CRM en AVG: praktische selectiecheck

Een CRM-AVG-checklist begint niet bij een certificaat, maar bij uw eigen verwerking. Leg per gegeven vast waarom het nodig is, op welke grondslag het wordt verwerkt, wie toegang heeft, hoe lang het blijft en wat er gebeurt bij inzage, export of verwijdering. Test die afspraken met fictieve data vóór een systeem wordt gekozen of breder wordt ingericht.

Twee regels staan vast, ongeacht welk CRM u kiest. De leverancier verwerkt persoonsgegevens namens u, dus u sluit een verwerkersovereenkomst: de Autoriteit Persoonsgegevens wijst op artikel 28 lid 3 AVG en noemt instructies, geheimhouding, beveiliging en subverwerkers als vaste onderdelen. En wie vanuit het CRM commerciële e-mail stuurt, valt onder artikel 11.7 Telecommunicatiewet: u moet voorafgaande toestemming kunnen aantonen (lid 1), behalve bij eigen klanten voor gelijksoortige producten, mits u bij het verzamelen en in elk bericht een kosteloze afmelding aanbiedt (lid 4). Zakelijke adressen zonder toestemming mailen mag alleen als het bedrijf die juist voor zulke berichten heeft bekendgemaakt (lid 3); wij lazen de versie die geldt vanaf 15 augustus 2026 op 27 oktober 2026. Leg daarom per contact de herkomst en de toestemmingsstatus vast in een eigen veld.

Maak ieder veld verdedigbaar

Exporteer de huidige CRM-velden en groepeer ze als identiteit, contact, verkoopproces, communicatie, voorkeur of interne notitie. Benoem per veld een proceseigenaar en concreet doel. Een veld zonder eigenaar of aantoonbaar gebruik is kandidaat voor verwijdering, niet voor automatische migratie.

De Autoriteit Persoonsgegevens beschrijft de AVG-beginselen, waaronder doelbinding en dataminimalisatie. Vertaal dit naar een veldregister met naam, doel, grondslag, bron, toegangsrollen, bewaarbeleid en vervolgactie. Laat een privacydeskundige de juridische beoordeling doen; de checklist geeft geen individueel juridisch advies.

Gebruik vrije notities alleen wanneer de noodzaak duidelijk is. Laat testers een ongepaste of bovenmatige notitie invoeren en beoordeel welke instructie, validatie en controle nodig zijn. Een technisch vrij tekstvak is geen toestemming om alle beschikbare context vast te leggen.

Test rollen met één gevoelig dossier

Maak een fictieve organisatie met een contactpersoon, een verkoopkans, correspondentie en een interne notitie. Laat een verkoper, manager, servicemedewerker, marketeer en tijdelijke consultant afzonderlijk inloggen. Controleer per rol schermen, zoekresultaten, rapporten, downloads en meldingen.

Wijzig daarna de eigenaar van de verkoopkans en trek het tijdelijke account in. Herhaal dezelfde controles en open eerder gedeelde links. Bewaar een rechtenmatrix van vóór en na de wijziging. Toegang is pas beheerst wanneer oude rechten daadwerkelijk verdwijnen en uitzonderingen een einddatum en eigenaar hebben.

Plan een periodieke steekproef met medewerkers die van team zijn gewisseld of uit dienst zijn. Vergelijk actuele rollen met het personeels- of toegangsregister en onderzoek afwijkingen. Leg niet alleen vast dat een account is gesloten, maar ook wat met gedeelde exports, persoonlijke synchronisaties en gekoppelde applicaties gebeurt. Geef iedere herstelactie een eigenaar en controledatum.

Koppel bewaarbeleid aan gebeurtenissen

Een bewaartermijn werkt alleen wanneer duidelijk is vanaf welke gebeurtenis zij wordt berekend. Leg bijvoorbeeld vast wat er verandert bij verlies van een kans, einde van een klantrelatie, ingetrokken toestemming of afgehandeld verzoek. Vermijd één algemene termijn voor alle velden en documenten zonder juridische beoordeling.

Maak in de proef een verlopen testrecord en laat het proces signaleren wat moet worden beoordeeld, geanonimiseerd of verwijderd. Controleer ook gekoppelde activiteiten, exports, bijlagen en back-upprocedures. Vraag contractueel wie welke stap uitvoert en welk bewijs beschikbaar is. Een instelling op recordniveau kan onvoldoende zijn wanneer afgeleide gegevens elders blijven staan.

Voer inzage, export en verwijdering uit

Maak één fictief verzoek en wijs ontvangst, identiteitscontrole, zoekactie, beoordeling, levering en afsluiting aan concrete rollen toe. Laat het team alle relevante locaties inventariseren, inclusief gekoppelde systemen en lokale exports. Houd juridische termijnen en uitzonderingen buiten aannamen; laat de procedure door een deskundige valideren.

De AP licht het recht op dataportabiliteit toe voor situaties waarop dit recht van toepassing is. Test los daarvan welke CRM-gegevens gestructureerd kunnen worden geëxporteerd. Controleer relaties, activiteiten, eigenaarschap en bijlagen. Verwijder daarna de testpersoon volgens uw proces en verifieer zoekresultaten, rapporten en gekoppelde systemen.

Bewaar een controleerbaar privacydossier

Archiveer het veldregister, de rechtenmatrix, het bewaarscenario, het verzoekdossier en de testexport met datum en eigenaar. Noteer voor ieder open punt of het om recht, proces, contract of techniek gaat. Een productverklaring of beveiligingscertificaat kan ondersteunend bewijs zijn, maar vervangt deze operationele controles niet.

Herhaal de checklist bij een nieuwe integratie, nieuwe gegevenscategorie, reorganisatie of contractverlenging. Geef alleen groen licht wanneer noodzakelijke velden zijn onderbouwd, ongepaste toegang is ingetrokken, het bewaarbeleid uitvoerbaar is en een verzoek door een vervanger kan worden afgehandeld. Zo blijft privacy onderdeel van dagelijks CRM-beheer in plaats van een eenmalige selectievraag.