Wat stuur ik als een klant vraagt hoe wij omgaan met data?

Als een klant vraagt hoe jij omgaat met data, stuur je in de meeste gevallen een combinatie van je privacybeleid, een verwerkingsregister of een samenvatting daarvan, en waar relevant een verwerkersovereenkomst. Welke documenten precies passend zijn, hangt af van jouw rol in de gegevensverwerking: ben jij verwerkingsverantwoordelijke of verwerker? Voor organisaties die werken met persoonsgegevens van klanten, patiënten of medewerkers is een helder, onderbouwd antwoord op deze vraag niet alleen een kwestie van transparantie, maar ook van AVG-compliance. In dit artikel lopen we langs de meest gestelde vervolgvragen, zodat je weet wat je wanneer deelt en hoe je laat zien dat informatiebeveiliging bij jou echt op orde is.

Wat verwacht een klant eigenlijk als hij dit vraagt?

Als een klant vraagt hoe jij omgaat met data, wil hij in de eerste plaats zekerheid. Hij wil weten of zijn gegevens, of die van zijn klanten, veilig zijn bij jou en of jij voldoet aan de AVG. De vraag klinkt soms informeel, maar de verwachting erachter is concreet: geef mij bewijs dat ik jou kan vertrouwen.

Die behoefte aan zekerheid komt steeds vaker voort uit externe druk. Grote opdrachtgevers, aanbestedende partijen of NIS2-plichtige organisaties stellen steeds hogere eisen aan hun leveranciers. Een klant die jou deze vraag stelt, heeft zelf ook een verantwoording af te leggen aan zijn eigen opdrachtgever, toezichthouder of raad van bestuur. Jouw antwoord wordt dus niet alleen door hem beoordeeld, maar ook doorgestuurd.

Wat hij concreet verwacht, verschilt per situatie:

• Een kleine klant wil vaak gewoon een link naar je privacybeleid en een kort, begrijpelijk antwoord.
• Een grotere organisatie of aanbestedende partij verwacht documentatie: beleid, registers, certificaten en soms een ingevulde vragenlijst.
• Een opdrachtgever in de zorg of het onderwijs vraagt mogelijk specifiek naar naleving van sectorspecifieke normen zoals NEN-7510 of het normenkader IBP FO.

De kern is altijd hetzelfde: de klant wil uitleg krijgen over gegevensverwerking op een manier die hem geruststelt en die hij kan aantonen aan anderen. Hoe concreter en gestructureerder jij antwoordt, hoe meer vertrouwen je opbouwt.

Welke documenten horen bij een volledig antwoord?

Een volledig antwoord op de vraag hoe jij omgaat met data bestaat uit minimaal drie soorten documenten: je privacybeleid, een overzicht van je verwerkingen, en afhankelijk van de situatie een verwerkersovereenkomst. Samen vormen deze de kern van je AVG-documentatie en laten ze zien dat je gegevensverwerking niet ad hoc maar gestructureerd is ingericht.

De meest voorkomende documenten op een rijtje:

• Privacybeleid of privacyverklaring: Dit is je publieke document dat uitlegt welke persoonsgegevens je verwerkt, waarom, hoe lang je ze bewaart en welke rechten betrokkenen hebben. Dit document stuur je vrijwel altijd mee.
• Verwerkingsregister: Een intern overzicht van alle verwerkingen die je uitvoert, inclusief doeleinden, grondslagen en betrokken partijen. Klanten vragen hier steeds vaker naar, zeker als ze zelf ook een register bij moeten houden.
• Beveiligingsbeleid of informatiebeveiligingsbeleid: Dit document beschrijft hoe je technische en organisatorische maatregelen hebt ingericht om data te beschermen. Denk aan toegangsbeheer, versleuteling, incidentprocedures en bewustwording bij medewerkers.
• ISO 27001-certificaat of vergelijkbaar bewijs: Als je gecertificeerd bent, is dit het krachtigste bewijs dat informatiebeveiliging bij jou aantoonbaar op orde is. Een certificaat vervangt in veel gevallen een reeks losse vragen.
• Verwerkersovereenkomst: Dit contract is verplicht als jij persoonsgegevens verwerkt namens de klant. Zie de volgende sectie voor wanneer dit precies speelt.

Niet elk document is in elke situatie relevant. Begin met je privacybeleid en beveiligingsbeleid, en stem daarna af welke aanvullende documentatie de klant nodig heeft. Zorg dat al deze documenten actueel zijn, want een verouderd beleid wekt meer wantrouwen dan geen beleid.

Wanneer stuur je een verwerkersovereenkomst en wanneer niet?

Je stuurt een verwerkersovereenkomst wanneer jij persoonsgegevens verwerkt in opdracht van de klant en hij daarvoor de verwerkingsverantwoordelijke is. Is dat niet het geval, dan is een verwerkersovereenkomst niet van toepassing. Het onderscheid tussen verwerkingsverantwoordelijke en verwerker is hierbij doorslaggevend.

Concreet: jij bent verwerker als je persoonsgegevens verwerkt die de klant jou ter beschikking stelt en waarbij de klant bepaalt wat er met die gegevens gebeurt. Denk aan een softwareleverancier die HR-data opslaat, een accountant die de salarisadministratie verwerkt, of een ICT-dienstverlener die toegang heeft tot klantbestanden. In al deze gevallen is een verwerkersovereenkomst verplicht op grond van de AVG.

Je bent verwerkingsverantwoordelijke als je zelf bepaalt welke gegevens je verzamelt en waarvoor. In dat geval stel jij de verwerkersovereenkomst op voor je eigen leveranciers, maar heb je er geen nodig met je klant. Wel ben je dan verplicht om transparant te zijn via je privacyverklaring.

Er zijn ook situaties waarbij jullie beiden verwerkingsverantwoordelijke zijn voor eigen verwerkingen. Dan is er sprake van twee zelfstandige verantwoordelijken en volstaat een goede privacyverklaring, eventueel aangevuld met afspraken over geheimhouding.

Twijfel je over je rol? Kijk dan naar wie het doel en de middelen van de verwerking bepaalt. Dat is de verwerkingsverantwoordelijke. De praktijk is soms grilliger dan de theorie, zeker bij gecombineerde dienstverlening. In dat geval is juridisch advies of begeleiding door een functionaris gegevensbescherming verstandig.

Hoe laat je zien dat informatiebeveiliging echt op orde is?

Informatiebeveiliging aantoonbaar op orde hebben doe je niet met woorden, maar met bewijs. Het sterkste bewijs is een erkend certificaat, zoals ISO 27001, omdat dit aantoont dat een onafhankelijke partij heeft gecontroleerd of jouw beveiligingsmaatregelen voldoen aan een internationale norm. Zonder certificaat kun je ook overtuigend zijn, maar dan vraagt het meer uitleg.

Wat je kunt inzetten om informatiebeveiliging richting klanten te onderbouwen:

• ISO 27001-certificaat: Geldig voor drie jaar, met jaarlijkse controle-audits. Dit certificaat laat zien dat beschikbaarheid, integriteit en vertrouwelijkheid van informatie structureel worden bewaakt. Meer over de norm vind je op de pagina over ISO 27001.
• Intern auditrapport: Een recent auditrapport toont aan dat je je eigen systeem actief controleert en verbetert. Dit is ook een signaal van volwassenheid.
• Overzicht van maatregelen: Beschrijf welke technische maatregelen (encryptie, toegangsbeheer), fysieke maatregelen (beveiliging van locaties) en organisatorische maatregelen (beleid, trainingen, incidentprocedures) je hebt ingericht.
• Bewustwording en training: Laat zien dat medewerkers getraind worden. Informatiebeveiliging is voor ongeveer twee derde een kwestie van organisatie en gedrag, niet alleen van techniek.
• Actueel beveiligingsbeleid: Een beleid met een recente datum en een duidelijke eigenaar laat zien dat het geen stoffig document is, maar een levend onderdeel van je bedrijfsvoering.

Klanten in de zorg of het onderwijs kunnen aanvullend vragen naar naleving van sectorspecifieke normen. Voor zorginstellingen is dat vaak NEN-7510, voor schoolbesturen het normenkader IBP FO. Zorg dat je weet welke normen voor jouw sector en klantgroep relevant zijn, en communiceer daar proactief over.

Wat doe je als een klant om meer vraagt dan je wilt delen?

Als een klant vraagt om informatie die jij niet wilt of kunt delen, is de beste aanpak transparant zijn over wat je wel deelt en waarom je bepaalde informatie niet vrijgeeft. Je bent niet verplicht om bedrijfsgevoelige details, interne systeemdocumentatie of volledige auditverslagen te delen. Maar een weigerend antwoord zonder uitleg wekt wantrouwen.

Er zijn goede redenen om niet alles te delen:

• Gedetailleerde technische beveiligingsinformatie kan een beveiligingsrisico vormen als het in verkeerde handen valt.
• Interne auditverslagen kunnen gevoelige informatie bevatten over kwetsbaarheden die nog in behandeling zijn.
• Contractuele verplichtingen met leveranciers kunnen je beperken in wat je openbaar maakt.

Wat je wel kunt doen om toch vertrouwen te geven zonder alles te openen:

• Verwijs naar je certificaat als bewijs dat een onafhankelijke partij al heeft gecontroleerd wat de klant wil weten.
• Bied een samenvatting of een “statement of applicability” aan in plaats van volledige interne documentatie.
• Stel een vertrouwelijkheidsovereenkomst (NDA) voor als de klant toch meer detail nodig heeft voor een specifiek doel.
• Geef aan welke vragen je wel kunt beantwoorden en welke niet, en leg kort uit waarom.

Een klant die aanhoudend meer vraagt dan redelijk is, of die informatie vraagt die jij niet wilt delen zonder een duidelijke zakelijke noodzaak, is ook een signaal. Het is legitiem om te vragen wat de klant met de informatie gaat doen en wie er intern toegang toe heeft. Privacy en informatiebeveiliging werken twee kanten op.

Hoe Kwinzo helpt met privacyverantwoording richting klanten

Wij zien bij veel organisaties dat de vraag “hoe gaan jullie om met data?” hen overrompelt, simpelweg omdat de onderliggende documentatie niet op orde is of niet actueel. Kwinzo helpt organisaties om die basis structureel te leggen, zodat je nooit meer improviseert als een klant om verantwoording vraagt.

Wat wij concreet bieden:

• Begeleiding bij het opzetten en onderhouden van een volledig ISMS, inclusief alle AVG-documentatie die klanten verwachten.
• Ondersteuning bij ISO 27001-certificering, zodat je een onafhankelijk, erkend bewijs hebt van jouw informatiebeveiliging.
• Inzet van een externe functionaris gegevensbescherming die jouw privacyvraagstukken structureel bewaakt en documenteert.
• Interne audits die als generale repetitie dienen voor externe controles en direct bruikbare inzichten opleveren.
• Maatwerk per organisatie: van volledige begeleiding tot een doe-het-zelf-aanpak met onze eigen ISMS-tool en templates.

Wil je weten wat er nodig is om jouw organisatie klaar te maken voor de vragen die klanten stellen? Neem contact op voor een vrijblijvend adviesgesprek.