GDPR voor installateurs: zo ga je om met klantgegevens

De GDPR, in het Nederlands de AVG, geldt voor elk bedrijf dat persoonsgegevens verwerkt, ook voor een installateur met twee techniekers. Dat klinkt zwaarder dan het in de praktijk is. Voor de meeste installateurs komt het neer op een paar goede gewoonten. Dit artikel is geen juridisch advies; voor je eigen situatie kan je terecht bij de Gegevensbeschermingsautoriteit of een specialist.

Welke gegevens verwerk je als installateur?

Meer dan je zou denken. Een typisch dossier bevat:

• naam, adres, telefoonnummer en e-mailadres van de klant;
• het installatieadres, als dat anders is;
• foto's van de woning, binnen en buiten;
• notities van het plaatsbezoek, soms met details over de bewoners ("oudere dame, slecht te been");
• de handtekening van de klant op de opleveringsbon;
• facturen en betalingsgegevens.

Ook gegevens van je eigen medewerkers vallen onder de GDPR, maar dit artikel gaat over klantgegevens.

Mag je die gegevens gebruiken?

Ja, als je een geldige grond hebt. Voor een installateur is dat meestal de overeenkomst met de klant: je hebt zijn adres en telefoonnummer nodig om de airco te plaatsen. Voor je facturen speelt ook een wettelijke verplichting. Voor andere doelen, zoals een nieuwsbrief, heb je soms toestemming nodig. Stuur je bestaande klanten informatie over gelijkaardige diensten, dan gelden er specifieke regels; kijk ze na voor je begint.

Neem enkel wat je nodig hebt

Het principe van de GDPR is eenvoudig: verwerk niet meer dan nodig. Voor een installateur betekent dat bijvoorbeeld:

• Noteer geen rijksregisternummer als je het niet nodig hebt.
• Schrijf in je notities wat nodig is voor het werk ("trap smal, ladder via de tuin"), geen persoonlijke beoordelingen.
• Fotografeer de muur en de meterkast, niet de bewoners.

Hoe lang bewaar je klantgegevens?

Niet langer dan nodig voor het doel. Dat is geen vaste termijn, maar een afweging die je zelf maakt en opschrijft. Denk aan:

• de duur van de garantie en de aansprakelijkheid voor je werk;
• onderhoud: een klant met een onderhoudscontract blijf je natuurlijk volgen;
• wettelijke termijnen voor facturen en boekhouding: vraag je boekhouder welke voor jou gelden.

Spreek een termijn af per soort gegevens en ruim regelmatig op. Een oud dossier van een klant die al jaren niets meer vroeg, hoeft niet eeuwig te blijven bestaan.

Verwerkers: je software, je boekhouder, je cloud

Gebruik je software die klantgegevens voor jou bewaart, dan is die leverancier een verwerker. Met elke verwerker moet je een verwerkersovereenkomst hebben, zo staat het in artikel 28 van de GDPR. Daarin staat onder meer wat de verwerker met de gegevens mag doen, hoe hij ze beveiligt en wie zijn onderaannemers zijn. Vraag die overeenkomst op bij elke leverancier, en kijk waar de gegevens staan: binnen of buiten de EU.

Bij AircoFlowPro aanvaard je de verwerkersovereenkomst bij de registratie. Hosting, database en foto's staan in de EU; voor e-mail gebruiken we een dienst die mails ook in de VS bewaart, met de wettelijke waarborgen. Alles staat op de pagina Subverwerkers.

WhatsApp en de privé-gsm

Veel techniekers delen foto's en adressen via WhatsApp op hun eigen gsm. Dat is handig, maar het brengt risico's mee:

• Klantgegevens staan op een toestel dat niet van het bedrijf is.
• Als de technieker vertrekt, vertrekken de gegevens mee.
• Een gsm die verloren of gestolen wordt, geeft toegang tot alles.
• Foto's worden vaak automatisch mee opgeslagen in een privé-back-up.

Spreek af dat werkgegevens in een systeem van het bedrijf komen, met een eigen login per medewerker. Gebruik je toch een chat, beperk dan wat erin komt en ruim ze regelmatig op.

Beveiliging die past bij een klein bedrijf

• Een eigen login per medewerker, geen gedeeld wachtwoord
• Een code of vingerafdruk op elke gsm met werkgegevens
• Medewerkers die vertrekken, verliezen meteen hun toegang
• Een back-up van je gegevens, op een andere plaats dan het origineel
• Elke medewerker ziet enkel wat hij nodig heeft

Wat bij een datalek?

Een datalek is meer dan een hacker. Een verloren gsm met klantgegevens, een e-mail met klantenlijst naar het verkeerde adres of een map die per ongeluk openbaar staat: het zijn allemaal datalekken. Vormt het lek een risico voor de betrokkenen, dan moet je het binnen 72 uur na ontdekking melden aan de Gegevensbeschermingsautoriteit. Bij een hoog risico verwittig je ook de betrokken klanten. Hou in elk geval intern bij wat er gebeurde en wat je deed.

Rechten van je klanten

Een klant kan vragen welke gegevens je van hem hebt, ze laten verbeteren of, in bepaalde gevallen, laten verwijderen. Je moet daar in principe binnen een maand op antwoorden. Kan je niet alles verwijderen omdat je facturen moet bewaren, leg dat dan uit.

Een register en een privacyverklaring

De GDPR vraagt een register van verwerkingsactiviteiten. Er is een uitzondering voor bedrijven met minder dan 250 werknemers, maar die geldt niet als je gegevens regelmatig verwerkt, en klantenbeheer gebeurt bij een installateur elke dag. Een eenvoudig register volstaat: welke gegevens, waarom, hoe lang, wie erbij kan. Zet daarnaast een korte privacyverklaring op je website of bij je offertes. De Gegevensbeschermingsautoriteit heeft informatie en modellen voor kmo's.

Veelgestelde vragen