Is jouw AVG-documentatie op orde? Zo helpen Whats-IT en Impact Projects je op weg

De AVG (in het Engels: GDPR) is al sinds 2018 van kracht. Toch merken we in de praktijk dat veel organisaties het privacybeleid ergens in een map hebben zitten, maar dat niemand precies weet wat erin staat, of het nog klopt en of de IT-omgeving daar eigenlijk wel bij aansluit. Zolang er niets gebeurt, lijkt dat geen probleem. Tot er een datalek is, een klant vraagt hoe je met zijn gegevens omgaat of de Autoriteit Persoonsgegevens aanklopt.

Waarom is AVG-documentatie zo belangrijk?

De AVG rust op zeven beginselen, zoals doelbinding, dataminimalisatie en beperkte bewaartermijnen. Het beginsel dat het vaakst wordt onderschat is de verantwoordingsplicht: je moet niet alleen zorgvuldig met persoonsgegevens omgaan, je moet dat ook kunnen aantonen. Goede bedoelingen zijn dus niet genoeg. Zonder actuele documentatie kun je niet laten zien dat je het goed geregeld hebt. Denk onder andere aan:

• Een verwerkingsregister: welke persoonsgegevens verwerk je, met welk doel en op welke grondslag, hoe lang bewaar je ze en wie ontvangt ze? Tip: begin bij je processen, niet bij je systemen.
• Vastgelegde grondslagen: voor elke verwerking moet vóóraf duidelijk zijn waarom je deze mag uitvoeren. Kies je voor ‘gerechtvaardigd belang’, dan hoort daar een vastgelegde belangenafweging bij.
• Verwerkersovereenkomsten: met elke partij die namens jou persoonsgegevens verwerkt, zoals je IT-leverancier, boekhoudpakket of cloudopslag. Teken niet blind de standaardovereenkomst, maar kijk bijvoorbeeld ook of er afspraken in staan over het gebruik van AI.
• Een DPIA waar nodig: bij verwerkingen met een hoog risico, zoals gevoelige gegevens, grootschalige monitoring of veel AI-toepassingen, is een gegevensbeschermingseffectbeoordeling verplicht.
• Een datalekprocedure: een datalek moet je in veel gevallen binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens. Dat lukt alleen met een vaste procedure, een responsteam met duidelijke rollen en een procedure die je ook echt oefent.
• Een privacyverklaring en een beschrijving van je beveiligingsmaatregelen: die moeten kloppen met hoe het in de praktijk werkt.
• En meer: nog enkele andere documenten die het proces ondersteunen, zoals een bewaarbeleid en een register van datalekken.

Veel organisaties stellen deze documenten één keer op en kijken er daarna niet meer naar. Privacy is echter een doorlopend proces: een verouderd register is bijna net zo waardeloos als geen register.

Wat zijn de risico’s als het niet op orde is?

De bekendste risico’s zijn de boetes: die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Maar voor de meeste organisaties zit de grootste schade ergens anders:

• Reputatie- en imagoschade: een datalek dat slecht wordt afgehandeld, kost vertrouwen en blijft lang hangen.
• Kansen bij opdrachtgevers: steeds meer klanten en aanbestedingen vragen om aantoonbare AVG-compliance of certificeringen zoals ISO 27001.
• Chaos bij een incident: zonder vastgelegde afspraken gaat kostbare tijd verloren, precies op het moment dat elke minuut telt.
• Papier en praktijk lopen uit elkaar: het beleid zegt dat gegevens versleuteld zijn en alleen toegankelijk voor wie ze nodig heeft, maar in de praktijk staat alles op een gedeelde schijf waar iedereen bij kan.

Dat laatste punt zien we het vaakst. AVG-compliance is namelijk geen puur juridisch of puur technisch vraagstuk. Het is allebei. En daar gaat het vaak mis: de documentatie wordt opgesteld zonder naar de IT te kijken, of de IT wordt ingericht zonder dat er iets wordt vastgelegd.

Het speelveld wordt breder: NIS2 en AI

De AVG staat niet meer op zichzelf. Twee ontwikkelingen maken goede documentatie en een goed ingerichte IT-omgeving nóg belangrijker.

De Cyberbeveiligingswet (NIS2) is van kracht

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse invulling van de Europese NIS2-richtlijn. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor naar schatting zo’n 8.000 organisaties in essentiële en belangrijke sectoren, zoals energie, transport, zorg, digitale infrastructuur en ICT-dienstverlening. Vaak gaat het om organisaties vanaf 50 medewerkers of 10 miljoen euro omzet. De wet brengt drie kernverplichtingen met zich mee:

• Zorgplicht: passende maatregelen nemen om cyberrisico’s te beheersen en de continuïteit van je dienstverlening te borgen, van risicoanalyse en incidentbeheer tot back-ups, versleuteling en multifactorauthenticatie (MFA).
• Meldplicht: significante incidenten melden bij het CSIRT en de toezichthouder, met een eerste melding binnen 24 uur.
• Registratieplicht: organisaties die onder de wet vallen, moeten zich registreren.

Daarnaast ligt de eindverantwoordelijkheid nadrukkelijk bij het bestuur: bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en zelf ook training volgen.

Val je er zelf niet onder? Dan kun je er toch mee te maken krijgen. Organisaties die wél onder de wet vallen, moeten ook de risico’s bij hun leveranciers beheersen. Als toeleverancier krijg je dan eisen zoals MFA, patchmanagement, back-ups, toegangsbeheer, een incidentprocedure en training van medewerkers. Wie dat aantoonbaar op orde heeft, heeft een streepje voor, bijvoorbeeld bij aanbestedingen.

Ook hier geldt: je moet het kunnen aantonen. De AVG en de Cyberbeveiligingswet overlappen voor een groot deel, dus wie de AVG-documentatie en de technische beveiliging goed inricht, legt direct een stevig fundament voor NIS2.

Schaduw-AI

Medewerkers die klantgegevens in een gratis AI-tool plakken om ‘even snel’ een mail of samenvatting te maken: goed bedoeld, maar in feite een datalek en een AVG-overtreding. De oplossing is niet een verbod, maar een goedgekeurde zakelijke AI-omgeving met een verwerkersovereenkomst, een helder AI-beleid en training.

In beide gevallen zie je hetzelfde patroon terug: er is beleid en documentatie nodig, én een technische inrichting die dat beleid waarmaakt.

Proces én techniek: samen met Impact Projects

Om dat gat te dichten, werken wij samen met Impact Projects. Zij zijn gespecialiseerd in beleid, processen, certificeringen en trainingen. Samen zorgen we ervoor dat wat er op papier staat ook echt klopt met hoe jouw IT-omgeving is ingericht. De taakverdeling is helder:

Impact Projects: het proces en de mensen

• Inventariseren welke persoonsgegevens je verwerkt en het opstellen van het verwerkingsregister
• Toetsen van grondslagen en vastleggen van belangenafwegingen
• Ondersteuning bij een eventuele registratie, bijvoorbeeld de registratieplicht onder de Cyberbeveiligingswet
• Opstellen en actualiseren van privacybeleid, privacyverklaring, verwerkersovereenkomsten en AI-beleid
• Uitvoeren van DPIA’s en risicoanalyses
• Ondersteuning van medewerkers in hun rol binnen de AVG, zoals privacy-aanspreekpunten en leidinggevenden
• Vastleggen van procedures, zoals de datalekprocedure en de afhandeling van inzageverzoeken
• Begeleiding richting certificeringen en kaders zoals ISO 27001, BIO2 en de Cyberbeveiligingswet
• Trainingen voor medewerkers en bestuurders, bijvoorbeeld over digitaal veilig werken, privacybewustzijn en verantwoord AI-gebruik

Whats-IT: de technische kant

• In kaart brengen van je IT-omgeving: waar staan de gegevens, wie heeft toegang en hoe is het beveiligd?
• Inrichten van toegangsbeheer, MFA en versleuteling, bijvoorbeeld binnen Microsoft 365
• Uitrollen van een wachtwoordmanager, zodat medewerkers lange, unieke wachtwoorden gebruiken en toegang bij uitdiensttreding netjes wordt ingetrokken
• Patch- en vulnerability management: systemen en software blijven up-to-date en kwetsbaarheden worden actief opgespoord en verholpen
• Zorgen voor betrouwbare back-ups, zodat gegevens niet verloren gaan
• Endpoint security, firewalls en monitoring om datalekken te voorkomen en snel te signaleren
• Inrichten van een veilige zakelijke omgeving voor AI-tools, zodat bedrijfsgegevens binnen de organisatie blijven
• Aanleveren van de technische onderbouwing die in je documentatie thuishoort
• Technische ondersteuning als er toch iets misgaat, zodat een incident snel onder controle is

Het resultaat: documentatie die aansluit op de werkelijkheid, een IT-omgeving die doet wat er in het beleid staat en medewerkers die weten hoe ze veilig met gegevens omgaan. Je hebt één aanspreekpunt voor de techniek en één voor het proces, die onderling de lijnen kort houden.

Hoe pakken we het aan?

1. Kennismaking en nulmeting: we brengen samen in kaart waar je nu staat, zowel op papier als technisch.
2. Plan van aanpak: je krijgt een helder overzicht van wat er moet gebeuren. We werken risicogestuurd: eerst wat het meeste risico geeft, niet alles tegelijk.
3. Uitvoering: Impact Projects werkt de documentatie en procedures uit, Whats-IT voert de technische maatregelen door.
4. Training en borging: medewerkers worden getraind en we spreken af hoe alles actueel blijft.
5. Rapportage: je ontvangt een eindrapport met wat er is gedaan, de status en eventuele restpunten. Dat helpt ook bij het aantonen richting klanten of toezichthouders.
6. Jaarlijkse evaluatie: we lopen de documentatie en de technische maatregelen jaarlijks samen na en werken ze bij.

Blijvend op orde

AVG-compliance is geen project dat je één keer afrondt. Je organisatie verandert, er komen nieuwe systemen, leveranciers en AI-tools bij en medewerkers komen en gaan. Door documentatie en IT regelmatig samen tegen het licht te houden, blijft alles kloppen en ben je voorbereid als het erop aankomt.

Wil je je eerst verder verdiepen? In de kennisbank van Impact Projects vind je praktische artikelen over onder meer de AVG, datalekken, verwerkersovereenkomsten, NIS2 en AI.

Wil je weten hoe jouw organisatie ervoor staat? Neem contact met ons op voor een vrijblijvend gesprek. Samen met Impact Projects kijken we wat er nodig is om jouw AVG-documentatie én je IT-omgeving op orde te krijgen.