Per 25 mei 2018 treedt er een nieuwe Europese wet in werking: de AVG (Algemene Verordening Gegevensbescherming). Deze privacywet gaat gevolgen hebben voor vrijwel alle websites, webshops en voor de e-mailmarketing. Vooral als je e-mails verzamelt van klanten, is het belangrijk dat je dit artikel goed doorleest. Boetes kunnen namelijk fors oplopen: tot wel vier procent van je omzet. Dat kan er flink inhakken.

Wat houdt de AVG in?

De AVG is een nieuwe Europese privacywet. Zo wordt het verplicht om een privacyverklaring op je website te hebben. Deze moet goed zichtbaar zijn. Je kunt bijvoorbeeld een link naar het privacybeleid plaatsen in de footer van je website. Als je gegevens verzamelt, bijvoorbeeld via Google Analytics, zal je toestemming nodig hebben van je bezoekers. Alle personen waarvan jij gegevens verwerkt, hebben het recht om hun eigen persoonsgegevens in te zien, aan te passen en/of te verwijderen.

Ook ben je vanaf 25 mei 2018 verplicht om bewerkersovereenkomsten te hebben met de bedrijven die voor jou persoonsgegevens verwerken. Als bezoekers een klacht hebben over de manier van gegevensverzameling, kunnen zij een klacht indienen bij de AP (Autoriteit Persoonsgegevens).

Tot slot nog in deze privacywet: mochten er datalekken voorkomen, ben je verplicht om dit te melden het Meldloket datalekken AP.

Privacy niet op orde? Pas op voor een forse boete

Als je niet voldoet aan deze wet, moet je daar mogelijk flink voor in de buidel tasten. Boetes lopen uiteen tot wel vier procent van je omzet. Dat kan oplopen tot een enorm hoog bedrag. Reden ter meer om het onderstaande stappenplan te volgen.

Wat kan ik doen om aan deze nieuwe wet te voldoen?

Het is belangrijk dat jij voldoet met je website (en onderneming) aan de nieuwe regels van deze privacywet. Je zult daarom een aantal aanpassingen moeten (laten) doen aan je website. Hieronder volgt een handig stappenplan.

1. Pas je privacybeleid aan

Op iedere website moet een privacybeleid komen te staan. Zorg ervoor dat je deze vóór 25 mei 2018 hebt aangepast. In grove lijnen moet je in ieder geval de volgende informatie in je privacybeleid hebben staan:

• Je bedrijfsgegevens (contactpersonen, adresgegevens, KvK-nummer, btw-nummer);
• Doeleinden (de reden waarvoor je persoonsgegevens verwerkt op je website, zie ook punt vijf van het stappenplan);
• Welke persoonsgegevens je verwerkt op je website;
• Het recht van toestemming;
• Het recht op inzage, aanpassingen en/of verwijdering van persoonsgegevens;
• Beveiligingsmaatregelen;
• Cookies die jij of derden plaatsen op je website.

Daarnaast is het belangrijk dat het privacybeleid direct zichtbaar is op je website. Het mag dus niet ‘verschuild’ staan. Maak daarom een aparte pagina (of pdf) aan op je website en plaats een link in de footer van je website.

2. Informeer bezoekers over hun persoonsgegevens

Verscheidene websitebeheerders bieden de mogelijkheid om een gratis E-book te downloaden. Vaak is het dan wel zo dat je je e-mailadres en naam in moet voeren. Het moet dan ook direct duidelijk worden waar deze gegevens voor worden gebruikt. Zijn deze gegevens nodig, zodat een bezoeker het gratis E-book in zijn mailbox kan ontvangen? Of gebruik jij deze gegevens later ook nog voor een nieuwsbrief? Of gebruik jij die gegevens om hen vervolgens persoonlijk te benaderen? Het is belangrijk dat dit direct duidelijk wordt. Er mogen dus geen ‘addertjes on het gras zitten’.

Natuurlijk kan het ook zijn dat je gewoon een nieuwsbrief hebt op je website, waar mensen zich voor kunnen inschrijven. Ook in dit geval is het belangrijk dat je aangeeft hoe frequent zij een nieuwsbrief ontvangen. Als zij zich hebben aangemeld voor een nieuwsbrief, is het belangrijk dat zij dit nog moeten bevestigen via hun e-mailadres. Zo voorkom je dat anderen grappig zijn én iemand anders zijn e-mailadres invullen (dubbele opt-in).

Tevens moet het ook duidelijk zijn hoe iemand zich kan uitschrijven voor een nieuwsbrief. Vaak kan je dat in de footer van je template wel aangeven: ‘schrijf je uit voor deze nieuwsbrief’. Ook moeten consumenten hun gegevens gemakkelijk online kunnen aanpassen (zoals naam, aanhef en e-mailadres).

3. Koop geen lijsten over van andere bedrijven

Regelmatig vind je her en der e-maillijsten. Het is dan vrij gemakkelijk om gelijk een mass mail te sturen naar een grote groep mensen. Echter weet jij niet hoe deze gegevens zijn verzameld. Om die reden is verstandig om niet zulke lijsten te kopen.

Je moet namelijk alle e-mail opt-ins registreren. Achteraf moet je aan kunnen tonen hoe je deze e-mailadressen hebt verzameld. Ook moet je aan kunnen tonen hoe je een e-mailadres hebt geworden: bijvoorbeeld via een nieuwe bestelling, via een pop-up of via een lead magnet (zoals een gratis E-book).

4. Checklist voor nieuwsbrieven

Als je nieuwsbrieven verstuurt, is het belangrijk dat je de volgende checklist naloopt:

• Zorg ervoor dat iedereen is ingeschreven met een dubbele opt-in;
• Je mag niemand meer mailen, als hij/zij zich heeft uitgeschreven voor de nieuwsbrief;
• Je mag jongeren onder 16 jaar niet mailen, zonder uitdrukkelijke toestemming van zijn of haar ouders;
• Er mag geen gebruik gemaakt worden van een noreply@domeinnaam e-mailadres;
• Alleen een naam en e-mailadres zijn écht benodigde informatie voor een nieuwsbrief. Als je nog andere gegevens vraagt, mogen deze niet verplicht zijn;
• Check bij je e-mailsoftwareleverancier of zij voldoen aan de nieuwe Europese richtlijnen.

5. Statistische doeleinden vermelden in je privacybeleid

Officieel gezien mag je persoonsgegevens niet al te lang bewaren. Echter kun je onder het mom van ‘statistische gegevens’ de termijn vrij lang maken. Het is wel belangrijk dat je iets vermeld op deze termijn in je privacybeleid. Daarmee voorkom je later veel ellende. Het is nog min of meer een grijs gebied, omdat de AVG daar ook (nog) niet helemaal duidelijk in is.

6. Pas Google Analytics aan

Je zult ook een aantal aanpassingen moeten maken buiten je website om, mits je een goede cookiemelding hebt. Het is mogelijk om je bezoekers te tracken op basis van een User ID. Als je deze feature niet echt gebruikt, kun je deze uitzetten. Google Analytics verzamelt data namelijk op basis van IP-adressen. Een IP-adres kun je herleiden naar een persoon en daarmee is het niet anoniem.

Als je dus aan de nieuwe wetgeving wilt voldoen, zal je een cookiemelding op je website moeten plaatsen. Op het moment dat mensen akkoord gaan of wanneer zij verder navigeren op de website, mag het cookie pas actief worden.

Als je deze optie echter uitzet, mis je wel een aantal mogelijkheden. Wil je je bezoekers wel echt kunnen tracken op basis van een User ID, bijvoorbeeld voor remarketing? Dan moet je echt specifiek die vraag stellen over de cookies.

Tip: wil je weten hoe je je website helemaal Google Analytics AVG goedgekeurd krijgt? Download hier de handleiding van AP in pdf.

7. SSL-certificaat is nu wel écht noodzakelijk

Eerder markeerde Google Chrome websites al met ‘veilig’, indien er een SSL-certificaat op de website geïnstalleerd staat. Toen werd het eigenlijk al écht nodig om een SSL-certificaat te installeren. Op het moment dat je op een contactformulier klikt, en je hebt nog geen SSL-certificaat, markeert Google Chrome je website als ‘niet veilig’. Er worden namelijk bestanden verstuurd over een onbeveiligde verbinding. Kwaadwilligen zouden deze gegevens kunnen onderscheppen. Google beloont websites met een SSL-certificaat dan ook hoger in de zoekresultaten. Gezien de AVG, wordt het dus ook wettelijk gezien nog belangrijker. Opslag en verwerking van gegevens moet namelijk veilig gebeuren.

Heb je nog geen SSL-certificaat op je website? Neem dan contact op met je hostingpartij en/of programmeur.

8. Houd je website up-to-date in verband met veiligheid

Gebruik je een contentmanagementsysteem, zoals WordPress, Joomla of Magento? Dan is het belangrijk dat je je website altijd up-to-date houdt. Er komen regelmatig updates uit, om de veiligheid van je website te bevorderen. Daarnaast lossen updates ook fouten en bugs op in de software.

Lees ook: waarom WordPress updates uitvoeren?

9. Overeenkomsten met derde partijen

Vooral dit punt is nogal een vervelende ontwikkeling: je zult namelijk overeenkomsten moeten sluiten met partijen die toegang hebben tot de persoonsgegevens de jij verzamelt. Je zult daarmee overeenkomsten moeten sluiten met onder andere Google Analytics, nieuwsbriefsoftware, je hostingpartij, programmeurs, designers et cetera. In deze overeenkomst moeten garanties staan dat de bescherming van de gegevens is gewaarborgd. In het geval van problemen kunnen er dan iemand verantwoordelijk worden gesteld.

Het is dus belangrijk dat je voor jezelf nagaat met wie je nu allemaal overeenkomsten hebt. Vraag na hoe dat momenteel geregeld is. Grotere partijen, zoals Google Analytics en MailChimp, hebben zulke modelcontracten kant-en-klaar. Mocht die overeenkomst nog ontbreken, is het belangrijk dat je actie onderneemt. Zorg ervoor dat je orde op zaken hebt voor de deadline van 25 mei 2018.

10. Informeer je bezoekers

Het is niet verplicht om je bezoekers te informeren over een nieuw privacybeleid. Toch kan het verstandig zijn om dit wel te doen. Door transparant en duidelijk te zijn naar je bezoekers, voelen zij zich serieus genomen. De AVG kent echt wel een aantal nadelen, maar het biedt ook kansen.

Website-check?

Wil je graag je website laten checken of deze AVG proof is? Neem dan gerust contact op.

Vind jij dit ook een interessant blogartikel? Deel dit artikel over de AVG dan op social media met je (zakelijke) relaties.