Geldt de AVG ook voor uw bedrijf?
De Algemene Verordening Gegevensbescherming (AVG) geldt voor vrijwel elke onderneming die persoonsgegevens verwerkt, ongeacht de omvang van het bedrijf. Zodra u gegevens van klanten, personeel, sollicitanten of websitebezoekers vastlegt, bewaart of gebruikt, heeft u met de AVG te maken. Er bestaat geen algemene vrijstelling voor kleine bedrijven of eenmanszaken.
Wat wel verschilt, is hoeveel er van u wordt gevraagd. Een webshop die klantgegevens, betaalgegevens en nieuwsbriefadressen verwerkt, heeft andere verplichtingen dan een installatiebedrijf dat alleen een personeelsadministratie voert. De vraag is dus minder "geldt het voor mij" en meer "welk deel ervan raakt mij, en hoe zwaar".
Wanneer u er vrijwel zeker mee te maken heeft
Er zijn een paar situaties die bij bijna elke onderneming voorkomen en die vrijwel altijd onder de AVG vallen. Denk aan een klantenbestand met naam- en contactgegevens, een personeelsdossier met loon- en verzuimgegevens, een sollicitatieprocedure waarbij u cv's ontvangt, een contactformulier of nieuwsbrief op uw website, en cameratoezicht op de werkvloer of in de winkel. In al deze gevallen verwerkt u persoonsgegevens, en dat is precies waar de AVG over gaat.
Ook als u die gegevens deelt met een ander bedrijf, bijvoorbeeld een boekhouder, een verzendpartner of een marketingbureau, blijft u er verantwoordelijk voor hoe dat gebeurt. Dat geldt los van de vraag of u de gegevens zelf bewaart of laat bewaren door een dienstverlener.
Wanneer het minder duidelijk is
Er zijn ook situaties waarin het minder eenduidig is. Een puur zakelijke relatie tussen twee bedrijven, waarbij u alleen bedrijfsnamen, KvK-nummers en algemene contactgegevens van een organisatie uitwisselt, valt anders onder de AVG dan wanneer u de naam van een specifieke contactpersoon vastlegt. Zodra een gegeven herleidbaar is tot een individu, ook binnen een zakelijke context, is de kans groot dat het om een persoonsgegeven gaat. Waar precies de grens ligt in uw situatie, is iets wat een jurist of de Autoriteit Persoonsgegevens kan beoordelen; dit artikel geeft alleen de richting aan, geen sluitend antwoord voor uw specifieke geval.
Dit soort grensgevallen komt vaak samen met andere verplichtingen. Een webshop die naar meerdere EU-landen levert, kan tegelijk met productveiligheid, verpakkingen en toegankelijkheid te maken hebben naast de AVG. zien welke platforms er zijn geeft een overzicht van de gebieden waarop dat kan spelen, zodat u niet per verplichting opnieuw moet uitzoeken waar u precies staat.
Wat de omvang van uw bedrijf wel en niet verandert
De grootte van uw onderneming verandert niets aan de vraag of de AVG geldt, maar wel aan een aantal concrete verplichtingen. Zo hangt de vraag of u een functionaris gegevensbescherming moet aanstellen, of hoe uitgebreid een verwerkingsregister moet zijn, samen met de aard en schaal van de gegevensverwerking. Een bedrijf dat op grote schaal gevoelige gegevens verwerkt, zoals gezondheidsgegevens, krijgt andere eisen dan een bedrijf dat alleen basale klantgegevens vastlegt voor facturatie. De precieze grenzen en definities staan in de officiële tekst van de AVG en in de richtlijnen van de Autoriteit Persoonsgegevens; die zijn de plek om op terug te vallen als u dit voor uw eigen bedrijf wilt vaststellen.
Hoe u dit voor uw eigen bedrijf uitzoekt
Een praktische manier om te beginnen is een lijst maken van waar persoonsgegevens binnenkomen: de website, de personeelsadministratie, de klantenservice, eventuele camera's, en externe partijen waarmee u gegevens deelt. Voor elk van die plekken kunt u vaststellen welke gegevens het precies zijn en waarom u ze vasthoudt. Die inventarisatie is ook de basis voor een verwerkingsregister, en het is werk dat u uiteindelijk zelf of met een jurist moet doen; geen platform kan die inhoudelijke afweging voor u maken.
Wat reglia daarin wel doet, is het bijhouden van uw bedrijfs- en productgegevens op één plek, zodat u ze niet bij elk compliance-platform opnieuw moet invoeren zodra u vaststelt dat een verplichting op u van toepassing is. Hoe dat precies werkt en wat er wel en niet met uw gegevens gebeurt, staat toegelicht op de pagina over hoe reglia werkt. Vragen over de dagelijkse praktijk, zoals wat er gebeurt als gegevens tussen platformen worden gedeeld, zijn verzameld op de pagina met veelgestelde vragen.
Als u eenmaal heeft vastgesteld welke verplichtingen voor uw bedrijf gelden, wilt u vermoedelijk ook weten hoe uw gegevens daarbij worden beschermd. Dat staat beschreven op de pagina over beveiliging en privacy.
Verder lezen
De AVG is één van de regelingen waar een onderneming mee te maken kan krijgen, naast bijvoorbeeld productveiligheid, verpakkingen of toegankelijkheid. Benieuwd welke platforms er zijn en welk deel van uw verplichtingen ze afdekken? Kijk welke oplossingen er zijn en welke bij uw situatie past.