Persoonsgegevens AVG

Persoonsgegevens AVG zijn alle gegevens waarmee je direct of indirect een levend persoon kunt identificeren. Denk aan naam, e-mailadres, IP-adres, maar ook minder voor de hand liggende zaken als een klantnummer of een unieke combinatie van postcode en geboortedatum. De AVG (Algemene Verordening Gegevensbescherming) stelt regels voor hoe je deze gegevens verzamelt, bewaart en gebruikt. Voor MKB-bedrijven betekent dit dat je bij elk contactformulier, nieuwsbrief of CRM-systeem moet weten welke gegevens je vastlegt en waarom.

Welke gegevens vallen onder persoonsgegevens AVG

De definitie is breed. Elk gegeven dat verwijst naar een identificeerbare natuurlijke persoon is een persoonsgegeven. Dat omvat voor de hand liggende zaken als naam, telefoonnummer en adresgegevens. Maar ook minder directe informatie telt mee: een IP-adres, een cookie-ID, een foto waarop iemand herkenbaar is, of zelfs een kenteken. Ook indirecte identificatie valt eronder. Als je een postcode, huisnummer en geboortejaar combineert, kun je vaak een uniek persoon traceren. Dat maakt die combinatie tot een persoonsgegeven. De Autoriteit Persoonsgegevens geeft concrete voorbeelden die regelmatig worden geactualiseerd. Voor MKB-bedrijven betekent dit dat je voorzichtig moet zijn met elk veld in je klantendatabase of webformulier.

Waarom de AVG persoonsgegevens beschermt

De AVG trad in 2018 in werking als Europese reactie op de wildgroei van dataverzameling. Voor die tijd hadden bedrijven veel vrijheid om gegevens te verzamelen, door te verkopen of onbeperkt te bewaren. Dat leidde tot datalekken, identiteitsfraude en ondoorzichtige tracking. De AVG geeft mensen controle terug: ze mogen weten welke gegevens je hebt, waarvoor je ze gebruikt en hoe lang je ze bewaart. Ze kunnen inzage vragen, correctie eisen of verwijdering afdwingen. Voor bedrijven betekent dit meer administratie, maar ook meer vertrouwen. Klanten delen hun gegevens eerder als ze weten dat je zorgvuldig omgaat met privacy-wetgeving.

Wat persoonsgegevens AVG oplevert voor jouw bedrijf

Een nette omgang met persoonsgegevens voorkomt boetes en juridische problemen. Maar het levert ook vertrouwen op. Klanten zien een heldere privacy-verklaring en duidelijke opt-ins als teken van professionaliteit. Dat vergroot de conversie op je website. Bovendien dwingt de AVG je om opruimwerk te doen: oude contacten verwijderen, dubbele accounts samenvoegen en alleen relevante data te bewaren. Dat maakt je SEO-strategie en e-mailmarketing effectiever. Je stuurt minder berichten naar ongeldige adressen en richt je op mensen die echt interesse hebben. In de praktijk zien we bij MKB-klanten dat een opgeschoonde database de open rate van nieuwsbrieven met 15 tot 20 procent kan verhogen.

Binnen Nederlandse bedrijven komen persoonsgegevens AVG in talloze processen voor. Van een eenvoudig contactformulier op je website tot een volledig klantportaal: zodra je gegevens van levende personen verzamelt, verwerkt of bewaart, heb je te maken met de AVG. De manier waarop je deze gegevens gebruikt, bepaalt welke rechtsgrondslag je nodig hebt en welke beveiligingsmaatregelen je moet treffen. Hieronder lees je in welke concrete situaties je als MKB-ondernemer met persoonsgegevens AVG werkt en wat dat praktisch betekent.

Websiteformulieren en nieuwsbriefinschrijvingen

Een contactformulier op je website vraagt minimaal een naam en e-mailadres. Dat zijn persoonsgegevens AVG. Ook een nieuwsbriefinschrijving, downloadformulier voor een whitepaper of aanmeldpagina voor een webinar valt hieronder. Je moet bij elk formulier duidelijk maken waarvoor je de gegevens gebruikt en hoe lang je ze bewaart. Een veelgemaakte fout is het ontbreken van een aanvinkvakje voor toestemming bij marketingdoeleinden. Zonder expliciete opt-in mag je geen commerciële e-mails sturen. In de praktijk zien we dat MKB-bedrijven vaak een standaard privacyverklaring linken, maar vergeten te vermelden dat gegevens ook naar een externe mailchimp- of CRM-tool gaan. Dat is een meldplicht volgens de Autoriteit Persoonsgegevens. Zorg dus dat je privacyverklaring concreet beschrijft welke tools je inzet en waar data wordt opgeslagen.

Klantenadministratie en facturatiegegevens

Elk bedrijf dat facturen verstuurt, verwerkt persoonsgegevens AVG. Denk aan naam, adres, telefoonnummer, BTW-nummer en bankrekeningnummer van je klanten. Deze gegevens mag je bewaren op basis van een wettelijke verplichting: de Belastingdienst eist dat je facturen zeven jaar bewaart. Dat is je rechtsgrondslag. Toch moet je ook hier beveiligingsmaatregelen treffen. Een onbeveiligde Excel-sheet op een gedeelde netwerkschijf zonder wachtwoordbeveiliging is een risico. Bij een datalek ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Een webshop met 500 producten en 2.000 klanten per jaar heeft vaak ook bestelgeschiedenis, retouradres en soms geboortedatum opgeslagen. Al die velden zijn persoonsgegevens. Werk je met een externe boekhouder of accountant? Dan ben je verwerkingsverantwoordelijke en moet je een verwerkersovereenkomst afsluiten. Dat is een juridische eis die vaak over het hoofd wordt gezien.

Personeelsdossiers en sollicitatieprocedures

Als werkgever verwerk je bijzondere persoonsgegevens van medewerkers: BSN, kopie ID-bewijs, ziektemeldingen, salarisgegevens en soms medische informatie. De AVG stelt strenge eisen aan de beveiliging hiervan. Je mag deze gegevens alleen bewaren zolang de arbeidsrelatie loopt, plus de wettelijke bewaartermijn daarna. Een veelgemaakte fout is het te lang bewaren van sollicitatiegegevens van afgewezen kandidaten. Na vier weken moet je die verwijderen, tenzij de kandidaat expliciet toestemming geeft voor een langere periode. Ook cv's die je via LinkedIn of e-mail ontvangt, vallen hieronder. In de praktijk merken we bij MKB-klanten dat personeelsdossiers vaak nog op papier of in onbeveiligde mappen staan. Een digitaal HR-systeem met toegangscontrole voorkomt dat collega's elkaars salarisgegevens kunnen inzien. Dat is niet alleen een AVG-eis, maar ook een kwestie van vertrouwen binnen je team.

Wanneer persoonsgegevens AVG de juiste focus is en wanneer niet

Je hebt te maken met persoonsgegevens AVG zodra je gegevens van levende personen verwerkt. Dat geldt dus niet voor bedrijfsgegevens van een eenmanszaak zonder NAW-gegevens van de eigenaar, of voor volledig geanonimiseerde statistieken. Ook gegevens van overleden personen vallen buiten de AVG. Wél relevant is de AVG als je klantprofielen bouwt, remarketing inzet via Google of Facebook, of een chatbot gebruikt die gesprekken opslaat. Zelfs een IP-adres in je analytics-tool is een persoonsgegeven. Heb je een simpele portfolio-website zonder formulieren of tracking? Dan is de AVG minder urgent. Maar zodra je Google Analytics installeert of een contactformulier toevoegt, ben je verwerkingsverantwoordelijke en gelden alle regels.