Definitie
AVG staat voor Algemene Verordening Gegevensbescherming, de Nederlandse benaming van de Europese GDPR (General Data Protection Regulation). Het is de wetgeving die sinds 2018 vastlegt hoe organisaties in de EU met persoonsgegevens moeten omgaan: welke data je mag verzamelen, waarvoor, hoe lang, en welke rechten betrokkenen hebben.
Persoonsgegevens omvatten alles wat herleidbaar is tot een persoon: naam, e-mailadres, IP-adres, foto, klanthistorie. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht omvang. Boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde omzet.
Waarom het ertoe doet voor MKB
Voor MKB is AVG niet alleen juridische verplichting maar ook praktisch beheer. Wie heeft toegang tot welke klantgegevens? Wat gebeurt er als een klant zijn data wil opvragen of laten verwijderen? Hoe lang bewaar je sollicitatie-cv’s? Antwoorden moet je hebben en kunnen onderbouwen.
Voor jouw bedrijf is een werkende AVG-praktijk geen eenmalig project maar onderhoud. Verwerkingsregister bijhouden, dataverwerkers-overeenkomsten met leveranciers, beleidsregels rond opslag en verwijderen. Voor de meeste MKB is dat in een dag of twee jaarlijks bij te houden.
Concreet voorbeeld
Een installatiebedrijf met 80 medewerkers had klantgegevens verspreid over 6 verschillende systemen, met onduidelijke afspraken over wie wat mocht inzien. Toen een klant zijn gegevens opvroeg, kostte het 3 dagen om alles bijeen te brengen.
Een AVG-audit bracht orde: verwerkingsregister opgesteld, leveranciers gevraagd om dataverwerkers-overeenkomsten, interne afspraken over toegang per rol vastgelegd, en bewaartermijnen toegepast (na 7 jaar inactief: anonimiseren of verwijderen). De volgende inzage-aanvraag werd binnen 4 uur compleet beantwoord.
Misverstanden en valkuilen
- “AVG geldt niet voor MKB.” Onjuist. AVG geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht omvang. Wel zijn sommige verplichtingen (zoals een Data Protection Officer) afhankelijk van schaal en risico.
- “Cookie-banner is voldoende.” Een banner is één klein deel. AVG-conform werken vraagt veel meer: verwerkingsregister, beleidsregels, beveiliging, contracten met leveranciers.
- “Buiten EU-hosting is veiliger.” Onjuist. Datatransfer buiten de EU brengt juist extra eisen mee. Hosting in de EU is meestal eenvoudiger AVG-conform te krijgen.
- “AVG verbiedt dataverwerking.” Nee, AVG vereist een rechtmatige grondslag en transparantie. Klantbeheer, marketing en personeelsadministratie zijn allemaal goed mogelijk binnen de AVG.
Wanneer moet je hier wakker liggen, wanneer niet
Wakker liggen: als je persoonsgegevens verwerkt zonder duidelijk overzicht (welke systemen? welke gegevens? wie heeft toegang?). Of als een klant of medewerker recht op inzage of verwijdering zou claimen en je het niet zou kunnen leveren. Dat is een serieus risico op boetes en imagoschade.
Niet wakker liggen: als je een werkend overzicht hebt, leveranciersovereenkomsten op orde zijn en interne afspraken bekend zijn. AVG-onderhoud kost een paar uur per kwartaal.
Gerelateerde termen
- NIS2: aanvullende EU-regelgeving voor cyberveiligheid.
- Encryption: belangrijke maatregel binnen AVG-beveiliging.
- SSO: helpt om toegangsbeheer voor persoonsgegevens te regelen.
- Database: persoonsgegevens leven meestal in databases.