Stappenplan AVG / GPDR voor websites en webshops

Zorg ervoor dat de organisatie goed voorbereid is op de nieuwe AVG (Algemene Verordening Gegevensbescherming) / GDPR wet voor 25 mei 2018. Europese privacytoezichthouders kunnen met ingang van de nieuwe wet stevige boetes uitdelen tot 20 miljoen euro of een boete van 4% van de wereldwijde jaaromzet, mocht dat bedrag hoger uitkomen.

Inhoudsopgave AVG

1. Informatie over AVG / GDPR
2. Stappenplan AVG / GPDR implementatie
3. AVG / GDPR checklist voor websites en webshops
4. Veelgestelde vragen over AVG
5. AVG / GDPR downloads & bronnen

Informatie over AVG / GDPR

Per 25 mei 2018 treedt de nieuwe privacywet voor alle landen binnen de Europese Unie (EU) in werking. Dit artikel geeft inzicht in wat de grootste veranderingen zijn t.o.v. de oude Wet bescherming persoonsgegevens (Wbp). De Algemene verordening gegevensbescherming (AVG) is ook wel bekend onder de Engelse benaming: General Data Protection Regulation (GDPR). Op de website van autoriteit persoonsgegevens vind je uitgebreide informatie over AVG / GDPR.

Kort samengevat dienen bedrijven voor AVG inzicht te geven in:

• Klantgegevens
  Zorg dat personeel op een juiste manier omgaat met de gegevens van (potentiële) klanten.
• Personeelsgegevens
  Zorg dat personeelsdossiers voldoen aan de nieuwe eisen.
• Data, statistieken & overige persoonsgegevens
  Als jouw bedrijf ook andere persoonsgegevens opslaat of beheert (zoals gegevens van leveranciers en relaties in CRM/Marketing/Sales systemen of databases van andere bedrijven) moet je voldoen aan deze regels.

AVG rechtsgronden

Voor het verwerken van persoonsgegevens dienen organisaties voor ieder soort gebruik van die gegevens een “grondslag” hebben. De persoonsgegevens mogen alleen worden gebruikt als één van de volgende rechtsgronden aanwezig is:

• Toestemming
  De persoon dient transparant geïnformeerd te zijn en heeft toestemming gegeven voor het gebruik van zijn/haar gegevens
• Overeenkomst
  De gegevens zijn noodzakelijk voor het voorbereiden of uitvoeren van een overeenkomst met de betrokken persoon.
• Wettelijke plicht
  Bijvoorbeeld: een bevel van de politie om gegevens te verstrekken of jezelf te identificeren
• Vitaal belang
  De persoonsgegevens zijn nodig voor een “vitaal belang” van de betrokken persoon of derden – het gaat hier om een acute medische situatie waar niet vaak sprake van zal zijn.
• Publieke taak of algemeen belang
  Voorbeeld: cameratoezicht binnen de gemeente voor de openbare veiligheid.
• Gerechtvaardigd belang
  Rechtmatig belang, noodzakelijkheid en afweging van belangen spelen hierin een rol. Bijvoorbeeld het voeren van een personeelsadministratie.

Download hier de uitgebreide versie van de AVG rechtsgronden: De 6 grondslagen van de AVG

Belangrijke aandachtspunten AVG

• Toestemming
  Informeer gebruikers / personen in duidelijke taal en vraag bij persoonlijke gegevens altijd om toestemming (bijvoorbeeld via een opt-in). Zorg daarnaast dat je kunt aantonen dat je persoonlijke gegevens van de persoon mag verwerken.
• Transparantie
  Schrijf voorwaarden niet in andere talen, zorg voor duidelijke uitschrijf mogelijkheden, geef gebruikers de mogelijkheid om persoonlijke gegevens in te zien, te wijzigen of te verwijderen.
• Focus / relevantie
  Focus alleen op gegevens welke relevant zijn. Laat natuurlijke personen niet onnodig veel extra velden invullen om een document te downloaden maar vraag alleen naam en email. Geboortedatum, telefoonnummer etc. zijn in dit geval niet relevant.
• Beveiliging
  Een goede beveiliging van de database, bestanden of overige tools is vereist. De organisatie welke de data verwerkt is verantwoordelijk voor de beveiliging en het verzenden van persoonlijke gegevens over een SSL encrypted verbinding.

Onder veelgestelde vragen over AVG vind je meer antwoorden en algemene informatie over AVG / GDPR.

AVG / GDPR checklist voor websites en webshops

Specifiek voor websites en webshops hebben wij een checklist gemaakt om door te nemen. Na het doorlopen en voldoen aan de voorwaarden van de checklist (met voorbeelden) is jouw website of webshop voor 99% AVG proof.

Wat kun je vinden in de AVG checklist?

• AVG algemeen
• Beveiliging & privacy
• Plugins
• Opt-ins & formulieren
• Verwerkers, tools & data verzamelaars

Ga naar onze downloadpagina voor de uitgebreide AVG website checklist:

AVG website/webshop checklist

Stappenplan AVG / GPDR implementatie

1. Inventariseer 
2. Privacy by default (Beperk persoonsgegevens)
3. Bewaar gegevens (niet langer dan nodig)
4. Aanpassen privacy en cookie voorwaarden
5. Sluit een verwerkers overeenkomst af
6. Overzicht van verwerkingsactiviteiten
7. Informeren en toestemming vragen
8. Toestemming kunnen aantonen
9. Recht op inzage, wijzigen, vergeten en dataportabiliteit
10. Data beveiligingsbeleid
11. Verplicht en informeer medewerkers tot geheimhouding

1. Inventariseer welke persoonlijke gegevens worden verzameld

Persoonsgegevens worden door veel organisaties binnen meerdere tools, applicaties, databases en bestanden opgeslagen. Voor 25 mei is het voor iedere organisatie verplicht om dit duidelijk in kaart te hebben voor controles.

Inventariseer de volgende punten:

• Is een Functionaris Gegevensbescherming nodig?
• Welke tools en applicaties slaan persoonsgegevens op?
• Welke persoonsgegevens worden opgeslagen?

Is een Functionaris Gegevensbescherming nodig?

Een FG, ook wel Functionaris Gegevensbescherming of Privacy Officer genoemd, is niet voor iedere organisatie verplicht.

Een Functionaris Gegevensbescherming, ook wel “FG” genoemd, is de persoon die is aangewezen om intern toezicht te houden op het verwerken van de persoonsgegevens door een organisatie. De FG neemt een groot deel van het toezicht binnen de organisatie over van de nationale toezichthouder, de Autoriteit Persoonsgegevens (AP).

Wanneer is het verplicht om een FG te benoemen?
Met de nieuwe privacywet, de Algemene Verordening Gegevensbescherming (AVG), komt voor sommige organisaties een verplichting om een functionaris gegevensbescherming te benoemen. Dit staat in artikel 37 van de AVG.

Die verplichting geldt voor zowel “verantwoordelijken” als voor “verwerkers”. In de volgende gevallen is er op grond van de AVG een verplichting om een FG te benoemen:

• Overheidsinstanties en overheidsorganen zijn verplicht een FG te benoemen (behalve gerechtelijke organisaties bij de uitoefening van hun gerechtelijke taken);
• Als de kernactiviteiten draaien om het gebruik van “bijzondere persoonsgegevens” op grote schaal, denk hierbij bijvoorbeeld aan ziekenhuizen of bedrijven die medische onderzoeken uitvoeren;
• Als de kernactiviteiten draaien om het gebruik van persoonsgegevens die door de aard van dat gebruik, de omvang daarvan en/of de doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokken personen eisen.

Hieronder vallen bijvoorbeeld:

1. Het tracken en opbouwen van profielen van mensen via het internet;
2. Het opbouwen van profielen en scores, bijvoorbeeld voor kredietchecks, het aangaan van verzekeringen of voorkoming van fraude;
3. Locatiegegevens bijhouden;
4. Behavioral advertising;
5. Het bijhouden van gegevens via draagbare apparaten.

Verder zal voor Nederland nog kunnen worden bepaald dat een FG verplicht is voor bepaalde verenigingen of andere organen die verantwoordelijken of bewerkers vertegenwoordigen (artikel 37 lid 4 AVG). Op het moment van schrijven is dit nog niet bekend voor Nederland.

In dezelfde categorie valt een DPIA (Data Protection Impact Assesment). Op de website van Autoriteit Persoonsgegevens kun je meer informatie vinden over een DPIA.

Welke tools en applicaties slaan persoonsgegevens op?

Probeer vervolgens te achterhalen welke tools, applicaties, databases en bestanden de organisatie gebruikt om(persoons)gegevens op te slaan. Om dit wat eenvoudiger te maken kun je het beste uitzoeken welke applicaties door de organisatie gebruikt worden om de dagelijkse business in goede banen te leiden.

• CRM & projectmanagement
• Boekhouding & statistiek
• Hosting & website
• Opslag bestanden
• Marketing
• Personeelsgegevens (loonverwerking, archief)
• Beveiliging, accounts & wachtwoorden

Welke persoonsgegevens worden opgeslagen?

Breng daarna in kaart welke persoonsgegevens door de organisatie binnen gebruikte tools, applicaties, databases en bestanden per item worden verwerkt.

Wat wordt verstaan onder persoonsgegevens?

CASE VOORBEELD: webshop

Jij dient dan in kaart te brengen:

• Welke klantgegevens worden opgeslagen (NAW-gegevens)
• Hoe deze worden verzameld (via encrypted webshopformulieren)
• Waarom deze gegevens worden verzameld (voor de facturering en bezorging)
• Tot wanneer je deze gegevens bewaart (7 jaar vanwege bewaarplicht)
• Met wie deze gegevens worden gedeeld (WooCommerce, Hosting, Dropbox, Exact Online en de boekhouder)

2. Privacy by default

Privacy by default is in principe onderdeel van privacy by design. Privacy by default vereist dat de standaardinstellingen altijd zo privacy-vriendelijk mogelijk zijn en de persoon de instellingen eenvoudig zou kunnen wijzigen.

Dus wel:

• Naam, Adres en Woonplaats vragen voor bestellingen
• Factuuradres en bij B2B een bedrijfsnaam vragen

Maar niet:

• Telefoonnumers vragen voor een nieuwsbrief inschrijving
• Functie vragen voor downloaden whitepapers
• Geboortedatum vragen voor bestellen van een bloemboeket

Voorbeeld Social Media
In de nieuwe wet mogen persoonsgegevens nooit standaard openbaar zichtbaar zijn. Neem bijvoorbeeld een Facebook of Instagram profiel. Dit mag wel openbaar zijn, maar slechts als een gebruiker daar eerst zélf actief voor kiest. De social media toepassing zal in de standaardinstellingen de gebruikersprofielen zoveel mogelijk moeten afschermen om gebruikers bewust de keuze te laten maken.

Dit principe van het afschermen van persoonsgegevens geldt voor alle ICT-toepassingen: van browser-instellingen tot een bedrijfs-app.

Voorbeeld nieuwsbrieven
Tegenwoordig vereist de Telecommunicatiewet dat sprake is van een ‘opt-in’ voor nieuwsbrieven; je moet je actief voor een nieuwsbrief aanmelden en deze mag dus niet standaard aangevinkt staan. Zo is het ook met privacy: deze moet standaard zo hoog mogelijk zijn en je moet mensen actief laten kiezen voor het breder laten delen van hun gegevens.

3. Bewaar gegevens niet langer dan nodig

Als personen toestemming hebben gegeven voor het verwerken van hun gegevens, wil dit niet zeggen dat de gegevens voor onbepaalde tijd opgeslagen mogen worden. In principe mogen persoonsgegevens niet langer verzameld worden dan noodzakelijk. Voor de belastingdienst dienen gegevens bijvoorbeeld tot 7 jaar terug te vinden zijn in het (digitaal)archief. Bewaar gegevens van leads bijvoorbeeld niet langer dan 2 tot 3 jaar. Na een bepaalde tijd heeft een potentiële klant waarschijnlijk een keuze gemaakt voor een ander bedrijf.

Stel jezelf de volgende vragen:

• Wat is de termijn van bewaring?
• Hoe ga je de gegevens automatisch verwijderen?
• Hoe verwijder je deze gegevens bij andere partijen indien de gegevens gedeeld worden met derden?
• Hoe worden gegevens uit backups verwijderd?

4. Pas de privacy en cookie voorwaarden aan

Zie voorbeelden van uitgebreide cookie voorwaarden en privacyverklaringen.

Functionele cookies (toegestaan)

*Let op: communiceer helder en transparant en geef websitebezoekers altijd de mogelijkheid om toestemming te verlenen en data in te kunnen. Cookie walls zijn per 25 mei verboden.

 

5. Sluit een verwerkers overeenkomst af

Als je (persoons)gegevens deelt met derden dan dient de organisatie verwerkersovereenkomsten af te sluiten. Zoals in het eerste punt aangegeven vindt verwerking van (persoons)gegevens veelal plaats binnen systemen en applicaties welke door de organisatie worden gebruikt.