Het korte antwoord
Een deel van het AVG-proof maken van een nieuwe website of webshop kunt u zelf doen: een privacyverklaring opstellen, cookies goed instellen en nagaan welke gegevens u eigenlijk verzamelt. Dat zijn stappen die vooral overzicht en discipline vragen, geen juridische opleiding. Bij een ander deel wordt het lastiger om alles zelf te overzien: het beoordelen van verwerkersovereenkomsten met uw hostingpartij, betaalprovider of analysetool, en het inschatten of een bepaalde koppeling tussen tools extra aandacht vraagt.
De grens ligt dus niet bij "kan ik dit zelf" versus "moet ik een jurist bellen", maar bij de vraag hoeveel partijen er met uw gegevens meekijken en hoe gevoelig die gegevens zijn. Een eenvoudige brochurewebsite met een contactformulier is overzichtelijker dan een webshop met klantaccounts, betaalgegevens en marketingtools die aan elkaar gekoppeld zijn.
Wat u meestal zelf kunt regelen
De basis van een privacyverklaring is voor de meeste bedrijven zelf te doen, zeker met een goed uitgangspunt. Daarin staat wie u bent, welke gegevens u verzamelt, waarom, en hoe lang u ze bewaart. Dat is geen creatief werk maar een kwestie van uw eigen praktijk nauwkeurig beschrijven. Hetzelfde geldt voor de cookiebanner: als u weet welke cookies uw website plaatst en waarvoor, is het instellen van toestemming een technische stap die u zelf of met uw websitebouwer kunt afhandelen.
Ook het opstellen van een overzicht van de gegevens die u verzamelt via formulieren, accounts of een bestelproces kunt u zelf doen. Dat overzicht is trouwens niet alleen nuttig voor uw website: het is precies het soort informatie dat ook in een verwerkingsregister terechtkomt. Wie dat overzicht eenmaal heeft, hoeft het niet opnieuw te maken zodra er een andere koopmoment aandient, zoals een klant die om een verwerkersovereenkomst vraagt of een verzekeraar die vraagt hoe u met gegevens omgaat.
Waar het ingewikkelder wordt
Zodra uw website of webshop gegevens doorgeeft aan andere partijen, zoals een hostingbedrijf, een e-mailmarketingtool, een betaalprovider of een analysedienst, ontstaat een verwerkersrelatie. De AVG verwacht dat die relatie is vastgelegd in een verwerkersovereenkomst. Veel van die partijen hebben een standaardovereenkomst klaarliggen, maar dat betekent niet dat u die zonder te kijken kunt tekenen. De vraag is telkens: wat mag deze partij met de gegevens doen, waar staan ze opgeslagen, en wat gebeurt er bij een datalek bij die partij.
Dit is het punt waarop zelf doen minder vanzelfsprekend wordt. Niet omdat het ingewikkeld hoeft te zijn, maar omdat het overzicht al snel groter is dan één webshop: de meeste bedrijven gebruiken tien tot twintig SaaS-tools tegelijk, en elke tool die persoonsgegevens verwerkt vraagt in principe een eigen check. de kennisbank waarin dit per situatie is uitgezocht geeft per onderwerp het korte antwoord en de vindplaats in de wettekst, zodat u zelf kunt beoordelen of een overeenkomst volstaat of dat er iets ontbreekt.
Beveiliging is een ander vraagstuk dan de tekst op uw site
Naast de tekst op uw website speelt ook de techniek erachter een rol: is de verbinding beveiligd, staan wachtwoorden en klantgegevens goed opgeslagen, en wie heeft er toegang tot het beheer van de webshop. Dat zijn geen juridische vragen maar praktische, en ze horen wel bij het totaalplaatje. Op de pagina over beveiliging van privacy en gegevens leest u waar dat soort vragen vandaan komen en waarom toezichthouders er bij een datalek altijd naar kijken.
Wanneer schakelt u iemand anders in
Er is geen harde grens waarop zelf doen ophoudt en uitbesteden begint. Voor een eenvoudige website met een contactformulier is zelf regelen vaak voldoende, mits u het overzicht bijhoudt en actueel houdt. Bij een webshop met klantaccounts, meerdere marketingtools en internationale leveranciers wordt het overzicht sneller onoverzichtelijk, en dat is precies waar veel bedrijven kiezen om het proces te laten bewaken in plaats van het handmatig bij te houden.
Of u dat zelf blijft doen of ergens onderbrengt, is aan u; de wet schrijft geen werkwijze voor, alleen een resultaat. Twijfelt u over uw eigen situatie, dan is dat een vraag voor een jurist of de Autoriteit Persoonsgegevens, niet iets waarover een systeem voor u kan beslissen.
Zelf uitzoeken hoe het bij u ligt
Veel bedrijven beginnen met de vraag of ze überhaupt iets moeten doen, en die vraag is vaak sneller te beantwoorden dan gedacht. Bekijk de veelgestelde vragen over wat wel en niet nodig is of doe de gratis check om te zien waar uw website of webshop op dit moment staat. Wilt u vervolgens weten hoe het systeem achter gdpria.eu dat overzicht voor u bijhoudt, dan leest u dat op de pagina die laat zien waar de informatie vandaan komt.
De kennisbank en de eerste check zijn gratis, ook zonder account. Wilt u dat het overzicht van uw tools en overeenkomsten automatisch actueel blijft, bekijk dan rustig wat daarvoor nodig is.