Een deel van wat een opdrachtgever of verzekeraar vraagt, kunt u zelf voorbereiden: een overzicht van welke persoonsgegevens u verwerkt, welke tools u daarvoor gebruikt en welke afspraken u met leveranciers heeft. Wat lastiger zelf te doen is, is het overzicht compleet en actueel houden, en het onderbouwen dat de genomen maatregelen ook daadwerkelijk passend zijn bij wat u verwerkt. Dat laatste vraagt om structuur die met de tijd meegroeit, niet om een momentopname.
Of zelf doen volstaat, hangt sterk af van wat er precies gevraagd wordt. Een verzekeraar die een vragenlijst stuurt over basale beveiligingsmaatregelen is iets anders dan een aanbestedende dienst die een volledig verwerkingsregister, verwerkersovereenkomsten en een DPIA (data protection impact assessment) wil zien. Hoe uitgebreider de vraag, hoe meer werk het kost om dat zelf op orde te krijgen en te houden.
Wat een opdrachtgever of verzekeraar eigenlijk vraagt
De vraag "toon aan dat u de AVG naleeft" bestaat in de praktijk zelden letterlijk zo. Meestal wordt gevraagd naar concrete stukken: een verwerkingsregister, bewijs van verwerkersovereenkomsten met leveranciers, een beschrijving van technische en organisatorische maatregelen, en soms een verklaring over hoe met datalekken wordt omgegaan. De AVG zelf verplicht organisaties om verantwoording te kunnen afleggen over de verwerkingen die zij uitvoeren; wat een individuele opdrachtgever of verzekeraar daarbovenop vraagt, is een eigen, aanvullende eis die per partij kan verschillen.
Het is dus zaak om eerst helder te krijgen wat er precies gevraagd wordt, voordat u bepaalt hoeveel werk het zelf oppakken kost. Een korte vragenlijst is met een middagje uitzoekwerk te beantwoorden; een volledige audit vraagt structureel bijgehouden documentatie.
Wat u zelf kunt voorbereiden
Een eerste inventarisatie is voor de meeste ondernemers zelf te doen: welke SaaS-tools gebruikt u, welke daarvan verwerken persoonsgegevens, en heeft u van elke leverancier een verwerkersovereenkomst. Ook een globale beschrijving van beveiligingsmaatregelen — wachtwoordbeleid, wie toegang heeft tot welke systemen, of er back-ups zijn — is met gezond verstand te maken zonder externe hulp. de kennisbank met uitleg per onderwerp geeft per situatie een kort antwoord en de vindplaats in de officiële tekst, zodat u weet waar een eis vandaan komt voordat u eraan gaat werken.
Wie twijfelt of een gemeld datalek uit het verleden gemeld had moeten worden, kan dat ook zelf nagaan: in een paar vragen zien waar u ongeveer staat geeft een eerste indicatie, los van de vraag of dat specifieke geval destijds al dan niet gemeld is.
Waar zelf doen moeilijker wordt
De complexiteit zit meestal niet in één document, maar in de samenhang en de actualiteit ervan. Een verwerkingsregister dat een jaar geleden is opgesteld en sindsdien niet is bijgewerkt, is bij een nieuwe SaaS-tool of een gewijzigde leverancier al achterhaald. Verwerkersovereenkomsten die u ooit heeft getekend, moeten aansluiten bij wat u nu daadwerkelijk met die leverancier doet. En een verzekeraar of aanbestedende dienst vraagt vaak niet alleen om het bestaan van stukken, maar om een consistent verhaal: register, overeenkomsten en maatregelen die logisch op elkaar aansluiten.
Juist dat onderhoud is waar zelf bijhouden voor veel MKB-bedrijven tijd gaat kosten die er niet is. Een systeem dat het register vult vanuit een bibliotheek van bekende tools en dat bewaakt of verwerkersovereenkomsten nog kloppen, neemt dat onderhoud uit handen zonder dat u zelf een jurist wordt.
Wat blijft, ook als u het zelf oppakt
Geen enkel hulpmiddel neemt de uiteindelijke beoordeling van u over: u bepaalt zelf wat u aan een opdrachtgever of verzekeraar overlegt en of dat volstaat voor de gestelde eis. Structuur en duiding kunnen het werk wel aanzienlijk verlichten. Op de pagina waar de informatie vandaan komt staat toegelicht hoe gdpria.eu inhoud baseert op de AVG zelf en op richtsnoeren van de EDPB en de Autoriteit Persoonsgegevens, met de vindplaats erbij, zodat u niet op ons woord hoeft te vertrouwen maar de bron zelf kunt nalezen.
De grens in de praktijk
Als vuistregel geldt: een eenmalige, beperkte vraag is vaak zelf te beantwoorden met een dag uitzoekwerk. Zodra het gaat om een doorlopend register, meerdere leveranciers met wisselende verwerkersovereenkomsten, of terugkerende vragen van meerdere opdrachtgevers, wordt het onderhoud het knelpunt, niet de eerste keer opstellen. Op dat punt is uitbesteden aan een systeem of adviseur vaak minder een luxe en meer een manier om tijd terug te winnen.
Bent u benieuwd wat dat in uw situatie zou schelen? Doe de gratis quick-scan of blader door de veelgestelde vragen over dit onderwerp om te zien welke stap voor u het meest voor de hand ligt.