Plan van Aanpak
VOORUITZENDEN EN DE NEN-4401 AUDIT
,Inhoudsopgave
1.1 Inleiding..............................................................................................................................................1
1.2 Handelingsprobleem..........................................................................................................................2
1.3 Hoofdvraag en deelvragen..................................................................................................................2
1.4 Doel van het onderzoek......................................................................................................................3
1.5 Leeswijzer...........................................................................................................................................3
3.1 Inleiding..............................................................................................................................................6
3.2 Hoofdvraag.........................................................................................................................................7
3.3 Methode juridisch onderzoek.............................................................................................................7
3.3 Methode praktijkonderzoek...............................................................................................................9
3.4 Methode representatie....................................................................................................................10
4.1 Inleiding............................................................................................................................................11
4.2 Logboek & planning..........................................................................................................................11
4.3 Risicoanalyse....................................................................................................................................13
4.4 Begroting..........................................................................................................................................13
Bijlage 1: Opzet interviewvragen respondent A.....................................................................................15
Bijlage 2: Opzet interviewvragen respondent B en C..............................................................................16
Hoofdstuk 1 Probleemstelling
1.1 Inleiding
De Algemene Verordening Gegevensbescherming (hierna te noemen: AVG) is een Europese verordening
die op 25 mei 2018 in werking is getreden. 1 Deze verordening stelt regels, waaraan bedrijven zich
1
Kamerstukken II 2017/2018, 34 851, nr. 7.
1
, moeten houden, die natuurlijke personen bescherming biedt bij de verwerking van persoonsgegevens. 2
Toch blijkt uit jurisprudentie dat het voor meerdere bedrijven nog lastig is om te voldoen aan de regels
uit deze verordening. Een voorbeeld hiervan is de Belastingdienst. Zo ontvingen zij op 12 april 2022 een
boete wegens het verwerken van persoonsgegevens die in strijd waren met de geldende beginselen die
zijn opgenomen in de AVG. 34
Vooruitzenden is een uitzendbureau die dagelijks te maken heeft met het verwerken van
persoonsgegevens. Er vindt namelijk werving en selectie plaats van kandidaten. Hierbij worden er
persoonsgegevens opgeslagen in een onlinesysteem, waarbij deze vervolgens worden gebruikt om een
plaatsing te realiseren. Op 5 februari 2024 vindt er binnen Vooruitzenden een NEN 4400-1 audit plaats,
waarbij er een controle op gegevensverwerking op grond van de AVG plaatsvindt. 5
Bij een succesvolle afronding van deze audit ontvangt Vooruitzenden een SNA-keurmerk.
Uit eerdere gesprekken tussen de directie en management binnen Vooruitzenden is naar voren gekomen
dat Vooruitzenden sinds de ingang van de AVG geen volledige implementatie hiervan heeft verricht.
Vooruitzenden is momenteel onvoorbereid op de audit en er is geen kennis in hoeverre de AVG op de
werkvloer is geïmplementeerd. Er is mij gevraagd te onderzoeken in hoeverre de AVG is toegepast en
wat hierin nog verbeterd moet worden.
1.2 Handelingsprobleem
Sinds de inwerkingtreding van de AVG is er binnen Vooruitzenden geen controle geweest om te bezien of
zij AVG-compliant zijn. Tijdens een inventarisatie van de audit is naar voren gekomen dat het momenteel
onduidelijk is op welke punten betreft persoonsgegevensverwerking er wordt voldaan aan de AVG en
waar nog verbetering nodig is. Zo kwam er bijvoorbeeld naar voren dat er regelmatig bij de inschrijving
van een kandidaat al een volledig dossier wordt opgebouwd met het toevoegen van alle documentatie
van de kandidaat. Dit terwijl de kandidaat uiteindelijk niet tewerkgesteld wordt. De huidige kans van
slagen van het onderdeel gegevensverwerking van de audit is minimaal. Het behalen van de audit is voor
Vooruitzenden noodzakelijk, omdat zij anders worden gehinderd in de bedrijfsvoering.
Vooruitzenden heeft momenteel meerdere vestigingen in Nederland. Het probleem is dan ook bij alle
vestigingen aanwezig. Bij alle vestigingen worden dezelfde systemen en manieren van
gegevensverwerking gebruikt.
Het is noodzakelijk om op korte termijn te onderzoeken in hoeverre de persoonsgegevens van
kandidaten op grond van de AVG worden verwerkt. Dit aangezien de audit op 5 februari 2024 gepland
staat. Het onderzoek zal plaatsvinden binnen het kader van de AVG en wordt aangevuld met de
Uitvoeringswet Algemene Verordening gegevensbescherming (hierna te noemen: UAVG).
Het onderzoek zal ophelderen welke verbeteringen er voor Vooruitzenden nodig zijn uit te voeren om
AVG-compliant te worden om vervolgens de audit te kunnen behalen.
1.3 Hoofdvraag en deelvragen
Het hierboven benoemde handelingsprobleem heeft geleid tot de volgende hoofdvraag en deelvragen.
De hoofdvraag luidt als volgt:
2
Artikel 1 lid 1 AVG
3
Kamerstukken II 2021/2022, 31 066, nr. 911.
4
V-N 18.17 2022, p. 66.
5
‘NEN 4400-1 certificering’, normeb6cvro.nl.
2
VOORUITZENDEN EN DE NEN-4401 AUDIT
,Inhoudsopgave
1.1 Inleiding..............................................................................................................................................1
1.2 Handelingsprobleem..........................................................................................................................2
1.3 Hoofdvraag en deelvragen..................................................................................................................2
1.4 Doel van het onderzoek......................................................................................................................3
1.5 Leeswijzer...........................................................................................................................................3
3.1 Inleiding..............................................................................................................................................6
3.2 Hoofdvraag.........................................................................................................................................7
3.3 Methode juridisch onderzoek.............................................................................................................7
3.3 Methode praktijkonderzoek...............................................................................................................9
3.4 Methode representatie....................................................................................................................10
4.1 Inleiding............................................................................................................................................11
4.2 Logboek & planning..........................................................................................................................11
4.3 Risicoanalyse....................................................................................................................................13
4.4 Begroting..........................................................................................................................................13
Bijlage 1: Opzet interviewvragen respondent A.....................................................................................15
Bijlage 2: Opzet interviewvragen respondent B en C..............................................................................16
Hoofdstuk 1 Probleemstelling
1.1 Inleiding
De Algemene Verordening Gegevensbescherming (hierna te noemen: AVG) is een Europese verordening
die op 25 mei 2018 in werking is getreden. 1 Deze verordening stelt regels, waaraan bedrijven zich
1
Kamerstukken II 2017/2018, 34 851, nr. 7.
1
, moeten houden, die natuurlijke personen bescherming biedt bij de verwerking van persoonsgegevens. 2
Toch blijkt uit jurisprudentie dat het voor meerdere bedrijven nog lastig is om te voldoen aan de regels
uit deze verordening. Een voorbeeld hiervan is de Belastingdienst. Zo ontvingen zij op 12 april 2022 een
boete wegens het verwerken van persoonsgegevens die in strijd waren met de geldende beginselen die
zijn opgenomen in de AVG. 34
Vooruitzenden is een uitzendbureau die dagelijks te maken heeft met het verwerken van
persoonsgegevens. Er vindt namelijk werving en selectie plaats van kandidaten. Hierbij worden er
persoonsgegevens opgeslagen in een onlinesysteem, waarbij deze vervolgens worden gebruikt om een
plaatsing te realiseren. Op 5 februari 2024 vindt er binnen Vooruitzenden een NEN 4400-1 audit plaats,
waarbij er een controle op gegevensverwerking op grond van de AVG plaatsvindt. 5
Bij een succesvolle afronding van deze audit ontvangt Vooruitzenden een SNA-keurmerk.
Uit eerdere gesprekken tussen de directie en management binnen Vooruitzenden is naar voren gekomen
dat Vooruitzenden sinds de ingang van de AVG geen volledige implementatie hiervan heeft verricht.
Vooruitzenden is momenteel onvoorbereid op de audit en er is geen kennis in hoeverre de AVG op de
werkvloer is geïmplementeerd. Er is mij gevraagd te onderzoeken in hoeverre de AVG is toegepast en
wat hierin nog verbeterd moet worden.
1.2 Handelingsprobleem
Sinds de inwerkingtreding van de AVG is er binnen Vooruitzenden geen controle geweest om te bezien of
zij AVG-compliant zijn. Tijdens een inventarisatie van de audit is naar voren gekomen dat het momenteel
onduidelijk is op welke punten betreft persoonsgegevensverwerking er wordt voldaan aan de AVG en
waar nog verbetering nodig is. Zo kwam er bijvoorbeeld naar voren dat er regelmatig bij de inschrijving
van een kandidaat al een volledig dossier wordt opgebouwd met het toevoegen van alle documentatie
van de kandidaat. Dit terwijl de kandidaat uiteindelijk niet tewerkgesteld wordt. De huidige kans van
slagen van het onderdeel gegevensverwerking van de audit is minimaal. Het behalen van de audit is voor
Vooruitzenden noodzakelijk, omdat zij anders worden gehinderd in de bedrijfsvoering.
Vooruitzenden heeft momenteel meerdere vestigingen in Nederland. Het probleem is dan ook bij alle
vestigingen aanwezig. Bij alle vestigingen worden dezelfde systemen en manieren van
gegevensverwerking gebruikt.
Het is noodzakelijk om op korte termijn te onderzoeken in hoeverre de persoonsgegevens van
kandidaten op grond van de AVG worden verwerkt. Dit aangezien de audit op 5 februari 2024 gepland
staat. Het onderzoek zal plaatsvinden binnen het kader van de AVG en wordt aangevuld met de
Uitvoeringswet Algemene Verordening gegevensbescherming (hierna te noemen: UAVG).
Het onderzoek zal ophelderen welke verbeteringen er voor Vooruitzenden nodig zijn uit te voeren om
AVG-compliant te worden om vervolgens de audit te kunnen behalen.
1.3 Hoofdvraag en deelvragen
Het hierboven benoemde handelingsprobleem heeft geleid tot de volgende hoofdvraag en deelvragen.
De hoofdvraag luidt als volgt:
2
Artikel 1 lid 1 AVG
3
Kamerstukken II 2021/2022, 31 066, nr. 911.
4
V-N 18.17 2022, p. 66.
5
‘NEN 4400-1 certificering’, normeb6cvro.nl.
2
