Hoe zit het nu met de AVG? En wat betekent dit voor jouw website?

Wat heeft de privacywet AVG (Algemene Verordening Gegevensbescherming) voor consequenties voor je website en wat moet je aanpassen om 25 mei 2018 AVG-proof te zijn?

De verscherping van de regels en de hoge boetes maken veel organisaties onrustig. Wij als internetbureau krijgen dan veel vragen wat de AVG voor gevolgen heeft voor je website. Op zich niet vreemd want een website is in veel gevallen een startpunt voor het verzamelen van persoonsgegevens en speelt daarom een belangrijke rol.

Het is belangrijk om te beseffen dat de AVG veel verder gaat dan alleen de website en dat alle processen en afdelingen binnen een organisatie die persoonsgegevens verwerkt hiermee te maken krijgen. In sommige gevallen is het bijvoorbeeld verplicht een privacy officer aan te stellen. Wil je meer hierover weten dan is de website van Autoriteit Persoonsgegevens een goed startpunt.

Hoe maak je jouw website AVG-proof?
Over het algemeen gaat de AVG over verantwoordelijkheid en transparantie. Wat ga je met de persoonsgegevens die je verzamelt doen? Welke organisaties hebben nog meer inzicht in deze gegevens? En ga je verantwoordelijk met de gegevens om?

In principe gelden de regels voor alle websites met daarop formulieren of websites waarbij gebruikers kunnen inloggen. In beide gevallen vraag je persoonsgegevens op of sla je deze op in de database van je website.

Bij de onderstaande lijst met stappen ben ik uitgegaan van een praktisch voorbeeld dat voor veel websites geldt, namelijk de aanmelding voor een nieuwsbrief. Dit lijkt een simpel formulier maar het heeft, zoals je hieronder zult zien, toch wat haken en ogen.

1# Maak duidelijk wat er met de persoonsgegevens gaat gebeuren
In het geval van een nieuwsbrief-aanmeldformulier moet je duidelijk maken dat de mensen die zich aanmelden een nieuwsbrief gaan ontvangen. Je moet dus duidelijk maken waarom je de gegevens vraagt van degene die het formulier invult.

Volgens de AVG is het niet toegestaan opgevraagde gegevens voor een andere doel te gebruiken dan tijdens het opvragen is vermeld. Stel dat je de mensen die zich aanmelden ook zou willen nabellen. Dan mag dat. Maar dan moet je dit dus wel melden bij het formulier.

2# Zorg voor een duidelijke privacyverklaring
In deze privacyverklaring moet je vertellen wat je met de persoonsgegevens doet en welke derde partijen hier toegang toe hebben. Zo maak je bij het versturen van een nieuwsbrief waarschijnlijk gebruik van een e-marketingtool zoals MailChimp of CampaignMonitor. Dit moet je dan melden.

Vermeld daarnaast ook contactinformatie van je organisatie of van de functionaris gegevensbescherming (of Data Protection Officer) zodat personen die inzicht willen in hun persoonsgegevens of die zich in het geval van een nieuwsbrief uit willen laten schrijven, dit makkelijk kunnen doen. Naast het bekende recht op verzet, inzage en rectificatie, hebben personen ook het recht om vergeten te worden.

3# Zorg ervoor dat de gegevens veilig worden opgeslagen
Wanneer je persoonsgegevens opvraagt en opslaat dan ben je als organisatie verantwoordelijk voor deze gegevens. Ontstaat er een lek, dan ben je verplicht dit te melden.

Blijkt dat je nalatig bent geweest? Dan zijn de boetes torenhoog. Het is daarom belangrijk de gegevens veilig op te slaan. Denk aan een CMS dat up-to-date is. Een webserver die goed wordt onderhouden of een website die alleen te benaderen is via HTTPS.

4# Verwerkersovereenkomsten
Je moet met alle partijen die bij de persoonsgegevens kunnen een verwerkersovereenkomst afsluiten. Denk aan de hostingprovider, je internetbureau of misschien wel een SEO-specialist die toegang heeft tot je website.

5# Verwerkers niet uit de EU maar VS?
Het afsluiten van een verwerkersovereenkomst met een organisatie buiten de EU zal vermoedelijk lastig of zelfs onmogelijk blijken. Wat je wel kunt doen is controleren of deze organisaties zich aangesloten hebben bij het Privacy Shield. Dit is een overeenkomst tussen Amerika en de Europese Unie over de manier waarop persoonsgegevens worden verwerkt en beveiligd. Organisaties zoals Google, Amazon, Mailchimp en Pantheon zijn hierbij aangesloten.

6# Niet overvragen
Het is niet meer toegestaan om gegevens op te vragen die niet noodzakelijk zijn voor het doel. Zo willen veel organisaties ook een telefoonnummer opvragen bij de aanmelding voor de nieuwsbrief en bij het aanmeldformulier. Met als doel deze mensen na te bellen. Dat mag wel, maar dan moet dit ook duidelijk gemaakt worden bij de aanmelding van de nieuwsbrief.

7# Sla de data niet langer op dan noodzakelijk
Stel dat een persoon zich afmeldt van je nieuwsbrief, dan moet je de gegevens van deze persoon verwijderen. Ditzelfde geldt voor alle persoonsgegevens die in de website opgeslagen worden die niet meer relevant zijn. Denk aan een user-account van een medewerker die niet meer in dienst is. Of de gegevens van mensen die een sollicitatieformulier hebben ingevuld voor een vacature die vervuld is.

8# Bewaar de persoonsgegevens niet op verschillende plekken
Niet als dit niet noodzakelijk is voor het doel. In het geval van de nieuwsbriefaanmelding moeten de persoonsgegevens opgeslagen staan in het nieuwsbriefsysteem om de personen te kunnen e-mailen. De persoonsgegevens zijn niet meer nodig in het CMS waarin de data in eerste instantie is opgevraagd.

9# Afmeldfunctionaliteit
Net zo makkelijk als personen zich kunnen aanmelden voor je nieuwsbrief moeten ze zich ook weer kunnen afmelden. Dit kan bij een nieuwsbrief met een specifieke link in de nieuwsbrief of je kunt hier een extra formulier voor maken.

10# Cookies
Ook de cookiewetgeving gaat veranderen. Naast de AVG zal op 25 mei 2018 ook de ePrivacy-verordening van kracht worden. Dit is een toevoeging op de AVG en behandelt andere zaken, zoals het plaatsen van cookies. De nieuwe ePrivacy-verordening kan consequenties hebben voor je website en met name je marketingactiviteiten. Welk effect het heeft hangt af van de soort cookies die je plaatst. In principe zijn er drie soorten cookies:

Functionele cookies: Deze zijn nodig voor de werking van je website. Ze slaan geen persoonsgegevens op en daar heb je nu en straks (vanaf 25 mei) geen goedkeuring voor nodig.

Analytische cookies: Deze zijn nodig voor statistieken-systemen zoals Piwik en Google Analytics. Zolang deze systemen de persoonsgegevens anonimiseren en ze niet gedeeld worden met derden heb je er nu en vanaf 25 mei geen goedkeuring voor nodig. Lees hier meer informatie over het anonimiseren van Google Analytics.

Tracking cookies: Deze worden gebruikt om gebruikersprofielen op te bouwen. Veel organisaties denken niet aan user profiling of tracking te doen, maar zodra je aan remarketing doet via Google Adwords (remarketing is het tonen van advertenties aan personen die ooit op jouw website zijn geweest.), YouTube-filmpjes toont of social sharing-diensten zoals Addthis gebruikt, dan plaatst jouw website tracking cookies.
Je moet volgens de huidige wetgeving goedkeuring vragen voordat je ze plaatst, een melding is niet voldoende. Vandaar dat sommige websites een cookie wall plaatsen. Vanaf 25 mei vervalt dit en mag een website ook geen cookie wall plaatsen. Er moet namelijk naar de voorkeuren van de browserinstellingen van de bezoeker worden gekeken.

Heeft de bezoeker aangegeven dat er cookies geplaatst mogen worden? Dan hoeft hier geen goedkeuring voor te worden gegeven. Heeft de bezoeker ingesteld dat er geen tracking cookies geplaatst mogen worden? Dan mag en kan dit ook niet gebeuren.

Dit zijn de stappen waar je naar moeten kijken om je website AVG-proof te maken.