Privacy by design in het mkb: wat eist artikel 25 AVG en hoe past u het toe?

Gepubliceerd op 28 oktober 2025 · Laatst bijgewerkt op 14 oktober 2026

Privacy by design betekent dat u gegevensbescherming al bij het ontwerp van een systeem, proces of dienst inbouwt; artikel 25 AVG verplicht iedere verwerkingsverantwoordelijke daartoe, ook een eenmanszaak. Welke maatregelen nodig zijn, hangt wel af van de stand van de techniek, de kosten en de risico’s van de verwerking, zodat een klein bedrijf met weinig gevoelige gegevens met eenvoudiger maatregelen kan volstaan.

Hieronder leest u wat de verplichting inhoudt, waar het mkb in de praktijk op vastloopt en welke maatregelen u concreet kunt nemen. Voor de bredere regels zie ook ons overzicht van de privacywetgeving in Nederland.

Wat verplicht artikel 25 AVG precies?

Artikel 25 lid 1 AVG verplicht u om bij het bepalen van de verwerking en tijdens de verwerking passende technische en organisatorische maatregelen te nemen, zoals pseudonimisering en dataminimalisatie. Artikel 25 lid 2 voegt daar privacy by default aan toe: standaard worden alleen de gegevens verwerkt die voor het doel nodig zijn.

De maatregelen moeten de beginselen van artikel 5 AVG waarmaken: rechtmatigheid, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking en beveiliging. U moet bovendien kunnen aantonen dat u dat doet (verantwoordingsplicht, art. 5 lid 2 AVG). Leg uw keuzes daarom schriftelijk vast.

Wat riskeert u als u het niet doet?

Een schending van artikel 25 AVG kan de Autoriteit Persoonsgegevens beboeten met maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet (art. 83 lid 4 AVG). Gaat het ook om de basisbeginselen of de grondslag (art. 5 en 6 AVG), dan loopt het maximum op tot 20 miljoen euro of 4% (art. 83 lid 5 AVG).

Daarnaast kunnen betrokkenen schadevergoeding vorderen (art. 82 AVG). In de praktijk speelt het ontbreken van privacy by design vooral een rol na een datalek: dan beoordeelt de AP of de beveiliging (art. 32 AVG) en het ontwerp passend waren.

Waar lopen kleine en middelgrote ondernemingen tegenaan?

De meeste knelpunten zijn praktisch: niemand weet precies welke gegevens waar staan, en bestaande software is niet met privacy als uitgangspunt gebouwd. Dat lost u op met een overzicht en een vaste verantwoordelijke, niet met dure systemen.

• Geen overzicht van gegevensstromen: klantgegevens zitten in het CRM, de mailbox, de boekhouding en losse spreadsheets.
• Software van leveranciers verzamelt standaard meer gegevens dan nodig, bijvoorbeeld via analytics of tracking.
• Niemand is verantwoordelijk voor privacy, waardoor vragen en incidenten blijven liggen.
• Medewerkers zien privacy als een IT-zaak, terwijl het om dagelijks handelen gaat.

Een functionaris gegevensbescherming is voor de meeste mkb-bedrijven niet verplicht; dat is pas zo bij grootschalige monitoring of grootschalige verwerking van bijzondere gegevens (art. 37 AVG). Lees daarover meer in ons artikel wanneer is een functionaris gegevensbescherming verplicht? Wijs wel intern iemand aan die privacy coördineert.

Welke maatregelen neemt u als mkb concreet?

Verzamel alleen wat u nodig heeft

Dataminimalisatie (art. 5 lid 1 sub c AVG) betekent dat u per gegeven kunt uitleggen waarvoor u het nodig heeft. Een burgerservicenummer mag u bovendien alleen gebruiken als een wet dat toestaat (art. 46 UAVG), bijvoorbeeld voor de loonadministratie.

• Loop elk formulier en elk systeem na en schrap velden zonder doel.
• Beperk toegang per functie: wie de gegevens niet nodig heeft, ziet ze niet.
• Leg per verwerking het doel en de grondslag vast.

Beveilig passend

Artikel 32 AVG vraagt een beveiligingsniveau dat past bij het risico. Voor het mkb gaat het in de eerste plaats om basismaatregelen die weinig kosten.

• Tweefactorauthenticatie op e-mail, CRM en boekhouding.
• Versleuteling van laptops en telefoons, en versleutelde back-ups.
• Unieke accounts per medewerker en direct afsluiten bij vertrek.
• Tijdige updates en een vast proces voor het melden van datalekken.

Een datalek met risico voor betrokkenen meldt u binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33 AVG). Valt uw bedrijf onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, dan gelden daarnaast eigen zorg- en meldplichten.

Pseudonimiseer en stel bewaartermijnen vast

Pseudonimisering vervangt namen door een code; de gegevens blijven persoonsgegevens, maar het risico daalt. Echt geanonimiseerde gegevens vallen buiten de AVG, maar volledige anonimisering is lastiger dan vaak gedacht.

De AVG noemt geen vaste bewaartermijnen; u bewaart niet langer dan nodig (art. 5 lid 1 sub e AVG). Wel gelden wettelijke plichten, zoals de fiscale bewaarplicht van zeven jaar voor de administratie (art. 52 AWR en art. 2:10 BW). Leg per categorie een termijn vast en verwijder daarna automatisch waar dat kan.

Kies privacyvriendelijke standaardinstellingen

Privacy by default betekent dat de gebruiker niets hoeft te doen om beschermd te zijn. Vooraf aangevinkte vakjes leveren geen geldige toestemming op, zo oordeelde het Hof van Justitie in de zaak Planet49 (HvJ EU 1 oktober 2019, C-673/17).

Toestemming is maar een van de zes grondslagen van artikel 6 AVG; voor de uitvoering van een overeenkomst of een wettelijke plicht is geen toestemming nodig. Voor elektronische marketing en niet-noodzakelijke cookies eist de Telecommunicatiewet wel toestemming (art. 11.7 en 11.7a Tw), met een uitzondering voor e-mail aan bestaande klanten over eigen, vergelijkbare producten. Meer hierover leest u in AVG en cookies.

Voer een DPIA uit bij hoog risico

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico oplevert (art. 35 AVG). De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd nodig is, zoals cameratoezicht op werknemers en grootschalige profilering.

Een DPIA beschrijft de verwerking, toetst de noodzaak, beoordeelt de risico’s en legt de maatregelen vast. Hoe u dit combineert met het verwerkingsregister, leest u in ons artikel over verwerkingsregister, DPIA en datalek.

Hoe regelt u privacy by design met leveranciers?

U blijft als verwerkingsverantwoordelijke aansprakelijk, ook als een leverancier de software levert of de gegevens host. Sluit daarom met iedere verwerker een verwerkersovereenkomst die voldoet aan artikel 28 AVG.

• Eis bij inkoop dat de software privacyvriendelijke standaardinstellingen heeft.
• Leg beveiligingsmaatregelen, meldtermijnen voor datalekken en subverwerkers vast.
• Controleer of gegevens buiten de EER worden verwerkt en op welke grondslag (art. 44-49 AVG).
• Spreek af dat gegevens na afloop worden teruggegeven of verwijderd.

Hoe houdt u het bij?

Privacy by design geldt ook “tijdens de verwerking” (art. 25 lid 1 AVG). Elke nieuwe tool of nieuw proces vraagt daarom een korte toets: welke gegevens, welk doel, welke grondslag en welke beveiliging.

Het verwerkingsregister (art. 30 AVG) is daarbij uw basis. De uitzondering voor organisaties met minder dan 250 werknemers geldt alleen bij incidentele verwerkingen zonder bijzondere gegevens, en loonadministratie en klantbestanden zijn niet incidenteel; in de praktijk heeft vrijwel ieder mkb-bedrijf dus een register nodig. Een jaarlijkse controle en een korte instructie voor medewerkers houden het geheel actueel.

Wat kunnen wij voor u doen bij privacy by design?

• Uw verwerkingen en verwerkingsregister beoordelen op de eisen van artikel 25 en 30 AVG.
• Verwerkersovereenkomsten en inkoopvoorwaarden met IT-leveranciers opstellen en beoordelen.
• Beoordelen of een DPIA verplicht is en u begeleiden bij de uitvoering.
• Uw privacyverklaring en toestemmingsteksten controleren.
• Bijstaan bij een datalekmelding, vragen van de AP of een handhavingstraject, via onze ondernemingsrecht advocaat.

Samengevat

• Artikel 25 AVG verplicht iedere organisatie tot privacy by design en privacy by default.
• De maatregelen mogen passen bij omvang, kosten en risico, maar u moet ze kunnen aantonen.
• Overtreding van artikel 25 kan een boete tot 10 miljoen euro of 2% van de omzet opleveren.
• Begin met een register, dataminimalisatie, basisbeveiliging en verwerkersovereenkomsten.
• Een DPIA is verplicht bij verwerkingen met een hoog risico (art. 35 AVG).

Veelgestelde vragen

Geldt privacy by design ook voor een zzp’er of eenmanszaak?

Ja, artikel 25 AVG geldt voor iedere verwerkingsverantwoordelijke, ongeacht de omvang. De omvang telt wel mee bij de vraag welke maatregelen passend zijn.

Moet een klein bedrijf een verwerkingsregister bijhouden?

Meestal wel. De uitzondering van artikel 30 lid 5 AVG geldt alleen bij incidentele verwerkingen zonder bijzondere of strafrechtelijke gegevens, en vrijwel elk bedrijf verwerkt structureel klant- of personeelsgegevens.

Is toestemming altijd nodig voor het verwerken van klantgegevens?

Nee, toestemming is een van de zes grondslagen van artikel 6 AVG. Voor het uitvoeren van een overeenkomst of een wettelijke plicht heeft u geen toestemming nodig; voor nieuwsbrieven en tracking cookies meestal wel.

Hoe lang mag ik klantgegevens bewaren?

Niet langer dan nodig voor het doel (art. 5 lid 1 sub e AVG). Voor de administratie geldt een fiscale bewaarplicht van zeven jaar; gegevens die alleen voor marketing dienen, verwijdert u eerder.