Question 1

Valt mijn bedrijf onder NIS2 of niet?

Accepted Answer

1. Check de sector. Energie, transport, drinkwater, afvalwater, bankwezen, financiele markten, zorg, overheid, post, digitale infrastructuur, ICT-beheerdiensten, ruimtevaart, voedselproductie en -distributie, chemie, productie van kritieke goederen, digitale aanbieders en onderzoek staan in bijlagen I en II van de richtlijn.
2. Tel je medewerkers en omzet. Onder de drempel van 50 fte of 10 miljoen euro omzet val je niet rechtstreeks, tenzij je als enige in NL die dienst levert.
3. Werk je voor een klant die er wel onder valt? Dan komt NIS2 indirect via hun leveranciersmanagement op je af, contractueel.
4. Twijfel? RDI heeft een NIS2-zelfevaluatie online staan, dat is de officiele bron. Doe die eerst, dan weet je zeker of je essentiele of belangrijke entiteit bent.
5. Schrijf het antwoord op met datum en bron. Als de wet of jouw omzet verandert, herhaal je deze check.

Wanneer ons inschakelen: 
Onduidelijke sector-classificatie of je levert aan meerdere essentiele entiteiten tegelijk? Dan is een juridische check beter dan zelf gokken.

Question 2

Wat verandert er met de Cyberbeveiligingswet?

Accepted Answer

1. Drie pijlers blijven hetzelfde als NIS2: zorgplicht, meldplicht en bestuursverantwoordelijkheid.
2. Zorgplicht betekent technische en organisatorische maatregelen passend bij het risico, te documenteren in een ISMS-achtige opzet.
3. Meldplicht: significante incidenten binnen het wettelijk kader melden bij CSIRT en de toezichthouder. Termijnen staan in de wettekst, controleer NCSC voor de meest actuele uitwerking.
4. Bestuursverantwoordelijkheid: directie moet bewust beleid voeren, training volgen en kan persoonlijk aansprakelijk worden gesteld. Notuleer dit in een directiebesluit.
5. Volg het wetsvoorstel via tweedekamer.nl en NCSC voor de definitieve datum en lagere regelgeving.

Wanneer ons inschakelen: 
Ben je essentiele entiteit en heb je nog geen ISMS-basis liggen, dan ga je het niet alleen redden. Trek tijdig externe hulp aan.

Question 3

Ben ik als directeur persoonlijk aansprakelijk onder NIS2?

Accepted Answer

1. Beleg cybersecurity expliciet bij een directielid. Niet bij een externe IT-leverancier, ook al doen zij de uitvoering.
2. Volg verplichte training. NIS2 vereist dat bestuurders aantoonbaar kennis hebben van risico-management. NCSC en brancheverenigingen bieden kortlopende cursussen.
3. Notuleer in directievergadering minimaal: het risico-overzicht, de gekozen maatregelen, het budget en wie verantwoordelijk is voor uitvoering.
4. Sluit een bestuurdersaansprakelijkheidsverzekering of check of je huidige polis cybernalatigheid dekt. Niet alle polissen doen dat.
5. Laat een externe partij minstens jaarlijks de maatregelen toetsen. Dat helpt om "redelijk handelen" aan te tonen als het mis gaat.

Wanneer ons inschakelen: 
Bij een actief incident waarbij je merkt dat je geen documentatie hebt om handelen aan te tonen, schakel direct juridische bijstand in.

Question 4

Wat is een verwerkersregister en hoe maak ik er een?

Accepted Answer

1. Open een spreadsheet of gebruik een template van de Autoriteit Persoonsgegevens. Per rij: naam van de verwerking, doel, soorten betrokkenen, soorten gegevens.
2. Voeg de bewaartermijn en de juridische grondslag toe (toestemming, contract, wettelijke plicht, gerechtvaardigd belang).
3. Noteer de ontvangers per verwerking: HR-software, boekhoudpakket, mailprovider, externe partijen. Landen buiten EER apart vermelden.
4. Beschrijf op hoofdlijnen de beveiligingsmaatregelen: MFA, encryptie, toegangsbeheer, back-up.
5. Review elk half jaar of bij elke nieuwe tool. Het register hoeft niet openbaar maar moet op verzoek aan de AP getoond kunnen worden.

Wanneer ons inschakelen: 
Verwerk je bijzondere persoonsgegevens (gezondheid, BSN, biometrie) in meerdere systemen, dan is een DPIA vaak aanvullend nodig. Wij kunnen meekijken bij scope.

Question 5

Moet ik een DPIA uitvoeren?

Accepted Answer

1. Check de DPIA-lijst van de Autoriteit Persoonsgegevens. Staat jouw verwerking erop, dan is een DPIA verplicht.
2. Loop ook de negen criteria uit WP29 langs (evaluatie/scoring, geautomatiseerde beslissing, systematische monitoring, bijzondere gegevens, grote schaal, koppelen van datasets, kwetsbare betrokkenen, innovatieve techniek, blokkerend voor rechten). Twee of meer hits betekent: doe een DPIA.
3. Gebruik een vast format. Beschrijving, noodzakelijkheid, risico-analyse, maatregelen, restrisico. Templates van de AP en van bijvoorbeeld NOREA zijn bruikbaar.
4. Betrek de Functionaris Gegevensbescherming als je er een hebt. Hun advies hoort in het document.
5. Bewaar het document. De DPIA is geen eenmalig stuk, maar een levend dossier dat je bijwerkt bij wijzigingen.

Wanneer ons inschakelen: 
Bij hoog restrisico ondanks maatregelen, moet je voorafgaand raadplegen bij de AP. Dat is geen formaliteit, daar willen we eerst even bij aanschuiven.

Question 6

Moet ik een Functionaris Gegevensbescherming aanstellen?

Accepted Answer

1. Beoordeel de drie wettelijke triggers uit AVG art. 37. Geen van de drie? Dan is een FG niet verplicht, maar wel aanbevolen voor grotere mkb.
2. Een FG mag intern of extern zijn. Eis: onafhankelijk, voldoende kennis, voldoende tijd. Combineren met een functie die zelf over verwerkingen beslist mag niet (privacy officer wel, hoofd IT niet).
3. Meld de FG bij de Autoriteit Persoonsgegevens via hun online formulier. Dat is een wettelijke aanmeldplicht.
4. Geef de FG mandaat: directe lijn naar bestuur, toegang tot alle verwerkingen, geen sancties voor adviezen.
5. Documenteer in welke gevallen de FG geraadpleegd moet worden (DPIA, datalek, nieuwe tools, contracten met verwerkers).

Wanneer ons inschakelen: 
Niet zeker of jullie verwerking "grootschalig" is in de AVG-zin? Dat is een grijs gebied waar de AP zelf casuistiek over publiceert. Wij helpen met de inschatting.

Question 7

Heb ik met deze leverancier een verwerkersovereenkomst nodig?

Accepted Answer

1. Bepaal de rol. Verwerker als ze enkel uitvoeren (cloud-opslag, mailprovider, payroll). Verwerkingsverantwoordelijke als ze zelf doel en middel bepalen (bank, accountant). In de tweede situatie heb je geen verwerkersovereenkomst nodig maar wel duidelijke afspraken.
2. Vraag de leverancier of ze een standaard DPA hebben. Microsoft, Google, AWS, Salesforce hebben een online DPA die je accepteert in het portaal. Print het bewijs.
3. Check of doel, soort gegevens, bewaartermijn, sub-verwerkers en doorgifte buiten EER expliciet staan. Generieke DPA zonder bijlage is niet voldoende.
4. Bij eigen DPA: gebruik het AP-model of een NOREA-template als basis. Zelf schrijven loopt vaker mis dan goed.
5. Archiveer het ondertekende exemplaar in je verwerkersregister bij de betreffende verwerking.

Wanneer ons inschakelen: 
Leverancier weigert een DPA of wil onbeperkt sub-verwerkers inzetten? Dan is dat geen leveranciersprobleem maar een rood vlag. Bel ons voordat je tekent.

Question 8

Geldt de Microsoft DPA als verwerkersovereenkomst?

Accepted Answer

1. Download de actuele versie via het Microsoft 365 admin center > Privacy en gegevens > Data Protection Addendum, of via de Microsoft Trust Center site.
2. Download apart het Products and Services Data Protection Addendum (DPA) en de Data Subject Requests-bijlage. De DPA verwijst naar deze documenten.
3. Sla de PDF op met datum in je compliance-map. Microsoft past het document soms aan, je wilt kunnen bewijzen welke versie ten tijde van een verwerking gold.
4. Noteer in je verwerkersregister: leverancier Microsoft, basis Microsoft DPA, datum download, link naar Trust Center.
5. Voor Google Workspace, AWS, Atlassian, Salesforce, Adobe gaat dit precies zo. Iedere grote SaaS heeft een online DPA.

Wanneer ons inschakelen: 
Bij sectoren met aanvullende eisen (zorg, overheid) volstaat een standaard DPA niet altijd. Dan moet je een Data Processing Agreement met sector-bijlage onderhandelen. Niet zelf doen.

Question 9

Wat doe ik in het eerste uur na een datalek?

Accepted Answer

1. Schrijf alles op vanaf minuut nul. Tijd, melder, signaal, eerste actie. Dit logboek heb je later nodig voor de AP-melding en eventueel verzekering.
2. Containment: isoleer het besmette account of systeem. Reset wachtwoorden, draai sessietokens in, koppel het apparaat los van het netwerk.
3. Bepaal het soort lek. Onbedoelde verzending, gestolen laptop, ransomware, gehackt account, foutief geadresseerde mail. Dat bepaalt de vervolgstappen.
4. Lijst de mogelijk betrokken persoonsgegevens. Welke velden, hoeveel records, welke betrokkenen. Eerste schatting is genoeg, je verfijnt later.
5. Bel je FG of, als die er niet is, je vaste IT-partner. Niet de AP, dat is stap zes pas.

Wanneer ons inschakelen: 
Is er ransomware actief, of zijn duizenden records geraakt, dan stop je met zelf doen. Schakel ons of een andere CSIRT-partner direct in, voordat je verder klikt.

Question 10

Moet ik de betrokkenen informeren over een datalek?

Accepted Answer

1. Beoordeel het risico. Welke gegevens, welke gevolgen, hoeveel personen. Identiteitsfraude, financieel verlies, reputatieschade, discriminatie zijn klassieke hoog-risico signalen.
2. Documenteer waarom je wel of niet informeert. Dit is een eigen beslissing, maar je moet hem kunnen verdedigen tegen de AP.
3. Bij wel informeren: eenvoudige taal, wat is er gelekt, welk risico loop je, wat doe jij eraan, wat kan de betrokkene zelf doen, contactgegevens van de FG of een vraagadres.
4. Stuur via een kanaal dat je hebt: e-mail of brief. Niet alleen een nieuwsbericht op je site, dat is geen rechtstreekse mededeling in de AVG-zin.
5. Houd de communicatie bij in je register, inclusief verzendmoment en aantal ontvangers.

Wanneer ons inschakelen: 
Twijfel je over hoog risico bij medische of financiele gegevens, doe het dan zekerheidshalve. Bij grote groepen (>1000 personen) is communicatie-advies van een specialist verstandig.

Question 11

Hoelang mag ik personeelsdossiers bewaren?

Accepted Answer

1. Salarisadministratie en loonbelastingverklaringen: 7 jaar na einde dienstverband, fiscale bewaarplicht via Belastingdienst.
2. ID-kopie: minimaal 5 jaar na het kalenderjaar waarin het dienstverband eindigde, op grond van de fiscale loonadministratieplicht.
3. Personeelsdossier algemeen (contract, functioneringsverslag, verlof): AP-richtsnoer is circa 2 jaar na einde dienstverband, geen harde wettelijke termijn; langer alleen als er een lopende kwestie is.
4. Sollicitatiegegevens van afgewezen kandidaten: maximaal 4 weken. Met expliciete toestemming voor talentpool maximaal 1 jaar.
5. Werk dit uit per documenttype in een retentieschema. Maak een agendapunt voor periodieke schoning.

Wanneer ons inschakelen: 
Speciale gevallen zoals ziekteverzuim-data, BHV-certificaten of arbeidsongevallen hebben afwijkende termijnen. Vraag bij twijfel je arbodienst of een arbeidsrecht-adviseur.

Question 12

Hoelang mag ik klantdata bewaren?

Accepted Answer

1. Splits per doel. Administratie en facturatie: 7 jaar (fiscaal). Garantie en service: looptijd plus enkele jaren. Marketing: zo kort als verantwoord, vaak 2 tot 3 jaar na laatste interactie.
2. Leg de termijn vast in je verwerkersregister en in je privacyverklaring richting de klant.
3. Configureer automatische schoning waar mogelijk. CRM en mail-platforms hebben retentiefilters; gebruik ze.
4. Anonimiseer waar mogelijk in plaats van bewaren. Een geanonimiseerde dataset valt buiten de AVG.
5. Documenteer een verwijderprocedure inclusief back-ups, anders blijven oude records via je restore-set bestaan.

Wanneer ons inschakelen: 
Bij medische, financiele of strafrechtelijke gegevens gelden strengere regels (NEN 7510, Wft, Wpg). Vraag specialistisch advies, niet zelf gokken.

Question 13

Mag ik klantdata in een Amerikaanse cloud opslaan?

Accepted Answer

1. Check of de leverancier op de DPF-lijst staat (dataprivacyframework.gov). Microsoft, Google, AWS, Salesforce staan er, veel kleinere niet.
2. Wel op de lijst: documenteer in je verwerkersregister "doorgifte op basis van DPF". Dat is voldoende grondslag.
3. Niet op de lijst: gebruik Standard Contractual Clauses van de Europese Commissie (juni 2021 versie of later). Die zitten meestal al in de DPA.
4. Voer een Transfer Impact Assessment uit. Korte versie: welke data, welk land, welke wetten kunnen toegang geven (FISA 702, CLOUD Act), welke aanvullende maatregelen (encryptie, EU-only key management).
5. Bewaar de TIA samen met de DPA. De AP kan ernaar vragen.

Wanneer ons inschakelen: 
Bij bijzondere persoonsgegevens (gezondheid, biometrie) of grote schaal is een TIA niet vanzelfsprekend rond te krijgen. Trek juridisch advies aan.

Question 14

Wij leveren aan banken, raakt DORA ons?

Accepted Answer

1. Bepaal of je klant een financiele entiteit is in de zin van DORA. Bank, verzekeraar, beleggingsonderneming, betaalinstelling, kredietinstelling. Dan komt DORA contractueel via hen.
2. Verwacht een contract-update: incident reporting binnen vaste termijnen, audit-rechten voor de toezichthouder, exit-strategie, doorgifte-eisen.
3. Bouw incident-detectie en -registratie op een niveau dat je binnen uren feiten kunt leveren. SLA-rapportage alleen is meestal te traag.
4. Documenteer concentratie-risico. Als je sub-leveranciers gebruikt voor kernfunctionaliteit, moet je klant dat weten.
5. Bewaar testbewijs. Penetratietests, scenario-tests en business-continuity-oefeningen vraagt je klant op.

Wanneer ons inschakelen: 
Word je aangemerkt als "kritieke ICT-derde-partij" door ESA, dan val je rechtstreeks onder toezicht. Dat is een ander spel; trek juridische en compliance-specialisten aan.

Question 15

EU AI Act, wat raakt mij als mkb?

Accepted Answer

1. Bepaal je rol. Aanbieder (je bouwt of verkoopt een AI-systeem), gebruiksverantwoordelijke (je zet er een in), importeur of distributeur. Verschillende verplichtingen per rol.
2. Beoordeel het risico van het systeem. Verboden, hoog-risico, beperkt risico, minimaal. Lijsten staan in bijlage III van de Act.
3. Voor minimale risico-tools (chatbots, mailassistenten, samenvattingen) volstaat veelal transparantie. Vermeld dat output AI-gegenereerd is.
4. Voor hoog-risico (HR, kredietbeoordeling, kritieke infrastructuur, biometrie) komt er een fors pakket: risicomanagement, datakwaliteit, technische documentatie, logging, menselijk toezicht, robuustheid. Niet zelf te bouwen, vraag de leverancier om hun conformiteitsverklaring.
5. Documenteer welke AI-tools intern in gebruik zijn. Dat register is straks net zo gewoon als het AVG-verwerkersregister.

Wanneer ons inschakelen: 
Bouw je zelf een hoog-risico-systeem of train je een fundamenteel model met >10^25 FLOPs, dan zit je in een ander regime. Trek specialistisch advies aan.

Question 16

Klant vraagt ISO 27001 of NEN 7510, wat is voor ons relevant?

Accepted Answer

1. Vraag de klant welke norm zij echt eisen. Soms staat in een tender ISO 27001 maar ze accepteren een gelijkwaardige norm zoals NEN 7510 of TISAX.
2. Schat de inspanning. Een eerste certificering kost meestal meerdere maanden voorbereiding plus een audit door een geaccrediteerde partij.
3. Begin met een gap-analyse tegen Annex A van ISO 27001:2022 (93 controls, gegroepeerd in 4 thema's) of de NEN 7510-clausules. Daaruit volgt je actielijst.
4. Bouw of koop een ISMS. Documentenstructuur, risico-assessment, statement of applicability, intern audit, management review.
5. Plan minstens 6 maanden tussen "alles staat" en de audit, om bewijs op te bouwen dat het systeem werkt.

Wanneer ons inschakelen: 
Werk je in een hybride zorg-omgeving (medtech, e-health, GGD-koppelingen) dan is een combinatie van NEN 7510 en NEN 7512 vaak nodig. Bel ons voor de scoping voor je een auditor inhuurt.

Question 17

Kan ISO 27001 ook lichter voor een klein bedrijf?

Accepted Answer

1. Snijd de scope. Niet de hele BV, maar de dienst die je aan de klant levert. Een gerichte scope is sneller te certificeren en goedkoper.
2. Gebruik bestaande documenten. Je personeelshandboek, AVG-register, leveranciers-DPA en back-up-procedures vullen al meerdere controls.
3. Kies een aanpak die past. Onboarding-tools zoals ISO-templates, of een light-implementatie via een externe consultant. Meeste mkb komt zo door.
4. Run de PDCA een keer voor de audit. Als de cyclus papier blijft, valt de auditor erop.
5. Plan de externe audit pas als je intern minimaal 1 audit-ronde hebt afgerond met bevindingen die je hebt opgevolgd.

Wanneer ons inschakelen: 
Eis voor "ISO 27001:2022 inclusief Annex A volledig" en je hebt onder 10 mensen, dan is een gespecialiseerde MKB-aanpak veel sneller. Wij kunnen partijen aanwijzen.

Question 18

E-facturatie wordt verplicht, wat moet ik nu regelen?

Accepted Answer

1. Begrijp het verschil. PDF in de mail is geen e-factuur. E-factuur is een gestructureerd formaat (UBL of Peppol BIS), machineleesbaar.
2. Check je boekhoudpakket. Exact, AFAS, Twinfield, Moneybird, e-Boekhouden, Yuki, hebben allemaal Peppol-koppelingen of leveren UBL-export.
3. Sluit aan op het Peppol-netwerk via een access point. Veel boekhoudpakketten hebben dat ingebouwd; anders kies je een access point provider apart.
4. Test eerst met een ontvangende klant of met een testendpoint van je access point. Format-fouten in de eerste echte factuur kosten tijd.
5. Plan je intake van inkomende e-facturen. Niet alleen verzenden, ook automatisch ontvangen en boeken.

Wanneer ons inschakelen: 
Lever je aan grote retailers, zorgverzekeraars of overheid en je bent nog niet aangesloten? Dat heeft urgentie nu, niet pas bij de verplichting. Wij helpen met de access-point-keuze.

Question 19

Wat is het verschil tussen UBL en Peppol BIS?

Accepted Answer

1. UBL (Universal Business Language) staat voor de structuur van het bericht: regels per factuur, btw-codes, betaalcondities.
2. Peppol BIS is een specifieke UBL-variant met extra eisen voor uniformiteit op het Peppol-netwerk. Niet elke UBL is een geldige Peppol-factuur.
3. Het Peppol-netwerk koppelt verzenders en ontvangers via access points (vergelijk WhatsApp-servers tussen telefoons). Jij hoeft het adres van je klant niet te kennen, alleen hun Peppol-ID.
4. Voor de overheid in NL is e-facturatie via Peppol of Digipoort verplicht. Voor B2B groeit Peppol als standaard.
5. Vraag je leverancier of de tool "Peppol BIS Billing 3.0" ondersteunt. Dat is de huidige internationale norm.

Wanneer ons inschakelen: 
Heb je niet-standaard factuurregels (split-payment, factuurkortingen, recurring met variabele kosten) en de Peppol-koppeling weigert ze, dan is dat geen blokkerende fout maar een schemaprobleem. Wij helpen mappen.

Question 20

Welke cookiebanner is AVG- en e-Privacy-conform?

Accepted Answer

1. Categoriseer je cookies. Functioneel (geen toestemming nodig), analytisch (vaak vrijgesteld bij privacy-vriendelijke setup), tracking en marketing (toestemming verplicht).
2. Plaats geen tracking-cookies of -pixels voordat de bezoeker klikt. Google Analytics 4 in standaard setup is bijvoorbeeld toestemmingsplichtig.
3. Geef twee gelijkwaardige knoppen: "Accepteren" en "Weigeren" of "Alleen noodzakelijk". Een grijze tekstlink is niet gelijkwaardig aan een grote groene knop.
4. Bewaar het bewijs van toestemming met tijd, IP en gekozen optie. Een gebruiker mag toestemming intrekken; bouw die optie in.
5. Update bij elke verandering in cookies of derde partijen. De Autoriteit Persoonsgegevens controleert hier regelmatig op.

Wanneer ons inschakelen: 
Werk je met meerdere domeinen, sub-domeinen of een tag-manager? Een goede consent management platform-implementatie is technisch precies werk. Wij hebben dat al een paar keer gedaan.

Question 21

Mag ik camera-toezicht plaatsen op kantoor?

Accepted Answer

1. Onderbouw het doel. Diefstalpreventie, veiligheid bij geld of voorraad, BHV. Het mag niet algemeen "controle op werknemers" zijn; dat is een rode lijn.
2. Voer een DPIA uit. Camera-toezicht in een werkomgeving staat op de DPIA-lijst van de AP.
3. Informeer werknemers. Schriftelijk in personeelshandboek of -reglement, plus zichtbare bordjes bij entrees. Heimelijk filmen mag alleen onder strikte voorwaarden en kort, voor concreet incident.
4. Beperk de bewaartermijn. Standaard maximaal 4 weken volgens AP-richtlijn, langer alleen bij concreet incident.
5. Toets ook de medezeggenschap (OR). Bij plaatsing van camera-systemen is OR-instemming vaak verplicht onder de WOR.

Wanneer ons inschakelen: 
Wil je gezichtsherkenning of AI-gedragsanalyse op de beelden? Dat is hoog-risico onder AVG en EU AI Act. Niet zelf inrichten.

Question 22

Mag ik software gebruiken om productiviteit van werknemers te meten?

Accepted Answer

1. Begin bij het doel. Productiviteit-meten op individueel niveau is meestal niet proportioneel; veiligheids- of fraudepreventie soms wel.
2. DPIA verplicht. Werknemers zijn een kwetsbare groep door de afhankelijkheidsrelatie.
3. Beperk tot wat strikt nodig is. Aggregaten op team-niveau, anonieme metingen, of strikt event-driven (alarm bij verdacht datatransfer) hebben veel betere kans.
4. OR-instemming vrijwel altijd vereist. Stel beleid op, leg vast wat er wel en niet gemeten wordt, en wat er met de data gebeurt.
5. Communiceer expliciet vooraf. Heimelijk monitoren is in NL juridisch nauwelijks verdedigbaar buiten een actief, gemotiveerd onderzoek met juridische bijstand.

Wanneer ons inschakelen: 
Tools zoals Teramind, Hubstaff of ActivTrak in standaard-configuratie zetten staat haaks op de meeste AVG-toetsen in NL. Voor je een seat koopt, even bellen.

Question 23

Wat is het verschil tussen pseudonimiseren en anonimiseren?

Accepted Answer

1. Pseudonimisering: namen vervangen door tokens, mailadressen door hashes, BSN door interne ID. De koppellijst bestaat nog ergens. Blijft AVG-plichtig.
2. Anonimisering: identificatie is redelijkerwijs onmogelijk te herstellen. Alle koppelmogelijkheden weg, ook indirect (combinatie van postcode + leeftijd + functie).
3. Test: kun je met de overgebleven data plus realistische publieke informatie iemand terugvinden? Lukt dat, dan is het pseudoniem, niet anoniem.
4. Voor analytics op productieve datasets is pseudonimisering vaak voldoende, maar je moet de sleutel apart beveiligen.
5. Voor delen met derden of openbare publicatie is alleen echte anonimisering veilig. Vaak moet je dan k-anonymity of differential privacy toepassen.

Wanneer ons inschakelen: 
Twijfel je of een dataset echt anoniem is, ga dan uit van pseudoniem. De AP kijkt mee bij grote datasets. Wij hebben de tooling om de check te doen.

Question 24

Klant of medewerker vraagt inzage in zijn gegevens, hoe verwerk ik dat?

Accepted Answer

1. Identificeer de aanvrager. Een mailadres alleen is meestal te weinig; vraag aanvullend bewijs als de identiteit niet uit context blijkt. Vraag niet meer dan strikt nodig (geen kopie ID met BSN ongemarkeerd).
2. Doorzoek je systemen op alle persoonsgegevens van die persoon. Mail, CRM, ticketsysteem, HR, marketing-platform, back-ups. Schrijf op wat je gevonden hebt.
3. Lever de gegevens veilig. Versleutelde mail, klantportaal, of fysiek per aangetekende post. Niet via een open mail.
4. Bij correctie of verwijdering: voer door in alle systemen, ook bij verwerkers waar je doorgegeven hebt. Geef de aanvrager terug welke acties je hebt uitgevoerd.
5. Documenteer het verzoek en je reactie. De AP kan vragen wat je hebt gedaan.

Wanneer ons inschakelen: 
Verzoek tot vergetelheid bij een fiscaal-bewaarplichtig record (factuur, loonstrook) is ingewikkeld. Het recht op vergetelheid wijkt voor de wettelijke bewaarplicht. Trek juridisch advies aan voor je antwoordt.

Question 25

Wat moet er minimaal in mijn privacyverklaring staan?

Accepted Answer

1. Naam, KvK, adres en contact van de verwerkingsverantwoordelijke. Plus FG-contact als je er een hebt.
2. Per verwerking: doel, categorieen gegevens, grondslag (toestemming, contract, wettelijke plicht, gerechtvaardigd belang), bewaartermijn.
3. Lijst van categorieen ontvangers. Niet alle vendor-namen, maar wel "betalingsdienstverlener", "cloudprovider", "marketing-partner" met land van vestiging.
4. Rechten van de betrokkene en hoe ze die uitoefenen, plus klachtrecht bij de Autoriteit Persoonsgegevens met link.
5. Datum van laatste update bovenaan. Werk bij elke materiele wijziging in tools of doelen.

Wanneer ons inschakelen: 
Heb je internationale doorgiften, gevoelige categorieen of geautomatiseerde besluitvorming, dan moet de tekst aanvullende elementen bevatten. Kopieren van een concurrent dekt het niet.

Question 26

Ik heb Meta-pixel of LinkedIn-pixel zonder consent geladen, wat nu?

Accepted Answer

1. Schakel de pixel meteen uit via tag-manager of de betreffende pagina-template. Verifieer in de browser-console dat hij weg is.
2. Beoordeel de impact: hoe lang heeft hij gedraaid, welke gegevens zijn doorgegeven, naar welke partijen. IP en bezoek-gedrag tellen al als persoonsgegeven.
3. Beoordeel of dit een datalek is in AVG-zin. Ongeoorloofde doorgifte van persoonsgegevens kan dat zijn. In twijfel: meld als voorzorg.
4. Pas je consent-management-platform aan zodat dit niet weer kan. Categoriseer expliciet "marketing" en blokkeer scripts tot toestemming.
5. Documenteer wat er gebeurd is en welke maatregelen genomen zijn. Bij AP-controle is dit precies wat ze willen zien.

Wanneer ons inschakelen: 
Heb je grote bezoekersaantallen of gevoelige content (zorg, financieel, kinderen)? Schakel direct juridische bijstand in voor de impact-analyse.

Question 27

Mag ik tracking-pixels in marketingmails gebruiken?

Accepted Answer

1. Check je e-mailtool. Mailchimp, Brevo, ActiveCampaign, HubSpot zetten standaard open- en click-tracking aan. Schakel uit in instellingen waar het niet nodig is.
2. Vraag toestemming bij aanmelding voor de nieuwsbrief, gespecificeerd: "Mogen wij meten of u onze mails opent en aanklikt?". Apart vinkje, niet vooraangevinkt.
3. Bewaar het bewijs van toestemming bij de inschrijving (datum, IP, gekozen opties).
4. Bied in elke mail een uitschrijflink en een link "tracking voorkeuren". Aanpasbaar zonder uit te schrijven is netter.
5. Voor pure transactionele mails (orderbevestiging, factuur) heb je grondslag uit het contract. Maar marketingtracking is dat niet.

Wanneer ons inschakelen: 
Werk je B2B met grote lijsten en handgekozen leads, dan zit je in het "soft opt-in"-grijze gebied. Strategie hier vraagt om recente jurisprudentie. Wij denken mee.

Question 28

Onze app of dienst wordt door minderjarigen gebruikt, geldt toestemming dan anders?

Accepted Answer

1. Bepaal je grondslag. Toestemming bij minderjarigen onder 16 vereist ouderlijke toestemming. Andere grondslagen (contract, wettelijke plicht) hebben aparte regels.
2. Verifieer leeftijd op een redelijke manier. Een vinkje "ik ben 16+" is niet redelijk als je doelgroep aantoonbaar jonger is. Combineer met betaalmethode of school-identificatie.
3. Verifieer ouderlijke toestemming als die nodig is. Per e-mail bevestiging via ouder, of via een betaalmethode op naam van ouder.
4. Pas privacyverklaring aan in begrijpelijke taal voor de doelgroep. Niet alleen juridisch correct, ook leesbaar voor een 14-jarige.
5. Beperk profilering. Profilering en gerichte reclame richting kinderen is in EU streng beperkt en in EU AI Act extra ingekaderd.

Wanneer ons inschakelen: 
Onderwijssector of zorg voor jongeren? Daar gelden aanvullende regels (AVG plus sector-specifiek). Niet zelf invullen.

Question 29

Beveiligingsincident of datalek, wat is het verschil?

Accepted Answer

1. Beveiligingsincident: verstoring of zwakte in je beveiliging. Phishing-poging, mislukte ransomware-aanval, ongepatchte server. Meldingsplicht intern, niet automatisch extern.
2. Datalek: persoonsgegevens zijn betrokken bij verlies van vertrouwelijkheid, integriteit of beschikbaarheid. Ransomware met versleutelde files met persoonsgegevens valt eronder. Mislukte aanval die geblokkeerd werd niet.
3. Twijfel? Behandel als datalek tot het tegendeel bewezen is. Eerder melden is veiliger dan te laat.
4. Documenteer beide categorieen apart. Je beveiligingsincident-register helpt bij audits, de datalekregister is wettelijk verplicht.
5. Train je medewerkers op het verschil. Vaak meldt iemand "een datalek" wat geen datalek is, of andersom.

Wanneer ons inschakelen: 
Bij actief incident waarbij je niet zeker bent of er gegevens uit zijn, schakel CSIRT- of forensisch advies in voor je verder ingrijpt. Sporen wis je per ongeluk in een halfuur.

Question 30

Klokkenluidersregeling, wanneer verplicht en hoe?

Accepted Answer

1. Stel een meldprocedure op. Wie ontvangt meldingen, hoe wordt vertrouwelijkheid gegarandeerd, binnen welke termijnen volgt opvolging.
2. Wijs een onafhankelijke ontvanger of commissie aan. Iemand zonder belang in de gemelde kwestie. Externe partij mag, intern als rol-functie ook.
3. Bewaak vertrouwelijkheid. Identiteit van de melder mag alleen gedeeld met expliciete toestemming, of als wet het verplicht.
4. Communiceer de regeling. Personeelshandboek, intranet, jaarlijkse herinnering. Stille regelingen tellen niet.
5. Documenteer meldingen en opvolging anoniem in een register. Bij arbeidsinspectie of toezichthouder kan dat ter inzage gevraagd worden.

Wanneer ons inschakelen: 
Krijg je een melding over fraude, financiele onregelmatigheid of grensoverschrijdend gedrag, dan stop je met IT en schakel je arbeidsrecht of forensisch onderzoek in. Niet zelf afhandelen.

Question 31

Onze website heeft een AI-chatbot, wat moet ik er bij vermelden?

Accepted Answer

1. Open de chat met een duidelijke vermelding "Dit is een AI-assistent". Niet verstopt in de footer.
2. Bied een uitgang naar mens. Een knop "Chat met een collega" of een telefoonnummer. Pure-AI zonder menselijk vangnet werkt zelden.
3. Beperk wat de bot mag toezeggen. Geen prijzen, geen contractbeloften, geen juridische adviezen tenzij expliciet ge-traind en gereviewd.
4. Log gesprekken. Voor verbetering, voor klachtafhandeling, voor audit. Vergeet de AVG-melding niet (verwerken van wat de bezoeker typt).
5. Voeg AI-chatbot toe aan je intern AI-register, je verwerkersregister en je privacyverklaring.

Wanneer ons inschakelen: 
Verwerkt de bot bijzondere persoonsgegevens (gezondheid, juridisch, financieel advies), dan loopt het richting hoog-risico onder de AI Act. Niet zonder DPIA en review.

Question 32

Klant kondigt audit aan op onze beveiliging, wat lever ik aan?

Accepted Answer

1. Vraag de scope op. "Audit beveiliging" is breed; vraag naar de exacte vragenlijst (vaak een eigen template, soms een SIG/CAIQ).
2. Verzamel bestaande artefacten. Certificaten, DPA, sub-processor-lijst, security beleid, incident response plan, back-up procedure, vulnerability rapport.
3. Wat ontbreekt, prepareer een eerlijke statusbeschrijving plus tijdlijn. "We werken aan ISO 27001, audit Q3" is beter dan suggestie van iets dat er niet is.
4. Wijs een aanspreekpunt aan voor de audit. Niet de hele organisatie heeft toegang nodig tot vragen en antwoorden.
5. Houd zelf een log van wat je geleverd hebt en wanneer. Bij toekomstige audits scheelt dat dagen werk.

Wanneer ons inschakelen: 
Verwacht je een diepgaande audit met on-site bezoek of pentestrechten op je systemen, en je hebt dat nog nooit gedaan, dan is een ervaren auditor of consultant van tevoren een goede investering.

Question 33

De Autoriteit Persoonsgegevens kondigt een controle aan, wat doe ik?

Accepted Answer

1. Lees de aankondigingsbrief precies. Welke verwerking, welke periode, welke documenten gevraagd. Reageer binnen de gestelde termijn.
2. Stel een team samen: FG (of plaatsvervanger), juridisch, eventueel eigenaar van de relevante verwerking. Niet de hele directie.
3. Verzamel: verwerkersregister, DPIA als aanwezig, DPA met verwerkers, privacyverklaring, beveiligingsbeleid, incident-register.
4. Beantwoord eerlijk. Het is geen tentamen waar je punten verdient met perfecte antwoorden; eerlijk over hiaten plus actieplan scoort beter dan toedekken.
5. Bewaar alles wat je gedeeld hebt en wanneer. Verwacht een vervolgvraag.

Wanneer ons inschakelen: 
Bij vermoeden van een formele last onder dwangsom of een lopende handhavingsprocedure, schakel direct juridisch advies in. Dat is geen FG-werk.

Question 34

Hoort mijn mkb onder CSRD?

Accepted Answer

1. Bepaal je categorie. Klein, middelgroot, groot of beursgenoteerd-mkb. De categorie volgt uit balanstotaal, omzet en medewerkers volgens de richtlijn 2013/34/EU.
2. Niet-beursgenoteerd mkb valt in de huidige tekst buiten directe verplichting. Indirect kom je via grote klanten alsnog in beeld voor data-aanlevering.
3. Verwacht uitvragen van grote klanten over scope 1, 2 en 3 emissies, energieverbruik, en sociale indicatoren. Bouw die data nu rustig op, niet onder druk straks.
4. Volg ontwikkelingen via RVO, EFRAG en de Europese Commissie. Datums in dit dossier verschuiven meermaals, vertrouw geen oude blogposts.

Wanneer ons inschakelen: 
Lever je aan grote multinationals of overheid? Dan komen er duurzaamheidsclausules in contracten. Trek een specialist aan voor je tekent, niet erna.

Question 35

Klant vraagt "gekwalificeerde elektronische handtekening", DocuSign zegt al ondertekend, klopt dat?

Accepted Answer

1. Vraag de klant welk niveau ze nodig hebben en op welke wettelijke basis. Als ze "QES" zeggen maar bedoelen "duidelijk wie tekende", volstaat AdES vaak.
2. AdES is gekoppeld aan een geverifieerde identiteit en aan de ondertekenaar (DocuSign Standard met ID-verify, of vergelijkbare flow).
3. QES vereist een gekwalificeerd certificaat van een Trust Service Provider. De officiele lijst van NL/EU QTSPs staat op de EU Trusted List (controleer via de site van EZK of de EU eIDAS Dashboard). Vertrouw geen ongeverifieerde lijstjes, kies altijd een aanbieder die op de Trusted List staat voor het type dienst dat je nodig hebt.
4. Bouw de juiste flow per documenttype. Een arbeidscontract en een offerte hoeven niet hetzelfde niveau, dat scheelt licentie en moeite.

Wanneer ons inschakelen: 
Bij grensoverschrijdende handtekeningen of stukken die voor de rechter moeten standhouden, is de keuze tussen AdES en QES juridisch, geen IT-keuze. Trek een advocaat aan voor scope.

Question 36

Hoelang moet ik facturen bewaren?

Accepted Answer

1. Bewaar uitgaande en inkomende facturen 7 jaar na afloop van het boekjaar. Dat is een wettelijke termijn, niet onderhandelbaar.
2. Digitaal mag, mits het origineel (of een conversie waarbij authenticiteit en integriteit aantoonbaar zijn) bewaard blijft. Een papieren factuur scannen en weggooien mag, mits het scanproces gedocumenteerd is.
3. Bouw retentie in je boekhoudpakket of DMS. Verwijder pas na 7 jaar, niet eerder, ook niet als je dingen "opruimt".
4. Voor BTW op investeringen in onroerend goed geldt een herzieningstermijn van 9 jaar plus het jaar van ingebruikname. Check je accountant voor scope.

Wanneer ons inschakelen: 
Bij internationale handel kunnen langere termijnen of land-specifieke regels gelden. Vraag je accountant of een fiscaal adviseur, niet zelf gokken.

Question 37

Ik moet een DPIA opstellen, wat hoort er minimaal in?

Accepted Answer

1. Beschrijf de verwerking concreet: doel, soorten persoonsgegevens, betrokken groepen, bewaartermijnen, ontvangers en doorgiftes buiten de EER.
2. Toets noodzaak en proportionaliteit. Kun je hetzelfde doel halen met minder data of minder ingrijpend? Documenteer waarom huidige opzet de juiste is.
3. Maak een risico-analyse vanuit de betrokkene, niet vanuit jou. Denk aan onrechtmatige toegang, ongewenst koppelen, profilering of discriminatie.
4. Koppel maatregelen aan elk risico: technisch (encryptie, toegangscontrole, logging) en organisatorisch (training, beleid, contractuele afspraken).
5. Laat de FG of een privacy-jurist meelezen, beleg goedkeuring bij de directie en zet een herbeoordelingsmoment in de agenda.

Wanneer ons inschakelen: 
Verwerk je bijzondere gegevens op grote schaal of doe je profilering met juridische gevolgen, dan is meelezen door een specialist verstandig voordat je live gaat.

Question 38

Mijn leverancier zet sub-verwerkers in, hoe regel ik dat goed?

Accepted Answer

1. Vraag de leverancier om de actuele lijst van sub-verwerkers, met land van vestiging en welke verwerking ze doen. Bewaar die lijst bij het contract.
2. Spreek af dat de leverancier je vooraf informeert bij wijzigingen, met een redelijke termijn waarin je bezwaar kunt maken.
3. Controleer dat de hoofd-leverancier dezelfde verplichtingen contractueel doorlegt aan elke sub-verwerker. Vraag eventueel om een voorbeeld-DPA.
4. Let op doorgifte: zit een sub-verwerker buiten de EER, dan moet de juridische basis (bijvoorbeeld SCCs of EU-VS DPF) ook voor die schakel kloppen.
5. Neem de keten mee in je verwerkersregister, zodat je bij een datalek snel kunt traceren waar gegevens precies hebben gestaan.

Wanneer ons inschakelen: 
Krijg je geen sub-verwerkerslijst of weigert de leverancier informatieplicht, dan is dat een rode vlag. Laat een privacy-jurist het contract beoordelen.

Question 39

Hoe regel ik doorgifte naar de VS na Schrems II, met SCCs of EU-VS DPF?

Accepted Answer

1. Inventariseer welke leveranciers data buiten de EER laten landen. Cloud, e-mail, marketing-tools, support-tools, allemaal kandidaten.
2. Check per leverancier of ze gecertificeerd zijn onder het EU-VS Data Privacy Framework. De officiele lijst staat op dataprivacyframework.gov.
3. Niet aangesloten? Dan vraag je naar de Standard Contractual Clauses van de Europese Commissie en doe je een Transfer Impact Assessment voor die specifieke doorgifte.
4. Documenteer aanvullende maatregelen: encryptie at rest en in transit, sleutelbeheer in de EER, beleid bij overheidsverzoeken.
5. Update je privacyverklaring zodat je transparant bent over welke data naar welk land gaan, en op welke grondslag.

Wanneer ons inschakelen: 
Verwerk je bijzondere gegevens of werk je voor zorg of overheid, dan is leunen op alleen DPF zonder eigen toets risicovol. Vraag een AVG-jurist om mee te kijken.

Question 40

Een klant vraagt verwijdering van zijn gegevens, hoe regel ik dat technisch?

Accepted Answer

1. Inventariseer waar de gegevens staan: CRM, boekhouding, mailbox-archief, backups, support-tickets, nieuwsbrief-tool, analytics. Een kaart per persoon-record helpt.
2. Toets of er bewaartermijnen gelden. Facturen vallen onder fiscale bewaarplicht, klachten kennen vaak een verjaringstermijn. Wat je daarvoor nog nodig hebt mag je behouden, mits onderbouwd.
3. Beslis per systeem: hard delete waar mogelijk, anders gestructureerd anonimiseren of buiten zicht zetten in een afgeschermde retentie-omgeving.
4. Backups verwijder je niet meteen. Documenteer dat de gegevens in het primaire systeem weg zijn en bij de eerstvolgende rotatie ook uit backups vallen.
5. Bevestig schriftelijk aan de betrokkene wat is verwijderd en wat je vasthoudt op welke grondslag, met de bewaartermijn.

Wanneer ons inschakelen: 
Krijg je verzoeken die conflicteren met fiscale of arbeidsrechtelijke bewaarplicht, dan helpt een AVG-jurist om de afweging te onderbouwen.

Question 41

Een betrokkene doet een DSAR, wat lever ik aan en in welke vorm?

Accepted Answer

1. Verifieer de identiteit van de aanvrager voordat je iets verstrekt. Vraag minimaal benodigde gegevens, kopie ID met afgeschermd BSN en pasfoto kan, maar vraag het pas als andere verificatie niet werkt.
2. Inventariseer alle systemen waar de persoon kan staan: CRM, mailarchief, ticket-systeem, telefonie-logs, marketing-platform, HR (als werknemer), camera-beelden indien bewaard.
3. Lever de gegevens in een gangbaar elektronisch formaat aan. PDF of CSV werkt, geef context bij codes en velden.
4. Voeg de verplichte info toe: doelen, categorieen, ontvangers (sub-verwerkers en land), bewaartermijnen, bron als je niet zelf hebt verzameld, en de rechten van de betrokkene.
5. Schoon zorgvuldig op wat je niet mag delen: gegevens van anderen, bedrijfsgeheimen, of items die onder een wettelijke uitzondering vallen. Documenteer wat je hebt achtergehouden en waarom.

Wanneer ons inschakelen: 
Bij verzoeken vermengd met juridische conflicten of klachten richting jouw bedrijf, eerst overleg met een jurist voor je antwoordt.

Question 42

Mag ik mijn klanten ongevraagd marketingmails sturen?

Accepted Answer

1. Bestaande klant en eigen soortgelijk product of dienst? Dan mag je mailen op basis van klantrelatie, mits je bij verkrijgen van het emailadres en in elke mail een eenvoudige opt-out aanbiedt.
2. Geen klantrelatie of niet-soortgelijk? Dan heb je expliciete opt-in nodig, vrij gegeven en gedocumenteerd. Een vooraf aangevinkte checkbox telt niet.
3. Voor B2B naar zakelijke emailadressen geldt een lichter regime, maar opt-out blijft verplicht en respect voor het bel-me-niet-register-equivalent voor email is netjes.
4. Houd consent administratie bij: wanneer, via welk formulier, met welke tekst. Bij toezicht door ACM moet je dit kunnen tonen.
5. Test elke campagne: werkt de unsubscribe-link, gaat afmelding direct in alle systemen door, niet alleen in de marketing-tool.

Wanneer ons inschakelen: 
Stuur je grootschalig naar gekochte lijsten of via partners, dan zit je snel buiten de regels. Eerst juridisch toetsen voor je verstuurt.

Question 43

Mag ik het BSN van een klant of medewerker registreren?

Accepted Answer

1. Werkgever zijn? Dan mag en moet je BSN van werknemers verwerken voor de loonadministratie en aangifte loonheffingen.
2. Lever je aan zorginstellingen of werk je in de zorg? Dan is BSN binnen de zorgketen wettelijk geregeld via de Wabvpz.
3. Vraag je BSN voor identificatie of klantnummer in een gewone B2C of B2B context, dan is dat niet toegestaan. Gebruik een eigen klantnummer.
4. Krijg je BSN ongevraagd binnen, bijvoorbeeld via een kopie ID? Schoon dat veld zo snel mogelijk op of bewaar het versleuteld als je het echt nodig hebt voor een wettelijke verplichting.
5. Documenteer per proces de wettelijke grondslag voor BSN-gebruik in je verwerkersregister. Geen grondslag, geen BSN.

Wanneer ons inschakelen: 
Twijfel je of jouw branche onder een specifieke wet valt die BSN toestaat, vraag het na bij je branchevereniging of een AVG-jurist.

Question 44

Wij verwerken gezondheids- of religieuze gegevens, mag dat zomaar?

Accepted Answer

1. Inventariseer waar bijzondere categorieen voorbij komen: ziekteverzuim, allergieen voor catering, lidmaatschap van een vakbond, biometrie voor toegang, voorkeuren in een diversiteitsenquete.
2. Kies per verwerking de juiste uitzondering uit artikel 9 lid 2. Voor ziekteverzuim is dat doorgaans de arbeidsrechtelijke uitzondering, met de bedrijfsarts als verwerker.
3. Beperk wie het kan zien. Ziekteverzuim hoort niet bij de hele HR-afdeling, alleen bij de strikt nodige rollen.
4. Documenteer extra: hogere beveiligingseisen, kortere bewaartermijnen waar mogelijk, en een DPIA als de verwerking grootschalig of structureel is.
5. Train de mensen die ermee werken in wat ze wel en niet mogen vastleggen. Een aanleiding voor ziekmelding mag bijvoorbeeld in veel gevallen niet door HR worden geregistreerd.

Wanneer ons inschakelen: 
Werk je grootschalig met gezondheidsgegevens, biometrie of strafrechtelijke data, dan is een DPIA en juridische review niet optioneel.

Question 45

Ik factureer aan de overheid, wat moet er met e-facturatie?

Accepted Answer

1. Vraag bij de aanbestedende dienst welk kanaal zij accepteren: Peppol BIS Billing 3.0 of Digipoort, en welk OIN of Peppol-ID je moet gebruiken.
2. Check of je boekhoudpakket Peppol-uitgaand ondersteunt. Veel pakketten hebben een Peppol-knop of een access-point-koppeling tegen kleine kosten per maand.
3. Test eerst met een kleine factuur of een teststraat. Foute referenties of opdrachtnummers worden door de overheid hard afgekeurd.
4. Zorg dat je crediteurnummer, opdrachtnummer en eventueel inkoopordernummer netjes in de UBL-velden komen, niet alleen in de PDF-bijlage.
5. Leg de keuze en het kanaal vast in je administratie. Bij audit moet je kunnen tonen dat je het juiste formaat naar de juiste ontvanger hebt gestuurd.

Wanneer ons inschakelen: 
Geen Peppol of Digipoort in je pakket en je krijgt structureel B2G-opdrachten, dan loont het om over te stappen of een access point in te schakelen.

Question 46

Wij maken software of slimme apparaten, raakt de Cyber Resilience Act ons?

Accepted Answer

1. Bepaal of je product onder de CRA-scope valt. Software die je commercieel op de markt brengt en hardware met digitale elementen vallen er doorgaans onder.
2. Maak een security-by-design dossier: dreigingsanalyse, vulnerability handling, secure update-mechanisme en een SBOM voor je componenten.
3. Richt een coordinated vulnerability disclosure-proces in, met een herkenbaar contactkanaal en interne SLA om meldingen op te volgen.
4. Plan productbeveiliging voor de levensduur van het product. Updates leveren tijdens de support-periode, en gebruikers helder informeren over support-einde.
5. Volg de officiele tijdlijn via de Europese Commissie. CRA is in december 2024 in werking getreden; meldplicht voor actief misbruikte kwetsbaarheden geldt vanaf 11 september 2026, volledige toepassing vanaf 11 december 2027.

Wanneer ons inschakelen: 
Beveiligingsproducten en kritieke producten kennen strengere eisen. Heb je daar een product in, schakel een specialist in voor de conformiteitsbeoordeling.

Question 47

Hoe ver mag ik gaan met logging en monitoring zonder met AVG te botsen?

Accepted Answer

1. Beschrijf per logbron het doel: incident-detectie, foutopsporing, audit-trail. Daarop bepaal je welke velden en hoe lang je bewaart.
2. Minimaliseer wat je logt. Log een gebruikers-ID, niet meteen het volledige verzoek met persoonsgegevens. URL-parameters met identifiers vallen binnen de AVG.
3. Bewaartermijn passend bij doel. Veel security-logs kennen een termijn van weken tot enkele maanden, langer alleen met onderbouwing en in een afgeschermde omgeving.
4. Beperk toegang tot logs. SIEM-toegang voor een klein team, met logging op de logging zelf. Misbruik komt vaker uit de eigen organisatie dan je denkt.
5. Vermeld in je privacyverklaring en personeelsreglement dat je logt en met welk doel. Stille monitoring is een AVG- en arbeidsrechtelijk risico.

Wanneer ons inschakelen: 
Wil je content van mailverkeer of toetsaanslagen monitoren, dan zit je op AVG-arbeidsrecht-grond en heb je instemming OR plus DPIA nodig.

Question 48

Hoe weet ik of een ISO 27001-gecertificeerde leverancier echt zijn zaakjes op orde heeft?

Accepted Answer

1. Vraag het certificaat zelf op, niet alleen het logo. Controleer dat het door een geaccrediteerde certificerende instelling is afgegeven en dat de versie ISO 27001:2022 is.
2. Lees de scope-tekst. Geldt het voor het volledige bedrijf en de dienst die jij afneemt, of alleen een kantoor of een ander product?
3. Vraag het Statement of Applicability of een samenvatting daarvan. Daarin staan welke controls van toepassing zijn en welke uitgesloten met onderbouwing.
4. Vraag of er recente audit-bevindingen of penetratietests zijn die ze willen delen onder NDA. Een gezond ISMS kent open punten, perfectie is verdacht.
5. Combineer het certificaat met je eigen contractuele eisen: SLA, beveiligingsbijlage, meldplicht bij datalek, recht op audit waar relevant.

Wanneer ons inschakelen: 
Bij hoog-risico verwerkingen of gevoelige sectoren (zorg, financieel) is ISO alleen niet genoeg. Vraag aanvullend om SOC 2 type II of een NEN 7510-rapport.

Question 49

Hoe maak ik privacy by design en by default praktisch in mijn ontwikkeltraject?

Accepted Answer

1. Voeg een privacy-checkpunt toe aan je intake en design-review: welke data, welk doel, welke grondslag, welke bewaartermijn. Korte template, niet een traktaat.
2. Standaardinstellingen privacyvriendelijk. Geen velden vooraf invullen met data uit andere systemen, opt-in voor marketing leeg, profielen niet automatisch publiek.
3. Minimaliseer data in je modellen. Heb je een geboortedatum echt nodig of volstaat een leeftijdscheck? Adres alleen waar je werkelijk verzendt.
4. Logging en analytics: gebruik geanonimiseerde of geaggregeerde data waar het kan. Cookieless of server-side analytics scheelt veel discussie.
5. Documenteer in je release-notes welke privacy-keuzes je hebt gemaakt. Dat helpt bij DPIA's, audits en latere wijzigingen door collega's.

Wanneer ons inschakelen: 
Bouw je een product met profilering of geautomatiseerde besluitvorming, dan loont een DPIA vooraf en review door een privacy-jurist.

Question 50

Wij hebben een webshop met klantreviews of een platform-functie, raakt de DSA ons?

Accepted Answer

1. Bepaal welk type dienst je biedt onder de DSA. Pure e-commerce zonder gebruikers-content valt vooral onder consumentenrecht; reviews, een marktplaats of forum maakt je een online platform.
2. Richt een toegankelijk meldingskanaal in voor illegale content. Iedere bezoeker moet zonder account een melding kunnen doen, met motivering.
3. Geef beslissingen over verwijdering of moderatie inhoudelijk terug aan de gebruiker, met informatie over interne klachtafhandeling en geschillenbeslechting.
4. Wees transparant over advertenties: wie betaalt, en geen targeting op bijzondere persoonsgegevens of op minderjarigen.
5. Voor marktplaatsen geldt know-your-business-customer voor verkopers en bewaring van basisgegevens. Leg dat eenmalig in je onboarding-flow vast.

Wanneer ons inschakelen: 
Twijfel of je als online platform of als hosting-provider geldt, vraag een gespecialiseerde IT-jurist om je dienst te toetsen.

Question 51

Wat mag mijn cookiebanner echt niet meer, qua dark patterns?

Accepted Answer

1. Even prominent. Akkoord en Weigeren krijgen dezelfde plek, kleur en grootte. Geen donkergrijze Weigeren tegen een felgekleurde Akkoord.
2. Even snel. Weigeren in een klik, niet eerst doorklikken naar voorkeuren-menu om alles uit te vinken.
3. Geen vooraf aangevinkte categorieen. Statistieken en marketing staan uit, totdat de bezoeker ze aanzet.
4. Geen cookiewall die je dwingt akkoord te geven om de site te bezoeken, tenzij er een gelijkwaardig alternatief is. AP heeft daar duidelijke richtsnoeren over.
5. Bewaar het bewijs van toestemming: tijdstip, banner-versie, gemaakte keuze. Bij een klacht moet je die kunnen tonen.

Wanneer ons inschakelen: 
Krijg je een AP-onderzoek of klacht over je banner, niet zelf aanpassen tot je een privacy-jurist hebt gesproken. Wijzigingen tijdens onderzoek wegen mee.

Question 52

Wij werken in de zorg, hoe zwaar is NEN 7510 in de praktijk?

Accepted Answer

1. Bepaal of je zorgaanbieder bent in de zin van Wkkgz of Wabvpz, of leverancier daarvan. De zorginstelling is meestal verplicht NEN 7510 toe te passen, leveranciers volgen contractueel.
2. Begin met een gap-analyse tegen NEN 7510-1 en 7510-2. Veel mkb-zorgaanbieders missen vooral logging op patientendossiers en formele toegangsreviews.
3. Toegang tot patientgegevens op need-to-know, met logging die tot op de werknemer herleidbaar is. Generieke accounts en gedeelde wachtwoorden zijn een afkeurpunt.
4. Verwerkersovereenkomsten op orde met EPD-leverancier, hosting en eventueel een ICT-beheerder. Zij verwerken bijzondere persoonsgegevens.
5. Plan een interne audit en, indien gevraagd door ketenpartners, een externe certificering. Zorginstellingen wijken vaak af qua eisen, vraag wat je klant precies wil zien.

Wanneer ons inschakelen: 
Bij keten-koppelingen via VECOZO, LSP of regionale infrastructuren liggen er vaak extra eisen vanuit de keten. Stem af met de aansluitende partij voor je verbouwt.

Question 53

Welke audit-trail eisen kent NEN 7510 voor patientendossiers?

Accepted Answer

1. Schakel logging op het EPD aan voor inzage, wijziging, export, printen en delen. Anonieme of gedeelde accounts moeten weg, anders is logging waardeloos.
2. Bewaar logs voldoende lang om een steekproefonderzoek mogelijk te maken. De juiste termijn vraag je via de NEN 7510-tekst en je interne risicoanalyse na, niet uit het hoofd.
3. Bouw periodieke logreview in. Een willekeurige steekproef per maand op opvallende inzagen (eigen familie, BN'ers, ex-collega's) is gangbare praktijk.
4. Beveilig de logs zelf. Read-only opslag, beperkte toegang, en logging op wie de logs raadpleegt.
5. Documenteer het proces. Wie reviewt, hoe vaak, welke escalatie bij vermoeden van misbruik, en hoe je betrokkenen informeert als blijkt dat hun dossier onrechtmatig is bekeken.

Wanneer ons inschakelen: 
Vermoeden van onrechtmatige inzage of een datalek met patientgegevens vraagt directe melding aan AP, FG en eventueel IGJ. Schakel ondersteuning in.

Question 54

Wij vallen onder de Wwft, wat betekent dat voor onze IT?

Accepted Answer

1. Implementeer een ID-en-V-proces. Identiteitsvaststelling van klanten via betrouwbare bron, vastgelegd in een dossier dat herleidbaar is per natuurlijke persoon en uiteindelijk belanghebbende.
2. Richt transactiemonitoring in. Regels op afwijkende patronen, escalatieproces naar de compliance-officer en een vaste manier om ongebruikelijke transacties te melden bij FIU-Nederland.
3. Bewaartermijnen. Wwft kent een eigen bewaarplicht voor cliententgegevens en transacties; lees de actuele tekst, niet je geheugen, voor de juiste termijn.
4. Logging en autorisatie. Niet iedereen mag bij Wwft-dossiers, en handelingen moeten logbaar zijn. Combineer dat met je AVG-eisen.
5. Doe regelmatig een SIRA (systematische integriteitsrisicoanalyse) en update je IT-controls daarop. DNB en BFT verwachten een levend proces, geen los document.

Wanneer ons inschakelen: 
Crypto-dienstverleners en trustkantoren kennen aanvullende regimes. Sla die richtlijnen niet in het wild op, vraag je toezichthouder of compliance-jurist na.

Question 55

Wij leveren algoritmes of AI-modellen aan de overheid, wat met het algoritmeregister?

Accepted Answer

1. Vraag de klant welke informatie de aanbestedende dienst publiceert. Doel, werking, risico's, evaluatie en governance zijn doorgaans gevraagde velden.
2. Lever een leesbare modelkaart aan: doel, inputs, outputs, beperkingen, hoe het is getraind, hoe het wordt gemonitord en bekende risico's.
3. Documenteer wie verantwoordelijk is voor onderhoud, hertraining en uitfasering. De overheid wil een aanspreekpunt en een proces, niet alleen een blackbox.
4. Kruisreferenties met EU AI Act. Een hoog-risico-systeem onder de AI Act kent extra documentatie-eisen, die vaak overlappen met wat het algoritmeregister vraagt.
5. Plan een jaarlijkse review van de registratie samen met je klant. Modellen verschuiven, het register moet meebewegen.

Wanneer ons inschakelen: 
Bouw je systemen die over rechten of voorzieningen van burgers beslissen, dan is een onafhankelijke ethische en juridische review meer dan een formaliteit.

Question 56

Een klant wil zijn gegevens laten corrigeren, hoe regel ik dat in al mijn systemen?

Accepted Answer

1. Bepaal het bron-systeem voor het type gegeven. Adres meestal in CRM of HR, niet versnipperd over mailtemplates en losse Excel-bestanden.
2. Pas aan in de bron en zorg dat downstream-systemen synchroniseren. Niet via export-import per maand, maar via API of geplande sync.
3. Maak inzichtelijk waar afgeleiden bestaan. Reports, datawarehouse, BI-tool. Documenteer hoe daar correctie loopt of dat ze bij volgende refresh meelopen.
4. Bevestig schriftelijk aan de betrokkene wat is gewijzigd, in welke systemen, en bij welke ontvangers (sub-verwerkers, partners) je de correctie hebt doorgegeven.
5. Houd de termijn van AVG aan: zonder onnodige vertraging, in elk geval binnen een maand. Verleng eenmalig met twee maanden bij een ingewikkeld verzoek, met motivering.

Wanneer ons inschakelen: 
Heb je een sterk versnipperd landschap zonder masterdata-bron, dan los je dit niet ad-hoc op. Plan een masterdata-traject.

Question 57

Een klant stuurt ons een NIS2-leveranciersvragenlijst, hoe vul ik die slim in?

Accepted Answer

1. Lees de hele vragenlijst eerst. Bepaal welke onderwerpen (ISMS, incidentrespons, toegangsbeheer, BCM, leveranciersbeheer) en in welke diepte gevraagd wordt.
2. Verzamel intern de bewijzen. Beleid, ISMS-scope, recente pen-test, datalek-procedure, contracten met sub-verwerkers, awareness-training. Dit hergebruik je bij elke vragenlijst.
3. Antwoord eerlijk. Liever Nee plus een roadmap dan Ja zonder bewijs. Klanten vragen er soms apart op door en discrepanties wegen zwaar bij audit.
4. Hou een centraal NIS2-leveranciersdossier bij. Een beheerde versie van de meestgevraagde antwoorden scheelt elke ronde tijd.
5. Vraag de klant welke prioriteit zij geven aan welk onderwerp. Soms is uitsluitend incident-meldtermijn de hoeksteen, en mag de rest een groei-pad zijn.

Wanneer ons inschakelen: 
Komt er een vraag terug die je echt niet kunt beantwoorden zonder een audit, wees daar transparant in en stel een gezamenlijke vervolgactie voor.

Question 58

DORA vraagt een register van ICT-derde partijen, hoe leg ik dat aan?

Accepted Answer

1. Lever per dienst minimaal: jouw entiteitsgegevens (naam, KvK, LEI), beschrijving van de dienst, locatie van data en personeel, sub-leveranciers en concentratie op andere leveranciers. Financiele klanten zullen LEI in de praktijk vereisen voor opname in hun ICT-derde-partijregister.
2. Markeer of jouw dienst kritiek of belangrijk is voor de klant. Dat oordeel doet de financiele entiteit, maar jouw input over impact bij uitval helpt de classificatie.
3. Stem contractueel af op DORA-eisen: incident-meldtermijnen, audit-recht, exit-plan, data-portabiliteit, sub-uitbestedingsregels. Veel financiele klanten sturen DORA-addenda toe.
4. Bouw een proces voor wijzigingen. Verandert je sub-verwerker, je hostingland of je security-baseline, dan moet de klant dat tijdig in zijn register kunnen verwerken.
5. Test een DORA-incident-scenario samen met een grote klant. Een keer doen leert je waar je rapportage en kanalen tekortschieten.

Wanneer ons inschakelen: 
Wordt jouw dienst aangemerkt als kritiek voor meerdere financiele entiteiten, dan komen er extra verwachtingen die je niet alleen oplost. Schakel een DORA-specialist in.

Question 59

Hoe weet ik in welke EU AI Act-categorie onze AI-toepassing valt?

Accepted Answer

1. Begin met de uitsluitingen. Verboden praktijken zoals social scoring door overheden of bepaalde biometrische identificatie zijn vanaf februari 2025 verboden in de EU.
2. Controleer hoog-risico bijlages. Toepassingen in werving, toegang tot onderwijs, krediet-scoring, kritieke infrastructuur en sommige rechtshandhavings-tools vallen daar doorgaans onder.
3. Beperkt-risico. Chatbots, gegenereerde inhoud (deepfakes) en emotie-herkenning vragen vooral transparantie naar de gebruiker.
4. GPAI-modellen. Aanbieders van algemene AI-modellen krijgen vanaf augustus 2025 specifieke documentatie- en transparantieverplichtingen onder de AI Act.
5. Documenteer de classificatie en beoordeling. Bij twijfel houd je de strengere categorie aan tot duidelijk is wat de toezichthouder voor jouw casus zegt.

Wanneer ons inschakelen: 
Bouw je iets dat richting hoog-risico tendeert, met directe gevolgen voor mensen, dan is een AI-Act-jurist en een DPIA niet optioneel.

Question 60

Hoe kies ik scope en plan ik de doorlooptijd van een ISO 27001-traject?

Accepted Answer

1. Bepaal de scope op basis van wat je verkoopt en aan wie. Voor een SaaS-mkb is dat vaak het product, het team dat eraan werkt en de ondersteunende processen, niet de hele BV.
2. Maak een gap-analyse tegen ISO 27001:2022. Loopt over je governance, policies, risk management, mensen, fysieke beveiliging, technische maatregelen en leveranciersmanagement.
3. Plan in twee fases. Eerst het ISMS opbouwen en in de praktijk minstens een paar maanden laten draaien. Pas daarna stage 1 audit door de certificerende instelling.
4. Reken op meerdere maanden tot grofweg een jaar voor een eerste certificering, afhankelijk van het volwassenheidsniveau en hoeveel tijd het team kan vrijmaken. Geen exacte garantie, vraag een externe partij om een schatting voor jouw situatie.
5. Plan de jaarlijkse her-certificering en interne audits direct in. Een ISMS dat na audit stilvalt, valt bij de eerstvolgende ronde door.

Wanneer ons inschakelen: 
Bij beperkte interne capaciteit loont het om een externe ISMS-coach in te huren voor de eerste cyclus. Niet om alles te doen, wel om jullie op de rails te zetten.

Question 61

Wij willen werknemersactiviteit monitoren, wat moet er met OR en CAO gebeuren?

Accepted Answer

1. Definieer doel en middelen. Wil je productiviteit meten, beveiliging borgen of fraude opsporen, en met welk minimaal middel red je dat? Dat doel staat in beleid en privacy-statement.
2. Doe een DPIA. Monitoring van werknemers is structureel en grootschalig per definitie, dus de risico's voor betrokkenen moeten beoordeeld zijn.
3. Vraag instemming van de OR onder WOR artikel 27 voor het personeelsvolgsysteem. Zonder instemming geen invoering.
4. Check de CAO. Sommige CAO's bevatten extra eisen of verboden vormen van monitoring; lees ze of vraag het bij je werkgeversorganisatie na.
5. Communiceer naar werknemers. Een personeelsreglement met heldere uitleg over wat wordt gemonitord, met welk doel, en welke rechten zij hebben hoort erbij.

Wanneer ons inschakelen: 
Bij gerichte monitoring op een individuele werknemer (verdenking van fraude bijvoorbeeld) is juridisch advies en bewijsstrategie vooraf essentieel.

Compliance en wetgeving