Hoi Jamal, welkom bij deze update over het VCA-startpakket voor jou en Erik. Vandaag duiken we in de uitvoering van de eerste essentiële stappen in ons topplan. We hebben het opgesplitst in drie heldere onderdelen die allemaal direct bruikbaar zijn: een privacy-aanzet voor de jurist, een lijst met vragen voor Erik, en een reparatielijst voor ons dossier.

De kern hier is privacy, ofwel de voorbereiding voor de DPIA – de Data Protection Impact Assessment. De Autoriteit Persoonsgegevens adviseert om hiermee in de ontwerpfase te starten, en dat is precies wat we nu doen. We hebben in kaart gebracht welke persoonsgegevens ons systeem straks gaat verwerken. Denk aan namen, adressen, BSN's, salarisgegevens voor ons vaste personeel, en belangrijke gegevens van inleners en zzp'ers – maar hierbij *nooit* een kopie van het ID. Ook veiligheidsregistraties zoals toolbox-presentie en certificaten als B-VCA worden meegenomen. Wat we *absoluut nooit* verwerken, zijn medische gegevens, strafrechtelijke informatie of afkomst. Een VOG wordt bijvoorbeeld alleen ‘gezien op datum’, maar niet opgeslagen.

Een DPIA is verplicht omdat werknemers als kwetsbare groep worden gezien, en ons systeem straks activiteiten op schaal monitort. Dit raakt aan meerdere criteria van de Europese privacywaakhond. We hebben trouwens al behoorlijk wat maatregelen ingebouwd: persoonsgegevens gescheiden opslaan, alles AES-256 versleuteld, data-minimalisatie per contractvorm afgedwongen en auditing van alle toegang. Het systeem komt bovendien in Nederland te staan. De privacyjurist kan nu deze voorbereidingen toetsen en ons helpen met het verwerkingsregister en een sjabloon voor verwerkersovereenkomsten.

Om vlot verder te kunnen, zijn we afhankelijk van een paar antwoorden van Erik. Hij heeft nog een paar openstaande vragen sinds juni, bijvoorbeeld over de rollen en contactgegevens van de verschillende NEN 3140-aanwijzingen, zoals de IV's en WV's. Ook moeten we weten hoe iedereen zijn herinneringen wil ontvangen: via WhatsApp, mail of een web-app. En waar het systeem uiteindelijk gaat draaien: onze eigen beveiligde web-app, of een koppeling met iets bestaands? Een hele mooie meevaller hierbij: als we Michelle's rol als HVK’er formeel vastleggen, dekken we direct een belangrijke VCA-mustvraag!

En dan, heel belangrijk, de reparatielijst voor het dossier. Dit is direct van grote waarde, nog vóór de software live is. Erik wordt bij de volgende controle, die rond de zomer van 2027 verwacht wordt, getoetst aan de nieuwe VCA-norm 2026/6.1. Er zijn een aantal gaten die we nú al moeten dichten. Denk aan het rechttrekken van ons meldingenregister – waren er echt nul incidenten de afgelopen twee jaar, of is er gewoon niet geregistreerd? Ook het actualiseren van de RI&E voor 2026 is cruciaal, net als het aandikken van ons VGM-bewustzijnsprogramma en een actuele registratie van personeelscertificaten. Erik kan met deze lijst in de hand een aantal punten direct oppakken, zoals het inhalen van de werkplekinspectie van juli 2026 en het controleren van volledige namen op toolbox-presentielijsten. De opzet van het dossier volgens de nieuwe 6.1-structuur en wat administratief opschoonwerk kan ik voorbereiden zodra we met bouwen starten.

Zodra Erik ons die antwoorden geeft, kan ik verder met fase twee uit ons plan van 23 juni: een klikbare demo van de digitale formulieren. Denk aan de klus-start-flow, de inspectie-flow en de toolbox-registratie, compleet met tellers en handtekeningen. Dit is niet alleen cruciaal voor de VCA, maar ook meteen de basis voor ons grotere SaaS-verhaal.

Ik hoor graag wat je ervan vindt, Jamal. Dan stuur ik deze update, na jouw akkoord, door naar Erik.