Wat zijn persoonsgegevens? Uitleg voor het MKB

De AVG draait om de bescherming van persoonsgegevens, maar veel ondernemers hebben een te smal beeld van wat daar precies onder valt. Ze denken aan naam, adres en telefoonnummer, en gaan ervan uit dat de rest geen persoonsgegeven is. Dat klopt niet. De definitie is breder dan gedacht, en juist door dat misverstand verwerken bedrijven onbewust meer persoonsgegevens dan ze beseffen.

Dit artikel legt uit wat de AVG onder persoonsgegevens verstaat, welke vormen er zijn en hoe je er praktisch mee omgaat in het MKB. Het is de basis onder alle andere AVG-onderwerpen, van verwerkingsgrondslagen tot bewaartermijnen. Wie weet wat een persoonsgegeven is, weet ook waar de privacywet begint.

De definitie

Een persoonsgegeven is alle informatie over een geidentificeerde of identificeerbaar persoon. Dat laatste woord is cruciaal: het hoeft niet direct duidelijk te zijn wie iemand is, als je die persoon met de gegevens kunt herleiden, telt het al mee.

Het draait dus om herleidbaarheid. Een klantnummer lijkt anoniem, maar als jij dat nummer aan een persoon kunt koppelen, is het een persoonsgegeven. Diezelfde logica geldt voor veel gegevens die op het eerste gezicht onschuldig lijken. Daarom is het beeld van alleen naam en adres te smal.

Voorbeelden die je niet verwacht

Het rijtje van wat onder persoonsgegevens valt, is langer dan veel ondernemers denken. Naast de bekende gegevens telt ook een reeks minder voor de hand liggende mee.

Vooral het IP-adres en de cookie-identificatie verrassen ondernemers. Beide kunnen een persoon herleidbaar maken, en vallen daarmee onder de AVG. Dit is een van de redenen dat de privacywet ook geldt voor websites en online diensten, niet alleen voor klantenbestanden. Zie cookies en toestemming.

Gewone en bijzondere persoonsgegevens

Niet alle persoonsgegevens zijn gelijk. De AVG kent een aparte, strengere categorie: bijzondere persoonsgegevens. Die genieten extra bescherming omdat misbruik ervan grotere gevolgen heeft.

Voor bijzondere persoonsgegevens geldt in principe een verwerkingsverbod, met enkele uitzonderingen. Verwerk je die toch, dan moet je extra zorgvuldig zijn. Dit onderwerp verdient eigen aandacht, zie bijzondere persoonsgegevens. Voor de meeste MKB-bedrijven gaat het vooral om gewone persoonsgegevens, maar het is goed het onderscheid te kennen.

Wat het betekent voor jouw bedrijf

Zodra je weet hoe breed de definitie is, zie je dat vrijwel elk bedrijf persoonsgegevens verwerkt. Een klantenbestand, een nieuwsbrieflijst, een website met bezoekers, een personeelsadministratie: overal zitten persoonsgegevens in.

Het besef dat je persoonsgegevens verwerkt, is het startpunt van de AVG. Voor elke verwerking heb je een grondslag nodig, een bewaartermijn en passende beveiliging. Dat klinkt als veel, maar het komt neer op overzicht: weten welke persoonsgegevens je hebt en waarom.

Persoonsgegevens in cijfers

De cijfers laten zien dat het in kaart brengen van je persoonsgegevens een overzichtelijke klus is: voor een MKB-bedrijf met 20 medewerkers kost de eerste inventarisatie circa 8 uur. Je loopt je systemen langs en noteert welke persoonsgegevens erin zitten. Die circa 8 uur is de basis voor je register en je grondslagen, en staat tegenover een boete tot 20 miljoen euro of 4 procent van de omzet voor verwerken zonder grondslag.

Hoe je grip krijgt

Grip op je persoonsgegevens begint met overzicht. Je hoeft niet alles tegelijk perfect te regelen, maar je moet wel weten wat je hebt. De eerste stappen zijn voor elk MKB-bedrijf goed te doen.

1. Breng je verwerkingen in kaart. Welke persoonsgegevens heb je, en waar?
2. Bepaal de grondslag. Op welke basis verwerk je elk gegeven? Zie grondslagen.
3. Stel bewaartermijnen vast. Hoe lang houd je elk gegeven? Zie bewaartermijnen.
4. Beveilig de gegevens. Tref passende maatregelen. Zie beveiliging van persoonsgegevens.
5. Verzamel minder. Wat je niet hebt, hoef je niet te beschermen. Zie privacy by design.

Voor een MKB-bedrijf is dit een overzichtelijk traject. De grootste winst zit in het besef hoe breed persoonsgegevens zijn, want dat voorkomt dat je onbewust regels overtreedt.

Conclusie

Persoonsgegevens zijn breder dan naam en adres: ook een IP-adres, kenteken, klantnummer of cookie-identificatie kan eronder vallen, zolang het herleidbaar is tot een persoon. Daarmee verwerkt vrijwel elk bedrijf persoonsgegevens, in zijn klantenbestand, personeelsadministratie, website en nieuwsbrief. Het besef van die breedte is het startpunt van de AVG. Breng in kaart welke persoonsgegevens je hebt, bepaal de grondslag, stel bewaartermijnen vast en beveilig ze. Met circa 8 uur leg je de basis. Lees verder in AVG voor het MKB en bijzondere persoonsgegevens.

Waarom de brede definitie ertoe doet

Het belang van de brede definitie zit in wat eruit volgt: als bijna alles een persoonsgegeven kan zijn, geldt de AVG bijna overal in je bedrijf. Dat klinkt zwaar, maar het maakt de aanpak juist eenvoudiger. In plaats van per geval te twijfelen of iets onder de wet valt, ga je ervan uit dat persoonsgegevens overal zitten en richt je je beheer daarop in.

Voor een MKB-bedrijf met 20 medewerkers betekent dit dat de eerste inventarisatie van circa 8 uur de moeite waard is: je brengt in kaart waar overal persoonsgegevens zitten, en dat overzicht is de basis voor je grondslagen, bewaartermijnen en beveiliging. Zonder dat overzicht weet je niet waar de AVG je raakt, en loop je het risico onbewust regels te overtreden.

De praktijk leert dat het besef zelf al veel oplevert. Een ondernemer die beseft dat zijn website via IP-adressen en cookies persoonsgegevens verwerkt, regelt zijn cookiemelding en privacyverklaring beter. Een werkgever die beseft dat een personeelsdossier vol persoonsgegevens zit, gaat zorgvuldiger om met toegang. Die bewustwording kost niets en voorkomt veel, met boetes tot 20 miljoen euro of 4 procent van de omzet op de achtergrond. Herzie je inventarisatie elke 12 maanden, want er komen voortdurend nieuwe verwerkingen bij.

Praktisch betekent dit: reserveer circa 8 uur voor de eerste inventarisatie, plan een herziening na 12 maanden en handel verzoeken van betrokkenen binnen 1 maand af, met een mogelijke verlenging van 2 maanden bij complexe verzoeken. Met die drie vaste punten in je agenda houd je grip, en blijft de brede definitie een hulpmiddel in plaats van een bron van onzekerheid. Een datalek moet je daarbij binnen 72 uur kunnen melden, dus zorg dat je weet welke persoonsgegevens waar zitten.

Wie deze basis op orde heeft, bespaart zichzelf veel werk: een eenmalige investering van circa 8 uur en circa 4 uur per maand bijhouden volstaat voor de meeste MKB-bedrijven om grip te houden op hun persoonsgegevens.

Tot slot: een datalek met persoonsgegevens moet binnen 72 uur worden gemeld, dus hoe beter je weet welke gegevens je hebt, hoe sneller je in zo'n geval kunt handelen.

Veelgestelde vragen

Wat is een persoonsgegeven?

Alle informatie over een geidentificeerd of identificeerbaar persoon. Het hoeft niet direct duidelijk te zijn wie iemand is; als je de persoon met de gegevens kunt herleiden, telt het al mee.

Is een IP-adres een persoonsgegeven?

Vaak wel. Een IP-adres kan herleidbaar zijn tot een persoon en valt dan onder de AVG. Dit is een van de redenen dat de privacywet ook geldt voor websites en online diensten.

Vallen bedrijfsgegevens er ook onder?

Nee, gegevens over een bedrijf zelf zijn geen persoonsgegevens. Maar gegevens over een persoon binnen dat bedrijf, zoals een contactpersoon, zijn dat wel.

Wat is het verschil met bijzondere persoonsgegevens?

Bijzondere persoonsgegevens, zoals gezondheid, ras of geloof, krijgen extra bescherming en kennen in principe een verwerkingsverbod. Gewone persoonsgegevens zijn standaard beschermd.

Verwerkt mijn bedrijf persoonsgegevens?

Vrijwel zeker. Een klantenbestand, personeelsadministratie, website met bezoekers of nieuwsbrieflijst bevat allemaal persoonsgegevens. Daarmee geldt de AVG voor vrijwel elk bedrijf.

Dit artikel is informatief en geen juridisch advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur of de Autoriteit Persoonsgegevens.