Je beheert een klantenbestandje stuurt nieuwsbriefAls u werknemers in dienst hebt en een camera op uw bedrijfsterrein gebruikt, verwerkt u persoonsgegevens en is de AVG volledig op u van toepassing. Volgens de Franse Num 2025 Barometer is echter het volgende van toepassing: Slechts 41% van de micro-ondernemingen/mkb's houdt een register bij van verwerkingsactiviteiten.Deze verplichting geldt voor alle bedrijven, ongeacht hun omvang. Deze handleiding legt, zonder juridisch jargon, concreet uit wat de AVG van u vereist en hoe u hier stap voor stap aan kunt voldoen.
AVG: Definitie en fundamentele beginselen
De AVG, ofwel de Algemene Verordening Gegevensbescherming, is Europese Verordening nr. 2016/679 van 27 april 2016. Deze is op 25 mei 2018 in werking getreden in alle lidstaten van de Europese Unie en vervangt Richtlijn 95/46/EG van 1995. In tegenstelling tot een richtlijn is een verordening direct van toepassing, zonder nationale omzetting. In Frankrijk wordt de AVG aangevuld door de Wet bescherming persoonsgegevens van 6 januari 1978 (gewijzigd in 2018) en wordt deze gehandhaafd door de CNIL (Nationale Commissie voor Informatietechnologie en Burgerlijke Vrijheden).
Het hoofddoel is het versterken van de rechten van individuen met betrekking tot hun persoonsgegevens, terwijl tegelijkertijd de regels binnen de EU worden geharmoniseerd om een uniform juridisch kader te creëren. Het introduceert ook het principe van verantwoording, wat inhoudt dat er een verplichting bestaat om informatie te verstrekken en aan te tonen dat aan de voorschriften wordt voldaan.
De 7 fundamentele beginselen van de AVG (artikel 5)
Artikel 5 van de verordening beschrijft de beginselen die elke organisatie moet respecteren bij de verwerking van persoonsgegevens:
Deze principes zijn ook op u van toepassing als manager van een zeer klein bedrijf/kleine of middelgrote onderneming, zodra u de naam van een klant, het e-mailadres van een potentiële klant of de bankgegevens van een leverancier verzamelt.
Wie wordt hierdoor getroffen en welke gegevens worden beschermd?
Alle bedrijven, ongeacht hun omvang.
De bepalende factor is niet de omvang van uw organisatie, maar het feit dat u persoonsgegevens verwerkt. Een micro-onderneming met één werknemer die een klantendatabase beheert, valt net als een grote onderneming onder de AVG. Verenigingen, zelfstandigen (artsen, advocaten, accountants) en onderaannemers die namens een gegevensverwerker gegevens verwerken, worden eveneens getroffen.
De AVG is ook van toepassing op bedrijven die buiten de EU gevestigd zijn, wanneer zij zich richten op inwoners van Europa. De boete van € 150 miljoen die de CNIL in 2025 aan SHEIN oplegde, illustreert dit principe perfect: het Chinese merk zette advertentietrackers in vóórdat er interactie met gebruikers plaatsvond, en het feit dat het buiten de EU gevestigd was, bood geen bescherming.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn alle gegevens die de directe of indirecte identificatie van een natuurlijke persoon mogelijk maken: naam, achternaam, e-mailadres, telefoonnummer, IP-adres, locatiegegevens, klantnummer, foto, enz. De definitie is breed: een kentekenplaat, een online identificatiecode of zelfs een combinatie van ogenschijnlijk onschuldige gegevens op zich kunnen als persoonsgegevens worden beschouwd.
Concrete voorbeelden voor een zeer klein bedrijf/kleine of middelgrote onderneming (mkb):
Gevoelige gegevens: een aparte categorie.
Artikel 9 van de AVG verbiedt in principe de verwerking van bepaalde categorieën gegevens die bekendstaan als "gevoelige gegevens", zoals gegevens die de raciale of etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen, vakbondslidmaatschap, genetische gegevens, biometrische gegevens, gezondheidsgegevens of gegevens met betrekking tot het seksuele leven of de seksuele geaardheid onthullen.
Voor een zeer klein bedrijf of mkb kunnen deze gevoelige gegevens in onverwachte contexten voorkomen: ziekteverlof van werknemers (gezondheidsgegevens), informatie verzameld tijdens een sollicitatiegesprek, of zelfs beelden van een gezichtsherkenningssysteem bij de ingang van uw bedrijfspand. De verwerking ervan is onderworpen aan strikt gereguleerde voorwaarden en vereist over het algemeen de uitdrukkelijke toestemming van de betrokkene.
De 6 wettelijke grondslagen voor verwerking
Alle verwerking van persoonsgegevens moet gebaseerd zijn op een van de zes rechtsgrondslagen zoals vermeld in artikel 6 van de AVG. Deze lijst is uitputtend: als geen van deze grondslagen van toepassing is, is de verwerking verboden. De keuze van de rechtsgrondslag moet worden gemaakt vóór aanvang van de verwerking en worden vastgelegd in uw administratie.
1. Toestemming (art. 6.1.a)
De betrokkene heeft zijn of haar toestemming vrijwillig, specifiek, bewust en ondubbelzinnig gegeven. Toestemming moet net zo gemakkelijk kunnen worden ingetrokken als dat deze is gegeven. Dit vormt de basis voor nieuwsbrieven, niet-essentiële cookies en B2C-e-mailmarketing.
Concreet voorbeeld: Uw aanmeldingsformulier voor de nieuwsbrief moet een niet-aangevinkt selectievakje bevatten, met een duidelijke verklaring over het gebruik van de gegevens.
2. De uitvoering van een contract (art. 6.1.b)
De verwerking is noodzakelijk voor de uitvoering van een contract waarbij de persoon partij is. Het vormt de natuurlijke basis voor het beheren van uw klantrelatie, facturering, levering of salarisadministratie voor uw medewerkers.
Concreet voorbeeld: Je verzamelt het bezorgadres van je klant om de bestelling te verzenden. Hiervoor is geen aanvullende toestemming nodig.
3. De wettelijke verplichting (art. 6.1.c)
De verwerking is wettelijk of door regelgeving verplicht. Het vormt de basis voor het bewaren van loonstroken, facturen (10 jaar voor boekhoudkundige doeleinden) en aangiften voor belastingen en sociale zekerheid.
Concreet voorbeeld: U bent verplicht de loonstroken van uw werknemers minimaal 5 jaar te bewaren, conform de Arbeidswet.
4. Bescherming van vitale belangen (art. 6.1.d)
Uitzonderlijk gebruiksscenario, beperkt tot medische noodsituaties waarbij de persoon niet in staat is toestemming te geven.
5. De missie in het algemeen belang (art. 6.1.e)
Gereserveerd voor overheidsinstanties en organen die verantwoordelijk zijn voor een publieke dienstverleningstaak. Niet van toepassing op traditionele particuliere bedrijven.
6. Legitiem belang (art. 6.1.f)
De verwerkingsverantwoordelijke handelt op basis van een gerechtvaardigd belang, mits de fundamentele rechten en vrijheden van de betrokkene daar niet voor in het gedrang komen. Deze grondslag is flexibel, maar vereist een gedocumenteerde "drievoudige toets": Is het belang gerechtvaardigd? Is de verwerking noodzakelijk? Gaan de rechten van de betrokkene zwaarder wegen dan het belang?
Concrete voorbeelden gevalideerd door de CNIL: B2B-verkoop aan bestaande klanten, fraudepreventie, IT-beveiliging, proportionele videobewaking van gebouwen.
Waarschuwing: De CNIL heeft diverse bedrijven gesanctioneerd omdat zij zich ten onrechte beriepen op een legitiem belang, met name om permanente surveillance van werknemers of wervingscampagnes te rechtvaardigen op basis van bestanden die waren aangekocht van datahandelaren.
De rechten van individuen
De AVG verleent individuen acht fundamentele rechten met betrekking tot hun persoonsgegevens (hoofdstuk III van de verordening). Als verwerkingsverantwoordelijke moet u deze rechten kunnen respecteren en binnen een maand na ontvangst van het verzoek reageren.
Recht van toegang (art. 15) Iedereen kan een bevestiging opvragen dat u hun gegevens verwerkt en een kopie daarvan ontvangen. U bent verplicht binnen één maand te reageren.
Recht op rectificatie (art. 16) De persoon kan een verzoek indienen om onjuiste of onvolledige gegevens te corrigeren. Werk uw klantendossier bij zodra een klant u een adreswijziging doorgeeft.
Recht op verwijdering (“recht om vergeten te worden”, art. 17) De betrokkene kan onder bepaalde voorwaarden verzoeken om verwijdering van zijn of haar gegevens (intrekking van toestemming, gegevens die niet langer nodig zijn, onrechtmatige verwerking). Dit recht is niet absoluut: het geldt niet als u wettelijk verplicht bent de gegevens te bewaren.
Recht op dataportabiliteit (art. 20) De betrokkene kan zijn of haar gegevens in een gestructureerd en machineleesbaar formaat opvragen om deze aan een andere dienstverlener door te geven. Dit recht geldt alleen voor verwerkingen die gebaseerd zijn op toestemming of een overeenkomst.
Recht op beperking (art. 18) De betrokkene kan een verzoek indienen om de verwerking van zijn of haar gegevens tijdelijk op te schorten, bijvoorbeeld terwijl de juistheid ervan wordt gecontroleerd.
Recht van bezwaar (art. 21) De betrokkene heeft het recht bezwaar te maken tegen de verwerking van zijn of haar gegevens, met name voor marketingdoeleinden. Dit recht is absoluut met betrekking tot marketing: u moet onmiddellijk stoppen.
Wetgeving met betrekking tot geautomatiseerde besluitvorming (art. 22) Een persoon mag niet onderworpen worden aan een beslissing die uitsluitend gebaseerd is op geautomatiseerde verwerking (scoring, profilering) en die aanzienlijke juridische gevolgen heeft, zonder menselijke tussenkomst.
Recht op informatie (art. 13-14) Iedere persoon moet op het moment van verzameling worden geïnformeerd over het verzamelen en het gebruik van zijn of haar gegevens.
Hoe kunnen deze verzoeken in de praktijk worden afgehandeld? Wijs een speciaal e-mailadres aan (bijv. rgpd@yourcompany.fr), registreer elk verzoek met de datum van ontvangst en documenteer uw reactie. In 2026 heeft de CNIL (Franse Autoriteit voor Gegevensbescherming) zeer kleine bedrijven en medische praktijken gesanctioneerd, niet vanwege de initiële inbreuk, maar omdat ze nooit op de verzoeken van de betrokken personen hadden gereageerd. Stilte vormt een aparte inbreuk.
Uw specifieke verplichtingen: verwerkingsregister, informatie, beveiliging, onderaannemers
Het register van verwerkingsactiviteiten (art. 30)
Dit is uw centrale compliance-document. Alle bedrijven, ongeacht hun omvang, zijn verplicht dit register bij te houden. De veelvoorkomende misvatting dat bedrijven met minder dan 250 werknemers zijn vrijgesteld, is onjuist: de vrijstelling geldt alleen voor een paar zeer specifieke gevallen van incidentele en risicoarme verwerking, niet voor de algemene verplichting.
Voor een zeer klein bedrijf/kleine of middelgrote onderneming (mkb) kan dit register de vorm aannemen van een eenvoudige tabel met een overzicht van elke verwerkingsactiviteit:
De CNIL biedt een Vereenvoudigd registersjabloon, geschikt voor kleine organisaties..
De verplichting om informatie te verstrekken
U dient de betrokken personen te informeren op het moment dat hun gegevens worden verzameld. Deze informatie kan worden opgenomen in:
De informatie moet duidelijk, toegankelijk en in het Frans zijn. De CNIL (Franse Autoriteit voor Gegevensbescherming) heeft een bedrijf gesanctioneerd omdat het zijn privacybeleid alleen in het Engels aanbood.
De veiligheidsplicht (art. 32)
U moet passende technische en organisatorische maatregelen treffen om gegevens te beschermen. Voor een zeer klein bedrijf/kleine of middelgrote onderneming (mkb) betekent dit concreet:
Regelgeving betreffende onderaannemers (art. 28)
Elke dienstverlener die namens u gegevens verwerkt (hostingprovider, factureringssoftware, accountant, marketingbureau) is een gegevensverwerker in de zin van de AVG. U moet een schriftelijk contract met hen afsluiten dat specifieke bepalingen bevat over gegevensbescherming: doeleinden van de verwerking, beveiligingsmaatregelen, geheimhoudingsverplichtingen en wat er met de gegevens gebeurt na afloop van het contract.
Concreet voorbeeld: Als u software gebruikt CRM Als u in SaaS-modus uw klanten beheert, controleer dan of de uitgever een gegevensverwerkingsovereenkomst (DPA) aanbiedt die voldoet aan de AVG.
Functionaris voor gegevensbescherming (FG), effectbeoordeling (IAPD): in welke gevallen?
De functionaris voor gegevensbescherming (FG)
De aanstelling van een functionaris voor gegevensbescherming (DPO) is verplicht in drie specifieke gevallen (artikel 37 AVG):
Voor een micro-onderneming of mkb is de functionaris voor gegevensbescherming (DPO) daarom niet verplicht als geen van deze gevallen van toepassing is. Het is echter ten zeerste aan te raden een interne "AVG-functionaris" aan te stellen, dat wil zeggen een persoon die verantwoordelijk is voor het toezicht op de naleving, ook al heeft deze persoon geen officiële titel. Dit kan uzelf zijn, een medewerker of een externe dienstverlener.
Gegevensbeschermingseffectbeoordeling (DPIA)
Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht vóór elke verwerking die een hoog risico kan vormen voor de rechten en vrijheden van personen (artikel 35 van de AVG). De CNIL (Franse Autoriteit voor Gegevensbescherming) heeft een lijst gepubliceerd met negen categorieën van verwerkingen waarvoor systematisch een DPIA vereist is.
Specifieke gevallen waarin een zeer klein bedrijf/kleine of middelgrote onderneming (kmo) getroffen kan worden:
Als u niet in deze categorieën valt, is een gegevensbeschermingseffectbeoordeling (DPIA) niet verplicht. Een proportionele risicobeoordeling blijft echter wel een goede praktijk.
Compliance in 7 stappen voor een zeer klein bedrijf/kleine en middelgrote onderneming (mkb)
Hier volgt een concreet actieplan, zonder vakjargon, om u te helpen aan de regelgeving te voldoen.
Stap 1: Een GDPR-vertegenwoordiger aanstellen
Wijs een persoon aan (uzelf of een medewerker) die toezicht houdt op de naleving van de regels. Deze persoon is het aanspreekpunt voor verzoeken tot uitoefening van rechten en eventuele controles door de CNIL (Franse Autoriteit voor Gegevensbescherming).
Stap 2: Breng uw behandelingen in kaart en maak uw register aan.
Vermeld alle activiteiten waarvoor u gegevens verzamelt: klantendossier, personeelsbeheer, nieuwsbrief, contactformulier, videobewaking, boekhouding. Geef voor elke activiteit de informatie die vereist is volgens artikel 30. Gebruik hiervoor het vereenvoudigde sjabloon van de CNIL, beschikbaar op [websiteadres]. cnil.fr.
Stap 3: Controleer en documenteer uw juridische grondslag
Identificeer voor elke verwerkingsactiviteit die in uw register is opgenomen de toepasselijke wettelijke grondslag. Documenteer deze keuze. Als u geen geldige wettelijke grondslag kunt identificeren, moet u deze verwerkingsactiviteit stopzetten.
Stap 4: Voer uw informatieverplichtingen uit
Stel uw privacybeleid op of werk deze bij, evenals de informatieberichten op uw formulieren en de AVG-clausules in uw arbeidsovereenkomsten. Installeer een conforme cookiebanner op uw website als u trackingtechnologieën gebruikt.
Stap 5: Beveilig uw gegevens
Voer een snelle audit uit van uw beveiligingsprocedures: wachtwoorden, bestandstoegang, back-ups en updates. Verhelp eventuele beveiligingslekken. Train uw medewerkers in de beste werkwijzen.
Stap 6: Houd toezicht op uw onderaannemers
Maak een lijst van al uw dienstverleners die namens u gegevens verwerken. Controleer of u met elk van hen een gegevensverwerkingsovereenkomst hebt gesloten die voldoet aan artikel 28 van de AVG.
Stap 7: Stel een procedure voor het beheer van rechten en schendingen op.
Maak een speciaal e-mailadres aan voor GDPR-verzoeken. Houd een logboek bij van ontvangen verzoeken en de gegeven antwoorden. Stel een procedure voor het melden van datalekken op: u heeft 72 uur de tijd om de CNIL (Franse Autoriteit voor Gegevensbescherming) op de hoogte te stellen en, indien het risico hoog is, de betrokken personen te informeren.
Datalekken en boetes: wat u werkelijk riskeert
Melding van datalekken (Art. 33-34)
In geval van een datalek (hacking, verlies van een computer, het versturen van een e-mail naar de verkeerde persoon, ongeautoriseerde toegang tot uw klantenbestand) bent u verplicht de CNIL (Franse Autoriteit voor Gegevensbescherming) binnen 72 uur na ontdekking van het incident op de hoogte te stellen. Als het datalek een groot risico voor de betrokken personen met zich meebrengt, moet u hen ook rechtstreeks informeren.
De melding wordt gedaan via het CNIL-portaal (notifications.cnil.frOok als u niet zeker bent van de ernst van het incident, is het raadzaam om uw analyse te melden en te documenteren.
De sancties: twee niveaus van boetes.
De AVG voorziet in een sanctiestelsel met twee niveaus:
Niveau 1 (art. 83.4): Een boete tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor technische tekortkomingen (ontbrekend register, late melding, het niet uitvoeren van een gegevensbeschermingseffectbeoordeling).
Niveau 2 (art. 83.5): tot 20 miljoen euro of 4% van de wereldwijde jaaromzet voor schendingen van grondrechten, toestemming of internationale overdrachten.
De realiteit van sancties voor zeer kleine en kleine bedrijven
Hoge boetes halen de krantenkoppen, maar de statistische realiteit treft ook kleine bedrijven. In 2025 legde de CNIL (Franse Autoriteit voor Gegevensbescherming) 83 sancties op met een totale waarde van € 486,8 miljoen, waarvan meer dan 60% gericht was tegen het mkb. In 2026 waren bijna alle eerste 23 sancties die via vereenvoudigde procedures werden opgelegd gericht tegen zeer kleine bedrijven, medische praktijken en advocatenkantoren.
De vereenvoudigde procedure, die in 2022 is ingevoerd, stelt de CNIL (Franse Autoriteit voor Gegevensbescherming) in staat om veelvoorkomende overtredingen snel te bestraffen met boetes tot € 20.000, zonder openbare hoorzitting. Voor een bedrijf met vijf medewerkers vertegenwoordigt € 10.000 vaak de winstmarge van een heel kwartaal.
De meest voorkomende overtredingen waarvoor sancties worden opgelegd bij zeer kleine en kleine bedrijven:
Dit laatste punt verdient bijzondere aandacht: zwijgen tegenover de CNIL vormt een zelfstandige overtreding zoals bedoeld in artikel 31 van de AVG, en het is vaak dit dat een ogenschijnlijk onbeduidende zaak tot een verzwaarde sanctie kan leiden.
Veelgestelde vragen: Uw vragen over de AVG
Mijn bedrijf heeft minder dan 10 werknemers, val ik dan echt onder de AVG?
Ja, zonder uitzondering. De AVG is van toepassing op elke organisatie die persoonsgegevens verwerkt, ongeacht de omvang. Zodra u een klantendatabase beheert, werknemers in dienst hebt of een contactformulier op uw website gebruikt, bent u onderworpen aan de AVG. De vereenvoudigde procedure van de CNIL is specifiek ontworpen voor kleine bedrijven, en de regelgeving van 2026 betreft voornamelijk zeer kleine bedrijven en zelfstandigen.
Moet ik een functionaris voor gegevensbescherming (DPO) aanstellen?
Nee, behalve in de gevallen die de AVG voorschrijft. Het aanstellen van een functionaris voor gegevensbescherming (DPO) is alleen verplicht voor overheidsinstanties, instanties die op grote schaal gevoelige gegevens verwerken, of instanties waarvan de hoofdactiviteit bestaat uit het systematisch en uitgebreid monitoren van personen. Het is echter sterk aan te raden om, zelfs informeel, een interne contactpersoon voor de AVG aan te wijzen.
Hoe lang moet ik de gegevens van mijn klanten bewaren?
Er bestaat geen universele bewaartermijn: deze hangt af van het doel van de verwerking. Voor bedrijfsbeheer adviseert de CNIL (Franse Autoriteit voor Gegevensbescherming) om de gegevens van actieve klanten te bewaren gedurende de looptijd van de zakelijke relatie en vervolgens drie jaar voor marketingdoeleinden na afloop van die relatie. Facturen moeten 10 jaar bewaard worden om boekhoudkundige en fiscale redenen. De gegevens van niet-geslaagde kandidaten mogen niet langer dan twee jaar bewaard worden. Leg deze bewaartermijnen vast in uw administratie.
Wat moet ik doen als ik een verwijderingsverzoek van een klant ontvang?
U moet binnen een maand reageren. Als het verzoek gegrond is (de klant trekt zijn toestemming in, de gegevens zijn niet langer nodig), moet u de gegevens uit uw actieve bestanden verwijderen. Let op: als u wettelijk verplicht bent gegevens te bewaren (bijvoorbeeld facturen moeten 10 jaar bewaard worden), kunt u weigeren dat deel van de gegevens te verwijderen, maar u moet de klant hierover duidelijk informeren. Documenteer uw reactie altijd.
Om te voldoen aan de AVG (Algemene Verordening Gegevensbescherming) is het essentieel om de gegevens van uw klanten, potentiële klanten en teams te centraliseren en te beveiligen. Djaboo, de alles-in-één CRM-software speciaal ontworpen voor Franse mkb-bedrijven, helpt u bij het organiseren van uw klantrelaties, facturering en projecten op één veilige plek, met gecontroleerde toegang en eenvoudige gegevenstraceerbaarheid. Ga voor meer informatie naar [djaboo.com](https://djaboo.com).
