AVG-checklist voor het Nederlandse mkb

Bij een CRM, webshop of bedrijfsapplicatie horen afspraken over persoonsgegevens. Begin met een overzicht van de gegevens, de betrokken partijen en wie er toegang heeft. Deze checklist helpt je het technische gesprek voor te bereiden; de concrete beoordeling hangt af van je organisatie en verwerking.

1. Breng gegevensstromen in kaart#

Noteer welke gegevens je systemen ontvangen, waarvoor je ze gebruikt en naar welke partijen ze gaan. Kijk ook naar exports, logbestanden, back-ups en testomgevingen. Maak per stroom duidelijk wie het doel en de middelen van de verwerking bepaalt.

2. Leg de rollen en afspraken vast#

Verwerkt een externe partij persoonsgegevens in jouw opdracht? Leg de vereiste afspraken vast in een verwerkersovereenkomst. Beschrijf onder meer de opdracht, beveiliging, subverwerkers en wat er bij beëindiging met de gegevens gebeurt. De Autoriteit Persoonsgegevens legt de eisen uit.

3. Maak toegang beheersbaar#

Geef medewerkers alleen de toegang die ze nodig hebben. Gebruik persoonlijke accounts, controleer beheerdersrechten en trek toegang in wanneer iemand vertrekt. Test ook of je back-ups werkelijk kunt terugzetten.

4. Maak bewaartermijnen uitvoerbaar#

Beschrijf welke gegevens je bewaart en waarom. Zorg dat verwijderen ook technisch mogelijk is, inclusief kopieën bij leveranciers. Houd je privacyverklaring en de werkwijze van je systemen met elkaar in overeenstemming.

5. Bereid incidenten voor#

Bepaal wie een mogelijk datalek beoordeelt en wie actie onderneemt. Documenteer incidenten en de afweging om wel of niet te melden. Een meldplichtig datalek moet in beginsel binnen 72 uur na kennisname bij de AP worden gemeld. Zie de uitleg van de AP over het meldproces.

Van checklist naar uitvoering#

In onze architectuuraanpak maken we gegevensstromen, rollen en beheer inzichtelijk. Gebruik je AI of marketingtracking? Lees dan ook AVG, AI en tracking.