AVG-Compliance voor Ondernemers: De Complete Gids

Wat is de AVG?

De Algemene Verordening Gegevensbescherming (AVG), in het Engels bekend als GDPR, is de Europese privacywetgeving die sinds 25 mei 2018 van kracht is. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de EU — ongeacht de grootte van je bedrijf.

Wanneer verwerk je persoonsgegevens?

Vrijwel altijd. Persoonsgegevens zijn alle gegevens die direct of indirect herleidbaar zijn tot een persoon:

• Namen, e-mailadressen, telefoonnummers
• IP-adressen en cookies
• Locatiegegevens
• Financiële gegevens (bankrekeningnummers, salarisgegevens)
• BSN-nummers en gezondheidsgegevens (bijzondere persoonsgegevens)

Welke documenten heb je nodig?

Om AVG-compliant te zijn, heb je minimaal de volgende documenten nodig:

1. Privacyverklaring — Een duidelijke uitleg aan betrokkenen over welke gegevens je verzamelt, waarom, en hoe lang je ze bewaart.
2. Verwerkingsregister — Een intern overzicht van alle verwerkingsactiviteiten binnen je organisatie.
3. Verwerkersovereenkomst (DPA) — Een contract met elke partij die namens jou persoonsgegevens verwerkt (denk aan hosting, e-maildiensten, boekhoudsoftware).
4. Cookieverklaring — Als je website cookies plaatst, moet je uitleggen welke cookies je gebruikt en waarvoor.
5. Datalekprotocol — Een intern plan voor het melden van datalekken bij de Autoriteit Persoonsgegevens (binnen 72 uur verplicht).

Boetes bij niet-naleving

De AVG kent twee boetecategorieën, en het scheelt de helft welke van de twee je raakt. Twee van de documenten uit het lijstje hierboven zitten niet in dezelfde categorie, en dat is precies de verwarring die je wilt vermijden.

Artikel 83 lid 5 AVG: tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Deze categorie geldt onder meer voor de basisbeginselen (artikelen 5, 6, 7 en 9) en voor de rechten van betrokkenen, die de AVG omschrijft als de artikelen 12 tot en met 22. Daar valt de informatieplicht van artikel 13 en 14 onder, en dat is de verplichting die je met een privacyverklaring invult. Een ontbrekende of onvolledige privacyverklaring zit dus in de hoogste categorie.

Artikel 83 lid 4 AVG: tot €10 miljoen of 2%. Deze categorie geldt voor de verplichtingen van de verwerkingsverantwoordelijke en de verwerker zelf, die de AVG omschrijft als de artikelen 8, 11, 25 tot en met 39, en 42 en 43. Daar valt de registerplicht van artikel 30 onder. Een ontbrekend verwerkingsregister zit dus in de lagere categorie, niet in de categorie van 4% waar het vaak aan wordt gekoppeld.

In de praktijk haalt de Autoriteit Persoonsgegevens die plafonds bij het MKB zelden. Dat is geen reden om het te laten liggen: boetes van tienduizenden euro's voor kleinere overtreders zijn geen uitzondering meer, en een ontbrekend register is het eerste waar de AP naar vraagt.

De 6 grondslagen voor verwerking

Volgens de AVG mag je persoonsgegevens alleen verwerken op basis van één van deze zes grondslagen:

1. Toestemming — De betrokkene heeft expliciet toestemming gegeven.
2. Uitvoering van een overeenkomst — De verwerking is nodig om een contract uit te voeren.
3. Wettelijke verplichting — Een wet verplicht je tot verwerking (bijv. belastingwetgeving).
4. Vitaal belang — De verwerking is nodig om iemands leven te beschermen.
5. Algemeen belang — De verwerking is nodig voor een taak van algemeen belang.
6. Gerechtvaardigd belang — De verwerking is nodig voor een gerechtvaardigd bedrijfsbelang, mits dit niet zwaarder weegt dan de belangen van de betrokkene.

AVG-compliance met ZekerWet

ZekerWet genereert alle vereiste AVG-documenten automatisch: privacyverklaring, verwerkersovereenkomst, cookieverklaring en datalekprotocol. Volledig afgestemd op jouw specifieke situatie en altijd up-to-date met de laatste wetgeving.

De documenten zelf genereer je via de privacyverklaring-generator.

Dit artikel is algemene informatie. Het beschrijft de hoofdregel en gaat niet in op alle uitzonderingen die in jouw situatie kunnen spelen.