Begin met de gegevensstroom die u wilt begrijpen
Beschrijf een concreet proces, bijvoorbeeld een klantaanvraag of sollicitatie. Welke informatie wordt gevraagd, waar komt zij terecht en wie gebruikt haar? Denk ook aan kopieën in mailboxen, exports en koppelingen naar andere systemen. Een privacyvraag wordt daardoor afgebakend op feiten in plaats van op de aanwezigheid van één beleidsdocument.
De Europese overheidsinformatie over de AVG behandelt verantwoordelijkheden bij verwerking van persoonsgegevens. Voor uw organisatie moet worden onderzocht hoe die regels op de feitelijke werkwijze aansluiten. Niet iedere verwerking heeft hetzelfde doel of dezelfde risico's. Een inventarisatie hoort daarom onderscheid te maken tussen processen en betrokken personen, zodat de beoordeling gericht kan plaatsvinden.
Wanneer een bredere audit passend is
Heeft u geen actueel overzicht van systemen, leveranciers en verantwoordelijkheden, dan kan AVG-audit de eerste stap zijn. Het onderzoek kan processen volgen, documenten vergelijken en verbeterpunten rangschikken. De reikwijdte moet duidelijk zijn: een websitecontrole is geen automatisch oordeel over de gehele onderneming.
Een audit kan nuttig zijn na groei, invoering van nieuwe software of verandering van dienstverlening. De uitkomst hoort niet alleen te bestaan uit ontbrekende documenten, maar ook uit acties voor medewerkers en systemen. Denk aan toegang, bewaarbeheer of opvolging van verzoeken. De organisatie moet kunnen zien wie welke verbetering uitvoert en welke vragen nog specialistische beoordeling nodig hebben.
Wanneer één leveranciersafspraak centraal staat
Ontvangt u een verwerkersovereenkomst van een softwareleverancier, dan is eerst inzicht nodig in de rollen en gegevensstroom. Niet iedere ontvanger van informatie heeft dezelfde positie. De dienst verwerkersovereenkomst richt zich op die afbakening en de inhoud van het document en de bijlagen.
Controleer daarbij de samenhang met het hoofdcontract. Afspraken over ondersteuning, gegevensuitvoer of beëindiging kunnen op verschillende plaatsen staan. Een privacybijlage met ruime medewerking kan praktisch worden beperkt door andere voorwaarden. Daarom moet duidelijk zijn of de opdracht alleen verwerkingsafspraken betreft of ook beoordeling van relevante commerciële bepalingen omvat. Een document zonder de onderliggende dienst te begrijpen is moeilijk verantwoord te beoordelen.
Kies een ingang vanuit het waarneembare probleem
Deze voorbeelden helpen om een eerste aanvraag concreet te formuleren. Zij vervangen geen beoordeling van de verplichtingen die op uw onderneming van toepassing zijn.
| Wat u merkt | Vraag om te onderzoeken | Mogelijke ingang |
|---|---|---|
| Niemand weet waar alle klantgegevens staan | Welke processen en kopieën bestaan? | Afgebakende AVG-inventarisatie |
| Een leverancier vraagt een privacybijlage te tekenen | Kloppen rollen, verwerking en praktische afspraken? | Verwerkersovereenkomst beoordelen |
| Nieuwe software wijzigt het gebruik van gegevens | Welke veranderingen raken bestaande afspraken? | Gerichte audit van het nieuwe proces |
| Verwijderen blijkt technisch moeilijk | Hoe sluiten beleid, contract en systeem op elkaar aan? | Procesanalyse met leveranciersvragen |
| Een incident is al ontstaan | Welke feiten en acties zijn direct relevant? | Tijdige specifieke beoordeling buiten gewone documentcontrole |
Een nieuw CRM naast bestaande spreadsheets
In dit fictieve voorbeeld stapt een verkoopteam over op een CRM. De onderneming past haar beschrijving van het systeem aan, maar medewerkers blijven ook eigen spreadsheets gebruiken. Oude bestanden worden per e-mail gedeeld en niet meegenomen in de nieuwe toegangsregeling. De formele inrichting en dagelijkse praktijk lopen daardoor uiteen.
Een gerichte inventarisatie vraagt medewerkers hoe zij werkelijk werken en waarom de extra bestanden nodig lijken. Vervolgens kan worden besloten welke functionaliteit ontbreekt, welke kopieën moeten worden beheerd en hoe instructies worden aangepast. Het voorbeeld laat zien dat privacyverbetering niet uitsluitend uit nieuwe juridische tekst bestaat. De gekozen werkwijze moet bruikbaar zijn voor de mensen die met de informatie werken.
Deel voor onderzoek niet meer persoonsgegevens dan nodig
Voor de eerste bespreking zijn procesbeschrijvingen, lege formulieren en contracten vaak voldoende. Volledige personeels- of klantdossiers hoeven niet automatisch te worden meegestuurd. Spreek af welke voorbeelden nodig zijn en of zij zonder direct herkenbare persoonsgegevens kunnen worden aangeleverd. Daarmee blijft het onderzoek gericht op de vraag in plaats van op onnodige verzameling van gevoelige informatie.
Vermeld bij uw aanvraag de aanleiding, betrokken systemen en gewenste beslissing. Maak duidelijk of er een deadline of incident speelt. Het voorstel moet aangeven wat wordt onderzocht, welke uitkomst u ontvangt en welke uitvoering daarna nog nodig is. Een rapport of contractbeoordeling is een stap in beheer; blijvende kwaliteit vraagt ook dat veranderingen worden opgemerkt en verantwoordelijkheden in de organisatie herkenbaar blijven.
Bronnen bij dit onderwerp
- Europese Unie — Algemene verordening gegevensbeschermingGeraadpleegd op 2026-09-11