De AVG geldt niet alleen voor grote organisaties. Vrijwel iedere ondernemer verwerkt persoonsgegevens, bijvoorbeeld via klantbestanden, offertes, facturen, e-mailadressen, personeelsdossiers of websiteformulieren.
De omvang van je bedrijf bepaalt niet óf je aan de AVG moet voldoen. De maatregelen moeten wel passen bij de hoeveelheid gegevens, het gebruik ervan en de privacyrisico’s. Een webshop met duizenden klanten moet doorgaans meer regelen dan een zelfstandige met een klein klantenbestand.
1. Breng je persoonsgegevens in kaart
Begin met een overzicht van de persoonsgegevens binnen je bedrijf. Noteer per verwerking:
- welke gegevens je verzamelt;
- van wie de gegevens zijn;
- waarom je ze nodig hebt;
- met wie je ze deelt;
- waar je ze opslaat;
- hoe lang je ze bewaart;
- hoe je ze beveiligt.
Denk niet alleen aan klanten. Ook gegevens van medewerkers, sollicitanten, leveranciers en nieuwsbriefabonnees vallen onder de AVG.
Voor iedere verwerking heb je een geldige grondslag nodig. Je verwerkt gegevens bijvoorbeeld omdat dit nodig is voor een overeenkomst, vanwege een wettelijke verplichting of omdat je een gerechtvaardigd belang hebt. Toestemming is slechts één van de zes mogelijke grondslagen en is dus lang niet altijd nodig.
Verzamel daarnaast niet meer gegevens dan noodzakelijk. Voor het versturen van een offerte heb je meestal geen geboortedatum of kopie van een identiteitsbewijs nodig.
2. Houd een verwerkingsregister bij
In een verwerkingsregister leg je vast welke persoonsgegevens je verwerkt en waarom. Voor kleine bedrijven kan dit vaak in een overzichtelijk document of spreadsheet.
Er bestaat een beperkte uitzondering voor organisaties met minder dan 250 medewerkers. Toch is een register voor kleine ondernemers bijna altijd verplicht wanneer gegevens niet incidenteel, maar structureel worden verwerkt. Klantadministratie, salarisadministratie en e-mailmarketing zijn voorbeelden van terugkerende verwerkingen.
Neem in het register minimaal op:
- de doelen van de verwerking;
- de soorten persoonsgegevens;
- de groepen mensen van wie je gegevens verwerkt;
- ontvangers of externe partijen;
- bewaartermijnen;
- beveiligingsmaatregelen;
- eventuele doorgifte buiten de Europese Economische Ruimte.
Het register hoeft geen ingewikkeld juridisch document te zijn. Het moet vooral aansluiten op wat er werkelijk binnen je bedrijf gebeurt.
3. Maak een duidelijke privacyverklaring
Mensen hebben het recht om te weten wat je met hun persoonsgegevens doet. Een privacyverklaring op je website is een praktische manier om aan deze informatieplicht te voldoen.
Beschrijf in gewone taal:
- wie verantwoordelijk is voor de gegevens;
- welke persoonsgegevens je verzamelt;
- voor welke doelen je ze gebruikt;
- op welke grondslag dat gebeurt;
- met welke partijen je gegevens deelt;
- hoe lang je gegevens bewaart;
- welke privacyrechten mensen hebben;
- hoe iemand contact kan opnemen;
- hoe iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens.
De verklaring moet duidelijk, toegankelijk en actueel zijn. Kopieer daarom niet zomaar de privacyverklaring van een ander bedrijf. De tekst moet overeenkomen met je eigen formulieren, software, cookies en werkwijze.
Vermeld ook geen bewaartermijn die je in de praktijk niet naleeft. De AVG schrijft niet voor iedere soort informatie een vaste termijn voor, maar gegevens mogen niet langer worden bewaard dan nodig is voor het doel waarvoor ze zijn verzameld. Andere wetten, zoals fiscale regelgeving, kunnen wel minimale bewaartermijnen voorschrijven.
4. Sluit de juiste verwerkersovereenkomsten
Schakel je een externe partij in die namens jou persoonsgegevens verwerkt? Dan heb je meestal een verwerkersovereenkomst nodig.
Denk bijvoorbeeld aan:
- een hostingbedrijf;
- salarissoftware;
- een e-mailmarketingplatform;
- cloudopslag;
- een CRM-systeem;
- bepaalde IT-dienstverleners.
In de overeenkomst leg je onder meer vast wat de leverancier met de gegevens mag doen, hoe deze worden beveiligd en wat er bij een datalek gebeurt.
Niet iedere leverancier is automatisch een verwerker. Een partij die zelf bepaalt waarom en hoe persoonsgegevens worden gebruikt, kan zelfstandig verwerkingsverantwoordelijke zijn. Een bank is bijvoorbeeld meestal geen verwerker van jouw bedrijf. Bij boekhouders en accountants hangt de rol mede af van de werkzaamheden.
Veel softwareleveranciers bieden standaardvoorwaarden of een verwerkingsovereenkomst aan. Controleer wel of deze aansluit op je gebruik. Jij blijft verantwoordelijk voor het zorgvuldig selecteren van leveranciers.
5. Beveilig gegevens praktisch
De AVG schrijft niet voor dat ieder klein bedrijf dezelfde beveiligingssoftware moet gebruiken. Je moet passende technische en organisatorische maatregelen nemen die aansluiten op de risico’s.
Voor de meeste kleine bedrijven begint dat met:
- unieke en sterke wachtwoorden;
- tweestapsverificatie;
- tijdig installeren van updates;
- versleuteling van laptops en telefoons;
- regelmatige back-ups;
- beperkte toegangsrechten;
- veilig verwijderen van oude gegevens;
- afspraken over thuiswerken en privéapparaten.
Geef medewerkers alleen toegang tot gegevens die zij voor hun werk nodig hebben. Trek accounts en toegangsrechten direct in wanneer iemand uit dienst gaat.
Voorkom daarnaast dat klantgegevens ongecontroleerd worden opgeslagen in losse Excelbestanden, privé-mailboxen of persoonlijke cloudomgevingen. Beveiliging gaat niet alleen over hackers, maar ook over menselijke fouten.
6. Bereid je voor op privacyverzoeken
Klanten, medewerkers en andere betrokkenen kunnen vragen om inzage, correctie of verwijdering van hun persoonsgegevens. Zij kunnen in bepaalde situaties ook bezwaar maken tegen het gebruik ervan of vragen om beperking van de verwerking.
In beginsel moet je binnen één maand op zo’n verzoek reageren. Alleen bij ingewikkelde of meerdere verzoeken kan die termijn onder voorwaarden worden verlengd.
Leg daarom vast:
- waar een verzoek binnenkomt;
- wie het behandelt;
- hoe je de identiteit controleert;
- in welke systemen je gegevens opzoekt;
- hoe je het verzoek en je reactie registreert.
Verwijderen is niet altijd verplicht. Gegevens die je vanwege een wettelijke bewaarplicht nodig hebt, mag of moet je soms langer bewaren.
7. Weet wat je bij een datalek moet doen
Een datalek is meer dan gestolen klantgegevens. Ook een e-mail aan de verkeerde ontvanger, een verloren laptop, een gehackt account of het onbedoeld verwijderen van gegevens kan een datalek zijn.
Niet ieder datalek hoeft bij de Autoriteit Persoonsgegevens te worden gemeld. Melden is verplicht wanneer het incident waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokken personen. Dat moet binnen 72 uur nadat je van het lek op de hoogte bent geraakt.
Bij een hoog risico moet je mogelijk ook de getroffen personen informeren. Alle datalekken en de gemaakte afwegingen moet je intern documenteren, ook wanneer je besluit het incident niet bij de toezichthouder te melden.
Maak daarom een eenvoudig datalekprotocol met daarin:
- bij wie medewerkers een incident melden;
- welke informatie moet worden vastgelegd;
- wie de ernst beoordeelt;
- wie contact opneemt met leveranciers;
- wie een eventuele melding bij de AP doet.
Vergeet je cookies niet
Gebruik je alleen noodzakelijke cookies, dan is voorafgaande toestemming meestal niet nodig. Voor trackingcookies en veel marketingcookies moet een bezoeker wel vooraf geïnformeerd worden en geldige toestemming geven.
Een cookiebanner waarbij “accepteren” opvallend zichtbaar is, maar weigeren moeilijk wordt gemaakt, voldoet niet automatisch. Bezoekers moeten een echte keuze krijgen.
Controleer ook welke scripts daadwerkelijk op je website staan. Denk aan analytics, advertenties, video’s, chatfuncties en sociale-mediapixels.
Houd de AVG werkbaar
De AVG vraagt om aantoonbare zorgvuldigheid. Voor een klein bedrijf betekent dat vooral dat je weet welke gegevens je hebt, waarom je ze gebruikt en hoe je ze beschermt.
Zorg minimaal voor:
- een actueel verwerkingsregister;
- een passende grondslag per verwerking;
- een duidelijke privacyverklaring;
- de benodigde verwerkersovereenkomsten;
- passende beveiligingsmaatregelen;
- een proces voor privacyverzoeken;
- een datalekregister en datalekprocedure;
- een correcte cookiebanner wanneer toestemming nodig is.
Controleer dit overzicht ieder jaar en wanneer je nieuwe software, medewerkers of marketingmiddelen inzet. Zo voorkom je dat je privacybeleid alleen op papier klopt, terwijl de praktijk inmiddels is veranderd.
Dit artikel bevat algemene informatie en is geen juridisch advies voor een specifieke situatie.