Persoonsgegevens kunnen in de cloud staan, op een laptop of in een geordend papieren dossier. Een document van papier naar digitaal overzetten neemt je GDPR-verantwoordelijkheden niet weg.
De misvatting
“We hebben alles naar de cloud verhuisd, dus voor de GDPR zitten we goed. Bestanden op onze lokale computer en in onze archiefkast tellen niet mee.”
Waar een document staat, bepaalt niet of de GDPR (in Nederland ook AVG genoemd) van toepassing is. Het gaat erom of persoonsgegevens verwerkt worden op een manier die onder de verordening valt.
Wat de wet echt zegt
De GDPR geldt voor persoonsgegevens die geheel of gedeeltelijk geautomatiseerd verwerkt worden. Ze geldt ook voor niet-geautomatiseerde verwerking wanneer persoonsgegevens deel uitmaken van, of bedoeld zijn voor, een bestand. Een bestand is een gestructureerd geheel van persoonsgegevens dat volgens bepaalde criteria toegankelijk is, zoals klantdossiers op naam of gastenkaarten geordend op vertrekdatum.
Een los papiertje wordt niet automatisch een bestand omdat er een naam op staat. Andere regels rond vertrouwelijkheid of lokale regels kunnen wel een rol spelen. Zodra je een notitie scant of in een gestructureerd dossier opneemt, ga je na hoe de GDPR op die verwerking van toepassing is.
Waar persoonsgegevens echt zitten in je bedrijf
Op papier
- Personeelsdossiers in ordners
- Klantfiches en registratiekaarten van gasten in geordende mappen
- Ondertekende contracten en correspondentie
- Vergadernotities geklasseerd per klant of werknemer
Op lokale systemen
- Spreadsheets op een laptop of kantoorcomputer
- Documenten op een lokale server
- Gedownloade e-mailarchieven
- Gescande documenten in mappen of op gedeelde schijven
In de cloud
- CRM- en boekingssystemen
- Gehoste e-mail
- Boekhoudsoftware
- HR-platformen
Op minder voor de hand liggende plaatsen
- Werkberichten op bedrijfstelefoons
- Opnames van de klantendienst
- Camerabeelden
- Locatiegegevens van bedrijfsvoertuigen
Beoordeel elke bron op basis van de informatie die ze bevat en de manier waarop ze gebruikt wordt.
Wat je moet doen
1. Inventariseer alles
Neem clouddiensten, lokale toestellen en relevante papieren archieven mee wanneer je je verwerkingsactiviteiten in kaart brengt. Bepaal per verzameling gegevens het doel, wie er toegang toe heeft en welke bewaarregel geldt.
2. Beveilig papieren dossiers
Bewaar documenten op een passende manier en beperk de toegang. Vernietig papier veilig wanneer je het niet meer nodig hebt. Vervang je een papieren dossier door een betrouwbare scan, ga dan na of een lokale regel of een reële bewijsbehoefte het origineel vereist voordat je het vernietigt.
3. Vergeet lokale toestellen niet
Beheer de toegang tot computers en gedeelde mappen, bescherm toestellen met passende beveiligingsmaatregelen, en neem belangrijke lokale bestanden op in je back-up- en herstelplan. Ga even zorgvuldig om met gescande documenten.
4. Ruim oude archieven op
Kijk papieren en digitale archieven regelmatig na. Controleer de lokale of sectorspecifieke bewaarregels die van toepassing zijn, en vernietig daarna veilig wat niet meer nodig is. Een oud papieren archief op een computer zetten, start niet automatisch een nieuwe bewaartermijn.
GDPRWise helpt je verwerkingen te documenteren, zowel in digitale systemen als in fysieke dossiers.