AVG in de praktijk: welke verplichtingen gelden er eigenlijk voor jouw bedrijf?

🇳🇱 Dit artikel is geschreven op Nederlands recht. De genoemde wetsartikelen en termijnen gelden zo niet in jouw land; de contractmodellen maken we voor jou wél naar het recht dat bovenaan staat ingesteld.

Stel: je runt een webshop. Klanten vullen hun naam, adres en e-mailadres in om te bestellen, en je vraagt bij het afrekenen of ze zich ook willen aanmelden voor de nieuwsbrief. Die gegevens sla je op in je webshopsysteem, je deelt ze met een pakketdienst en je boekhoudprogramma verwerkt ze ook. Op dat moment ben je bezig met het verwerken van persoonsgegevens, en daar gelden regels voor. Niet alleen voor grote bedrijven, maar ook voor een eenpersoonszaak met honderd klanten per jaar.

De Algemene verordening gegevensbescherming (AVG) regelt hoe bedrijven met persoonsgegevens mogen omgaan. Veel ondernemers denken dat dit vooral over privacyverklaringen en cookiebanners gaat, maar de verplichtingen gaan verder dan dat.

Wat moet je regelen?

Allereerst moet je een geldige reden hebben om gegevens te verwerken, bijvoorbeeld omdat het nodig is voor het uitvoeren van een overeenkomst (de bestelling) of omdat de klant daar expliciet toestemming voor heeft gegeven (de nieuwsbrief). Zonder zo'n grondslag mag je de gegevens simpelweg niet verzamelen of gebruiken.

Daarnaast moet je je houden aan een aantal basisbeginselen: je verzamelt niet meer gegevens dan nodig, je gebruikt ze alleen voor het doel waarvoor je ze hebt gekregen, en je bewaart ze niet langer dan noodzakelijk. Verzamel je het adres van een klant voor de levering, dan gebruik je dat niet zomaar ook voor iets anders zonder dat de klant dat weet.

Verwerk je persoonsgegevens op een manier die risico's met zich meebrengt voor de mensen om wie het gaat, dan moet je vooraf onderzoeken wat die risico's zijn en hoe je ze beperkt. Dat geldt bijvoorbeeld bij grootschalige verwerking van gevoelige gegevens, zoals gezondheidsdata.

Je moet ook kunnen aantonen dat je je aan de regels houdt. Dat betekent onder meer dat je moet bijhouden welke persoonsgegevens je verwerkt, met welk doel en hoe lang je ze bewaart. En je moet passende technische en organisatorische maatregelen nemen om die gegevens te beveiligen, bijvoorbeeld tegen verlies of onbevoegde toegang.

Gaat er toch iets mis, bijvoorbeeld omdat een laptop met klantgegevens wordt gestolen of een e-mail met persoonsgegevens naar de verkeerde ontvanger gaat, dan moet je dat in veel gevallen melden bij de toezichthouder. Afhankelijk van de ernst moet je ook de betrokken klanten informeren.

Laat je gegevens door een externe partij verwerken, zoals een marketingbureau dat je nieuwsbrief verstuurt of een cloudleverancier die je klantenbestand host, dan moet je daarmee afspraken vastleggen over hoe die partij met de gegevens omgaat. Zonder zulke afspraken verwerk je persoonsgegevens niet rechtmatig, ook al heb je zelf alles netjes op orde.

Waar let je op?

• Ga na op welke grondslag je persoonsgegevens verwerkt, en zorg dat je dit per doel (bestelling, nieuwsbrief, klantenservice) kunt onderbouwen.
• Houd bij welke gegevens je verwerkt, waarvoor, hoe lang je ze bewaart en welke beveiligingsmaatregelen je hebt genomen.
• Maak afspraken met leveranciers die namens jou persoonsgegevens verwerken, en bepaal vooraf wie welke stappen zet als er onverwacht een datalek ontstaat.

Dit artikel is algemene informatie, geen juridisch advies. Twijfel je over jouw situatie? Scan je contract gratis — en als het advies moet worden, tekent er een jurist.