Klantgegevens en de AVG: wat moet je echt?

Leg vast wat je gebruikt, niet wat je misschien ooit gebruikt

Dit is het principe waar het in de praktijk het vaakst misgaat, en het heet dataminimalisatie: je verzamelt niet meer dan je nodig hebt voor het doel.

Een naam, een zakelijk mailadres, een telefoonnummer en wat er is afgesproken — dat heb je nodig. Een geboortedatum "voor als we ooit iets met verjaardagen willen doen" niet. En aantekeningen over iemands gezondheid, geloof of politieke voorkeur zijn bijzondere persoonsgegevens, met veel strengere regels; die horen niet in een verkoopsysteem.

Praktische toets voor een notitieveld: zou je het erbij zeggen als de klant meeleest? Hij heeft het recht om zijn gegevens in te zien, dus die kans is reëel.

Tien jaar bewaren, en dat is geen AVG-regel

Twee woorden lopen hier constant door elkaar, en het verschil bepaalt wat je doet.

De bewaarplicht is een minimum, en die is in België tien jaar. Sinds de wet van 20 november 2022, met ingang van aanslagjaar 2023, moet je je boeken, facturen en andere stukken tien jaar bewaren — daarvoor was het zeven. De btw-wet rekent die tien jaar vanaf 1 januari van het jaar ná de uitreiking van het stuk, dus een factuur van maart 2026 moet tot eind 2036 blijven staan.

Twee uitzonderingen die praktisch uitmaken: facturen van investeringen die je over meerdere jaren afschrijft, houd je tot zeven jaar ná de laatste afschrijving; en stukken over onroerend goed vijftien jaar.

De bewaartermijn onder de AVG is een maximum. Je bewaart persoonsgegevens niet langer dan nodig voor het doel. Er staat geen getal in de verordening; je bepaalt zelf een termijn en legt uit waarom die redelijk is.

In de praktijk betekent dat twee regimes naast elkaar: je facturen houd je tien jaar omdat het moet, en je gespreksnotities van een prospect die nooit klant werd gooi je eerder weg omdat er geen reden meer is om ze te houden.

Let op als je dit vergelijkt met Nederlandse informatie: dáár is de fiscale bewaarplicht zeven jaar. Drie jaar verschil, en het verkeerde getal aanhouden betekent dat je stukken weggooit die je nog had moeten hebben.

Wat je klant mag vragen

Vier rechten die in de praktijk van een kmo daadwerkelijk voorkomen:

• Inzage. Hij mag opvragen welke gegevens je van hem hebt. Dat betekent dat je het moet kunnen opzoeken — een antwoord van "het zit ergens in mijn mailbox" volstaat niet.
• Verbetering. Klopt er iets niet, dan pas je het aan.
• Verwijdering. Mag, behalve waar een bewaarplicht geldt. Je mag dus een klantdossier wissen en de facturen tien jaar houden.
• Verzet tegen marketing. Wil hij geen mailings meer, dan stop je daarmee, en dat moet eenvoudig kunnen — één klik, geen inlogscherm.

Wanneer je een verwerkersovereenkomst nodig hebt

Gebruik je software van een ander om klantgegevens in te bewaren — een CRM, een mailprogramma, een boekhoudpakket — dan is die leverancier een *verwerker* en jij de *verwerkingsverantwoordelijke*. Daar hoort een verwerkersovereenkomst bij, waarin staat wat hij met de gegevens mag en wat er gebeurt als het misgaat.

Een fatsoenlijke leverancier heeft die klaarliggen en hoeft er niet over te onderhandelen. Moet je erom vragen en komt er een vaag antwoord, dan is dat een signaal.

Waar je terechtkomt als het misgaat

De toezichthouder is de Gegevensbeschermingsautoriteit, de GBA — niet de Nederlandse Autoriteit Persoonsgegevens, ook al vind je die sneller als je in het Nederlands zoekt.

Dat is het adres waar een klacht van een klant terechtkomt, en ook waar je zelf iets kunt nakijken: de GBA publiceert praktische leidraden voor kleine ondernemingen.

Een datalek meld je binnen tweeënzeventig uur bij de GBA, en bij de betrokkenen zelf als het een hoog risico voor hen inhoudt. Dat laatste is dezelfde regel als in Nederland; alleen het loket is anders.

Wat je vandaag kunt doen

Je hoeft hier geen project van te maken. Drie dingen halen het meeste risico weg:

1. Loop je notitievelden door en haal eruit wat je niet gebruikt. Vooral oude aantekeningen die persoonlijk zijn geworden.
2. Schrijf op hoelang je wat bewaart, en waarom. Twee alinea's is genoeg; het gaat erom dat je een termijn kunt uitleggen — en dat je de tien jaar voor je administratie niet verwart met de AVG-termijn voor de rest.
3. Zorg dat je een klantdossier kunt verwijderen zonder dat je facturen meegaan. Kan je systeem dat niet, dan is dat een echt probleem.

Een waarschuwing over dit soort stukken

Dit is uitleg, geen juridisch advies, en het is geschreven door een softwareleverancier — wij hebben er belang bij dat je dit niet ingewikkeld vindt. Gaat het om gevoelige gegevens, om grote aantallen, of om iets waar je echt onzeker over bent, kijk dan bij de Gegevensbeschermingsautoriteit zelf of vraag een advocaat.