De cloud en dossiervoering: 5 spelregels voor accountants

Wanneer een kantoor besluit om data op te slaan in de cloud, wordt er uiteraard over de dataveiligheid nagedacht. Er zijn echter meer facetten waarover van tevoren moet worden nagedacht. Denk aan autorisatie, samenhang met processen, de AVG, bewaartermijnen en de gedrags- en beroepsregels. In dit blog lees je daar meer over.

Gedrags- en beroepsregels

‘Het dossier’ is een veelbesproken onderwerp als het aankomt op de maatregelen die we nemen om te kunnen voldoen aan de gedrags- en beroepsregels. Daarbij wordt in de basis de regel gehanteerd dat een dossier zelfstandig leesbaar moet zijn. In de toetsingspraktijk betekent dit dat, op het moment van toetsing, het dossier toegankelijk moet zijn en er vanuit een controleerbare structuur (audit trail) verwijzingen zijn naar fysieke of digitale locaties waar zich een document bevindt. Het is daarbij niet nodig dat een samenstel- of controledossier zich in één systeem bevindt. Meerdere locaties en mappen is mogelijk, zolang het maar toegankelijk is en aantoonbaar (door middel van verwijzing) onderdeel is van het dossier. Andersom geldt dit ook. Maak duidelijk dat de bestandslocatie (mappen) het samensteldossier betreft en tag de daarin opgenomen documenten in relatie tot de audit trail, het boekjaar, de periode en de documentstatus.

Een belangrijk aspect om ook rekening mee te houden op het gebied van de cloud, is dat er een vorm van digitale afsluiting mogelijk is na afronding van het dossier. Een dossier met betrekking tot een boekjaar of periode zou ‘gelocked’ moeten kunnen worden, of er moet kunnen worden aangetoond dat een dossier, na afgifte van de accountantsverklaring, niet meer gewijzigd kan worden. In de praktijk zien we dat dit, zeker in het geval van toepassing van niet aan het proces gebonden bestandslocaties, niet goed of geautomatiseerd mogelijk is.

AVG

De Autoriteit Persoonsgegevens stelt twee voorwaarden aan de opslag van gegevens:

1. Er moet moderne techniek gebruikt worden om persoonsgegevens op te slaan. In deze bepaling is veilige techniek impliciet.
2. Een organisatie moet selectief omgaan met de toegang tot persoonsgegevens. Niet meer medewerkers dan strikt noodzakelijk mogen toegang hebben.

In de praktijk zien we dat veel organisaties die beginnen met Mijn Kantoor data hebben opgeslagen op harde schijven, gedeelde RDP-schijven of in e-mails. Dat zijn zeer risicovolle plaatsen om data op te slaan. Er is vaak geen goede beveiliging aanwezig, de toegankelijkheid is verspreid over medewerkers en er is geen controle mogelijk op verwijdering van data.

Een goede en veilige bewaarplek is dus van groot belang. Sla je gegevens op waar anderen er makkelijk toegang tot hebben, dan is de kans op een datalek veel groter. Zorg daarom bij medewerkers voor autorisatie in het systeem dat je gebruikt en pas logische toegangsbeveiliging toe, bij voorkeur in combinatie met tweefactor authenticatie. Hierdoor weet je zeker dat degene die inlogt inderdaad de persoon is die je hebt geautoriseerd.

Binnen Mijn Kantoor hebben alleen die medewerkers toegang tot het dossier, die daadwerkelijk onderdeel zijn van het klantteam. Hebben ze geen rol, dan is er ook geen toegang tot het dossier. Per map bepaalt het kantoor of de daarin opgenomen documenten worden ontsloten naar een (geautoriseerde) client. Medewerkers hebben per map altijd inzicht in welke mappen voor de klant toegankelijk zijn.

Bewaartermijnen

In de AVG staan geen concrete bewaartermijnen voor persoonsgegevens. Wel kunnen die gebaseerd zijn op een ander wetsartikel of op een onderdeel van het vrijstellingsbesluit van de voorganger van de AVG.

Een overzicht van documenten met persoonsgegevens waarvoor een concrete termijn wordt gehanteerd in wetten en regelingen:

• Facturen en financiële administratie, 7 jaar (artikel 52 AWR)
• Overheidsarchieven, bewaartermijn varieert (Archiefwet 1995)
• Loonbelastingverklaringen en kopie paspoort, 5 jaar na uitdiensttreding (artikel 66, lid 4, Uitvoeringsregeling LB)
• Salarisafspraken en arbeidsvoorwaarden, tot 7 jaar na uitdiensttreding (artikel 52 AWR)
• Subsidie administraties, 10 jaar (artikel 4:69 AWB)

Het is belangrijk om, in het kader van het naar de cloud brengen van data, een systeem te hanteren dat per documentsoort is opgebouwd en een goede logging bijhoudt van de datum, het boekjaar en de betreffende periode. Zo kan na het aflopen van de bewaartermijn op automatische of handmatige wijze tot vernietiging worden overgegaan. Niet als een doel op zich, maar met als doel om de kans op datalekken te verkleinen door niet noodzakelijke informatie te verwijderen.

Anonimiseren of vernietigen van data

In de fase waarbij je persoonsgegevens niet meer nodig hebt, zijn er twee opties: anonimiseren of vernietigen. De belangrijkste eis bij het vernietigen van persoonsgegevens is dat dit onder controle van het bedrijf gebeurt. Dit valt namelijk onder de noemer ‘verwerking’. Denk bij vernietiging of anonimisering ook aan het verzoek dat je kunt ontvangen van een (ex-) client. Elke persoon heeft namelijk het recht om vergeten te worden en kan een daartoe luidend verzoek doen.

Het gebruik van data en bestanden door een accountants- of administratiekantoor kent drie fasen:

• Gebruiksfase: hierin heb je de gegevens daadwerkelijk nodig. Denk aan het administratieve dossier van een client tijdens de periode dat hij/zij client is.
• Archieffase: de gegevens zien niet meer actief nodig, maar moeten opgevraagd kunnen worden of zijn onderhevig aan een wettelijke bewaartermijn.
• Anonimisering- of vernietigingsfase: er is geen noodzaak meer voor het bewaren van de persoonsgegevens. In deze fase moeten de gegevens geanonimiseerd of vernietigd worden.

Voor het vernietigen of anonimiseren is het plezierig als de software daarbij ondersteunt en per documenttype de bewaartermijnen kan onthouden, in bulk kan vernietigen en desgewenst kan anonimiseren of versleutelen als de data voor statistische doeleinden nuttig is om te behouden.

Uiteindelijk geldt voor het bepalen van bewaartermijnen hetzelfde mantra als voor de rest van de AVG. Maak een duidelijke en goede afweging tussen de belangen van het bedrijf en degene van wie de persoonsgegevens zijn, zorg voor een verwerkingsgrondslag en neem de verwerking op in het register.

Waarom is e-mail onveilig?

Er bestaan veel misverstanden over de onveiligheid van e-mail. Vaak denkt men aan scenario’s waarin een e-mailbox wordt gekraakt door hackers en de data op straat komt te liggen. Hoewel dit kan gebeuren bij onveilig wachtwoordgebruik en de absentie van tweefactor authenticatie, schuilen er veel grotere gevaren in het gebruik van e-mail.

Geen expliciete geautoriseerde gebruikerskring rondom de data en het dossier bij verzenden van e-mail

Medewerkers kunnen e-mails versturen naar alle mogelijke geadresseerden, ook als deze geen deel uitmaken van het geautoriseerde en geïdentificeerde klanten- en relatiebestand. Een datalek komt op deze wijze op een gemiddeld kantoor geregeld voor door een verkeerd geadresseerde, of er wordt informatie verstuurd buiten de reguliere (autorisatie-) procedures om. Ik durf te stellen dat dit landelijk om duizenden gevallen per jaar gaat.

Binnenkomende data is geen onderdeel van een (geautomatiseerd) dossier- of werkproces

E-mail en bestanden die bij medewerkers binnenkomen worden pas onderdeel van het dossier als ze bij de gratie van handmatige handelingen worden opgeslagen op een dossierlocatie. In de praktijk wordt dit niet altijd in het dossier geplaatst. Bestanden blijven achter in persoonlijke e-mailboxen en van daaruit gewist, vergeten of blijven langdurig (dubbel) opgeslagen als ze wel in het dossier zijn opgenomen. Hierdoor is het risico op een datalek of een incompleet dossier onnodig hoog.

Al met al zijn dit de nodige overwegingen om rekening mee te houden bij het kiezen van een applicatie of werkwijze. Bij Mijn Kantoor zijn we voortdurend bezig om onze architectuur en bijbehorende processen in lijn met deze bepalingen te blijven ontwikkelen. Uitgangspunt daarbij is dat we wettelijke bepalingen zo praktisch mogelijk insteken en handmatige handelingen zo veel mogelijk voorkomen.