AVG en maatwerk software: waar moet je op letten?

De AVG regelt hoe organisaties binnen de EU om moeten gaan met persoonsgegevens: van naam en e-mailadres tot IP-adressen en gedragsdata. Vrijwel elke applicatie die gebruikers, klanten of medewerkers registreert, verwerkt op een of andere manier persoonsgegevens. Denk aan een klantportaal, een CRM-koppeling, een inschrijfformulier of een dashboard met gebruikersstatistieken.

Bij kant-en-klare software ligt een deel van de verantwoordelijkheid bij de leverancier. Bij maatwerk software ontwerp je de dataverwerking zelf, samen met je ontwikkelpartner. Dat betekent meer vrijheid, maar ook meer verantwoordelijkheid: je kunt je niet verschuilen achter de instellingen van een standaardpakket. Fouten in het datamodel of de architectuur kunnen direct leiden tot een overtreding van de AVG.

Twee kernbegrippen uit de AVG die direct invloed hebben op softwareontwikkeling zijn privacy by design en privacy by default. Privacy by design betekent dat privacybescherming vanaf het eerste ontwerp wordt meegenomen, niet als los onderdeel achteraf toegevoegd. Privacy by default houdt in dat een systeem standaard de meest privacyvriendelijke instelling hanteert, bijvoorbeeld door alleen strikt noodzakelijke gegevens te verzamelen.

In de praktijk vertaalt dit zich naar concrete keuzes in de architectuur: welke velden zijn verplicht, welke gegevens worden wel en niet gelogd, wie heeft toegang tot welke data, en hoe lang blijven gegevens bewaard. Deze keuzes maak je idealiter voordat er een regel code geschreven is, niet achteraf.

De AVG eist dat je alleen gegevens verzamelt die noodzakelijk zijn voor een duidelijk omschreven doel (doelbinding), en niet meer dan dat (dataminimalisatie). Bij maatwerk software is dit een belangrijk aandachtspunt tijdens de functionele analyse: elk veld in een formulier of database moet je kunnen verantwoorden.

Wij zien in de praktijk vaak dat opdrachtgevers geneigd zijn om "voor de zekerheid" extra velden of trackingmogelijkheden toe te voegen, omdat het misschien later nog van pas kan komen. Vanuit AVG-perspectief is dat een risico: data die je niet nodig hebt, kun je beter niet verzamelen. Onze aanpak is meestal om bij de start van een project kritisch te kijken naar welke gegevens daadwerkelijk functioneel noodzakelijk zijn, en de rest bewust weg te laten.

De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beschermen. Voor maatwerk software betekent dit onder andere versleuteling van gevoelige data, een doordacht rechtensysteem (wie mag welke gegevens inzien of aanpassen), beveiligde verbindingen en logging van toegang tot persoonsgegevens.

Beveiliging en privacy liggen dicht bij elkaar, maar zijn niet hetzelfde: een goed beveiligd systeem kan alsnog in strijd zijn met de AVG als het bijvoorbeeld te veel data verzamelt of bewaart. Meer over de technische kant van beveiliging lees je in ons artikel over beveiliging van maatwerk software.

De AVG geeft mensen een aantal rechten over hun eigen gegevens: het recht op inzage, correctie, verwijdering ("recht om vergeten te worden"), dataportabiliteit en bezwaar tegen bepaalde verwerkingen. Bij maatwerk software moet je nadenken over hoe deze rechten technisch worden gefaciliteerd.

Kan een gebruiker zijn gegevens opvragen of laten verwijderen zonder dat een developer daar handmatig in de database voor moet duiken? Is er een exportfunctie voor dataportabiliteit? Deze functionaliteit voeg je het beste al toe tijdens de ontwikkeling, want achteraf inbouwen is vaak complexer en duurder, zeker bij systemen met koppelingen naar andere platforms, zoals een webportal of intranet of een e-learningplatform met een LMS-koppeling.

Wanneer je een extern bureau inschakelt om maatwerk software te bouwen of te hosten, en dat bureau komt daarbij in aanraking met persoonsgegevens, dan is een verwerkersovereenkomst wettelijk verplicht. Hierin leg je vast wie verantwoordelijk is voor welke verwerking, welke beveiligingsmaatregelen gelden en hoe wordt omgegaan met datalekken.

Het is belangrijk om helder te krijgen wie in jouw situatie de verwerkingsverantwoordelijke is (meestal de opdrachtgever) en wie verwerker (vaak het ontwikkelbureau of de hostingpartij). Deze verdeling bepaalt ook wie welke stappen moet zetten bij bijvoorbeeld een datalek.

Om AVG-compliance structureel mee te nemen in een softwareproject, hanteren wij in grote lijnen de volgende stappen:

1. Breng in kaart welke persoonsgegevens je daadwerkelijk nodig hebt en waarom (doelbinding).
2. Bepaal per gegeven wie er toegang toe moet hebben en leg dit vast in een rechtensysteem.
3. Kies bewust voor privacyvriendelijke standaardinstellingen (privacy by default).
4. Bouw functionaliteit in voor inzage, correctie en verwijdering van gegevens.
5. Zorg voor passende beveiligingsmaatregelen zoals versleuteling en logging.
6. Leg afspraken met externe partijen vast in een verwerkersovereenkomst.
7. Overweeg bij hoog-risico verwerkingen een Data Protection Impact Assessment (DPIA).

Dit stappenplan is geen garantie voor volledige compliance — daarvoor is vaak ook juridisch advies nodig — maar het zorgt wel dat privacy een vast onderdeel wordt van het ontwikkelproces in plaats van een losse checklist achteraf. Dit geldt overigens niet alleen voor complexe platforms, maar ook bijvoorbeeld wanneer je een maatwerk website laat maken met een contactformulier of klantaccount.