Per 25 mei 2018 treedt de Algemene Verordening Gegevensbescherming in werking (‘AVG’). Voor alle werkgevers is het van belang hiervan op de hoogte te zijn en te zorgen dat de organisatie klaar is voor de AVG. Binnen bedrijven circuleren zeer veel persoonsgegevens. Sancties die opgelegd kunnen worden op grond van de AVG zijn daarbij fors. In hoeverre heeft de AVG impact op de MKB-ondernemer?
Denkfout: de AVG is geen verplichting voor een kleinere onderneming
Het wetsvoorstel wekt de indruk te gelden voor grote bedrijven die veel data opslaan en verwerken, zoals Google en Facebook. Voor de MKB-ondernemer lijkt deze wetgeving dus een ‘ver-van-je-bed-show’. Niets is echter minder waar.
Wellicht denkt u hiermee als kleine of middelgrote onderneming nooit te maken te krijgen. Zoveel persoonsgegevens verwerkt u immers toch niet? Het begrip “persoonsgegevens” is zeer ruim. Hieronder vallen onder andere: een naam, een adres, BSN-nummers, financiële informatie zoals IBAN-nummers, e-mailadressen en telefoonnummers. Alles wat u met deze gegevens doet is in feite een verwerking. Denk hierbij aan het verzamelen van deze gegevens, het opslaan ervan, het raadplegen, het verstrekken van deze gegevens of zelfs het vernietigen ervan. Daarbij gaat de AVG verder dan enkel de geautomatiseerde omgeving en ziet deze ook toe op fysieke bestanden.
Naleving van deze regelgeving is dan ook van toepassing op alle bedrijven. Elk bedrijf kan gecontroleerd worden. Daarvoor is het enkel nodig om op de radar van de AVG te verschijnen. Dit kan door bijvoorbeeld een klacht van een klant. Het is dus van belang dat, u als MKB-ondernemer, uw organisatie en uw medewerkers goed voorbereidt op de inwerkingtreding van deze wetgeving. Een menselijke fout is immers zo gemaakt.
Tips
Een tweetal tips waarmee u aan de slag kunt zijn:
- Breng uw verwerkingen in kaart
Begin met het opstellen van een overzicht welke persoonsgegevens circuleren in uw organisatie. Breng daarbij in kaart welke verwerkingen er plaatsvinden met deze gegevens.
- Denk na of u alle informatie daadwerkelijk nodig heeft
Als u persoonsgegevens verzamelt dient u na te gaan wat de reden hiervan is en of dit daadwerkelijk nodig is. Analyseer bovenstaand overzicht van persoonsgegevens. Welke data zijn daadwerkelijk nodig voor de bedrijfsvoering en wat is de reden hiervan?
Aan de hand hiervan kunt u de juiste maatregelen treffen. Zorg onder andere dat de data goed beveiligd zijn, maak gebruik van encryptie, vergroot het bewustzijn onder medewerkers en sluit verwerkersovereenkomsten.
Uit onderzoek blijkt dat een kwart van het MKB al maatregelen heeft genomen of dit binnenkort gaat doen. Hoort u daar al bij?
Kevin Steer
Controleleider
