Welke rol heeft een payrollbedrijf binnen de AVG?

In het proces van gegevensverwerking onder de Algemene Verordening Gegevensbescherming (‘AVG’) spelen de verschillende rollen van de betrokken partijen een belangrijke rol. Een verwerker heeft bijvoorbeeld doorgaans minder vergaande verplichtingen dan een (verwerkings)verantwoordelijke. Aangezien sommige payrollbedrijven in Nederland aangeven verwerker te zijn en dus verwerkersovereenkomsten voorleggen aan hun opdrachtgevers en andere payrollbedrijven juist uitdrukkelijk aangeven verantwoordelijke te zijn, is de rol van payrollbedrijven onder de AVG blijkbaar niet duidelijk. Hierna wordt nader ingegaan op deze rol van payrollbedrijven.

Is het payrollbedrijf een verantwoordelijke of een verwerker?

Onder ‘verantwoordelijke’ onder de AVG worden verstaan partijen die persoonsgegevens voor eigen doeleinden verwerken en ook bepalen op welke manier dat gebeurt. Nagenoeg alle payrollbedrijven in Nederland zijn verantwoordelijke. Zij zijn juridisch gezien bijna altijd de formeel werkgever van de bij hen werkzame werknemers en daarmee primair verantwoordelijk voor het voldoen aan de werkgeversverplichtingen. Ook ingeval het payrollbedrijf met haar opdrachtgever heeft afgesproken dat de opdrachtgever een of meerdere werkgeverstaken op zich neemt, moet het payrollbedrijf aan de wettelijke werkgeversverplichtingen voldoen. Het payrollbedrijf kan daarop worden aangesproken.

Het verschil met een verwerker is, dat een verwerker ook persoonsgegevens verwerkt, maar uitsluitend voor de verantwoordelijke en daarbij de instructies van de verantwoordelijke moet opvolgen. De verwerker heeft dus geen eigen belang bij de verwerking van persoonsgegevens.

Om aan de eigen verplichtingen te kunnen voldoen, moet het payrollbedrijf de persoonsgegevens van de werknemers verwerken. Daarmee bepaalt het payrollbedrijf het doel en de middelen van de gegevensverwerking. Het is voor de opdrachtgever niet mogelijk om het payrollbedrijf te verbieden om bepaalde persoonsgegevens te verwerken. In die zin is een payrollbedrijf vergelijkbaar met een uitzendbureau.

Consequenties

Payrollbedrijven moeten alle verplichtingen van verantwoordelijken uit de AVG nakomen, waaronder onder andere de informatieverstrekking aan de werknemers, de extra eisen aan de inhoud van het verwerkingsregister, het gehoor geven aan c.q. wijzen op de rechten van de betrokken werknemers en het moeten melden van datalekken. Het payrollbedrijf is als verantwoordelijke uiteraard niet verplicht om een verwerkersovereenkomst met haar opdrachtgevers te sluiten, maar het is wel raadzaam om de gemaakte afspraken tussen de beide verantwoordelijken (payrollbedrijf en opdrachtgever) schriftelijk vast te leggen. Deze vastlegging is niet aan specifieke voorwaarden gebonden.

Onduidelijkheid over de rol

Waar de onduidelijkheid over de rol binnen de payrollbedrijven vandaan komt, is niet bekend, maar heeft mogelijk te maken met het verschillend gebruik van payrollbedrijven, zowel binnen de Europese Unie als daarbuiten, alsook de grote verscheidenheid aan payrollbedrijven. Een payrollconstructie kan bijvoorbeeld in Nederland anders worden uitgelegd dan in andere landen binnen de Europese Unie. Het is dan ook op zijn minst ongelukkig te noemen dat op de website van de Europese Commissie een payrollbedrijf als voorbeeld van een verwerker wordt genoemd. Een payrollbedrijf is wellicht wel een verwerker als het uitsluitend administratieve taken van de werkgever overneemt zonder werkgever van de betreffende werknemers te worden. In Nederland is – op een enkele uitzondering na – geen sprake van deze vorm van payrolling.

Tot slot

Krijgt u een verwerkersovereenkomst van een payrollbedrijf voorgelegd of heeft u een payrollbedrijf, wees u dan bewust van de rol van het payrollbedrijf onder de AVG. De kans is namelijk zeer groot dat het payrollbedrijf een (verwerkings)verantwoordelijke is en in die hoedanigheid aan de verplichtingen uit de AVG moet voldoen. Omdat hierover veel onduidelijkheid bestaat bij payrollbedrijven, is het dus niet vanzelfsprekend dat het payrollbedrijf de juiste rol heeft aangenomen.

Heeft u nog vragen over het onderscheid tussen verwerkers en (verwerkings)verantwoorde­lijken bij payrollbedrijven of andere vragen met betrekking tot de AVG, neem dan contact op met mij of een van mijn collega’s uit ons privacyteam.