Laden...
AVG wetgeving roept bij veel MKB‑organisaties vragen op. Wat moet je regelen, wat kost het en wanneer loop je risico? Op deze pagina leggen we AVG compliance praktisch uit, zonder juridisch jargon.
| Kernfeit | Wat betekent dit concreet? | Bron |
|---|---|---|
| Ingangsdatum | De AVG (GDPR) is van kracht sinds 25 mei 2018. | https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679 |
| Maximale boete | Boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet (art. 83). | https://www.autoriteitpersoonsgegevens.nl/over-de-autoriteit-persoonsgegevens/boetes-en-andere-sancties-van-de-ap |
| Meldplicht datalekken | Een datalek moet je in veel gevallen binnen 72 uur melden bij de AP (art. 33). | https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek |
| Toezichthouder in NL | In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de AVG. | https://www.autoriteitpersoonsgegevens.nl/over-de-autoriteit-persoonsgegevens/taken-en-bevoegdheden-van-de-ap |
| DPIA verplicht bij hoog risico | Een DPIA is verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert (art. 35). | https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/praktisch-avg/data-protection-impact-assessment-dpia |
| Wanneer AVG van toepassing is | De AVG geldt zodra je persoonsgegevens verwerkt (bijv. klanten, medewerkers of websitebezoekers). | https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacy-en-persoonsgegevens/privacywetgeving |
Veel organisaties worstelen met de AVG. Wat moet je nu écht regelen? Wanneer loop je risico? En hoe voorkom je boetes zonder onnodige bureaucratie?
De AVG (Algemene Verordening Gegevensbescherming) geldt sinds 25 mei 2018 en is van toepassing op vrijwel elke organisatie die persoonsgegevens verwerkt. In de praktijk zien wij dat vooral MKB‑bedrijven moeite hebben om de wet concreet en werkbaar toe te passen.
Op deze pagina leggen wij de AVG praktisch uit. Je leest wat AVG compliance inhoudt, wat het kost en welke stappen nodig zijn om privacyrisico’s beheersbaar te maken — zonder papieren tijgers.
De AVG (Algemene Verordening Gegevensbescherming) is de Europese privacywet die sinds 25 mei 2018 regels stelt aan het verwerken van persoonsgegevens. De AVG staat internationaal bekend als de GDPR (General Data Protection Regulation); het gaat om dezelfde wet.
De AVG bepaalt wanneer en hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, opslaan en delen. Denk aan gegevens van klanten, medewerkers, leveranciers en websitebezoekers.
In Nederland wordt toezicht gehouden door de Autoriteit Persoonsgegevens (AP). Deze toezichthouder kan onderzoeken uitvoeren en boetes opleggen bij overtredingen van de AVG.
Je moet voldoen aan de AVG zodra je persoonsgegevens verwerkt. Dat is al snel het geval. Persoonsgegevens zijn alle gegevens die direct of indirect te herleiden zijn tot een persoon.
Voorbeelden uit de MKB‑praktijk:
Belangrijk om te weten: ook zzp’ers, stichtingen, verenigingen en kleine bedrijven vallen onder de AVG.
Voor elke verwerking van persoonsgegevens heb je een grondslag nodig. Zonder grondslag ben je simpelweg niet compliant. In het MKB zien wij dat dit vaak misgaat omdat men “toestemming” als standaard gebruikt, terwijl dat lang niet altijd de beste (of geldige) keuze is.
De meest gebruikte grondslagen zijn:
Praktische tip: leg per verwerking in je register vast welke grondslag je gebruikt en waarom. Twijfel je? Check onze uitleg over grondslag AVG kiezen en maak daarna één consistente keuze per proces.
De AVG maakt een hard onderscheid tussen verwerkingsverantwoordelijke en verwerker. Als je die rollen door elkaar haalt, krijg je vrijwel altijd problemen bij datalekken, audits of vragen van klanten.
Werk je met een partij die namens jou persoonsgegevens verwerkt? Dan heb je meestal een verwerkersovereenkomst nodig. Daarin leg je minimaal vast: onderwerp en duur van de verwerking, type gegevens en betrokkenen, beveiligingsmaatregelen, geheimhouding, subverwerkers, datalekmelding, ondersteuning bij rechtenverzoeken, en afspraken over verwijdering/teruggave na afloop.
Wat wij vaak zien: bedrijven hebben wel contracten, maar geen AVG-afspraken op papier. Dat geeft gedoe op het moment dat het misgaat. Regel dit vóórdat je opschaalt met nieuwe tools of leveranciers.
Niet voldoen aan de AVG kan grote gevolgen hebben. De wet kent stevige sancties en wordt actief gehandhaafd.
De belangrijkste risico’s:
De Autoriteit Persoonsgegevens heeft de afgelopen jaren meerdere organisaties beboet, waaronder zorginstellingen en commerciële bedrijven met onvoldoende privacymaatregelen.
“AVG compliance faalt zelden op ‘kennis van de wet’. Het faalt op uitvoering. In 8 van de 10 MKB-trajecten zien wij dat het ontbreken van duidelijke rollen, een verwerkingsregister dat niet klopt en geen vast proces voor datalekken de echte oorzaak is van risico’s.”
| Onderdeel | Indicatie (bandbreedte) | Wanneer nodig | Opmerking |
|---|---|---|---|
| AVG quickscan / nulmeting | €750–€2.500 | Bij start of als je niet zeker weet waar de grootste risico’s zitten | Afhankelijk van aantal processen/locaties en of je ook IT/security meeneemt. |
| Verwerkingsregister (art. 30) opzetten of opschonen | €1.000–€4.000 | Als je structureel persoonsgegevens verwerkt (bijna altijd) of als je register ontbreekt/gedateerd is | Kosten stijgen bij veel applicaties, veel afdelingen of veel gegevensstromen. |
| Privacybeleid + procedures (rechtenverzoeken, datalekken, bewaartermijnen) | €1.000–€3.500 | Als beleid/procedures ontbreken of niet worden gevolgd | “Papier” zonder procesafspraken werkt niet; implementatie bepaalt de waarde. |
| DPIA (gegevensbeschermingseffectbeoordeling) | €1.500–€6.000 per DPIA | Bij verwerkingen met waarschijnlijk hoog privacyrisico (art. 35) | Complexiteit hangt af van type verwerking (monitoring, profiling, bijzondere gegevens, schaal). |
| Verwerkersovereenkomsten + leverancierscheck | €750–€3.000 | Als je met IT-/SaaS-/verwerkingspartijen werkt die namens jou data verwerken | Vaak onderschat: één goede template + afspraken per leverancier scheelt veel herstelwerk. |
| Cookies/website (cookiebanner, cookieverklaring, tracking-inrichting) | €500–€2.500 | Als je tracking/cookies gebruikt en dit niet aantoonbaar klopt | Afhankelijk van aantal tags/tools (GA4, GTM, Meta/LinkedIn, etc.). |
| (Externe) Functionaris Gegevensbescherming (FG) | €3.000–€12.000 per jaar | Verplicht in specifieke gevallen (art. 37) of wenselijk voor onafhankelijke toetsing | Jaarbedrag hangt af van uren, complexiteit en rapportage/audits. |
| Training & awareness | €500–€2.500 | Als medewerkers persoonsgegevens verwerken (dus: bijna altijd) | Korte, herhaalbare training werkt beter dan éénmalige “AVG-sessie”. |
Let op: dit zijn indicatieve bandbreedtes. In de praktijk bepalen vooral deze factoren de kosten: aantal processen/afdelingen, aantal systemen (SaaS/IT), type gegevens (bijzonder of niet), mate van uitbesteding (verwerkers), en hoe “volwassen” je huidige werkwijze is.
Implementatieroute
We starten met een praktische AVG quickscan om inzicht te krijgen in hoe jouw organisatie momenteel met persoonsgegevens omgaat en waar de grootste risico’s en verbeterpunten zitten.
We brengen alle verwerkingen van persoonsgegevens in kaart en stellen een AVG‑conform verwerkingsregister op dat aansluit bij de dagelijkse praktijk van jouw organisatie.
We stellen of actualiseren het privacybeleid, de privacyverklaring en eventuele interne richtlijnen, zodat deze juridisch correct én begrijpelijk zijn.
Wanneer sprake is van een hoog privacyrisico voeren we een Data Protection Impact Assessment (DPIA) uit en leggen passende beheersmaatregelen vast.
AVG‑afspraken worden vertaald naar concrete werkprocessen, rollen en verantwoordelijkheden, zodat privacybescherming geen papieren exercitie blijft.
Medewerkers worden meegenomen in de AVG‑regels en hun rol daarin, zodat privacybewust werken onderdeel wordt van de dagelijkse praktijk.
Een DPIA (Data Protection Impact Assessment) is een risicoanalyse die verplicht is wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert (art. 35 AVG).
Het verwerkingsregister is een overzicht van alle verwerkingen van persoonsgegevens. Dit register is verplicht bij organisaties met 250+ medewerkers, maar ook bij kleinere organisaties wanneer sprake is van risicovolle of structurele verwerking.
De AVG geeft mensen (betrokkenen) rechten, zoals inzage, rectificatie, verwijdering, beperking, bezwaar en in sommige gevallen dataportabiliteit. In de praktijk gaat het niet mis op het “juridische stukje”, maar op het proces: wie pakt het op, waar liggen de gegevens, en hoe bewijs je dat je het netjes hebt afgehandeld?
Praktische basisafspraak voor MKB:
Let op: je moet in de regel binnen 1 maand reageren. Als je dit proces niet vooraf regelt, ben je bij het eerste verzoek al te laat.
Bewaartermijnen en dataminimalisatie klinken saai, maar dit is één van de snelste manieren om je AVG-risico’s te verlagen. Minder data = minder impact bij een datalek, minder beheer, minder vragen van klanten, en vaak minder discussie bij audits.
Wat we in de praktijk bij MKB doen: we starten niet met een megaproject, maar met een korte “opschoonronde” per proces. Je hoeft niet alles perfect te hebben, maar je moet wél kunnen uitleggen waarom je iets bewaart en wanneer het weggaat.
Mini-checklist (direct toepasbaar):
Deze basis voorkomt dat je organisatie langzaam verandert in een dataverzamelbak zonder rem.
Een FG is verplicht wanneer:
Ook wanneer een FG niet verplicht is, kan een externe FG verstandig zijn voor onafhankelijke toetsing en specialistische kennis.
Bij AVG compliance draait het niet om zoveel mogelijk documenten, maar om werkbare privacybescherming.
Wij kiezen voor een pragmatische aanpak: juridisch correct waar nodig, praktisch uitvoerbaar waar het kan. Geen papieren tijgers, maar duidelijke verantwoordelijkheden en maatregelen die in de praktijk werken.
MaasISO ondersteunt organisaties bij AVG‑implementatie, DPIA’s, verwerkingsregisters en het vervullen van de rol van externe Functionaris Gegevensbescherming.
Neem vrijblijvend contact op en ontdek hoe MaasISO jouw organisatie op praktische wijze kan helpen aan de AVG wetgeving te voldoen.