GDPR en bedrijfssoftware
Wat de privacyregels in de praktijk vragen van de software waarmee uw kmo werkt.
Privacy regelt u in uw systemen, niet in een map
Bijna elke toepassing in uw bedrijf bevat persoonsgegevens: klanten in het CRM, medewerkers in de planning, contactpersonen in de facturatie. De GDPR, in het Nederlands de AVG, vraagt dat u daar zorgvuldig mee omgaat en dat kunt aantonen. Veel kmo’s hebben een privacyverklaring op de website, maar weten niet wat hun software doet met die gegevens. Dit artikel vertaalt de grote principes naar concrete eigenschappen van software.
De principes die voor software tellen
U hoeft geen jurist te zijn om de kern te vatten. U verwerkt persoonsgegevens voor een duidelijk doel en op een geldige grond. U verzamelt niet meer dan nodig voor dat doel. U bewaart ze niet langer dan nodig. U beveiligt ze op een passende manier. En u kunt uitleggen wat u doet, aan de betrokkene en aan de toezichthouder. In België is dat de Gegevensbeschermingsautoriteit. Voor software betekent dit dat u per toepassing moet weten welke gegevens erin zitten, waarom, wie erbij kan en wanneer ze verdwijnen. Die oefening is nuttiger dan elk standaarddocument.
Wat goede software u hierbij moet bieden
Rechten per rol, zodat een magazijnier geen loongegevens ziet en een stagiair geen volledige klantenlijst kan exporteren. Een logboek dat bijhoudt wie welke gegevens raadpleegde of wijzigde. De mogelijkheid om alle gegevens van één persoon op te zoeken, te exporteren, te verbeteren en te wissen of af te schermen, want betrokkenen kunnen daarom vragen. Bewaartermijnen die u kunt instellen, zodat oude sollicitaties of slapende contacten niet eindeloos blijven staan. Versleuteling bij opslag en verzending. En zo weinig mogelijk verplichte velden: wat u niet vraagt, hoeft u niet te beschermen.
Leveranciers, cloud en de verwerkersovereenkomst
Zodra een externe partij voor u persoonsgegevens verwerkt, zoals een softwareleverancier, een hostingbedrijf of een loonsecretariaat, hoort daar een verwerkersovereenkomst bij. Daarin staat wat die partij met de gegevens mag doen, hoe ze beveiligd worden en welke onderaannemers betrokken zijn. Vraag ook waar de gegevens fysiek staan. Verwerking buiten de Europese Economische Ruimte is aan bijkomende voorwaarden gebonden, en dat nagaan is uw verantwoordelijkheid, niet alleen die van de leverancier. Wie gevoelige gegevens in eigen beheer wil houden, laat de software zelf hosten of in een private cloud plaatsen; het beheer van die omgeving moet dan wel belegd zijn.
Waar het in kmo’s meestal misloopt
Zelden bij de grote systemen, vaak ernaast. De export van het klantenbestand die al jaren op een laptop staat. Het gedeelde wachtwoord voor het boekhoudpakket. Het account van een vertrokken medewerker dat nog werkt. De kopie van de productiedatabank die een ontwikkelaar gebruikt om te testen, met echte namen en adressen. En de back-ups, waarin gewiste gegevens nog lang blijven voortleven. Loop die punten na, leg vast wie waarvoor verantwoordelijk is en spreek af wat er gebeurt bij een incident. Een gegevenslek moet u in bepaalde gevallen melden; weet vooraf wie dat beoordeelt en hoe u uw adviseur bereikt.
Kort samengevat
- 01Weet per toepassing welke persoonsgegevens erin zitten, waarom en hoe lang.
- 02Rechten per rol en een logboek van toegang zijn basiseigenschappen, geen luxe.
- 03Sluit een verwerkersovereenkomst met elke partij die uw gegevens verwerkt.
- 04De grootste risico’s zitten in exports, gedeelde accounts en vergeten kopieën.
Drie vaste afspraken
- U kiest waar het draaitZelf hosten op uw eigen server of in een private cloud. Uw gegevens blijven onder uw controle, niet op een gedeeld platform.
- Maatwerk is niet duurderSoftware op maat kost bij ons niet meer dan standaardsoftware. Geen licentie per gebruiker, en u betaalt niet voor functies die u nooit opent.
- U bent baas over het eindproductWat we bouwen, is van u. U beslist wat er verandert en wanneer, zonder te wachten op de planning van een softwareleverancier.
Is uw bedrijf toe aan betere software?
Vijf vragen, één minuut. U krijgt meteen een eerlijk beeld, ook als het antwoord is dat u goed zit.
Uw basis zit goed.
Uw systemen doen wat ze moeten doen. Grote ingrepen zijn nu niet nodig. Eén gerichte verbetering of koppeling kan wel nog tijd opleveren: leg ze ons gerust voor.
Er lekt tijd weg.
U werkt, maar met omwegen: overtypen, zoeken, nakijken. Dat zijn precies de plekken waar een koppeling of een stuk software op maat het snelst iets oplevert. Laten we samen bekijken waar te beginnen.
Uw software houdt u tegen.
Uw bedrijf is zijn hulpmiddelen ontgroeid. Dat kost elke dag tijd en maakt u afhankelijk van enkele mensen. Een korte analyse toont waar de grootste winst zit en in welke volgorde u het aanpakt.
Veelgestelde vragen
Is mijn software GDPR-conform als de leverancier dat zegt?
Software kan u helpen de regels na te leven, maar conform zijn is iets wat uw organisatie doet, niet een eigenschap van een product. Hetzelfde pakket kan zorgvuldig of slordig gebruikt worden. Vraag de leverancier welke functies er concreet zijn voor rechten, logging, export, verwijdering en beveiliging, en waar de gegevens staan. De rest is uw eigen beleid.
Moet een kleine kmo een register van verwerkingen bijhouden?
De regels kennen een registerplicht met voorwaarden die van uw situatie afhangen. Los van de strikte verplichting is een eenvoudig overzicht van welke gegevens u waar en waarom verwerkt voor elke kmo nuttig. Of u ertoe verplicht bent en in welke vorm, vraagt u na bij uw juridisch adviseur of bij de Gegevensbeschermingsautoriteit. Dit artikel is informatie, geen juridisch advies.
Wat moet ik doen als iemand vraagt zijn gegevens te wissen?
Ga eerst na of het verzoek van de betrokkene zelf komt en welke gegevens u van die persoon hebt, in alle systemen. Niet alles mag of moet weg: facturen bijvoorbeeld moet u om boekhoudkundige redenen bewaren. Wis of scherm af wat niet langer nodig is en antwoord binnen de wettelijke termijn. Software die gegevens per persoon kan samenbrengen, maakt dit een taak van minuten in plaats van zoekwerk.