Toepassingsgebied en kernbegrippen

De AVG geldt voor iedere organisatie die persoonsgegevens verwerkt.
Persoonsgegevens zijn alle gegevens waarmee een individu direct of indirect te identificeren is,
zoals naam, e-mailadres, IP-adres of klantnummer.
Ook zakelijke gegevens kunnen onder de AVG vallen als ze te herleiden zijn tot een natuurlijke persoon,
bijvoorbeeld een eenmanszaak of zzp’er.

Belangrijke begrippen:

• Verwerkingsverantwoordelijke – degene die bepaalt waarom en hoe persoonsgegevens worden verwerkt.
• Verwerker – de partij die in opdracht van de verantwoordelijke persoonsgegevens verwerkt, bijvoorbeeld een IT-dienstverlener of cloudprovider.
• Betrokkene – de persoon van wie de gegevens worden verwerkt.

Verplichtingen voor mkb-bedrijven

Ook mkb-bedrijven moeten kunnen aantonen dat ze zorgvuldig omgaan met persoonsgegevens.
De AVG schrijft voor dat organisaties passende maatregelen nemen en deze documenteren.
Dat betekent niet dat elk klein bedrijf een jurist nodig heeft — wél dat er een gestructureerde aanpak vereist is.

• Leg verwerkingen vast in een verwerkingsregister.
• Informeer klanten en medewerkers met een duidelijke privacyverklaring.
• Zorg voor een verwerkersovereenkomst met elke externe partij die toegang heeft tot persoonsgegevens.
• Beperk gegevensverzameling tot wat strikt noodzakelijk is (dataminimalisatie).
• Bewaar gegevens niet langer dan nodig (bewaartermijnen).

Technische en organisatorische maatregelen

De AVG vraagt niet om specifieke technologieën, maar om ‘passende beveiligingsmaatregelen’.
Wat passend is, hangt af van de aard van de data en de risico’s.
Voor mkb-bedrijven betekent dit in de praktijk vaak het volgende:

• Gebruik van Multi-Factor Authenticatie (MFA) in Microsoft 365 of andere cloudomgevingen.
• Regelmatige back-ups en testen van herstelprocedures.
• Encryptie van gevoelige bestanden en apparaten.
• Toegangsbeheer: alleen bevoegde medewerkers mogen data inzien of wijzigen.
• Periodieke beveiligingsaudits en updates van software en hardware.

Process 2 IT ondersteunt organisaties hierbij met beheer, monitoring en advies,
zodat de technische kant van de AVG-naleving goed geborgd is.

Rechten van betrokkenen

Personen van wie je gegevens verwerkt, hebben rechten onder de AVG.
Denk aan inzage, correctie, verwijdering en dataportabiliteit.
Als organisatie moet je verzoeken binnen één maand afhandelen.

• Recht op inzage – betrokkenen mogen weten welke gegevens je van hen hebt.
• Recht op correctie – onjuiste gegevens moeten worden aangepast.
• Recht op verwijdering – gegevens mogen worden verwijderd als ze niet langer nodig zijn.
• Recht op dataportabiliteit – overdracht van gegevens aan een andere organisatie.

Verwerkers en overeenkomsten

Werk je met externe partijen die persoonsgegevens verwerken, dan ben je verplicht om een verwerkersovereenkomst te sluiten.
Hierin leg je afspraken vast over beveiliging, geheimhouding en verantwoordelijkheden.
Denk aan hostingproviders, boekhoudsoftware of IT-beheerders zoals Process 2 IT.

Datalekken en meldplicht

Een datalek is elke inbreuk op de beveiliging die leidt tot verlies of ongeoorloofde toegang tot persoonsgegevens.
Mkb-bedrijven moeten elk datalek documenteren en, als er risico’s zijn voor betrokkenen, binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Typische voorbeelden:

• Een kwijtgeraakte laptop zonder encryptie.
• Verkeerd geadresseerde e-mails met klantinformatie.
• Een cyberaanval waarbij data wordt buitgemaakt.

Boetes en aansprakelijkheid

De boetes voor overtreding van de AVG kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is.
In de praktijk krijgen mkb-bedrijven meestal eerst waarschuwingen of aanwijzingen,
maar structurele nalatigheid kan leiden tot handhaving.
Bestuurders kunnen in ernstige gevallen ook persoonlijk aansprakelijk worden gesteld.

Koppeling met NIS2, CRA en AI Act

De AVG staat niet op zichzelf.
De aankomende Europese regelgeving — zoals de NIS2-richtlijn, Cyber Resilience Act (CRA) en de AI Act — versterken elkaar.
Waar de AVG zich richt op privacy, leggen NIS2 en CRA nadruk op continuïteit en productveiligheid,
terwijl de AI Act transparantie en ethisch gebruik van algoritmen reguleert.

Veelgestelde vragen over de AVG

• Geldt de AVG ook voor kleine bedrijven?
  Ja, elke organisatie die persoonsgegevens verwerkt valt onder de AVG, ongeacht de omvang.
• Moet ik een functionaris gegevensbescherming (FG) aanstellen?
  Alleen als je structureel op grote schaal gegevens verwerkt of met bijzondere gegevens werkt, zoals gezondheidsinformatie.
• Wat is een datalek precies?
  Elke inbreuk op de beveiliging die leidt tot verlies of ongeoorloofde toegang tot persoonsgegevens.
• Hoe lang mag ik klantgegevens bewaren?
  Alleen zolang ze nodig zijn voor het doel waarvoor ze verzameld zijn. Daarna moeten ze worden verwijderd of geanonimiseerd.

Samenvatting en aanbevelingen

De AVG vraagt om bewustwording, discipline en documentatie.
Met een goed ingericht privacybeleid, duidelijke verantwoordelijkheden en ondersteuning van een IT-partner zoals Process 2 IT
kunnen mkb-bedrijven aan de wet voldoen én vertrouwen uitstralen naar hun klanten.