Hoe maak ik mijn website AVG-geschikt?

Vrijwel altijd, ja. Zodra je persoonsgegevens verwerkt, en dat doe je al bij een simpel contactformulier, een nieuwsbriefinschrijving of het gebruik van analytische cookies, ben je verplicht een privacyverklaring te hebben. Daarin leg je uit welke gegevens je verzamelt, waarom, hoelang je ze bewaart en welke rechten bezoekers hebben. Bijna elke zakelijke website valt hieronder, want een pagina zonder enige gegevensverwerking is tegenwoordig zeldzaam. De privacyverklaring is een van de kernonderdelen van een AVG-proof website. Ontbreekt hij, dan loop je risico op klachten en handhaving door de Autoriteit Persoonsgegevens. Ga er dus vanuit dat je er een nodig hebt, tenzij je website echt helemaal niets van bezoekers vastlegt. Bij twijfel is het verstandig om even te laten checken wat er voor jouw situatie precies geldt.

In je privacyverklaring leg je in begrijpelijke taal uit hoe je met persoonsgegevens omgaat. Vermeld in elk geval wie je bent en hoe je te bereiken bent, welke gegevens je verzamelt en met welk doel, en op welke wettelijke grondslag je dat doet. Zet er ook in hoelang je gegevens bewaart, met welke partijen je ze eventueel deelt en of je cookies gebruikt. Belangrijk is verder dat je de rechten van bezoekers noemt, zoals het recht op inzage, correctie en verwijdering van hun gegevens, en hoe ze die kunnen uitoefenen. Houd de tekst helder en specifiek voor jouw situatie: een gekopieerde standaardtekst dekt vaak niet wat je werkelijk doet. Bij twijfel over de juridische volledigheid kun je het beste een jurist laten meekijken.

Dataminimalisatie is het AVG-principe dat je niet meer persoonsgegevens verzamelt dan strikt nodig is voor je doel. Vraag je in een contactformulier bijvoorbeeld alleen om wat je echt nodig hebt, dan houd je je aan dit principe. Een telefoonnummer verplicht stellen terwijl e-mail volstaat, is een klassiek voorbeeld van te veel vragen. Het idee erachter is simpel: gegevens die je niet verzamelt, kun je ook niet verliezen, lekken of misbruiken. Minder data betekent dus minder risico én minder verplichtingen. Loop daarom kritisch je formulieren en systemen na en schrap velden die niet nodig zijn. Dit is niet alleen een wettelijke eis, maar ook gewoon verstandig: het verkleint je aansprakelijkheid en versterkt het vertrouwen van je bezoekers in hoe zorgvuldig je met hun gegevens omgaat.

Nee, dat mag niet zomaar. Voor het versturen van een commerciële nieuwsbrief heb je in de meeste gevallen expliciete toestemming nodig van de ontvanger. Iemand automatisch inschrijven omdat hij een keer een formulier invulde of iets bij je kocht, voldoet daar meestal niet aan. Werk daarom met een actieve opt-in, waarbij de bezoeker zelf een vinkje zet of zich bewust aanmeldt. Een vooraf aangevinkt hokje telt niet als geldige toestemming. Zorg bovendien dat mensen zich in elke nieuwsbrief eenvoudig kunnen afmelden. Deze regels komen niet alleen uit de AVG, maar ook uit de aparte regels voor elektronische communicatie. De veilige route is dus altijd: vraag vooraf duidelijk toestemming en leg vast dat en wanneer iemand die gaf. Zo bouw je bovendien een lijst op van mensen die je berichten echt willen ontvangen.

In de praktijk worden de termen vaak door elkaar gebruikt, maar er zit een nuance in. Een privacyverklaring is het openbare document op je website waarin je aan bezoekers uitlegt hoe je met hun persoonsgegevens omgaat. Een privacybeleid is meer een intern document waarin je voor je eigen organisatie vastlegt welke afspraken, processen en maatregelen je hanteert rond gegevensbescherming. De verklaring is dus naar buiten gericht en de beleidstekst naar binnen. Voor een kleine website is de openbare privacyverklaring het belangrijkst, omdat die wettelijk verplicht en zichtbaar is. Grotere organisaties leggen daarnaast vaak intern beleid vast. Laat je niet in de war brengen door de terminologie: waar het om draait, is dat je transparant bent naar bezoekers én dat je intern zorgvuldig met gegevens omgaat.

Dan loop je risico op klachten van bezoekers en op handhaving door de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder. Die kan onderzoek doen en bij overtredingen forse boetes opleggen; de AVG kent hoge maximumboetes voor ernstige gevallen. Maar ook zonder boete kan het je schaden: een datalek of een klacht die uitkomt, tast het vertrouwen van je klanten aan en kan reputatieschade opleveren. Voor de meeste kleine bedrijven is de kans op een torenhoge boete beperkt, maar het risico is reëel genoeg om serieus te nemen. Bovendien is voldoen aan de AVG niet alleen een verplichting, maar ook een teken van professionaliteit. Zie het daarom niet als last, maar als basishygiëne die klanten laat zien dat je zorgvuldig met hun gegevens omgaat.

Wij zijn een internetbureau, geen juridisch adviseur, dus we stellen geen juridische documenten voor je op. Wat we wél doen, is je website technisch zo inrichten dat je aan de AVG kunt voldoen: denk aan een correcte cookiemelding, veilige formulieren, een goede plek voor je privacyverklaring en een beveiligde (SSL-)verbinding. Voor de inhoud van de privacyverklaring zelf verwijzen we je naar een jurist of een betrouwbare, actuele generator, zodat de tekst echt klopt met jouw situatie. Zo krijg je het beste van twee werelden: een technisch AVG-proof website van ons, en een juridisch kloppende verklaring van iemand met de juiste expertise. We denken graag met je mee over de technische kant en wijzen je op de punten waar je aan moet denken.

Ja. De AVG maakt geen uitzondering op basis van bedrijfsgrootte. Verwerk je persoonsgegevens, of je nu een eenmanszaak, zzp'er of groot bedrijf bent, dan gelden de regels voor jou. En persoonsgegevens verwerk je sneller dan je denkt: een contactformulier, een klantenbestand, een nieuwsbrief of analytische cookies vallen er allemaal onder. Wel is het zo dat de verplichtingen in verhouding staan tot wat je doet: een kleine website met een contactformulier heeft minder te regelen dan een grote webshop met duizenden klantprofielen. De kern blijft echter gelijk: wees transparant, verzamel niet meer dan nodig, beveilig wat je hebt en respecteer de rechten van betrokkenen. Ga er als klein bedrijf dus niet vanuit dat de AVG niet voor jou geldt, want dat is een veelgemaakte en riskante aanname.

Bezoekers en klanten hebben onder de AVG een aantal duidelijke rechten over hun eigen persoonsgegevens. De belangrijkste zijn het recht op inzage (weten welke gegevens je van hen hebt), het recht op correctie (onjuiste gegevens laten aanpassen) en het recht op verwijdering (hun gegevens laten wissen, ook wel het recht om vergeten te worden). Daarnaast hebben ze het recht om bezwaar te maken tegen bepaalde verwerkingen en het recht op dataportabiliteit, waarbij ze hun gegevens in een bruikbaar formaat meekrijgen. Als organisatie moet je deze verzoeken binnen de wettelijke termijn afhandelen, meestal binnen een maand. Vermeld deze rechten daarom duidelijk in je privacyverklaring en zorg dat je een werkbaar proces hebt om er gehoor aan te geven. Zo voorkom je klachten en laat je zien dat je gegevensbescherming serieus neemt.

Vaak wel. Zodra een externe partij, zoals een webbureau of hostingpartij, namens jou persoonsgegevens verwerkt, schrijft de AVG een verwerkersovereenkomst voor. Daarin leg je vast wat die partij met de gegevens mag doen, welke beveiligingsmaatregelen gelden en wat er gebeurt bij een datalek. Verwerkt jouw bureau bijvoorbeeld gegevens uit je contactformulieren of beheert het je klantendatabase, dan is zo'n overeenkomst op zijn plaats. Het is een manier om verantwoordelijkheden helder af te bakenen en beide partijen te beschermen. Vraag je leverancier er dus gerust naar; een professionele partij heeft dit doorgaans standaard geregeld. Bij twijfel over wat er precies in moet staan, kun je het beste even een jurist laten meekijken, zodat de overeenkomst aansluit op de manier waarop jullie samenwerken.