RODO voor bedrijven – basisverplichtingen

U runt een bedrijf, dus verwerkt u elke dag gegevens van klanten, kandidaten, aannemers en werknemers. Bij een goede RODO implementatie gaat het niet om een ordner met documenten, maar om eenvoudige regels in uw dagelijkse werk. Zodra u uw processen en verantwoordelijkheden op een rijtje hebt gezet, krijgt u weer gemoedsrust en zal controle geen reden tot stress meer zijn.

In deze gids vertaal ik de vereisten van RODO naar de praktijk. Ik laat je zien waar je moet beginnen, hoe je de rechtsgrondslag kiest, wat je in clausules moet opnemen, hoe je een administratie moet bijhouden en hoe je op incidenten moet reageren. Je krijgt ook een 90 dagen checklist en een korte FAQ voor directe beslissingen.

Waar te beginnen met compliance in het bedrijf?

Maak een snelle verwerkingskaart. Maak een lijst van de processen (verkoop, marketing, werving, HR, boekhouding, contractverwerking, monitoring, helpdesk) en noem voor elk het doel, de rechtsgrondslag, de reikwijdte van de gegevens, de bronnen, de ontvangers, de systemen en de bewaartermijn. Dit overzicht wordt de basis van je activiteitenregister.

Wijs proceseigenaars aan. Eén eigenaar is verantwoordelijk voor de inhoud van de registervermelding en voor updates. Deze toewijzing neemt ‘niemands’ verantwoordelijkheden weg. Organiseer elk kwartaal een overzicht: wat is er veranderd, wat komt er bij, wat verwijder je. Dit houdt het register levend en niet stoffig op schijf.

Hoe koppel je rechtsgrondslagen aan processen?

Voor elke activiteit kies je een grondslag uit artikel 6 en documenteer je de beslissing. Je behandelt contracten op basis van ‘noodzaak voor de uitvoering van het contract’. Je baseert boekhoudkundige en HR-verplichtingen op een wettelijke bepaling. Het eigenbelang van het bedrijf (bijv. claimen, basisanalyse) vereist een afwegingstoets en een uitvoerbaar recht om bezwaar te maken.

Toestemming werkt als de persoon een echte keuze heeft en deze gemakkelijk kan intrekken. In B2C-marketing heb je het vaak nodig in kanalen die toestemming vereisen. Gebruik in B2B voorzichtig legitiem belang en geef een duidelijk mechanisme voor bezwaar. Vergeet niet dat er verschillende gronden kunnen zijn voor één actie (bijvoorbeeld een factuur en een nieuwsbrief zijn twee verschillende doeleinden).

Informatieplicht in de praktijk

Geef duidelijke informatie bij het verzamelen van gegevens: wie is de verwerkingsverantwoordelijke en hoe kunt u contact met hem opnemen, waarom u de gegevens verzamelt, op welke basis, aan wie u de gegevens verstrekt, hoe lang u de gegevens bewaart, welke rechten de persoon heeft en of u de gegevens buiten de EER verstuurt. Schrijf in duidelijke taal en vermijd jargon.

Laat de plaats en het moment overeenkomen. Laat de clausules op de website zien waar het formulier staat. Voeg ze bij werving toe aan de advertentie en het formulier. Neem ze in een B2B-relatie op in de correspondentie of het contract. Als je gegevens uit andere bronnen verkrijgt, voldoe dan binnen een redelijke termijn aan de verplichting en vermeld de bron.

Registers die elke dag leven

Als verwerkingsverantwoordelijke houd je een register van verwerkingsactiviteiten bij. Als je diensten aan anderen verleent, houd je als verwerker ook een register bij van categorieën van activiteiten. Elk item heeft een eigenaar, een bijwerkingsdatum, een lijst van systemen, verwerkers en bewaarregels.

Stel een eenvoudige werkcyclus op: updaten bij elke toolimplementatie of campagnelancering, driemaandelijkse evaluatie van het totaal, jaarlijkse retentie-evaluatie. Het register wordt dan een hulpmiddel voor risicomanagement in plaats van een formaliteit.

Toewijzingsovereenkomsten met leveranciers

Wanneer u gegevens overdraagt aan een provider (bijv. hosting, CRM, ATS, mailing), tekent u een vertrouwensovereenkomst. U specificeert het onderwerp en de duur, het doel, het type gegevens en de categorieën personen, de beveiligingsmaatregelen, de regels voor onderaannemers, hulp bij de uitoefening van rechten van personen en inbreuken, en de teruggave/verwijdering van gegevens aan het einde van de samenwerking.

Je controleert de leverancier voordat je het contract ondertekent. Je vraagt naar encryptie, toegangscontrole, logs, testen, datacenterlocaties en de keten van onderaannemers. Je schrijft de verplichting in om incidenten te melden en het recht op controle. Het is een standaard die het bedrijf op een realistische manier beschermt.

Gegevensbeveiliging in de praktijk (artikel 32)

Je begint met een risicobeoordeling. Je identificeert de risico’s, beoordeelt de waarschijnlijkheid en de impact en selecteert maatregelen. De lijst bevat meestal: MFA, least privilege principe, encryptie in rust en tijdens overdracht, back-ups, restore tests, event logging, netwerksegmentatie, updates en wachtwoordbeleid.

Je vult dit aan met procedures: onboarding en offboarding van gebruikers, werken op afstand en BYOD, classificatie van informatie, clean desk/schermbeleid, identiteitsverificatie, reactie op incidenten en het testen van het bedrijfscontinuïteitsplan. Je verhoogt de training minstens één keer per jaar en na belangrijke veranderingen.

Ingebouwde en standaardprivacy (artikel 25)

Je ontwerpt services om alleen noodzakelijke gegevens te verzamelen, de toegang te beperken en retentie in te stellen met automatische opschoning. Standaard schakel je functies uit die niet nodig zijn. Elke nieuwe tool ondergaat een korte beoordeling van de gevolgen voor de privacy nog voordat deze wordt geïmplementeerd.

Op openbare interfaces vertrouw je op transparantie: duidelijke berichten, een eenvoudig toestemmingsmechanisme en een even eenvoudige weigering. Op deze manier bouw je vertrouwen op en verzet de gebruiker zich niet tegen de banner.

Wanneer moet je een DPIA uitvoeren?

Je voert een gegevensbeschermingseffectbeoordeling uit wanneer de risico’s waarschijnlijk hoog zijn. Typische voorbeelden zijn uitgebreide profilering, grootschalige verwerking van gegevens uit speciale categorieën, systematische bewaking van openbare ruimten of de implementatie van een nieuwe, indringende technologie. De DPIA documenteert het doel, de reikwijdte, de risico’s, de maatregelen en het actieplan.

In de praktijk is het de moeite waard om te beginnen met een korte screening. Als de eerste analyse een hoog risico laat zien, doe je een volledige DPIA en overleg je – indien nodig – met de inspecteur en de toezichthouder. Je komt terug op de DPIA na grote wijzigingen in het proces of de technologie.

Wanneer en hoe een DPO aanstellen?

U benoemt een DPO wanneer dit wettelijk verplicht is: in openbare entiteiten en wanneer uw hoofdactiviteit bestaat uit het grootschalig monitoren van personen of het grootschalig verwerken van speciale gegevenscategorieën. Als u niet verplicht bent om dit te doen, kunt u vrijwillig een DPO aanstellen – dit vergemakkelijkt vaak het toezicht.

Je geeft de functionaris voor gegevensbescherming onafhankelijkheid en echte toegang tot informatie. Je nodigt hem/haar vanaf het begin uit voor projecten en zorgt voor middelen en training. De IOD adviseert, controleert de naleving, biedt training, onderhoudt contacten met de toezichthoudende autoriteit en is het aanspreekpunt voor betrokkenen.

Datalekken en 72 uur om te reageren

Je beoordeelt elk incident op risico. Als de inbreuk waarschijnlijk een risico inhoudt voor de rechten of vrijheden van personen, meld je dit binnen 72 uur aan de toezichthoudende autoriteit. Als het risico hoog is, informeer je ook personen. Je houdt een dossier bij van de inbreuk, waarin je het incident, de gevolgen en de corrigerende maatregelen beschrijft.

Stel een eenvoudig algoritme op. Wie ontvangt het verzoek, wie beoordeelt het risico, wie neemt contact op met de leverancier en wie verstuurt het verzoek. Zorg ervoor dat je sjablonen hebt en een lijst met contactpersonen. Een incidententest eenmaal per jaar verkort de responstijd aanzienlijk.

Hoe ga je om met de rechten van mensen in 30 dagen?

Je bepaalt de kanalen voor het ontvangen van sollicitaties (e-mail, formulier, post). Je verifieert de identiteit op een evenredige manier. U registreert de aanvraag en wijst een termijn toe. Binnen 30 dagen geef je een antwoord of informeer je over een gemotiveerde verlenging. Je houdt logboeken bij van activiteiten en zorgt voor consistentie tussen systemen.

De meest voorkomende verzoeken zijn toegang, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Met geautomatiseerde besluitvorming zorg je voor menselijke tussenkomst. Stel antwoordsjablonen op om het proces te versnellen en de kwaliteit te behouden.

Cookies en toestemming in het online kanaal

Op het apparaat van de gebruiker is toestemming nodig om gegevens te schrijven en te lezen, met uitzondering van cookies die nodig zijn voor het functioneren van de service. Het toestemmingsmechanisme moet acceptatie en weigering even gemakkelijk maken en de mogelijkheid bieden om de beslissing te wijzigen.

Vermijd banners die het moeilijk maken om te weigeren. Organiseer categorieën, namen van providers en doeleinden. Zorg voor een toestemmingsregistratiemechanisme en synchroniseer dit met je privacybeleid. Vergeet niet dat je toestemming toetst aan de criteria van de RODO, niet alleen aan de lokale communicatiewetgeving.

Doorgifte van gegevens buiten de EER

Als je gegevens buiten de Europese Economische Ruimte verstuurt, heb je een doorgiftebasis nodig. Voor de VS kun je het adequaatheidskader gebruiken voor aanbieders die zijn gecertificeerd onder het Privacy Shield-programma. In andere gevallen gebruik je meestal standaard contractuele clausules en een transfer risk assessment.

Je controleert of je aanbieder een geldige grondslag heeft en of deze de diensten dekt waarvan je gebruik maakt. Je documenteert de beslissing in het register en in je contracten. Wanneer je van dienst of onderaannemer verandert, ga je terug naar de beoordeling.

Checklist voor 90 dagen

• Breng de processen in kaart en maak een activiteitenlogboek.
• De informatieclausules en het privacybeleid bijwerken.
• Controleer de toewijzingsovereenkomsten en de keten van onderaannemers.
• Beveiligingsmaatregelen controleren en voltooien (MFA, kopieën, logboeken, retentie).
• Cookies en toestemmingsmechanisme regelen.
• Stel een inbreukprocedure op met rollen en sjablonen.
• Bereid de behandeling van de rechten van mensen voor (SLA, sjabloonantwoorden, register van verzoeken).
• Beoordeel of je een DPIA en/of IOD nodig hebt.

FAQ – RODO voor bedrijven