Belangrijk advies: houd het simpel.

<Bedrijf> is verwerkingsverantwoordelijke voor haar (financiële) administratie. De administratie is <n> jaar online beschikbaar. Afdeling <afdeling> heeft toegang tot de financiële administratie, <afdelingen> hebben toegang toy de algemene klantinformatie. De administratie wordt beschermd door <maatregelen inclusief backups>. Het personeel dient vertrouwelijk om te gaan met informatie uit de administratie.

Systeembeheerders kunnen tijdens hun werk toegang krijgen tot vertrouwelijke informatie van klanten. Zij dienen het kennisnemen en delen van deze informatie te beperken tot hetgeen nodig is voor de uitvoering van hun taken.

Klanten zijn verwerkingsverantwoordelijke voor de cloudopslag. <Bedrijf> beschermt de gegevens in deze opslag met <maatregelen>.

Het is belangrijk om een lijst van wat je doet te hebben en die is bij een bedrijf van 30 werknemers een stuk makkelijker te maken dan bij een multinational. Daarna is het opschrijven wat je doet en communiceren met je (toekomstige) klanten. Als je onzeker bent of wat je opgeschreven is voldoende is voor de AVG, kun je dat door een expert laten bekijken. (Of maak, in overleg met de AVG-docent, een concept om in de cursus te bespreken.)

Belangrijke regel is dat je de AVG linea recta aan de kant schuift, althans als je wil opereren als fatsoenlijk bedrijf.
Wie als bedrijf promoot zich aan de AVG te houden, geeft feitelijk aan privacy van de klant niet te respecteren.
Het maakt bijvoorbeeld data/persoonsgegevens opslag voor eeuwig legitiem.

Licht dit nader toe met een casus uit jouw praktijk.

De AVG is risico gebaseerd, niet regel gebaseerd. Dat kan dus heel erg meevallen (en tegenvallen). Zijn jullie een organisatie die een elektronisch patiëntendossier maken en ontwikkelen? Ja, dan kan het best wat werk zijn om 'compliant' te zijn. In de praktijk valt het vermoedelijk best mee.

Stuur me gerust een berichtje als je eens wilt bellen. Ik werk in dit domein.