Nieuwsbrief SBA september 2017

Afgelopen week hadden we een bijeenkomst met de Raad van Toezicht van het kassakeurmerk. Een mooi moment om alle lopende ontwikkelingen op een rijtje te zetten en met elkaar te bespreken. En wat speelt er momenteel veel. In december 2016 is er tussen Nederland, Duitsland en Frankrijk een overeenkomst gesloten over de samenwerking op het gebied van de certificering van cloud-diensten. Dit maakt onderdeel uit van het project ‘Partnering Trust’, een ecosysteem voor betrouwbare en veilige online diensten. Ik heb u hier eerder over geïnformeerd. Deze maand komt de groep opnieuw bijeen. Nog vier Europese landen zullen gaan participeren in dit samenwerkingsverband.
Vanuit ons onderzoek ‘de toekomst van de kassa’ is duidelijk geworden dat bijna de helft van de leveranciers van afrekensystemen al in de cloud actief is. Nog eens 40% geeft aan hier mee bezig te zijn of over na te denken. Wij volgen nauwgezet waar raakvlakken zijn of versterking plaats vindt.

In deze nieuwsbrief informeren wij u over de Algemene Verordening Gegevensbescherming (AVG). Ondernemers moeten hun bedrijfsvoering voor 25 mei 2018 in overeenstemming brengen met de AVG. We hadden natuurlijk al te maken met de Wet bescherming persoonsgegevens. Maar deze nieuwe (Europese) verordening reikt veel verder en de gevolgen van niet naleven zijn aanzienlijk zwaarder. Wij nemen u mee in wat er gaat veranderen en hoe u zich hierop kunt voorbereiden. En vanzelfsprekend houden wij u de komende tijd op de hoogte over ontwikkelingen op dit gebied.

Voor ik afsluit wil ik Software Support Nederland nog van harte welkom heten als aspirant deelnemer van het keurmerk en veel succes wensen met de procedure. Heeft u ook interesse in het keurmerk of wilt u ergens met ons over van gedachten wisselen, neem gerust contact met ons op.

Will Reijnders

Wij nemen u al enige tijd mee in de ontwikkeling van het (aangepast) normenkader en daarbij een nieuwe privacywet voor heel Europa, dat is wat de Algemene Verordening gegevensbescherming (AVG) ons brengt. De AVG volgt de Wet bescherming persoonsgegevens inclusief de daaruit voortvloeiende wet op datalekken op. Alles is nu ondergebracht in de AVG. De AVG is Nederlandse vertaling van de Europese “General Data Protection Regulation (GDPR)”. Deze verordening geldt sinds mei 2016 in heel Europa en dus op dit moment van toepassing op iedere organisatie binnen de EU. Van organisaties wordt verwacht dat zij hun bedrijfsvoering met de AVG in overeenstemming brengen. Zij krijgen daarvoor tot 25 mei 2018 de tijd. Daarna mag ieder individu een organisatie op de naleving van de AVG aanspreken.

Wat gaat er veranderen?
De wet is niet helemaal nieuw. Er was al veel geregeld onder de wet bescherming persoonsgegevens, maar deze was niet toegesneden op het hedendaags gebruik van internet en cloudapplicaties. Deze verordening is echter vele malen omvangrijker in reikwijdte en daarnaast zijn de gevolgen voor het niet naleven ook aanzienlijk zwaarder.

De AVG stelt de gebruiker van bijvoorbeeld een clouddienst of de natuurlijke persoon centraal. Deze persoon moet meer bescherming krijgen en meer mogelijkheden tot bescherming van zijn persoonsgegevens. Activiteiten vallen al snel onder de privacywet. Het centrale begrip ‘persoonsgegevens’ verandert namelijk: naast bestanden met namen, adressen en dergelijke vallen nu ook bijvoorbeeld gegevens gekoppeld aan IP-adressen, MAC-adressen en cookies onder de wet. Een online kassasysteem kan gekoppeld zijn aan een CRM-systeem waarin de voorkeuren van een klant worden bewaard, een boekhoudapplicatie bewaart factuurgegevens met daarop adressen en vaak e-mail-gegevens. Deze factuurgegevens kunnen al naar gelang de aard van de geleverde goederen of diensten al gevoelige informatie bevatten. Denk eens aan de factuur van een gemiddeld kinderdagverblijf. Daarop staan BSN-nummers, geboortedata, namen etc. Wellicht bewaren ze ook onlinegegevens als ziektes en informatie over voeding etc. Oftewel, als ondernemer moet je kiezen voor een deugdelijke verwerker. Je hebt te maken met veel juridische eisen vanuit de AVG, maar de AVG stelt ook een eis aan de online applicaties die je als ondernemer gebruikt. Je mag uitsluitend een beroep doen op online aanbieders die afdoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen zodat bescherming van de rechten van jouw klanten gewaarborgd is.

Wat komt er verder zoal bij kijken:

• Privacyverklaring moet nog transparanter
• Alle datalekken moeten intern worden gedocumenteerd
• Alle verwerkingen van persoonlijke gegevens moeten worden gedocumenteerd, ook de triviale zoals personeelsadministratie en nieuwsbrieven
• U moet met al uw leveranciers en afnemers een verwerkingsovereenkomst sluiten over de omgang met persoonlijke gegevens
• De boetes worden veel hoger
• Mogelijk heeft u een privacy officer nodig
• Bij risico’s aan een verwerking moet een complete Privacy Impact Assessment (PIA) uitgevoerd worden
• U moet zo min mogelijk privacy-gevoelige informatie verzamelen en deze zo snel mogelijk weer weg gooien, tenzij relevant en vallend onder de (fiscale) bewaarplicht
• Uw software en diensten moeten vanaf het eerste begin rekening houden met privacy
• Uw hele beveiliging en dus ook die van uw toeleveranciers met wie u data deelt, u van data voorzien of namens u data bewaren, moet op orde zijn
• U moet een intern privacy-beleid publiceren waarin staat wie, welke rol heeft
• U moet om kunnen gaan met verzoeken van personen zoals een verzoek om inzage in of correctie van gegevens
• Bij online diensten moet de informatie kunnen worden geëxporteerd in een standaardformaat
• Als u met buitenlandse partijen werkt, dan moet u controleren of zij binnen of buiten de EU persoonlijke informatie opslaan
• Maakt u interesseprofielen of risicoanalyses, dan moet u op verzoek kunnen uitleggen hoe dit gebeurt
• Bij gebruik van biometrische gegevens geldt een streng beschermingsregime.

Keurmerkkassa en AVG
Als het afrekensysteem persoonsgegevens kan verwerken moet er aan de AVG voldaan worden. Vanuit de normering Betrouwbaar Afrekensysteem is de beveiliging van het systeem juist een van de uitgangspunten. Er worden verschillende technische en organisatorische maatregelen geboden om aan de eisen op het gebied van integriteit, bewaren en rapporteren te voldoen. Het volgen van de keurmerknormen helpt u op een aantal onderdelen om te voldoen aan de uitgangspunten van de AVG.

• Vanuit de normering wordt er gestreefd naar het voorkomen van inbreuk op de database, of het tenminste constateren hiervan. Datalekken moeten intern worden gedocumenteerd. Wij verwijzen hiervoor naar onderdeel 5.3 van de zelfbeoordeling.
• Bij online diensten is het uitgangspunt dat informatie moet kunnen worden geëxporteerd in een standaardformaat. Zie hiervoor onderdeel 5.4 van de zelfbeoordeling.
• Vanuit de normering van het kassakeurmerk is de plaats waar informatie wordt opgeslagen van groot belang. Dit kan nationaal maar ook internationaal zijn. Wij verwijzen hiervoor naar de onderdelen 5.3.10 en 5.3.11 van de zelfbeoordeling.

Het AVG-terrein is nog sterk in beweging. Zo heeft de EU recent de ’code of conduct’ voor cloud service providers gepubliceerd. Wij volgen samen met u de ontwikkelingen.
Om u als ondernemer te faciliteren, hebben we een aantal factsheets van ICT Recht, onze adviseur van de juridische maatregelen in ons normenkader, overgenomen en gepubliceerd op onze website bij het onderdeel documenten.

U treft daar ter informatie de volgende factsheets aan:

• De algemene verordening gegevensbescherming wat verandert er echt?
• Nadere toelichting op het register van verwerkingen van persoonsgegevens;
• Handvatten voor het registeren van datalekken.

Veel bedrijven verwerken persoonsgegevens, en waarschijnlijk op meer plekken dan zij zich bewust van zijn. Vanaf 25 mei 2018 moet elk bedrijf dit precies weten, want vanaf die dag moet elke organisatie die persoonsgegevens verwerkt een interne registratie hebben van álle bestanden en het gebruik van persoonsgegevens. Die dag treedt namelijk de AVG in werking, met strenge nieuwe eisen over beveiliging, datalekken, compliance en aansprakelijkheid. De boetes zijn hoog. Actie is dus geboden voor alle bedrijven die persoonsgegevens verwerken. Bent u er klaar voor? Lees hier wat u precies moet bijhouden, hoe om te gaan met toestemming voor verwerking van gegevens en wat er verder verandert.

Afrekensystemen (ook wel kassasystemen genoemd) zijn systemen die zich meestal op een vaste plek in een vestiging bevinden, waarmee aankopen van goederen en diensten door klanten worden afgehandeld. De betalingen worden geregistreerd en de klant ontvangt een bewijs van betaling. Vaak zijn meerdere betaalwijzen mogelijk, waarvan contant geld en kaartbetalingen de meest gebruikelijke zijn. Een afrekensysteem voert o.a. de volgende taken uit:

• Identificeren en registreren van alle goederen en diensten die de klant koopt;
• Berekenen van het totale bonbedrag (inclusief BTW en eventuele toeslagen en kortingen);
• Uitvoeren van de betaling (registratie, kassabon aanmaken) van het totale bedrag.

Op Checkout.nl wordt een overzicht gegeven van zowel afrekensystemen als betaalsystemen die op de Nederlandse markt worden aangeboden. De afrekensystemen kunnen worden ingedeeld in drie groepen: kasregisters, computerkassa’s en tablet kassa’s.

Betaalsystemen (of betaalautomaten) zijn systemen waarmee het mogelijk is om kaartbetalingen te accepteren. Op Checkout.nl zijn deze systemen ingedeeld in twee groepen: betaalautomaten en mPOS. Als de klant gebruik wil maken van kaartbetalingen (pinpassen, creditcards, cadeaukaarten, klantenkaarten e.d.) wordt de betaling – een van de kerntaken van een afrekensysteem – gedaan op een specifiek betaalsysteem. De veilige betaalsystemen (o.a. via certificering) hebben verbindingen met betaalinstellingen.

Kassakoppelingen
Een betaalsysteem hoeft niet gekoppeld te zijn aan een afrekensysteem. Bij veel (met name kleinere) bedrijven zijn beide systemen niet aan elkaar gekoppeld. Het nadeel hiervan is dat het afrekenen meer tijd kost en dat de kans op fouten groter is omdat de caissière het bonbedrag vanaf de kassa handmatig moet invoeren in de betaalautomaat. Op Checkout.nl wordt een onderscheid gemaakt tussen twee typen kassakoppelingen: Een eenvoudige kassakoppeling of een geavanceerde kassakoppeling.

Lees het complete artikel op onze website.

PIANOo
Bij aanbestedingen is het van belang vooraf na te denken over het gewenste afrekensysteem en betaalautomaat. Een betrouwbaar betalingssysteem biedt aanbestedende diensten waardevolle gegevens die inzicht geven in de bedrijfsvoering. Om te komen tot een juiste keuze is kennis van de markt van groot belang. Daarom is in samenwerking met het expertisecentrum Aanbesteden van het ministerie van EZ het marktdossier betaalautomaten en afrekensystemen opgesteld. Dit marktdossier omvat de onderdelen: inkopen betaalautomaten en afrekensystemen en handreikingen. Het hele dossier betaalautomaten en afrekensystemen is te lezen op https://www.pianoo.nl/markten/betaalautomaten-afrekensystemen

Ondernemersplein
Van wetgeving tot belastingregels en van subsidies tot branche-informatie. Via Ondernemersplein.nl vinden ondernemers informatie van de (semi-) overheid die nodig is om te ondernemen. Dat voorkomt dat ondernemers steeds weer op zoek moeten naar informatie. Het levert dus meer tijd op om te ondernemen. En dat is wat veel ondernemers willen.
Sinds kort is ook het kassakeurmerk te vinden op de site van het Ondernemersplein. Met de keuze voor een kassa met keurmerk voldoet een ondernemer bv aan de fiscale bewaarplicht. Hier is momenteel veel vraag naar. Het Ondernemersplein faciliteert ondernemers waar mogelijk in het leveren van oplossingen. Lees hier de vermelding van het kassakeurmerk op het Ondernemersplein.

De Oranjehoek is in ’s-Gravenzande een begrip. Al sinds 1977 is het bedrijf er gevestigd. In 2000 heeft Frans de Jong de zaak van zijn ouders overgenomen. Voor een Oerfrietje van echte Agia aardappelen of een van de vele burgers kan je in de zaak prima terecht. De laatste worden onder het concept ‘de Westlandse Burgerfabriek’ aangeboden. Hiervoor is een speciale menukaart samengesteld.

Vijf jaar geleden heeft Frans voor een afrekensysteem van Next to Food gekozen. Een goed systeem, een klik met de mensen in het bedrijf maar ook kans op vernieuwing voor de zaak. Oranjehoek werkt met een fysieke kassa op de balie, een lap top voor de online bestellingen en een IPad voor de kleine aankopen zoals ijsjes en milkshakes. Online bestellingen hebben een enorme vlucht genomen. Bestellingen komen binnen via het online systeem of de bestelapp en kunnen worden bezorgd of afgehaald. Het systeem helpt hierbij een handje in de planning: de klantgegevens zijn bekend, er is al vooraf betaald dus dat staat garant voor snelheid en het systeem berekent hoe laat de bestelling voor de klant klaar staat. Dit is op drukke dagen als vrijdag en zaterdag een voordeel.

Als eigenaar, manager en medewerker van de Oranjehoek is alle support die zijn afrekensysteem hem kan bieden welkom en dan graag op een betrouwbare manier. Inzicht in de bedrijfsvoering is natuurlijk heel belangrijk. Gegevens als omzet, postcodegebied en soort bestellingen. Voor de komende periode staat er naast een verbouwing van een deel van de winkel ook een koppeling met een personeelsplanningssysteem op de agenda. Maar er kan nog veel meer, er zit zoveel data in het systeem.

Met ingang van juli 2017 is Software Support Nederland (SSN) aspirant deelnemer van Stichting Betrouwbare Afrekensystemen. SNL-kassa levert het kassasysteem voor het moderne cannabis verkooppunt. Wij wensen SSN veel succes met het doorlopen van de procedure.

Mocht u ook interesse hebben in het kassakeurmerk, wij informeren u graag over alle ins en outs. U kunt ons bereiken via nummer 070-3206730.

Detailhandel Nederland
11 september 2017

Nieuwe privacywet AVG dwingt ook winkeliers tot maatregelen
Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (kortweg “AVG”) in Nederland van toepassing. De AVG privacywet dwingt ondernemers tot maatregelen. Dat kan ook gelden voor winkeliers. Detailhandel Nederland lanceert daarom een online checklist die winkeliers helpt om zich beter voor te bereiden. Lees het hele bericht op de site van www.detailhandel.nl.

Gesignaleerd op Twitter
@Ondernemersplein.nl
10 september 2017