25 MEI 2018 NIEUWE PRIVACYWETGEVING

Transcriptie

1 25 MEI 2018 NIEUWE PRIVACYWETGEVING Je hebt er vast al van gehoord: de nieuwe Europese privacywetgeving die op 25 mei 2018 in werking treedt. Een complexe materie die je als MKB ondernemer misschien liever vooruit schuift. Na de matige lancering van de cookiewetgeving een aantal jaren geleden heeft Europa zijn zinnen erop gezet de gegevens van personen in een breed perspectief te beschermen. Nu, in het geval van de GDPR (General Data Protection Regulation) of in het Nederlands de AVG (Algemene Verordening Gegevensbescherming), blijkt dat het wel degelijk een serieuze zaak is en van iedere ondernemer wordt een inspanning verwacht. De Autoriteit Persoonsgegevens zal er streng op toezien dat ondernemers zich aan de nieuwe regels houden. Vrolijk Online kan je helpen om aan de nieuwe privacywetgeving te voldoen De toezichthouder heeft het aantal arbeidsplaatsen verdubbeld en men is straks verplicht om ALLE klachten van personen over privacykwesties in behandeling te nemen. De vraag is of men in staat is om alle klachten te verwerken, maar wil je het risico lopen? Boetes kunnen oplopen van 2% tot 4% van je jaaromzet. Bovendien, als moderne ondernemer wil je ook gewoon transparant zijn en laten zien dat je de privacy van je (potentiële) klanten serieus neemt. De nieuwe wetgeving is niet alleen flink inlezen, maar ook intern en extern onderzoeken hoe zaken momenteel zijn georganiseerd en de nodige maatregelen treffen. Denk aan het opstellen van juridische documenten en het aanpassen van je website en je (online) communicatie. Nog geen paniek, maar wel actie..! 1

2 Omdat de nieuwe wetgeving behoorlijk uitgebreid is, hebben wij deze nader bestudeerd met de websites, webshops en online marketing van onze klanten in het achterhoofd. Het resultaat is een overzicht van de belangrijkste informatie en concrete acties voor jou op een rijtje: 1 Wat houdt samengevat de nieuwe privacywetgeving in en is deze voor mijn onderneming van belang? 2 Welke zaken moet ik concreet organiseren zodat mijn website of webshop op orde is? 3 Hoe kan Vrolijk Online mij hierbij helpen? Wat houdt samengevat de nieuwe privacywetgeving in en is deze voor mijn onderneming van belang? Op 25 mei 2018 treedt de nieuwe Europese privacywetgeving in werking: de GDPR (General Data Protection Regulation) of in het Nederlands de AVG (Algemene Verordening Gegevensbescherming). Dit betekent dat vanaf de genoemde datum dezelfde privacywetgeving geldt in de hele Europese Unie (EU). De Wet bescherming persoonsgegevens (Wbp) geldt dan niet meer. Kort gezegd houdt de nieuwe wetgeving in dat de privacy van personen beter beschermd wordt en organisaties meer verantwoordelijkheden krijgen om deze privacy te beschermen en hierover te informeren. Als onderneming moet je kunnen aantonen dat je je aan de wetgeving houdt. Ook ben je verplicht bij te houden welke persoonsgegevens je van iemand gebruikt, voor welk doel en wat daarvan de wettelijke grondslag is. Je mag alleen persoonlijke gegevens vragen en gebruiken: wanneer deze noodzakelijk zijn om een overeenkomst uit te voeren. Bijvoorbeeld adresgegevens om een online bestelling te kunnen versturen. Een geboortedatum is in dat geval niet noodzakelijk. wanneer je ondubbelzinnig toestemming hiervoor hebt gekregen. Bijvoorbeeld wanneer je toch graag de geboortedatum van de klant wilt opslaan dien je aan te geven waarom (bijvoorbeeld om een verjaardagskaart te sturen) en het veld mag niet verplicht zijn (personen dienen bewust akkoord hiervoor te geven). wanneer je kunt rechtvaardigen wanneer je ze voor (marketing)doeleinden nodig hebt en de privacy in acht hebt genomen. Je mag bijvoorbeeld wel zonder expliciete toestemming gegevens over het surfgedrag verzamelen via Google Analytics, zolang deze geanonimiseerd is (verderop meer hierover!) Daarnaast moeten de mensen waarvan je gegevens bewaart deze zelf in kunnen zien (of gemakkelijk kunnen opvragen) en kunnen (laten) wijzigen of verwijderen. 2

3 Welke zaken moet ik concreet organiseren zodat mijn website of webshop op orde is? a. Maak een duidelijke privacyverklaring die te benaderen is vanuit de footer van je website. In deze privacyverklaring leg je uit welke gegevens je via de website verzamelt, hoe je dat doet en waarvoor je deze gebruikt. b. Gebruik Google Analytics geanonimiseerd. Pas hiervoor de instellingen bij Google Analytics aan naar privacyvriendelijk wanneer je de bezoeker niet wilt lastigvallen met een cookiemelding. Nadeel hiervan is dat het niet meer mogelijk is om bijvoorbeeld aan remarketing te doen. Wanneer je Google Analytics wilt blijven gebruiken zoals nu dan dien je een nieuwe cookiemelding te maken (zie d.). c. Zelfde geldt voor andere tracking tools zoals Hotjar recordings of Leadexpress IP scans die wij voor diverse klanten hebben geïnstalleerd. Wanneer je dergelijke tools wilt blijven gebruiken dan dien je een nieuwe cookiemelding te maken (zie d.). d. Maak een cookiemelding. Om aan de nieuwe wetgeving te voldoen, moet in deze cookiemelding te lezen zijn dat cookies pas geplaatst worden als mensen: actief aangeven dat ze hiermee akkoord gaan, of wanneer ze verder navigeren door de website. Dit laatste is voor veel websites de makkelijkste oplossing. Om het helemaal juridisch te perfectioneren is het actief om akkoord vragen vereist. De eerste oplossing toepassen en bekijken hoe de grote en bekende online webshops dit in de praktijk oppakken is hier ons bescheiden advies. Het gebruik van cookies staat niet beschreven in de nieuwe privacywetgeving. Een nieuwe wetgeving is hiervoor nog in de maak. Mogelijk zal men besluiten dat gebruikers zelf via hun instellingen dienen aan te geven wat voor cookies men wil accepteren. e. Maak tijdens het verzamelen van persoonsgegevens expliciet duidelijk waarvoor je deze gaat gebruiken en verwijs hierbij naar de privacyverklaring (zie a.). f. Het moet mogelijk zijn dat personen hun door jou verzamelde persoonsgegevens kunnen inzien of opvragen, wijzigen of laten wijzigen of verwijderen. Men heeft immers het recht om vergeten te worden. Wanneer je een Mailchimp nieuwsbrief verstuurt kan men zich duidelijk via een link onderin de uitschrijven. In het geval van een webshop of extranet kan men in veel gevallen zelf inloggen en aanpassingen doen. Voor overige vragen moet men gemakkelijk contact kunnen opnemen. Zorg ervoor dat in de privacyverklaring helder is omschreven hoe men in contact kan treden om een specifiek verzoek in te dienen. 3

4 g. Je dient altijd aan te kunnen tonen dat je inschrijvingen van personen op een wettelijke manier hebt verkregen (via opt-in). Dit betekent dat je expliciet en aantoonbaar toestemming hebt verkregen. Wanneer je bijvoorbeeld ings wilt versturen dien je altijd te kunnen aantonen dat dit mag. Wanneer in je bestaande ingbestand nog adressen staan waarvan je niet kunt aantonen dat je deze via een actieve aanmelding hebt verkregen zul je opnieuw om akkoord moeten vragen. Zover wij weten geldt voor al onze klanten dat de bestaande adressen op een goede manier zijn verkregen, maar je bent zelf hiervoor verantwoordelijk. Overigens is het wel mogelijk om ings te sturen naar je bestaande klanten waarmee je een factuurrelatie hebt. h. Het is verplicht om de opslag en verwerking van persoonsgegevens veilig te organiseren: Een SSL certificaat voor versleuteling van online formulieren is verplicht. Wanneer jouw website nog geen SSL certificaat heeft neem dan contact met ons op, zodat we dit voor je kunnen regelen. Wanneer je persoonsgegevens in je website of webshop opslaat dient deze up-to-date te zijn betreft beveiligingsupdates van het betreffende CMS. Wanneer je nog geen supportovereenkomst hebt is het belangrijk deze met ons af te sluiten, zodat wij je hier proactief mee kunnen helpen. i. Je mag persoonsgegevens niet langer bewaren dan noodzakelijk voor het doel van de verwerking ervan. Neem in de privacyverklaring een alinea op over het bewaarbeleid dat je hanteert en zorg voor een veilige dataopslag. Zowel fysiek als organisatorisch. Denk bijvoorbeeld aan een geheimhoudingsplicht in je arbeidsovereenkomst. j. Meer bedrijven hebben toegang tot jouw verzamelde persoonsgegevens dan je misschien zou denken. Bijvoorbeeld: denk aan ons als webbouwer en hostingprovider, onze subcontractors en andere leveranciers zoals je callcenter, factureringsbedrijf, accountant, een clouddienst, Google Analytics, Mailchimp etcetera. Het is belangrijk dat je met deze bedrijven officiële afspraken maakt over deze toegang om de bescherming van personen te waarborgen. Hier ben je zelf verantwoordelijk voor. Deze waarborgen leg je vast in een zogeheten verwerkersovereenkomst. Grote organisaties zoals Google en Mailchimp hebben hun zaken vaak al goed op orde en zij zijn in staat om een standaard document aan te leveren. Voor overige verwerkers zoals Vrolijk Online dient een overeenkomst op maat gemaakt te worden. Omdat we hier ook daadwerkelijk controles op verwachten is het belangrijk om dit voor 25 mei 2018 te organiseren. In de overeenkomst leggen wij onder andere vast waar de persoonsgegevens voor mogen worden verwerkt, welke veiligheidsmaatregelen getroffen worden, waar de gegevens zijn opgeslagen, of de verwerker subverwerkers mag inschakelen en hoe wordt omgegaan met datalekken. 4

5 Hoe kan Vrolijk Online mij hierbij helpen? Zoals je hebt kunnen lezen in onze samenvatting is de materie best complex. Vrolijk Online helpt je graag om aan de nieuwe wetgeving te voldoen. Hieronder vind je een opsomming van onze dienstverlening: - Wij maken een maatwerk analyse van jouw situatie, inclusief een plan van aanpak aan de hand van een interview. - Indien gewenst stellen wij een verwerkersovereenkomst op voor jouw subverwerkers (zoals Vrolijk Online). - Wij stellen een maatwerk privacyverklaring op, plaatsen deze online inclusief verwijzingen op de juiste plekken bij formulieren in je website (inclusief het verduidelijken waarom data wordt gevraagd). - Indien van toepassing stellen wij Google Analytics privacyvriendelijk in en organiseren wij een verwerkersovereenkomst met Google Analytics (althans wanneer je Google Analytics geanonimiseerd kunt en wilt gebruiken); in dat geval heb je geen actieve cookiemelding nodig. - Ditzelfde geldt voor het instellen van Hotjar online recordings wanneer jouw website hier gebruik van maakt, zodat je geen actieve cookiemelding nodig hebt. - Wanneer je Mailchimp gebruikt controleren we of Mailchimp goed is ingesteld. Indien gewenst gaan we tevens een verwerkersovereenkomst met deze leverancier voor je aan. - Wanneer je dit nog niet hebt vragen wij een SSL certificaat voor je aan en deze implementeren wij in je website. Het is verplicht om persoonsgegevens veilig op te slaan. - Wanneer je dit nog niet hebt; een supportovereenkomst waarmee je je verzekert van het regelmatig updaten en patchen van je website wat verplicht is om persoonsgegevens veilig te beheren. - Indien gewenst schrijven wij een nieuwe cookiemelding en implementeren deze op een goede manier in je website. En wanneer noodzakelijk doen wij dit inclusief een actieve acceptatie van de bezoeker. Neem direct contact met ons op via info@vrolijkonline.nl of om jouw specifieke situatie te bespreken. Wij helpen je graag. Disclaimer Het voldoen aan de nieuwe privacywetgeving is juridisch complex. Vrolijk Online is geen jurist. Wij menen de materie voldoende te hebben bestudeerd om jou als (kleine) ondernemer goed te informeren en van dienst te zijn met ondersteuning. Wil je er 100% van overtuigd zijn dat je geen risico s neemt, neem dan contact op met een jurist. 5

6 Vrolijk Online Runweg BN Berlicum