Sinds mei 2018 bepaalt de Algemene Verordening Gegevensbescherming hoe u persoonsgegevens verzamelt: klantenbestanden, contactformulieren, nieuwsbriefsoftware of personeelsdossiers. Deze gids zet de belangrijkste AVG-regels voor Belgische bedrijven op een rij, zonder juridisch jargon. Tot slot vindt u er een checklist die u meteen op uw website kunt toepassen.
AVG-regels: wie controleert en wie moet ze naleven?
In België ziet de Gegevensbeschermingsautoriteit (GBA) toe op de naleving. Ze behandelt klachten, voert inspecties uit en publiceert praktische aanbevelingen. Elke organisatie die persoonsgegevens verwerkt, moet de AVG-regels volgen, van zelfstandige tot groot bedrijf. De omvang van uw onderneming bepaalt vooral hoe ver de maatregelen gaan, niet het principe zelf. Officiële richtlijnen en modellen vindt u op de website van de Gegevensbeschermingsautoriteit.
De belangrijkste verplichtingen
Deze vijf AVG-regels gelden voor bijna elke onderneming.
Rechtsgrond voor elke verwerking
Elk gebruik van persoonsgegevens moet steunen op één van zes rechtsgronden: toestemming, overeenkomst, wettelijke verplichting, vitaal belang, taak van algemeen belang of gerechtvaardigd belang. Toestemming is dus niet altijd nodig. Steunt u er wel op, bijvoorbeeld voor advertentiecookies, dan moet ze vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Vooraf aangevinkte vakjes en stilzwijgende toestemming volstaan niet.
Rechten van betrokkenen
Klanten, prospecten en medewerkers mogen weten welke gegevens u over hen bewaart. Ze kunnen die ook laten verbeteren, zich tegen bepaalde verwerkingen verzetten of verwijdering vragen. U hebt in principe één maand om te antwoorden. Voorzie daarom een apart contactadres en een eenvoudige interne procedure. Controleer wel de identiteit van de aanvrager voor u iets bezorgt, zodat geen gegevens bij de verkeerde persoon terechtkomen.
Register van verwerkingsactiviteiten
Documenteer uw verwerkingen: welke gegevens, met welk doel, op welke rechtsgrond, met welke verwerkers en hoelang. In de praktijk moet ook elke kmo dit register bijhouden zodra ze regelmatig gegevens verwerkt, zoals klant- of personeelsgegevens.
Datalekken
Houdt een datalek risico's in, dan meldt u het binnen 72 uur aan de GBA. Is het risico voor de betrokkenen hoog, breng hen dan ook op de hoogte. Hou bovendien intern bij welke incidenten zich voordeden, ook de kleine. Leg ten slotte vooraf vast wie een incident beoordeelt en wie de melding doet, zodat u geen tijd verliest.
Verwerkers
Uw hostingprovider, e-mailtool of facturatiesoftware verwerken gegevens in uw opdracht. Sluit met elk van hen een verwerkersovereenkomst. Kies bij voorkeur ook hosting binnen de Europese Unie: dat vereenvoudigt de kwestie van doorgiften.
Hoelang bewaart u gegevens?
De verordening legt geen vaste bewaartermijn op: u bepaalt zelf een termijn per doel en houdt u daar vervolgens aan. Voor sommige stukken, zoals facturen, gelden boekhoudkundige en fiscale regels die een bewaring van meerdere jaren vereisen. Een afgewezen cv of een inactieve prospect rechtvaardigt daarentegen geen onbeperkte opslag. Noteer die termijnen in uw register en plan regelmatige verwijderingen in.
Checklist: AVG-regels voor uw website
- Cookiebanner die niet-essentiële trackers blokkeert tot de bezoeker akkoord gaat, met weigeren even eenvoudig als aanvaarden.
- Duidelijk privacybeleid, bereikbaar vanaf elke pagina.
- Formulieren die alleen nuttige gegevens vragen en naar het privacybeleid verwijzen.
- Actief SSL-certificaat (HTTPS) op de hele site.
- Procedure om gegevens op verzoek te verwijderen.
- Betrouwbare verwerkers: hosting, analysetools, CRM.
Sancties in België
De GBA kan waarschuwingen geven, een rechtzetting bevelen of boetes opleggen. De verordening voorziet bedragen tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet. Naast de boete schaadt een klacht of datalek in de media vooral het vertrouwen van uw klanten. Betrokkenen kunnen bovendien zelf klacht indienen bij de GBA of naar de rechter stappen.
Veelgemaakte fouten in kmo's
- Het privacybeleid van andere websites overnemen zonder het aan te passen.
- Cv's of oude prospectlijsten onbeperkt bewaren.
- Analysetools of advertentiepixels installeren zonder de toestemming te controleren.
- Klantenbestanden onbeveiligd per e-mail versturen.
- Een bewakingscamera plaatsen zonder aangifte bij de politie of zonder het verplichte pictogram.
Hoe Espero-Soft de AVG-regels toepast
Wij verwerken de AVG-regels in elk webproject: cookiebeheer dat toestemming respecteert, formulieren met uitdrukkelijke toestemming waar nodig, gepersonaliseerd privacybeleid, Europese gegevenshosting en advies over goede praktijken. Zo voldoet uw vitrinewebsite vanaf de lancering aan deze eisen.
De AVG-regels naleven is een wettelijke verplichting én een teken van vertrouwen voor uw klanten. Laat ons uw website doorlichten en zet uw site in regel.
