AVG
Afkorting van Algemene verordening gegevensbescherming
Wat betekent AVG?
De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) is de Europese privacywet voor persoonsgegevens. Die bepaalt hoe je gegevens van klanten en websitebezoekers verzamelt, bewaart en gebruikt, bijvoorbeeld via cookies, formulieren of advertenties.
Veelgestelde vragen over AVG
Hoe maak ik mijn WordPress-website AVG-proof?
Begin bij alles op je site wat gegevens verzamelt: cookies, formulieren en eventueel een webshop. Zo pak je het aan:
- Installeer een cookieplugin zoals Complianz of CookieYes. Die scant je cookies, toont een cookiebanner en blokkeert trackingcookies tot iemand toestemming geeft.
- Zet een privacyverklaring op je site en link ernaar in de footer en bij je formulieren.
- Vraag in formulieren, bijvoorbeeld van WPForms, alleen gegevens die je echt nodig hebt.
- Zorg voor een SSL-certificaat, zodat je site via https werkt.
- Sluit verwerkersovereenkomsten met partijen zoals je hostingbedrijf en je mailprogramma.
Geldt de AVG ook voor mijn kleine bedrijf of als zzp'er?
Ja. Een veelgehoord misverstand is dat de AVG alleen voor grote bedrijven geldt. Zodra je persoonsgegevens verwerkt, zoals namen, e-mailadressen of IP-adressen van websitebezoekers, val je eronder. Dat geldt dus ook voor eenmanszaken en zzp'ers.
Sommige verplichtingen zijn voor kleine bedrijven wel lichter. Zo hoef je meestal geen functionaris gegevensbescherming aan te stellen. Een register van verwerkingen moet je in de praktijk bijna altijd bijhouden. De uitzondering daarvoor is smal en vervalt al als je structureel klantgegevens verwerkt, zoals voor je administratie.
Hoe lang mag ik klantgegevens bewaren volgens de AVG?
De AVG noemt geen vaste termijn. De regel is: niet langer dan nodig voor het doel waarvoor je de gegevens verzamelde. Daarna verwijder of anonimiseer je ze.
Soms schrijft een andere wet een termijn voor. Je administratie, zoals facturen, moet je voor de Belastingdienst in de regel zeven jaar bewaren. Voor bijvoorbeeld een offerteaanvraag die niets opleverde, kies je zelf een redelijke termijn.
Leg je bewaartermijnen vast in je privacyverklaring. Ruim daarnaast regelmatig je mailbox, je klantsysteem en de formulierinzendingen in WordPress op.
Wat moet ik doen bij een datalek?
Handel snel: een datalek met risico voor de betrokkenen moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Ook een mail met klantgegevens naar de verkeerde persoon kan al een datalek zijn.
- Beperk de schade: wijzig wachtwoorden, dicht het lek en haal je site zo nodig tijdelijk offline.
- Zoek uit welke gegevens en hoeveel mensen het betreft.
- Meld het lek via het meldloket van de Autoriteit Persoonsgegevens als er risico is.
- Informeer de betrokkenen zelf als het risico hoog is.
- Leg elk datalek vast in je eigen register, ook als melden niet nodig is.
Mag ik klanten een nieuwsbrief sturen zonder hun toestemming?
Meestal niet. Voor een nieuwsbrief heb je in principe vooraf toestemming nodig, via een vakje dat iemand zelf aanvinkt. Een vooraf aangevinkt vakje telt niet. Een uitzondering geldt voor bestaande klanten: die mag je mailen over vergelijkbare producten of diensten, als je ze bij de aankoop de kans gaf om bezwaar te maken. Deze regels komen naast de AVG vooral uit de Telecommunicatiewet.
Zet in elke nieuwsbrief een duidelijke afmeldlink en leg vast wanneer en hoe iemand toestemming gaf. Formulierplugins zoals WPForms of Gravity Forms kunnen zo'n toestemmingsvakje toevoegen.
