AVG Persoonsgegevens

AVG persoonsgegevens zijn alle gegevens die je kunt koppelen aan een levende, identificeerbare persoon. Denk aan naam, e-mailadres, telefoonnummer, IP-adres, maar ook minder voor de hand liggende zaken als locatiegegevens, cookies of een unieke klantnummer-combinatie. Zodra je deze gegevens verwerkt, ben je volgens de Algemene Verordening Gegevensbescherming verantwoordelijk voor rechtmatige verzameling, veilige opslag en transparante communicatie naar de betrokkene.

Welke gegevens vallen onder AVG persoonsgegevens

De definitie is bewust breed. Elk gegeven dat direct of indirect naar een persoon leidt, telt mee. Directe identificatie: naam, BSN, pasfoto. Indirecte identificatie: een combinatie van postcode, geboortejaar en geslacht waarmee je iemand in een kleine gemeente kunt terugvinden. Ook dynamische IP-adressen, cookiedata en apparaat-ID's zijn persoonsgegevens zodra je ze koppelt aan gedrag of voorkeuren. Bijzondere persoonsgegevens zoals gezondheidsgegevens, religieuze overtuiging of biometrische data kennen nog strengere regels. In de praktijk zien we dat veel MKB-bedrijven onderschatten hoeveel gegevens ze daadwerkelijk verzamelen via formulieren, analytics en CRM-systemen.

Waarom AVG persoonsgegevens zo strikt gereguleerd zijn

De AVG trad in mei 2018 in werking als antwoord op toenemende datamisbruik en ondoorzichtige verwerking door grote platforms. Het doel: burgers meer controle geven over hun eigen gegevens en bedrijven dwingen tot transparantie. Voor MKB-ondernemers betekent dit concreet dat je niet zomaar een mailinglijst mag kopen, dat je toestemming nodig hebt voor marketingcookies en dat je binnen 30 dagen moet reageren op een inzageverzoek. De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde omzet, afhankelijk van de ernst van de overtreding.

Wat AVG persoonsgegevens betekent voor je bedrijfsvoering

Elke verwerking van persoonsgegevens vraagt om een juridische grondslag: toestemming, contractuele noodzaak, wettelijke verplichting of gerechtvaardigd belang. Je moet kunnen aantonen waarom je gegevens verzamelt, hoe lang je ze bewaart en wie er toegang toe heeft. Dat vraagt om een verwerkingsregister, heldere privacyverklaringen en technische beveiliging zoals encryptie en toegangscontrole. In de praktijk betekent dit dat je bij een nieuwe website direct nadenkt over cookiebanners, opt-ins en dataopslag. Ook je CRM, mailingsoftware en analytics-tools moeten AVG-proof zijn ingericht, inclusief verwerkersovereenkomsten met leveranciers.

De regels rond AVG persoonsgegevens gelden voor elke verwerking, van een simpel contactformulier tot een uitgebreide webshop met klantaccounts. Hieronder vier praktijksituaties waarin MKB-bedrijven dagelijks met persoonsgegevens werken en waar je bewust keuzes moet maken.

Contactformulieren en nieuwsbriefinschrijvingen

Zodra iemand zijn naam en e-mailadres invult, verwerk je persoonsgegevens. Je moet duidelijk maken waarvoor je de gegevens gebruikt, hoe lang je ze bewaart en of je ze deelt met derden zoals een mailingsysteem. Een veelgemaakte fout: automatisch iedereen die een offerte aanvraagt toevoegen aan je nieuwsbrief. Dat mag niet zonder expliciete, separate toestemming. Gebruik een aparte checkbox, vooraf uitgevinkt, met heldere tekst. Bewaar ingevulde formulieren niet langer dan nodig: een offerteaanvraag die na zes maanden niet tot opdracht leidt, kun je archiveren of verwijderen tenzij je een gerechtvaardigd belang kunt aantonen. Leg die afweging vast in je verwerkingsregister.

Webshops en klantaccounts

Een webshop verzamelt naam, adres, betaalgegevens en vaak ook aankoopgeschiedenis. Die gegevens zijn nodig voor contractuitvoering, dus toestemming is niet vereist. Maar zodra je die data gebruikt voor gepersonaliseerde aanbevelingen of remarketing, heb je een nieuwe grondslag nodig. Klantaccounts met inloggegevens en bestelhistorie vragen om extra beveiliging: tweefactorauthenticatie, versleutelde opslag en strikte toegangsrechten voor medewerkers. Bij een datalek moet je binnen 72 uur de Autoriteit Persoonsgegevens informeren. In de praktijk zien we dat MKB-webshops vaak geen duidelijk retentiebeleid hebben: klantgegevens blijven jaren staan terwijl de laatste aankoop alweer vijf jaar geleden was. Stel een automatische opschoontermijn in, bijvoorbeeld twee jaar na laatste activiteit.

Analytics en tracking

Google Analytics, heatmaps en advertentiepixels verzamelen persoonsgegevens zodra je IP-adressen en cookiedata koppelt aan gedrag. Sinds het Schrems II-arrest en de uitspraken van de Autoriteit Persoonsgegevens moet je toestemming vragen vóór het plaatsen van niet-functionele cookies. Een cookiebanner met alleen een 'Akkoord'-knop volstaat niet: je moet een gelijkwaardige 'Weiger'-optie bieden. Overweeg privacyvriendelijke alternatieven zoals server-side tracking of analytics zonder IP-opslag. Voor advertentiecampagnes via Facebook of Google Ads heb je vaak verwerkersovereenkomsten nodig. Check of je huidige setup voldoet, zeker als je remarketing inzet op basis van websitebezoek.

CRM-systemen en klantcommunicatie

Een CRM bevat vaak de meest uitgebreide verzameling persoonsgegevens: contactgegevens, gespreksnotities, offertes, contracten en soms zelfs persoonlijke voorkeuren. Je grondslag is meestal contractuele noodzaak of gerechtvaardigd belang, maar dat betekent niet dat alles mag. Notities over iemands gezondheid, financiële situatie of politieke voorkeur zijn bijzondere persoonsgegevens en vragen om extra zorgvuldigheid. Beperk toegang tot alleen die medewerkers die de data echt nodig hebben. Zorg dat je CRM-leverancier een verwerkersovereenkomst aanbiedt en dat backups versleuteld zijn. Een inzageverzoek van een klant moet je binnen 30 dagen honoreren, dus zorg dat je snel kunt exporteren welke gegevens je over iemand hebt vastgelegd.

Wanneer AVG persoonsgegevens de juiste focus is en wanneer niet

AVG-compliance is verplicht zodra je persoonsgegevens verwerkt, maar de mate van complexiteit hangt af van je bedrijfsmodel. Een eenmanszaak met alleen een contactformulier heeft minder risico dan een webshop met 10.000 klantaccounts. Investeer proportioneel: begin met een heldere privacyverklaring, een cookiebanner en een verwerkingsregister. Schakel juridische hulp in als je grootschalig profileert, gevoelige gegevens verwerkt of internationaal opereert. Negeer AVG niet omdat je klein bent: boetes zijn schaalbaa en reputatieschade treft juist MKB-bedrijven hard. Maar vermijd ook overkill: niet elke nieuwsbrief vereist een uitgebreid DPIA-traject.