10 stappen naar GDPR-compliance voor MKB-bedrijven

Stap 1. Creëer bewustzijn

• Informeer management en medewerkers over de GDPR-regels.

• Geef training over veilig omgaan met persoonsgegevens.

Stap 2. Maak een data-inventarisatie

• Breng in kaart welke persoonsgegevens je verwerkt.

• Noteer: herkomst van data, doel van verwerking, wie toegang heeft, bewaartermijn.

Stap 3. Stel een verwerkingsregister op

• Documenteer alle verwerkingen in een overzichtelijk register.

• Dit is verplicht voor bijna alle bedrijven.

Stap 4. Actualiseer je privacyverklaring

• Publiceer een duidelijke, begrijpelijke privacyverklaring.

• Vermeld doelen, rechten van betrokkenen, bewaartermijnen en contactgegevens.

Stap 5. Controleer juridische basis en toestemming

• Ga na of je een geldige grondslag hebt (toestemming, contract, wettelijke plicht, etc.).

• Zorg dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig is.

Stap 6. Sluit verwerkersovereenkomsten af

• Werk je met externe partijen (cloud, payroll, softwareleveranciers)?

• Zorg dat een contract afspraken vastlegt over privacy en beveiliging.

Stap 7. Beperk en beveilig gegevens

• Pas dataminimalisatie toe: vraag alleen wat je echt nodig hebt.

• Gebruik encryptie, sterke wachtwoorden, back-ups en toegangsbeheer.

Stap 8. Richt procedures in voor rechten van betrokkenen

• Maak een duidelijk proces voor inzage-, correctie- en verwijderingsverzoeken.

• Zorg dat medewerkers weten hoe ze hiermee omgaan.

Stap 9. Stel een datalekprotocol op

• Zorg dat je datalekken binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens.

• Documenteer elk incident, ook al meld je het niet.

Stap 10. Blijf controleren en verbeteren

• Voer regelmatig audits of controles uit.

• Houd je register up-to-date.

• Pas beleid en processen aan bij nieuwe technologie of wetgeving.

👉 Tip: Maak van dit stappenplan een interne privacy-checklist die jaarlijks door HR of management wordt doorgelopen, net zoals een financiële of veiligheidsaudit.