10 stappen op weg naar een AVG-proof bestaan

Je verzamelt (ongemerkt) persoonsgegevens, of je nu een ZP’er bent of een bedrijf runt met een team van medewerkers. Om die persoonsgegevens volgens de AVG te kunnen beveiligen, moet je weten waar en wanneer je die gegevens verzamelt.

Loop daarom heel zorgvuldig alle processen in je onderneming door en stel een duidelijk overzicht samen van alle persoonsgegevens die je verzamelt. Je hebt namen, mailadressen en misschien zelfs telefoonnummers van klanten, samenwerkingspartners en mensen die geïnteresseerd zijn in jouw diensten of producten. Je verstuurt facturen aan postadressen, met bijvoorbeeld BTW- of andere identificatienummers. Voert misschien een loonadminstratie of stuurt een CV van een nieuwe medewerker door. Je analyseert het verkeer en het zoekgedrag van de bezoekers van je site. Je registreert misschien ergens inloggegevens van je teamleden. Of houdt het koopgedrag van klanten in de gaten om ze persoonlijke aanbiedingen te doen. Kortom, maak een schema waarin je alle persoonsgegevens en alle mogelijke manieren waarop je ze binnen je bedrijf verzamelt, opneemt.

Stel vervolgens vast wat je precies doet met die gegevens, hoe je ze verwerkt en waar je ze bewaart. Bijvoorbeeld “De voornaam en het mailadres van iemand die de nieuwsbrief wil ontvangen, worden verzameld op een maillijst die de nieuwsbriefprovider beheert”,  “De naam, adres en het BTW-nummer van mijn klanten verzamel ik in mijn papieren boekhoudsysteem” of “De naam en het telefoonnummer van mijn prospects sla ik op in mijn CSM systeem .” Controleer verder alle plekken waar je bestanden bewaart zoals een server, je mobiel, je laptop, externe disks, de cloud, je mappen in de archiefkast en je tablet op zoek naar bestanden met persoonsgegevens.

Stel aan de hand van je overzicht van je gegevensverwerkingen per ‘gegevensverwerking’ het volgende vast:

• Met welk doel verzamel en verwerk je persoonsgegevens? Dat kan zijn om mensen op de hoogte te houden van ontwikkelingen binnen je bedrijf, om een factuur te versturen, om een product of dienst te leveren of om je medewerkers loon uit te betalen.
• Van wie en op welke manier krijg je de gegevens en weet degene die de gegevens verstrekt waarom je de gegevens verzamelt? Je krijgt bijvoorbeeld gegevens omdat iemand zijn naam en adres achterlaat via een contactformulier op je site. Die persoon weet dat je zijn gegevens gebruikt om een bericht terug te sturen.
• Kun je een grondslag uit de AVG noemen voor de verwerking? Denk na over de grondslag die je gebruikt om gegevens van mensen te verzamelen en te verwerken.
• Gebruik je de gegevens die je krijgt ook nog voor andere doelen? Je stuurt de persoon die het contactformulier invult, misschien ook automatisch een nieuwsbrief. Onder de AVG is dat niet meer toegestaan. Beslis voor jezelf of je deze gegevens echt nodig hebt. Als het antwoord ‘ja’ is, beschrijf dan een andere manier om aan deze gegevens te komen, die wel mag volgens de AVG.
• Hoe lang bewaar je deze gegevens en waarom? Een factuur met daarop allerlei persoonsgegevens moet je 7 jaar bewaren voor de Belastingdienst. Maar hoe lang bewaar je een adres voor een nieuwbrief of de gegevens van een cursist die mee doet aan jouw workshop? Die termijnen hoeven geen afgebakende, concrete tijdssperiodes te zijn. ‘Totdat de ontvanger zich uitschrijft’ of ‘Tot 3 weken na afloop van de cursus’ mag, zolang je er maar een goede reden voor kunt geven. Dit is ook meteen een goed moment om te beslissen of je de betreffende persoonsgegevens die je hebt gevonden, ook inderdaad nog nodig hebt. Een overzicht met gegevens van deelnemers aan een workshop die je ooit gaf, maar verder niet gebruikt, kun je gerust wegdoen.
• Wie krijgt de persoonsgegevens ook onder ogen of wie kan erbij? Kan alleen jij bij de gegevens of heb je medewerkers en/of samenwerkingspartners die de gegevens ook onder ogen krijgen? Geef je de gegevens door aan andere, derde partijen zoals bijvoorbeeld een hosting provider, een aanbieder van een boekhoudsysteem of een service om bestanden ‘in the cloud’ op te slaan? Zo ja, waarom en waar zijn deze organisaties gevestigd?

Als je al deze antwoorden per verwerkingsactie beantwoordt, heb je de basis voor je verwerkingsregister klaar! Je kunt zo op verzoek aantonen welke persoongegevens je verwerkt, met welk doel, waar je deze gegevens verzamelt en bewaart en met wie je ze gedeeld hebt.

Het verwerkingsregister dat je in de vorige stap hebt opgesteld, helpt je als mensen gebruik willen maken van hun privacyrechten. Ze hebben onder de AVG niet alleen recht op inzage in hun persoonsgegevens en op correctie en verwijdering van de gegevens, maar ook op ‘dataportabiliteit’.

Mocht iemand erom vragen, dan moet het makkelijk voor je zijn snel op zo’n verzoek te kunnen reageren. Zorg dat je iemand zonder veel moeite inzage kunt geven in de gegevens die je van hem of haar hebt. Mocht iemand je vragen de gegevens te corrigeren of te verwijderen, dan moet je dit ook doorgeven aan de andere partijen waarmee je hun gegevens hebt gedeeld. En je moet ervoor zorgen dat mensen hun gegevens makkelijk kunnen krijgen als zij die door willen geven aan een andere organisatie. Het verwerkingsregister is dan een handige leidraad.

Deze stap zullen de meesten onder ons kunnen overslaan.

Een DPIA is alleen verplicht als het verwerken van de persoonsgegevens een hoog privacyrisico kan betekenen voor de mensen van wie de gegevens zijn. Dat is in ieder geval zo als je:

• systematisch en uitvoerig persoonlijke aspecten beoordeelt, zoals profiling
• op grote schaal bijzondere persoonsgegevens verwerkt
• op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht)

Met een Data Protection Impact Assessment, oftewel een gegevensbeschermingseffectbeoordeling, kun je vooraf de privacyrisico’s van een gegevensverwerking in kaart brengen. En vervolgens maatregelen nemen om de risico’s te verkleinen als dat nodig is.

Denk je dat jij verplicht bent een DPIA uit te laten voeren? Lees dan op de site van de Autoriteit Persoonsgevens meer over deze controle.

Je moet beveiligingsmaatregelen nemen om te voorkomen dat de persoonsgegevens die jij verwerkt zomaar op straat komen te liggen. Denk daarbij aan technische maatregelen zoals sterke wachtwoorden, een SSLverbinding voor je site en het beschermen van je bestanden op je computer, maar vergeet ook de organisatorische beveiligingsmaatregelen niet!

Natuurlijk kan het ondanks al je maatregelen een keertje misgaan. Registreer dit datalek dan zelf in je datalekkenprotocol en meld het eventueel bij de Autoriteit Persoonsgegevens. In dit protocol beschrijf je ook een stappenplan dat je doorloopt op het moment dat je te maken krijgt met een datalek.

Als je op grote schaal persoonsgevens analyseert of bijzondere persoonsgegevens als godsdienst, seksualiteit, gezondheid of ras verwerkt, benoem je eventueel een Data Protection Officer, oftewel een Functionaris Gegevensbescherming. Deze functionaris houdt toezicht op de manier waarop je omgaat met de persoonsgevens. Dat kan een medewerker zijn, maar je kan er ook een externe deskundige voor inschakelen.

In je verwerkingsregister heb je beschreven wie nog meer de persoonsgegevens verwerken. Met de partijen die geen onderdeel zijn van jouw bedrijf, zoals bijvoorbeeld je boekhouder, Google, Facebook, en Dropbox, moet je verwerkersovereenkomsten afsluiten. In deze overeenkomsten leg je onder meer vast waar een verwerker aan moet voldoen en wie waarvoor aansprakelijk en verantwoordelijk is. Veel grote partijen hebben deze werkersovereenkomsten al klaar staan en kun je zonder al te veel problemen bij hen opvragen of terugvinden op hun website.

Volgens de AVG moet je er bij het bedenken en ontwerpen van je producten en diensten al voor zorgen dat de persoonsgegevens die je wil verzamelen, goed beschermd zijn. Dit wordt Privacy by design genoemd. Je site heeft een beveiligde internetverbinding met een SSLcertificaat. Je zorgt ervoor dat je niet méér persoonsgegevens verzamelt dan strikt noodzakelijk is. Koopt iemand een product in je webshop, dan mag je deze persoon bijvoorbeeld niet ook om zijn leeftijd of geslacht vragen. Die persoonsgevens zijn namelijk niet van belang voor het bezorgen van de bestelling.

Privacy by default betekent dat de standaardinstellingen van je diensten of invulformulieren de privacy zoveel mogelijk garanderen. Gebruik opt-in of double-opt in formulieren voor inschrijvingen. Je verwijst in die formulieren naar je privacy statement met een link. Mensen die zich inschrijven voor bijvoorbeeld je mailing, moeten expliciet toestemming geven voor het gebruik van hun gegevens. Dat doen ze door een actieve handeling te verrichten zoals het aanklikken van een checkbox en/of het bevestigen van een inschrijving via een link die je ze stuurt. In elke mailing die je ze daarna stuurt, moet het makkelijk zijn om zich weer uit te schrijven en om de gegevens die jij van ze hebt, te kunnen bekijken of wijzigen. Vaak heeft je mailprvider al gezorgd voor deze mogelijkheid en verschijnt de link om dat te kunnen doen automatisch onder de nieuwsbrief die je opmaakt.

Verder heeft de toestemming die iemand geeft, alleen betrekking op de informatie die hij of zij aanvraagt. Als iemand contact met je opneemt via jouw contactformulier, mag je hen niet automatisch op de mailinglijst voor je nieuwsbrieven zetten. Je mag hen wel voorstellen zich ook in te schrijven voor je nieuwsbrief.  Ook daar moeten zij expliciete toestemming voor geven door de checkbox bij die optie aan te klikken. Standaard aangevinkte vakjes mogen echt niet meer onder de AVG!

Onderneem je over de Nederlandse grenzen heen of verwerk je gegevens in meerdere EU-lidstaten omdat je data opslaat of deelt via Dropbox en WeTransfer of emails verstuurt via Gmail? Dan moet je bepalen met welke nationale privacy toezichthouder je te maken wilt hebben. Als je voornamelijk in Nederland actief bent, ligt het voor de hand om voor de Autoriteit Persoonsgegevens te kiezen.

Nu je echt alles wat betreft de persoonsgegevens en de verwerking ervan binnen jouw bedrijf in kaart hebt gebracht, kun je je privacyverklaring opstellen. Je legt er alles in vast wat te maken heeft met het verzamelen en verwerken van persoonsgegevens binnen jouw onderneming. Deze privacyverklaring kun je op je site plaatsen, zodat het makkelijk te vinden is. Je kunt de link naar je privacyverklaring gebruiken in formulieren op je site, maar ook in andere communicatiemiddelen die je gebruikt.