Hoe zit het nu met de AVG? En wat betekent dit voor jouw website?

Door Thomas van EldijkBijgewerkt op 23 mei 2024 2 Reacties

De verscherping van de regels en de hoge boetes maken veel organisaties onrustig. Wij als internetbureau krijgen dan veel vragen wat de AVG voor gevolgen heeft voor je website. Op zich niet vreemd want een website is in veel gevallen een startpunt voor het verzamelen van persoonsgegevens en speelt daarom een belangrijke rol.

In dit artikel concentreer ik me alleen op de consequenties rondom de website. Het is belangrijk om te beseffen dat de AVG veel verder gaat dan alleen de website en dat alle processen en afdelingen binnen een organisatie die persoonsgegevens verwerken hiermee te maken krijgen.

In sommige gevallen is het bijvoorbeeld verplicht een privacy officer aan te stellen. Wil je meer hierover weten dan is de website van Autoriteit Persoonsgegevens een goed startpunt.

Hoe maak je jouw website AVG-proof?

Over het algemeen gaat de AVG over verantwoordelijkheid en transparantie. Wat ga je met de persoonsgegevens die je verzamelt doen? Welke organisaties hebben nog meer inzicht in deze gegevens? En ga je verantwoordelijk met de gegevens om die je hebt verzameld?

In principe gelden de regels voor alle websites met daarop formulieren of websites waarbij personen kunnen inloggen. In beide gevallen vraag je persoonsgegevens op of sla je deze op in de database van je website.

Bij de onderstaande lijst met stappen ben ik uitgegaan van een praktisch voorbeeld dat voor veel websites geldt, namelijk de aanmelding voor een nieuwsbrief. Dit lijkt een simpel formulier maar het heeft, zoals je hieronder zult zien, toch wat haken en ogen.

1# Maak duidelijk wat er met de persoonsgegevens gaat gebeuren

In het geval van een nieuwsbrief-aanmeldformulier moet je duidelijk maken dat de mensen die zich aanmelden een nieuwsbrief gaan ontvangen. Je moet dus duidelijk maken waarom je de gegevens vraagt van degene die het formulier invult.

Volgens de AVG is het niet toegestaan opgevraagde gegevens voor een andere doel te gebruiken dan tijdens het opvragen is vermeld. Stel dat je de mensen die zich aanmelden ook zou willen nabellen. Dan mag dat. Maar dan moet je dit wel melden bij het formulier. Meldt je dit niet, dan kun je deze mensen niet nabellen.

2# Zorg voor een duidelijke privacyverklaring

In deze privacyverklaring moet je vertellen wat je met de persoonsgegevens doet en welke derde partijen hier toegang toe hebben. Zo maak je bij het versturen van een nieuwsbrief waarschijnlijk gebruik van een e-marketingtool zoals MailChimp of CampaignMonitor. Dit moet je dan melden.

Vermeld daarnaast ook contactinformatie van je organisatie of van de functionaris gegevensbescherming (of Data Protection Officer) zodat personen die inzicht willen in hun persoonsgegevens of die zich in het geval van een nieuwsbrief uit willen laten schrijven, dit makkelijk kunnen doen. Naast het bekende recht op verzet, inzage en rectificatie, hebben personen ook het recht om vergeten te worden.

3# Zorg ervoor dat de gegevens veilig worden opgeslagen

Wanneer je persoonsgegevens opvraagt en opslaat dan ben je als organisatie verantwoordelijk voor deze gegevens. Ontstaat er een lek, dan ben je verplicht dit te melden.

Blijkt dat je nalatig bent geweest? Dan zijn de boetes torenhoog. Het is daarom belangrijk de gegevens veilig op te slaan. Denk aan een CMS dat up-to-date is. Een webserver die goed wordt onderhouden of een website die alleen te benaderen is via HTTPS.

Je kunt deze security-checklist gebruiken om te kijken of de beveiliging van je website op orde is.

4# Verwerkersovereenkomsten

Je moet met alle partijen die bij de persoonsgegevens kunnen of deze verwerken een verwerkersovereenkomst afsluiten. Het gaat hierbij om de vraag wie verantwoordelijk is voor het verwerken. Zo hoeft er geen verwerkersovereenkomst afgesloten te worden met de organisatie achter je CMS maar wel met de partij die in opdracht van jou bewerkingen hierop uitvoert of toegang heeft. Denk aan de hostingprovider of internetbureau.

Je legt in de verwerkersovereenkomst o.a. vast wat de de partij die jij opdracht geeft voor het verwerken gaat doen, hoe ze dit doen en hoelang de overeenkomst duurt.

5# Verwerkers niet uit de EU maar VS?

Het afsluiten van een verwerkersovereenkomst met een organisatie buiten de EU zal vermoedelijk lastig of zelfs onmogelijk blijken. Wat je wel kunt doen is controleren of deze organisaties zich aangesloten hebben bij het Data Privacy Framework. Dit is een overeenkomst tussen Amerika en de Europese Unie over de manier waarop persoonsgegevens worden verwerkt en beveiligd. Organisaties zoals Google, Amazon, Mailchimp en Pantheon zijn hierbij aangesloten.

5# Niet overvragen

Het is niet meer toegestaan om gegevens op te vragen die niet noodzakelijk zijn voor het doel. Zo willen veel organisaties ook een telefoonnummer opvragen bij de aanmelding voor de nieuwsbrief en bij het aanmeldformulier. Met als doel deze mensen na te bellen. Dat mag wel, maar dan moet dit ook duidelijk gemaakt worden bij de aanmelding van de nieuwsbrief.

6# Sla de data niet langer op dan noodzakelijk

Stel dat een persoon zich afmeldt van je nieuwsbrief, dan moet je de gegevens van deze persoon verwijderen. Ditzelfde geldt voor alle persoonsgegevens die in de website opgeslagen worden die niet meer relevant zijn. Denk aan een user-account van een medewerker die niet meer in dienst is. Of de gegevens van mensen die een sollicitatieformulier hebben ingevuld voor een vacature die vervuld is.

7# Bewaar de persoonsgegevens niet op verschillende plekken

Niet als dit niet noodzakelijk is voor het doel. In het geval van de nieuwsbriefaanmelding moeten de persoonsgegevens opgeslagen staan in het nieuwsbriefsysteem om de personen te kunnen e-mailen. De persoonsgegevens zijn niet meer nodig in het CMS waarin de data in eerste instantie is opgevraagd.

8# Afmeldfunctionaliteit

Net zo makkelijk als personen zich kunnen aanmelden voor je nieuwsbrief moeten ze zich ook weer kunnen afmelden. Dit kan bij een nieuwsbrief met een specifieke link in de nieuwsbrief of je kunt hier een extra formulier voor maken.

10# Cookies

In principe zijn er drie soorten cookies:

Dit zijn de stappen waar je naar moeten kijken om je website AVG-proof te maken. Heb je tips of vragen naar aanleiding van de nieuw privacywetgeving of dit artikel, dan lees en beantwoord ik ze graag hieronder in het reactiegedeelte.

Meer inzichten over Drupal