Les 1: Wat is de AVG en voor wie geldt hij?

Deze cursus biedt algemene informatie en geen juridisch advies. Raadpleeg een jurist voor jouw specifieke situatie.

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming van kracht — in Europa bekend als de GDPR, in Nederland als de AVG. De boetes haalden het nieuws: miljoenen euro’s voor grote techbedrijven. Maar de AVG geldt ook voor jou, als eigenaar van een WordPress website. In deze les leggen we uit wat de wet inhoudt en wat dat voor jou betekent.

Wat is de AVG?

De AVG is een Europese privacywet die bepaalt hoe organisaties — groot én klein — mogen omgaan met persoonsgegevens. De wet heeft twee doelen: mensen controle geven over hun eigen gegevens, en zorgen voor een uniforme privacybescherming in alle EU-landen.

De toezichthouder in Nederland is de Autoriteit Persoonsgegevens (AP). Zij kunnen boetes opleggen en onderzoeken instellen bij overtredingen.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens die direct of indirect te herleiden zijn tot een specifiek persoon. Dat is breder dan je denkt:

• Naam, adres, telefoonnummer, e-mailadres
• IP-adres — ja, ook dat is een persoonsgegeven
• Cookiegegevens en browserinformatie
• Locatiegegevens
• Foto’s waarop iemand herkenbaar is
• Ordergeschiedenis en klantprofielen
• Inloggegevens van klanten op je website

Zodra jouw website ook maar één van deze gegevens verzamelt, ben je verplicht de AVG te volgen.

Geldt de AVG ook voor kleine bedrijven?

Ja. Er is geen ondergrens op basis van bedrijfsgrootte. De AVG geldt voor elk bedrijf — van eenmanszaak tot multinational — dat persoonsgegevens verwerkt van mensen die in de EU wonen.

Er zijn wel een paar lichtere verplichtingen voor kleine organisaties (minder dan 250 medewerkers), maar de basisregels zijn voor iedereen gelijk.

De zes grondslagen voor gegevensverwerking

Je mag persoonsgegevens alleen verwerken als je daar een geldige juridische grondslag voor hebt. De AVG noemt zes grondslagen, waarvan voor website-eigenaren de volgende drie het meest relevant zijn:

• Toestemming — de persoon heeft expliciet toestemming gegeven. Dit is de grondslag voor nieuwsbrieven en marketingcookies.
• Uitvoering van een overeenkomst — je verwerkt gegevens omdat dat nodig is om een bestelling of opdracht uit te voeren. Dit is de grondslag voor klantgegevens in je webshop.
• Gerechtvaardigd belang — je hebt een legitiem zakelijk belang dat zwaarder weegt dan de privacybelangen van de betrokkene. Dit is een grijze zone — gebruik het voorzichtig.

De rechten van betrokkenen

Mensen van wie jij gegevens verwerkt, hebben wettelijke rechten. Als website-eigenaar moet je in staat zijn om aan deze rechten te voldoen:

• Recht op inzage — iemand mag opvragen welke gegevens je van hem hebt
• Recht op correctie — onjuiste gegevens mogen worden gecorrigeerd
• Recht op verwijdering (“recht op vergetelheid”) — iemand mag vragen zijn gegevens te verwijderen
• Recht op dataportabiliteit — gegevens moeten in een overdraagbaar formaat beschikbaar zijn
• Recht van bezwaar — iemand mag bezwaar maken tegen verwerking, bijv. voor marketingdoeleinden

Je moet op verzoeken reageren binnen één maand. In WordPress kun je deze rechten grotendeels afhandelen via Tools → Privacyverzoeken — een ingebouwde functie die WordPress al vanaf versie 4.9.6 heeft.

Wat als je de AVG niet naleeft?

De Autoriteit Persoonsgegevens kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet — het hoogste van de twee. In de praktijk zijn boetes voor kleine bedrijven lager, maar ze worden wel uitgedeeld.

Maar naast boetes is er een groter risico: reputatieschade. Als blijkt dat jij slordig omgaat met klantgegevens, verlies je het vertrouwen van die klanten. Dat is voor een klein bedrijf vaak ernstiger dan een boete.

De goedenbeurt: de meeste AVG-verplichtingen voor kleine website-eigenaren zijn goed te regelen met een paar eenvoudige stappen. Die stappen leer je in de rest van deze cursus.

Opdracht

Maak een lijst van alle plekken op jouw website waar persoonsgegevens worden verzameld. Denk aan: contactformulieren, inschrijfformulieren, het afrekensysteem, reacties op blogartikelen, en analysecookies. Deze lijst is de basis voor de rest van de cursus.