata in één systeem te beheren in plaats van meerdere losse tools, verklein je het risico op datalekken en ongecontroleerde gegevensverwerking
- Integraties met bestaande systemen: koppelingen met boekhoudpakketten zoals Exact Online, Twinfield en Yuki, zodat gegevens niet dubbel worden ingevoerd
Wil je zien hoe dit er in de praktijk uitziet voor jouw kantoor? Bekijk de mogelijkheden op de Fortes CRM-pagina of vraag een persoonlijke demo aan via de demopagina. Liever eerst een vraag stellen? Neem contact op met ons team.