De AVG-training: wat echt vereist is, wat een bewijs moet kunnen — en waaraan u onserieuze aanbiedingen herkent
„Zijn uw medewerkers getraind in gegevensbescherming — en kunt u dat aantonen?” Die vraag stelt niet eerst de toezichthouder. Ze staat in de leveranciersvragenlijst van uw grootste klant, in het auditplan van uw verzekeraar en na elk datalek in de kamer. Een letterlijke trainingsplicht zoekt u in de AVG vergeefs — en toch is er geen weg omheen. De reden heet verantwoordingsplicht.
Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op
De rechtsgrond: geen letterlijke plicht, wel drie wegen ernaartoe
De AVG zegt nergens „train uw medewerkers”. Ze zegt iets werkzamers: de verwerkingsverantwoordelijke moet passende maatregelen treffen en de naleving kunnen aantonen (art. 5 lid 2, art. 24), en moet technische en organisatorische maatregelen nemen die bij het risico passen (art. 32). Medewerkers die klantgegevens verkeerd versturen, phishing niet herkennen of klantenlijsten in open AI-tools plakken, zíjn een risico — en training is de organisatorische maatregel daartegen. Waar een FG is aangewezen, hoort bewustwording zelfs uitdrukkelijk tot diens taken (art. 39 lid 1 sub a).
De kernzin: training is niet als woord verplicht, wel als maatregel — en het bewijs ervan is het via de verantwoordingsplicht zeker.
Wat een bruikbaar trainingsbewijs bevat
„We hebben ooit iets gedaan” telt niet. Een bewijs dat vragenlijsten en audits doorstaat, is persoonsgebonden en verifieerbaar:
| Kenmerk | Waarom |
|---|---|
| Per persoon, met naam en datum | Algemene beweringen („het team is getraind”) zijn niet te toetsen |
| Benoemde inhoud | De toetser wil zien WAT is getraind — grondregels, rechten van betrokkenen, datalek, veilig werken |
| Toets met resultaat | Aanwezigheid is geen competentie; een quiz met slaaggrens komt dichterbij |
| Openbaar verifieerbaar | Een pdf kan iedereen printen — een controle-ID naar een databankvermelding niet |
| Vervaldatum en opfrissing | Privacykennis veroudert; jaarlijkse opfrissing is het gangbare ritme |
Waaraan u onserieuze aanbiedingen herkent
Een „AVG-certificering” van medewerkers of bedrijven in de zin van de verordening mogen alleen geaccrediteerde certificeringsinstanties verlenen (art. 42/43) — en die regelingen certificeren verwerkingsactiviteiten, geen personen. Wie u een „AVG-certificaat” verkoopt dat uw bedrijf „AVG-conform” maakt, verkoopt een formulering die de verkoper niet kan waarmaken. Serieus is het trainingsbewijs: „getraind in AVG-conform werken, met toets” — niet meer beweerd dan geleverd, en precies wat de verantwoordingsplicht vraagt.
Wat er inhoudelijk in hoort — 35 tot 45 minuten volstaan
Een effectieve basistraining voor alle medewerkers vraagt geen seminardag: kernbegrippen en verantwoordingsplicht, de grondregels (grondslag, doelbinding, dataminimalisatie), verzoeken van betrokkenen herkennen en doorgeven, het datalek en de 72-uursreflex, veilig werken in de praktijk (wachtwoorden, phishing, schermen, thuiswerken) — en de eigen bedrijfsregels: welke tools zijn vrijgegeven, wie het aanspreekpunt is. Dat laatste is het belangrijkste en ontbreekt in confectietrainingen het vaakst.
Zo doet KlarComply het
Onze privacytraining (circa 35–45 minuten per persoon) eindigt in een trainingsbewijs met openbaar verifieerbare ID — per persoon, met inhoud, resultaat en 12 maanden geldigheid. De bedrijfsmodule haalt uw echte regels en uw aanspreekpunt automatisch uit uw bewijsdossier. Inbegrepen vanaf Team Plus; voor Starter en Team als aanvullende module. Waar u staat, toont de gratis check van 2 minuten.
Veelgestelde vragen
Is AVG-training voor medewerkers wettelijk verplicht?
Niet als letterlijke plicht — wel als organisatorische maatregel volgens art. 24 en 32 AVG, waarvan het bedrijf de naleving volgens art. 5 lid 2 moet kunnen aantonen. In de praktijk vragen toezichthouders, zakelijke klanten en verzekeraars geregeld om het trainingsbewijs.
Bestaat er een officiële AVG-certificering voor medewerkers?
Nee. Certificeringen volgens art. 42 AVG verlenen alleen geaccrediteerde instanties — en zij betreffen verwerkingsactiviteiten, geen personen. Voor medewerkers bestaat het trainingsbewijs: persoonsgebonden, met inhoud, toets en verifieerbare ID.
Waar staat uw bedrijf?
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratisArtikel 5 AVG — beginselen, lid 2: verantwoordingsplicht
Artikel 32 AVG — beveiliging van de verwerking
Artikel 42 AVG — certificering (alleen geaccrediteerde instanties)