AVG compliant: Wat het betekent en hoe je het bereikt

AVG compliant: wat het betekent en hoe je het bereikt

AVG compliant zijn betekent dat jouw organisatie volledig voldoet aan alle vereisten van de Algemene Verordening Gegevensbescherming en dit aantoonbaar kan documenteren. Wie avg compliant werkt, verwerkt persoonsgegevens op een wettelijk toegestane manier met vastgestelde processen, technische beveiliging en regelmatige controles. De rechten van betrokkenen staan daarbij centraal. Voor Nederlandse bedrijven is dit geen keuze, maar een juridische plicht.

Wat betekent avg compliant zijn?

AVG compliant is een organisatie die structureel en aantoonbaar voldoet aan de Algemene Verordening Gegevensbescherming (AVG), ook bekend als de GDPR. Dit gaat verder dan eenmalig een privacyverklaring op een website plaatsen. Het vraagt om een doorlopend proces van beleid, documentatie, technische maatregelen en bewustwording binnen de hele organisatie.

De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de Europese Unie, dus ook voor kleine bedrijven en non-profitorganisaties. De Autoriteit Persoonsgegevens (AP) handhaaft actief: in 2023 legde de AP 2,5 miljoen euro aan boetes op aan Nederlandse organisaties die de regels niet naleefden.

Veel organisaties behandelen de AVG als een juridisch project met een einddatum. Dat is een vergissing. AVG compliance is een bedrijfsproces, vergelijkbaar met financiële rapportage: het vraagt om vaste eigenaren, terugkerende controles en een heldere governancestructuur. Wie dat begrijpt, bouwt duurzame compliance op in plaats van steeds dezelfde problemen te herstellen.

Checklist voor AVG compliance

Een solide basis voor avg compliance begint met een aantal concrete stappen. Hieronder staan de meest kritieke maatregelen.

• Verwerkingsregister bijhouden: documenteer alle verwerkingen van persoonsgegevens, inclusief doel, rechtsgrondslag, bewaartermijn en betrokken partijen. Artikel 30 van de AVG verplicht dit voor de meeste organisaties.
• Rechtsgrondslag bepalen: elke verwerking heeft een geldige juridische grondslag nodig, zoals toestemming, uitvoering van een overeenkomst of gerechtvaardigd belang.
• Privacyverklaring actueel houden: betrokkenen hebben recht op transparante informatie over hoe hun gegevens worden gebruikt.
• Bewerkersovereenkomsten afsluiten: werk je met externe verwerkers zoals cloudleveranciers of AI-platformen, dan is een schriftelijke verwerkersovereenkomst verplicht.
• Datalekprocedure inrichten: datalekken moeten binnen 72 uur worden gemeld bij de AP. Een gedocumenteerde procedure is daarvoor noodzakelijk.
• Technische beveiliging waarborgen: denk aan encryptie, toegangsbeheer, logging en regelmatige beveiligingstests.
• Rechten van betrokkenen afhandelen: stel processen in voor inzageverzoeken, correctie, verwijdering en overdraagbaarheid van gegevens.

Organisaties die AI-tools inzetten, staan voor een extra uitdaging. Wanneer een AI-systeem persoonsgegevens verwerkt, zoals namen in prompts of klantdata in analyses, gelden dezelfde AVG-vereisten. In de praktijk zien we dat veel organisaties per ongeluk persoonsgegevens in AI-systemen invoeren zonder dat een verwerkersovereenkomst is afgesloten of data-isolatie is gegarandeerd. Een avg compliant AI-omgeving vereist dat data de EU niet verlaat en dat de verwerking contractueel is geborgd. Platforms op servers buiten de EU voldoen in de meeste gevallen niet aan deze eis.

Lees meer over hoe AVG en GDPR compliance in de praktijk werkt voor organisaties die AI inzetten.

Rollen en verantwoordelijkheden binnen AVG compliance

AVG compliance werkt alleen als de juiste mensen de juiste verantwoordelijkheid dragen. De wet onderscheidt drie hoofdrollen, elk met eigen verplichtingen.

1. Verwerkingsverantwoordelijke: de organisatie die het doel en de middelen van de gegevensverwerking bepaalt. Dit is in de meeste gevallen het bedrijf zelf. De verwerkingsverantwoordelijke is eindverantwoordelijk voor naleving van de AVG.
2. Verwerker: een externe partij die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke, zoals een salarisadministrateur, een CRM-leverancier of een AI-platform. Een verwerker handelt altijd op instructie van de verwerkingsverantwoordelijke.
3. Functionaris voor gegevensbescherming (FG): organisaties in bepaalde sectoren, waaronder overheid en zorg, zijn verplicht een FG aan te stellen. De FG adviseert intern en is aanspreekpunt voor de AP.

Een veelvoorkomend misverstand: bedrijven denken dat ze automatisch avg compliant zijn zodra hun leverancier dat beweert. Dat klopt niet. De verwerkingsverantwoordelijke blijft zelf verantwoordelijk en moet de compliance van leveranciers actief toetsen, niet alleen op papier maar ook in de praktijk. Vraag altijd om bewijs, zoals een ISO 27001-certificering of een actueel auditrapport.

Wil je weten hoe ISO 27001-certificering en AVG compliance elkaar versterken? Bekijk ons artikel over de relatie tussen ISO 27001, informatiebeveiliging en GDPR.

Monitoring en onderhoud van avg compliance

AVG compliance is geen eindpunt. Organisaties die eenmalig hun beleid opstellen en daarna niets meer doen, lopen een aanzienlijk risico. De wet verandert, technologie verandert, en de manier waarop je data verwerkt verandert mee.

Concrete maatregelen voor structureel onderhoud:

• Jaarlijkse review van het verwerkingsregister op volledigheid en actualiteit.
• Periodieke privacy impact assessments (DPIA's) bij nieuwe verwerkingen of hoog-risico projecten.
• Kwartaalcontrole op bewerkersovereenkomsten, met name bij leveranciers die updates doorvoeren.
• Jaarlijkse bewustzijnstraining voor medewerkers die persoonsgegevens verwerken. Menselijke fouten zijn verantwoordelijk voor meer dan 85% van de gemelde datalekken in Nederland, volgens cijfers van het Nationaal Cyber Security Centrum.
• Regelmatige penetratietests en kwetsbaarheidsscans op systemen die persoonsgegevens bevatten.

Voor AI-toepassingen geldt specifiek dat je per kwartaal controleert of het AI-systeem nog steeds verwerkt zoals contractueel vastgelegd. Modellen worden bijgewerkt, API-koppelingen veranderen, en data kan onbedoeld in trainingsdata terechtkomen als je geen afgeschermde omgeving hebt. Een avg compliant AI-platform biedt volledige data-isolatie: jouw gegevens raken nooit vermengd met die van andere klanten en worden niet gebruikt voor modeltraining.

IntraGPT draait volledig op Nederlandse servers, gebruikt open source modellen en heeft een ISO 27001-certificering. Klantdata verlaat de Nederlandse omgeving nooit, en de verwerking is juridisch aantoonbaar in lijn met de AVG. Voor organisaties die persoonsgegevens in AI-workflows willen verwerken, maakt dat het verschil tussen een juridisch risico en een werkende oplossing.

Veelgestelde vragen over avg compliant

Wat is het verschil tussen AVG compliant en GDPR compliant?

AVG en GDPR zijn twee namen voor dezelfde wet. AVG staat voor Algemene Verordening Gegevensbescherming, de Nederlandse vertaling van General Data Protection Regulation (GDPR). Avg compliant en GDPR compliant betekenen dus hetzelfde. In Nederland gebruik je doorgaans de term AVG; in internationale context is GDPR gangbaarder.

Hoe weet ik of mijn organisatie avg compliant is?

Voer een interne privacy-audit uit: loop het verwerkingsregister na, controleer of alle rechtsgronden gedocumenteerd zijn en toets of bewerkersovereenkomsten actueel zijn. De Autoriteit Persoonsgegevens biedt een gratis zelfevaluatietool op haar website. Voor een objectief oordeel laat je een externe privacy-adviseur een gap-analyse uitvoeren tegen de vereisten van de AVG.

Mag ik AI-tools gebruiken en toch avg compliant blijven?

Ja, maar dat stelt eisen aan de keuze van je AI-platform. Je mag geen persoonsgegevens invoeren in AI-systemen waarbij data buiten de EU wordt opgeslagen of zonder geldige rechtsgrondslag voor modeltraining wordt gebruikt. Een avg compliant AI-omgeving verwerkt data uitsluitend binnen de EU, garandeert volledige data-isolatie en legt dit contractueel vast in een verwerkersovereenkomst. Veel commerciële AI-platforms die gratis of tegen lage kosten werken, gebruiken klantdata voor modeltraining, deze zijn niet avg compliant.

Wat zijn de boetes voor het niet naleven van de AVG?

De AVG kent twee boetecategorieën. Voor minder ernstige overtredingen kan de toezichthouder een boete opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor zwaardere overtredingen, zoals het ontbreken van een rechtmatige grondslag voor verwerking, loopt de maximale boete op tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. De Autoriteit Persoonsgegevens handhaaft deze bevoegdheden actief uit.

Is een kleine onderneming ook verplicht avg compliant te zijn?

Ja. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de EU, ongeacht bedrijfsgrootte. Kleine ondernemingen met minder dan 250 medewerkers zijn vrijgesteld van de verwerkingsregisterverplichting, maar alleen als de verwerking niet regelmatig plaatsvindt, geen hoog risico inhoudt en geen bijzondere categorieën persoonsgegevens betreft. In praktisch alle sectoren geldt de verplichting ook voor kleine bedrijven.

Heb je vragen over hoe jouw organisatie avg compliant kan werken met AI? Neem contact op met ons team voor een vrijblijvend gesprek over jouw situatie.