Wat zijn persoonsgegevens?
Persoonsgegevens zijn alle gegevens waarmee je iemand direct of indirect kunt herkennen: een naam, e-mailadres, telefoonnummer, adres, maar ook een klantnummer of IP-adres. Voor bijzondere persoonsgegevens, zoals gezondheid, en voor het burgerservicenummer gelden extra strenge regels. Denk bij gezondheid bijvoorbeeld aan verzuimgegevens van medewerkers.
Stap 1: weet wat je verwerkt
Begin met een overzicht van alle persoonsgegevens die je verwerkt: van wie, welke gegevens, waarvoor, op grond waarvan, hoe lang je ze bewaart en met wie je ze deelt. Dat overzicht heet het register van verwerkingsactiviteiten. In de praktijk moet vrijwel elk bedrijf zo’n register hebben, omdat je bijvoorbeeld structureel gegevens van medewerkers en klanten verwerkt. Het register is bovendien de basis voor alle andere stappen.
Kijk daarbij kritisch of je alle gegevens wel nodig hebt. Gegevens die je niet verzamelt, hoef je ook niet te beveiligen. En bepaal bewaartermijnen: gegevens die je niet meer nodig hebt, moet je verwijderen. Voor sommige gegevens gelden wettelijke bewaartermijnen, zoals voor de administratie en de loonadministratie.
Stap 2: leg het uit
Mensen hebben het recht om te weten wat je met hun gegevens doet. Dat leg je uit in een privacyverklaring op je website: welke gegevens je verwerkt, waarvoor, hoe lang, met wie je ze deelt en welke rechten mensen hebben. Voor medewerkers kun je een aparte privacyverklaring opnemen, bijvoorbeeld in het personeelshandboek. Schrijf in begrijpelijke taal; een verklaring vol juridische termen voldoet niet aan de bedoeling van de wet.
Stap 3: maak afspraken met leveranciers
Laat je persoonsgegevens verwerken door een andere partij, zoals een boekhoudpakket, salarisverwerker, cloudopslag, nieuwsbriefdienst of IT-beheerder? Dan is die partij een verwerker en moet je een verwerkersovereenkomst sluiten. Daarin staat onder meer hoe de verwerker de gegevens beveiligt, wat er gebeurt bij een datalek en wat er na afloop met de gegevens gebeurt. Veel grote leveranciers bieden een standaard verwerkersovereenkomst aan; controleer of je die hebt geaccepteerd.
Stap 4: beveilig de gegevens
De AVG vraagt passende beveiliging. Voor het mkb gaat het vooral om de basis: sterke wachtwoorden en tweestapsverificatie, actuele software, versleutelde laptops en telefoons, back-ups, en alleen toegang voor wie het nodig heeft. Minstens zo belangrijk is het gedrag van medewerkers. Veel datalekken ontstaan door een verkeerd verstuurde e-mail of een klik op een phishingbericht. Een korte jaarlijkse bewustwordingstraining helpt.
Stap 5: wees voorbereid op een datalek
Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of in verkeerde handen kunnen komen. Bijvoorbeeld een gestolen laptop, een e-mail met klantgegevens aan de verkeerde ontvanger of een hack. Leg elk datalek vast in een intern register. Is er een risico voor de betrokkenen, dan moet je het datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, en bij een hoog risico ook de betrokkenen zelf informeren. Spreek vooraf af wie wat doet, zodat je niet onder tijdsdruk hoeft te improviseren.
Rechten van betrokkenen
Mensen kunnen je vragen welke gegevens je van hen hebt, ze laten corrigeren of verwijderen. Op zo’n verzoek moet je in de regel binnen een maand reageren. Zorg dat duidelijk is wie zulke verzoeken afhandelt, en dat je de gegevens snel kunt terugvinden. Een goed register maakt dat een stuk eenvoudiger.
Extra aandacht bij hoog risico
Verwerk je gegevens op een manier die een hoog risico kan opleveren, bijvoorbeeld grootschalig, met gevoelige gegevens of met nieuwe technologie zoals AI, dan kan een gegevensbeschermingseffectbeoordeling verplicht zijn. Daarin breng je de risico’s in kaart en de maatregelen om ze te beperken. Twijfel je of dat voor jou geldt, laat het dan toetsen.
Een voorbeeld
Een administratiekantoor met vijftien medewerkers wilde de AVG eindelijk goed regelen. In een paar sessies werd het register opgesteld, de privacyverklaring herschreven en werden verwerkersovereenkomsten met alle softwareleveranciers verzameld. Laptops werden versleuteld, tweestapsverificatie werd overal ingeschakeld en medewerkers kregen een korte training. Toen een medewerker een paar maanden later per ongeluk een overzicht naar de verkeerde klant mailde, wist iedereen wat te doen: het lek werd vastgelegd, beoordeeld en binnen de termijn afgehandeld.
Klein beginnen, bijhouden
De AVG hoeft geen papieren tijger te worden. Begin met de vijf stappen hierboven, op een niveau dat past bij de omvang van je bedrijf. Wijs iemand aan die het bijhoudt, en bespreek het onderwerp één keer per jaar: zijn er nieuwe systemen of leveranciers bijgekomen, kloppen de bewaartermijnen nog, en zijn er datalekken geweest waar je van kunt leren? Zo groeit je privacybeleid mee met je bedrijf, zonder dat het veel tijd kost.
Veelgestelde vragen
Geldt de AVG ook voor kleine bedrijven?
Ja. Ieder bedrijf dat persoonsgegevens verwerkt, valt onder de AVG. Voor kleine bedrijven gelden wel enkele uitzonderingen, maar de basisverplichtingen gelden voor iedereen.
Moet ik een register van verwerkingsactiviteiten hebben?
In de praktijk vrijwel altijd, omdat je structureel gegevens van klanten en medewerkers verwerkt.
Wanneer moet ik een datalek melden?
Binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, als er een risico is voor de betrokkenen. Leg elk datalek daarnaast intern vast.
Wat is een verwerkersovereenkomst?
Een overeenkomst met een partij die namens jou persoonsgegevens verwerkt, zoals een softwareleverancier. Daarin staan afspraken over beveiliging en datalekken.
Hoe snel moet ik reageren op een verzoek om inzage?
In de regel binnen een maand.
Heb ik een functionaris gegevensbescherming nodig?
Voor de meeste mkb-bedrijven niet. Het is verplicht voor overheidsinstanties en voor organisaties die op grote schaal gevoelige gegevens verwerken of mensen stelselmatig volgen. Wijs wel intern iemand aan die het onderwerp bijhoudt.
