Kosten en budget
Hoeveel kost een AVG-register je per jaar als je alle uren meerekent?
Een AVG-register lijkt gratis zolang je het zelf invult in een bestand dat je al hebt. Zodra je de uren meetelt die erin gaan zitten, ziet de rekening er anders uit. Deze doorrekening laat zien uit welke posten de jaarlijkse kosten bestaan, welke post je meestal onderschat en wat het kost om helemaal geen register te hebben.
Waarom de kosten zelden op een factuur staan
De uitgaven aan een verwerkingsregister zijn voor het grootste deel geen uitgaven. Het zijn uren van mensen die ook iets anders hadden kunnen doen: een kantoormanager die systemen langsgaat, een praktijkhouder die bewaartermijnen opzoekt, een bestuurslid dat leveranciers nabelt.
Omdat die uren nergens worden geboekt, lijkt de goedkoopste oplossing altijd de oplossing die niets kost. Wie een keer op papier zet hoeveel tijd er werkelijk in gaat, komt vaak tot een andere conclusie.
Reken daarom met vier posten: opbouw, onderhoud, gereedschap en risico. De eerste twee zijn uren, de derde is een bedrag per maand, de vierde is een bedrag dat je hopelijk nooit betaalt.
Post 1: de uren om het register op te bouwen
De opbouw is eenmalig en bestaat uit drie soorten werk. Inventariseren, invullen en controleren.
- Inventariseren. Rondgang langs de processen: personeel, klanten of patienten, website, boekhouding, camera's, nieuwsbrief, sollicitaties. Dit kost het meeste tijd bij organisaties die nooit eerder in kaart brachten waar gegevens staan.
- Invullen. Per verwerking het doel, de grondslag, de categorieen betrokkenen en gegevens, de ontvangers en de bewaartermijn. Met een goed sjabloon gaat dit sneller dan met een lege tabel.
- Controleren. Nalopen of elke regel klopt, of de leveranciers ontbreken en of de bewaartermijnen een reden hebben.
Wat de opbouw duur maakt, is niet het typen maar het zoeken. Wie geen sjabloon heeft, begint bij een leeg document en bedenkt zelf welke kolommen erin horen. Dat is precies de fase waarin de meeste tijd verdwijnt. De checklist met de velden die minimaal in je register horen haalt die zoektocht eruit.
Post 2: de uren om het bij te houden
Onderhoud is de post die iedereen vergeet in te schatten en die over een paar jaar de grootste is. Een register veroudert vanzelf, want organisaties veranderen: een nieuw boekhoudpakket, een andere salarisverwerker, een webshop, een camera bij de achterdeur.
Het onderhoud bestaat uit twee bewegingen. De eerste is de vaste ronde, twee keer per jaar, waarin je alle regels langsloopt. De tweede is de losse wijziging op het moment dat er iets verandert, en die is alleen goedkoop als iemand er direct aan denkt.
Gebeurt dat laatste niet, dan verschuift het werk naar de volgende ronde en is het duurder geworden. Je moet dan namelijk eerst reconstrueren wat er sinds de vorige versie is veranderd, en dat is archeologie in plaats van administratie.
Het verborgen kostenpunt: personeelswisseling
De grootste onderhoudskosten ontstaan als de invuller vertrekt. Het register staat dan in een bestand op een schijf, de opvolger weet niet welke versie geldt, en in de praktijk begint die opnieuw. Dan betaal je de opbouwkosten een tweede keer.
Post 3: het gereedschap
Deze post is de enige die je vooraf precies kent. Een spreadsheet kost niets extra's, registersoftware kost een bedrag per maand. Voor AVG Register Pro ziet die post er zo uit.
| Pakket | Per maand | Per jaar |
|---|---|---|
| Register | 19 euro | 228 euro |
| Praktijk | 39 euro | 468 euro |
| Organisatie | 79 euro | 948 euro |
Het algemene btw-tarief is 21 procent. Ben je btw-plichtig, dan is de licentie voor jou de kale prijs, want je trekt de voorbelasting af. Voor organisaties zonder recht op aftrek, zoals veel verenigingen en een deel van de zorg, telt het brutobedrag wel mee in de begroting.
De afweging tussen een gratis bestand en een licentie is dus niet gratis tegenover betaald, maar uren tegenover euro's. Die vergelijking staat uitgewerkt in het stuk over het verwerkingsregister in Excel tegenover registersoftware.
Post 4: de kosten die pas zichtbaar worden bij een incident
De vierde post is de reden dat de eerste drie de moeite waard zijn. Er zijn drie momenten waarop een ontbrekend of verouderd register direct geld kost.
Een uitvraag van de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens kan het register opvragen en dan moet je het kunnen overleggen. Heb je het niet, dan bouw je het onder tijdsdruk alsnog op, met een adviseur ernaast omdat het nu goed moet zijn. Dat is dezelfde opbouw als in post 1, maar dan in een week en tegen extern tarief.
Een datalek
Een datalek moet je binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens melden, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Intern registreren moet je elk datalek. Zonder actueel register weet je in die 72 uur niet welke gegevens er in het getroffen systeem stonden, welke leverancier erbij betrokken is en wie de betrokkenen zijn. Alle uren die je daaraan besteedt, vallen in het duurste tijdvak dat er is.
Een verzoek van een betrokkene
Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar moeten binnen een maand worden beantwoord, met een verlenging van maximaal twee maanden. Het register vertelt waar je moet zoeken. Ontbreekt het, dan gaat de eerste week op aan uitzoeken in welke systemen de persoon voorkomt.
De bovengrens van de boete
De AVG kent een maximale boete van 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat is een wettelijk plafond en geen bedrag dat een huisartsenpraktijk of een sportvereniging tegemoet kan zien. Neem het niet op in je begroting als verwacht bedrag, maar wel als reden waarom deze administratie geen vrijblijvende klus is.
Zo maak je je eigen rekensom
Vul de vier posten in met je eigen getallen. Je hebt er drie nodig: het aantal verwerkingen, het uurtarief waarmee je intern rekent en het gekozen pakket.
- Schat de opbouw: aantal verwerkingen maal de tijd per regel, plus de rondgang langs de processen.
- Schat het onderhoud per jaar: twee vaste rondes plus de losse wijzigingen.
- Vermenigvuldig die uren met je interne uurtarief.
- Tel de licentie per jaar erbij op, of nul als je in een spreadsheet blijft.
- Zet er los onder wat een week reconstructiewerk onder tijdsdruk je zou kosten.
De uitkomst verrast meestal op hetzelfde punt: de licentie is de kleinste post, en de uren die je bespaart met sjablonen, herinneringen en een export zijn groter dan het abonnement. Wie in het eerste jaar alleen de opbouw hoeft te doen en daarna twee korte rondes per jaar draait, houdt de post onderhoud klein.
Waar organisaties geld verliezen zonder het te merken
- Twee keer beginnen. Een register dat na een personeelswissel opnieuw wordt gebouwd, kost de opbouwuren dubbel.
- Adviseren wat je zelf weet. Een extern uurtarief betalen om op te schrijven welke systemen je gebruikt, terwijl alleen de beoordeling van lastige gevallen echt advies vraagt.
- Losse bestanden. Zoeken naar de laatste versie kost per keer weinig en per jaar veel.
- Ontbrekende verwerkersovereenkomsten. Achteraf bij tien leveranciers een overeenkomst opvragen kost meer tijd dan bij aanschaf een keer vragen.
- Alles opnieuw uitzoeken bij elk verzoek. Zonder register begint elke inzageaanvraag bij nul.
Wat je niet hoeft te kopen
Er is geen verplicht keurmerk, geen voorgeschreven pakket en geen certificering die je moet aanschaffen om aan artikel 30 AVG te voldoen. Er is ook geen verplichting om een externe partij in te schakelen: een organisatie mag haar eigen register opstellen.
Een functionaris gegevensbescherming is niet voor elke organisatie verplicht, en software vervangt die functie ook niet. Registersoftware is administratie: het zorgt dat je vastlegging compleet, actueel en aantoonbaar is. De beoordeling of een verwerking rechtmatig is, blijft mensenwerk. Hoe die verdeling in een zorgpraktijk uitpakt, laat het geschetste voorbeeld van een fysiotherapiepraktijk met gezondheidsgegevens zien.
Wie de vier posten wil terugbrengen tot een abonnement en twee korte rondes per jaar, kan daarvoor het verwerkingsregister van AVG Register Pro gebruiken, inclusief het datalekregister. Wie deze doorrekening heeft opgesteld en vanuit welke praktijk, staat op de pagina over de auteur van deze site.
Conclusie: de licentie is de kleinste post op de rekening
Een AVG-register kost tijd, en die tijd is er in twee smaken: eenmalig bij de opbouw en jaarlijks bij het onderhoud. Het gereedschap is daarnaast een bescheiden post, en de duurste variant is de organisatie die pas begint op het moment dat er een uitvraag, een datalek of een inzageverzoek ligt.
AVG Register Pro is bedoeld om de urenposten klein te houden: sjablonen voor personeel, klanten, website en leveranciers, herinneringen per eigenaar, een gekoppeld datalekregister en een export als pdf met datum en versienummer. Wil je weten welk pakket bij jouw aantal verwerkingen past, leg je situatie dan voor via het contactformulier en vermeld hoeveel mensen aan het register meewerken.
