Naar de inhoud
pitch
EN
Menu
Jouw digitale compliance

AVG en privacy

Rechtmatig omgaan met persoonsgegevens, van je register en cookies tot verzoeken van betrokkenen en datalekken.

•

Jouw digitale compliance

Ontdek de acht thema’s van jouw digitale compliance.

Scrol verder of draai zelf aan de naald, en zie wat klanten ons onderweg vragen. Iets dat je aanspreekt? Klik op dat deel van de cirkel en duik erin.

  1. AVG en privacy Hier ben je Rechtmatig omgaan met persoonsgegevens, van je register en cookies tot verzoeken van betrokkenen en datalekken.
  2. AI-verordening Uitzoeken welke verplichtingen uit de AI-verordening voor jou gelden als aanbieder of gebruiker van AI, en wanneer.
  3. Dataverordening en data delen Data delen, in licentie geven en beschermen, en de toegangs- en overstapregels van de Dataverordening naleven.
  4. Operationele weerbaarheid: NIS2 en DORA Je diensten draaiende houden: risicobeheer, incidentmelding en leveranciersregels onder NIS2 en, in de financiële sector, DORA.
  5. Veilige producten: Cyberbeveiligingsverordening en Cyberweerbaarheidsverordening Hardware en software op de Europese markt brengen die aan de Cyberweerbaarheidsverordening voldoen, en Europese cyberbeveiligingscertificering inzetten waar het telt.
  6. Online platformen: digitaledienstenverordening Host je inhoud van gebruikers of run je een marktplaats? Regel melding en actie, transparante voorwaarden en controles op handelaars onder de DSA en de P2B-verordening.
  7. Consumentenrecht en e-commerce Online verkopen aan consumenten met de juiste informatie, herroepings- en garantievoorwaarden, eerlijke prijzen en reviews, correcte groene claims en een toegankelijke webshop.
  8. Sancties en antiwitwas Klanten en partners screenen, en weten wat de sanctie- en antiwitwasregels van je verwachten.

AVG en privacy

Wat klanten ons vaak vragen

Wat hebben we nodig om AVG-conform te zijn, en waar beginnen we?

Begin met een overzicht van welke persoonsgegevens je verwerkt, waarom, op welke rechtsgrond en wie ze ontvangt. Daaruit volgt je register van verwerkingsactiviteiten, dat de meeste organisaties nodig hebben en waar alle andere stappen op bouwen. Regel daarna de basis: privacyverklaringen, verwerkersovereenkomsten, bewaartermijnen, beveiliging en een procedure voor verzoeken en datalekken. Wij bouwen en onderhouden deze registers samen met jou in het klantenportaal.

Iemand vraagt zijn gegevens op. Wat moeten we sturen, en wanneer?

Je moet binnen één maand na ontvangst van het verzoek antwoorden. Bij complexe of talrijke verzoeken kan die termijn met twee maanden worden verlengd, als je de persoon op tijd informeert. Stuur een kopie van de persoonsgegevens, samen met de verwerkingsdoeleinden, ontvangers, bewaartermijn en bron. Controleer de identiteit zonder meer te vragen dan nodig en haal gegevens van anderen en wettelijk beschermde informatie eruit. Wij registreren elk verzoek en de termijn in een workflow.

We hebben een datalek. Wat nu?

Beperk eerst de schade en beoordeel binnen een paar uur of het lek waarschijnlijk een risico voor personen inhoudt. Zo ja, meld het zonder onnodige vertraging aan de bevoegde gegevensbeschermingsautoriteit (meestal in het land van je hoofdvestiging, zoals de GBA in België), waar mogelijk binnen 72 uur nadat je het lek hebt vastgesteld, desnoods in stappen. Bij een hoog risico informeer je ook de betrokkenen. Documenteer elk lek, ook als je het niet meldt. Wij bereiden de melding voor en een advocaat keurt ze goed.

Hebben we een functionaris voor gegevensbescherming (DPO) nodig?

Alleen in drie gevallen: je bent een overheidsinstantie, je kernactiviteit bestaat uit regelmatige en systematische observatie van personen op grote schaal, of uit grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens. Veel kmo's vallen daarbuiten, maar een vrijwillige DPO kan nuttig zijn. De DPO mag extern zijn en je moet de contactgegevens aan de GBA doorgeven. Wij bieden een externe DPO aan op basis van een dienstverleningsovereenkomst.

Is onze website in orde met de cookieregels?

Alleen strikt noodzakelijke cookies mag je zonder toestemming plaatsen. Analytische en advertentiecookies en de meeste trackers van derden vragen vooraf een geïnformeerde, specifieke toestemming via een actieve keuze, waarbij weigeren even makkelijk is als accepteren. Een klassieke valkuil is een banner die trackers laadt voordat de bezoeker klikt. Check wat je site echt laadt en stem dan banner, cookiebeleid en privacyverklaring op elkaar af. Wij kunnen de technologieën op je site auditen.

Hebben we een verwerkersovereenkomst nodig met onze leveranciers?

Ja, telkens als een leverancier in jouw opdracht persoonsgegevens verwerkt, zoals een clouddienst, sociaal secretariaat of marketingplatform. Artikel 28 AVG vraagt een schriftelijke overeenkomst over instructies, vertrouwelijkheid, beveiliging, subverwerkers, hulp bij verzoeken en lekken, en verwijdering of teruggave aan het einde. De standaardvoorwaarden van leveranciers schieten vaak tekort of leggen het risico bij jou. Wij stellen deze overeenkomsten op en lezen ze na.

Mogen we clouddiensten of leveranciers buiten de EU gebruiken?

Ja, maar persoonsgegevens mogen de EER alleen verlaten via een geldig doorgiftemechanisme: een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework voor gecertificeerde Amerikaanse bedrijven, of modelcontractbepalingen met een gedocumenteerde beoordeling van het doorgifterisico. Ook toegang op afstand vanuit een derde land telt als doorgifte. Breng in kaart waar je leveranciers en hun subverwerkers actief zijn en leg dat vast. Wij beoordelen doorgiften in je contracten en registers.

Hoe lang mogen we persoonsgegevens bewaren?

De AVG geeft geen vaste termijn: je mag gegevens alleen bewaren zolang dat nodig is voor het doel waarvoor je ze verzamelde. Sectorregels kunnen minimumtermijnen opleggen, bijvoorbeeld voor boekhoudkundige stukken, en verjaringstermijnen kunnen rechtvaardigen dat je sommige dossiers langer bewaart. De valkuil is alles onbeperkt bijhouden. Bepaal per categorie een bewaartermijn, noteer die in je register en wis of anonimiseer volgens planning.

Wanneer moeten we een gegevensbeschermingseffectbeoordeling (DPIA) doen?

Als een verwerking waarschijnlijk een hoog risico voor personen inhoudt, bijvoorbeeld grootschalige profilering, systematische observatie, grootschalig gebruik van gevoelige gegevens of nieuwe technologie zoals scoring met AI. Elke nationale gegevensbeschermingsautoriteit publiceert een lijst van verwerkingen waarvoor een DPIA verplicht is. Doe hem vóór de start, beschrijf risico's en maatregelen en raadpleeg de toezichthouder als er een hoog restrisico overblijft. Wij werken DPIA's samen met jou uit als werkdocumenten.

Plan een gesprek

Zo helpen we je

Lees verder

Even sparren?

Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis.

Plan een gesprek