De meeste ondernemers hebben ooit een privacyverklaring op hun site gezet en er daarna nooit meer naar gekeken. Dat is begrijpelijk. Privacywetgeving voelt als iets voor juristen, en zolang niemand klaagt lijkt er niets aan de hand. Tot een bezoeker vraagt welke gegevens u van hem bewaart, of tot een klant een verwerkersovereenkomst opvraagt voordat hij tekent.

Deze AVG website checklist is geen juridisch advies en vervangt geen jurist. Het is een praktische lijst met twaalf punten die wij bij websites tegenkomen en die u grotendeels zelf kunt nalopen. Reken op een middag. Wat u niet zelf kunt oplossen, weet u daarna in elk geval te benoemen richting uw webbouwer of jurist.

Wat de AVG in de kern van u vraagt

De verordening komt neer op vier eenvoudige vragen die u over elk stukje persoonsgegevens moet kunnen beantwoorden. Welke gegevens verzamelt u? Waarom? Op welke grondslag mag dat? En hoe lang bewaart u ze? Persoonsgegevens is daarbij ruimer dan mensen denken: een naam en e-mailadres uiteraard, maar ook een IP-adres, een klantnummer of een foto waarop iemand herkenbaar staat.

Voor een gewone bedrijfswebsite met een contactformulier en wat statistieken is dat goed te overzien. Zodra er een webshop, een nieuwsbrief, een klantportaal of een chatfunctie bij komt, groeit het aantal plekken waar gegevens binnenkomen. De checklist hieronder loopt die plekken systematisch af.

De twaalf punten

1. Breng in kaart welke gegevens binnenkomen. Loop uw site na als bezoeker en noteer elk punt waar iemand iets invult of waar iets wordt vastgelegd: contactformulier, offerteformulier, nieuwsbriefaanmelding, account aanmaken, bestellen, reactie plaatsen, chat, terugbelverzoek. Deze lijst is de basis voor al het andere.

2. Controleer of u niet meer vraagt dan nodig. Een contactformulier heeft een naam, een e-mailadres en een bericht nodig. Geen geboortedatum, geen adres, geen telefoonnummer als verplicht veld. Wat u niet verzamelt, hoeft u ook niet te beveiligen, te bewaren of te verwijderen.

3. Zet een leesbare privacyverklaring op de site. Die moet vanaf elke pagina bereikbaar zijn en in gewone taal vertellen welke gegevens u verwerkt, waarom, hoe lang, met wie u ze deelt en welke rechten de bezoeker heeft. Een gekopieerde tekst van een andere site klopt bijna nooit met uw eigen situatie.

4. Vraag toestemming waar dat nodig is. Een nieuwsbriefaanmelding vraagt om een actieve handeling: een vinkje dat niet vooraf is aangekruist. Combineer het niet met het versturen van een offerteaanvraag. Iemand die om een prijs vraagt, meldt zich daarmee niet aan voor uw maandelijkse mailing.

5. Regel uw cookiemelding correct. Voor functionele cookies hoeft u niets te vragen. Voor analytische cookies gelden voorwaarden, en voor tracking- en advertentiecookies is voorafgaande toestemming vereist. Belangrijker dan de melding zelf is dat de scripts pas na toestemming laden. Een banner die niets blokkeert is decoratie. Wanneer u wel en niet een melding nodig heeft, leggen wij uit in het artikel over de cookiemelding.

6. Kijk kritisch naar uw statistiekentool. Google Analytics kan AVG-conform worden ingericht, maar dat gaat niet vanzelf: IP-anonimisering, kortere bewaartermijnen, geen doorgifte voor advertentiedoeleinden zonder grondslag. Een privacyvriendelijk alternatief dat geen persoonsgegevens naar buiten stuurt, scheelt veel administratie.

7. Haal externe scripts van uw pagina’s die u niet nodig heeft. Ingesloten YouTube-video’s, kaarten, chatwidgets, deelknoppen en lettertypen van een externe server sturen het IP-adres van uw bezoeker door voordat die iets heeft gekozen. Lettertypen kunt u lokaal hosten; video’s kunt u pas laden na een klik. Dat helpt bovendien uw laadtijd.

8. Leg vast hoe lang u gegevens bewaart. Formulierplugins bewaren inzendingen vaak eindeloos in de database. Bepaal per soort een termijn: sollicitaties bijvoorbeeld vier weken na afwijzing, offerteaanvragen die niets opleverden een jaar, facturen zeven jaar vanwege de fiscale bewaarplicht. Ruim daarna daadwerkelijk op.

9. Zorg dat u een verzoek kunt uitvoeren. Iemand mag vragen welke gegevens u heeft, ze laten corrigeren of laten verwijderen. Kunt u binnen een maand antwoorden? Weet u in welke systemen u moet zoeken: WordPress, uw mailinglijst, uw boekhouding, uw CRM? Oefen het een keer met uw eigen e-mailadres.

10. Beperk wie erbij kan. Iedereen met een beheerdersaccount kan alle formulierinzendingen en klantgegevens inzien. Geef mensen de rol die bij hun werk hoort en trek toegang in zodra iemand vertrekt. Dit is het punt waarop techniek en privacy elkaar raken: een gehackte website is direct ook een datalek.

11. Beveilig het transport en de opslag. Een geldig SSL-certificaat op alle pagina’s, geen formulieren die via een onbeveiligde verbinding verzenden, versleutelde back-ups en updates die daadwerkelijk worden uitgevoerd. Passende technische maatregelen is precies wat de wet vraagt, en dit is de invulling ervan.

12. Leg de afspraken met uw leveranciers vast. Uw hostingpartij, uw mailingsoftware, uw onderhoudsbureau en uw boekhoudpakket verwerken gegevens namens u. Daar hoort een verwerkersovereenkomst bij. Welke afspraken daar minimaal in horen, hebben wij uitgewerkt in het artikel over de verwerkersovereenkomst.

Een voorbeeld uit de praktijk

Een fysiotherapiepraktijk in Zwolle vroeg ons hun site na te lopen omdat een zorgverzekeraar ernaar had gevraagd. Op papier was er weinig aan de hand: een privacyverklaring stond er, SSL was in orde. In de praktijk vonden wij drieduizend formulierinzendingen in de database, sommige uit 2019, met klachtomschrijvingen erin. Verder een chatwidget die niemand meer gebruikte maar wel meelaadde, en drie beheerdersaccounts van mensen die er niet meer werkten.

De oplossing kostte geen juridische strijd, maar een paar uur opruimen: inzendingen ouder dan een jaar verwijderd, automatisch opschonen ingesteld, de widget eruit, accounts opgeheven en de bewaartermijnen in de privacyverklaring gezet. Het grootste risico zat niet in de tekst op de site, maar in wat er stil in de database lag.

Wat u zelf doet en wanneer u hulp inschakelt

De punten 1, 2, 8 en 9 zijn organisatorisch en kunt u zelf het beste beoordelen; u weet immers waarom u iets vraagt. De punten 5, 6, 7 en 11 zijn technisch en vragen soms iemand die in de code en de instellingen kan kijken. De punten 3 en 12 zijn juridisch: laat u daarbij helpen als er gevoelige gegevens in het spel zijn, zoals bij zorg, financiële dienstverlening of personeelszaken.

Loopt u vast op het technische deel, dan hoort dat in de praktijk gewoon bij goed onderhoud. Zaken als versleutelde back-ups binnen de EU, tijdige updates en het afschermen van de inlog vallen bij ons onder het beveiligingswerk, met een verwerkersovereenkomst erbij. Welke partij u ook kiest: vraag om die overeenkomst voordat u tekent.

Tot slot

Print deze twaalf punten, loop ze een middag na en noteer per punt wie het oppakt en wanneer. Zet er een herinnering bij voor over een jaar. Privacy is geen project dat af is, maar het is ook geen onbegonnen werk. De meeste websites die wij zien komen met een middag opruimen al een heel eind.