De rol van payrollbedrijven onder de AVG

Inleiding

Onder de Algemene Verordening Gegevensbescherming (‘AVG’) is het belangrijk om te weten welke rol je inneemt in het proces van gegevensverwerking. Zo heeft een verwerker andere (en veelal minder vergaande) verplichtingen dan een (verwerkings)verantwoordelijke. Payrollbedrijven lijken te worstelen met die rol. Diverse payrollbedrijven in Nederland menen dat zij verwerker zijn (en leggen verwerkersovereenkomsten voor aan hun opdrachtgevers), terwijl andere payrollbedrijven uitdrukkelijk aangeven verantwoordelijke te zijn. Hoe zit dit nu?

Verantwoordelijke of verwerker

Om maar meteen 'met de deur in huis te vallen': nagenoeg alle payrollbedrijven in Nederland zijn verantwoordelijke. Een verantwoordelijke is onder de AVG (kort gezegd) de partij die persoonsgegevens voor eigen doeleinden verwerkt en zelf bepaalt op welke wijze dat gebeurt. Een verwerker daarentegen verwerkt ook persoonsgegevens, maar doet dat uitsluitend voor een andere partij (de verantwoordelijke). De verwerker moet daarbij de instructies van de verantwoordelijke opvolgen.

Payrollbedrijven in Nederland zijn nagenoeg altijd de juridisch (formeel) werkgever van de bij hen ondergebrachte werknemers en daardoor (primair) verantwoordelijk voor het nakomen van de werkgeversverplichtingen. Daarmee is het payrollbedrijf, net als iedere andere werkgever in Nederland, verantwoordelijke. Dat het payrollbedrijf met haar opdrachtgever heeft afgesproken dat de opdrachtgever bepaalde werkgeverstaken op zich neemt, doet niets af aan de wettelijke (werkgevers)verplichtingen van het payrollbedrijf. Om die (eigen) verplichtingen te kunnen nakomen, moet het payrollbedrijf bepaalde persoonsgegevens van de werknemers verwerken en daarmee bepaalt het payrollbedrijf het doel en de middelen van die gegevensverwerkingen. De opdrachtgever van het payrollbedrijf zal het payrollbedrijf ook niet kunnen verbieden om de persoonsgegevens van de betreffende werknemers te verwerken. In zoverre verschilt het payrollbedrijf niet van een uitzendbureau.

Gevolgen

Het voorgaande betekent dat payrollbedrijven alle verplichtingen van verantwoordelijken uit de AVG moeten nakomen. Denk daarbij aan extra eisen aan de inhoud van het verwerkingsregister, de informatieverstrekking aan de werknemers waarvan het payrollbedrijf de gegevens verwerkt, het wijzen op en gehoor geven aan rechten van de betrokken werknemers en het moeten melden van datalekken. Daarentegen is het payrollbedrijf dus niet gehouden een verwerkersovereenkomst te sluiten met haar opdrachtgevers. Niettemin is het verstandig om wel afspraken te maken tussen payrollbedrijf en opdrachtgever (derhalve tussen verantwoordelijken onderling), maar dergelijke afspraken zijn niet verplicht en niet aan specifieke voorwaarden gebonden.

Oorzaak onduidelijkheid

Het is niet duidelijk waar deze onduidelijkheid onder payrollbedrijven vandaan komt. Vermoedelijk heeft dit te maken met de grote verscheidenheid aan en het verschillend gebruik van payrollbedrijven binnen de EU en daarbuiten. Zo zal een payroll-constructie (en de daarbij horende taken en verantwoordelijkheden) in Nederland anders worden uitgelegd dan in andere EU-landen. Het is dan ook op zijn minst ongelukkig dat de website van de Europese Commissie een payrollbedrijf als voorbeeld van een verwerker noemt. Dat is wellicht het geval als het payrollbedrijf uitsluitend administratieve taken van de eigenlijke werkgever overneemt (zonder zelf werkgever van de betreffende werknemers te worden), maar daar is in de ‘Nederlandse situatie’ (een enkele uitzondering daargelaten) geen sprake van.

Afsluitend

Heeft u een payrollbedrijf of krijgt u bijvoorbeeld een verwerkersovereenkomst van een payrollbedrijf voorgelegd, controleer dan goed wat de rol van het payrollbedrijf is onder de AVG. De kans is namelijk zeer groot dat het payrollbedrijf een (verwerkings)verantwoordelijke is en in die hoedanigheid aan de verplichtingen uit de AVG moet voldoen. Het blijkt dat hier veel onduidelijkheid over bestaat bij payrollbedrijven, dus ga er niet zo maar van uit dat het payrollbedrijf het bij het juiste eind heeft.

Indien u vragen heeft over het onderscheid tussen verwerkers en (verwerkings)verantwoordelijken bij payrollbedrijven of anderszins, neem dan contact op met mij of een van mijn collega’s uit ons privacyteam.