Privacy die past in je werk, niet ernaast.

Dat hangt af van je organisatie en van wat er al geregeld is. Een kleine organisatie met een paar systemen heeft een ander traject nodig dan een organisatie die op grote schaal gezondheids- of medewerkersgegevens verwerkt. Ook bestaande afspraken, zoals een verwerkingsregister of privacybeleid, maken verschil. We beginnen met een nulmeting, waarin we snel in kaart brengen waar je staat en waar de grootste risico's zitten. Daarna richten we samen je privacy in, van verwerkingsregister tot werkafspraken voor medewerkers, tegen een vaste prijs of een afgebakend budget. Wil je doorlopende ondersteuning, dan vervullen we de rol van privacy officer of FG, tegen een vast bedrag per maand en altijd opzegbaar. Zo weet je vooraf wat het kost.

Een DPIA (Data Protection Impact Assessment) is verplicht als een verwerking waarschijnlijk een hoog privacyrisico oplevert en je voert hem uit voordat je begint. Dat geldt bijvoorbeeld als je medewerkers monitort of camera's inzet, gezondheids-, locatie- of biometrische gegevens verwerkt, mensen profileert, datasets combineert of AI inzet. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is. Voldoet je verwerking aan twee of meer risicocriteria, zoals gevoelige gegevens of kwetsbare betrokkenen (bijvoorbeeld werknemers), dan is een DPIA in principe ook verplicht. Twijfel je? Leg dan altijd vast waarom je wel of geen DPIA uitvoert. Wij helpen je dat snel te bepalen en begeleiden de DPIA als die nodig is.

ISO 27701 is een hulpmiddel om de AVG gestructureerd in te richten en aan klanten te laten zien dat je privacy serieus regelt. Sinds de versie van 2025 is ISO 27701 een zelfstandige norm. Je hoeft dus niet eerst ISO 27001 te hebben, al blijft de combinatie logisch vanwege de overlap. Belangrijk: een ISO 27701-certificaat betekent niet dat je aan de AVG voldoet. Het laat zien dat je privacy systematisch beheerst, maar de AP toetst aan de wet, niet aan de norm.

Ja, sterk zelfs. Ze overlappen, maar ze zijn niet hetzelfde. Informatiebeveiliging beschermt al je informatie tegen verlies, diefstal en misbruik. Persoonsgegevens zijn daar een belangrijk onderdeel van. De AVG verplicht je ook om die gegevens passend te beveiligen. Een datalek is dus altijd zowel een beveiligingsincident als een privacyprobleem. Zonder goede informatiebeveiliging kun je privacy niet waarmaken. Privacy gaat verder dan beveiliging. Ook perfect beveiligde gegevens kun je in strijd met de AVG gebruiken. Privacy draait om vragen als: mag je deze gegevens wel verzamelen? Waarvoor gebruik je ze? Hoe lang bewaar je ze? En kunnen mensen hun rechten uitoefenen, zoals inzage of verwijdering? Omdat de overlap groot is, werkt een gezamenlijke aanpak het best. Eén risicoanalyse, één manier van incidenten afhandelen en één managementsysteem. Dat voorkomt dubbel werk en tegenstrijdige afspraken, en voor je medewerkers is het één verhaal in plaats van twee.

Ja. We kunnen zowel de rol van Functionaris Gegevensbescherming (FG) als privacy officer invullen. Een FG houdt onafhankelijk toezicht op de naleving van de AVG, adviseert de organisatie en is aanspreekpunt voor de Autoriteit Persoonsgegevens. Een privacy officer richt zich juist op de uitvoering, zoals het bijhouden van het verwerkingsregister, begeleiden van DPIA’s en afhandelen van datalekken. Weet je niet welke rol je nodig hebt of een FG voor jouw organisatie verplicht is? Dan zoeken we dat samen uit. Onafhankelijkheid staat altijd voorop: we combineren de FG-rol daarom niet met werkzaamheden waarbij we ons eigen privacywerk zouden controleren.

Privacy gaat over mensen, dus moet het ook voor mensen werken. Toch ervaren medewerkers de AVG vaak als een bron van regels, twijfel en extra werk. Wij draaien dat om. We brengen eerst in kaart welke persoonsgegevens je organisatie gebruikt en waar de echte risico's zitten. Vervolgens bouwen we privacy in de processen en systemen die je al gebruikt, zodat de veilige keuze vanzelf de makkelijke keuze wordt. In plaats van een dik beleidsdocument krijgen medewerkers heldere afspraken en voorbeelden uit hun eigen werk. Ze weten bij wie ze terechtkunnen met een vraag en een datalek melden voelt als normaal en veilig, niet als een fout toegeven. Zo wordt privacy een vanzelfsprekend onderdeel van het werk, in plaats van een last.