AVG voor website-eigenaren: technische checklist

Gebruiken mensen in de EU of het VK uw website, dan geldt de AVG (GDPR) voor de persoonsgegevens die uw site verwerkt, ongeacht de grootte van uw bedrijf. In de praktijk weet u welke gegevens uw site verzamelt, vraagt u toestemming voor niet-noodzakelijke cookies, heeft u een duidelijk privacybeleid, sluit u verwerkersovereenkomsten, bewaart u gegevens niet langer dan nodig en beveiligt u ze. Dit is de technische checklist.

Geldt de AVG voor uw website?

Ja, zodra u producten of diensten aanbiedt aan mensen in de EU of het VK, of hun gedrag op uw site volgt, ook als uw bedrijf elders zit. Een webwinkel in Canada die naar Duitsland levert valt eronder. Een adviesbureau met een contactformulier ook.

Veel andere regio’s hebben vergelijkbare privacywetten, met andere details. Komen uw bezoekers uit meerdere landen, dan is de strengste regel vaak het handigste uitgangspunt. Uw adviseur vertelt welke wetten voor u gelden.

Welke persoonsgegevens verzamelt een gewone website?

Persoonsgegevens zijn alle gegevens waarmee u iemand direct of indirect kunt herkennen. Een e-mailadres hoort daarbij, maar ook een IP-adres of cookie-ID. Loop uw site langs en noteer waar dit voorkomt:

Stel: een bezoeker vult uw contactformulier in. Het bericht staat in uw mailbox, in de database van de site, misschien in het logboek van een formulierplugin en in de back-up van vannacht. Dat zijn vier plekken om aan te denken als die persoon later vraagt om verwijdering.

Hoe werken cookietoestemming en een privacyverklaring?

Cookies en vergelijkbare trackers die niet strikt nodig zijn, vragen om toestemming van de bezoeker voordat ze laden. Een banner die verschijnt terwijl Google Analytics of een advertentiepixel al draait, doet die taak niet. De keuze van de bezoeker moet de scripts echt aansturen.

Uw privacyverklaring vertelt wat u verzamelt, waarom, hoelang u het bewaart, wie het ontvangt en hoe mensen hun rechten gebruiken. Houd het eerlijk en concreet. Een verklaring die niet klopt met de site is slechter dan een korte, juiste.

Met welke partijen heeft u een verwerkersovereenkomst nodig?

Een verwerker is een bedrijf dat namens u persoonsgegevens verwerkt: uw hostingbedrijf, e-maildienst, nieuwsbriefprogramma, statistiekendienst, betaalprovider of back-updienst. De AVG verwacht met elk daarvan een schriftelijke verwerkersovereenkomst. Grote aanbieders laten u die meestal online accepteren.

1. Maak een lijst van elke dienst die bezoekers- of klantgegevens raakt.
2. Controleer of er een overeenkomst is en accepteer of onderteken die.
3. Noteer waar elke partij de gegevens opslaat.
4. Verwijder diensten die u niet meer gebruikt, met hun gegevens.

Hetzelfde geldt voor ons en voor elke freelancer met toegang tot uw site. Kan iemand klantgegevens zien tijdens een reparatie, vraag dan om de papieren.

Hoelang mag u gegevens bewaren?

Bewaar persoonsgegevens niet langer dan nodig is voor het doel waarvoor u ze verzamelde. Dat is dataminimalisatie plus een bewaartermijn. U bepaalt die termijn zelf, schrijft hem op en laat de techniek hem daarna volgen.

• Vraag alleen de formuliervelden die u echt gebruikt. Heeft u een telefoonnummer nodig?
• Verwijder oude formulierinzendingen, verlaten winkelwagens en inactieve accounts volgens een schema.
• Kort in hoelang serverlogs en statistieken bewaard blijven.
• Stel een bewaartermijn voor back-ups in en bedenk dat back-ups ook verwijderde gegevens bevatten.

Back-ups zijn het lastige deel. U haalt niet één record uit een nachtelijke back-up, dus bewaar de historie niet langer dan nodig. Zorg ook dat een teruggezette back-up verwijderde mensen niet ongemerkt terugbrengt. Een opgeschreven routine daarvoor is al een goed begin.

Hoe gaat u om met inzage- en verwijderverzoeken?

Mensen kunnen vragen welke gegevens u van hen heeft, om een kopie, of om correctie of verwijdering. U heeft doorgaans ongeveer een maand om te antwoorden. Het lastige is niet het antwoord, maar het vinden van de gegevens.

Daarom is uw lijst van eerder zo nuttig. Bij een verzoek kijkt u in de formulierplugin, de winkelbestellingen, het nieuwsbriefprogramma, de mailbox en de logs. Controleer eerst wie er vraagt, zodat u geen gegevens aan de verkeerde persoon geeft.

Wat betekent “passende beveiliging” technisch?

De AVG vraagt beveiliging die past bij het risico. Er staan geen tools in, maar een paar basismaatregelen gelden breed als technische ondergrens voor een website.

• Updates: houd core, plugins en thema’s actueel. Verouderde software is een veelvoorkomende toegangsroute; lees de verborgen gevaren van verouderde software.
• HTTPS: een geldig certificaat op elke pagina, verlengd voor het verloopt. Ziet u waarschuwingen, lees dan een SSL-certificaatfout oplossen.
• Toegangsbeheer: unieke wachtwoorden, tweestapsverificatie en een eigen account per persoon met alleen de nodige rechten.
• Back-ups: buiten de server, waar mogelijk versleuteld, met een terugzetting die u echt getest heeft.
• Bewaking: merk snel dat de site verandert of uitvalt.

Wat doet u na een datalek?

Een lek dat mensen in gevaar brengt, moet onder de AVG in het algemeen zonder onredelijke vertraging worden gemeld bij de toezichthouder, en waar mogelijk binnen 72 uur nadat u het ontdekt. In sommige gevallen moet u ook de betrokkenen informeren. Of uw geval daaronder valt is een juridische vraag, dus schakel vroeg een jurist in.

Technisch ziet het eerste uur er zo uit: de site afschermen, een kopie als bewijs bewaren, alle wachtwoorden wijzigen en de toegangsroute vinden. Dat staat uitgewerkt in wat u doet als uw website is gehackt, en onze aanpak ziet u op de pagina over een gehackte website. Noteer wat er gebeurde en wanneer, want de toezichthouder en uw adviseur vragen ernaar.

Wat kunt u technisch laten controleren en automatiseren?

Een deel van de checklist is wet en afweging. Een ander deel zijn gewone technische feiten die een script steeds opnieuw kan nagaan.

• Laden trackers voordat er toestemming is?
• Slaan formulieren inzendingen op, en hoelang?
• Hoelang blijven back-ups en logs bewaard?
• Is de software verouderd, en verloopt het certificaat binnenkort?

Geautomatiseerde controles zeggen niet of u voldoet. Ze laten alleen zien of de site doet wat u denkt dat hij doet. Dat is toch waardevol, want de meeste problemen komen uit kleine dingen waar niemand naar keek.

Daar passen wij in. Wij verkopen geen AVG-diensten of certificering en beoordelen uw juridische positie niet. Wel maken wij de technische kant van “passende beveiliging” makkelijker: onze onderhoudsplannen (vanaf €99 excl. btw per maand) bevatten dagelijkse back-ups buiten uw hosting, automatische controle op uptime en certificaten, updates met terugdraaien en een maandverslag. Een site die bijgewerkt, geback-upt en bewaakt is, geeft uw adviseur een solide basis. Wilt u eerst dat we meekijken, neem contact op; de diagnose is gratis.