De AVG en het belang voor zelfstandigen
De Algemene Verordening Gegevensbescherming (AVG) is in mei 2018 van kracht gegaan en heeft sindsdien veel impact gehad op de manier waarop organisaties, ondernemers en freelancers omgaan met persoonsgegevens. Voorheen was het verwerken van data vooral een kwestie voor grotere bedrijven, maar inmiddels is duidelijk dat ook zelfstandigen niet om deze Europese wetgeving heen kunnen.
De AVG stelt eisen die jouw dagelijkse werkzaamheden direct raken. Waarom is die wet zo belangrijk en wat moet je precies regelen om aan de regels te voldoen? Wij van Striive vertellen je meer over de materie, we bespreken de meest relevante aspecten van de AVG en geven je praktische tips voor elke zelfstandige die zijn of haar bedrijf AVG-proof wil maken.
De AVG gaat om meer dan alleen privacy
De AVG is ontwikkeld met als doel om de persoonsgegevens van Europese burgers beter te beschermen. Van e-mailadressen en telefoonnummers tot IP-adressen en surfgedrag: de wet beschouwt het allemaal als persoonlijke data. Door de snelle digitalisering en de toename van online interacties is het belang van die bescherming alleen maar groter geworden.
Voor zzp’ers betekent dit dat je niet alleen verantwoordelijkheid draagt voor je eigen data, maar ook voor bepaalde data van je klanten en relaties. Het gaat dan dus om vertrouwen. Mensen voelen zich een stuk veiliger als ze weten dat hun gegevens niet zomaar op straat komen te liggen.
Hoe zelfstandigen ermee te maken krijgen
Misschien denk je: “Ik verwerk toch nauwelijks persoonsgegevens?” Toch is de kans groot dat je meer data verzamelt dan je in eerste instantie beseft. Gebruik je bijvoorbeeld een contactformulier op je website? Dan verzamel je e-mailadressen en mogelijk ook namen. Stuur je facturen? Ook dat is verwerking van persoonsgegevens. De AVG is van toepassing op grote organisaties met gigantische databanken, maar ook op freelancers die klein van omvang zijn. Zodra je iemands gegevens registreert, moet jij je aan de wet houden.
Het verschil tussen verwerkingsverantwoordelijke en verwerker
In de AVG is er een onderscheid tussen ‘verwerkingsverantwoordelijke’ en ‘verwerker’. De verwerkingsverantwoordelijke bepaalt het doel van, en de middelen voor, de verwerking van persoonsgegevens, terwijl de verwerker in opdracht van de verwerkingsverantwoordelijke met data aan de slag gaat. Als zelfstandige ben je meestal zelf verwerkingsverantwoordelijke, tenzij je wordt ingehuurd door een andere partij die beslist hoe en waarom de data verwerkt wordt. Weet dus goed welke rol je hebt tijdens het uitvoeren van een zzp opdracht en stel, indien nodig, een verwerkersovereenkomst op wanneer je data voor hen verwerkt.
Waarom een privacyverklaring onmisbaar is
De AVG vereist transparantie over de manier waarop je met persoonsgegevens omgaat. Een privacyverklaring is daarom onmisbaar. Dit document vermeldt welke data je verzamelt, voor welk doel en met welke juridische grondslag. Ook leg je uit hoe lang je gegevens bewaart en welke beveiligingsmaatregelen je treft. Ook staat er wat de rechten van de betrokkene zijn, zoals het recht op inzage, correctie en verwijdering van data. Voor freelancers is het belangrijk deze verklaring niet klakkeloos te kopiëren van een andere site, maar op maat te maken voor je eigen situatie. Iedere ondernemer heeft namelijk andere datastromen en verwerkingsdoelen.
Wat als je geen privacyverklaring hebt?
Stel, je hebt geen privacyverklaring of je bent niet transparant genoeg over je dataverwerking. Dat kan flinke consequenties hebben. De Autoriteit Persoonsgegevens (AP) kan boetes uitdelen, die oplopen tot in de miljoenen euro’s, afhankelijk van de ernst en omvang van de overtreding. Al is de kans dat je als kleine ondernemer meteen een hoge boete krijgt niet heel groot, de reputatieschade kan aanzienlijk zijn als klanten erachter komen dat je te laks bent met hun data.
Hoe de wet jou en je opdrachtgevers beïnvloedt
Als freelancer werk je vaak met verschillende opdrachtgevers en leveranciers. Misschien bewaart je webdesigner data in een externe database of gebruik je een e-mailmarketingtool. In zulke gevallen is het belangrijk om verwerkersovereenkomsten af te sluiten. Hierin staat helder wie verantwoordelijk is voor welke data en wat er gebeurt als er bijvoorbeeld een datalek optreedt.
Ook spreek je af hoe lang data wordt bewaard en of er subverwerkers zijn (bijvoorbeeld als je e-mailmarketingtool weer op een andere softwaredienst draait). Door dit goed te regelen, voorkom je juridische problemen en laat je opdrachtgevers zien dat je professioneel omgaat met hun gegevens.
Let op datalekken en meldingsplicht
Een onderdeel van de AVG is de meldingsplicht bij datalekken. Gebeurt het toch dat er onverhoopt ongeautoriseerd toegang is geweest tot data (bijvoorbeeld door een phishingmail of een vergeten laptop) dan kan dat een datalek zijn. In dat geval ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Als er kans is op ernstige gevolgen voor de betrokkenen, moet je die ook informeren.
Dit klinkt heftig, maar het idee erachter is dat betrokkenen hun maatregelen kunnen nemen, zoals het wijzigen van wachtwoorden of het alert zijn op identiteitsfraude. Zorg dus dat je een procedure paraat hebt, zodat je in geval van nood weet wat je moet doen.
Hou rekening met bewaartermijnen
Veel zelfstandig professionals zijn geneigd data zolang te bewaren als ze maar willen, “want het kan ooit nog van pas komen”. Toch stelt de AVG dat je persoonsgegevens niet langer mag bewaren dan nodig is voor het doel waarvoor je ze verzameld hebt. Dit betekent dat je regelmatig moet controleren of bepaalde gegevens nog relevant zijn. Heb je nog contactgegevens van een klant die al jaren geen diensten meer bij je afneemt? Dan is het verstandig om die te verwijderen.
Oplossingen die je echt geregeld moet hebben
Zorg voor een bondige en begrijpelijke privacyverklaring, waarin je uitlegt welke data je verzamelt en waarom. Plaats deze op je website, en verwijs ernaar in offertes of facturen als dat relevant is. Zo weten klanten en opdrachtgevers meteen waar ze aan toe zijn.
Werk je met externe partijen die toegang hebben tot jouw data of tot data van jouw klanten? Sluit dan een verwerkersovereenkomst. Je kunt gebruikmaken van standaardmodellen, maar pas ze wel aan op je eigen situatie. Zorg dat er duidelijk in staat wie waarvoor verantwoordelijk is.
Denk aan sterke wachtwoorden en tweefactorauthenticatie voor al je digitale tools. Maak gebruik van antivirussoftware en zorg voor een goed back-up-systeem. Fysieke documenten met persoonsgegevens kun je beter in een afgesloten kast bewaren. Met al deze maatregelen verklein je de kans op datalekken.