Checklist / actielijst verwerker en/of verwerkingsverantwoordelijk

1. Inventariseer waar u heeft beschreven dat u Verwerker bent en voor welke werkzaamheden, bijvoorbeeld:

• In de opdrachtbevestiging
• In de Algemene Voorwaarden
• In de begeleidende brief bij toezenden opdrachtbevestiging of toezenden Verwerkersovereenkomst
• In de Privacyverklaring of –Statement document
• Al dan niet op de website of anderszins
• In het verwerkingsregister
• In het datalekkenprotocol
• In interne documenten als Personeelsreglement, Privacy protocol of anderszins
• Anders …….

2. Pas de tekst of passages waar nodig aan aan de actuele Richtsnoeren, kort samengevat: Accountant is alleen Verwerker voor:

• het sec invullen van aanvragen of formulieren voor de klant ( waar geen keuzes gemaakt hoeven te worden)
• het sec doen van betalingen voor de klant
• het ICT-technisch faciliteren van een ‘kale’ loonverwerking
• het ICT-technisch faciliteren een financiële administratie door een boekhoudprogramma
• uitvoeren van overeengekomen specifieke werkzaamheden (4400N) mits gericht op persoonsgegevens

3. Stuur waar nodig  aangepaste documenten bij eerstvolgende gelegenheid aan de klant en gebruik de nieuwe documenten voor nieuwe klanten

4. Pas de betrokken passages in Privacyverklaring of -statement aan, al dan niet op de website

5. Pas waar nodig de interne documenten (waaronder ook verwerkingenregister en datalekkenprotocol) aan en verspreid deze op de gebruikelijke wijze binnen het kantoor

6. Indien u (eerder) met bestaande klanten een Verwerkersovereenkomst heeft gesloten met een andere omschrijving van uw werkzaamheden als Verwerkers dan genoemd onder punt 2, leg dan in een brief uit welke wijzigingen van toepassing zijn

7. Beoordeel voor nieuwe klanten of nog werkzaamheden als Verwerker worden uitgevoerd (zie 2 hiervoor). Indien dit niet het geval is, bent u (alleen) ‘mede’ -Verwerkingsverantwoordelijk, zie verder 8

8. Indien u mede- Verwerkingsverantwoordelijke bent , dan dienen de volgende punten (richting klant) te worden vastgelegd:

• privacyverklaring hoe u omgaat met persoonsgegevens en hoe u invulling geeft aan de AVG-vereisten
• afspraken ten aanzien van informatieplicht richting (gezamenlijke) betrokkenen, wie informeert de betrokkenen
• afspraken ten aanzien van rechten van betrokkenen: wie doet wat als een betrokkene bijvoorbeeld inzage vraagt
• afspraken ten aanzien van datalekken

Deze afspraken kunnen worden opgenomen in:

• algemene voorwaarden
• opdrachtbevestigingen
• aparte overeenkomsten
• een eventuele verwerkersovereenkomst

Bron: Autoriteit Persoonsgegevens