Wat betekent de nieuwe privacy wetgeving voor je bedrijf?

Het beschermen van gegevens, de checklist

25 mei komst steeds dichterbij, deze checklist helpt je website of webshop AVG-proof te maken.

1.   Privacy Policy

De bezoeker van je website heeft het recht te weten hoe zijn gegevens verwerkt worden. Met een privacy policy kan je de bezoekers informeren. In dit document staat onder andere beschreven wat je met de verzamelde gegevens doet en met welk doel je ze verzameld.

2.   Cookieverklaring

Net als bij een privacy policy wordt een cookieverklaring gebruikt om te verklaren waarvoor cookies gebruikt worden. Bezoekers moeten vóór het plaatsen van een cookie toestemming geven. Uitzondering hierop zijn functionele cookies: bijvoorbeeld het ingelogd blijven op een website of het onthouden van de inhoud van het winkelmandje.

3.   SSL-certificaat

Een SSL-certificaat beveiligt de verbinding tussen de bezoeker en de server waarop de website is gehost. Een SSL-certificaat is herkenbaar aan het groene slotje in de adresbalk. Door de verbinding te versleutelen wordt er voor gezorgd dat informatie, zoals persoonsgegevens, niet in verkeerde handen komen. Omdat je moet kunnen aantonen dat je de beveiliging op orde hebt, is het hebben van een SSL-certificaat belangrijk bij het ingaan van de AVG-GDPR.

Een SSL-certificaat is al beschikbaar vanaf €59,- per jaar, hiervoor kun je uiteraard contact met ons op nemen.

4.   Google Analytics

Google Analytics wordt gebruikt om statistieken te verzamelen van bezoekers op een website. Analytics plaatst analytische cookies bij een bezoeker. Voor het plaatsen van een cookie is toestemming nodig van de bezoeker. Wil je geen toestemming vragen maar het enkel melden? Dan moeten de gegevens geanonimiseerd worden. Het nadeel hiervan is, dat de verzamelde data minder nauwkeurig kan zijn.

5.   Formulieren

Gebruikers van je website moeten zelf akkoord geven dat hun gegevens gebruikt mogen worden, zoals gedaan wordt bij een bestelling. Bij het bestelproces zal hier dus rekening mee gehouden moeten worden. Dit vinkje mag niet meer vooraf gezet worden, de gebruiker moet dit zelf doen.

6.   Webshop

Ook voor webshophouders is het belangrijk dat gegevens van klanten veilig worden opgeslagen. Daarnaast mag je alleen gegevens opslaan die je echt nodig hebt. Voor webwinkels gelden daarom de volgende punten op basis waarvan je gegevens mag verzamelen:

• Verwerken van gegevens voor de uitvoering van de overeenkomst.
• Verwerken van gegevens om aan een wettelijke verplichting te voldoen.
• Verwerken van gegevens vanwege een gerechtvaardigd belang.
• Verwerken van gegevens na toestemming van de klant.

Klanten moeten daarnaast inzage hebben in hun eigen persoonlijke gegevens en ze moeten de mogelijkheid hebben om deze te corrigeren én deze te laten verwijderen.

7.   Bewaren van gegevens

Webshop of website, in beide gevallen sla je informatie op. In het ene geval zullen dit er meer zijn dan de ander. Het opstellen van een verwerkingsregister zorgt ervoor dat inzichtelijk is wat er met de persoonsgegevens gebeurd. In een verwerkingsregister hou je bij welke gegevens je verwerkt, hoe je aan deze gegevens komt en waarom je ze nodig hebt, maar bijvoorbeeld ook hoe deze gegevens beveiligd zijn. Dit is een belangrijk onderdeel van de nieuwe wetgeving. De AP (Autoriteit Persoonsgegevens) kan deze namelijk opvragen onder de verantwoordingsplicht.

Heb je een datalek? Het is belangrijk deze te documenteren én een procedure te hebben voor het geval er een datalek optreedt. Wanneer er een lek optreedt moet je dit binnen 72 uur melden bij het AP (Autoriteit Persoonsgegevens)

8.   Verwerkersovereenkomst

Wanneer je gegevens deelt met derden, bijvoorbeeld doordat een bestelling geleverd wordt door een pakketdienst, moet je volgens de nieuwe wetgeving zorgen dat de gegevens van je klant veilig zijn. Om dit te waarborgen sluit je een verwerkersovereenkomst af. Wanneer je een pakketje moet versturen aan je klant ben jij de “verwerkingsverantwoordelijke”. De pakketdienst is dan de “verwerker” van de gegevens.

Met de bovenstaande checklist ben je al goed op weg om je website of webshop AVG-proof te maken. Hieronder gaan we dieper in op de genoemde punten van de checklist.

Formulieren

Bij vrijwel alle formulieren worden gegevens gevraagd van een persoon, dit kan een contactformulier zijn maar ook wanneer een klant gegevens achter moet laten zodat jij een bestelling kan afhandelen.

Bij formulieren is het belangrijk om het ‘privacy by default’ principe aan te houden, een checkbox mag niet meer standaard aangevinkt zijn. Wordt er bij een formulier gegevens opgeslagen? Dan is het belangrijk om deze te versleutelen.

Webshop

Voor webshophouders komt er nog wat extra’s kijken, vooral omdat je ten alle tijden te maken hebt met gegevens die je moet verwerken. Ben je aangesloten bij WebwinkelKeur? Dan kan je gebruiken maken van een GDPR assessment tool. De kosten hiervan bedragen €115.

De gegevens die je opslaat heb je vaak nodig voor het uitvoeren van de bestelling. In de nieuwe wetgeving is hier rekening mee gehouden. Wanneer je gegevens verwerkt moet je je afvragen of ze onder een van deze vier punten vallen:

• Verwerken van gegevens voor de uitvoering van de overeenkomst.
  • Een adres heb je bijvoorbeeld nodig om een bestelling te leveren.
• Verwerken van gegevens om aan een wettelijke verplichting te voldoen.
  • Je mag bijvoorbeeld geen alcohol aan minderjarige verkopen.
• Verwerken van gegevens vanwege een gerechtvaardigd belang.
  • Wanneer je een e-mailadres hebt doordat een klant een bestelling heeft gedaan, mag je deze ook gebruiken om de klant te informeren over andere producten.
• Verwerken van gegevens na toestemming van de klant.
  • Na toestemming mag je de gegevens alleen gebruiken voor het doel waarvoor je ze verkregen hebt.

Als webshophouder moet je transparant zijn over de gegevens die je verzameld en met welk doel ze verzameld worden. Ook hier kan een privacy policy bij helpen.

Klanten moeten daarnaast de mogelijkheid hebben om hun eigen gegevens te kunnen opvragen, corrigeren en verwijderen. Wanneer een klant zijn persoonsgegevens opvraagt, ook wel dataportibiliteit genoemd, moeten je deze gegevens binnen één maand opsturen. Een simpel Excel bestand is hierbij al voldoende.

Een webshophouder heeft vaak ook te maken met derde partijen, Mollie voor de betalingen of Sendcloud als pakketservice. Je moet hier wel de persoonsgegevens van jouw klant doorgeven, deze zijn nodig voor de uitvoering van de overeenkomst. Hier heb je geen toestemming voor nodig, wel moet de klant geïnformeerd worden dat zijn gegevens gedeeld worden.

Bewaren van gegevens

Het is belangrijk om inzichtelijk te hebben welke gegevens je allemaal bewaard. Vanaf 25 mei geldt er een verantwoordingsplicht. Je moet kunnen aantonen dat je bedrijf zich aan de nieuwe wet houdt. Om aan te kunnen tonen dat de gegevens die je bewaard voldoende beschermt worden kun je een verwerkingsregister opstellen. In dit register hou je het volgende bij:

• Welke soort persoonsgegevens worden verzameld?
• Wat is het doel van deze persoonsgegevens?
• Welke interne partijen (zoals medewerkers) hebben toegang tot de gegevens?
• Welke externe partijen (zoals de pakketservice) hebben toegang tot de gegevens?
• Waar worden deze gegevens opgeslagen?
• Hoe worden deze gegevens beveiligd?
• Wat zijn de bewaartermijnen van deze persoonsgegevens?

Het opslaan van persoonsgegevens neemt ook een risico met zich mee, er kan een datalek plaatsvinden. Ben je slachtoffer van een datalek? Dan moet je dit binnen 72 melden bij de AP. Als er een lek heeft plaatsgevonden is het verplicht om dit te documenteren. Je moet kunnen uitleggen wat er is gebeurd, hoe het heeft kunnen plaatsvinden en nog belangrijker: Hoe je dit gaat voorkomen in de toekomst. Als je meer wil weten over wat je moet doen bij een lek kun je dit artikel raadplegen: https://www.vijverbergjuristen.nl/juridisch-advies/openbaarheid-en-privacy/datalek-melden-avg

Iets wat snel vergeten wordt zijn e-mails, deze worden gebruikt voor klantencontact, maar kunnen uiteraard ook persoonsgegevens bevatten. Hoe worden e-mails beveiligd en opgeslagen is dus ook zeker iets wat niet vergeten moet worden. Om dit inzichtelijk te maken kan er bijvoorbeeld in Outlook gekozen worden om een bericht te markeren die persoonsgegevens bevat. Zo zijn ze makkelijk terug te vinden wanneer je een verzoek tot verwijdering binnen krijgt.