AVG en factoring: hoe zit het precies?

Sinds 25 mei jl. is de wet AVG van kracht. Deze wet staat voor ‘Algemene Verordening Gegevensbescherming’ en omvat strenge privacyregels voor ondernemers.

Wat betekent de wet AVG voor mkb’ers en zzp’ers? En geldt deze wet ook voor factoringbedrijven? In dit artikel vind je de belangrijkste vragen en antwoorden.

Wat is de AVG?

De AVG is een algemene privacyrichtlijn die voor heel Europa geldt. De Wet bescherming persoonsgegevens (Wbp), die tot 25 mei 2018 van kracht was in Nederland, geldt niet meer. De AVG is afgestemd op de laatste ontwikkelingen op onlinegebied.

Geldt de AVG voor kleine mkb’ers en zzp’ers?

Ja, de AVG geldt voor elke organisatie die persoonsgegevens verwerkt. Dus ook voor kleine mkb’ers en zzp’ers die gegevens verwerken. Denk hierbij aan het bijhouden van afspraken, telefoonnummers van klanten of personeelsinformatie.

Wat verandert er door de AVG?

De bestaande privacyrechten worden versterkt. Mensen kunnen beter voor zichzelf opkomen bij de verwerking van hun gegevens. Zo hebben zij recht op duidelijke informatie en op inzage, rectificatie en aanvulling van persoonsgegevens. Ook kunnen zij minder gegevens laten verwerken en bezwaar maken tegen de gegevensverklaring. Bij geautomatiseerde besluiten hebben mensen het recht op een menselijke beoordeling.
De privacyrechten worden uitgebreid. Naast de bestaande, versterkte privacyrechten hebben mensen nu ook recht op vergetelheid. Dit houdt in dat zij het recht hebben om hun gegevens te laten verwijderen. Ook nieuw is het recht op dataportabiliteit. Dit is het recht om de eigen persoonsgegevens over te dragen naar een andere organisatie.

Hoe voldoe je aan de AVG?

Als ondernemer moet je kunnen aantonen dat je je op het gebied van privacy aan de wet houdt. Hoe je dat doet? De Autoriteit Persoonsgegevens (AP) heeft de tien belangrijkste stappen voor je op een rijtje gezet:

Maak relevante personen in je organisatie bewust van de nieuwe privacyregels en de gevolgen daarvan.
Zorg ervoor dat mensen hun privacyrechten kunnen uitoefenen. Stel een helder privacyverhaal op.
Leg verantwoording af over de gegevens die je verwerkt. Houd bij welke persoonsgegevens je verwerkt, met welk doel je dit doet, waar deze gegevens vandaan komen en met wie je ze deelt.
Verwerk je gegevens met een hoog privacyrisico? Bijvoorbeeld gegevens over ras, religie of gezondheid? Dan moet je mogelijk een DPIA uitvoeren. DPIA staat voor ‘data protection impact assessment’ en is een instrument om vooraf de privacyrisico’s van de gegevensverwerking in kaart te brengen.
Richt je organisatie, producten en diensten in op het beschermen van persoonsgegevens. Zorg er o.a. voor dat persoonsgegevens goed worden afgeschermd, verwerk alleen gegevens die nodig zijn en bewaar gegevens niet langer dan nodig.
Sommige organisaties zijn verplicht een Functionaris Gegevensbescherming aan te stellen.
Eventuele datalekken moet je documenteren.
Ben je actief in meerdere Europese landen? Dan heb je met nog maar één privacytoezichthouder te maken: de zogenoemde leidende toezichthouder.
Zorg voor geldige toestemming om gegevens van mensen te verwerken. Zorg er ook voor dat zij die toestemming eenvoudig kunnen intrekken.
Besteed je gegevensverwerking uit aan een andere partij, zoals een administratiekantoor of ICT-bedrijf? Controleer of de bestaande bewerkersovereenkomst met deze partij(en) voldoet aan de privacy-eisen of stel een (nieuwe) verwerkersovereenkomst op. Hierin moet onder andere heel duidelijk staan wat de verwerker precies met de persoonsgegevens mag doen.

Factoringbedrijf is géén verwerker

Besteed je de betaling van facturen uit aan een factoringbedrijf? Dan hoef je je geen zorgen te maken over de AVG want factoringbedrijven gelden namelijk niet als verwerker. Je hoeft voor je factoringbedrijf dus geen verwerkersovereenkomst op te stellen. Een leverancier die wel als verwerker geldt, is bijvoorbeeld het ICT-bedrijf dat je systemen beheert of het administratiekantoor dat de boekhouding verzorgt.