Als je in 2026 een salarisbureau runt, als externe salarisdienstverlener, arbeidsadviesbureau, gestoría laboral, cabinet de gestion de paie, Lohnbüro of consulente del lavoro, verwerk je per professional persoonsgegevens van meer personen dan welke andere categorie professionele dienstverleners ook, inclusief de accountants en advocaten die we in eerdere clusterartikelen behandelden. Je verwerkt die gegevens bovendien strikt als verwerker onder Artikel 28, in een doorlopende maandelijkse cyclus, voor honderden afzonderlijke klanten die verwerkingsverantwoordelijke zijn en wier ondernemingsraden, vakbonden en toezichthoudende autoriteiten allemaal meekijken. Het vraagstuk van het maskeren van salarisgegevens is daarom niet alleen een nalevingsoefening; het is de ene technische maatregel die een salarisbureau überhaupt in staat stelt AI-tools te gebruiken, gegevens van verschillende klanten correct te scheiden en de onvermijdelijke inspectie te doorstaan.
Dit is het vijfde artikel in onze reeks gidsen over het maskeren van gegevens. De basisgids behandelt de onderliggende technologie en het algemene AVG-kader. Het HR-cluster behandelt shadow AI binnen het HR-team van de werkgever. Het accountantscluster behandelt accountantskantoren met een fiscale focus. Het juridische cluster behandelt advocatenkantoren. Dit artikel zoomt specifiek in op arbeidsadviseurs en salarisdienstverleners: een profiel dat op het snijvlak van de vier eerdere clusters ligt, maar te maken heeft met aanvullende nationale arbeidsrechtelijke beperkingen die voor geen van die andere profielen gelden.
Dit is ook het artikel dat het meest direct bruikbaar is voor elk bureau dat salarisadministratie voor meerdere klanten uitvoert: een dienst die maandelijks de salarisadministratie verwerkt voor vijftig klanten met samen zevenduizend werknemers, een AI-assistent inzet voor vragen over de interpretatie van CCNL en elke maand gegenereerde loonstroken terugstuurt naar vijftig afzonderlijke verwerkingsverantwoordelijken. Op elk punt in die workflow moet een beslissing over het maskeren van gegevens worden genomen, of dreigt die te worden gemist.
Terminologische toelichting: in dit artikel gebruiken we “salarisgegevens maskeren” en “salarisgegevens anonimiseren” door elkaar voor dezelfde operationele laag. “AVG voor salarisbureaus”, “AVG bij uitbesteding van salarisadministratie” en “AVG voor salarisdienstverleners” beschrijven hetzelfde nalevingskader aan de kant van de verwerker. “Salarisgegevens van meerdere werknemers maskeren” is de subworkflow per verwerkingstaak. “Salarisadministratie automatiseren met AI”, “ChatGPT voor salarisadministratie” en “salarisgegevens anonimiseren voor AI” beschrijven de toepassingen aan de AI-kant. Verplichtingen rond Artikel 88 AVG en werknemers en nationaal arbeidsrecht (het Italiaanse Statuto dei Lavoratori, de Franse Code du travail, het Duitse BetrVG, de Spaanse ET) werken in dit artikel op een andere manier op elkaar in dan in het HR-cluster. We gebruiken “loonstrook anonimiseren” als vertaling van de Amerikaans-Engelse variant van “loonstrook maskeren”; beide verwijzen naar dezelfde operationele subworkflow. De termen salarisgegevens maskeren en subverwerkers voor salarisadministratie bekendmaken beschrijven de nalevingsdiscipline aan de kant van het bureau die in de rest van dit artikel wordt uitgewerkt.
1. Waarom salarisbureaus de verwerkersrelatie met de grootste belangen in de EU vormen
Zes structurele feiten verklaren samen waarom AVG-naleving door salarisdienstverleners op een ander risiconiveau ligt dan bij elke andere categorie verwerkers.
Ten eerste: het volume per professional. Eén middelgroot salarisbureau bedient vijftig tot tweehonderd klantbedrijven, elk met vijf tot enkele honderden werknemers. Reken het uit: één bureau kan elke maand drieduizend tot twintigduizend werknemersdossiers verwerken, maand na maand, zolang de relatie voortduurt. Geen accountantskantoor, advocatenkantoor of HR-afdeling verwerkt dit volume aan persoonsgegevens in een doorlopende cyclus.
Ten tweede: de gegevens concentreren zich rond risico’s onder Artikel 9. Redenen voor ziekteverzuim, zwangerschapsverlof, vaderschapsverlof, arbeidsongevallen, arbeidsongeschiktheidsuitkeringen, aantekeningen over arbeidsgezondheid, vakbondscontributies, religiegerelateerde aanspraken binnen pensioenregelingen, ouderschap en personen ten laste. Salarisworkflows raken ze standaard allemaal. De verplichtingen onder Artikel 9 zijn voor salarisbureaus daarom geen uitzonderingssituatie; ze horen bij de normale verwerking.
Ten derde: risico’s rond werknemersmonitoring onder nationaal arbeidsrecht. Het Italiaanse art. 4 Statuto dei Lavoratori, de Franse Code du travail L1121-1, het Duitse Betriebsverfassungsgesetz §87(1)(6) en de Spaanse ET art. 64 leggen allemaal verplichtingen op om de ondernemingsraad of vakbond te raadplegen over elk systeem dat wordt gebruikt om werknemers te monitoren of te beoordelen. Salarissystemen zijn in die zin monitoringsystemen, ook wanneer de verwerkingsverantwoordelijke ze niet zo ziet, en de contractuele instructies die het bureau van de verwerkingsverantwoordelijke ontvangt, moeten de raadplegingsplicht respecteren. De rechtspraak in 2023-2025 (Italiaanse Garante-besluiten over monitoringtools voor meerdere bureaus, Franse CNIL-richtsnoeren uit 2024) is consequent streng geweest. Risico’s rond werknemersmonitoring via salarisadministratie vormen het onderdeel van de analyse dat het vaakst wordt onderschat door bureaus die zichzelf historisch als administratieve dienstverleners zagen, niet als leveranciers van monitoringsystemen.
Ten vierde: de impact op meerdere klanten. Het bureau bewaart gegevens voor honderden afzonderlijke verwerkingsverantwoordelijken in dezelfde operationele omgeving. Gegevensscheiding moet worden afgedwongen op de opslaglaag, de verwerkingslaag en de AI-laag. Eén fout waarbij gegevens van de ene verwerkingsverantwoordelijke uitlekken naar de sessie van een andere, veroorzaakt een datalek met een vermenigvuldigd effect: het bureau informeert elke getroffen verwerkingsverantwoordelijke, de verwerkingsverantwoordelijken informeren hun betrokkenen en de toezichthoudende autoriteit onderzoekt de scheidingsmaatregelen van het bureau als hoofdoorzaak.
Ten vijfde: de rol als verwerker is structureel. Het bureau is verwerker voor elk werknemersdossier waarmee het werkt; de klantbedrijven zijn de verwerkingsverantwoordelijken. De verplichtingen onder Artikel 28 gelden voor elke relatie: een schriftelijke verwerkersovereenkomst, bekendmaking van subverwerkers, schriftelijke instructies en een bepaling over teruggave of verwijdering. Bureaus die hun opdrachtbrieven sinds de invoering van de AVG in 2018 niet hebben herzien, hebben doorgaans verouderde of onvolledige Artikel 28-bijlagen die de huidige AI-workflows niet meer dekken.
Ten zesde: de operationele frequentie is doorlopend, niet incidenteel. Accountants verwerken periodieke jaarafsluitingen en kwartaalcycli; advocaten behandelen afzonderlijke zaken; salarisbureaus draaien maandelijkse cycli, met daarnaast wekelijkse afhandeling van uitzonderingen en doorlopende vragen van werknemers. Die frequentie maakt het gebruik van shadow AI zowel verleidelijker (meer gelegenheden per maand) als ingrijpender (meer gegevens die bij elk ongeautoriseerd AI-gebruik de grens passeren).
2. De zes categorieën salarisgegevens en de overlap met Artikel 9
Verschillende salarisdocumenten leveren verschillende maskeringspatronen op. De zes onderstaande categorieën dekken ~98% van wat door een salarisbureau stroomt.
1. Maandelijkse salarisverwerkingen en loonstroken. XLSX-bestanden voor meerdere werknemers met naam, nationaal identificatienummer (CF in Italië, NIR in Frankrijk, Steuer-ID in Duitsland, DNI/NIE in Spanje), IBAN, brutoloon, inhoudingen en aantekeningen over uitzonderingen. PDF-loonstroken per werknemer. Het maskeringsvraagstuk is multimodaal: gestructureerde persoonsgegevens op celniveau naast ongestructureerde aantekeningen die gegevens onder Artikel 9 onthullen. Om een loonstrook te maskeren voor beoordeling met AI-ondersteuning moet de structuur zo behouden blijven dat de berekeningslogica intact blijft. De notitiekolom in een salariswerkblad is het meest voorkomende lekkanaal voor gegevens onder Artikel 9: “drie weken ziek in Q3”, “zwangerschapsverlof vanaf volgende maand”, “vakbondsverlof 5 dagen”, “aanpassing arbeidsongeschiktheidsuitkering”. Dit zijn allemaal onthullingen onder Artikel 9, geconcentreerd in één kolom.
2. Wettelijke aangiften en verklaringen. De Italiaanse maandelijkse Uniemens-gegevensstroom, F24 voor premiebetalingen, jaarlijkse aangiften CUD/Modello Unico/Certificazione Unica; de Franse maandelijkse DSN (Déclaration Sociale Nominative); Duitse SV-Meldungen aan het socialezekerheidsstelsel en ELStAM-belastingmeldingen; Spaanse TC1/TC2 aan TGSS en Modelo 111/190 aan de Agencia Tributaria. Elke aangifte bevat persoonsgegevens van meerdere werknemers in een gestructureerd, door de overheid voorgeschreven formaat. De vraag naar maskering ontstaat wanneer AI-tools deze aangiften controleren op fouten of wanneer samenvattingen worden gedeeld met de klant die verwerkingsverantwoordelijke is. Anonimisering van salaris-EDI voor gegevensstromen tussen systemen is het technische deelvraagstuk.
3. Ontslagvergoedingen, betalingen bij einde dienstverband en eenmalige betalingen. TFR-berekeningen (Trattamento di Fine Rapporto) in Italië, indemnité de fin de contrat in Frankrijk, Abfindung in Duitsland, indemnización por despido in Spanje. Deze bevatten niet alleen financiële bedragen, maar vaak ook de redenen voor beëindiging van het dienstverband (die onder Artikel 9 kunnen vallen als ze gezondheidsgerelateerd zijn) en eventuele schikkingsbedragen. De bewaartermijn voor deze documenten is doorgaans de langste waarmee het bureau te maken heeft.
4. Documentatie over ziekteverzuim, zwangerschapsverlof, vaderschapsverlof en arbeidsongeschiktheid. Medische attesten, uitwisselingen met INPS/CPAM/Krankenkasse, aantekeningen over arbeidsgezondheid en documentatie over arbeidsongeschiktheidsuitkeringen. Deze categorie valt volledig onder Artikel 9. Bij het maskeren moet er rekening mee worden gehouden dat, zelfs als de naam is gemaskeerd, de diagnose of het medisch specialisme via de functie of afdeling van de werknemer tot heridentificatie kan leiden. Ziekteverzuimgegevens anonimiseren is daarom moeilijker dan het op het eerste gezicht lijkt.
5. Vakbonds- en cao-gerelateerde gegevens. Registraties van vakbondslidmaatschap, inhoudingen op het loon voor vakbondscontributies, cao-specifieke beloningstabellen en inhoudingen voor stakingsdagen. Opnieuw Artikel 9 (vakbondslidmaatschap wordt expliciet genoemd in Art. 9(1)). Verwerking van vakbondsgegevens onder de AVG vereist een specifieke grondslag onder Art. 9(2), bij salarisadministratie doorgaans Art. 9(2)(b), “verplichtingen op het gebied van arbeidsrecht”, maar alleen voor zover toegestaan door nationaal recht.
6. Correspondentie met werknemers en afhandeling van uitzonderingen. Werknemers mailen het salarisbureau rechtstreeks met vragen (“mijn salaris klopte deze maand niet”, “ik heb een loonstrook nodig voor een hypotheekaanvraag”, “kunnen jullie mijn recht op ouderschapsverlof bevestigen?”). De antwoordmail van het bureau bevat persoonsgegevens en soms gegevens onder Art. 9. AI-assistenten die deze correspondentie helpen afhandelen, zijn de snelst groeiende bron van shadow AI binnen salarisbureaus.
Het patroon in alle zes categorieën: de gegevens zijn geconcentreerd, de overlap met Artikel 9 is groot en de maskeringslaag moet gestructureerde velden en vrije tekst tegelijk begrijpen.
3. Het verwerkerskader: Artikel 28, Artikel 32, Artikel 88 en ondernemingsraden
Vier AVG-artikelen en het kader voor ondernemingsraden gelden gelijktijdig voor elk salarisbureau.
Artikel 28: de ruggengraat van de verwerkersrelatie. Elke relatie tussen verwerkingsverantwoordelijke en bureau vereist een schriftelijke verwerkersovereenkomst onder Art. 28(3) met de acht verplichte bepalingen. Subverwerkers (de leverancier van salarissoftware, de cloudhostingprovider, de AI-tool en de OCR-leverancier) moeten worden bekendgemaakt, met het recht van de verwerkingsverantwoordelijke om bezwaar te maken. De verwerkersovereenkomst van het salarisbureau vormt de operationele ruggengraat; bureaus met een overeenkomst uit 2018 die niet is bijgewerkt voor AI-tools lopen risico bij elke verlenging met een verwerkingsverantwoordelijke.
Artikel 32: beveiliging van de verwerking. De richtsnoeren van het Europees Comité voor gegevensbescherming over technische en organisatorische maatregelen voor verwerkers nemen pseudonimisering expliciet op in het instrumentarium. Voor salarisbureaus betekent dit: maskeren vóór elke aanroep van AI, gegevens van verschillende klanten scheiden, opgeslagen gegevens versleutelen, toegang registreren en maatregelen documenteren. Het bewijs rond het salarissysteem en art 32 is wat het bureau aan de toezichthoudende autoriteit en de auditors van de verwerkingsverantwoordelijke laat zien. Ook bewaartermijnen van salarislogs onder de AVG horen hierbij: toegangslogs en maskeringscertificaten moeten even lang worden bewaard als het onderliggende salarisdossier, doorgaans de langste bewaartermijn die voor het bureau geldt.
Artikel 88: de arbeidscontext. Lidstaten mogen specifiekere regels vaststellen voor verwerking in de arbeidscontext. De wisselwerking met salarisbureaus is asymmetrisch: de verwerkingsverantwoordelijke (het klantbedrijf) bepaalt de regels, het bureau voert ze uit. Het bureau moet daarom verschillende nationale regels voor verschillende verwerkingsverantwoordelijken kunnen ondersteunen, ook als het bureau zelf maar in één rechtsgebied gevestigd is.
Raadpleging van ondernemingsraad en vakbond. Het Italiaanse art. 4 Statuto dei Lavoratori vereist een akkoord met de vakbond of ondernemingsraad voordat systemen worden ingevoerd die werknemers monitoren of beoordelen. De Franse Code du travail L2312-38 verplicht tot raadpleging van de ondernemingsraad. Het Duitse Betriebsverfassungsgesetz §87(1)(6) geeft de ondernemingsraad een medezeggenschapsrecht bij monitoringsystemen. De Spaanse ET art. 64 legt vergelijkbare rechten vast. Het bureau is in veel gevallen de leverancier van het monitoringsysteem; de verwerkingsverantwoordelijke is verantwoordelijk voor de raadpleging, maar het bureau moet alle daaruit voortvloeiende toegangscontroles en audittrails operationeel ondersteunen. Een bureau dat de uitkomsten van de raadpleging niet voor elke verwerkingsverantwoordelijke kan aantonen, heeft een nalevingsprobleem over meerdere klanten heen.
Impact op meerdere klanten. De meest over het hoofd geziene dimensie. Een salarisbureau dat in een gedeelde omgeving gegevens voor tweehonderd verwerkingsverantwoordelijken bewaart, beheert ook tweehonderd afzonderlijke relaties onder Art. 28. Eén fout in de gegevensscheiding op de AI-laag (de AI-assistent ziet per ongeluk gegevens van verwerkingsverantwoordelijke B terwijl hij een vraag voor verwerkingsverantwoordelijke A beantwoordt) betekent tweehonderd mogelijke datalekmeldingen. De maatregelen voor AVG-naleving bij salarisadministratie voor meerdere klanten moeten op die impact worden ontworpen.
Het cumulatieve effect: elke operationele beslissing in een salarisbureau raakt tegelijk meerdere relaties onder Art. 28 en meerdere nationale arbeidsrechtelijke kaders. De maskeringslaag is de ene technische maatregel die uniform over al die relaties heen werkt door de onderliggende persoonsgegevens te verwijderen vóór elke vervolgverwerking. Door de maskeringscontext strikt per klant af te bakenen, wordt bovendien op technisch niveau de gegevensscheiding afgedwongen die elke overeenkomst onder Art. 28 op contractueel niveau vereist. Zo wordt een papieren toezegging een structurele eigenschap van het systeem.
Nog een dimensie die aandacht verdient: het eigen personeel van het bureau is zelf een categorie betrokkenen. Ervaren salarismedewerkers, partners van het bureau, beginnende stagiairs: al hun arbeidsgegevens staan in het salarissysteem van het bureau. De reflexieve situatie (“wij zijn het salarisbureau voor ons eigen bureau”) creëert een interne relatie die lijkt op een relatie onder Art. 28, waarbij het bureau tegelijk verwerkingsverantwoordelijke is (voor het eigen personeel) en verwerker (voor het personeel van klanten). Het architectuurpatroon dat beide rollen tegelijk ondersteunt, is dezelfde hierboven beschreven maskering per klant, waarbij de eigen verwerkingsverantwoordelijke-ID van het bureau identiek wordt behandeld aan die van elke externe verwerkingsverantwoordelijke. Dit is een klein maar belangrijk punt voor de functionaris voor gegevensbescherming van het bureau wanneer die de architectuur aan een inspecteur beschrijft.
4. Nationale arbeidsrechtelijke kaders en de specifieke aangiften die elk vereist
Vier nationale stelsels bepalen de praktijk van salarisbureaus in de grootste markten van de EU.
Italië. De consulente del lavoro is een gereglementeerd beroep onder Law 12/1979. Maandelijkse UNIEMENS-aangiften aan INPS, jaarlijkse CU (Certificazione Unica) voor belastingaangiften, F24-premiebetalingen. Statuto dei Lavoratori art. 4 regelt monitoring- en beoordelingssystemen. De Garante heeft in 2024-2025 specifieke richtsnoeren uitgevaardigd over consulenti del lavoro die cloud- en AI-tools gebruiken; het terugkerende thema is dat de consulente een verwerker onder Art. 28 is en dat de instructies van de verwerkingsverantwoordelijke schriftelijk moeten worden vastgelegd.
Frankrijk. Het cabinet de gestion de paie opereert binnen het bredere kader van arbeidsadvies; de DSN (Déclaration Sociale Nominative) is de maandelijkse gegevensstroom die de eerdere DADS-U + URSSAF-aangiften + andere aangiften heeft samengevoegd. De CNIL-richtsnoeren uit 2024 behandelen specifiek het gebruik van AI-tools door salarisdienstverleners en vereisen een gegevensbeschermingseffectbeoordeling voor elke AI-stap die werknemersgegevens raakt. AVG-naleving door een cabinet de gestion de paie en de geanonimiseerde DSN-gegevensstroom voor interne AI-controle zijn de twee onderwerpen waarover in 2026 de meeste vragen worden gesteld.
Duitsland. Het Lohnbüro opereert binnen het Steuerberater-kader (StBerG) of als afzonderlijke dienstverlener. Maandelijkse SV-Meldungen (socialezekerheidsmeldingen) aan de Krankenkasse, ELStAM-belastingmeldingen en de maandelijkse Lohnsteueranmeldung. Ondernemingsraden hebben sterke medezeggenschapsrechten bij monitoringsystemen onder BetrVG §87(1)(6); het Lohnbüro moet alle toegangscontroles ondersteunen die het akkoord met de ondernemingsraad vereist. De Bundessteuerberaterkammer heeft in 2024 richtsnoeren over AI-gebruik uitgevaardigd die aansluiten bij het bredere kader van het Europees Comité voor gegevensbescherming.
Spanje. De gestoría laboral is het equivalent van de Italiaanse consulente del lavoro. Maandelijkse TC1/TC2 aan de TGSS, Modelo 111 voor kwartaalaangiften van inhoudingen, Modelo 190 als jaarlijks overzicht. ET art. 64 legt rechten van ondernemingsraden vast, waaronder raadpleging over monitoringsystemen. De AEPD heeft in 2024 specifieke richtsnoeren gepubliceerd over arbeidsadviesbureaus en AI-tools, gericht op de verwerkersrelatie en de scheiding van gegevens van meerdere klanten.
Het patroon in alle vier de rechtsgebieden: het bureau verwerkt gestructureerde gegevens in door de overheid voorgeschreven formaten, moet de door de verwerkingsverantwoordelijke vastgelegde raadplegingsrechten van ondernemingsraden of vakbonden ondersteunen en moet dit alles gelijktijdig voor meerdere verwerkingsverantwoordelijken doen. Verplichtingen rond Artikel 88 AVG en werknemers zijn rechtsgebiedspecifiek en kunnen niet worden gelijkgetrokken; het bureau moet alle vier ondersteunen (en de overige kaders waaronder zijn klanten werken), zonder ze door elkaar te halen.
5. Het probleem van de doorlopende gegevensstroom en de impact op meerdere klanten
Drie operationele kenmerken onderscheiden salarisbureaus van de andere categorieën verwerkers die we hebben behandeld. Elk daarvan vergroot het belang van de maskeringslaag.
Een doorlopende maandelijkse cyclus plus dagelijkse afhandeling van uitzonderingen. Het drukke seizoen van de accountant loopt van februari tot april; de zaak van de advocaat piekt tijdens de rechtszaak; de cyclus van het salarisbureau herhaalt zich elke maand, elk jaar, met daarnaast doorlopende afhandeling van uitzonderingen rond ziekteverzuim, tussentijdse in- en uitdiensttredingen, fouten en werknemersvragen. Het totale aantal maandelijkse gelegenheden voor shadow AI-gebruik ligt een orde van grootte hoger dan bij beroepen met incidentele werkcycli.
Een operationele omgeving voor meerdere klanten. Het salarissysteem van het bureau bewaart gegevens voor honderden verwerkingsverantwoordelijken in dezelfde fysieke omgeving. Logische scheiding wordt afgedwongen op de applicatielaag (klant-ID, toegangscontroles, auditlogging), maar één verkeerde configuratie raakt meerdere verwerkingsverantwoordelijken. De AI-laag voegt een nieuw faalscenario toe: een AI-assistent die is verfijnd op gegevens van verschillende klanten, of een prompt die per ongeluk gegevens van een andere klant ophaalt, doorbreekt de scheiding die de rest van de architectuur juist moest afdwingen. De maskeringslaag vóór de AI herstelt de scheidingsgarantie aan de AI-kant.
Het bereik buiten de directe werknemers van de verwerkingsverantwoordelijke. Een bureau dat de salarisadministratie voor bedrijf X verwerkt, raakt ook persoonsgegevens van leveranciers van X (in sommige betalingsworkflows), opdrachtnemers van X en soms klanten van X (bij beloning die aan omzet is gekoppeld). De groep betrokkenen is daarom groter dan het werknemersbestand van de verwerkingsverantwoordelijke, en de maskeringsanalyse moet met hen allemaal rekening houden.
Salarisbureaus moeten toegangsgrenzen, klantscheiding en verwerkingsregistraties beoordelen voordat ze een gedeelde dienst gaan gebruiken. Maskering helpt de blootstelling van gedetecteerde gevoelige waarden te beperken; ze bewijst op zichzelf geen klantisolatie of naleving. Bevestig welke maatregelen en bewijsstukken je eigen werkruimte en workflow vereisen.
6. Het shadow AI-probleem binnen salarisbureaus
Shadow AI neemt binnen salarisbureaus specifieke vormen aan die afwijken van de patronen die we zagen in HR, accountancy en de juridische praktijk.
De shadow AI-workflow voor uitzonderingen. Een salarismedewerker zoekt op vrijdagmiddag naar de oorzaak van een berekeningsfout. Die plakt een XLSX met 30 rijen met werknemersnamen, fiscale identificatienummers, IBAN’s en de betwiste bruto-nettoberekening in een ChatGPT-consumentenaccount om “het formuleprobleem te vinden”. Het model ziet het volledige fragment van de namenlijst. De gegevens staan nu in de logs van de modelaanbieder; het register onder Art. 30 van het bureau vermeldt deze verwerking niet; de verwerkingsverantwoordelijke heeft er nooit toestemming voor gegeven.
De shadow AI-workflow met een chatbot voor werknemersvragen. Het bureau zet een interne chatbot op om salarismedewerkers sneller te laten reageren op vragen van werknemers. De bot is geconfigureerd op een consumentenabonnement voor een LLM, zonder verwerkersovereenkomst. Werknemersvragen (“ik ben met ziekteverlof vanwege een kankerbehandeling, waar heb ik recht op?”) lopen via de bot. Het bureau heeft nu een nieuwe verwerkingsactiviteit gecreëerd die gegevens onder Art. 9 raakt, zonder een grondslag onder Art. 9(2) die expliciet door de instructies van de verwerkingsverantwoordelijke wordt gedekt. Dit soort toepassingen van ChatGPT voor salarisadministratie komt vaak voor en blijft vaak onzichtbaar voor de functionaris voor gegevensbescherming van het bureau.
De shadow AI-workflow voor CCNL-interpretatie. Een bureaumedewerker interpreteert een bepaling uit een sectorale collectieve arbeidsovereenkomst (CCNL in Italië, convention collective in Frankrijk, Tarifvertrag in Duitsland, convenio colectivo in Spanje) en gebruikt een consumenten-LLM om de bepaling samen te vatten. De cao-bepaling zelf is geen persoonsgegeven, maar het voorbeeld dat de medewerker aan het LLM geeft (“voor onze klant X met werknemer Y in schaal Z…”) wel. Cao-gegevens maskeren voor interpretatie met AI-ondersteuning is de subworkflow die dit van shadow AI in goedgekeurd gebruik verandert.
De shadow AI-workflow voor opleiding en inwerken. Een nieuwe medewerker wordt opgeleid in salarisworkflows en gebruikt echte klantgegevens (“geanonimiseerd”) als praktijkvoorbeelden in een sessie met een consumenten-LLM voor “uitleg”. “Geanonimiseerd” betekent in deze context meestal dat de naam is verwijderd; het salaris, de functie, de locatie, de werkgever en vaak ook de gegevens onder Artikel 9 blijven intact en kunnen worden gereconstrueerd.
De shadow AI-workflow voor auditvoorbereiding. Het bureau bereidt de jaarlijkse audit van een verwerkingsverantwoordelijke voor door diens salarisgeschiedenis met een AI-tool samen te vatten. Die geschiedenis omvat werknemers die inmiddels uit dienst zijn, ziekteverzuimregistraties en berekeningen van ontslagvergoedingen. De auditsamenvatting is nuttig, maar de onderliggende verwerking heeft nu alle dossiers van die betrokkenen gekopieerd naar een nieuwe operationele omgeving (het sessiegeheugen van de AI-tool), zonder registratie onder Art. 30.
De oplossing is hetzelfde architectuurpatroon dat we in de hele reeks hebben beschreven, met drie salarisspecifieke aanpassingen. Ten eerste: maskering die rekening houdt met de klantcontext. De woordenlijst en detectiecontexten moeten per verwerkingsverantwoordelijke worden afgebakend, zodat lekkage tussen klanten structureel onmogelijk is. Ten tweede: detectie die rekening houdt met Artikel 9. De maskeringstool van het bureau moet kolommen voor ziekteverzuim en vakbondscontributies expliciet als Artikel 9 markeren en strenger maskeren. Ten derde: integratie in workflows voor werknemersvragen. Elke chatbot die werknemersvragen afhandelt, moet persoonsgegevens in de browser maskeren voordat de vraag het model bereikt, ze bij de uitvoer herstellen en via een in de EU gehost LLM werken onder een ondertekende verwerkersovereenkomst. Salarisgegevens anonimiseren voor AI is de overkoepelende discipline; de drie aanpassingen bepalen hoe die in de praktijk werkt.
Voor gepubliceerd bewijs over persoonlijke accounts en onbeheerd AI-gebruik, inclusief wat elk onderzoek telde en wanneer, zie de bronnentoets van shadow AI-statistieken.
7. De maskeringsworkflow afgestemd op salarisbureaus
De workflow met 5 stappen uit de basisgids is van toepassing op salarisdocumenten, met drie salarisspecifieke aanpassingen.
- Uploaden (met klantcontext). Elke upload is gekoppeld aan een specifieke verwerkingsverantwoordelijke. Het XLSX-bestand, de PDF-loonstroken en de DSN/Uniemens/SV-Meldung-aangiften dragen de verwerkingsverantwoordelijke-ID mee door elke vervolgverwerking. De woordenlijst die voor detectie wordt geladen, is de namenlijst van die verwerkingsverantwoordelijke, niet de samenvoeging van alle namenlijsten van het bureau; dit is de garantie van afbakening per klant.
- Detecteren (met salarisspecifieke cascade en Artikel 9-markering). Opzoeken in de werknemersnamenlijst van de verwerkingsverantwoordelijke, nationale reguliere expressies (CF, NIR, Steuer-ID, DNI/NIE, IBAN), meertalige NER voor resterende namen en organisaties, OCR voor gescande medische attesten. De salarisspecifieke toevoeging: een Artikel 9-markering op kolomniveau die redenen voor ziekteverzuim, vakbondscontributies en arbeidsongeschiktheidsuitkeringen standaard strenger behandelt dan andere kolommen.
- Controleren (met groepering per categorie en escalatie voor Artikel 9). Toon gevonden fragmenten gegroepeerd per categorie; markeer Artikel 9-categorieën voor beoordeling door een aangewezen contactpersoon voor gegevensbescherming, in plaats van door de uitvoerende medewerker. Menselijke controle bij een salarisbureau is gedetailleerder dan bij een accountant, omdat de juridische gevoeligheid van Artikel 9-kolommen groter is.
- Toepassen (modus per bestemming). Voor interne AI-workflows (foutdetectie, afhandeling van uitzonderingen): omkeerbare maskering met lokaal herstel. Voor delen met de verwerkingsverantwoordelijke (samenvatting van de maandafsluiting, auditrapport): onomkeerbaar zwartlakken van persoonsgegevens die niet strikt noodzakelijk zijn voor het doel van de verwerkingsverantwoordelijke. Voor wettelijke aangiften: het aangifteformaat zelf beperkt wat kan worden gemaskeerd; de maskeringstool moet begrijpen welke velden mogen worden gewijzigd en welke verplicht zijn voor de aangifte.
- Certificeren en doorsturen per klant. Genereer het SHA-256-certificaat met klant-ID, hash, modus en aantallen per categorie. Het certificaat wordt de Art. 30-registratie van het bureau per verwerkingstaak en het bewijsstuk van de verwerkingsverantwoordelijke bij een audit. Voor verwerkingen voor meerdere klanten is een bundeling van certificaten per klant het bewijsstuk dat het bureau bij de jaarlijkse beoordeling door de verwerkingsverantwoordelijke presenteert. Die bundeling vormt ook de ruggengraat van de eigen internecontrolerapportage van het bureau aan zijn functionaris voor gegevensbescherming en management, omdat ze per verwerkingsverantwoordelijke een deterministische maandelijkse momentopname oplevert van hoeveel gegevens zijn verwerkt, per categorie en met welk maskeringsniveau, in een formaat dat zelf geen persoonsgegevens bevat.
Een concreet voorbeeld. Een salarisbureau verwerkt de maandelijkse salarisronde voor een Italiaans ingenieursbedrijf met zestig werknemers. Het XLSX-bestand heeft kolommen voor naam, fiscaal identificatienummer, IBAN, brutoloon, inhoudingen, redenen voor afwezigheid en vakbond. De woordenlijst bevat de werknemersnamenlijst van het ingenieursbedrijf. De cascade detecteert CF (60/60), IBAN (60/60), 8 vermeldingen van vakbondscontributies en 12 redenen voor ziekteverzuim in de notitiekolom. Bij de controle worden de 12 ziekteverzuimvermeldingen voorgelegd aan de contactpersoon voor gegevensbescherming om te bevestigen dat de standaardmaskering van het bureau passend is. De contactpersoon stemt in. De export is het XLSX-bestand met vervangingslabels voor persoonsgegevens, intacte formules en Artikel 9-kolommen die volledig zijn gemaskeerd (voor AI-controle) of zijn vervangen door labels die alleen de categorie aangeven (“medisch bevestigde afwezigheid”) voor het maandelijkse overzicht van de verwerkingsverantwoordelijke. Het certificaat registreert de klant-ID, SHA-256 van invoer en uitvoer, aantallen per categorie (60 CF’s, 60 IBAN’s, 8 vakbondscontributies, 12 fragmenten onder Art. 9), modus en tijdstempel. Totale tijd inclusief escalatie naar de contactpersoon voor gegevensbescherming: minder dan 20 minuten.
8. Veelgestelde vragen
Is een salarisbureau verwerker of verwerkingsverantwoordelijke voor werknemersgegevens?
Vrijwel altijd verwerker. De werkgever (de klant van het bureau) is de verwerkingsverantwoordelijke. Het bureau verwerkt werknemersgegevens op basis van schriftelijke instructies. Er zijn uitzonderingen (bijvoorbeeld interne werknemersdossiers van het bureau, marketing gericht op voormalige klanten), maar voor de kernworkflow van de salarisadministratie is het bureau de verwerker.
Kan de ondernemingsraad de invoering van een AI-tool blokkeren?
In de meeste EU-rechtsgebieden wel. De ondernemingsraad heeft medezeggenschapsrechten bij monitoring- en beoordelingssystemen (BetrVG §87 in Duitsland, Statuto dei Lavoratori art. 4 in Italië, Code du travail L2312-38 in Frankrijk, ET art. 64 in Spanje). Het bureau is in veel gevallen de leverancier van het systeem; de verwerkingsverantwoordelijke is verantwoordelijk voor de raadpleging, maar het bureau moet alle daaruit voortvloeiende toegangscontroles ondersteunen.
Vallen redenen voor ziekteverzuim onder Artikel 9, ook als ze alleen uit een notitie van één woord bestaan?
Ja. Een notitie van één woord zoals “griep”, “rugpijn”, “angst” of “operatie” onthult gezondheidsgegevens en brengt Artikel 9 in beeld. Verwerking onder Art. 9(2)(b) voor arbeidsrechtelijke verplichtingen kan mogelijk zijn, maar de analyse van verwerking als gegevens onder Art. 9 blijft van toepassing en het bureau moet aantonen dat het een grondslag en passende waarborgen heeft. Anonimisering van zwangerschapsverlofgegevens valt onder dezelfde regel (ouderschap valt volgens sommige interpretaties onder Art. 9 en volgens andere onder arbeidsgegevens; behandeling als Art. 9 is de veiligere aanpak).
Wat is passend bewijs onder Artikel 32 voor de maskeringslaag van een salarisbureau?
Een salarisaudit kan verwerkingsregisters, een gegevensbeschermingseffectbeoordeling, overeenkomsten met aanbieders, toegangsregistraties en bewijs van afzonderlijke verwerkingen vereisen. Een maskeringscertificaat kan aan dit bewijs bijdragen, maar vervangt de andere documenten niet. Controleer welke velden en exports daadwerkelijk beschikbaar zijn binnen je abonnement.
Hoelang moeten we het maskeringscertificaat voor een salarisverwerking bewaren?
Minstens even lang als het onderliggende salarisdossier (doorgaans tien jaar voor Italiaanse salarisadministratie onder de bewaarplichten van het burgerlijk wetboek; vergelijkbaar in andere rechtsgebieden). Certificaten bevatten geen persoonsgegevens, dus de bewaring ervan roept op zichzelf geen privacyzorgen op. Bewaar ze als bewijs; de extra opslagkosten zijn verwaarloosbaar.
Kan ik AI gebruiken om werknemersvragen aan het bureau af te handelen?
Documentdetectie en maskering bij Redactic draaien op infrastructuur in Europa die door Redactic wordt beheerd, zonder AI- of machinelearning-inferentie door derden op ongemaskeerde inhoud. Optionele AI-workflows staan hiervan los: gedetecteerde gevoelige waarden worden verwijderd of vervangen voordat voorbereide inhoud naar de geselecteerde aanbieder wordt gestuurd. Controleer documenttekst, aanvullende instructies en chatberichten; gemiste waarden en contextuele details kunnen personen nog steeds identificeerbaar maken. Aanbieder, regio, bewaartermijnen en voorwaarden voor training hangen af van de geselecteerde workflow en de toepasselijke overeenkomst.
Wat gebeurt er als onze AI-tool gegevens van verwerkingsverantwoordelijke B ziet terwijl hij een vraag voor verwerkingsverantwoordelijke A beantwoordt?
Dit is een datalek tussen klanten en brengt verplichtingen onder Art. 33-34 tegenover beide verwerkingsverantwoordelijken met zich mee, en tegenover hun werknemers als het risico dat vereist. Het bereik van de meldingen wordt vermenigvuldigd. De architecturale oplossing is maskering die per klant is afgebakend: de woordenlijst en detectiecontext die voor een sessie worden geladen, moeten beperkt zijn tot de verwerkingsverantwoordelijke bij wie de sessie hoort, en de AI-tool mag geen geheugen over klanten heen hebben. AVG-naleving bij salarisadministratie voor meerdere klanten is structureel eenvoudiger met maskering per klant dan zonder.
Is de EU AI Act van toepassing op AI-tools die we voor salarisadministratie gebruiken?
De meeste AI-tools voor salarisadministratie worden niet als hoog risico geclassificeerd onder Annex III. De meest nabije categorieën die van toepassing zouden kunnen zijn, zijn Annex III(4) (HR-toepassingen, met name prestatiebeoordeling) als de salaristool voor beoordelingsdoeleinden wordt gebruikt, en Annex III(5)(d) (risicobeoordeling in financiële dienstverlening) als de tool krediet- of fraudebeslissingen in gang zet. Voor de meeste AI-toepassingen bij salarisbureaus gelden de transparantieverplichtingen uit AI Act Art. 13, de verplichtingen voor gebruiksverantwoordelijken uit Art. 26 en AI-geletterdheid uit Art. 4 (van kracht sinds februari 2025).
Hoe tonen we de gegevensscheiding tussen klanten aan een toezichthoudende autoriteit aan?
Vraag om bewijs van de toegangscontroles voor werkruimten, klantscheiding en beschikbare auditexports die relevant zijn voor je implementatie. Bespreek deze vereisten met het Redactic-team, in plaats van ervan uit te gaan dat elk certificaat een verwerkingsverantwoordelijke-ID bevat of dat een bepaalde export in elk abonnement is inbegrepen.
Waar slaat Redactic onze salarisgegevens op?
Documenten en resultaten maken gebruik van tijdelijke verwerkingsopslag op infrastructuur in Europa die door Redactic wordt beheerd. Tijdelijke verwerking van herstelgegevens op de server kan onderdeel van de workflow zijn. Account-, facturerings-, toestemmings- en verwerkingsregistraties worden afzonderlijk behandeld. Raadpleeg de verwerkersovereenkomst en privacyverklaring van Redactic voor voorwaarden rond bewaring en verwijdering, en vraag ons het profiel voor je workflow te bevestigen. Verder lezen: pagina’s over vertrouwen en beveiliging
Een laatste operationele opmerking voor salarisbureaus die deze architecturale omslag overwegen. De economische afweging tussen zelf bouwen en inkopen valt sterker uit in het voordeel van inkopen dan bij de andere professionele categorieën die we hebben behandeld, om twee redenen. Ten eerste voegt afbakening per klant operationele complexiteit toe waarmee weinig interne teams eerder hebben gewerkt. Ten tweede vereist de behandeling van Artikel 9-kolommen voortdurende afstemming naarmate nationale arbeidsregels veranderen; leveranciers met klanten in meerdere rechtsgebieden zien die ontwikkelingen sneller dan één afzonderlijk bureau. De opportuniteitskosten van uitstel van de architectuurbeslissing zijn bij salarisadministratie hoger dan elders, omdat de doorlopende maandelijkse cyclus voortdurend verleiding tot shadow AI oplevert; elke maand uitstel betekent meer shadow AI-incidenten die zich in het risicoprofiel van het bureau opstapelen.
Als je bureau maandelijks de salarisadministratie voor vijftig of meer verwerkingsverantwoordelijken verwerkt, en dat doet het, loopt elk van die maandelijkse salarisrondes momenteel via e-mail, interne schijven en AI-tools voor consumenten, zonder een klantbewuste maskeringslaag ervoor. De kosten van niets doen zijn niet abstract: het is het volgende datalek bij meerdere verwerkingsverantwoordelijken waarbij één melding er vijftig worden, de volgende inspectie door Garante of CNIL waarbij bewijs over AI-tools als eerste wordt opgevraagd, de volgende klacht van een ondernemingsraad over een monitoringsysteem dat zonder raadpleging is ingevoerd en, steeds vaker, de volgende beroepsaansprakelijkheidsverzekeraar die een claim afwijst omdat het AI-gebruik niet was gedocumenteerd. De architectuur bestaat, de regelgevende klok tikt en de maskeringslaag verdient zichzelf terug zodra een verwerkingsverantwoordelijke voor het eerst om bewijs onder Artikel 30 vraagt. Begin deze maand met de drie verwerkingsverantwoordelijken met het grootste volume. Een pragmatische volgorderegel: geef prioriteit aan de verwerkingsverantwoordelijken met de meest complexe cao’s (meer Artikel 9-kolommen, meer complexiteit rond vakbondscontributies), de verwerkingsverantwoordelijken met de grootste ondernemingsraden (meer toezicht op medezeggenschap) en de verwerkingsverantwoordelijken die het actiefst zijn met grensoverschrijdende detachering van werknemers (meer overlap tussen rechtsgebieden). Bureaus die in de eerste maand de maskeringslaag voor deze drie verwerkingsverantwoordelijken invoeren, merken doorgaans dat de operationele discipline met minimale extra inspanning kan worden overgedragen naar de rest van het klantenbestand, en dat de workflow met certificaten als bewijs binnen één kwartaal de nieuwe standaard wordt. Het moeilijkste is zelden de technologie; het is de operationele omslag van ad-hocafhandeling naar bewijsvoering met certificaten bij elke stap. Zodra die omslag voor drie verwerkingsverantwoordelijken is gemaakt, volgt de rest van het klantenbestand als kwestie van beleid in plaats van opleiding.
Voor de basisarchitectuur zie de basisgids; voor HR-gerelateerde workflows zie het HR-cluster; voor accountancy met een fiscale focus zie het accountantscluster; voor parallellen met advocatenkantoren zie het juridische cluster. Om Redactic aan het werk te zien met een voorbeeldwerkblad voor salarisgegevens van meerdere werknemers, biedt de landingspagina van redactic.eu een live demo. Voor bureaus met een Solo- of Firm-abonnement is dezelfde architectuur beschikbaar tegen de gepubliceerde tarieven per gebruiker en kan die worden uitgebreid naarmate het bureau groeit.