Vraag 1 van 5
AVG-checklist
De AVG-checklist: 15 punten
Dit zijn de onderdelen die de AVG van vrijwel elke organisatie vraagt, van eenmanszaak tot zorginstelling. Loop ze één voor één langs: waar je twijfelt, zit meestal een gat.
Wettelijke grondslag
Verwerk persoonsgegevens alleen met een geldige reden: een overeenkomst, toestemming, een wettelijke plicht of een gerechtvaardigd belang. Leg per verwerking vast welke grondslag je gebruikt.
Waarom: Zonder grondslag is de verwerking onrechtmatig, hoe netjes je verder ook werkt.
Dataminimalisatie
Vraag alleen de gegevens die je echt nodig hebt voor je doel. Velden die je "voor de zekerheid" uitvraagt, horen er niet in.
Waarom: Elk overbodig gegeven is extra risico bij een datalek.
Doelbinding
Gebruik gegevens alleen voor het doel waarvoor je ze hebt verzameld. Wil je ze ergens anders voor inzetten, toets dan eerst of dat mag.
Waarom: Hergebruik voor een nieuw doel, zoals een mailing, is een van de meest gemaakte fouten.
Bewaartermijnen en verwijderen
Leg per soort gegeven vast hoe lang je het bewaart. Daarna verwijder of anonimiseer je het, ook als niemand erom vraagt.
Waarom: Oude data in je CRM of mailbox is een risico dat niets oplevert. Alle termijnen op een rij.
Beveiliging
Neem passende technische en organisatorische maatregelen: sterke wachtwoorden en MFA, versleuteling, toegangsbeheer en accounts intrekken bij vertrek.
Waarom: Onvoldoende beveiliging is een van de meest beboete AVG-overtredingen.
Juiste en actuele gegevens
Zorg dat de gegevens die je hebt kloppen, en pas ze aan als er iets verandert.
Waarom: Verouderde gegevens leiden tot fouten en soms tot schade bij de betrokkene.
Datalekken melden
Meld een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, en bij een hoog risico ook aan de betrokkenen. Houd een datalekprotocol en een incidentenregister bij.
Waarom: Te laat melden is een aparte overtreding, bovenop het lek zelf.
Privacyverklaring
Informeer mensen in begrijpelijke taal over wat je met hun gegevens doet. Zorg dat de verklaring actueel en makkelijk te vinden is.
Waarom: Transparantie is verplicht, en een onleesbare verklaring telt niet als transparant.
Rechten van betrokkenen
Mensen mogen hun gegevens inzien, laten corrigeren, laten verwijderen of bezwaar maken. Je reageert binnen een maand.
Waarom: Zonder vaste werkwijze weet niemand waar de gegevens staan als er een verzoek binnenkomt.
Verwerkingsregister en documentatie
Leg vast welke persoonsgegevens je verwerkt, waarom, van wie en hoe lang. Vul dat aan met je beleid en afspraken.
Waarom: De AVG vraagt dat je naleving kunt aantonen. Wat niet op papier staat, kun je bij een controle niet laten zien.
Verwerkersovereenkomst
Sluit een verwerkersovereenkomst met elke partij die persoonsgegevens voor jou verwerkt, zoals je IT-partner, boekhoudpakket of mailtool.
Waarom: Ook als het bij een leverancier misgaat, blijf jij verantwoordelijk.
Doorgifte buiten de EU
Weet waar de servers van je software staan. Bij doorgifte buiten de EU heb je een passende waarborg nodig, zoals het Data Privacy Framework of modelcontractbepalingen.
Waarom: Veel gratis tools slaan data op in de VS zonder dat je het merkt.
Profiling en geautomatiseerde besluiten
Maak je automatisch profielen of neem je beslissingen zonder menselijke tussenkomst? Leg dat uit, en geef mensen de mogelijkheid om bezwaar te maken.
Waarom: Hier raak je direct aan de privacy van mensen, en de regels zijn strenger.
DPIA
Voer een DPIA (privacyrisicoanalyse) uit voordat je een verwerking met een hoog risico start, zoals cameratoezicht, monitoring van medewerkers of biometrie.
Waarom: Een DPIA die ontbreekt terwijl hij verplicht is, is op zichzelf al een overtreding.
Functionaris Gegevensbescherming
Check of je een FG moet aanstellen. Voor overheden is dat altijd verplicht, en ook voor organisaties die op grote schaal gevoelige gegevens verwerken of mensen volgen.
Waarom: Ben je verplicht en heb je geen FG, dan ontbreekt het interne toezicht dat de wet eist.
De uitgebreide checklist als PDF
Dezelfde 15 punten, per punt aangevuld met een praktijkvoorbeeld uit het mkb en concrete vervolgstappen. Handig om intern door te lopen of af te vinken met je team.
AVG-checklist website
Is je website AVG-proof? 8 punten
Je website is vaak het eerste wat een toezichthouder, klant of concurrent van je privacy ziet. Deze punten kun je in een kwartier zelf nalopen.
- Privacyverklaring staat in de footer van elke pagina en noemt wie je bent, welke gegevens je verzamelt, waarom, hoe lang, met wie je ze deelt en welke rechten bezoekers hebben.
- Cookiebanner vraagt toestemming voordat er tracking- of marketingcookies worden geplaatst, en weigeren is net zo makkelijk als accepteren.
- Analytics is privacyvriendelijk ingesteld (IP-anonimisering, geen gegevens delen) of draait pas na toestemming.
- Formulieren vragen alleen wat nodig is, en de aanvinkvakjes voor nieuwsbrief of marketing staan standaard uit.
- Verbinding loopt op elke pagina via https, ook bij formulieren.
- Ingesloten content zoals YouTube, Google Maps en social-media-knoppen laadt pas na toestemming, of gebruikt de privacyvriendelijke variant.
- Leveranciers achter je website (hosting, formulierentool, chat, CRM) hebben een verwerkersovereenkomst met je, en je weet waar hun servers staan.
- Inzendingen uit formulieren blijven niet eindeloos in je mailbox of CMS staan, en je hebt er een bewaartermijn voor.
AVG-audit
AVG-audit: zelf doen of laten doen?
Er zijn drie manieren om je AVG-naleving te controleren. Welke past, hangt af van je organisatie, je budget en hoeveel zekerheid je zoekt.
Deze check + checklist
Snel een eerste beeld van waar je staat. Goed startpunt, maar geen bewijs richting AP of auditor.
RealCob software
Doorlopende controle van elke verplichting, automatisch gegenereerde documenten en aantoonbaar bewijs. Binnen 3 uur een volledig beeld.
Externe audit
Grondig, maar een momentopname: een rapport dat veroudert vanaf de dag dat het wordt opgeleverd.
Veelgestelde vragen
Over de AVG-check en checklist
Is deze check echt gratis?
Ja. Geen account, geen creditcard, geen verplichtingen. Je ziet je resultaat direct op het scherm.
Is het resultaat een officiële beoordeling?
Nee, het is een eerste indicatie. Voor een volledige, aantoonbare controle van elke AVG- en NIS2-verplichting gebruik je de RealCob-software.
Wat is het verschil tussen de AVG-check en de AVG-checklist?
De check bestaat uit vijf vragen die je in een minuut beantwoordt en geeft je een score. De checklist loopt alle 15 onderdelen van de AVG langs. Begin met de check om te zien waar je staat, en gebruik de checklist om de gaten te dichten.
Kan ik mijn bedrijf AVG-proof maken zonder juridische kennis?
Ja. De meeste verplichtingen zijn praktisch: een verwerkingsregister, een datalekprotocol, verwerkersovereenkomsten en een actuele privacyverklaring. RealCob stelt je ja/nee-vragen in gewone taal en maakt de documenten op basis van je antwoorden. Een jurist heb je pas nodig bij echte twijfelgevallen.
Moet ik een AVG-audit laten doen?
Een externe audit is niet verplicht. De AVG verplicht je wel om aan te tonen dat je aan de regels voldoet. Dat kan met een audit (een momentopname), of doorlopend met eigen documentatie en controles.
Hoe vaak moet ik mijn AVG-naleving controleren?
Minimaal één keer per jaar, en daarnaast bij elke verandering: nieuwe software, een nieuwe leverancier, een nieuwe manier van werken of een datalek.
Wat gebeurt er met mijn antwoorden?
De check zelf draait volledig in je browser. Alleen als je daarna de checklist aanvraagt, versturen we je naam, e-mailadres en score naar RealCob, volgens ons privacybeleid.
Weet binnen 3 uur écht waar je staat.
De check geeft een eerste beeld. RealCob controleert elke verplichting, genereert je documenten en maakt het aantoonbaar.