NIEUWE PRIVACYWETGEVING (AVG)

Transcriptie

1 25 MEI 2018 NIEUWE PRIVACYWETGEVING (AVG) PRAKTISCHE INFORMATIE EN ACTIEPUNTEN Wat moet jij doen? Je hebt er vast al van gehoord: de nieuwe Europese privacywetgeving die op 25 mei 2018 in werking treedt. Een complexe materie die je misschien liever vooruit schuift. Na de matige lancering van de cookiewetgeving een aantal jaren geleden heeft Europa zijn zinnen erop gezet de gegevens van personen in een breed perspectief te beschermen. Nu, in het geval van de GDPR (General Data Protection Regulation) of in het Nederlands de AVG (Algemene Verordening Gegevensbescherming), blijkt dat het wel degelijk een serieuze zaak is en van iedere ondernemer wordt een inspanning verwacht. Vrolijk Online kan je helpen om aan de nieuwe privacywetgeving te voldoen Als moderne ondernemer wil je ook gewoon transparant zijn en laten zien dat je de privacy van je (potentiële) klanten serieus neemt. De Autoriteit Persoonsgegevens zal er streng op toezien dat ondernemers zich aan de nieuwe regels houden. De nieuwe wetgeving is niet alleen flink inlezen, maar ook intern en extern onderzoeken hoe zaken momenteel zijn georganiseerd en de nodige maatregelen treffen. Denk aan het opstellen van juridische documenten en het aanpassen van je website en je (online) communicatie. Geen paniek, maar wel actie..! 1

2 Omdat de nieuwe wetgeving behoorlijk uitgebreid is, hebben wij deze nader bestudeerd met de websites, webshops en online marketing van onze klanten in het achterhoofd. Het resultaat is een overzicht van de belangrijkste informatie en concrete acties voor jou op een rijtje: 1 Wat houdt samengevat de nieuwe privacywetgeving in en is deze voor mijn onderneming van belang? 2 Welke zaken moet ik concreet organiseren zodat mijn website of webshop op orde is? 3 Hoe kan Vrolijk Online mij hierbij helpen? Wat houdt de nieuwe privacywetgeving in het kort in en is deze voor mijn onderneming van belang? Op 25 mei 2018 treedt de nieuwe Europese privacywetgeving in werking: de GDPR (General Data Protection Regulation) of in het Nederlands de AVG (Algemene Verordening Gegevensbescherming). Dit betekent dat vanaf de genoemde datum dezelfde privacywetgeving geldt in de hele Europese Unie (EU). Kort gezegd houdt de nieuwe wetgeving in dat de privacy van personen beter beschermd wordt en organisaties meer verantwoordelijkheden krijgen om deze privacy te beschermen en hierover te informeren. Als onderneming moet je kunnen aantonen dat je je aan de wetgeving houdt. Ook ben je verplicht bij te houden welke persoonsgegevens je van iemand gebruikt, voor welk doel en wat daarvan de wettelijke grondslag is. Je mag alleen persoonlijke gegevens vragen en gebruiken: wanneer deze noodzakelijk zijn om een overeenkomst uit te voeren. Bijvoorbeeld adresgegevens om een online bestelling te kunnen versturen. Een geboortedatum is in dat geval niet noodzakelijk. wanneer je ondubbelzinnig toestemming hiervoor hebt gekregen. Bijvoorbeeld wanneer je toch graag de geboortedatum van de klant wilt opslaan dien je aan te geven waarom (bijvoorbeeld om een verjaardagskaart te sturen) en het veld mag niet verplicht zijn (personen dienen bewust akkoord hiervoor te geven). wanneer je kunt rechtvaardigen wanneer je ze voor (marketing)doeleinden nodig hebt en de privacy in acht hebt genomen. Je mag bijvoorbeeld wel zonder expliciete toestemming gegevens over het surfgedrag verzamelen via Google Analytics, zolang deze geanonimiseerd is (verderop meer hierover!) Daarnaast moeten de mensen waarvan je gegevens bewaart deze zelf in kunnen zien (of gemakkelijk kunnen opvragen) en kunnen (laten) wijzigen of verwijderen. 2

3 Welke zaken moet ik concreet organiseren zodat mijn website of webshop op orde is? a. Maak een duidelijke privacyverklaring die te benaderen is vanuit de footer van je website. In deze privacyverklaring leg je uit welke gegevens je via de website verzamelt, hoe je dat doet en waarvoor je deze gebruikt. b. Gebruik Google Analytics geanonimiseerd. Pas hiervoor de instellingen bij Google Analytics aan naar privacyvriendelijk wanneer je de bezoeker niet wilt lastigvallen met een cookiemelding. Nadeel hiervan is dat het niet meer mogelijk is om bijvoorbeeld aan remarketing te doen. Wanneer je Google Analytics wilt blijven gebruiken zoals nu dan dien je een nieuwe cookiemelding te maken (zie d.). c. Hetzelfde geldt voor andere tracking tools zoals Hotjar recordings of Leadexpress IP scans die wij voor diverse klanten hebben geïnstalleerd. Wanneer je dergelijke tools wilt blijven gebruiken dan moet je een nieuwe cookiemelding maken (zie d.). d. Maak een cookiemelding. Om aan de nieuwe wetgeving te voldoen, moet in deze cookiemelding te lezen zijn dat cookies pas geplaatst worden als mensen actief en bewust aangeven dat ze hiermee akkoord gaan. Als een bezoeker er voor kiest niet akkoord te gaan met het plaatsen van cookies, moet de website toch bezocht kunnen worden! e. Maak tijdens het verzamelen van persoonsgegevens expliciet duidelijk waarvoor je deze gaat gebruiken en verwijs hierbij naar de privacyverklaring (zie a.). Er wordt gekozen voor een mouseover per informatieveld of een checkbox (afhankelijk van de mogelijkheden), waarbij wordt aangegeven waarom deze betreffende informatie nodig is. f. Het moet mogelijk zijn dat personen hun door jou verzamelde persoonsgegevens kunnen inzien of opvragen, wijzigen of laten wijzigen of verwijderen. Wanneer je een Mailchimp nieuwsbrief verstuurt kan men zich duidelijk via een link onderaan de uitschrijven. In het geval van een webshop of extranet is het in veel 3

4 gevallen mogelijk om zelf in te loggen en aanpassingen te doen. Voor overige vragen moet men gemakkelijk contact kunnen opnemen. Zorg ervoor dat in de privacyverklaring helder is omschreven hoe men in contact kan treden om een specifiek verzoek in te dienen. g. Je dient altijd aan te kunnen tonen dat je inschrijvingen van personen op een wettelijke manier hebt verkregen (via opt-in). Dit betekent dat je expliciet en aantoonbaar toestemming hebt verkregen. Op sommige formulieren staat het aanvinkvak Inschrijven voor de nieuwsbrief standaard aangevinkt. Een bezoeker zou op deze manier zonder daar bewust bij stil te staan, akkoord kunnen gaan met het ontvangen van de nieuwsbrief. Dat is onder de nieuwe wetgeving niet meer toegestaan. Zover wij weten geldt voor al onze klanten dat de bestaande adressen op een goede manier zijn verkregen, maar je bent zelf hiervoor verantwoordelijk. Overigens is het wel mogelijk om ings te sturen naar je bestaande klanten waarmee je een factuurrelatie hebt. h. Het is verplicht om de opslag en verwerking van persoonsgegevens veilig te organiseren: - Een SSL certificaat voor versleuteling van online formulieren is verplicht als je gegevens verwerkt. Je verwerkt al gegevens als je bijvoorbeeld een contactformulier op je website hebt. Wanneer jouw website nog geen SSL certificaat heeft neem dan contact met ons op, zodat we dit voor je kunnen regelen. - Wanneer je persoonsgegevens in je website of webshop opslaat dient deze up-to-date te zijn betreft beveiligingsupdates van het betreffende CMS en eventuele plugins. i. Je mag persoonsgegevens niet langer bewaren dan noodzakelijk voor het doel van de verwerking ervan. Neem in de privacyverklaring een alinea op over het bewaarbeleid dat je hanteert en zorg voor een veilige dataopslag. Zowel fysiek als organisatorisch. Denk bijvoorbeeld aan een geheimhoudingsplicht in je arbeidsovereenkomst. 4

5 j. Meer bedrijven hebben toegang tot jouw verzamelde persoonsgegevens dan je misschien zou denken. Bijvoorbeeld: denk aan ons als webbouwer en hostingprovider, onze subcontractors en andere leveranciers zoals je callcenter, factureringsbedrijf, accountant, een clouddienst, Google Analytics, Mailchimp etcetera. Het is belangrijk en verplicht om met deze bedrijven officiële afspraken te maken over deze toegang om de bescherming van personen te waarborgen. Hier ben je zelf verantwoordelijk voor. Deze waarborgen leg je vast in een zogeheten verwerkersovereenkomst. Grote organisaties zoals Google en Mailchimp hebben hun zaken vaak al goed op orde en zij zijn in staat om een standaard document aan te leveren. Voor overige verwerkers zoals Vrolijk Online dient een overeenkomst op maat gemaakt te worden. Omdat we hier ook daadwerkelijk controles op verwachten is het belangrijk om dit voor 25 mei 2018 te organiseren. In de overeenkomst leggen wij onder andere vast waar de persoonsgegevens voor mogen worden verwerkt, welke veiligheidsmaatregelen getroffen worden, waar de gegevens zijn opgeslagen, of de verwerker subverwerkers mag inschakelen en hoe wordt omgegaan met datalekken. Hoe kan Vrolijk Online mij hierbij helpen? Zoals je hebt kunnen lezen in onze samenvatting is de materie best complex. Vrolijk Online helpt je graag om aan de nieuwe wetgeving te voldoen. We kunnen je website helemaal doorlichten en aangeven welke maatregelen er genomen zouden moeten worden om aan de nieuwe AVG, zoals nu bekend, te voldoen. Vervolgens kunnen we de maatregelen (laten) uitvoeren of aangeven hoe je dit zelf kunt doen. Neem contact met ons op via of om jouw specifieke situatie te bespreken. Wij helpen je graag. Disclaimer Het voldoen aan de nieuwe privacywetgeving is juridisch complex. Vrolijk Online is geen jurist. Wij menen de materie voldoende te hebben bestudeerd om jou als (kleine) ondernemer goed te informeren en van dienst te zijn met ondersteuning. Wil je er 100% van overtuigd zijn dat je geen risico s neemt, neem dan contact op met een jurist. 5

6 Vrolijk Online Runweg BN Berlicum