Je krijgt van een klant het personeelsbestand aangeleverd voor een salarisbenchmark, of je draait mee in een verzuimtraject. Dan werk je met persoonsgegevens van mensen die jou nooit iets gevraagd hebben: de werknemers van je klant. Dat maakt de rolverdeling onder de AVG belangrijker dan in bijna elk ander adviesvak.
Krijg je van een klant het personeelsbestand voor een salarisbenchmark, draai je de verzuimadministratie of richt je het HR-systeem in, dan verwerk je persoonsgegevens in opdracht van die klant. In die rol ben je verwerker en hoort er een verwerkersovereenkomst te liggen tussen jou en de klant. In de praktijk ontbreekt die vaak: de opdracht staat in een offerte, de data komt per mail, en niemand heeft het over de AVG gehad. Dat raakt jullie allebei, want ook de klant is verplicht die overeenkomst te sluiten. Maak er een vast onderdeel van je onboarding van: een standaard verwerkersovereenkomst als bijlage bij elke opdracht waarin je personeelsdata aanraakt. Eén goed model volstaat voor vrijwel al je klanten.
art. 28 AVGBij verzuimtrajecten geldt een strikte rolverdeling: diagnoses en medische details horen bij de bedrijfsarts, niet bij de werkgever en dus ook niet bij jou als diens adviseur. Wat jij nodig hebt, is functionele informatie: hoe lang iemand vermoedelijk afwezig is, wat iemand nog wel kan, welke aanpassingen helpen. In de praktijk gaat het mis in vrije tekstvelden en mailwisselingen: 'zit thuis met burn-out' of 'hernia, wordt geopereerd' staat zo genoteerd, en dan verwerk je ineens bijzondere persoonsgegevens zonder grondslag. Spreek met je klanten af dat je geen medische informatie wilt ontvangen, stuur mails met diagnoses niet door maar verwijder ze, en train jezelf in functioneel formuleren. Dat beschermt de werknemer én jouw eigen positie.
art. 9 AVGPersoneelsbestanden reizen in dit vak vaak als Excel-bijlage: salarisdata, geboortedata, soms BSN's, heen en weer gemaild en daarna voor onbepaalde tijd in de mailbox en de downloadmap. Eén gehackt mailaccount betekent dan een datalek met de personeelsgegevens van meerdere klanten tegelijk. Dat is te voorkomen met een paar gewoontes. Deel bestanden via een beveiligde omgeving in plaats van als bijlage, of op zijn minst met een wachtwoord dat via een ander kanaal gaat. Zet tweestapsverificatie aan op je mail en je cloud. En ruim op na elke opdracht: verwijder de bestanden die je niet meer nodig hebt, ook uit 'verzonden items'. Zo blijft de schade beperkt als het toch een keer misgaat.
art. 5 + art. 32 AVGAI-tools zijn ook in HR-advies verleidelijk: even een functioneringsverslag laten samenvatten, een vacaturetekst laten schrijven op basis van een cv, een adviesrapport laten redigeren. Maar zodra je personeelsgegevens van een klant in zo'n tool plakt, verwerk je die data bij een externe partij, vaak in de VS, meestal zonder dat je klant of diens werknemers dat weten en zonder dat je verwerkersovereenkomst dat dekt. Ga na welke tools je gebruikt en wat hun voorwaarden zeggen over het bewaren van en trainen op jouw invoer. Kies zakelijke varianten waarin je invoer niet voor training wordt gebruikt, anonimiseer wat je invoert (namen en herleidbare details eruit), en wees er open over richting je klant.
art. 28 + art. 44 e.v. AVGDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanDat hangt af van wie doel en middelen bepaalt. Voer je in opdracht van de klant diens personeelsadministratie of verzuimproces uit, dan ben je meestal verwerker. Adviseer je op eigen expertise en bepaal je zelf wat je vastlegt, dan ben je eerder zelf verantwoordelijk. Leg de rol per opdracht vast.
Zodra je personeelsgegevens namens een klant verwerkt wel, en die plicht geldt voor jullie allebei. Werk met één standaardmodel dat je als bijlage bij elke opdracht meestuurt; dan is het in vijf minuten geregeld.
Functionele informatie wel: duur van de afwezigheid, wat iemand nog kan, welke aanpassingen nodig zijn. Diagnoses en medische details horen bij de bedrijfsarts en mag ook de werkgever niet registreren, dus jij als adviseur evenmin.
Niet zomaar. Je verwerkt die gegevens dan bij een externe partij, vaak buiten de EU, en meestal zonder dat dat richting je klant is afgedekt. Gebruik een zakelijke variant zonder training op jouw invoer, haal namen en herleidbare details eruit, en wees er transparant over.
Teruggeven of verwijderen, en dat laatste ook echt doen: uit je mailbox, je verzonden items en je downloadmap. Een goede verwerkersovereenkomst schrijft dit al voor. Een vast opruimmoment na elke opdracht voorkomt dat oude bestanden blijven slingeren.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.