Van goede vragen.
Naar betere beslissingen.

Voer persoonsgegevens alleen in binnen een beoordeelde toepassing, voor een rechtmatig doel en met passende afspraken en beveiliging. Beperk de invoer tot wat werkelijk nodig is. Namen verwijderen, een betaald account gebruiken of modeltraining uitschakelen is ieder afzonderlijk onvoldoende om een prompt veilig of rechtmatig te maken.

Een DPIA onderzoekt risico’s van persoonsgegevensverwerking voor mensen. Het IAMA ondersteunt beoordeling van de gevolgen van algoritmen voor grondrechten, vooral binnen de overheid. Een ethische afweging onderzoekt breder welke keuze verantwoord is en waarom. De instrumenten kunnen elkaar versterken, maar vervangen elkaar niet automatisch. Welke beoordeling verplicht is, hangt af van de verwerking, het systeem en de organisatie.

Begin een camera-DPIA bij het probleem dat u wilt oplossen, niet bij de mogelijkheden van het camerasysteem. Beschrijf waar, wanneer en wie u filmt, toets minder ingrijpende oplossingen en onderzoek gevolgen voor medewerkers en bezoekers. Vertaal de uitkomst naar aantoonbare instellingen en werkafspraken. Beoordeel vooraf of een DPIA verplicht is, betrek een aangewezen FG en regel eventuele OR-instemming. Een ingevuld rapport of akkoord van de OR vervangt geen rechtmatige, noodzakelijke inzet.

Een oud-medewerker kan inzage vragen in persoonsgegevens die uw organisatie nog verwerkt. Beperk het onderzoek niet automatisch tot het personeelsdossier: ook e-mail, beoordelingen en andere systemen kunnen relevante gegevens bevatten. Stel een navolgbaar zoekplan op, beoordeel bescherming van anderen en verstrek een begrijpelijke kopie met de benodigde informatie. Een arbeidsconflict is op zichzelf geen reden om inzage te weigeren. Reageer zonder onnodige vertraging en bewaak de toepasselijke AVG-termijn.

Verbind Wpg-toegang aan de concrete taak van de medewerker en controleer wat die bevoegdheid in het systeem mogelijk maakt. Logging moet vervolgens relevante handelingen kunnen reconstrueren; alleen vastleggen dat iemand heeft ingelogd is daarvoor niet genoeg. Organiseer beoordeling en opvolging van afwijkingen en bewaar passend bewijs. Autorisatiebeheer, logcontrole en onafhankelijk toezicht hebben eigen verantwoordelijken. Voorbereiding van dit dossier vervangt de wettelijke externe Wpg-audit niet.

De Wpg kent verschillende verwerkingsregimes en maakt onderscheid tussen gegevens uit de operationele verwerking verwijderen en ze definitief vernietigen. Bepaal eerst op welke bepaling de gegevens worden verwerkt en welk moment de termijn laat lopen. Vertaal daarna iedere fase naar toegang, gebruik en systeemacties. Een algemene instelling ‘tien jaar bewaren’ is onvoldoende. Controleer ook kopieën, koppelingen en migraties, en leg vast hoe u noodzakelijkheid, uitzonderingen en daadwerkelijke vernietiging onderbouwt.

Beoordeel een SaaS-verwerkersovereenkomst samen met de feitelijke dienst. Bepaal welke partij doelen en middelen vaststelt, welke gegevens worden gebruikt en wat de leverancier voor eigen doeleinden doet. Controleer daarna of instructies, beveiliging, subverwerkers, hulp bij verzoeken, incidenten en beëindiging voldoende concreet zijn geregeld. Een standaardcontract of certificaat vervangt die beoordeling niet. Neem ook de productinstellingen en internationale toegang mee: contractuele beloften moeten in uw gekozen pakket uitvoerbaar zijn.

Bepaal per fase waarom sollicitatiegegevens nog nodig zijn. De AP noemt voor afgewezen kandidaten verwijderen binnen vier weken als praktisch uitgangspunt, tenzij andere afspraken zijn gemaakt. Langer bewaren voor toekomstige vacatures vraagt een afzonderlijk doel, grondslag en duidelijke termijn. Controleer niet alleen het recruitmentplatform, maar ook mailboxen, downloads en notities. Bij indiensttreding verhuist alleen relevante informatie naar het personeelsdossier. Een concreet geschil kan een afzonderlijke, beperkte bewaarbeoordeling vragen.

Lees een privacyklacht eerst op wat de persoon feitelijk vraagt en meldt. In één bericht kunnen een klacht, een AVG-verzoek en een mogelijk datalek samenkomen. Geef die onderdelen ieder een passende route en verantwoordelijke, terwijl één contactpersoon de communicatie bewaakt. Onderzoek feiten zonder de uitkomst vooruit te lopen, leg keuzes vast en antwoord concreet. De termijn voor een AVG-verzoek geldt niet automatisch als universele termijn voor iedere algemene klacht.

Een AVG-audit toetst afgesproken privacycriteria aan bewijs uit uw organisatie. Een privacyvolwassenheidstoets onderzoekt hoe structureel u privacy organiseert, uitvoert en verbetert. De onderzoeksvraag en afgesproken methode bepalen wat u aan de uitkomst heeft.

Koppel iedere bevinding aan het getoetste criterium, de vastgestelde afwijking, een passende maatregel, een eigenaar en bewijs van werking. Controleer daarna of de maatregel de bevinding daadwerkelijk oplost. Een beleidswijziging alleen is niet altijd voldoende.

Bij boa’s kan de verwerking voor de opsporingstaak onder de Wet politiegegevens vallen, terwijl andere verwerkingen onder de AVG vallen. De concrete taak, het doel en de gegevensstroom zijn bepalend. Een functietitel of applicatienaam alleen geeft geen antwoord.

Recente privacyzaken gaan over dagelijkse beheersing: menselijke controle, bewaartermijnen, beveiliging, verzoeken, kinderen en toestemming. De bedragen verschillen sterk per zaak. Hieronder staat een selectie uit 2025–2026, gecontroleerd op 12 september 2026, met links naar de toezichthouders.

Een Functionaris Gegevensbescherming, afgekort FG, houdt onafhankelijk toezicht op de toepassing van de AVG binnen een organisatie. De FG informeert en adviseert, controleert naleving, adviseert over DPIA’s en is contactpunt voor betrokkenen en de Autoriteit Persoonsgegevens.

Een FG is onder de AVG verplicht voor overheidsinstanties en publieke organen, bij regelmatige en stelselmatige observatie op grote schaal en wanneer de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens.

Een Privacy Officer maakt privacybeleid uitvoerbaar. De PO beheert onder meer het verwerkingsregister, begeleidt DPIA’s, coördineert datalekken en betrokkenenrechten, beoordeelt leveranciers en bewaakt verbeteracties.

Een datalek moet in beginsel zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens worden gemeld, tenzij het lek waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van personen. Bij een waarschijnlijk hoog risico moeten ook betrokkenen worden geïnformeerd, tenzij een uitzondering geldt.

Een DPIA is een gegevensbeschermingseffectbeoordeling waarmee een organisatie vóór een waarschijnlijk hoog-risicoverwerking de noodzaak, proportionaliteit, privacyrisico’s en maatregelen systematisch onderzoekt.

Ja, een Functionaris Gegevensbescherming kan grotendeels op afstand werken als de FG goed bereikbaar is, tijdig informatie krijgt, toegang heeft tot bestuur en medewerkers en de organisatie effectief kan begrijpen en toetsen. Datajuristen werkt online. Vooraf beoordelen we of informatievoorziening en onderzoeksmogelijkheden voldoende zijn voor de opdracht.

Een externe Privacy Officer is verstandig wanneer privacywerk structureel blijft liggen, projecten te laat worden getoetst of interne capaciteit ontbreekt. De PO kan een vaste werkvoorraad beheren zonder dat direct een volledige functie in loondienst nodig is.

Een DPIA is bij AI nodig wanneer de verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico oplevert. Dat kan bijvoorbeeld spelen bij profilering, grootschalige monitoring, bijzondere gegevens, kwetsbare personen, innovatieve technologie of besluiten met belangrijke gevolgen.

Een verwerkingsregister is voor veel organisaties verplicht. De uitzondering voor organisaties met minder dan 250 medewerkers is beperkt en geldt niet wanneer verwerking niet incidenteel is, waarschijnlijk risico oplevert of bijzondere of strafrechtelijke gegevens omvat.

Een AVG-audit onderzoekt of privacy niet alleen is gedocumenteerd, maar aantoonbaar werkt. De controle omvat doorgaans governance, verwerkingsregister, grondslagen, transparantie, rechten, DPIA’s, leveranciers, beveiliging, datalekken, bewaartermijnen en bewustwording.

De AVG kent geen algemene bewaartermijn voor alle persoonsgegevens. Bewaar gegevens zolang dat nodig is voor een concreet, rechtmatig doel en houd rekening met specifieke wettelijke bewaarplichten. Bepaal per gegevenscategorie de termijn, het startmoment en wat er daarna met de gegevens gebeurt.

Een verwerkersovereenkomst is nodig wanneer een zelfstandige partij persoonsgegevens voor uw organisatie verwerkt en daarbij uw instructies volgt. Beoordeel eerst de feitelijke rol per verwerking. Bij gezamenlijke of afzonderlijke verwerkingsverantwoordelijkheid gelden andere afspraken.

Een zorgorganisatie regelt minimaal duidelijk eigenaarschap, een actueel verwerkingsregister, passende toegang tot dossiers, transparantie en cliëntrechten, bewaartermijnen, DPIA’s, leveranciersafspraken, een werkende datalekroute en periodieke controle en awareness.

Voor een medisch dossier geldt in het algemeen een bewaartermijn van twintig jaar vanaf de laatste wijziging. Langer bewaren kan noodzakelijk zijn voor goede zorg of voortvloeien uit andere regels. Een patiënt kan ook eerder om vernietiging vragen; dat verzoek vraagt een afzonderlijke beoordeling.

Beperk de schade, bescherm de zorgverlening en leg onmiddellijk vast wat bekend is. Meld een meldplichtig datalek zonder onnodige vertraging en waar mogelijk binnen 72 uur nadat de organisatie ervan kennis heeft genomen. Informeer patiënten bij waarschijnlijk hoog risico en registreer elk datalek, ook als geen melding nodig is.

PO-as-a-Service bij Datajuristen start vanaf €595 exclusief btw per maand voor vier uur vaste inzet. Meer capaciteit hangt af van werkvoorraad, omvang, risico’s, aantal entiteiten, systemen en gewenste beschikbaarheid.