Welke klantgegevens je mag bewaren – en welke een eigen grondslag nodig hebben

Een klein bedrijf verzamelt geen klantgegevens uit nieuwsgierigheid, maar omdat het bedrijf zonder die gegevens niet draait. Een afspraak heeft een naam en een nummer nodig, een factuur een adres, de tweede behandeling de uitkomst van de eerste. De Algemene verordening gegevensbescherming verbiedt daar niets van. Ze verlangt alleen dat je van elke vermelding kunt zeggen waarvoor die er is.

Daaraan hangt al het overige: het doel bepaalt de grondslag, de grondslag bepaalt de bewaartermijn, en samen bepalen ze of een notitie een onschuldig geheugensteuntje is of een categorie gegevens met strengere regels. Dit artikel sorteert dat in drie bakken en laat aan één voorbeeld zien waar de grens loopt. Het is een oriëntatie – over jouw concrete geval beslissen de toezichthouder of een jurist.

Artikel 5 AVG zet zes beginselen vooraan, en drie daarvan raken je elke dag. Doelbinding: gegevens worden voor welbepaalde, uitdrukkelijk omschreven doelen verzameld en niet op een daarmee onverenigbare wijze verder verwerkt. Minimale gegevensverwerking: alleen wat voor dat doel noodzakelijk is. Opslagbeperking: niet langer dan het doel draagt.

Daar komt artikel 6 lid 1 AVG bij met de lijst van gronden waarop een verwerking überhaupt rechtmatig is. Voor een dienstverlenend bedrijf zijn er vier relevant: de uitvoering van een overeenkomst inclusief precontractuele maatregelen (sub b), het voldoen aan een wettelijke verplichting (sub c), het gerechtvaardigd belang (sub f) en de toestemming (sub a). Toestemming staat in de praktijk het vaakst juist daar waar ze helemaal niet nodig zou zijn.

Dat is meer dan systematiek. Wie een afspraak alleen bewaart omdat er toestemming is gegeven, staat zonder grondslag zodra die toestemming wordt ingetrokken – terwijl de afspraak voor de dienst zelf nodig is. Omgekeerd draagt de overeenkomst de nieuwsbrief niet, hoe hartelijk de relatie ook is. De grondslag volgt het doel, niet het gemak. En je kunt haar niet achteraf omruilen als de eerste ongeschikt blijkt.

Sorteer je klantenbestand één keer in drie bakken. De oefening duurt een halfuur en beantwoordt daarna de meeste losse vragen vanzelf. Alleen over de tweede bak beslis je niet zelf – daar bepaalt de bewaartermijn die bij dat soort stuk hoort de lengte.

De derde bak maakt het werk, niet omdat hij verboden zou zijn, maar omdat hij ontstaat zonder beslissing. Een veld "verjaardag" wordt aangemaakt omdat de software het aanbiedt; drie jaar later weet niemand meer of het er stond voor de felicitatie of voor de leeftijdscontrole. Allebei mag – maar met een andere grondslag en een andere termijn.

Bij de derde regel hoort een bijzonderheid die je beslissingen uit handen neemt: tegen verwerking voor direct marketing kan iedereen op grond van artikel 21 lid 2 AVG te allen tijde bezwaar maken. Zonder motivering, zonder afweging. Zo'n bezwaar is geen verzoek waarover jij oordeelt, maar het einde van die verwerking.

Hier valt de theorie uiteen. Je schrijft bij de afspraak een notitie – drie varianten, drie verschillende juridische situaties:

• "Kleur 7.3, 40 minuten inwerktijd" – een gegeven over de dienst. Overeenkomst, onproblematisch.
• "Remmen achter bij de volgende beurt nakijken" – een gegeven over de zaak, niet over de persoon. Eveneens onproblematisch.
• "Hoofdhuid geïrriteerd, verdraagt geen ammoniak" – een gegeven over de gezondheid. En daarmee een ander artikel van de verordening.

Artikel 9 lid 1 AVG verbiedt de verwerking van bijzondere categorieën van persoonsgegevens in beginsel; gezondheidsgegevens worden uitdrukkelijk genoemd. Artikel 4 punt 15 definieert ze als gegevens waaruit informatie over de gezondheidstoestand blijkt, en overweging 35 vat dat uitdrukkelijk ruim op – inclusief gegevens die ontstaan bij het verlenen van een dienst.

Het verbod is niet het einde maar het begin. Artikel 9 lid 2 sub a heft het op als de betrokkene uitdrukkelijk toestemming heeft gegeven. "Uitdrukkelijk" vraagt hier meer dan elders: een bewuste, benoemde instemming precies voor dit gegeven, niet een vinkje onder algemene voorwaarden. Praktisch is dat weinig werk – één regel op het intake- of anamneseformulier die zegt dat het gegeven vrijwillig is, waarvoor het wordt gebruikt en dat het altijd kan worden ingetrokken.

Dezelfde grens raakt de notitie over een kind ("verdraagt geen latex"), het dieetgegeven voor een feest en de aantekening over beperkte mobiliteit. De toetsvraag is altijd dezelfde: staat daar iets over de toestand van de persoon of over de dienst? Waar je dat niet zeker kunt beantwoorden, behandel je het gegeven als een gezondheidsgegeven. Dat is de goedkopere richting om je te vergissen.

Minimale gegevensverwerking klinkt als inleveren en is in werkelijkheid werkverlichting. Elk veld dat bestaat, wordt ooit gevuld; elke gevulde vermelding moet later onderhouden, in een inzageverzoek genoemd en ooit gewist worden. Het goedkoopste moment om van een gegeven af te komen, is voordat het bestaat.

Drie vragen vóór elk nieuw veld:

1. Wat doe ik anders als hier iets staat? Luidt het antwoord "niets", dan heb je het veld niet nodig.
2. Volstaat een grovere aanduiding? "Meerderjarig: ja" in plaats van een geboortedatum. "Liefst 's ochtends" in plaats van iemands werktijden.
3. Wie in het bedrijf moet het zien? Een behandelnotitie hoort bij de persoon die behandelt – niet op een scherm bij de kassa waar de volgende klant meeleest.

De derde vraag moet de software beantwoorden, niet de discipline. Waar afspraken, notities en facturen toch al in één systeem liggen, is de scheiding naar rollen een instelling; waar ze verdeeld zijn over briefjes, wandkalender en spreadsheet, blijft ze een voornemen. Hoe dat er voor een salon uitziet, laat de salonsoftware zien, voor een autobedrijf de garagesoftware. De vraag zelf blijft dezelfde, welk gereedschap je er ook voor kiest.

Uit de drie bakken volgt een overzicht, en dat overzicht is al de kern van wat artikel 30 AVG als register van verwerkingsactiviteiten verlangt: doelen, categorieën van gegevens en van betrokkenen, ontvangers, voorziene bewaartermijnen en een algemene beschrijving van de technische en organisatorische maatregelen.

Artikel 30 lid 5 bevat een uitzondering voor organisaties met minder dan 250 medewerkers – die in de praktijk vrijwel nooit opgaat. Ze vervalt zodra de verwerking een risico inhoudt voor de rechten en vrijheden van betrokkenen, zodra ze niet incidenteel plaatsvindt of zodra er bijzondere categorieën uit artikel 9 worden verwerkt. Een lopend klantenbestand is geen incidentele verwerking. Wie zich op de uitzondering beroept, beroept zich in de regel op een criterium waaraan het eigen bedrijf niet voldoet.

Het goede nieuws: het register is geen rapport. Een tabel met één regel per verwerking – afspraken maken, factureren, nieuwsbrief, sollicitaties, cameratoezicht voor zover aanwezig – voldoet aan de eis. Ze moet schriftelijk worden gevoerd, elektronisch volstaat (artikel 30 lid 3), en ze gaat alleen op verzoek naar de toezichthouder (lid 4). Dat is in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit.

Een functionaris gegevensbescherming volgt daar niet uit. Artikel 37 lid 1 verlangt er een in drie gevallen die op een klein dienstverlenend bedrijf doorgaans niet van toepassing zijn: een overheidsinstantie, grootschalige systematische monitoring als kernactiviteit, of grootschalige verwerking van bijzondere categorieën als kernactiviteit. In Nederland blijft het daarbij: het aantal medewerkers is geen criterium, en de Autoriteit Persoonsgegevens noemt naast die drie gevallen geen drempel. Dat is niet overal zo – Duitsland kent bijvoorbeeld wél een nationale drempel vanaf in de regel twintig personen die doorlopend geautomatiseerd persoonsgegevens verwerken. Dat is een Duitse bijzonderheid en uitdrukkelijk geen EU-brede grens.