Klantgegevens en de AVG: wat moet je echt?

Leg vast wat je gebruikt, niet wat je misschien ooit gebruikt

Dit is het principe waar het in de praktijk het vaakst misgaat, en het heet dataminimalisatie: je verzamelt niet meer dan je nodig hebt voor het doel.

Een naam, een zakelijk mailadres, een telefoonnummer en wat er is afgesproken — dat heb je nodig. Een geboortedatum “voor als we ooit iets met verjaardagen willen doen” heb je niet nodig. En aantekeningen over iemands gezondheid, geloof of politieke voorkeur zijn bijzondere persoonsgegevens, waar veel strengere regels voor gelden; die horen niet in een verkoopsysteem.

Praktische toets voor een notitieveld: zou je het erbij zeggen als de klant meeleest? Hij heeft het recht om zijn gegevens in te zien, dus die kans is reëel.

Bewaarplicht en bewaartermijn zijn niet hetzelfde

Twee woorden die constant door elkaar lopen, en het verschil bepaalt wat je moet doen.

Bewaarplicht is een minimum. De fiscale bewaarplicht verplicht je je administratie zeven jaar te bewaren — facturen, contracten, grootboek. Daar mag je niet onderuit, ook niet als een klant erom vraagt.

Bewaartermijn onder de AVG is een maximum. Je bewaart persoonsgegevens niet langer dan nodig voor het doel. Er staat geen getal in de wet; je bepaalt zelf een termijn en legt uit waarom die redelijk is.

In de praktijk betekent dat twee regimes naast elkaar: je facturen houd je zeven jaar omdat het moet, en je gespreksnotities van een prospect die nooit klant werd gooi je eerder weg omdat er geen reden meer is om ze te houden.

Wat je klant mag vragen

Vier rechten die in een MKB-praktijk daadwerkelijk voorkomen:

• Inzage. Hij mag opvragen welke gegevens je van hem hebt. Dat betekent dat je het moet kunnen opzoeken — een antwoord van “het zit ergens in mijn mailbox” volstaat niet.
• Correctie. Klopt er iets niet, dan pas je het aan.
• Verwijdering. Mag, behalve waar een bewaarplicht geldt. Je mag dus een klantdossier wissen maar de facturen bewaren.
• Bezwaar tegen marketing. Wil hij geen mailings meer, dan stop je daarmee, en dat moet eenvoudig kunnen — één klik, geen inlogscherm.

Wanneer je een verwerkersovereenkomst nodig hebt

Gebruik je software van een ander om klantgegevens in te bewaren — een CRM, een mailprogramma, een boekhoudpakket — dan is die leverancier een *verwerker* en jij de *verwerkingsverantwoordelijke*. Daar hoort een verwerkersovereenkomst bij, waarin staat wat hij met de gegevens mag en wat er gebeurt als het misgaat.

Een fatsoenlijke leverancier heeft die klaarliggen en hoeft er niet over te onderhandelen. Moet je erom vragen en komt er een vaag antwoord, dan is dat een signaal.

Wat je vandaag kunt doen

Je hoeft hier geen project van te maken. Drie dingen halen het meeste risico weg:

1. Loop je notitievelden door en haal eruit wat je niet gebruikt. Vooral oude aantekeningen die persoonlijk zijn geworden.
2. Schrijf op hoelang je wat bewaart, en waarom. Twee alinea's is genoeg; het gaat erom dat je een termijn kunt uitleggen.
3. Zorg dat je een klantdossier kunt verwijderen zonder dat je facturen meegaan. Kan je systeem dat niet, dan is dat een echt probleem — geen theoretisch.

Een waarschuwing over dit soort stukken

Dit is uitleg, geen juridisch advies, en het is geschreven door een softwareleverancier — wij hebben er belang bij dat je dit niet ingewikkeld vindt. Gaat het om gevoelige gegevens, om grote aantallen, of om iets waar je echt onzeker over bent, kijk dan bij de Autoriteit Persoonsgegevens zelf of vraag een jurist.