Verwerkingsregister, DPIA en datalek: welke AVG-plichten vergeten mkb-bedrijven vaak?

Gepubliceerd op 27 december 2025 · Laatst bijgewerkt op 14 oktober 2026

Bijna elk mkb-bedrijf moet een verwerkingsregister bijhouden (artikel 30 AVG), een DPIA uitvoeren vóór een verwerking met een waarschijnlijk hoog risico (artikel 35 AVG) en een datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens (artikel 33 AVG). De uitzondering voor organisaties met minder dan 250 werknemers op het verwerkingsregister geldt alleen als u gegevens incidenteel verwerkt, en loonadministratie of een klantenbestand is dat nooit.

Geldt de AVG ook voor kleine bedrijven?

Ja. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt, ook voor een zzp’er met een klantenbestand of een bedrijf met drie werknemers. Een factuur met een naam, een nieuwsbrief of een personeelsdossier is al een verwerking.

Volgens de verantwoordingsplicht van artikel 5 lid 2 AVG moet u kunnen aantonen dat u de regels naleeft. In de praktijk betekent dat een set documenten die u op verzoek van de AP kunt tonen:

• een verwerkingsregister (artikel 30 AVG);
• een privacyverklaring (artikelen 13 en 14 AVG);
• verwerkersovereenkomsten met dienstverleners (artikel 28 AVG);
• een beschrijving van uw beveiligingsmaatregelen (artikel 32 AVG);
• een intern overzicht van alle datalekken (artikel 33 lid 5 AVG);
• uitgevoerde DPIA’s, als die nodig waren (artikel 35 AVG).

Werkt u zelf voor andere bedrijven met hun gegevens, dan heeft u eigen plichten als verwerker; zie ons artikel over de verplichtingen van een verwerker.

Moet u een verwerkingsregister bijhouden?

In bijna alle gevallen wel. Een organisatie met minder dan 250 werknemers is alleen vrijgesteld als de verwerking incidenteel is, geen risico oplevert en geen bijzondere of strafrechtelijke gegevens betreft (artikel 30 lid 5 AVG).

Salarisadministratie, klantenbeheer en een nieuwsbrief zijn structureel en dus niet incidenteel. Per verwerking legt u volgens artikel 30 lid 1 AVG vast:

• naam en contactgegevens van uw organisatie en, als u die heeft, van de functionaris gegevensbescherming;
• het doel van de verwerking;
• de categorieën betrokkenen en persoonsgegevens, zoals klanten met NAW-gegevens of werknemers met loongegevens;
• de categorieën ontvangers, zoals uw boekhouder of hostingpartij;
• doorgifte naar landen buiten de EER;
• waar mogelijk de bewaartermijnen en een algemene beschrijving van de beveiliging.

Een spreadsheet is voldoende, zolang alle onderdelen erin staan en u die bijwerkt bij elk nieuw systeem of nieuwe leverancier. Een actueel register maakt het ook eenvoudiger om binnen één maand te reageren op een inzage- of verwijderingsverzoek (artikel 12 lid 3 AVG).

Wanneer is een DPIA verplicht?

Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de betrokkenen. U voert hem uit voordat u met de verwerking begint.

Artikel 35 lid 3 AVG noemt drie situaties waarin een DPIA in elk geval verplicht is:

1. een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waarop besluiten met rechtsgevolgen zijn gebaseerd, zoals kredietbeoordeling;
2. verwerking op grote schaal van bijzondere persoonsgegevens of strafrechtelijke gegevens;
3. stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten, zoals camerabewaking.

Daarnaast heeft de Autoriteit Persoonsgegevens een lijst gepubliceerd van verwerkingen waarvoor altijd een DPIA nodig is, waaronder stelselmatige monitoring van werknemers. Die lijst is niet uitputtend. Als vuistregel hanteren de Europese toezichthouders dat een DPIA meestal nodig is als twee of meer van negen risicocriteria aanwezig zijn, zoals profilering, gevoelige gegevens, kwetsbare betrokkenen, nieuwe technologie en het koppelen van bestanden.

Wat staat er in een DPIA?

Een DPIA bevat volgens artikel 35 lid 7 AVG ten minste vier onderdelen. Begin vroeg, zodat u de uitkomst nog kunt verwerken in het ontwerp (privacy by design, artikel 25 AVG).

• Een systematische beschrijving van de verwerking en de doeleinden.
• Een beoordeling van noodzaak en evenredigheid: kan het met minder gegevens?
• Een beoordeling van de risico’s voor de betrokkenen.
• De maatregelen om die risico’s te beperken.

Blijft na de maatregelen een hoog restrisico over, dan moet u de AP vooraf raadplegen (artikel 36 AVG). Werk de DPIA bij als de verwerking verandert.

Wat doet u bij een datalek?

U meldt een datalek binnen 72 uur nadat u ervan kennis heeft genomen bij de AP, tenzij het waarschijnlijk geen risico oplevert voor de betrokkenen (artikel 33 lid 1 AVG). Bij een hoog risico informeert u ook de betrokkenen zelf, zonder onnodige vertraging (artikel 34 AVG).

Een datalek is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Voorbeelden zijn een e-mail met klantgegevens naar de verkeerde ontvanger, een gestolen laptop zonder versleuteling, een ransomware-aanval of een kwijtgeraakte usb-stick met personeelsgegevens. Meer over de meldplicht leest u in ons artikel over wanneer u een datalek moet melden.

1. Beperk de schade: trek toegang in, vraag de ontvanger de e-mail te verwijderen, wijzig wachtwoorden.
2. Beoordeel het risico: welke gegevens (BSN, medische of financiële gegevens), hoeveel mensen, waren de gegevens versleuteld?
3. Meld binnen 72 uur via het meldformulier op de website van de AP; aanvullen kan later.
4. Informeer de betrokkenen bij een hoog risico, in duidelijke taal en met tips om schade te beperken.
5. Leg elk datalek vast in uw interne overzicht, ook als u het niet hoeft te melden (artikel 33 lid 5 AVG).

Ontdekt een verwerker, zoals uw IT-leverancier, het lek, dan moet hij u zonder onredelijke vertraging informeren (artikel 33 lid 2 AVG); leg daarvoor een termijn vast in de verwerkersovereenkomst. Valt uw bedrijf onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, dan kan daarnaast een aparte meldplicht voor incidenten gelden. Zie ook ons artikel over cyberincidenten in het mkb.

Wat zijn de gevolgen van niet melden?

Voor schending van de meldplicht kan de AP een boete opleggen tot € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is (artikel 83 lid 4 AVG). Betrokkenen kunnen daarnaast schadevergoeding vorderen (artikel 82 AVG).

Het Hof van Justitie van de EU oordeelde dat voor immateriële schade geen ernstdrempel geldt, maar dat de betrokkene wel moet aantonen dat hij schade heeft geleden (HvJ EU 4 mei 2023, C-300/21, Österreichische Post). Meer over aansprakelijkheid leest u in onze artikelen over aansprakelijkheid bij datalekken en over een datalek bij uw leverancier of accountant.

Welke beveiliging is passend?

U moet technische en organisatorische maatregelen nemen die passen bij het risico (artikel 32 AVG). Bij medische of financiële gegevens zijn zwaardere maatregelen nodig dan bij een mailinglijst.

• Tweestapsverificatie, versleutelde laptops en tijdige software-updates.
• Toegang per functie: medewerkers zien alleen de gegevens die zij nodig hebben.
• Accounts direct blokkeren bij uitdiensttreding.
• Periodieke training over phishing en het versturen van e-mail met persoonsgegevens.
• Een verwerkersovereenkomst met elke partij die gegevens voor u verwerkt, zoals boekhouder, hostingpartij en CRM-leverancier (artikel 28 AVG).

Hoe informeert u klanten en werknemers?

U informeert betrokkenen op het moment dat u de gegevens verzamelt, meestal met een privacyverklaring (artikel 13 AVG). Die moet in begrijpelijke taal en makkelijk vindbaar zijn.

Daarin staan onder meer uw identiteit, de doelen en grondslagen, de ontvangers, de bewaartermijnen, de rechten van betrokkenen en het recht om te klagen bij de AP. Een opzet vindt u in ons artikel met een voorbeeld privacybeleid. Verzoeken om inzage, rectificatie of verwijdering beantwoordt u binnen één maand; bij complexe verzoeken kan dat met twee maanden worden verlengd (artikel 12 lid 3 AVG). Voor personeelsgegevens gelden daarnaast wettelijke bewaartermijnen; zie ons artikel over het bewaren van personeelsdossiers.

Wat kunnen wij voor u doen bij AVG-naleving?

• Uw verwerkingsregister en privacyverklaring beoordelen en aanvullen.
• Beoordelen of een DPIA nodig is en u begeleiden bij de uitvoering.
• Verwerkersovereenkomsten opstellen en onderhandelen met leveranciers.
• Bij een datalek binnen 72 uur beoordelen of melding nodig is en de melding opstellen.
• U bijstaan bij een onderzoek van de AP of een schadeclaim; meer op onze pagina ICT-recht advocaat.

Samengevat

• Ook kleine bedrijven moeten vrijwel altijd een verwerkingsregister hebben (artikel 30 AVG).
• Een DPIA is verplicht bij een waarschijnlijk hoog risico, in elk geval in de drie situaties van artikel 35 lid 3 AVG en bij verwerkingen op de AP-lijst.
• Een datalek meldt u binnen 72 uur bij de AP, tenzij er waarschijnlijk geen risico is; elk lek legt u intern vast.
• Met elke dienstverlener die gegevens voor u verwerkt sluit u een verwerkersovereenkomst.
• Verzoeken van betrokkenen beantwoordt u binnen één maand.

Veelgestelde vragen

Ben ik als zzp’er vrijgesteld van het verwerkingsregister?

Meestal niet. De vrijstelling geldt alleen voor incidentele verwerkingen zonder risico en zonder bijzondere gegevens (artikel 30 lid 5 AVG). Een vaste klantenadministratie is niet incidenteel.

Moet ik een e-mail aan de verkeerde ontvanger altijd melden?

Niet altijd. Als de gegevens weinig gevoelig zijn en de ontvanger de e-mail aantoonbaar heeft verwijderd, is het risico vaak klein. U legt het lek wel vast in uw interne overzicht (artikel 33 lid 5 AVG).

Heb ik een functionaris gegevensbescherming nodig?

Alleen als u een overheidsinstantie bent, of als uw kernactiviteit bestaat uit grootschalige monitoring of grootschalige verwerking van bijzondere gegevens (artikel 37 AVG). Voor de meeste mkb-bedrijven is dat niet zo.

Wanneer begint de termijn van 72 uur?

Op het moment dat u redelijk zeker weet dat er een inbreuk is waarbij persoonsgegevens betrokken zijn. Een korte eerste beoordeling mag, maar wacht niet tot het onderzoek volledig is afgerond.

Lees ook: privacywetgeving in Nederland en vertrouwelijkheid in een dienstverleningsovereenkomst.