AVG voor zzp'ers en kleine bedrijven: wat moet je echt geregeld hebben

De AVG, de Europese privacywet, geldt ook voor jou als ondernemer, hoe klein je bedrijf ook is. Een klantenbestand, een map met facturen of een contactformulier op je website is al genoeg om onder de wet te vallen. Wat je dan echt geregeld moet hebben is te overzien: een overzicht van welke gegevens je verwerkt en waarom (het verwerkingsregister), een privacyverklaring op je website, afspraken met de diensten die gegevens voor jou verwerken, een veilige opslag en een plan voor als er toch iets misgaat. Niets daarvan hoeft groot of duur te zijn. Je moet het alleen kunnen laten zien als iemand ernaar vraagt.

Geldt de AVG echt ook voor een eenpitter?

Ja. De wet kijkt niet naar hoe groot je bent, maar naar wat je met persoonsgegevens doet. De KVK zegt het letterlijk: de wet geldt voor bedrijven van elke grootte, van zzp’ers tot grote organisaties.

Persoonsgegevens zijn alle gegevens die je aan een mens kunt koppelen. Een naam, een telefoonnummer, een mailadres als jan@bakkerijjansen.nl, het adres op een factuur. Sla je zoiets op, dan ben je aan het verwerken, ook als dat gewoon in een Excel-bestand of je mailbox gebeurt. Er is geen ondergrens waaronder de wet je met rust laat.

Is een privacyverklaring verplicht?

Ja, en hier is geen uitzondering op. Verwerk je persoonsgegevens, dan is een privacyverklaring altijd verplicht, schrijft Ondernemersplein van de Rijksoverheid. De Autoriteit Persoonsgegevens (AP), de toezichthouder, zegt hetzelfde: iedere organisatie moet mensen helder vertellen welke gegevens ze verwerkt en waarvoor.

In die verklaring staat wie je bent, welke gegevens je verzamelt, waarvoor, op basis waarvan je dat mag (bijvoorbeeld omdat het nodig is om een opdracht uit te voeren), hoe lang je ze bewaart en met wie je ze deelt. Plus de rechten die mensen hebben, zoals inzage en verwijdering. De wet eist begrijpelijke taal, geen juristenproza. Een gekopieerd sjabloon dat niet beschrijft wat jij werkelijk doet, voldoet dus niet: de verklaring moet kloppen met jouw praktijk.

Moet ik een verwerkingsregister bijhouden?

Bijna zeker wel, en dit is de plek waar de meeste ondernemers zich verkijken. Er bestaat een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt zodra je verwerking niet incidenteel is. En de AP merkt daar zelf bij op dat verwerkingen in de praktijk zelden incidenteel zijn: een klantenbestand bijhouden is al structureel. Daarom schrijft de AP in haar stappenplan voor ondernemers en mkb dat het register bijna altijd verplicht is, meestal ook voor kleine ondernemers.

Het goede nieuws staat op diezelfde pagina: hoe minder gegevens je verwerkt, hoe minder werk het is. De vorm mag je zelf kiezen. In het register staat welke gegevens je verwerkt, van wie, waarvoor, hoe lang je ze bewaart en hoe je ze beveiligt. Voor een zzp’er past dat vaak op één A4 of in één spreadsheet. De KVK heeft een stappenplan met voorbeeld om je op weg te helpen.

Wat moet ik regelen met mijn tools en hosting?

Vrijwel elk klein bedrijf besteedt verwerkingen uit zonder daarbij stil te staan. Je boekhoudpakket kent je klanten, je nieuwsbriefdienst heeft de mailadressen, je hostingpartij slaat de inzendingen van je contactformulier op. Met elke partij die zo persoonsgegevens voor jou verwerkt, moet je een verwerkersovereenkomst sluiten: afspraken over wat die partij met de gegevens mag doen en hoe ze beveiligd worden.

Dat klinkt zwaarder dan het is. Grote diensten hebben zo’n overeenkomst standaard klaarstaan, vaak accepteer je die in je accountinstellingen of zit hij in de algemene voorwaarden verwerkt. Het werk zit hem vooral in het langslopen van je tools: welke diensten raken klantgegevens aan, en heb ik het daar geregeld? Wanneer je zo’n overeenkomst wel en niet nodig hebt, ook richting je eigen opdrachtgevers, staat uitgebreider in Verwerkersovereenkomst: wanneer heb je die echt nodig als zzp’er?.

Wat doe je bij een datalek?

Een datalek is elk moment waarop persoonsgegevens kwijtraken of in verkeerde handen komen. Een mail naar de verkeerde ontvanger, een gestolen laptop, een gehackt account. Het overkomt ook zorgvuldige bedrijven, en de wet weet dat. De stappen voor het moment zelf staan in Een datalek in je bedrijf: wat doe je in de eerste 72 uur?.

Wat de wet vraagt: schat in wat het risico is voor de mensen om wie het gaat. Een datalek meld je bij de AP, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Melden moet binnen 72 uur nadat je het lek hebt ontdekt, via het meldformulier op de site van de AP. Is het risico voor de slachtoffers hoog, dan moet je hen ook zelf informeren. En elk datalek, ook eentje die je niet hoeft te melden, zet je in je eigen datalekregister: wat er gebeurde en wat je eraan gedaan hebt.

Wanneer heb ik een cookiebanner nodig?

Niet voor alles, en dat scheelt. Cookies die je site simpelweg laten werken, zoals een winkelmandje of een taalkeuze, mogen zonder toestemming; je moet er wel over informeren, bijvoorbeeld in je privacyverklaring. Ook beperkt analytische cookies met geen of geringe gevolgen voor de privacy mogen zonder toestemming. Maar tracking cookies, die bezoekers over meerdere websites volgen voor bijvoorbeeld advertenties, mag je pas plaatsen nadat je bezoeker is geïnformeerd en actief toestemming heeft gegeven.

Zo werkt het op deze site ook: statistieken staan standaard uit en laden pas als je ze via de cookiebanner aanzet, en het privacybeleid beschrijft in gewone taal wat er verder met je gegevens gebeurt.

Waar begin je?

De volgorde die in de praktijk het best werkt:

1. Zet in één document welke persoonsgegevens je verwerkt, van wie, waarvoor en hoe lang. Dat document is meteen je verwerkingsregister.
2. Schrijf of herschrijf je privacyverklaring zodat die precies dat overzicht vertelt.
3. Loop je tools en je hosting langs en regel per dienst de verwerkersovereenkomst.
4. Doe de basisbeveiliging: sterke wachtwoorden, tweestapsverificatie en updates, want gegevens beveiligen is een eigen verplichting onder de AVG.
5. Weet nu alvast waar je een datalek meldt, zodat je binnen die 72 uur niet hoeft te zoeken.

Er is toezicht op dit alles: mensen kunnen een klacht over jouw bedrijf indienen bij de AP, en als die klacht klopt kan dat een boete opleveren. Maar de betere reden om dit te regelen is dezelfde als waarom je je administratie bijhoudt: het hoort bij een bedrijf dat zijn zaken op orde heeft, en je klanten merken het verschil.

Voor de duidelijkheid: dit artikel geeft je de praktische stappen, geen juridisch advies, dus leg bijzondere situaties (denk aan medische gegevens of gegevens van kinderen) voor aan een specialist.

Wil je dat iemand met je meekijkt, van verwerkingsregister tot cookiebanner? Dat is precies het soort werk dat ik doe onder privacy en cyberbeveiliging: we lopen samen door wat jij verwerkt, en je krijgt in gewone taal te horen wat er al goed staat en wat nog niet.