Is jouw website of webshop wettelijk in orde?

Verplichting 1 – Een volledig Privacy Beleid

Stap 1: Inventariseer welke persoonsgegevens je verwerkt

Je moet een zicht krijgen op de omvang van de gegevensverwerking op en rond jouw site. Hou dus nauwkeurig bij welke info je verzamelt, hoe je persoonsgegevens gebruikt en wat je mogelijk deelt met andere partijen (denk aan Facebook-linkjes, Google Maps, WordPress, …).

Als je dit allemaal in kaart gebracht hebt, dan kan je passende veiligheidsmaatregelen nemen om de privacy van jouw bezoekers te waarborgen. Het zal je ook helpen in de volgende stappen, namelijk het opbouwen van een Privacy Beleid en een Cookie Beleid.

Stap 2: Stel een Privacy Beleid op en publiceer het op jouw website

Een duidelijke privacyverklaring bevat informatie (in begrijpelijke taal) over de manier waarop persoonsgegevens worden opgeslagen, beveiligd en gedeeld.

Wat zal je daarin moeten opnemen:

• Wie is verantwoordelijk voor de inzameling van gegevens – jij zelf?
• Op welke rechtsgronden gebeurt de gegevensinzameling? (zie verder)
• Wie beheert en verwerkt de gegevens?
• Welke gegevens worden vergaard (bijvoorbeeld in een formulier)?
• Hoe lang worden deze gegevens bewaard?
• Wat doe je bij verlies van data (een lek, hacking)? Je hebt hier ook een meldingsplicht.
• Hoe respecteer je de 7 basisrechten van elke bezoeker? (zie verder)

Rechtsgronden

De wet somt 6 gevallen (rechtsgronden) op, op basis waarvan u persoonsgegevens mag verwerken, namelijk:

• De persoon waarvan je de gegevens wenst te verwerken, stemt toe?
• Of de verwerking van persoonsgegevens is noodzakelijk:
  • voor de uitvoering van een overeenkomst;
  • om te voldoen aan een wettelijke verplichting;
  • voor de bescherming van de vitale belangen van een persoon;
  • voor de vervulling van een taak van algemeen belang of de uitoefening van het openbaar gezag;
  • voor de behartiging van een gerechtvaardigd belang.

  Je zal dus duidelijk in jouw Privacy Beleid aangeven op basis van welke rechtsgrond(en) je gegevens verzamelt.

  Omschrijf ook zeer duidelijk hoe u zich verhoudt tegenover de 7 wettelijke basisrechten van jouw bezoekers:

  1. Informatie: Je mag in principe geen persoonsgegevens verwerken zonder hun medeweten.
  2. Inzage: Bezoekers mogen hun gegevens altijd inkijken en bijkomende informatie opvragen.
  3. Verbetering: Blijken gegevens onjuist of onvolledig, dan mogen zij vragen om die gegevens te verbeteren of te vervolledigen.
  4. Verwijdering: In een aantal specifieke gevallen kunnen mensen vragen om ‘vergeten te worden’. Lees: voorgoed gewist te worden uit jouw database.
  5. Verzet: Iedereen mag zich verzetten tegen de verwerking van zijn gegevens op basis van ernstige en gerechtvaardigde redenen.
  6. Overdraagbaarheid van gegevens: In sommige gevallen mogen mensen hun gegevens bij jou in een standaardformaat opvragen. Op die manier kunnen ze die eenvoudig aan een andere leverancier met een gelijkaardige dienst overdragen.
  7. Klachten: Iedereen heeft het recht om een klacht in te dienen bij de toezichthoudende overheid bij een inbreuk op de persoonsgegevens.

  Nog enkele andere aspecten die je moet behandelen in jouw Privacy Beleid:

  Het is belangrijk om te vermelden dat passende technische en organisatorische maatregelen zijn genomen om de beveiliging van persoonsgegevens te waarborgen. Hoewel de specifieke maatregelen niet altijd in detail hoeven te worden uitgelegd, zal het vermelden van versleuteling, firewalls en gegevensbeschermingsprotocollen nuttig zijn.

  We merken ook dat vele websites nog niet beveiligd zijn met een SSL-certificaat. Dat met andere woorden het internetadres niet begint met HTTPS, maar met HTTP. Bijvoorbeeld HTTP://jouwdomeinnaam.com. Wanneer je echter gegevens verzamelt, en dat geldt voor zowat iedereen, dan is deze beveiliging verplicht! Overigens, Google bestraft websites die deze beveiliging niet hebben en toont deze nooit vooraan in de zoekresultaten!

  Samenwerking met externe dienstverleners: Google, Facebook, MailChimp, WordPress, …, allemaal externe gegevensverwerkers waar je mogelijk mee samenwerkt of gebruik van maakt, zelfs zonder dat je het beseft. Vaak zijn deze bedrijven buiten Europa gevestigd en maken ze gebruik van niet-Europese servers voor gegevensopslag. Ook merken we dat in hun gebruikersovereenkomsten vaak staat opgenomen dat ze de gegevens nog met sub-verwerkers delen. In dit geval ben jij als verantwoordelijke gegevens aan het doorgeven en exporteren. Het is belangrijk dat je – wanneer er export van persoonsgegevens plaatsvindt – de nodige GDPR-conforme overeenkomsten afsluit met deze bedrijven en aan alle overige GDPR-verplichtingen voldoet. Toegegeven, dit is een verplichting die in de praktijk niet helemaal haalbaar is. Verwijzen naar het privacy beleid van deze partijen kan een verdedigbare tussenoplossing zijn.