Stel dat een klant of medewerker jou morgen vraagt welke persoonsgegevens je van hem bijhoudt. Heb je binnen een maand een volledig en correct antwoord klaar? Als je twijfelt, ben je niet alleen. De Nederlandse privacytoezichthouder, de Autoriteit Persoonsgegevens (AP), ontving in 2025 ruim 13.500 klachten en meldingen, een stijging van 75% ten opzichte van 2024. De meeste klachten draaien om exact dat probleem: organisaties die niet of te laat reageren op inzage- en verwijderverzoeken. Dit speelt zich af in Nederland, maar de privacywetgeving is Europees. Dezelfde risico’s gelden voor elke kmo in Vlaanderen die persoonsgegevens verwerkt.
Computable meldt dat de Autoriteit Persoonsgegevens in 2025 meer dan 13.500 klachten en tips ontving, tegenover circa 7.700 in 2024. Dat is geen geleidelijke groei. Dat is een verdubbeling in één jaar.
De klachten draaien voornamelijk om twee problemen:
Ongeveer een derde van de klachten leidde tot een interventie van de AP, zoals het aanspreken van de betrokken organisatie of het bemiddelen tussen partijen. In 2025 werden ook 4 formele boetes opgelegd. De zorgsector werd het hardst getroffen, maar ook bedrijfsdienstverlening en overheidsinstanties staan in de top drie van meest betreffende sectoren.
Dit zijn Nederlandse cijfers, en die mag je niet zomaar één op één naar België vertalen. Maar de Algemene Verordening Gegevensbescherming (AVG), beter bekend als de GDPR, is identiek in beide landen. De processen die bij noorderburen falen, zijn exact dezelfde processen die ook bij Vlaamse kmo’s vaak niet formeel geregeld zijn.
De grootste valkuil bij privacy is denken dat het een IT-probleem is. Dat is het niet, of toch niet alleen. Privacy is een organisatorisch en contractueel vraagstuk.
Wanneer jij IT uitbesteedt, of klantgegevens, personeelsdossiers of andere persoonsgegevens laat beheren door een externe leverancier, blijf jij wettelijk verantwoordelijk voor wat er met die gegevens gebeurt. Als een klant een inzageverzoek indient en jouw leverancier reageert te traag of incompleet, is het jouw compliance-risico.
De wettelijke termijn voor een inzageverzoek is één maand, te rekenen vanaf de datum van het verzoek. Die termijn kan in uitzonderlijke gevallen verlengd worden tot drie maanden, maar dan moet je de betrokken persoon binnen die eerste maand al informeren over de verlenging. Wordt die termijn niet gehaald, dan kan de toezichthouder, in België de Gegevensbeschermingsautoriteit (GBA), optreden.
Voor kmo’s die niet beschikken over een eigen privacy-expert of een formeel register van verwerkingsactiviteiten, zijn de operationele risico’s reëel:
Die drie lacunes zijn niet hypothetisch. Ze zijn de kern van het merendeel van de klachten die de AP beschrijft.
Je hoeft geen juridisch expert te zijn om de meest urgente risico’s in kaart te brengen. Drie processen verdienen binnen 24 tot 72 uur jouw aandacht:
Als je één van deze drie vragen niet met zekerheid kunt beantwoorden, stel dan minstens de volgende vragen aan je IT-leverancier of externe dataverwerker:
Bij Clear IT bekijken we dit soort vragen regelmatig samen met klanten, bijvoorbeeld als onderdeel van een bredere IT-audit. Sommige aanpassingen zijn snel te regelen, andere vereisen contractuele bijsturing met je leveranciers. Het verschil kennen is de eerste stap.
De stijging van privacyklachten in Nederland is een signaal dat ook voor Vlaamse kmo’s telt. De GDPR is dezelfde wet, en de processen die falen zijn overal herkenbaar. Je hoeft niet alles tegelijk aan te pakken. Begin met de drie controles uit dit artikel. Stel de vragen aan je IT-leverancier. Controleer of jouw verwerkersovereenkomsten up-to-date zijn. Wie dat niet doet, ontdekt de gaten pas als er een klacht ligt, en dan is het duurder om te repareren dan te voorkomen.
Een inzageverzoek is een formeel verzoek waarbij iemand wil weten welke persoonsgegevens jij van hem of haar bijhoudt. Dat kan een klant zijn, een medewerker of een leverancier. Je bent wettelijk verplicht om binnen één maand volledig te antwoorden.
Nee. De GDPR maakt geen onderscheid op basis van bedrijfsgrootte. Elke organisatie die persoonsgegevens verwerkt, ook een kmo met vijf medewerkers, heeft dezelfde verplichtingen. De ernst van mogelijke handhaving kan variëren, maar de basisregels zijn identiek.
Een verwerkersovereenkomst is een contract tussen jou en een externe partij die persoonsgegevens voor jou beheert, zoals een IT-leverancier of salarisverwerker. Daarin staat hoe die partij omgaat met de gegevens, welke beveiliging ze toepassen en hoe ze jou helpen bij privacyverzoeken. Zonder zo’n overeenkomst draag jij het volledige risico als er iets fout loopt.
Dan is dat een contractueel en operationeel probleem dat je zo snel mogelijk moet aanpakken. Vraag je leverancier om schriftelijk te bevestigen welke procedure hij volgt en binnen welke termijn. Als hij dat niet kan, is het tijd om die verwerkersovereenkomst te herzien of een andere afweging te maken.
