De AVG is de Europese verordening die het verzamelen en verwerken van persoonsgegevens regelt, met identieke verplichtingen voor elk bedrijf, ongeacht zijn grootte.
Wat is de AVG?
De AVG (in het Frans RGPD, in het Engels GDPR) is minder een administratieve formaliteit dan een geheel van voorwaarden die verbonden zijn aan een precieze activiteit: het verwerken van persoonsgegevens. Elke informatie die een persoon identificeert, een naam, een e-mailadres, een IP-adres, een aankoopgeschiedenis, valt onder de verordening zodra een bedrijf ze verzamelt, opslaat, gebruikt of deelt. De verordening geldt sinds mei 2018 voor elke organisatie die in de EU gevestigd is, en voor elke organisatie buiten de EU die gegevens van Europese inwoners verwerkt, zonder uitzondering voor kleine structuren.
De duurste vergissing is de AVG te behandelen als een eenmalig project met een einddatum. Het is een permanente operationele vereiste, eerder vergelijkbaar met een boekhoudkundige verplichting dan met een websitevernieuwing. Een bedrijf dat twee jaar geleden bij een gegevensaudit in orde was en sindsdien een marketingtool, een verwerker of een nieuwe gegevensstroom heeft toegevoegd, is vandaag zeer waarschijnlijk niet meer in orde, zonder dat iemand dat beslist heeft.
Waarom de AVG belangrijk is
Drie redenen maken er een echte bedrijfskwestie van, geen juridische formaliteit om te delegeren en te vergeten.
- De handhaving in België is reëel, niet theoretisch. De Gegevensbeschermingsautoriteit (GBA) heeft al bedrijven van elke omvang gesanctioneerd, voor kmo’s meestal tussen 2.000 en 100.000 euro, ver onder het plafond van 20 miljoen euro dat in krantenkoppen vooral geciteerd wordt. Een waarschuwing of berisping blijft de meest voorkomende uitkomst bij een eerste kleine inbreuk die rechtgezet werd, maar een herhaalde of genegeerde inbreuk wordt zwaarder bestraft.
- Verwerkers breiden de verplichting uit, ze nemen ze niet weg. Een hostingprovider, een CRM-leverancier, een marketingbureau of boekhoudsoftware die aan uw klantgegevens komt, is een verwerker in de zin van de AVG, en de verantwoordelijkheid om met elk van hen een conform contract te hebben ligt bij het bedrijf dat de gegevens verzamelde, niet bij de dienstverlener.
- Naleving is een commercieel criterium geworden, niet alleen een wettelijk. Grote klanten en overheidsopdrachten vragen steeds vaker een bewijs van een register van verwerkingsactiviteiten, een privacybeleid en verwerkersovereenkomsten voordat ze tekenen, waardoor AVG-naleving een document wordt dat een contract helpt binnenhalen in plaats van louter een defensieve bescherming.
Het ongemakkelijke punt dat u duidelijk moet aanvaarden: de AVG verlaagt haar eisen niet voor een klein team, ze vereenvoudigt alleen bepaalde stappen. Een bedrijf van vijf personen dat e-mailadressen van klanten verzamelt, draagt dezelfde rechtsgronden en dezelfde meldplicht bij datalekken als een bedrijf van vijfhonderd personen, met alleen een lichter register.
Hoe het werkt
Vier verplichtingen gelden voor vrijwel elk bedrijf dat persoonsgegevens verwerkt, ongeacht zijn grootte of sector.
Een rechtsgrond voor elke verwerking. Toestemming, contractuele noodzaak, wettelijke verplichting of gerechtvaardigd belang, benoemd en gedocumenteerd vóór het verzamelen, niet achteraf gereconstrueerd wanneer iemand ernaar vraagt.
Een register van verwerkingsactiviteiten. Bedrijven met minder dan 250 werknemers hoeven alleen regelmatige verwerkingen, verwerkingen met een risico of verwerkingen van gevoelige gegevens te registreren, wat de administratieve last voor een klassieke kmo verlicht terwijl de risicovolle stromen toch gedocumenteerd blijven.
Individuele rechten die op verzoek gehonoreerd worden. Inzage, rectificatie, wissing en overdraagbaarheid, met een antwoord dat binnen de maand verwacht wordt, geen eindeloze wachtrij.
Een melding van datalekken binnen 72 uur. Aan de Gegevensbeschermingsautoriteit zodra een lek vastgesteld is, en aan de betrokkenen wanneer het risico voor hen hoog is, wat veronderstelt dat er een incidentresponsproces bestaat vóór het incident, en dat het niet tijdens het incident geïmproviseerd wordt.
Een functionaris voor gegevensbescherming is alleen in drie gevallen verplicht: een overheidsinstantie, een activiteit die draait rond grootschalige stelselmatige monitoring van personen, of grootschalige verwerking van gevoelige gegevens. De meeste kmo’s vallen buiten die drie gevallen, wat vaak verkeerd begrepen wordt als een volledige vrijstelling van de AVG, terwijl alleen de DPO-verplichting wegvalt.
Implementatie
De volgorde hieronder zet het minst zichtbare werk, het in kaart brengen, vooraan, omdat nalevingsprojecten daar het vaakst op mislukken.
- Breng de echte gegevensstromen in kaart. Niet het beleid op papier, maar de tools die echt gebruikt worden: het CRM, het e-mailmarketingplatform, de boekhoudsoftware, de formulieren op de website, de betaalprovider. De meeste gaten zitten in tools waaraan niemand gedacht had.
- Benoem een rechtsgrond voor elke stroom en verwijder wat er geen heeft. Gegevens die zonder duidelijke rechtsgrond verzameld zijn, zijn een passief dat in een database ligt te slapen, geen actief, en ze verwijderen kost doorgaans minder dan ze later te verdedigen.
- Zorg voor een ondertekende verwerkersovereenkomst met elke dienstverlener die aan persoonsgegevens komt. Hosting, CRM, e-mailmarketing, boekhouding, analytics. Een ontbrekende overeenkomst is een van de meest voorkomende vaststellingen bij een echte audit.
- Schrijf een privacybeleid dat overeenkomt met de realiteit, niet met een gekopieerd model. Een gekopieerd beleid dat rechten opsomt die het bedrijf in werkelijkheid niet honoreert, is erger dan geen beleid, want het wordt het bewijs van de afwijking.
- Bouw het incidentresponsproces voordat u het nodig hebt. Wie intern verwittigd wordt, hoe de termijn van 72 uur opgevolgd wordt, wie de melding aan de Gegevensbeschermingsautoriteit opstelt. Het één keer oefenen kost weinig en vermijdt het precieze moment waarop paniek het waarschijnlijkst is.
- Train de mensen die dagelijks echt met gegevens werken. De meeste datalekken komen voort uit een gewone vergissing, niet uit een hack: een e-mail naar de verkeerde lijst, een bestand dat te breed gedeeld werd, een laptop zonder versleuteling.
Wat kost het
De zichtbare kost ligt dicht bij nul, en net dat is de valkuil. Een privacybeleid of een registermodel opstellen kost weinig of niets. De echte kost is het werk dat de meeste bedrijven overslaan: elke echte gegevensstroom in kaart brengen, ondertekende overeenkomsten verkrijgen met elke verwerker, en het register bijwerken wanneer de tools veranderen. Een externe functionaris voor gegevensbescherming, wanneer die nodig is of uit voorzorg gekozen wordt, kost voor een kmo doorgaans tussen 1.500 en 5.000 euro per jaar, een fractie van de boetes die de Belgische autoriteit in de praktijk aan kleine structuren oplegt.
De kost van een vergissing is asymmetrisch. Een eerste kleine inbreuk die rechtgezet werd, leidt doorgaans tot een waarschuwing. Een herhaalde of genegeerde inbreuk evolueert naar de boetes die de krantenkoppen halen. De bedrijven die op termijn het minst uitgeven, zijn de bedrijven die het in kaart brengen en documenteren als routineonderhoud behandelen, niet de bedrijven die op een incident wachten om te beginnen.
Conclusie
De AVG is een permanente operationele vereiste die draait rond één enkele vraag: kan het bedrijf voor elk persoonsgegeven dat het bezit aantonen waarom het dat bezit, waar het zich bevindt en wie er nog toegang toe heeft. Een privacybeleid dat niemand aan de realiteit toetst, beantwoordt geen van die vragen, ook al ziet het er professioneel uit.
De bedrijven die echt risico lopen, zijn niet de bedrijven met onvolmaakte documentatie, maar de bedrijven die hun echte gegevensstromen nooit in kaart gebracht hebben en de gaten pas zouden ontdekken bij een audit of na een datalek. Die stroom één keer eerlijk in kaart brengen, is een kleiner project dan de meeste bedrijven denken, en het is de meest rendabele hefboom die er bestaat.