Wat u moet doen

Feitelijk zou u voor een website waar u persoonsgegevens mee verzamelt (bijvoorbeeld een contactformulier) een SSL-certificaat moeten hebben. Dit kan het simpelste SSL-certificaat zijn. Daarnaast mag u bijvoorbeeld het e-mailadres dat u op zo’n manier verzamelt niet toevoegen aan uw nieuwsbrief bestand, tenzij dat dat expliciet vermeldt wordt bij het formulier. De AVG draait vooral om transparantie: als ik u mijn e-mailadres geef, wat doet u er dan mee? En kom ik niet voor verrassingen te staan?

Wat moet u in uw organistatie dan precies aanpassen om te voldoen aan de gestelde eisen? Dat is helemaal afhankelijk van wát u precies verzamelt.

Denk hierbij aan het aanstellen van een ‘functionaris voor de gegevensverwerking’ als u zich bezig houdt met bijzondere persoonsgegevens zoals gezondheid of geloofsovertuiging. Maar sowieso is het van belang om “passende technische en organisatorische maatregelen” te nemen om de bij u verzamelde en opgeslagen gegevens te beschermen. Denk hierbij dan niet alleen aan het tijdig (laten) installeren van WordPress security-patches en het met SSL certificaten beveiligen van websites en formulieren.

Maar, denk hierbij ook aan het up-to-date houden van de CMSen zelf zoals WordPress.

Tevens moet u voor alle gegevens die u verzamelt, vastleggen waarom dat u dat doet, hoe dat dat gebeurt, op welke manier ze beveiligd worden en voor hoe lang u deze bewaart. Van belang hierbij zijn drie kernwoorden die u kunnen helpen dit te bepalen: doel, grondslag en gegevens. Wat is het doel van het vragen van de gegevens, hoe verklaart u waarom u ze vraagt (kan het niet met minder?) en welke gegevens vraagt u specifiek. Al deze informatie legt u vast in de privacyverklaring en in een ‘register’.

Ten slotte gaat het in de AVG voornamelijk om het transparant zijn over wat en met wie je zaken doet. Leg dit dan ook vast in een privacyverklaring, waarin u bijvoorbeeld aangeeft dat u voor de hosting van uw website gebruik maakt van Webfactory als verwerker. Hierbij is het ook van belang dat u ook vermeldt dat u voor het registreren van domeinnamen, de persoonsgegevens van de klant door moet geven aan de registrerende partij. Voor .nl domeinnamen is dat bijvoorbeeld de SIDN, voor gTLDs is dat de ICANN. De klant gaat namelijk tijdens het afsluiten van de overeenkomst niet alleen akkoord met úw algemene voorwaarden, maar ook met die van de SIDN of een andere partij. Ja, dit is altijd al zo geweest, maar onder de AVG moet dit helderder worden gedocumenteerd.