Naar inhoud
IT-Checklist

Privacy & AVG: checklist en advies

Laatst bijgewerkt: · Redactie IT-Checklist · Alle wijzigingen

De Algemene verordening gegevensbescherming (AVG) geldt voor elk bedrijf dat persoonsgegevens verwerkt. Dat doet bijna iedereen: klantgegevens, personeelsdossiers, een nieuwsbrieflijst of camerabeelden. De wet verwacht dat je weet wat je doet en dat je dat kunt laten zien.

De vragen in dit thema volgen de plichten waar de Autoriteit Persoonsgegevens in de praktijk het vaakst naar vraagt.

Kijk waar jouw bedrijf staat op privacy & avg

De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.

Start de IT-check →

Waarom dit ertoe doet

Een datalek met een risico voor de betrokkenen meld je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Moet je dan nog uitzoeken welke gegevens waar staan, dan haal je die termijn niet.

Leveranciers die persoonsgegevens voor je verwerken, vallen onder jouw verantwoordelijkheid. Denk aan je boekhoudpakket, je mailingdienst of je hostingpartij. Zonder verwerkersovereenkomst ben je zelf aansprakelijk voor hoe zij ermee omgaan.

De 11 vragen in dit thema, met advies

Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.

  1. Wij weten welke persoonsgegevens we verwerken en hebben dat vastgelegd (verwerkingsregister).

    Belangrijk

    Maak een simpel overzicht: welke persoonsgegevens verwerk je, waarom, waar staan ze en hoe lang bewaar je ze. Dit is verplicht onder de AVG.

  2. Onze website heeft een privacyverklaring en (waar nodig) een cookiebanner.

    Aanbevolen

    Plaats een privacyverklaring die klopt met wat je Ă©cht doet, en vraag toestemming voor niet-noodzakelijke cookies.

  3. Met partijen die persoonsgegevens voor ons verwerken zijn verwerkersovereenkomsten gesloten.

    Aanbevolen

    Check je boekhouder, mailingtool, hostingpartij en cloudleveranciers: met elk daarvan hoort een verwerkersovereenkomst te zijn.

  4. Wij weten wat we moeten doen bij een datalek en wanneer we het moeten melden.

    Belangrijk

    Een datalek moet vaak binnen 72 uur gemeld worden bij de Autoriteit Persoonsgegevens. Zet de stappen en het meldloket op papier.

  5. Persoonsgegevens worden niet langer bewaard dan nodig en veilig verwijderd.

    Aanbevolen

    Stel bewaartermijnen vast (bijv. sollicitaties 4 weken, facturen 7 jaar) en ruim data periodiek op.

  6. Nieuwsbrieven en marketingmails versturen wij alleen met toestemming en met een werkende afmeldknop.

    Aanbevolen

    Gebruik een mailingtool met dubbele opt-in en automatische afmelding. Ongevraagde marketingmail kan boetes opleveren (AVG en Telecommunicatiewet) en schaadt je reputatie.

  7. Toegang tot persoonsgegevens is beperkt tot medewerkers die ze voor hun werk nodig hebben.

    Aanbevolen

    Scherm mappen met personeels- en klantgegevens af. Niet iedereen hoeft bij salarisgegevens of klantdossiers te kunnen — dit beperkt ook de schade bij een gehackt account.

  8. Datalekken en beveiligingsincidenten worden intern geregistreerd, ook als melden bij de toezichthouder niet nodig is.

    Aanbevolen

    Houd een simpel datalekregister bij (wat, wanneer, gevolgen, maatregelen). Dit is verplicht onder de AVG — ook voor lekken die je niet hoeft te melden.

  9. Voor verwerkingen met een hoog privacyrisico weten wij of een privacytoets (DPIA) nodig is.

    Aanbevolen

    Grootschalige of gevoelige verwerkingen (bijv. cameratoezicht op personeel, gezondheidsdata, tracking) vereisen vaak een DPIA. Check de lijst van de Autoriteit Persoonsgegevens bij twijfel.

  10. Wij weten of persoonsgegevens buiten de EU/EER worden verwerkt en hebben daarvoor passende waarborgen getroffen (bijv. modelcontractbepalingen).

    Belangrijk

    Veel Amerikaanse cloudleveranciers verwerken data (deels) buiten de EU. Check per leverancier waar de data staat en of er modelcontractbepalingen of een ander geldig doorgiftemechanisme is afgesproken.

  11. Wij weten hoe we reageren op een verzoek van een betrokkene (inzage, correctie of verwijdering van gegevens) en binnen welke wettelijke termijn.

    Aanbevolen

    Een verzoek om inzage of verwijdering moet meestal binnen een maand beantwoord worden. Leg vast wie zo'n verzoek oppakt en waar je moet zoeken om het compleet te beantwoorden.

Hier begin je

  • Maak een eenvoudig verwerkingsregister. Welke persoonsgegevens heb je, waarvoor, waar staan ze en hoe lang bewaar je ze?
  • Loop je leveranciers na. Vraag bij elke partij die persoonsgegevens verwerkt de verwerkersovereenkomst op.
  • Schrijf op wat je doet bij een datalek: wie beslist, hoe je meldt bij de Autoriteit Persoonsgegevens en wanneer je betrokkenen informeert.
  • Spreek af hoe je reageert op een verzoek om inzage, correctie of verwijdering. De wettelijke termijn is Ă©Ă©n maand.

Veelgemaakte fouten

  • Alleen de datalekken registreren die je ook meldt. Incidenten die je niet hoeft te melden, moet je intern ook vastleggen.
  • Persoonsgegevens 'voor de zekerheid' eindeloos bewaren.
  • Niet weten dat een Amerikaanse clouddienst persoonsgegevens buiten de EU verwerkt, en daar geen waarborgen voor hebben.

Officiële bronnen

Lees verder

Alle thema's in de checklist