AVG AVG. 8 stappen voor websites. Bluedesk is gelieerd aan haar zusterbedrijf WeBuildApps.

Transcriptie

1 AVG 8 stappen voor websites Bluedesk is gelieerd aan haar zusterbedrijf WeBuildApps. AVG

2 Contactinformatie Bluedesk Tel.: +31 (0) Rogier van der Weydestraat MJ ALKMAAR info@bluedesk.nl Dit document is opgesteld door Bluedesk. Hoewel het intellectuele eigendom bij Bluedesk ligt, wordt bij deze toestemming verleend dit document voor eigen gebruik te vermenigvuldigen. Vrijwel alle namen van software- en hardware producten die in dit document worden genoemd zijn tegelijkertijd ook handelsmerken en dienen dienovereenkomstig te worden behandeld. Copyright 2018 Bluedesk. Alle rechten voorbehouden. 2

3 Inleiding Op 25 mei 2018 wordt de Algemene Verordering Gegevensbescherming geïntroduceerd. Een Europese wet bedoelt om regels en bescherming van persoonlijke data te waarborgen. Een belangrijke stap voor alle inwoners van de EU en een uitdaging voor alle bedrijven die gevestigd zijn in de EU of ondernemen op Europees grondgebied. Deze wet houdt in dat de persoonlijke gegevens ten allen tijden beschermd moeten zijn en het zonder toestemming niet mogelijk is persoonlijke gegevens te gebruiken binnen een bedrijf. Wil je de complete wettekst lezen, klik dan hier: _679_definitief.pdf In deze whitepaper wordt aangegeven welke maatregelen je op een Dynamicweb website of webshop moet nemen om te voldoen aan de AVG. Disclaimer 1: De wet treedt 25 mei in werking, er is nog geen jurisprudentie op dit moment. Het kan dus zijn dat er al snel wettelijke uitspraken worden gedaan die deze wet bijschaven. Disclaimer 2: Bluedesk is geen juridische organisatie. Deze whitepaper geeft onze interpretatie van de AVG weer. Wij adviseren altijd om uw specifieke situatie voor te leggen bij juridische ondersteuning om te toetsen of uw maatregelen voldoende zijn t.a.v. de AVG. 3

4 Definities en uitleg Om de wet wat concreter te maken is het belangrijk veel voorkomende definities uit te leggen: Persoonlijke gegevens; alle gegevens die gerelateerd zijn aan een individu of waarmee je een persoon kunt identificeren. Denk aan , adresgegevens, geboortedatum en zelfs ip-adres. Kortom, kun je uit de verzamelde data herleiden wie zijn gegevens heeft achtergelaten, dan moet je maatregelen nemen. Data verantwoordelijke; de organisatie die de persoonlijke data gebruikt en bewaart. Data verwerker; de organisatie die persoonlijke data verwerkt in opdracht van de data verantwoordelijke. Voorbeeld Persoonlijke gegevens zijn mijn adres, woonadres, ip-adres. Data verantwoordelijke is het bedrijf waar ik mijn gegevens achterlaat voor bijvoorbeeld een aankoop op contactaanvraag. Data verwerker is de leverancier van software waar deze data wordt beheerd. Maar ook een offline partij als salarisadministratie is dataverwerker. 4

5 1. Verzamelen van persoonlijke data De AVG zorgt er niet voor dat het verboden is om persoonlijke data te verzamelen. Maar de persoon die data afgeeft moet wel expliciet toestemming geven voor het verzamelen van die data. De AVG beschrijft toestemming als volgt: Toestemming moet vrijuit, specifiek, geïnformeerd en ondubbelzinnig worden gegeven. Toestemming moet worden gegeven door een statement of duidelijke actie. Heel concreet, je moet iemand vertellen waar hij precies toestemming voor geeft en dit moet zo helder mogelijk worden uitgelegd. Voorbeeld van uitleg toestemming bij een opt-in (i-tje of read more) Uw adres wordt gebruikt voor het versturen van de nieuwsbrief van Bluedesk. Met het geven van toestemming ontvangt u 6 keer per jaar nieuws over bedrijfsactiviteiten en E-commerce innovaties. Uw data wordt niet aan derden verstrekt. Belangrijk is dat in heldere taal uitgelegd wordt waar mensen toestemming voor geven. Pas het dus aan, aan het leesniveau van de gemiddelde Nederlander. 5

6 1.1. Opt-in Het was al verplicht een opt-in te geven als toestemming. Vanaf 25 mei moet dit een expliciete actie zijn. Een vooringevulde opt-in die je zelf moet uitvinken mag dus niet meer en ook geen automatische toestemming bij het invullen van een adres. Voorbeeld van actieve opt-in met read more 1.2. Intrekken van toestemming Het moet ten alle tijden duidelijk zijn waar mensen hun toestemming in kunnen trekken. Dus in je nieuwsbrief, maar ook via een formulier via de website bijvoorbeeld. 6

7 2. 8 stappen naar de AVG 2.1. Updaten van pricacyverklaring Het is belangrijk de privacyverklaring op de website te updaten. Er moet in heldere taal beschreven worden welke data je verzamelt, waarom je data verzamelt en wat je met de data doet. Sommige organisaties zijn ook verplicht de contactgegevens van de Functionaris Gegevensbescherming te vermelden. Wil je een goed overzicht van de onderwerpen in de privacy policy, lees dan dit blog op Frankwatching: Dataminimalisatie en toestemming De AVG spreekt ook over dataminimalisatie. Dat houdt in dat je voor alle plekken waar je data verzamelt na moet gaan of je daadwerkelijk die data nodig hebt voor het doel van de dataverzameling. Voorbeeld: Wordt er een opleidingsniveau bij een contactformulier gevraagd, is dit nodig om contact met iemand te hebben? Wordt er een geboortedatum bij een nieuwsbrief inschrijving gevraagd en wil je deze gebruiken voor een verjaardagactie vermeld dit dan en maak het niet verplicht deze in te vullen. Want in principe heb je dit niet nodig voor een nieuwsbrief inschrijving. Als je de data geminimaliseerd hebt, is er uiteraard ook nog toestemming nodig voor het verwerken van de data. Dus vermeld duidelijk en specifiek waar je de data voor gebruikt marketing Er is een aantal onderwerpen waar bij marketing rekening mee moet worden gehouden: Ook een bestaande lijst moet voldoen aan de AVG. Ga dus na of van ieder verzameld adres duidelijk is waar de toestemming vandaan komt. Dit moet duidelijk aangegeven kunnen worden in de database. Zijn er twijfels over de lijst, zorg dan dat er nogmaals toestemming gevraagd wordt aan alle ontvangers voor 25 mei. 7

8 Voorbeeld van opnieuw toestemming vragen Zorg er natuurlijk voor dat iemand zich altijd af kan melden voor marketing. Vraag je voor meer dan 1 toepassing toestemming, geef dan twee checkboxes waar iemand zich voor in kan schrijven. Voorbeeld: Je verzamelt een adres voor een corporate nieuwsbrief, maar je wilt het adres ook gebruiken om iemand specifieke acties te sturen. Geef dit dan apart aan. In de AVG wordt aangegeven dat data niet langer dan noodzakelijk bewaard mag worden. Dus beschrijf hoe lang je data bewaart. Abandoned cart mails zonder toestemming versturen mag niet, tenzij er expliciet toestemming voor wordt gegeven. Gerelateerde producten via marketing onder de aandacht brengen mag volgens de telecom nog steeds, mits voldaan wordt aan de voorwaarden van de telecomwet. 8

9 tracking Ook met het tracken van s (openingsrate, reminder sturen, gerelateerde producten) worden persoonsgegevens ( adressen) gebruikt. Neem in de marketingtoestemming op dat het gedrag van de gebruiker op marketing ook getrackt wordt om ervoor te zorgen dat diegene relevante s ontvangt Google analytics, Tag manager en personalisatie Ook tracking tools als Google analytics en Tag manager maken gebruik van persoonsgegevens als ip-adres. Voor het gebruik van deze tools op websites is dus per gebruiker toestemming nodig. Google Analytics biedt ook de mogelijkheid ip-adressen te anonimiseren en aan te geven dat gegevens niet gedeeld worden met Google. Dan is er geen expliciete toestemming nodig van gebruikers, echter kan (re)targeting niet worden gebruikt en zijn locatiegegevens minder accuraat. Het is wel nodig te melden wat Google analytics wel doet in de privayverklaring van de website. Het is mogelijk om in de cookiemelding toestemming voor trackingcookies te vragen als het maar een vrije keuze is, expliciet en goed geïnformeerd wordt weergegeven. Denk na of over het informeren van een gebruiker en wat er gebeurt als deze geen toestemming geeft. 9

10 Sommige organisaties gebruiken software om content te personaliseren op basis van inloggegevens of gedrag op een website. Ook daar moet expliciet toestemming voor worden gevraagd Formulieren en Download Veel websites hebben formulieren en downloadmogelijken. Ook op deze plekken wordt om persoonlijke informatie gevraagd. Zorg dat er expliciet toestemming wordt gegeven en de gebruiker geïnformeerd wordt over wat er met de data wordt gedaan. Een whitepaper toesturen nadat er een adres is ingevuld en dat adres gebruiken voor de commerciële nieuwsbrief mag dus niet meer Right to acces en right to be forgotten Ieder individu heeft het recht om vergeten te worden, the right to be forgotten. Wanneer iemand dat recht uitoefent is de organisatie verplicht binnen 30 dagen deze gebruiker te verwijderen uit alle databronnen en te laten zien waar deze gebruiker vermeld stond. Er moet dus aangetoond worden welke data van de gebruiker waar stond opgeslagen. Ook kan een gebruiker zijn right to access uitoefenen. Een organisatie is dan verplicht om binnen 30 dagen aan te tonen waar de gegevens van de gebruiker allemaal zijn opgeslagen. Dit moet kostenloos mogelijk gemaakt worden Beveiliging Iedere webshop en/of website die persoonsgegevens verwerkt (dat kan ook al een contactformulier zijn) is verplicht een SSL certificaat te hebben. Die geeft namelijk aan dat persoonlijke data goed beschermt wordt. 10

11 2.8. Bewaren van data De AVG geeft aan dat data niet langer dan noodzakelijk mag worden bewaard. Nu is noodzakelijk een breed begrip. Datamarketing Abacus heeft al eens berekend wat de gemiddelde periode is voordat 90% van de klanten overging tot een herhaalaankoop. Dit kan dus aangeven dat data na deze periode niet meer noodzakelijk is om te bewaren. Hoe lang noodzakelijk is, heeft dus nog een bepaalde vrijheid. Als organisaties moet je dus nog wel vermelden: Hoelang je persoonsgegevens bewaart en waarom; Hoe je deze gegevens (automatisch) gaat verwijderen; Hoe eventuele derde partijen deze gegevens ook verwijderen; Hoe deze gegevens uit backups worden verwijderd. 11

12 3. Dynamicweb en de AVG Verwerkersovereenkomst (DPA) Dynamicweb biedt een verwerkersovereenkomst aan, deze wordt onderdeel van de All-in-one licenties. Indien er geen all-in-one licentie in bezit is maar een oudere versie is de verwerkersovereenkomst daar geen onderdeel van. Er zijn dan twee keuzes: 1. Er wordt een upgrade gedaan naar de nieuwe licentiestructuur waar de verwerkersovereenkomst onderdeel van is; 2. Er wordt geen upgrade gedaan. Dat betekent dat Dynamicweb geen support biedt op het moment dat het nodig is om in de installatie support te leveren door Dynamicweb. Er is namelijk geen overeenkomst tussen beide partijen. Naast de verwerkersovereenkomst biedt Dynamicweb een aantal AVG-apps aan die kunnen bijdragen aan het structureren van data. Bijvoorbeeld bij het regelen van toestemming, het uitoefenen van het vergeetrecht, data structureren per gebruiker. De uitgebreide inhoud van de apps maakt Dynamicweb spoedig bekend. Deze apps zijn beschikbaar vanaf versie 9.4 en kunnen toegevoegd worden aan de licentie. Er zijn wel kosten verbonden aan het inzetten van deze apps. 4. Privacy by design Tot slot, de AVG geeft aan dat met het implementeren van deze nieuwe wet iedere organisatie aan privacy by design moet doen. Ten alle tijden moet er nagedacht worden over datastructuren, verzameling en beveiliging van data. Organisaties moeten dit niet vergeten en continue aandacht houden voor dit proces. 12