Dienst
AVG op orde
Aantoonbaar geregeld, praktisch en zonder onnodige ballast.
AVG op orde, zonder onnodige ballast
De AVG op orde hebben komt in de praktijk neer op vier dingen: een register dat klopt, verwerkersovereenkomsten die kloppen, beleid dat mensen ook echt kennen, en een datalekproces dat werkt als het misgaat. Wij beginnen met een nulmeting die laat zien waar je staat, en brengen daarna in orde wat ontbreekt. Je houdt een dossier over dat bestand is tegen vragen van de Autoriteit Persoonsgegevens en van kritische opdrachtgevers.
Veel organisaties weten dat ze "iets met de AVG moeten", maar missen overzicht. Wat is verplicht? Wat is verstandig? En hoe laat je zien dat je het op orde hebt? Wij helpen organisaties om privacy niet groter te maken dan nodig, maar wél aantoonbaar goed te regelen.
Wanneer is je AVG niet op orde?
- Er is geen (actueel) register van verwerkingen
- Verwerkersovereenkomsten zijn onvolledig of verouderd
- Beleidsstukken bestaan, maar leven niet in de organisatie
- Medewerkers weten niet wat te doen bij een datalek
- Nieuwe systemen of AI-tools worden ingevoerd zonder privacy-afweging
Herkenbaar? Dan is de kans groot dat je organisatie risico loopt, ook als er nog nooit een incident is geweest.
Wat hoort minimaal bij een AVG-basis op orde?
Register van verwerkingen
Overzicht van alle gegevensverwerkingen, doelen, grondslagen en bewaartermijnen.
Verwerkersovereenkomsten & data-uitwisseling
Contractueel vastleggen wie wat doet, inclusief bewaartermijnen en beveiliging.
Privacybeleid & werkinstructies
Geen juridische teksten, maar afspraken die aansluiten bij hoe mensen werken.
Datalekken & rechten van betrokkenen
Een werkbaar proces voor meldingen, verzoeken en toezicht.
Zo helpen wij je met AVG
- Nulmeting / quickscan – waar sta je nu?
- Prioriteren – wat móet, wat kan later?
- Inrichten – wij doen het werk, samen met jouw mensen
- Aantoonbaar maken – klaar voor vragen van klanten of toezichthouder
- Bijhouden – iemand die blijft meekijken als er dingen veranderen
Voor wie?
- MKB & zakelijke dienstverlening
- Zorgorganisaties
- Onderwijs & publieke sector
En daarna: wie houdt het bij?
Een register dat klopt op de dag van oplevering, klopt een jaar later niet meer. Er komt een systeem bij, een leverancier wordt vervangen, iemand begint een pilot met een AI-tool. Dat is geen slordigheid, dat is een organisatie die leeft. Het is wel de reden dat AVG-werk zo vaak twee keer wordt gedaan.
Wij lossen dat op door het niet los te laten. Terwijl wij de boel bij jou inrichten, kijkt onze functionaris gegevensbescherming al mee: klopt dit, waar zitten nog gaten. Staat het eenmaal, dan neemt hij de controle en het overzicht over. Wie het werk doet en wie erop toeziet zijn bij ons twee verschillende mensen, zodat niemand zijn eigen keuzes zit te beoordelen.
Die controle blijft, of je nu verplicht bent een functionaris gegevensbescherming aan te stellen of niet. Moet het, dan vervullen wij die rol formeel van buitenaf. Het aanmelden bij de Autoriteit Persoonsgegevens doe je zelf, want de wet legt dat bij de organisatie, maar wij leveren aan wat daarvoor nodig is. Heb je die plicht niet, dan kun je er vrijwillig een aanstellen, wat regelmatig gebeurt omdat een opdrachtgever erom vraagt. Wil je dat niet, dan houden we de controle zonder die formele rol. In alle drie de gevallen loopt het via een abonnement, want zonder lopende afspraak is er ook geen doorlopende controle. Wie er een keer per jaar naar kijkt, houdt geen toezicht maar doet een steekproef achteraf.
Gaandeweg komt de functionaris gegevensbescherming dingen tegen. Er wordt een systeem aangeschaft waar eerst een DPIA voor moet, een verwerkersovereenkomst deugt niet, een bewaartermijn loopt te lang door. Dan volgt er een advies, en wat daarmee gebeurt beslis jij. Hij adviseert en beslist niet, hij legt vast wat hij heeft geadviseerd, en waar iets van de wet moet zegt hij dat erbij. Besluit je het op te pakken en heb je daar zelf de mensen niet voor, dan kan er een Privacy Officer uit ons netwerk bij om het uit te voeren. Dat is uitvoerend werk en geen toezicht, dus het komt niet in de plaats van het meekijken hierboven. Het is ook precies waarom hij er later een oordeel over kan geven: hij heeft het niet zelf gedaan.
Zo hoef je niet zelf te bedenken wanneer je iets over het hoofd ziet. Dat is precies het onderdeel dat een organisatie er zelden bij krijgt gedaan.
FAQ
Veelgestelde vragen
Wanneer is een register van verwerkingen verplicht?
Vrijwel altijd zodra je als organisatie structureel persoonsgegevens verwerkt (denk: klanten, leerlingen, patiënten, personeel, leveranciers). In de praktijk is een register één van de eerste dingen waar je op wordt bevraagd, omdat het laat zien dat je grip hebt op wat je verwerkt, waarom en hoe lang.
Moeten we altijd toestemming vragen om gegevens te verwerken?
Nee. Toestemming is maar één van de grondslagen en vaak juist de minst handige, omdat mensen die toestemming ook weer mogen intrekken. In veel situaties verwerk je gegevens op basis van uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. De kunst is dat je dit per verwerking netjes onderbouwt en vastlegt.
Wanneer is een DPIA verplicht?
Een DPIA is nodig als een verwerking waarschijnlijk een hoog privacy-risico oplevert voor mensen. Dat speelt vaak bij:
- nieuwe systemen of grote wijzigingen;
- grootschalige verwerking van bijzondere gegevens (zoals gezondheidsgegevens);
- structurele monitoring of profilering;
- AI-toepassingen of koppelingen tussen systemen.
Twijfel je? Dan doen we eerst een korte DPIA-scan: snel bepalen of een volledige DPIA nodig is.
Wat moet je regelen rond datalekken (en hoe snel moet je melden)?
Je hoeft niet elk incident te melden, maar je moet wél een werkbaar proces hebben: herkennen → beoordelen → vastleggen → eventueel melden.
Als het een datalek is, geldt meestal: binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Daarnaast kan het nodig zijn betrokkenen te informeren. Minstens zo belangrijk: je houdt een datalekregister bij, ook van niet-meldplichtige incidenten.
Hebben wij een Functionaris Gegevensbescherming (FG) nodig?
Soms wel, vaak niet. Een FG is verplicht in specifieke situaties, bijvoorbeeld als je organisatie grootschalig bijzondere persoonsgegevens verwerkt of als je als publieke organisatie onder die verplichting valt. Is er geen verplichting, dan kunnen toezicht en advies alsnog verstandig zijn, maar dan lichter en passend bij je omvang en risico.
Wat verwacht een klant of toezichthouder meestal als "bewijs" dat je AVG op orde is?
In de praktijk wordt vaak gevraagd om:
- een actueel register van verwerkingen;
- verwerkersovereenkomsten en afspraken over data-uitwisseling;
- basisbeleid en werkinstructies (niet te juridisch);
- aantoonbaar proces voor datalekken en privacyverzoeken;
- (waar nodig) DPIA's.
Kort gezegd: niet "perfecte papieren", maar aantoonbare grip en een logische aanpak.
Meer lezen: richtlijnen van de Autoriteit Persoonsgegevens over datalekken.
Wil je weten waar je staat?
Plan een vrijblijvende kennismaking. In ±30 minuten krijg je helderheid over je AVG-positie en logische vervolgstappen.
Plan een privacy quickscan