Het SNA Keurmerk en de AVG

Regelmatig krijgen wij de vraag van klanten of het nodig is om met VRO Certification een verwerkersovereenkomst te sluiten voor de inspectie en audits. Dit is niet het geval.

VRO Certification is in het kader van deze werkzaamheden geen verwerker. Bij een inspectie of audit verwerken wij namelijk geen persoonsgegevens in opdracht van klanten. Hoewel we wel met persoonsgegevens in aanraking komen. In dit artikel leggen we uit waarvoor een verwerkersovereenkomst dan toch niet nodig is.

Onafhankelijke werkwijze

Het is van groot belang dat een certificatie instelling (zoals VRO Certification) bij de uitvoering van een inspectie of audit tot een onafhankelijk oordeel komt. Daarbij hanteert VRO Certification haar eigen methoden en technieken, zonder inmenging van de klant. Het zou immers vreemd zijn, als een klant de inspecteur of auditor vertelt hoe hij of zij tot een oordeel moet komen.

In een verwerkersovereenkomst staan gedetailleerde instructies, hoe de verwerker moeten omgaan met persoonsgegevens van de organisatie. Omdat VRO Certification onafhankelijk te werk gaat, past een verwerkersovereenkomst (met instructies), niet in de overeenkomst tussen VRO Certification en haar klanten.

VRO verwerkt persoonsgegevens ten behoeve van haar eigen doelstelling, bijvoorbeeld om vast te stellen of een onderneming voldoet aan de eisen van NEN 4400-1 of NEN 4400-2. In die zin is VRO Certification zelf verwerkingsverantwoordelijke en zorgen wij voor ons eigen gegevensverwerkingsbeleid en de beveiliging tijdens de inspectie of audit. U hoeft daar (gelukkig) geen zorg voor te dragen. Klik hier voor meer informatie over de verwerking van persoonsgegevens tijdens een SNA inspectie. SNA heeft de protocollen aangepast, hoe om te gaan met persoonsgegevens tijdens de inspectie. Er zijn twee protocollen: één over persoonsgegevens zoals BSN en één over strafrechtelijke gegevens. 

Werknemers informeren

Wat wel belangrijk is, is dat u uw medewerkers (betrokkenen waarvan u persoonsgegevens in uw administratie bewaard, ook ZZP-ers) informeert over de mogelijke verwerking door een certificerende instelling. U moet daarbij aangeven welke gegevens kunnen worden verwerkt, voor welk doel en door welke instelling dit gebeurt. Het doel van een SNA Keurmerk is bijvoorbeeld het voorkomen van fraude en uitbuiting van arbeidskrachten. Dat geeft u dan aan bij uw medewerkers.