Klantgegevens & AVG

Van binnenuit een bedrijf lijkt privacy een verzameling verboden. De omgekeerde vraag is nuttiger, en die is in elke markt dezelfde: voor welk doel bewaar je dit gegeven, hoe lang heb je het daarvoor nodig, en wat gebeurt er daarna? Wie dat per veld kan beantwoorden, heeft het grootste deel van het werk achter de rug — de rest is vastleggen.

De praktische ingang is dus een inventarisatie en geen afvinklijst. Wat ligt er eigenlijk: naam en telefoonnummer, ja — maar ook de notitie over de laatste behandeling, de foto, de allergie, de opmerking over een ex. Gezondheidsgegevens, en alles wat iemand liever niet ergens opgeschreven ziet, vormen de gevoelige categorie, en ze ontstaan terloops tijdens de dag, niet in het formulier.

Twee situaties maken van theorie een echt geval. Een inzageverzoek — iemand wil weten wat je over hem bewaart — beantwoord je alleen rustig als je weet waar overal iets ligt: in het systeem, de agenda, de mailbox, de telefoon van een collega. En een verwijderbeleid is geen verklaring maar een regel per soort gegeven, die ook werkt als niemand eraan denkt.

Zodra een dienstverlener gegevens in jouw opdracht verwerkt — de software, de nieuwsbrieftool, de boekhouder — komt er een overeenkomst bij. Wanneer die nodig is en wanneer niet, is een overzichtelijke vraag met een helder antwoord. De artikelen in deze rubriek lopen de vier onderwerpen apart langs; waar een regel wordt genoemd, staat erbij voor welke markt hij geldt.