Hoe vul ik de privacyvragenlijst van een klant in?

De vragenlijst vraagt naar wat u al vastlegt in het verwerkingsregister

Een privacyvragenlijst van een opdrachtgever gaat meestal over dezelfde onderwerpen als het verwerkingsregister: welke persoonsgegevens er verwerkt worden, met welk doel, hoe lang ze bewaard blijven, wie er toegang tot heeft en of er een verwerker bij betrokken is. Wie dat register al op orde heeft, kan de meeste vragen rechtstreeks daaruit beantwoorden. Vragen over beveiliging — encryptie, toegangsbeheer, back-ups — horen bij de technische en organisatorische maatregelen die de opdrachtgever wil zien voordat hij gegevens met u deelt.

Een deel van de vragenlijst gaat vaak over de organisatie eromheen: is er een functionaris gegevensbescherming aangewezen, is er een procedure voor een datalek, en bij wie wordt zoiets gemeld. Dat laatste verschilt per land: in Nederland is dat de Autoriteit Persoonsgegevens, in Duitsland de toezichthouder van de deelstaat waar de vestiging staat. De verplichting om zelf een functionaris aan te wijzen kent in Nederland geen drempel op basis van personeelsaantal — die volgt uit artikel 37 AVG — terwijl Duitsland met § 38 BDSG wel een aantal medewerkers als grens hanteert. Voor een lezer die in meerdere landen actief is, is het dus zaak om per vestiging te kijken welke laag van toepassing is, in plaats van één antwoord voor de hele organisatie te geven.

Onderbouwing: de verantwoordingsplicht van artikel 5 AVG

Dat een opdrachtgever dit soort vragen stelt en dat u ze kunt beantwoorden, volgt uit de verantwoordingsplicht van artikel 5 AVG: een organisatie moet niet alleen aan de beginselen van de verordening voldoen, maar dat ook kunnen aantonen. Een vragenlijst is in feite de opdrachtgever die zijn eigen verantwoordingsplicht deels bij u laat landen. De Autoriteit Persoonsgegevens publiceert algemene toelichting op deze beginselen, zonder dat daar een format voor een klantvragenlijst uit volgt — die vult elke opdrachtgever zelf in.