Praktijk en wetenschap delen zorgen over Verzamelwet gegevensbescherming

Accountants en hoogleraar Jan Bouwens delen de zorgen van de NBA over het wetsvoorstel Verzamelwet gegevensbescherming dat op dit moment in de Eerste Kamer behandeld wordt. De zorg van de NBA betreft artikel 23a, lid 2 van de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), die door de Verzamelwet gegevensbescherming gewijzigd wordt.

Dit wetsartikel verplicht zorginstellingen persoonsgegevens te pseudonimiseren voordat accountants toegang krijgen. Hoewel de NBA begrip heeft voor de achterliggende gedachte van privacybescherming, leidt dit er volgens de beroepsorganisatie toe dat accountants niet langer de originele gegevens kunnen inzien die essentieel zijn voor het uitvoeren van hun wettelijke controletaken.

“Hier botst dus privacywetgeving met de controle die op de gegevens moet plaatsvinden om ziekenhuizen te kunnen controleren”, zo reageert hoogleraar accounting Jan Bouwens in het FD.

De NBA vreest voor soortgelijke scenario’s als het Parmalat-schandaal begin deze eeuw. In deze grote fraudezaak kon Parmalat een obligatielening van 150 miljoen niet terugbetalen, terwijl het bedrijf volgens de boeken over 4,5 miljard aan liquide middelen beschikte. Dat geld bleek echter niet te bestaan. “Daar werden brondocumenten aangepast en dat is een voorbeeld dat in veel accountantsopleidingen wordt behandeld over waarom je altijd terug moet kunnen gaan tot de bron in de accountantscontrole”, aldus de NBA. “Een bewerkt document bevat het risico dat er bewust of onbewust aanpassingen gemaakt zijn.”

Peter Schimmel, forensisch accountant bij BDO, geeft in het FD de NBA gelijk. Je kunt met het wetsvoorstel niet meer controleren of de zorg is geleverd door iemand die daarvoor bevoegd was, zegt hij. Ook Martijn Kool, partner bij Accountants voor de Gezondheidszorg, deelt de zorgen van de NBA. “Hoewel het doel van pseudonimisering begrijpelijk en duidelijk is, zorgt de verplichte toepassing ervoor dat accountants niet langer kunnen beschikken over de originele gegevens die nodig zijn om vast te stellen of zorg daadwerkelijk is geleverd.”