Ook een kleine onderneming verwerkt persoonsgegevens: van klanten, leveranciers en personeel. De GDPR (in het Nederlands de AVG) vraagt niet dat je een juridisch harnas bouwt, maar wel dat je kan aantonen dat je het netjes doet. Dit is wat er in je dossier hoort.
1. Een verwerkingsregister
Het register (artikel 30) is de ruggengraat van je dossier. Het is een overzicht van welke persoonsgegevens je verwerkt, waarom, op welke grondslag, hoelang je ze bewaart en met wie je ze deelt. Denk aan je klantenbestand, je nieuwsbrief, je personeelsadministratie en je camerabewaking. Een eenvoudige, actuele lijst volstaat; je hoeft er geen jurist voor in te huren.
2. Een privacyverklaring
De privacyverklaring (artikelen 13 en 14) is de kant naar buiten: je vertelt betrokkenen in heldere taal wat je met hun gegevens doet en welke rechten ze hebben. Ze hoort op je website te staan en waar je gegevens verzamelt (contactformulier, inschrijving, sollicitatie).
3. Verwerkersovereenkomsten
Werk je met leveranciers die in jouw naam gegevens verwerken (je boekhouder, je IT-partner, je nieuwsbrieftool, je hostingpartij), dan heb je met elk een verwerkersovereenkomst nodig (artikel 28). Die legt vast dat zij de gegevens enkel volgens jouw instructies gebruiken en goed beveiligen.
4. Een plan voor datalekken
Een datalek moet je in principe binnen 72 uur melden aan de Gegevensbeschermingsautoriteit (GBA), en soms ook aan de betrokkenen zelf. Zorg dat je vooraf weet wie wat doet als het gebeurt, zodat je niet in paniek de klok ziet tikken. Een kort draaiboek volstaat.
5. Een DPIA waar nodig
Bij verwerkingen met een hoog risico (bijvoorbeeld grootschalige gevoelige gegevens of stelselmatige monitoring) vraagt de GDPR een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35). Voor de meeste kleine ondernemingen is dat niet aan de orde, maar het is goed om de vraag bewust te stellen.
En de rest?
Daarnaast leunt een goed dossier op enkele gewoontes: gegevens niet langer bewaren dan nodig, toegang beperken tot wie ze echt nodig heeft, en verzoeken van betrokkenen (inzage, verwijdering) tijdig behandelen. Dat hoeft geen zware administratie te zijn, als je het maar hebt vastgelegd.
Zo pak je het aan
Je hoeft dit niet in één keer perfect te hebben. Begin met je register en je privacyverklaring, voeg dan je verwerkersovereenkomsten toe en leg je datalekdraaiboek vast. Konforma stelt je een paar vragen in gewone taal en bouwt daaruit je volledige dossier op, inclusief deelbare bewijspagina. Doe de gratis GDPR-check om te zien waar je staat, of bekijk wat Konforma doet. Ben je advocaat, boekhouder, arts of consultant? Lees dan onze aanpak voor vrije beroepen.