AVG-naleving en kleine bedrijven

Ja. De AVG is van toepassing zodra een bedrijf persoonsgegevens verzamelt van iemand die zich in de EU bevindt. Dat geldt zowel voor eenmanszaken als voor bedrijven met vestigingen op zes continenten.

Dat gezegd hebbende, je hoeft geen schriftelijke registratie bij te houden van je gegevensverwerkingsactiviteiten als je minder dan 250 werknemers hebt, tenzij:

• Je gegevensverwerkingsactiviteiten de rechten en vrijheden van personen kunnen beïnvloeden

• Je gegevens verwerkt die onder artikel 9 van de AVG vallen. Dit zijn gegevens die het volgende onthullen:
  • Iemands ras of etniciteit
  • Iemands politieke, religieuze of levensbeschouwelijke overtuigingen
  • Iemands lidmaatschap van een vakbond
  • Iemands genetische of biometrische gegevens, of gegevens over iemands gezondheid of seksualiteit

• Je persoonsgegevens verwerkt die onder artikel 10 vallen, dat wil zeggen gegevens over strafbare feiten en veroordelingen

• Je regelmatig persoonsgegevens verwerkt

Veel kleine bedrijven en zzp'ers vallen niet onder de eerste drie uitzonderingen.

Maar hoe zit het met de vierde? De Belgische commissie inzake privacy heeft aangegeven dat niet elke vorm van gegevensverwerking regulier is, ook al doe je het misschien dagelijks. Volgens deze interpretatie hoef je bijvoorbeeld geen registraties bij te houden van persoonsgegevens die je gebruikt om bestellingen te plaatsen of te communiceren met klanten. Maar een standpuntnota van de Artikel 29-werkgroep, de voorloper van het Europees Comité voor gegevensbescherming, lijkt te suggereren dat je het woord regulier letterlijk moet opvatten. En het Europees Comité voor gegevensbescherming is het daarmee eens. Omdat het standpunt zo onduidelijk is, is het een goed idee om registraties bij te houden, ook als je denkt dat je bent vrijgesteld. Beter het zekere voor het onzekere nemen.

Ja. De AVG is van toepassing op Amerikaanse bedrijven als ze:

• Zakendoen in de EU

• Geen zakendoen in de EU, maar wel persoonsgegevens verzamelen of volgen van mensen die zich fysiek in de EU bevinden (hieronder vallen ook mensen die door de EU reizen, maar daar normaal niet wonen). Misschien doe je dit zonder dat je het doorhebt. Als de cookies van je website bijvoorbeeld kunnen worden gebruikt om een persoon te identificeren, tellen ze als persoonsgegevens onder de AVG

Als je zaken wilt blijven doen in de EU, moet je voldoen aan de AVG. Anders riskeer je een hoge boete. Als je geen zaken doet in de EU, heb je twee opties:

• Toch voldoen aan de AVG

• De toegang tot je website beperken, zodat deze geen persoonlijke gegevens kan verzamelen van mensen in de EU

Toen de AVG voor het eerst van kracht werd, sloten veel Amerikaanse websites EU-gebruikers buiten om niet in de problemen te komen met de AVG. Zo waren meer dan 1000 Amerikaanse nieuwssites vanaf augustus 2018 niet toegankelijk in de EU. Sommige uitgevers hebben besloten om zich permanent terug te trekken uit de EU. Lee Enterprises-woordvoerder Charles Arms: "De hoeveelheid internetverkeer op onze lokale nieuwssites dat afkomstig is uit de EU en de EER is te verwaarlozen en we denken dat het blokkeren van dat verkeer in het belang is van onze lokale mediaklanten." Dat gezegd hebbende, zijn veel Amerikaanse websites nu weer zonder problemen online beschikbaar in de EU. En ook de website voor jouw kleine bedrijf kan zonder problemen beschikbaar zijn in de EU. Dat brengt ons bij het volgende punt.

Je kleine bedrijf op weg helpen naar naleving van de AVG is niet zo moeilijk als je misschien denkt. Hier is een checklist voor naleving van de AVG om je op weg te helpen.

1. Welke persoonsgegevens verzamel je?

Je moet weten welke persoonsgegevens je verzamelt en of sommige daarvan gevoelig zijn, oftewel of ze onder de categorieën in AVG-artikelen 9 en 10 vallen. Je moet jezelf ook het volgende afvragen:

• Waar komt de informatie vandaan?

• Waarom verzamel je die?

• Wat doe je ermee?

Als je hiernaar wordt gevraagd, moet je deze vragen kunnen beantwoorden.

2. Heb je toestemming?

Tenzij je een wettelijke grondslag hebt om persoonsgegevens te gebruiken, moeten individuen toestemming geven. Dit toestemming moet het volgende zijn:

• Uit vrije wil gegeven

• Specifiek

• Geïnformeerd

• Ondubbelzinnig

Je moet een schriftelijk bewijs van toestemming bijhouden. Je moet het intrekken van toestemming ook snel en eenvoudig maken. Software voor klantrelatiebeheer(CRM) die voldoet aan de AVG kan hierbij helpen. Hiermee moet vooral het volgende mogelijk zijn:

• Een schriftelijke administratie bijhouden van de namen en persoonsgegevens van mensen die je bezit

• Leg hun toestemming vast en geef daarbij aan waarvoor zij toestemming hebben gegeven (bijvoorbeeld om je maandelijkse nieuwsbrief te ontvangen)

• Geef mensen een eenvoudige manier om hun toestemming in te trekken als ze van gedachten veranderen (bijvoorbeeld via een koppeling voor uitschrijven met één klik)

3. Zijn de gegevens veilig?

Jouw bedrijf is verantwoordelijk voor de persoonsgegevens die je verzamelt. En je loopt het risico een boete te krijgen als die gegevens in verkeerde handen vallen. Doe dus het volgende:

• Gebruik versleutelingssoftware bij het online opslaan of verzenden van persoonsgegevens

• Beveilig je netwerk. Onzorgvuldige werknemers zijn de belangrijkste oorzaak van gegevensschendingen, dus een degelijk IT-beleid is een must. Je moet ook investeren in beveiligingssoftware, waaronder een firewall

• Maak cookie- en privacyverklaringsteksten die voldoen aan de AVG. Deze voorbeelden van cookiesjablonen en voorbeelden van sjablonen voor privacybeleid kunnen helpen. Je kunt ook naar het Microsoft Vertrouwenscentrum gaan voor meer informatie over best practices voor AVG

• Controleer je leveranciers op AVG-naleving

4. Wat als er een ernstig gegevenslek is?

Je moet ernstige gegevenslekken binnen 72 uur melden bij de toezichthouder, anders riskeer je een boete. Zorg dat je meldingsprocedures klaar hebt staan. En, nog belangrijker, train je medewerkers om:

• Alert te zijn

• Te begrijpen wat een ernstig gegevenslek is

• Waarschuwingssignalen te herkennen

Wat is tot nu toe de impact van de AVG op kleine bedrijven geweest?

Daar bestaat geen twijfel over. AVG-naleving kost veel tijd en geld. In de aanloop naar 25 mei 2018 hebben Britse kleine bedrijven elk ongeveer 600 uur besteed ter voorbereiding op de AVG. En dan hebben we het nog niet eens over de kosten. Wereldwijd hebben kleine en middelgrote bedrijven USD 1,3 miljoen besteed aan naleving van de AVG. Op dezelfde manier kan niet-naleving een enorm negatief effect hebben op je winst. In de allereerste AVG-zaak ooit kreeg een Duits sociaal netwerk een boete van EUR 20.000 (ongeveer USD 22.600) voor het niet veilig bewaren van persoonlijke gegevens van gebruikers nadat een hacker 330.000 e-mailadressen en wachtwoorden had gestolen. Maar hoewel je misschien geneigd bent om het als een last te zien, heeft de naleving van de AVG ook een positieve invloed gehad op kleine bedrijven. En wel om de volgende redenen: Consumenten hebben hun privacy nog nooit zo serieus genomen. En ze verwachten dat bedrijven waarmee ze hun gegevens delen er net zo over denken. In een recent onderzoek gaf 69% van de Amerikaanse consumenten zelfs aan dat ze graag zouden zien dat er in de VS een wet wordt ingevoerd die lijkt op de AVG. Nog duidelijker: uit een onderzoek van de CMO Council bleek dat leden die voorbereid waren op de AVG meer betrokkenheid, meer loyaliteit en meer vertrouwen van consumenten zagen. Duidelijk is dat de AVG meer is dan een stel regels die je moet volgen om geen boete te krijgen. Niemand vindt het prettig als persoonlijke informatie zonder toestemming wordt verzameld. Of ergens wordt opgeslagen waar criminelen erbij kunnen. Dus door stappen te nemen om te voldoen aan de AVG, kun je je kleine bedrijf neerzetten als een bedrijf dat echt om de persoonlijke gegevens van klanten geeft. En dit kan je weer een voorsprong op je concurrenten geven.