Regel deze zeven: weet welke persoonsgegevens u heeft, leg dat vast in een verwerkingsregister, sluit verwerkersovereenkomsten met uw leveranciers, beperk wie bij wat kan, bewaar niet langer dan nodig, zet beveiliging op orde en houd een datalekregister bij. Een functionaris voor gegevensbescherming heeft u vrijwel zeker niet nodig.
1. Weet welke gegevens u heeft
Bijna elk bedrijf denkt "wij doen niets met persoonsgegevens" en heeft ze op vijf plekken staan: klantnamen in het boekhoudpakket, personeelsdossiers met kopieën van identiteitsbewijzen, camerabeelden, een mailbox vol correspondentie, en sollicitatiebrieven die er al drie jaar staan.
Loop een middag uw systemen langs en schrijf op wat er staat. Dat is meteen stap twee.
2. Een verwerkingsregister
Dit klinkt zwaarder dan het is: een overzicht van welke gegevens u verwerkt, waarom, hoe lang u ze bewaart en wie erbij kan. Een tabel in een document volstaat voor een klein bedrijf. Vijf tot tien regels is normaal.
3. Verwerkersovereenkomsten
Iedereen die namens u persoonsgegevens verwerkt, heeft zo'n overeenkomst nodig: uw boekhouder, uw salarisadministratie, uw IT-beheerder, de leverancier van uw branchesoftware. Bij grote aanbieders als Microsoft en Google zit die standaard in de voorwaarden en hoeft u niets te tekenen.
Waar het in de praktijk ontbreekt, is bij de kleine partijen: de lokale webbouwer, het administratiekantoor om de hoek. Vraag er gewoon naar; een fatsoenlijke partij heeft er een klaarliggen.
4. Beperk wie bij wat kan
De meest voorkomende overtreding die ik tegenkom is niet een hack, maar een gedeelde map waar iedereen in kan, inclusief de personeelsdossiers. Salarisgegevens horen niet zichtbaar te zijn voor het magazijn. Dit kost een uur opruimen en lost meer op dan welk beleidsstuk ook.
5. Bewaar niet langer dan nodig
Voor de administratie geldt de fiscale bewaarplicht van zeven jaar. Voor sollicitatiegegevens is vier weken na afloop de richtlijn, of een jaar met toestemming. Personeelsdossiers kennen eigen termijnen. Zet één keer per jaar een middag in de agenda om op te ruimen; dat is de enige manier waarop het gebeurt.
6. Beveiliging die bij het risico past
De wet noemt geen producten, maar "passende maatregelen". Voor een klein bedrijf betekent dat in de praktijk: tweestapsverificatie, versleutelde laptops, een werkende back-up, en geen lijstje met wachtwoorden in Excel. Kunt u dat aantonen, dan bent u in gesprek met een toezichthouder een heel eind.
7. Een datalekregister
Elk incident vastleggen, ook als u niet meldt, met de reden waarom niet. Dit is de goedkoopste verzekering die er is en het kost u vijf minuten per incident.
Wat u waarschijnlijk niet nodig heeft
- Een functionaris voor gegevensbescherming. Verplicht voor overheden en voor organisaties die op grote schaal gevoelige gegevens verwerken. Een installatiebedrijf met vijftien man valt daar niet onder.
- Een dik privacybeleid van een extern bureau. Een duidelijke privacyverklaring op uw website plus het register is voor de meeste kleine bedrijven voldoende.
- Certificering. Bestaat niet als AVG-keurmerk waar u aan moet voldoen.