Compliant worden met de AVG: van lege omgeving naar aantoonbaar dossier

Waarom dit moet (en wat "compliant" echt betekent)

De AVG vraagt niet alleen dat je zorgvuldig met persoonsgegevens omgaat; artikel 5 lid 2 vraagt dat je dat kunt aantonen. Dat heet de verantwoordingsplicht. In de praktijk betekent het: een toezichthouder, klant of auditor kan op elk moment vragen "laat zien hoe jullie dit geregeld hebben", en dan moet er een dossier liggen.

Dat dossier bestaat uit een handvol vaste bouwstenen, en die bouw je in deze gids stap voor stap op:

1. een verwerkingsregister (artikel 30): welke persoonsgegevens verwerk je en waarom;
2. afspraken met je verwerkers (artikel 28): wie verwerkt er namens jou, en is dat contractueel geregeld;
3. een risicobeoordeling en waar nodig een DPIA (artikel 35): waar zit het risico voor betrokkenen;
4. een datalek-procedure (artikel 33/34): wat doe je als het misgaat, binnen 72 uur;
5. vastgesteld beleid: afspraken op papier, goedgekeurd en actueel;
6. het bewijs dat dit alles er op een bepaald moment stond.

Deze volgorde is bewust: elk onderdeel bouwt op het vorige. Zonder verwerkingsregister weet je niet welke verwerkers je hebt; zonder risicobeeld weet je niet welk beleid prioriteit heeft. Reken op enkele dagdelen voor de eerste opzet, afhankelijk van de omvang van je organisatie. Je hoeft het niet in één keer af te maken; alles wat je invoert wordt bewaard.

Stap 1: Breng je verwerkingen in kaart

Waarom: artikel 30 AVG verplicht vrijwel elke organisatie een register bij te houden van verwerkingsactiviteiten: welke categorieën persoonsgegevens je verwerkt, met welk doel, op welke rechtsgrond, hoe lang je ze bewaart. Dit register is het fundament onder al het andere. Het is meestal ook het éérste dat een toezichthouder opvraagt.

Waar: ga in Proofwise naar Verwerkersregister → tab Verwerkingen en klik op Verwerking toevoegen.

Elke rij is één verwerkingsactiviteit: salarisadministratie, nieuwsbrief, cameratoezicht, klantenadministratie.

Wat je invoert per verwerking:

• Naam en doel: beschrijf het doel concreet. "Klantgegevens verwerken" is te breed; "facturatie en debiteurenbeheer" is een doel waar een toezichthouder mee uit de voeten kan. De AVG (artikel 5 lid 1 sub b) eist doelbinding: gegevens mogen alleen voor het beschreven doel gebruikt worden.
• Rechtsgrond: kies uit de zes grondslagen van artikel 6. Vuistregel: voor uitvoering van een contract of wettelijke plicht (loonadministratie!) kies je die grondslag, niet "toestemming". Toestemming is de zwakste grondslag, want die kan worden ingetrokken.
• Categorieën gegevens en betrokkenen: wat verwerk je (NAW, financieel, gezondheids­gegevens?) en van wie (klanten, medewerkers, sollicitanten).
• Bewaartermijn: hoe lang, en waarom. Fiscale gegevens: 7 jaar (wettelijke plicht); sollicitatiebrieven: 4 weken zonder toestemming.

Zo weet je dat het goed staat: elke afdeling van je organisatie herkent zich in minstens één verwerking, elke verwerking heeft een rechtsgrond én een bewaartermijn, en er staat niets in de trant van "diversen" of "overig". Begin desnoods met je vijf belangrijkste processen. Een eerlijk, klein register is meer waard dan een volledig verzonnen groot register.

Stap 2: Leg je leveranciers en verwerkersovereenkomsten vast

Waarom: zodra een externe partij persoonsgegevens voor jou verwerkt (je boekhouder, je hostingpartij, je nieuwsbrieftool), is dat een verwerker, en eist artikel 28 AVG dat je daar een verwerkersovereenkomst (DPA) mee sluit. Geen overeenkomst = jij bent aansprakelijk voor wat die partij met de gegevens doet.

Waar: Leveranciers (voor het volledige leveranciersbeeld, met de tabs Lijst en Keten) en Verwerkersregister → tab Verwerkers (voor de AVG-status per verwerker).

Per leverancier zie je of er persoonsgegevens worden verwerkt en of de verwerkersovereenkomst aanwezig is.

Wat je invoert per leverancier: naam, dienst, land van vestiging (buiten de EU? dan gelden extra doorgifte-eisen uit hoofdstuk V AVG), of er persoonsgegevens worden verwerkt, en de status van de verwerkersovereenkomst. Vraag ontbrekende DPA's actief op; de meeste softwareleveranciers hebben een standaardovereenkomst klaarliggen.

Zo weet je dat het goed staat: de teller "Zonder verwerkersovereenkomst" op het leveranciersoverzicht staat op 0 voor alle leveranciers die persoonsgegevens verwerken. Vraag ook Proofy: "Welke leveranciers missen een DPA?"; dat is één van de standaardvragen in de chat.

Stap 3: Beoordeel je risico's en bepaal of een DPIA nodig is

Waarom: de AVG is risicogebaseerd. Artikel 35 verplicht een Data Protection Impact Assessment (DPIA) wanneer een verwerking "waarschijnlijk een hoog risico" oplevert voor betrokkenen. Denk aan grootschalige monitoring, bijzondere categorieën gegevens (gezondheid, biometrie) of AI-besluitvorming. Maar ook zonder DPIA-plicht wil je wéten waar je risico's zitten: dat bepaalt waar je beleid en budget naartoe gaan.

Waar: Risico's & DPIA in het menu. Voer eerst je risico's op; koppel daarna waar nodig een DPIA.

Risico's gesorteerd op score, de hoogste eerst. Een open hoog risico verschijnt automatisch als signaal bij Proofy.

Wat je invoert per risico: een concrete titel ("onversleutelde laptops buitendienst"), categorie, een score (kans × impact) en de behandeling: accepteren, verkleinen (met welke maatregel), of stoppen. Voor verwerkingen met hoog risico start je vanuit het risico een DPIA; Proofwise begeleidt de stappen en legt de goedkeuring vast.

Zo weet je dat het goed staat: er zijn geen open risico's met een hoge score zonder behandeling, en elke hoog-risicoverwerking heeft een actuele, goedgekeurde DPIA (jonger dan 12 maanden; daarna meldt Proofy dat herbeoordeling nodig is).

Stap 4: Regel je datalek-procedure

Waarom: artikel 33 AVG geeft je 72 uur vanaf ontdekking om een datalek met risico voor betrokkenen te melden bij de Autoriteit Persoonsgegevens. Die termijn haal je alleen als vooraf vastligt wie wat doet. Artikel 33 lid 5 eist bovendien dat je álle datalekken intern registreert, ook de lekken die je niet hoeft te melden.

Waar: twee dingen regel je hier. Eerst het document: open Proofy (rechtsonder) → tab Genereer → kies Datalek-procedure, vul de invulvelden in (wie is verantwoordelijk, waar meld je) en download het als bewerkbaar Word-bestand. Stel het vast in je organisatie. Daarna de registratie: elk incident leg je vast in het Incidentenlog, waar de 72-uursdeadline en de AP-meldstatus automatisch worden bijgehouden.

Je vult de placeholders in; Proofwise genereert het document met jouw gegevens, als docx, zodat je het zelf kunt aanpassen.

Zo weet je dat het goed staat: iedere medewerker weet bij wie een (mogelijk) lek gemeld wordt, de procedure is vastgesteld en terug te vinden, en een testincident in het Incidentenlog laat de 72-uursdeadline zien.

Stap 5: Stel je beleid vast

Waarom: beleid is de plek waar afspraken landen die niet in een register passen: hoe gaan medewerkers met gegevens om, wat is het wachtwoordbeleid, wie mag wat. De verantwoordingsplicht vraagt niet alleen dát er beleid is, maar dat het is vastgesteld (goedgekeurd door iemand met mandaat) en actueel (periodiek herbeoordeeld).

Waar: Beleidsdocumenten. Voeg bestaand beleid toe of genereer een startversie via Proofy → Genereer (bijvoorbeeld het interne privacybeleid of de geheimhoudingsverklaring). Leg per document de goedkeurder en de beoordelingsdatum vast.

Zo weet je dat het goed staat: elk document heeft een goedkeurder en een datum. Een document zonder goedkeurder telt niet mee als bewijs; Proofy signaleert dit ook in de gereedheidscheck voor het Zegel.

Stap 6: Controleer je gereedheid en verzegel je dossier

Waarom: het sluitstuk van de verantwoordingsplicht is kunnen bewijzen dat je dossier er op een bepaald moment stond, ongewijzigd. Proofwise doet dat met het Proofwise Zegel: een cryptografisch verzegeld bewijspakket van je dossier, met een publiek verifieerbare pagina die je aan een klant, accountant of toezichthouder kunt geven.

Waar: Bewijspakket in het menu. De gereedheidscheck laat vooraf zien of je dossier de vijf zegelcriteria haalt: register gevuld, hoge risico's behandeld, privacy-DPIA goedgekeurd, DPIA actueel en een compliance-score van ten minste 90. Haal je de criteria nog niet, dan zie je precies welke punten openstaan: dat is je werklijst.

Groen = criterium behaald. De openstaande punten vormen samen je resterende werklijst.

Zo weet je dat je er bent: de gereedheidscheck staat op groen en je hebt je eerste zegel toegekend gekregen. Let wel: het zegel bevestigt dat je dossier aan de Proofwise-zegelcriteria voldoet en sindsdien ongewijzigd is. Het is een sterke onderbouwing richting een externe toets, geen officiële certificering en geen juridisch oordeel.

Verder

• Herhaal stap 1–5 wanneer er iets wezenlijks verandert: een nieuwe tool, een nieuw proces, een nieuwe afdeling. Proofy signaleert verlopen herbeoordelingen automatisch.
• Vraag Proofy in de app gerust hoe-vragen ("hoe voeg ik een verwerking toe?"); die verwijst je naar de juiste plek.
• Wil je eerst weten waar je nu staat? Start de gratis compliance-scan.

Deze gids is algemene uitleg en geen juridisch advies. De genoemde artikelen verwijzen naar Verordening (EU) 2016/679 (AVG).