Besluit inzake de vergunningaanvraag voor de
verwerking van persoonsgegevens van
strafrechtelijke aard ten behoeve van derden in het
kader van de verwerking ‘Persoonsgerichte
onderzoeken en achtergrondonderzoeken’ door
PricewaterhouseCoopers Advisory N.V.
(z2022-03796)
1 Inleiding
1. Op 17 juni 2022 heeft PricewaterhouseCoopers Advisory N.V (hierna: “PwC”)– ingevolge artikel 33
lid 4 aanhef en onder c van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)
– bij de Autoriteit Persoonsgegevens (AP) een vergunningaanvraag ingediend. Deze aanvraag is bij
de AP bekend onder nummer z2022-03796 en onder de naam ‘Persoonsgerichte onderzoeken en
achtergrondonderzoeken PwC’.
2. In artikel 10 van de Algemene verordening gegevensbescherming (AVG) is bepaald dat
persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband
houdende veiligheidsmaatregelen op grond van artikel 6 lid 1 AVG alleen worden verwerkt onder
toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of
lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van betrokkene
bieden. De wetgever heeft van deze ruimte gebruik gemaakt in artikel 33 lid 4 aanhef en onder c van
de UAVG.
3. Op grond van artikel 33 lid 4 aanhef en onder c UAVG mogen persoonsgegevens van strafrechtelijke
aard ten behoeve van derden worden verwerkt indien de AP een vergunning voor de verwerking heeft
verleend. Ingevolge artikel 33 lid 5 UAVG kan een vergunning slechts worden verleend, indien de
verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is
voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig
wordt geschaad. Aan de vergunning kunnen door de AP voorschriften worden verbonden.
2 Procedureverloop
4. Op 26 februari 2020 heeft PwC een vergunningaanvraag ingediend bij de AP. Op 22 januari 2021 heeft
PwC deze vergunningaanvraag ingetrokken, om de overstap te maken van een formele procedure
naar een informeel overlegtraject, waarin de voorgenomen verwerking op ambtelijk niveau is
beoordeeld en besproken.
5. Na afronding van dit informele overlegtraject heeft PwC op 17 juni 2022 een (nieuwe) formele
vergunningaanvraag ingediend. Bij de aanvraag heeft PwC de volgende stukken overgelegd:
- Protocol persoonsgerichte onderzoeken en achtergrondonderzoeken PwC Advisory N.V.
(versie 5, 28 maart 2022), hierna: het protocol;
- Data Protection Impact Assessment Background Searches uitgevoerd door PwC Forensics
(5 februari 2020, laatste wijziging d.d. 21 februari 2022), hierna: de DPIA;
- Security Statement, PwC Information Security Policy (ISP) (versie 4.0, september 2021);
- NBA-handreiking 1112 ‘Persoonsgerichte onderzoeken’ van de Koninklijke Nederlandse
Beroepsorganisatie van Accountants (6 oktober 2010).
6. Op 1 juli 2022 heeft de AP telefonisch enkele vragen gesteld over het protocol. Daarop is door PwC op
4 juli 2022 een gewijzigd protocol toegestuurd (versie 5, 4 juli 2022 ). Op basis van deze versie van het
protocol is de vergunningaanvraag beoordeeld.
7. De AP heeft het protocol beoordeeld op basis van het in paragraaf 4 beschreven wettelijk kader.
Hierbij is de AP tot de conclusie gekomen, om de in paragraaf 5 genoemde redenen, dat de
vergunningaanvraag kan worden ingewilligd.
3 Feitelijke weergave van de voorgenomen verwerking
8. In het protocol worden twee soorten onderzoek beschreven, die PwC in opdracht van haar
opdrachtgevers kan uitvoeren:
1) persoonsgerichte onderzoeken, waarin onderzoek wordt gedaan naar het functioneren,
handelen of nalaten van handelen van een (rechts)persoon;
2) achtergrondonderzoeken, die bestaan uit het nagaan of een (rechts)persoon in bepaalde open
bronnen voorkomt.
9. Een persoonsgericht onderzoek is breder dan een achtergrondonderzoek: het is een groter, breder
opgezet onderzoek naar bijvoorbeeld fraude of de toedracht van een bepaalde gebeurtenis. Een
achtergrondonderzoek kan als zelfstandig onderzoek worden uitgevoerd, bijvoorbeeld wanneer een
bedrijf een belangrijk contract wil aangaan met een ander bedrijf. Maar het kan ook een onderdeel
zijn van een persoonsgericht onderzoek. Of een achtergrondonderzoek wordt uitgevoerd als
onderdeel van een persoonsgericht onderzoek, hangt af van de opdracht en de reikwijdte van het
persoonsgerichte onderzoek; een achtergrondonderzoek is niet noodzakelijkerwijs een onderdeel van
een persoonsgericht onderzoek.
10. Bij een achtergrondonderzoek worden, op basis van de vraag en specifieke omstandigheden van de
opdracht, (open) bronnen geraadpleegd (o.a. internet, kamer van koophandel, kadaster, compliance
en sanctiedatabases). De vraag, eventuele specifieke omstandigheden van de opdracht en (slechts) de
gevonden relevante informatie worden opgeslagen in een dossier. Op basis van het dossier stelt een
PwC-medewerker een rapport op waarin feitelijk verslag wordt gedaan van de gevonden relevante
informatie. De gegevens uit de geraadpleegde bronnen worden, voor zover relevant, feitelijk
overgenomen, met bronvermelding, zonder dat hierover een mening wordt gevormd of een conclusie
2/20
wordt getrokken. Een tweede PwC-medewerker, zijnde een registeraccountant, controleert het
rapport aan de hand van het dossier. Het rapport wordt doorgestuurd naar de klant (uitsluitend als
alle onderzoekswerkzaamheden zijn afgerond) en de klant vormt zelf een oordeel op basis van het
rapport.
11. Bij het uitvoeren van een persoonsgericht onderzoek (en het achtergrondonderzoek dat daar mogelijk
onderdeel van uitmaakt), wordt in opdracht van een klant door medewerkers van PwC een onderzoek
uitgevoerd wat een persoonsgericht karakter kan hebben, waarbij een registeraccountant de
eindverantwoordelijkheid draagt. Het persoonsgericht onderzoek betreft een onderzoek naar feiten
en omstandigheden. De medewerkers van PwC voeren een aantal werkzaamheden uit waarvan de
aard, diepgang en samenstelling afhankelijk is van de onderzoeksvraag en –omstandigheden. Het kan
onder andere gaan om het uitvoeren van een financiële analyse, het interviewen van betrokkenen
en/of het uitvoeren van documentenreview. Een ander onderdeel van de werkzaamheden kan bestaan
uit het uitvoeren van een onderzoek in open bronnen (een achtergrondonderzoek) naar voor de casus
relevante personen. De PwC-medewerker legt als onderdeel van het totale onderzoeksdossier, met
betrekking tot deze werkzaamheden de volgende zaken vast: de vraag, eventuele specifieke
omstandigheden van de opdracht en (slechts) de gevonden relevante informatie. Op basis van het
totale onderzoeksdossier stelt PwC een conceptrapport van relevante feitelijke bevindingen op,
waarvan de uitkomsten van het open bronnen onderzoek mogelijk deel uitmaken. Een tweede PwC-
medewerker, zijnde een registeraccountant, controleert het conceptrapport aan de hand van het
dossier. De op de betrokkene betrekking hebbende onderdelen van het conceptrapport worden in het
kader van hoor en wederhoor ter becommentariëring voorgelegd aan de betrokkene. De reactie van
de betrokkene op het conceptrapport wordt daar waar noodzakelijk rechtstreeks in de tekst verwerkt.
Overige reacties worden zichtbaar in de rapportage opgenomen. De reactie van de betrokkene wordt
integraal als bijlage bij de rapportage opgenomen. Het conceptrapport wordt pas na de verwerking
van de reactie van de betrokkene gefinaliseerd. Het finale rapport wordt aan de klant verstrekt. De
opdrachtgever vormt zelf een oordeel op basis van het rapport.
12. PwC voert de in het protocol beschreven onderzoeken alleen uit op initiatief van een opdrachtgever.
Deze onderzoeken worden uitgevoerd onder verantwoordelijkheid van een registeraccountant. PwC
zal de persoonsgegevens die worden verwerkt in het kader van een onderzoek niet (her)gebruiken
voor andere opdrachten en andere doeleinden, tenzij zij daartoe wettelijk bevoegd of verplicht is.
4 Wettelijk kader
13. Artikel 10 AVG bepaalt:
“Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee
verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden
verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of
lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de
betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden
bijgehouden onder toezicht van de overheid.”
14. Artikel 1 UAVG bepaalt:
“In deze wet en de daarop berustende bepalingen wordt verstaan onder:
[…]
3/20
Persoonsgegevens van strafrechtelijke aard: persoonsgegevens betreffende strafrechtelijke
veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld
in artikel 10 van de verordening, alsmede persoonsgegevens betreffende een door de rechter opgelegd
verbod naar aanleiding van onrechtmatig of hinderlijk gedrag; […]”
15. Artikel 31 UAVG bepaalt:
“Onverminderd artikel 10 van de verordening mogen persoonsgegevens van strafrechtelijke aard
alleen worden verwerkt voor zover dit krachtens de artikelen 32 en 33 is toegestaan.”
16. Artikel 33 lid 4 aanhef en onder c UAVG bepaalt:
“Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt:
[…]
c. indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de
verwerking heeft verleend.”
17. Artikel 33 lid 5 UAVG bepaalt:
“Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden verleend, indien de
verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is
voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig
wordt geschaad. Aan de vergunning kunnen voorschriften worden verbonden.”
18. Artikel 5 AVG bepaalt:
“1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en
transparant is („rechtmatigheid, behoorlijkheid en transparantie”);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en
mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de
verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of
historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als
onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij
worden verwerkt („minimale gegevensverwerking”);
d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen
om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn,
onverwijld te wissen of te rectificeren („juistheid”);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren
dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is;
persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens
louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek
of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze
verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de
rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”);
f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige
manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer
beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies,
vernietiging of beschadiging („integriteit en vertrouwelijkheid”).
4/20
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze
aantonen („verantwoordingsplicht”).”
19. Artikel 6 lid 1 aanhef en onder f AVG bepaalt:
“De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande
voorwaarden is voldaan:
[…]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en
de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen,
zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
5 Beoordeling
20. Aan de hand van het wettelijk kader wordt de voorgenomen verwerking beoordeeld. De beoordeling
is gebaseerd op de vergunningaanvraag, het protocol en de DPIA.
21. De beoordeling wordt hierna op volgende manier vorm gegeven: eerst wordt beoordeeld of sprake is
van verwerking van persoonsgegevens van strafrechtelijke aard (paragraaf 5.1). Immers, als er geen
sprake zou zijn van persoonsgegevens van strafrechtelijke aard, dan zou voor de verwerking geen
vergunning nodig zijn. Vervolgens wordt de verwerking getoetst aan artikel 33 lid 5 UAVG. Hierbij
wordt achtereenvolgens beoordeeld of er sprake is van zwaarwegende belangen (paragraaf 5.2.1), of
de verwerking noodzakelijk is (paragraaf 5.2.2) en of in zodanige waarborgen is voorzien dat de
persoonlijke levenssfeer niet onevenredig wordt geschaad (paragraaf 5.3).
5.1 Persoonsgegevens van strafrechtelijke aard
22. In het kader van de onderzoeken kunnen gegevens over veroordelingen en verdenkingen van
strafbare feiten worden verwerkt. Het gaat daarbij onder andere om persoonsgegevens uit open
bronnen (zoals sanctielijsten, krantenartikelen of andere media waar iedereen toegang tot heeft) en
om het uitvoeren van een financiële analyse, het interviewen van betrokkenen en/of het uitvoeren van
een documentenreview die een persoon verbinden aan veroordelingen of betrokkenheid bij feiten die
tot een veroordeling zouden kunnen leiden. Met de verwerking van dergeljke persoonsgegevens is
sprake van verwerking van persoonsgegevens van strafrechtelijke aard in de zin van artikel 33 UAVG.
5.2 Noodzakelijk met het oog op een zwaarwegend belang van derden
23. Uit artikel 33 lid 5 UAVG volgt dat een vergunning slechts kan worden verleend indien de verwerking
noodzakelijk is met het oog op een zwaarwegend belang van derden. In de paragrafen hieronder zal
worden ingegaan op de vereisten ‘zwaarwegend belang van derden’ (5.2.1) en ‘noodzakelijkheid’
(5.2.2).
5/20
5.2.1 Zwaarwegend belang van derden
24. De in het protocol beschreven onderzoeken zullen alleen door PwC worden uitgevoerd als zij daartoe
een opdracht krijgt van een opdrachtgever. Voor de beoordeling of sprake is van een zwaarwegende
belang van derden, moet worden gekeken naar de belangen die de opdrachtgevers hebben bij het
laten uitvoeren van de onderzoeken door PwC.
25. Uit het protocol blijkt dat opdrachtgevers verschillende zwaarwegende belangen kunnen hebben om
een opdracht tot het doen van een achtergrondonderzoek of persoonsgericht onderzoek te geven.
Vaak gaat het om een wettelijke verplichting die opdrachtgevers op grond van nationale of
internationale regelgeving hebben om de identiteit en/of integriteit van zakelijke partners en
personen te verifiëren. Voorbeelden hiervan zijn de UK Bribery Act, de US Foreign Corrupt Practices
Act, de FATF 40 Recommendations (verplichtingen voor banken om Customer Due Diligence/KYC
uit te voeren) en EU Richtlijnen over witwassen en terrorismefinanciering (verplichtingen om
Customer Due Diligence uit te voeren). Indien bijvoorbeeld op de klant een wettelijke verplichting
rust om een onderzoek naar iemand uit te voeren vanwege diens functie of vanwege een zakelijke
relatie met de klant (bijvoorbeeld op basis van de Wwft (artikel 3), de Foreign Corrupt Practices Act of
de UK Bribery Act), wordt doorgaans gecontroleerd of deze persoon vermeld wordt op internationale
sanctielijsten. Deze publiek toegankelijke sanctielijsten bevatten de namen van ondernemingen en
personen waarop een (economische/juridische) beperking van toepassing is. Deze ondernemingen
en personen komen op een sanctielijst terecht wanneer zij een bedreiging vormen voor de
internationale vrede en veiligheid. Het is verboden om met gesanctioneerde ondernemingen en
personen zaken te doen volgens de Nederlandse Sanctiewet en internationale sanctiewetgeving.
Fraudepreventie is een ander belang van opdrachtgevers. Opdrachtgevers vermoeden bijvoorbeeld
dat een werknemer fraude pleegt, en willen dit door een onafhankelijke partij, zoals PwC, laten
uitzoeken alvorens mogelijke stappen te nemen.
Andere belangen van opdrachtgevers zijn bijvoorbeeld het willen of moeten controleren van
antecedenten voor bepaalde functies en functionarissen binnen de organisatie, omdat het vanuit het
oogpunt van veilige en integere bedrijfsvoering noodzakelijk kan zijn om de antecedenten van een
persoon te controleren alvorens iemand in een bepaalde functie wordt geplaatst. Bedrijven mogen
en/of willen bijvoorbeeld geen zaken doen met gesanctioneerde entiteiten of personen, of een
persoon in dienst nemen die recentelijk heeft gefraudeerd.
26. Gelet op het bovenstaande is de AP van oordeel dat sprake is van zwaarwegende belang van derden
bij het (laten) uitvoeren van de onderzoeken door PwC.
5.2.2 Noodzakelijk
27. Een zwaarwegend belang van derden alleen is niet voldoende. De verwerking dient ook noodzakelijk
te zijn met het oog op dit zwaarwegende belang. Bij de beoordeling van de noodzakelijkheid moet ook
worden getoetst of aan de eisen van proportionaliteit en subsidiariteit is voldaan. Dit houdt in dat
beoordeeld moet worden of de inbreuk voor de betrokkene in verhouding staat tot het doel van de
gegevensverwerking en of het doel niet op een andere manier te bereiken is, die minder nadelig is
voor de betrokkene.
6/20
Proportionaliteit
28. Ten aanzien van de proportionaliteit overweegt de AP als volgt. De doelen van de verwerkingen
waarvoor PwC een vergunning vraagt, zien op het uitvoeren van onderzoeken waarmee
opdrachtgevers van PwC kunnen voldoen aan internationale en nationale wetgeving (onder andere in
het kader van het tegengaan van witwassen en corruptie), of die een veilige en integere
bedrijfsvoering dienen of die worden uitgevoerd met het oog op het tegengaan van fraude. De
voorgestelde verwerkingen maken zonder meer inbreuk op het recht van de betrokkene op
bescherming van zijn persoonsgegevens en daarmee op zijn persoonlijke levenssfeer. De
verwerkingen kunnen er voor de betrokkene toe leiden dat hij een bepaalde functie niet krijgt of dat
met hem geen zakelijke relatie wordt aangegaan, of dat jegens hem stappen worden ondernomen
vanwege (een verdenking van) het plegen van fraude. De verwerking van (strafrechtelijke) gegevens
over de betrokkene door PwC kan daarnaast leiden tot reputatieschade of stigmatisering. De AP acht
echter aannemelijk dat de verwerkingen daadwerkelijk een bijdrage kunnen leveren aan de beoogde,
zwaarwegende, doelen, en dat zij op een zodanige wijze zijn ingericht dat de inbreuk op de
persoonlijke levenssfeer van de betrokkenen tot een minimum wordt beperkt. Hierbij overweegt de
AP het volgende.
Beperkte gegevensdeling
29. De inbreuk op de persoonlijke levenssfeer wordt in eerste instantie beperkt door het feit dat de
gegevens die worden verwerkt in het kader van de achtergrondonderzoeken en persoonsgerichte
onderzoeken in beginsel alleen bekend raken bij de opdrachtgever, de medewerkers van PwC die het
onderzoek uitvoeren, en de betrokkene zelf. Er is dus geen sprake van een zwarte lijst, waarbij
persoonsgegevens van strafrechtelijke aard worden gedeeld binnen een grotere groep
verwerkingsverantwoordelijken.
Vertrouwelijkheid van de gegevens
30. Ook binnen PwC wordt de toegang tot de persoonsgegevens beperkt. Toegang tot de dossiers waarin
de (strafrechtelijke) persoonsgegevens zijn opgeslagen is beperkt tot de PwC-medewerkers die aan
de betreffende opdracht werken. Zij zijn in het kader van de uitoefening van hun functie gebonden
aan een geheimhoudingsverplichting. Derden, waaronder andere medewerkers van PwC, kunnen de
dossiers niet inzien. Het openen van dossiers en schrijfacties in bestanden wordt gelogd. Na
afronding van het onderzoek wordt het dossier gearchiveerd en gedurende tien jaar bewaard, omdat
gedurende die termijn tuchtklachten kunnen worden ingediend. Als het dossier door PwC is
gearchiveerd, mag inzage slechts plaatsvinden met toestemming van het Office of the General
Counsel. Deze toestemming wordt slechts gegeven indien er gegronde redenen zijn voor inzage, zoals
een inzageverzoek van een betrokkene of een tuchtklacht tegen de uitvoerend accountant. Verder zal
PwC de persoonsgegevens die worden verwerkt in het kader van een opdracht niet gebruiken voor
andere opdrachten en andere doeleinden, tenzij zij daartoe wettelijk bevoegd of verplicht is.
Beperking inbreuk onderzoeken
31. Ook heeft PwC de gegevensverwerkingen zodanig vorm gegeven dat wordt bewaakt dat de
gegevensverwerkingen niet verder gaan dan noodzakelijk is en dat het onderzoek naar aard, inhoud
en omvang beperkt blijft tot wat nodig is voor de opdracht. PwC vergewist zich er telkens van dat de
klant een gerechtvaardigd belang heeft bij de opdracht waarvoor de verwerking noodzakelijk is, en dat
de rechten, vrijheden en belangen van betrokkenen niet zwaarder wegen. Per opdracht wordt onder
7/20
verantwoordelijkheid van de registeraccountant bepaald welke persoonsgegevens moeten worden
verzameld, waarbij de reikwijdte van de verzameling wordt beperkt door de vraag van de klant, maar
ook door factoren als het risico dat de betrokkene vertolkt, de functie die betrokkene zal gaan
vervullen, en de van toepassing zijnde wettelijke vereisten. PwC zet alleen onderzoeksmethoden in
conform de in het protocol beschreven werkwijze en alleen indien de opdrachtgever daartoe zelf ook
bevoegd zou zijn als hij het onderzoek niet had uitbesteed aan PwC. Er wordt geen gebruik gemaakt
van methoden als afluisteren of heimelijk observeren. De medewerker die een onderzoek uitvoert,
vergewist zich voortdurend van de proportionaliteit van de inzet van onderzoeksmiddelen. PwC
beoordeelt ook telkens of de verwerkte persoonsgegevens daadwerkelijk relevant zijn. Blijken
persoonsgegevens niet relevant te zijn, dan worden zij direct vernietigd of teruggegeven aan de
verstrekker, om te voorkomen dat de persoonsgegevens in het dossier belanden en bewaard blijven.
In het rapport dat naar de klant wordt verstuurd, worden alleen de voor de opdracht relevante feiten
vermeld. Ten slotte zal PwC de persoonsgegevens die worden verwerkt in het kader van een
onderzoek niet (her)gebruiken voor andere opdrachten en andere doeleinden, tenzij zij daartoe
wettelijk bevoegd of verplicht is. Al deze waarborgen dragen er aan bij dat de inbreuk op de
persoonlijke levenssfeer van de betrokkenen wordt beperkt.
Waarborgen ten aanzien van de informatieplicht en transparantie
32. Voor de onderzoeken waar de vergunningaanvraag op ziet, geldt dat de betrokkenen niet altijd direct
zullen worden geïnformeerd over de verwerking van hun gegevens. De AVG staat uitzonderingen op
de informatieplicht toe, bijvoorbeeld als het informeren van de betrokkene de verwezenlijking van de
doeleinden van de verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen.
Dit kan bijvoorbeeld het geval zijn bij persoonsgerichte onderzoeken waarin onderzoek wordt gedaan
naar mogelijke fraude. In het protocol is voorzien in verschillende waarborgen om de risico’s van het
niet informeren van betrokkenen te mitigeren. Ten eerste maakt PwC per geval een
belangenafweging waarbij wordt bepaald of de betrokkene wordt geïnformeerd. Daarbij is relevant of
er de verwachting of gerede kans bestaat dat betrokkenen, indien zij kennis zouden hebben van het
onderzoek, bewijs zouden (kunnen) vernietigen. Ook wegen de aard van de opdracht en de belangen
van de opdrachtgever mee, bijvoorbeeld of het informeren van betrokkenen zou leiden tot het
verstrekken van bedrijfsvertrouwelijke informatie over de opdrachtgever. Waar geen uitzondering op
de informatieplicht van toepassing is, legt PwC aan haar opdrachtgevers op dat betrokkenen worden
geïnformeerd over het feit dat een onderzoek door PwC wordt uitgevoerd, onder verwijzing naar het
privacy statement van PwC en het protocol, dat PwC op haar website publiceert. In het
onderzoeksdossier houdt PwC per opdracht bij 1) of en op welke wijze de betrokkene is geïnformeerd,
2) als de betrokkene niet wordt geïnformeerd, wat daarvoor de reden is, en 3) als betrokkene niet is
geïnformeerd door de opdrachtgever, de beoordeling door PwC of terecht van het informeren van
betrokkene is afgezien. Indien een opdrachtgever zonder geldige reden weigert een betrokkene te
informeren, wordt door PwC de opdracht teruggegeven.
Een andere waarborg betreft de werkwijze bij persoonsgerichte onderzoeken. Bij deze onderzoeken
worden de op de betrokkene betrekking hebbende onderdelen van het conceptrapport in het kader
van hoor en wederhoor ter becommentariëring voorgelegd aan de betrokkene. De reactie van de
betrokkene op het conceptrapport wordt daar waar noodzakelijk rechtstreeks in de tekst verwerkt.
Overige reacties worden zichtbaar in de rapportage opgenomen. De reactie van de betrokkene wordt
8/20
integraal als bijlage bij de rapportage opgenomen. Pas na verwerking van de reactie van de
betrokkene wordt het rapport gefinaliseerd en aan de opdrachtgever verstrekt.
De hier beschreven werkwijze draagt eraan bij dat de persoonlijke levenssfeer van de betrokkenen
niet onevenredig wordt geschaad.
Dossiervorming
33. PwC zorgt ervoor dat van alle onderzoeksopdrachten dossiers worden bijgehouden. In de
onderzoeksdossiers wordt in ieder geval de concrete onderzoeksopdracht (inclusief eventuele
wijzigingen daarin) beschreven, waaronder het beoogde doel van de opdracht en de beoordeling door
PwC van het gerechtvaardigd belang van de klant bij de opdracht. Daarnaast wordt in ieder geval
opgenomen wie of wat de te onderzoeken personen, feiten en/of voorvallen zijn. Ook worden de
gebruikte onderzoeksmethoden en -middelen en de redenen waarom voor een methode of middel is
gekozen, geregistreerd. Het onderzoeksdossier bevat daarnaast de bevindingen van het onderzoek,
inclusief de bronnen van de informatie en de wijze waarop de gegevens zijn verkregen, en informatie
over de wijze waarop PwC is omgegaan met het informeren van betrokkenen.
Deze wijze van dossiervorming vormt een belangrijke waarborg voor de betrokkenen, omdat een
zorgvuldig opgebouwd onderzoeksdossier van belang is om (achteraf) te kunnen nagaan of het
onderzoek is uitgevoerd conform het protocol en de eisen van de AVG, als een betrokkene daarover
vragen heeft.
Beroepsregels en tuchtrecht
34. De onderzoeken worden uitgevoerd onder eindverantwoordelijkheid van een registeraccountant. Op
de onderzoeken is daarom de wet- en regelgeving van toepassing die op accountants(organisaties) van
toepassing is. Hiertoe behoren de Wet toezicht accountantsorganisaties, de Wet op het
accountsberoep, de Wet tuchtrechtspraak accountants en de regelgeving van de Koninklijke
Nederlandse Beroepsorganisatie van Accountants (NBA), waaronder gedrags- en beroepsregels,
verordeningen, nadere voorschriften en overige standaarden. Op grond van de Verordening Gedrags-
en Beroepsregels Accountants is de accountant gehouden zich te houden aan een aantal fundamentele
beginselen en is de accountant voor alle uitgevoerde onderzoeken tuchtrechtelijk verantwoordelijk.
Bij de uitvoering van de persoonsgerichte onderzoeken worden de relevante bepalingen uit de NBA
Handreiking Persoonsgerichte Onderzoeken nageleefd, waaronder het proportionaliteitsbeginsel, het
subsidiariteitsbeginsel en het fair-playbeginsel. Een opdracht kan door PwC worden geweigerd of
teruggegeven als niet aan deze beginselen of overige beginselen of integriteitseisen kan worden
voldaan. De beroepsregels voor accountants met het bijbehorende tuchtrecht, vormen voor de
betrokkenen een extra waarborg voor een zorgvuldige, behoorlijke en proportionele
gegevensverwerking door PwC.
Rechten van betrokkenen, klachten en aansprakelijkheid
35. Op grond van de AVG heeft een betrokkene een aantal rechten die hij kan uitoefenen, waaronder de
rechten op inzage en correctie. PwC heeft deze rechten opgenomen in het protocol dat op de website
van PwC gepubliceerd zal worden. PwC faciliteert de uitoefening van de rechten van betrokkenen
bovendien door het beschikbaar stellen van een formulier op de website van PwC waarmee een
betrokkene gemakkelijk een verzoek kan indienen. In het protocol is ook een klachtregeling
opgenomen, voor het geval een betrokkene van mening is dat het protocol niet is nageleefd of andere
9/20
klachten heeft over de verwerking van zijn persoonsgegevens door PwC. Ook wordt in het protocol
vermeld dat een betrokkene zich met een klacht kan wenden tot de Autoriteit Persoonsgegevens of de
rechter. In het protocol wordt expliciet benoemd dat PwC als verwerkingsverantwoordelijke in de zin
van de AVG in rechte kan worden aangesproken op haar handelen of nalaten, als betrokkenen van
mening zijn dat jegens hen onrechtmatig is gehandeld, en dat PwC zich bij het uitvoeren van de in dit
protocol besproken onderzoeken houdt aan de van toepassing zijnde regelgeving voor accountants. Op
de hier boven beschreven manier faciliteert PwC de betrokkene bij het uitoefenen van zijn rechten en
bij het aankaarten van (mogelijke) onrechtmatigheden in de verwerking van zijn persoonsgegevens,
hetgeen een extra waarborg vormt voor een proportionele gegevensverwerking.
Conclusie proportionaliteit
36. Gelet op de voorgaande overwegingen, acht de AP het voorgestelde middel proportioneel voor de te
bereiken doelen.
Subsidiariteit
37. Een ander onderdeel van de beoordeling of sprake is van een noodzakelijke verwerking, is dat de
verwerking moet voldoen aan het subsidiariteitsbeginsel. Dit houdt in dat het doel van de verwerking
niet op een andere manier te bereiken is die minder nadelig is voor de betrokkene. De AP overweegt in
dit kader het volgende.
38. Organisaties die PwC opdracht geven om een achtergrondonderzoek of persoonsgericht onderzoek te
doen, zouden dit in principe ook zelf kunnen doen. Zij hebben toegang tot dezelfde (open) bronnen als
die PwC gebruikt en het is voorstelbaar dat zij ook zelf vermoedens van fraude binnen hun organisatie
goed zouden kunnen onderzoeken. PwC heeft echter gemotiveerd dat het aan PwC uitbesteden van
deze onderzoeken voor opdrachtgevers noodzakelijk kan zijn, omdat zij niet over de capaciteit en/of
vereiste kennis beschikken om dergelijke onderzoeken zelf uit te kunnen voeren. Zo kan voldoende
kennis over en begrip van relevante wet- en regelgeving en taalvaardigheid in vreemde talen
ontbreken. Als PwC een onderzoek uitvoert, betekent dat voor de betrokkene dat niet alleen de
organisatie met wie hij een bepaalde relatie heeft, maar ook een andere verwerkingsverantwoordelijke
(PwC) kennis neemt van de (strafrechtelijke) gegevens die op hem betrekking hebben. Dit vergroot in
beginsel de inbreuk op zijn persoonlijke levenssfeer. Aan de andere kant kan het uitbesteden van het
onderzoek aan een organisatie zoals PwC vanuit het oogpunt van gegevensbescherming echter
belangrijke voordelen hebben. Dit is in de eerste plaats het geval als de organisatie zelf onvoldoende
kennis, ervaring of capaciteit heeft om het onderzoek goed te kunnen uitvoeren. Maar ook kan worden
aangenomen dat een accountant van PwC geen direct belang heeft bij een bepaalde uitkomst van het
onderzoek, wat ten goede kan komen aan de onafhankelijkheid van het onderzoek. Omdat de
onderzoeken waarvoor een vergunning is gevraagd worden uitgevoerd door of onder
verantwoordelijkheid van een registeraccountant, bieden de wettelijke regulering van het
accountantsberoep, inclusief het toepasselijke tuchtrecht, een extra borging van de kwaliteit en
onafhankelijkheid van de onderzoeken. Een ander voordeel voor de betrokkene kan zijn dat PwC alleen
de voor het onderzoek relevante feiten rapporteert aan de opdrachtgever. Het valt te verwachten dat bij
10/20
het uitvoeren van een onderzoek soms informatie over een betrokkene naar voren komt, die voor het
onderzoek niet relevant is of later niet relevant blijkt te zijn. Deze niet-relevante informatie zal door
PwC niet worden gerapporteerd aan de opdrachtgever. Voor betrokkenen zal de inbreuk doorgaans
kleiner zijn als alleen PwC van deze voor het onderzoek niet-relevante informatie kennisneemt.
Immers, met hun werkgever of zakelijke partner hebben betrokkenen een relatie, waarop deze
informatie invloed kan hebben, bijvoorbeeld als uit de voor het onderzoek geraadpleegde informatie
zou blijken van medische problemen, bepaalde gedragingen in de privésfeer, opvattingen over de
organisatie van de opdrachtgever, etc.
Verder is in het kader van de beoordeling van de subsidiariteit nog het volgende van belang. De
verwerkingen van persoonsgegevens die PwC uitvoert, zullen niet verder gaan dan noodzakelijk is voor
de gerechtvaardigde belangen van de opdrachtgevers en de onderzoeken blijven naar aard, inhoud en
omvang beperkt tot wat nodig is voor de opdracht. PwC zal alleen onderzoeksmethoden inzetten
indien de opdrachtgever daartoe zelf ook bevoegd zou zijn, als hij het onderzoek niet had uitbesteed aan
PwC. Ten slotte voert PwC de onderzoeken alleen uit op initiatief van de opdrachtgever, en zal PwC de
persoonsgegevens die worden verwerkt in het kader van een onderzoek niet (her)gebruiken voor
andere opdrachten en andere doeleinden, tenzij zij daartoe wettelijk bevoegd of verplicht is. Op grond
van deze overwegingen, en de waarborgen die PwC voor het overige in het protocol heeft opgenomen,
acht de AP het aannemelijk dat de doelen van de verwerkingen niet op een andere, voor de betrokkene
minder nadelige wijze, kunnen worden bereikt. Dit betekent dat de verwerkingen waarvoor een
vergunning wordt gevraagd, naar het oordeel van de AP voldoen aan het subsidiariteitsbeginsel.
Conclusie noodzakelijkheid
39. De AP is gelet op voorgaande overwegingen van oordeel dat aannemelijk is dat de voorgenomen
verwerkingen noodzakelijk zijn om de beoogde doelen te bereiken. Dit betekent overigens niet dat
organisaties dit soort onderzoeken naar het oordeel van de AP in alle gevallen beter zouden kunnen
uitbesteden aan een organisatie zoals PwC. Het betekent alleen dat de keuze van organisaties om deze
onderzoeken uit te besteden aan PwC naar het oordeel van de AP een legitieme keuze kan zijn, die niet
in strijd is met de AVG.
5.3 Waarborgen
40. In het hiernavolgende zal worden beoordeeld of in het protocol zodanige waarborgen zijn opgenomen
dat kan worden aangenomen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt
geschaad. Hiertoe wordt beoordeeld of de voorgelegde verwerking voldoet aan de beginselen van
artikel 5 AVG en aan artikel 6 aanhef en lid 1 AVG. Achtereenvolgens worden de beginselen van
rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid,
opslagbeperking, integriteit en vertrouwelijkheid en verantwoordingsplicht besproken.
Rechtmatigheid
41. Op grond van artikel 5 lid 1 aanhef en onder a AVG moeten persoonsgegevens worden verwerkt op een
wijze die ten aanzien van de betrokkene rechtmatig is. Het vereiste van rechtmatigheid van een
verwerking ziet onder andere op de aanwezigheid van een rechtsgeldige grondslag voor de verwerking
11/20
in de zin van artikel 6 lid 1 AVG. Voor de in het protocol geregelde verwerkingen is de grondslag
gelegen in artikel 6 lid 1 aanhef en onder f AVG: noodzakelijk voor de behartiging van de
gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde (kortweg:
gerechtvaardigd belang).
42. Er kan alleen een geslaagd beroep worden gedaan op de grondslag gerechtvaardigd belang als wordt
voldaan aan drie cumulatieve voorwaarden:
1) er is sprake van de behartiging van een gerechtvaardigd belang van de voor de verwerking
verantwoordelijke of van een derde;
2) de verwerking van de persoonsgegevens is noodzakelijk voor de behartiging van het
gerechtvaardigde belang (inclusief de eisen van proportionaliteit en subsidiariteit); en
3) de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene wegen niet
zwaarder dan de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een
derde.
43. De eerste voorwaarde is dat het belang van de verwerkingsverantwoordelijke of van een derde kan
worden gekwalificeerd als gerechtvaardigd. In dit geval vinden de verwerkingen plaats ter behartiging
van de belangen van de opdrachtgevers van PwC. De beoordeling of deze belangen gerechtvaardigd
zijn, wordt afgedekt door de hierboven in paragraaf 5.2.1 reeds opgenomen, zwaardere, toets of sprake
is van een zwaarwegend belang van derden. Aan deze voorwaarde is dan ook voldaan.
44. De tweede voorwaarde waaraan moet zijn voldaan om een geslaagd beroep te kunnen doen op de
grondslag gerechtvaardigd belang, is dat de verwerking van de persoonsgegevens noodzakelijk is voor
de behartiging van het gerechtvaardigde belang en voldoet aan de eisen van proportionaliteit en
subsidiariteit Deze toets komt overeen met de toets die in paragraaf 5.2.2 reeds is beschreven. Ook aan
deze voorwaarde is derhalve voldaan.
45. De derde toets vereist een belangenafweging tussen enerzijds het te behartigen gerechtvaardigde
belang van de opdrachtgevers van PwC en anderzijds de belangen of de grondrechten en fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen. De verwerking is
onrechtmatig indien de laatste belangen zwaarder wegen dan die van de opdrachtgevers van PwC.
46. Zoals hiervoor al is opgemerkt, is door de verwerking van de persoonsgegevens in het kader van de
achtergrondonderzoeken en persoonsgerichte onderzoeken zonder meer sprake van een inbreuk op het
recht van de betrokkenen op bescherming van hun persoonsgegevens. Daarnaast kunnen de
verwerkingen er toe leiden dat de betrokkene een bepaalde functie niet krijgt, of dat met hem geen
zakelijke relatie wordt aangegaan, of dat jegens hem stappen worden ondernomen bijvoorbeeld
vanwege (een verdenking van) het plegen van fraude. De verwerking van (strafrechtelijke) gegevens
over de betrokkene door PwC kan ook leiden tot reputatieschade of stigmatisering. Tegenover deze
inbreuk op de rechten van betrokkene, staan de belangen van de opdrachtgevers van PwC. Zoals
hiervoor al is beschreven, gaat het daarbij om het belang van de opdrachtgevers om te voldoen aan
wettelijke verplichtingen op grond van internationale en nationale wetgeving (onder andere in het
kader van bestrijding van witwassen en corruptie), het belang bij een veilige en integere bedrijfsvoering
en het belang van het tegengaan van fraude binnen de organisatie.
47. Met PwC is de AP van oordeel dat de belangen van de opdrachtgevers van PwC hier zwaarder wegen
dan de belangen van de betrokkenen naar wie een onderzoek wordt uitgevoerd. Daarbij neemt de AP in
12/20
aanmerking dat PwC verschillende maatregelen heeft genomen om ervoor te zorgen dat de schending
van de belangen van de betrokkene tot een minimum wordt beperkt. Deze maatregelen zijn deels al aan
bod gekomen bij de beoordeling van de proportionaliteit van de verwerking (paragraaf 5.2.2) en zullen
verder in het hiernavolgende nog worden besproken.
Behalve de getroffen maatregelen is bij deze belangenafweging ook van belang in hoeverre de
betrokkenen redelijkerwijs kunnen verwachten dat deze gegevensverwerkingen plaatsvinden. In dat
kader overweegt de AP dat het (laten) uitvoeren van (achtergrond)onderzoeken naar (toekomstige)
medewerkers, voordat zij een bepaalde functie gaan bekleden binnen een organisatie, een
maatschappelijk bekend verschijnsel is, zeker bij functies waarbij de integriteit van de medewerker van
groot belang is. Dit geldt ook voor het (laten) onderzoeken van (toekomstige) zakelijke relaties in het
kader van een veilige en integere bedrijfsvoering. Voor het (laten) onderzoeken van (toekomstige)
medewerkers en zakenrelaties gelden bovendien in bepaalde gevallen wettelijke verplichtingen,
bijvoorbeeld in het kader van de bestrijding van corruptie of witwassen. Eveneens is algemeen bekend
en maatschappelijk aanvaard, dat organisaties die vermoeden of weten dat er fraude wordt gepleegd
binnen hun organisatie, daartegen optreden teneinde de fraude te bestrijden en eventueel schade te
verhalen. Betrokkenen kunnen dus redelijkerwijs verwachten dat bij (vermoedens van) fraude
onderzoek wordt gedaan, waarbij ook hun gegevens kunnen zijn betrokken. Voor de onderzoeken geldt
bovendien dat de betrokkene moet worden geïnformeerd over de gegevensverwerkingen, tenzij op
grond van de AVG sprake is van een uitzondering op de informatieplicht. Bij het informeren van de
betrokkene wordt gemeld dat PwC de onderzoeken zal uitvoeren, waarbij de opdrachtgever de
betrokkene verwijst naar het protocol van PwC waarin de gegevensverwerkingen zijn beschreven.
Dat de onderzoeken niet worden uitgevoerd door de organisatie zelf, maar door een derde, daartoe
deskundige partij, zoals PwC, kunnen betrokkenen naar het oordeel van de AP redelijkerwijs
verwachten. Goed onderzoek vereist expertise en PwC heeft aangegeven dat de opdrachtgevers niet
altijd beschikken over de daartoe benodigde expertise, zoals begrip van relevante wet- en regelgeving
en taalvaardigheid in vreemde talen. Het is gezien de benodigde expertise niet vreemd dat een
organisatie dit soort onderzoeken uitbesteedt aan een deskundige en onafhankelijke partij.
De AP is dan ook van oordeel dat de belangen van de opdrachtgevers van PwC hier zwaarder wegen dan
de belangen van de betrokkenen naar wie een onderzoek wordt uitgevoerd.
48. De AP is op grond van hetgeen hiervoor is overwogen (randnummers 42-47) van oordeel dat PwC een
geslaagd beroep kan doen op de grondslag gerechtvaardigd belang. De voorgenomen verwerkingen
voldoen daarmee aan de eis van rechtmatigheid (artikel 5 lid 1 aanhef en onder a AVG).
Behoorlijk
49. Op grond van artikel 5 lid 1 aanhef en onder a AVG moeten persoonsgegevens worden verwerkt op een
wijze die ten aanzien van de betrokkene behoorlijk is. In dit kader overweegt de AP als volgt.
50. In het protocol is opgenomen dat PwC de persoonsgegevens zal verwerken volgens dit protocol, op
behoorlijke en zorgvuldige wijze, en op een wijze die ten aanzien van de betrokkene rechtmatig,
behoorlijk en transparant is. PwC zal niet op onrechtmatige wijze persoonsgegevens vergaren. De
onderzoeksmethoden zullen conform de in dit protocol beschreven werkwijze worden ingezet, en
alleen indien de opdrachtgever daartoe zelf ook bevoegd zou zijn als hij het onderzoek niet had
uitbesteed aan PwC. PwC maakt voor de onderzoeken geen gebruik van methoden als afluisteren of
heimelijk observeren.
13/20
51. Daarnaast is van belang dat de onderzoeken worden uitgevoerd onder eindverantwoordelijkheid van
een registeraccountant, waardoor op de onderzoeken de beroepsregels voor accountants van
toepassing zijn. Dit betekent onder meer dat op de onderzoeken de Verordening Gedrags- en
Beroepsregels Accountants van toepassing is. Hierdoor is de accountant voor alle uitgevoerde
onderzoeken ook tuchtrechtelijk verantwoordelijk. De regelgeving voor accountants en het tuchtrecht
vormen een extra waarborg voor een zorgvuldige gegevensverwerking door PwC.
52. Op het uitvoeren van persoonsgerichte onderzoeken, en op achtergrondonderzoeken die worden
uitgevoerd in het kader van persoonsgerichte onderzoeken, is daarnaast de NBA Handreiking
Persoonsgerichte onderzoeken (1112 - 6 oktober 2010) van de Koninklijke Nederlandse
Beroepsorganisatie van Accountants (NBA) van toepassing. De regelgeving beoogt de kwaliteit van de
dienstverlening van accountants op dit terrein te vergroten, en de mogelijk negatieve impact van
persoonsgerichte onderzoeken op betrokkenen te beperken. Bij de uitvoering van ieder
persoonsgericht onderzoek worden de relevante bepalingen uit de NBA Handreiking Persoonsgerichte
Onderzoeken nageleefd, waaronder het proportionaliteitsbeginsel, het subsidiariteitsbeginsel en het
fair-playbeginsel in algemene zin. Dit betekent dat een onderzoeksmethode wordt gekozen die in
redelijke verhouding staat tot het doel van de opdracht en zo min mogelijk bezwarend is voor
betrokkenen en derden, waarbij geen gebruik zal worden gemaakt van bedrog, listen, trucs of valse
beloften. Een opdracht kan door PwC worden geweigerd of teruggegeven als niet aan deze beginselen
of overige beginselen of integriteitseisen kan worden voldaan.
53. Verder is van belang dat de in het protocol beschreven onderzoeken alleen worden uitgevoerd na een
opdracht daartoe van een opdrachtgever. PwC zal de persoonsgegevens die worden verwerkt in het
kader van een onderzoek daarnaast niet (her)gebruiken voor andere opdrachten en andere doeleinden,
tenzij zij daartoe wettelijk bevoegd of verplicht is.
54. Ten slotte is in het protocol expliciet opgenomen dat PwC als verwerkingsverantwoordelijke in de zin
van de AVG in rechte kan worden aangesproken op haar handelen of nalaten, als een betrokkene van
mening is dat jegens hem onrechtmatig is gehandeld.
55. Gelet op het hierboven beschrevene, is de AP van oordeel dat in het protocol voldoende waarborgen
zijn getroffen om de voorgelegde verwerking te laten voldoen aan de eis van behoorlijkheid (artikel 5 lid
1 aanhef en onder a AVG).
Transparantie
56. Op grond van artikel 5 lid 1 aanhef en onder a AVG moeten persoonsgegevens worden verwerkt op een
wijze die ten aanzien van de betrokkene transparant is.
57. Bij de voorgelegde verwerking is op verschillende manieren invulling gegeven aan het beginsel van
transparantie. Ten eerste zijn de gegevensverwerkingen in het protocol zodanig duidelijk beschreven
en uitgewerkt, dat een betrokkene zich een goed beeld kan vormen van de manier waarop zijn
persoonsgegevens kunnen worden verwerkt.
58. Daarnaast is in het protocol ruim aandacht besteed aan de uitvoering van de informatieplicht. In het
protocol is opgenomen dat betrokkenen worden geïnformeerd over het onderzoek, tenzij sprake is van
een in de AVG of UAVG geregelde uitzondering op de informatieplicht. Het informeren van
betrokkenen gebeurt in beginsel door de opdrachtgever. Zo wordt een betrokkene door de (potentiële)
14/20
werkgever vooraf geïnformeerd als deze een pre-employment screening door PwC laat uitvoeren. PwC
legt aan haar opdrachtgevers op dat als zij een betrokkene informeren over het feit dat een onderzoek
door PwC wordt uitgevoerd, zij de betrokkene daarbij verwijzen naar het privacy statement van PwC en
het protocol, dat PwC op haar website publiceert. Op deze manier raken betrokkenen op de hoogte van
het onderzoek en hebben zij toegang tot de relevante informatie daarover, inclusief de manier waarop
zij hun rechten kunnen uitoefenen. PwC houdt de naleving van de informatieplicht zorgvuldig in het
oog. In het onderzoeksdossier wordt over de informatieplicht opgenomen 1) of en op welke wijze de
betrokkene is geïnformeerd, 2) als de betrokkene niet wordt geïnformeerd, wat daarvoor de reden is en
3) als betrokkene niet is geïnformeerd door de opdrachtgever, de beoordeling door PwC of terecht van
het informeren van betrokkene is afgezien. Het controleren en registreren door PwC van de naleving
van de informatieplicht vormt een extra waarborg om te zorgen voor voldoende transparantie. Een
andere extra waarborg is dat PwC een opdracht teruggeeft als een opdrachtgever zonder geldige reden
weigert een betrokkene te informeren.
59. Voor de persoonsgerichte onderzoeken geldt dat de op de betrokkene betrekking hebbende onderdelen
van het conceptrapport in het kader van hoor en wederhoor ter becommentariëring aan de betrokkene
worden voorgelegd. De reactie van de betrokkene op het conceptrapport wordt daar waar noodzakelijk
rechtstreeks in de tekst verwerkt. Overige reacties van de betrokkene worden zichtbaar in de
rapportage opgenomen. De reactie van betrokkene wordt daarnaast integraal als bijlage bij de
rapportage opgenomen. Het toepassen van hoor en wederhoor, en de verslaglegging daarvan, dragen in
belangrijke mate bij aan de transparantie van de gegevensverwerkingen die plaatsvinden in het kader
van de persoonsgerichte onderzoeken.
60. Gelet op het hierboven beschrevene, voldoet de voorgelegde verwerking in voldoende mate aan de eis
van transparantie (artikel 5 lid 1aanhef en onder a AVG).
Doelbinding
61. Het beginsel van doelbinding betekent dat persoonsgegevens voor welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde doeleinden moeten worden verzameld, en vervolgens niet verder
mogen worden verwerkt op een met die doeleinden onverenigbare wijze (artikel 5 lid 1 aanhef en onder
b AVG).
62. PwC heeft in het protocol uitgewerkt voor welke doeleinden zij de persoonsgegevens wil verwerken.
Zoals hiervoor al beschreven, gaat het om het verwerken van (strafrechtelijke) persoonsgegevens ten
behoeve van twee typen onderzoek: achtergrondonderzoeken en persoonsgerichte onderzoeken. Bij
achtergrondonderzoeken worden nagegaan of een persoon in bepaalde open bronnen voorkomt. Bij
persoonsgerichte onderzoeken wordt onderzoek gedaan naar het functioneren, handelen of nalaten van
een (rechts)persoon. Daarnaast kan een persoonsgericht onderzoek ook een achtergrondonderzoek
omvatten. PwC zet alleen onderzoeksmethoden in conform de in het protocol beschreven werkwijze en
zet deze onderzoeksmethoden alleen in, indien de opdrachtgever daartoe zelf ook bevoegd zou zijn, als
hij het onderzoek niet had uitbesteed aan PwC. De onderzoeken worden telkens uitgevoerd ter
behartiging van de zwaarwegende belangen van de opdrachtgevers van PwC. Zoals hiervoor reeds
beschreven, zien de belangen van de opdrachtgevers van PwC op het nakomen van wettelijke
verplichtingen (bijvoorbeeld gericht op de bestrijding van corruptie en witwassen of wetgeving op
grond waarvan de identiteit en integriteit van personen werkzaam in bepaalde (gevoelige) functies
dienen te worden gecontroleerd), op een veilige en integere bedrijfsvoering, en op het tegengaan van
15/20
fraude. Deze doeleinden zijn gerechtvaardigde doeleinden en met de beschrijving in het protocol wordt
voldaan aan de eis dat de doeleinden van de verwerking welbepaald zijn en uitdrukkelijk omschreven.
63. Bij achtergrondonderzoeken selecteert PwC op basis van de vraag en specifieke omstandigheden van
de opdracht, welke (open) bronnen worden geraadpleegd (o.a. internet, kamer van koophandel,
kadaster, compliance en sanctiedatabases). Ook bij persoonsgerichte onderzoeken voert PwC
werkzaamheden uit waarvan de aard, diepgang en samenstelling afhankelijk is van de onderzoeksvraag
en –omstandigheden. Voor beide typen onderzoek geldt dat PwC een dossier aanlegt waarin de vraag,
eventuele specifieke omstandigheden van de opdracht en (slechts) de gevonden relevante informatie
worden opgeslagen. In het rapport dat naar de klant wordt verstuurd worden alleen de voor de vraag
relevante feiten vermeld. PwC gebruikt de persoonsgegevens die worden verwerkt in het kader van een
opdracht niet voor andere opdrachten en andere doeleinden, tenzij zij daartoe wettelijk bevoegd of
verplicht is. Deze werkwijze is zodanig ingericht dat de persoonsgegevens niet verder zullen worden
verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor de gegevens zijn verzameld.
64. Op grond van het bovenstaande is de AP van oordeel dat de voorgenomen verwerking voldoet aan het
beginsel van doelbinding (artikel 5 lid 1 aanhef en onder b AVG).
Minimale gegevensverwerking
65. Persoonsgegevens moeten op grond van het beginsel van minimale gegevensbescherming toereikend,
ter zake dienend zijn en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden
verwerkt (artikel 5 lid 1 aanhef en onder c AVG).
66. In het protocol is op meerdere onderdelen invulling gegeven aan dit beginsel. Zo is opgenomen dat
PwC er voor zorgt dat persoonsgegevens voor onderzoeken slechts worden verwerkt voor zover zij,
gelet op de doeleinden waarvoor zij worden verwerkt, toereikend, ter zake dienend en niet bovenmatig
zijn. Het onderzoek blijft naar aard, inhoud en omvang beperkt tot wat nodig is voor de opdracht. Per
opdracht wordt onder verantwoordelijkheid van de registeraccountant bepaald welke
persoonsgegevens moeten worden verzameld, waarbij de reikwijdte van de verzameling wordt beperkt
door de vraag van de klant, maar ook door factoren als het risico dat de betrokkene vertolkt, de functie
die betrokkene zal gaan vervullen, en de van toepassing zijnde wettelijke vereisten voor het achterhalen
van bepaalde informatie. In het onderzoeksdossier wordt alleen relevante informatie opgeslagen. PwC
beoordeelt telkens of de persoonsgegevens daadwerkelijk relevant zijn. Blijken persoonsgegevens niet
relevant te zijn, dan worden zij direct vernietigd of teruggegeven aan de verstrekker, om te voorkomen
dat de persoonsgegevens in het dossier belanden en bewaard blijven. In het rapport dat PwC aan de
opdrachtgever verstrekt, staan alleen de voor de vraag relevante feiten vermeld. Er wordt geen
aanvullende informatie verzameld en er vindt geen profilering plaats door PwC. In het protocol staat
opgenomen welke soorten persoonsgegevens in het meest uitgebreide onderzoek worden verwerkt. In
beginsel worden niet méér soorten persoonsgegevens verwerkt bij de onderzoeken dan die in het
protocol staan opgesomd.
67. Op grond van het bovenstaande is de AP van oordeel dat in het protocol voldoende waarborgen worden
getroffen om te voldoen aan het beginsel van minimale gegevensbescherming (artikel 5 lid 1 aanhef en
onder c AVG).
16/20
Juistheid
68. Persoonsgegevens moeten op grond van het juistheidbeginsel juist zijn en zo nodig worden
geactualiseerd. Alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die,
gelet op de doeleinden waarvoor ze worden verwerkt, onjuist zijn, onverwijld te wissen en te
rectificeren (artikel 5 lid 1 aanhef en onder d AVG). Uit het protocol blijkt dat PwC verschillende
waarborgen treft om te borgen dat de persoonsgegevens die worden verwerkt zoveel mogelijk juist zijn.
69. Bij achtergrondonderzoeken stelt een PwC-medewerker een rapport op waarin feitelijk verslag wordt
gedaan van de gevonden relevante informatie. De gegevens uit de geraadpleegde bronnen worden, voor
zover relevant, feitelijk overgenomen, met bronvermelding, zonder dat hierover een mening wordt
gevormd of een conclusie wordt getrokken. Een tweede PwC-medewerker, zijnde een
registeraccountant, controleert het rapport aan de hand van het dossier. Het rapport wordt pas
doorgestuurd naar de klant als alle onderzoekswerkzaamheden zijn afgerond. De opdrachtgever vormt
zelf een oordeel op basis van het rapport.
70. De werkzaamheden die PwC uitvoert bij persoonsgerichte onderzoeken, worden qua aard, diepgang en
samenstelling afgestemd op de onderzoeksvraag en –omstandigheden. PwC-medewerkers kunnen
bijvoorbeeld financiële analyses uitvoeren, betrokkenen interviewen of een documentenreview
uitvoeren. Ook kan onderzoek worden gedaan in open bronnen (een achtergrondonderzoek). Op basis
van het totale onderzoeksdossier stelt een PwC-medewerker een conceptrapport van relevante
feitelijke bevindingen op, waar de uitkomsten van het open bronnenonderzoek deel van uit kunnen
maken. Een tweede PwC-medewerker, zijnde een registeraccountant, controleert het conceptrapport
aan de hand van het dossier. De op de betrokkene betrekking hebbende onderdelen van het
conceptrapport worden in het kader van hoor en wederhoor ter becommentariëring aan de betrokkene
voorgelegd. De reactie van de betrokkene op het conceptrapport wordt daar waar noodzakelijk
rechtstreeks in de tekst verwerkt. Overige reacties worden zichtbaar in de rapportage opgenomen. De
reactie van betrokkene wordt integraal als bijlage bij de rapportage opgenomen. Pas na het verwerken
van de reactie van de betrokkene wordt het conceptrapport gefinaliseerd. Het finale rapport wordt aan
de opdrachtgever verstrekt. Deze vormt zelf een oordeel op basis van het rapport.
71. Bij het verwerken van de persoonsgegevens wordt door PwC rekening gehouden met de
betrouwbaarheid van de geraadpleegde bronnen. Waar nodig en mogelijk worden gegevens dubbel
gecheckt. Persoonsgegevens die irrelevant, onjuist of verouderd zijn, worden niet opgeslagen of worden
gewist, tenzij dergelijke persoonsgegevens moeten worden bewaard krachtens een toepasselijke
bewaartermijn. In het onderzoeksdossier wordt de onderzoeksperiode vermeld.
72. De betrokkene heeft op grond van de AVG het recht om te verzoeken dat persoonsgegevens worden
gewijzigd of gerectificeerd wanneer deze onjuist zijn, en om te verzoeken dat onvolledige
persoonsgegevens worden aangevuld. PwC heeft hiervoor een webformulier ontwikkeld, waarmee de
betrokkene eenvoudig zijn rechten kan uitoefenen. In het protocol is opgenomen dat PwC, indien zij op
de hoogte raakt van het feit dat de door haar verwerkte persoonsgegevens niet langer juist zijn, op basis
van de informatie van de betrokkene de persoonsgegevens zal rectificeren, behoudens wettelijke
uitzonderingsgronden.
73. Op basis van het bovenstaande is de AP van oordeel dat PwC voldoende waarborgen heeft getroffen om
te voldoen aan het juistheidsbeginsel (artikel 5 lid 1 aanhef en onder c AVG).
17/20
Opslagbeperking
74. Persoonsgegevens dienen te worden verwerkt in overeenstemming met het beginsel van
opslagbeperking, zoals neergelegd in artikel 5 lid 1 aanhef en onder e AVG. Dit houdt in dat
persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk.
75. In het protocol is opgenomen dat persoonsgegevens die irrelevant, onjuist of verouderd zijn, niet
worden opgeslagen of worden gewist, tenzij dergelijke persoonsgegevens moeten worden bewaard
krachtens een toepasselijke bewaartermijn. De onderzoeksdossiers worden door PwC tien jaar
gearchiveerd bewaard, dit in verband met (de indieningstermijn voor) tuchtrechtelijke klachten.
Daarna wordt het dossier verwijderd.
76. De AP is van oordeel dat met de bewaartermijn van 10 jaar, die is gebaseerd op de indieningstermijn
voor tuchtrechtelijke klachten, wordt voldaan aan het beginsel van opslagbeperking (artikel 5 lid 1
aanhef en onder e AVG).
Integriteit en vertrouwelijkheid
77. Persoonsgegevens moeten door het nemen van technische of organisatorische maatregelen op een
dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder
meer beschermd zijn tegen ongeoorloofde en onrechtmatige verwerking en tegen onopzettelijk verlies,
vernietiging of beschadiging (artikel 5 lid 1 aanhef en onder f AVG).
78. In het protocol is opgenomen dat PwC passende technische en organisatorische maatregelen neemt
om persoonsgegevens te beveiligen tegen verlies en andere onrechtmatige verwerkingen. Dossiers
worden bewaard op de systemen van PwC, waarvoor het PwC securitybeleid geldt. Voor het versturen
van gegevens aan klanten worden tools en systemen van PwC gebruikt waarmee een veilige transfer
kan plaatsvinden. Toegang tot de dossiers waarin de (strafrechtelijke) persoonsgegevens zijn
opgeslagen is beperkt tot de PwC-medewerkers die aan de desbetreffende opdracht werken. Zij zijn in
het kader van de uitoefening van hun functie gebonden aan een geheimhoudingsverplichting. Derden,
waaronder andere medewerkers, kunnen de dossiers niet inzien. Het openen van dossiers en
schrijfacties in bestanden wordt gelogd. De onderzoeksdossiers worden door PwC tien jaar
gearchiveerd bewaard, in verband met de indieningstermijn voor tuchtrechtelijke klachten, en daarna
verwijderd. Nadat het dossier is gearchiveerd, mag inzage slechts plaatsvinden met toestemming van
het Office of the General Counsel. Deze toestemming wordt slechts gegeven indien hier gegronde
redenen voor zijn, zoals een inzageverzoek van een betrokkene of een tuchtklacht tegen de uitvoerend
accountant.
79. Op de accountants van PwC is ook de Verordening Gedrags- en Beroepsregels Accountants van
toepassing. Op grond van deze verordening moet de accountant zich houden aan een aantal
fundamentele beginselen, waarvan het vertrouwelijkheidsbeginsel van groot belang is. Hieronder
wordt verstaan dat de accountant die de beschikking krijgt over gegevens of inlichtingen waarvan hij
het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden, verplicht is tot geheimhouding van
die gegevens of inlichtingen, behoudens een vijftal uitzonderingen die in het protocol zijn opgenomen.
80. Mede gelet op het bovenstaande is de AP van oordeel dat de voorgelegde verwerking in voldoende
mate voldoet aan de eisen van integriteit en vertrouwelijkheid van persoonsgegevens (artikel 5 lid 1
aanhef en onder f AVG).
18/20
Verantwoordingsplicht (accountability)
81. Artikel 5 lid 2 AVG bepaalt dat de verwerkingsverantwoordelijke moet kunnen aantonen dat hij de
hierboven beschreven beginselen van artikel 5 lid 1 AVG naleeft.
82. PwC legt voor alle onderzoeken die worden uitgevoerd een dossier aan. In het onderzoeksdossier wordt
de concrete onderzoeksopdracht en het beoogde doel van de opdracht beschreven. Ook eventuele
wijzigingen daarin worden in het onderzoeksdossier opgenomen. In het dossier wordt ook de
beoordeling door PwC van het gerechtvaardigd belang van de opdrachtgever opgenomen. Daarnaast
wordt in ieder geval opgenomen wie of wat de te onderzoeken personen, feiten en/of voorvallen zijn.
Ook worden de gebruikte onderzoeksmethoden en -middelen en de redenen waarom voor een
methode of middel is gekozen, geregistreerd. Het onderzoeksdossier bevat daarnaast de bevindingen
van het onderzoek, inclusief de bronnen van de informatie en de wijze waarop de gegevens zijn
verkregen. In het dossier wordt tevens opgenomen of en op welke wijze de betrokkene is geïnformeerd.
Als de betrokkene niet wordt geïnformeerd, wordt in het dossier de reden voor het niet-informeren
opgenomen alsook de beoordeling door PwC of terecht van het informeren van betrokkene is afgezien.
83. Deze documentatie stelt zowel de betrokkene, de rechter als de toezichthoudende autoriteit in staat te
beoordelen of de juiste afwegingen zijn gemaakt. Gelet op het voorgaande is de AP van oordeel dat in
het protocol voldoende waarborgen zijn opgenomen om aan de verantwoordingsplicht te voldoen.
Conclusie waarborgen
84. Op grond van het bovenstaande is de AP van oordeel dat in zodanige waarborgen is voorzien dat kan
worden aangenomen dat de persoonlijke levenssfeer van de betrokkenen niet onevenredig wordt
geschaad bij het uitvoeren van de gegevensverwerkingen waarvoor PwC een vergunning vraagt.
5.4 Beoordeling: conclusie
85. In deze paragraaf is besproken dat bij het uitvoeren van de onderzoeken waarvoor PwC een vergunning
vraagt, sprake is van verwerking van persoonsgegevens van strafrechtelijke aard (paragraaf 5.1).
Vervolgens zijn de voorgenomen verwerkingen getoetst aan artikel 33 lid 5 UAVG. Hierbij is
geoordeeld dat sprake is van zwaarwegende belangen (paragraaf 5.2.1), dat de verwerking noodzakelijk
is (paragraaf 5.2.2) en dat in zodanige waarborgen is voorzien dat de persoonlijke levenssfeer van de
betrokkenen niet onevenredig wordt geschaad (paragraaf 5.3).
6. Besluit
86. PricewaterhouseCoopers Advisory N.V. heeft een vergunning gevraagd voor het uitvoeren van
achtergrondonderzoeken en persoonsgerichte onderzoeken waarbij tevens persoonsgegevens van
strafrechtelijke aard worden verwerkt ten behoeve van derden.
87. De voorgenomen verwerkingen voldoen naar het oordeel van de AP aan de beginselen genoemd in
artikel 5 AVG, aan het bepaalde in artikel 6 lid 1 aanhef en onder f AVG en aan de eisen van artikel 33 lid
5 UAVG. Dit betekent dat een vergunning kan worden verleend.
19/20
88. De AP wijst de aanvraag om verlening van een vergunning voor de verwerking van persoonsgegevens
van strafrechtelijke aard ten behoeve van derden daarom op grond van artikel 33 lid 4 onder c en artikel
33 lid 5 UAVG toe. De AP verbindt daaraan de hieronder in paragraaf 7 opgenomen voorwaarden.
89. Dit besluit laat onverlet dat klachten of andere informatie over de verwerking er toe kunnen leiden dat
de AP nadere inlichtingen inwint of een onderzoek start, en op grond daarvan verlangt dat de
verwerking wordt aangepast, dan wel de vergunning intrekt.
7. Voorwaarden
90. De vergunning wordt verleend met inachtneming van de volgende voorwaarden:
1. De vergunning wordt toegekend voor de periode van 5 jaar. Na afloop van deze termijn komt de
vergunning van rechtswege te vervallen.
2. PricewaterhouseCoopers Advisory N.V. dient voorgenomen wijzigingen van het protocol, of
voorgenomen wijzigingen in de gegevensverwerking die van invloed zijn op hetgeen in het
protocol staat beschreven, vooraf te melden bij de AP. De AP zal dan beoordelen of voor de
voorgenomen wijzigingen een nieuw vergunningaanvraag nodig is. Als een nieuwe
vergunningaanvraag wordt ingediend, zal de AP besluiten of voor de gewijzigde verwerking een
vergunning kan worden verleend.
8. Afsluiting en rechtsmiddel
91. Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit ingevolge de Algemene wet bestuursrecht een bezwaarschrift indienen bij de Autoriteit
Persoonsgegevens. U kunt een bezwaarschrift indienen per post door deze te zenden naar Postbus
93374, 2509 AJ Den Haag, onder vermelding van “Awb-bezwaar” op de envelop. U kunt ook een
digitaal bezwaarschrift indienen, zie www.autoriteitpersoonsgegevens.nl. onder het kopje “Bezwaar
maken tegen een besluit”. Het indienen van een bezwaarschrift schort de werking van dit besluit niet
op.
Den Haag, 16 augustus 2022,
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
Ir. C.M. Schut
Directeur Systeemtoezicht, Beveiliging en Technologie
20/20