Wie een nieuwe website of webshop bouwt, denkt eerst aan design, betaalmethodes en voorraad. De AVG-kant komt vaak later, of helemaal niet. Wat er dan concreet gebeurt: u kunt geen volledig antwoord geven als een bezoeker vraagt welke gegevens u van hem heeft, uw contracten met hosting- en analyticspartijen ontbreken, en cookies worden mogelijk geplaatst voordat een bezoeker daar toestemming voor heeft gegeven. Dat zijn geen abstracte risico's, maar situaties die zich in de praktijk vrij snel voordoen.
Het gaat hierbij niet om één boete of één moment van controle. Het gaat om een reeks losse plekken waar de verordening iets vraagt, en die pas zichtbaar worden zodra iemand ernaar vraagt: een klant, een zakenpartner, of de bezoeker zelf.
De privacyverklaring is het zichtbare deel
Een ontbrekende of onvolledige privacyverklaring is meestal het eerste wat opvalt, ook voor bezoekers zelf. Maar de verklaring is slechts de buitenkant. Achter de schermen vraagt de AVG onder meer dat u weet welke partijen gegevens namens u verwerken, en dat u daar afspraken over vastlegt. Zonder die afspraken heeft u geen zicht op wat een hostingpartij, een e-mailtool of een betaaldienst precies met de gegevens van uw bezoekers doet.
Cookies en trackingtools zonder toestemming
Een webshop of website gebruikt vaak analytics, advertentiepixels of chatwidgets die al bij het laden van de pagina gegevens verzamelen. Gebeurt dat voordat de bezoeker een keuze heeft gemaakt, dan loopt dat vooruit op de toestemming die de verordening daarvoor vraagt. Dit is een van de punten waar toezichthouders in algemene richtsnoeren expliciet naar kijken, zonder dat daarmee iets gezegd wordt over een individuele situatie.
Geen verwerkersovereenkomst, geen overzicht
Elke tool die gegevens van uw bezoekers of klanten verwerkt — een pakket-track-and-tracesysteem, een nieuwsbrieftool, een reviewplatform — is in de regel een verwerker. De AVG vraagt dat u daar een verwerkersovereenkomst mee heeft. Ontbreekt die, dan mist u niet alleen een document, maar ook het overzicht van wie welke gegevens waar bewaart. Dat overzicht is precies wat een verwerkingsregister zichtbaar maakt, en het is ook waar een klant of aanbesteder naar kan vragen. Wilt u zien hoe zo'n overeenkomst er in de praktijk uitziet, dan kunt u de kennisbank per onderwerp doorlopen.
Als er dan toch iets misgaat
Een webshop verwerkt doorgaans meer gegevens dan een gemiddelde website: naam, adres, betaalgegevens, soms geboortedatum. Gaat er iets mis met een van de partijen die deze gegevens verwerken, dan telt de meldplicht bij een datalek mee, met de klok die daarbij hoort. Zonder overzicht van welke tools welke gegevens verwerken, is het lastig snel te bepalen of en hoe daarop gereageerd moet worden. Een eerste indicatie van de situatie krijgt u met een paar korte vragen over de situatie.
Vragen van bezoekers die u niet kunt beantwoorden
Elke bezoeker en klant heeft het recht om te vragen welke gegevens u van hem heeft, of om verwijdering te vragen. Zonder register en zonder duidelijkheid over welke tools gegevens bewaren, is zo'n verzoek moeilijk volledig te beantwoorden binnen de termijn die de verordening daarvoor stelt. Dat raakt niet alleen de relatie met die ene bezoeker, maar ook het beeld dat een zakenpartner of verzekeraar van uw bedrijf krijgt als daarnaar gevraagd wordt.
Waar dit meestal wringt
In de praktijk is het zelden één groot gemis. Het is een stapeling: een ontbrekend contract hier, een cookie die te vroeg wordt geplaatst daar, geen overzicht van waar gegevens precies staan. Elk onderdeel apart lijkt klein, maar samen maken ze het lastig om op een vraag — van een bezoeker, een klant of een toezichthouder — een volledig antwoord te geven. Hoe de basisbeveiliging van gegevens daarbij aansluit, leest u op de pagina over beveiliging van gegevens.
Deze tekst is een algemene beschrijving en geen juridisch advies over uw eigen website of webshop. Voor de beoordeling van uw specifieke situatie kunt u terecht bij een jurist of bij de Autoriteit Persoonsgegevens.
Wilt u eerst zien waar uw eigen website of webshop op dit moment staat? De gratis quick-scan geeft in een paar minuten een indicatie, zonder dat u daarvoor een account hoeft aan te maken.