Wat de AVG wetgeving voor jou betekent
Op 25 mei 2018 dienen bedrijven te voldoen aan de vernieuwde wetgeving, allemaal ter verbetering van de privacy van burgers in Europa. Wanneer je een Facebook of Google account hebt, ben je waarschijnlijk ook al op de hoogte gebracht van de nieuwe voorwaarden van deze online giganten.
In het MKB is het echter anders: 70% van het MKB heeft nog geen actie ondernomen om te voldoen aan de wet- en regelgeving die op 25 mei 2018 zijn intrede doet. Er is inmiddels zo ontzettend veel over geschreven en gezegd, dat menig ondernemer door de bomen het bos niet meer ziet.
(bron: Rendement.nl)
Een voorlichtingsvideo gericht op de consument maakt al veel duidelijk. Door het bekijken van deze video wordt voor vrijwel elke ondernemer min of meer duidelijk wat de implicaties zullen zijn.
De optimale online
marketingmix
Wat is AVG precies en waarom wordt het ingevoerd?
Op 25 mei 2018 wordt de Algemene Verordening Gegevensbescherming (AVG) van kracht. In de gehele EU is er dan één privacywet actief die van toepassing is op alle EU-lidstaten. De invoering van deze wetgeving, in het Engels ook bekend onder de naam General Data Protection Regulation (GDPR), zorgt er tevens voor dat de huidige Wet Bescherming Persoonsgegevens zal vervallen. De reden waarom deze nieuwe wet wordt ingevoerd, is voornamelijk omdat de oude wet uit 1995 stamt en daardoor geen rekening houdt met het nieuwe, digitale landschap waarin wij momenteel leven. Daarnaast brengt de AVG privacywetgeving in heel Europa op één lijn.
De 6 speerpunten van de nieuwe AVG wetgeving
- Transparante verwerking & transparant gebruik van persoonsgegevens;
- Rechtmatige verwerking van persoonsgegevens, met een specifiek en legitiem doel;
- Het verkrijgen en opslaan van persoonsgegevens wordt beperkt tot beoogd gebruik;
- Persoonsgegevens mogen slechts een beperkte periode worden opgeslagen, zo lang als nodig is voor beoogd gebruik;
- Persoonsgegevens dienen te worden beveiligd met gedegen en geschikte beveiligingsmethoden;
- Individuen krijgen te allen tijde de mogelijkheid om hun eigen persoonsgegevens te laten corrigeren of verwijderen.
Wat gaat er veranderen?
De AVG zorgt voor een betere bescherming van persoonsgegevens. Organisaties die persoonsgegevens verwerken, krijgen meer verplichtingen welke moeten waarborgen dat er verantwoordelijk en voorzichtig met gegevens wordt omgegaan. Het wordt met name heel erg belangrijk dat bedrijven kunnen aantonen dat zij zich aan deze nieuwe wet houden.
Op wie is de AVG van toepassing?
De AVG is een Europese wet die in heel Europa zal gelden. De kans is groot dat deze wetgeving van toepassing is op jouw onderneming. Indien je aan de volgende voorwaarden voldoet, dan dien je actie te ondernemen.
- Je bent in de EU gevestigd of actief in de EU;
- Je hebt (in)direct toegang tot of de beschikking over persoonsgegevens en/of gegevens die zijn terug te voeren op personen.
Dit geldt zowel offline als online, en gaat wellicht verder dan je zo snel denkt. Dit betekent namelijk dat je al AVG compliant dient te zijn zodra je facturen uitschrijft aan Nederlandse personen of bedrijven. Je moet zelfs voldoen aan deze wet als je analytische webstatistieken bijhoudt van een hobbyblog of wanneer je als marktkoopman slechts één keer iemands naam op een bestelling schrijft.
Klein of groot, nationaal of internationaal, veredelde hobby of volwaardig bedrijf: de wet maakt geen onderscheid.De AVG wetgeving is dus van toepassing op álle organisaties en personen die werken met persoonsgegevens. De impact is overigens ook te merken in de gehele organisatie: Human Resources heeft bijvoorbeeld gegevens van (toekomstige) werknemers in het bezit, marketing stuurt wellicht post en brochures rond naar een aantal adressen, en de online afdeling analyseert bezoekersgegevens van de website.
Kortom: de impact van de nieuwe AVG wetgeving is wellicht groter dan je in eerste instantie denkt.
Wie is verantwoordelijk voor de correcte verwerking van gegevens?
Wellicht heb je een deel van de werkzaamheden waarbij persoonsgegevens betrokken zijn, uitbesteed aan een ander bedrijf. Zo leg je bijvoorbeeld de (salaris)administratie bij je accountant neer en de online marketing bij een internet marketing bureau. Deze bedrijven hebben ook weer partners en software die zij gebruiken waarbij persoonsgegevens worden verwerkt.
Stel er gaat ergens iets mis en er wordt misschien zelfs een boete uitgedeeld. Wie is er dan verantwoordelijk?
Volgens Arnoud Engelfriet, ICT jurist, is het inderdaad mogelijk dat bedrijven de verwerking van persoonsgegevens uitbesteden aan derden. Er dient dan wel een verwerkersovereenkomst afgesloten te worden met deze derden. Hierin wordt de kwaliteit en zorgvuldige verwerking van persoonsgegevens gewaarborgd. Overigens is de verantwoordelijke degene die het doel van de verwerking bepaalt en de middelen kiest. De verwerker is uiteindelijk degene die de verwerking doet, zonder dat deze daar zelf keuzes in maakt.
Overigens is het wel belangrijk om te weten dat de feitelijke situatie zwaarder weegt dan wat officieel in de overeenkomst is bepaald.
(bron: Security.nl)
Boete kan oplopen tot 20 miljoen euro!
De AVG gaat per 25 mei 2018 in, en vanaf dan is het noodzakelijk dat je aan deze nieuwe regelgeving voldoet. Indien dit niet het geval is, en iemand dient een klacht in over je onderneming, dan is het mogelijk dat de Autoriteit Persoonsgegevens je een boete geeft dit kan oplopen tot 20 miljoen euro of 4% van de wereldwijde omzet.
Wat betekenen de nieuwe regels voor jouw bedrijf?
Dit verschilt per onderneming. Cross Internet kan je in ieder geval van dienst zijn met het online compliant worden met AVG. Zo kunnen wij samen met onze AVG-proof partners zorgen voor een correcte cookiemelding, een goede beveiliging van de persoonsgegevens in het CMS of CRM, juridisch correcte privacy statement en algemene voorwaarden, en goede website instellingen die voldoen aan de nieuwe wetgeving.
Stappenplan: online compliant met AVG
Een onderdeel hiervan is ook om in kaart te brengen wie er toegang hebben tot bijvoorbeeld de back-end van je website / webshop. Accounts die onnodig toegang hebben, dien je te (laten) verwijderen. Bij de overige accounts kan de toegang beperkt worden tot het niveau wat absoluut noodzakelijk is.
Vergeet ook niet om je algemene voorwaarden aan te passen, en hier duidelijk in te vermelden wat je als bedrijf / persoon precies met de persoonsgegevens doet, waar je de gegevens bewaart etc. Het is altijd verstandig om in de algemene voorwaarden ook nogmaals te verwijzen naar de privacy statement.
Zowel de algemene voorwaarden als de privacy statement dienen online beschikbaar te zijn voor website bezoekers, via een link in de footer én op de plek waar je de persoonsgegevens daadwerkelijk verzamelt.
Sluit een verwerkersovereenkomst af (deze heeft Google al voor je gemaakt, en je kunt deze accepteren in het control panel)
Anonimiseer de IP adressen in Google Analytics door een stukje code toe te voegen aan de trackingcode. Achter de trackingcode kan dit worden geplakt:
,{'anonymize_ip':true} Tevens dient er een screenshot gemaakt te worden, en dien je deze samen met de datum waarop de wijziging is doorgevoerd in het verwerkingsregister te plaatsen.
Deel gegevens niet meer met Google: vink de 5 opties uit in het control panel. Indien je deze ingeschakeld laat, dien je hiervoor specifiek toestemming te vragen aan uw bezoekers.
Schakel de functie "User ID" uit in het control panel. Hiermee kan Google namelijk meerdere apparaten / sessies aan één gebruiker koppelen, en hiervoor dien je apart toestemming te vragen.
Informeer bezoekers door de juiste informatie op te nemen in de privacy statement op je website.
Ook zijn er mogelijkheden om het via Google Tag Manager in te stellen en te koppelen aan de cookiemelding. Dit is echter afhankelijk van de opbouw van de huidige website. Vraag bij ons meer informatie op hierover.
Je gehele onderneming AVG proof in 8 stappen
Zoals we hierboven al benoemden, zijn er online enkele stappen die ondernomen moeten worden om compliant te zijn met de Algemene Verordening Gegevensbescherming, die ingaat op 25 mei 2018. Als organisatie is het echter ook erg belangrijk de nodige stappen te nemen om te voldoen aan deze nieuwe wetgeving. De Autoriteit Persoonsgegevens heeft de 10 meest belangrijke stappen op een rijtje gezet, die we graag met jou delen. Om het gemakkelijker te maken, hebben we de stappen ingedeeld in verschillende fases.
- Privacy by design betekent dat er bij het ontwerpen van producten en diensten al meteen gezorgd moet worden dat persoonsgegevens goed worden beveiligd, dat niet méér gegevens dan noodzakelijk worden verzameld en dat je ze niet langer bewaart dan nodig is.
- Privacy by default betekent dat dat er organisatorische en technische maatregelen moeten worden genomen zodat je standaard alleen persoonsgegevens verwerkt die absoluut noodzakelijk zijn voor het specifieke doel dat je wilt bereiken. In de praktijk betekent dit dat je bijvoorbeeld geen adresgegevens mag vragen aan gebruikers wanneer deze zich uitsluitend inschrijven voor een online nieuwsbrief.
Soms heb je de verwerking van persoonsgegevens uitbesteed aan een partner. Controleer bestaande overeenkomsten en check of deze nog toereikend zijn. Zo niet, zorg dan voor aanpassingen, bijvoorbeeld door een verwerkersovereenkomst toe te voegen. Deze dient sowieso de volgende onderwerpen te bevatten:
- de beschrijving en bevestiging dat de verwerking van de persoonsgegevens uitsluitend plaats vindt op basis van de schriftelijke instructies van de verantwoordelijke;
- de bevestiging dat de personen die in dienst zijn van / werkzaam zijn voor de verwerker, een geheimhoudingsplicht hebben;
- de passende organisatorische en technische maatregelen die zijn getroffen om de verwerking goed te beveiligen;
- de bevestiging dat sub-verwerkers alleen ingeschakeld mogen worden nadat er schriftelijk toestemming is gegeven door de verantwoordelijke. Daarbij gelden dan dezelfde verplichtingen als die de verwerker zelf heeft;
- de bevestiging dat de verwerker meewerkt als betrokken personen hun privacyrechten uitoefenen en bijvoorbeeld vragen voor inzage, correctie of verwijdering van de gegevens.
- het retourneren of verwijderen van de gegevens na afloop van de overeenkomst, het meewerken aan audits en het melden van datalekken.
Tevens is het belangrijk dat je moet kunnen aantonen dat je toestemming hebt gekregen van de betrokken personen om hun persoonsgegevens te verwerken. Daarnaast moet het net zo gemakkelijk zijn om deze toestemming in te trekken als deze te geven.
Extra verplichte stappen
Hier vind je enkele overige stappen, specifiek voor grotere bedrijven of bedrijven die op grote schaal persoonsgegevens verwerken. Als MKB bedrijf zijn de onderstaande stappen waarschijnlijk niet van toepassing.
AVG is niet alleen een IT-aangelegenheid!
Cross Internet & AVG
Wij van Cross Internet, en ook de partners waarmee we samenwerking, voldoen netjes aan de AVG regelgeving zoals deze per 25 mei 2018 ingaat. Zo heeft Cross Internet een privacy manager aangesteld (Willem Kraus). Onze twee grootste partners, Google (bron) en Microsoft (bron), zijn uiteraard ook compliant met de regels.
Is je website er klaar voor?
Elke website- en webshop eigenaar krijgt te maken met de nieuwe AVG regelgeving. Ben je er klaar voor? Is je website AVG-proof? Wanneer je hulp of informatie nodig hebt bij de voorbereidingen en/of implementatie van de AVG, neem dan contact op met Willem Kraus (willem@crossinternet.nl).
Ook kunnen wij je in contact brengen met juristen gespecialiseerd in de AVG inzake de privacyverklaring. Voor Limburgse ondernemers bestaat hier zelfs een subsidie voor.
Handige tools
Online zijn er handige testen en tools te vinden die je informatie bieden over AVG, en in hoeverre je hier reeds aan voldoet. Tevens zijn er websites waarop je standaard privacy verklaringen kunnen laten genereren die compliant zijn met de nieuwe wetgeving. Bekijk de tools:
- Handige zelftest waarmee je een korte of uitgebreide scan kunt doen van jouw organisatie, om te kijken of je klaar bent voor de AVG.
Ligo.nl - Een heldere, door de overheid gestarte, campagne waarmee je op weg wordt geholpen in de wereld van de AVG.
Hulpbijprivacy.nl - Deze regelhulp, gecreëerd door de Autoriteit Persoonsgegevens (AP), geeft je in 10 stappen inzicht in waar je aan dient te werken om goed voorbereid te zijn op de AVG.
Regelhulpenvoorbedrijven.nl - Whitepaper van het Ministerie van Justitie met achtergronden, beslisschema's en een aantal aandachtspunten met betrekking tot AVG.
Rijksoverheid.nl - Privacy statement generator waarmee je gemakkelijk een passende basis privacy verklaring kunt laten genereren, die je kunt gebruiken op de website.
Veiliginternetten.nl - Een privacy statement generator die zich specifiek richt op webshops, waarin onder andere rekening wordt gehouden met partners die de pakketjes verzenden.
Webwinkelkeur.nl
De op deze pagina genoemde informatie is generiek en houdt geen rekening met branche- of bedrijfsspecifieke kenmerken. We geven je alleen de handvatten zodat je aan de slag kunt met het compliant worden met de nieuwe AVG wetgeving die per 25 mei 2018 ingaat. Wil je er zeker van zijn dat je online voldoet aan de nieuwe wet? Neem dan contact op met Willem Kraus (willem@crossinternet.nl).
Ook kunnen wij je in contact brengen met juristen gespecialiseerd in de AVG inzake de privacyverklaring. Voor Limburgse ondernemers bestaat hier zelfs een subsidie voor.
