Je CRM en de AVG: de checklist voor een klein bedrijf

De tien vragen

1. 01Welke persoonsgegevens leg je vast, en waarom is elk daarvan nodig?
2. 02Op welke grond doe je dat: een overeenkomst, een wettelijke plicht, toestemming of een gerechtvaardigd belang?
3. 03Hoe lang bewaar je ze, en wat gebeurt er als die termijn verstrijkt?
4. 04Wie binnen je bedrijf mag erbij, en is dat ook technisch zo geregeld?
5. 05Welke partijen buiten je bedrijf zien ze, en heb je met elk van hen een verwerkersovereenkomst?
6. 06Waar staan de gegevens fysiek, en blijven ze binnen de Europese Unie?
7. 07Hoe zijn ze beveiligd: versleuteld verkeer, back-ups, een tweede stap bij het inloggen?
8. 08Wat doe je als iemand vraagt welke gegevens je van hem hebt, of vraagt ze te wissen?
9. 09Wat doe je als er iets uitlekt, en wie beslist of het gemeld moet worden?
10. 10Staat dit alles ergens opgeschreven, zodat het niet in één hoofd zit?

Als je die tien kunt beantwoorden zonder te gokken, ben je er voor het grootste deel. De rest van dit artikel gaat over de vier die in de praktijk de meeste moeite kosten: bewaartermijnen, rechten per rol, verwerkers en het verzoek van een klant.

Bewaartermijnen: het lastigste van de tien

De AVG zegt niet hoe lang je iets mag bewaren. Hij zegt dat je het niet langer bewaart dan nodig, en dat jij moet kunnen uitleggen wat nodig is. Dat voelt vaag, maar het wordt concreet zodra je per soort gegeven een termijn kiest en die opschrijft. Een termijn die je kunt uitleggen is bijna altijd goed; geen termijn is bijna altijd fout.

Het punt dat mensen overslaan: een termijn opschrijven is niet genoeg als er daarna nooit iets gebeurt. In een systeem dat je laat maken, kun je die termijnen instellen en het systeem laten waarschuwen of automatisch laten opschonen. Dat is meteen het verschil met een map vol oude bestanden, waar nooit iets uit verdwijnt omdat niemand durft te beslissen wat weg mag.

Rechten per rol: iedereen ziet alles is geen uitgangspunt

De meest voorkomende tekortkoming in kleine bedrijven is dat iedereen bij alles kan. Dat is zelden een bewuste keuze; het is wat er gebeurt als je met drie mensen begint en doorgroeit zonder het ooit opnieuw in te richten. Bij tien of vijftien mensen is het niet meer verdedigbaar, en bij gevoelige gegevens al eerder.

Wat je wilt is simpel te beschrijven: iemand ziet wat hij voor zijn werk nodig heeft. Een monteur ziet zijn eigen klussen en de klantgegevens die daarbij horen, maar geen marges en geen personeelsgegevens. Een stagiair ziet geen tarieven. Iemand die uit dienst gaat, verliest zijn toegang dezelfde dag, en dat moet iemand ook echt dóén.

Verwerkers en waar je gegevens staan

Elke partij die namens jou persoonsgegevens verwerkt, is een verwerker, en met elk van hen hoor je een verwerkersovereenkomst te hebben. Dat klinkt zwaar, maar in de praktijk is het een standaarddocument dat de leverancier al klaar heeft liggen. Je hostingpartij, je boekhoudpakket, je mailprovider, je CRM-leverancier en je nieuwsbriefsoftware vallen er allemaal onder.

Maak er één lijstje van, met per partij wat ze verwerken en of de overeenkomst er is. Dat lijstje is meteen het antwoord op vraag vijf en het is ook wat je nodig hebt voor je privacyverklaring, want daar moet in staan wie je gegevens nog meer ziet. Kom je erachter dat je van een leverancier niets hebt, dan vraag je erom; die reageren daar niet verbaasd op.

Waar de gegevens fysiek staan, is de vraag die erachteraan komt. Binnen de Europese Unie is het eenvoudig. Gaat er iets naar een land daarbuiten, dan moet er een grondslag voor zijn, en dan is het verstandig om te kijken of er een Europees alternatief is. Voor een CRM is dat bijna altijd het geval, en een server in Nederland maakt deze hele vraag korter.

Als een klant zijn gegevens opvraagt

Het komt weinig voor, en juist daarom is het vervelend als het gebeurt: iemand vraagt welke gegevens je van hem hebt, of vraagt ze te wissen. Je hebt vier weken om te reageren, en het antwoord moet compleet zijn. Zitten je gegevens verspreid over een mailbox, een spreadsheet, een boekhoudpakket en een map, dan is dat een middag zoeken met het risico dat je iets mist.

• Inzage: alles wat je van iemand hebt, in een leesbaar overzicht. Eén systeem met één klantkaart maakt dit een knop in plaats van een zoektocht.
• Correctie: onjuiste gegevens aanpassen. Dat kon je toch al, maar leg vast wie het heeft gedaan en wanneer.
• Verwijdering: wissen wat niet onder een bewaarplicht valt. Facturen mag je houden; een notitie over een gesprek meestal niet als iemand erom vraagt.
• Overdraagbaarheid: de gegevens in een bestand dat een ander systeem kan lezen, bijvoorbeeld een export.

Controleer wel eerst met wie je te maken hebt. Gegevens aan de verkeerde persoon geven is een groter probleem dan te laat antwoorden, dus vraag om bevestiging vanaf het e-mailadres dat bij jou bekend staat voordat je iets verstuurt.

Wat wij standaard regelen

In elk systeem dat we maken zit een aantal van deze punten standaard, omdat ze achteraf toevoegen duurder is dan meteen goed doen. De gegevens staan op een server in Nederland die alleen voor jou draait, het verkeer gaat versleuteld, er wordt elke nacht een back-up gemaakt die dertig dagen bewaard blijft, en inloggen kan met een tweede stap naast het wachtwoord.

Verder zitten rechten per rol in de basis, niet in een duurder pakket. Bewaartermijnen stellen we per soort gegeven in, met een signaal of een automatische opschoning als een termijn verstrijkt. En omdat alles op één klantkaart staat, is een inzageverzoek een export in plaats van een zoektocht door vier systemen. De verwerkersovereenkomst krijg je van ons bij het voorstel, voordat je ergens ja tegen zegt.