Privacyverklaring voor webshops: gegevens en grondslagen

Wat mag je als webshop wel en niet verwerken?

Volgens de Autoriteit Persoonsgegevens zijn persoonsgegevens alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (artikel 4, lid 1, AVG). Voor een webshop gaat het om naam, adres, telefoonnummer, pasfoto, klantnummer, online koop- of gedragsinformatie en camerabeelden waarop iemand herkenbaar is.

Een IP-adres kan ook een persoonsgegeven zijn. Dat geldt als het samen met andere gegevens naar iemand te herleiden is. Daarmee valt vrijwel je hele klant- en besteladministratie onder de AVG.

Niet alles rond een klant is automatisch een persoonsgegeven. Gegevens over organisaties (rechtspersonen) en gegevens van overleden personen zijn volgens de AVG géén persoonsgegevens, aldus de AP.

Er zijn uitzonderingen. Is de naam van de rechtspersoon afgeleid van de naam van een natuurlijk persoon, dan zijn het wél persoonsgegevens. Wordt het e-mailadres van een bedrijf alleen door één specifieke werknemer gebruikt, dan ook.

Zegt informatie over een klein bedrijf iets over het gedrag van de eigenaar, dan zijn het wél persoonsgegevens. Hetzelfde geldt voor informatie over een overledene die ook iets zegt over een levend persoon, bijvoorbeeld bij een erfelijke ziekte. Verkoop je aan zzp'ers of eenmanszaken, neem dan niet aan dat hun gegevens buiten de AVG vallen.

De AVG onderscheidt gewone en bijzondere persoonsgegevens. Bijzondere persoonsgegevens gaan bijvoorbeeld over iemands gezondheid, ras of politieke voorkeur. Daarnaast zijn er gevoelige gegevens zoals het bsn en gegevens over geldzaken.

De AVG maakt onderscheid tussen gewone en bijzondere persoonsgegevens. Bijzondere persoonsgegevens zijn extra privacygevoelig.

Werk je met bijzondere of gevoelige persoonsgegevens, dan gelden volgens KVK strenge regels. Voor een webshop speelt dat bijvoorbeeld als gegevens over allergieën of gezondheid van een klant in de bestelling of klantenservice terechtkomen. Of iemand allergieën heeft is een persoonsgegeven, en gezondheidsgegevens vallen onder de strengere categorie.

Voor elke verwerking heb je een grondslag uit de AVG nodig, stelt de AP. Zonder grondslag mag je persoonsgegevens niet verzamelen en gebruiken.

Bij een beroep op gerechtvaardigd belang moet je bovendien afwegen of het doel ook op een andere manier of met minder gegevens te bereiken is, zo meldt Rijksoverheid.

Voor je webshop betekent dat: bepaal per gegeven waarvoor je het nodig hebt. Laat weg wat je niet voor dat doel gebruikt. Leg per doel vast welke grondslag eronder ligt.

Bepaal per webshopverwerking je grondslag

De AVG kent zes grondslagen (KVK). Vier zijn voor webshops direct herkenbaar.

Toestemming: iemand wil je nieuwsbrief ontvangen en geeft daarvoor actief toestemming. Overeenkomst: een klant bestelt een product online en je gebruikt de adresgegevens om het te bezorgen.

Wettelijke plicht: je bewaart gegevens omdat de wet dat verplicht, zoals in het voorbeeld van KVK over salarisgegevens van werknemers. Gerechtvaardigd belang: je verwerkt gegevens om een belang van je organisatie te beschermen dat zwaarder weegt dan de belangen en rechten van de persoon om wie het gaat.

De andere twee grondslagen zijn het beschermen van iemands leven of gezondheid (vitaal belang) en de uitvoering van een taak van algemeen belang of openbaar gezag. Die spelen vooral bij artsen en overheden en liggen voor een webshop zelden voor de hand.

Aan toestemming hangen vier harde eisen: de toestemming moet vrijelijk gegeven, ondubbelzinnig, geïnformeerd en specifiek zijn (AP).

Vrijelijk betekent dat je iemand niet onder druk mag zetten. Je mag iemand bijvoorbeeld niet benadelen die geen toestemming geeft.

Ondubbelzinnig betekent een duidelijke actieve handeling – een aangevinkt vakje, een klik op een knop of een elektronisch formulier. Vooraf aangevinkte vakjes zijn niet toegestaan. Je mag niet aannemen dat iemand stilzwijgend toestemming geeft.

Geïnformeerd betekent dat je vóór het vragen van toestemming vertelt wie je bent, voor welk doel je toestemming vraagt, welke gegevens je verzamelt en dat men de toestemming weer kan intrekken. Dat moet in begrijpelijke en eenvoudige taal.

Specifiek betekent dat je voor elk doel afzonderlijk toestemming vraagt. Het doel mag niet gaandeweg veranderen.

Mensen hebben het recht hun toestemming weer in te trekken (AP). Informeer hen daar vooraf over.

Voor fraudepreventie kun je een beroep doen op het gerechtvaardigd belang, zo staat op Rijksoverheid.nl. Een organisatie mag haar eigen belang afwegen tegen het belang en de rechten van de klant.

Ze moet zich afvragen of het resultaat ook op een andere manier of met minder gegevens te bereiken is. Ook moet ze een privacytoets uitvoeren.

Praktisch betekent dit dat je één grondslag per doel kiest én vastlegt. Dezelfde klant kan tegelijk onder meerdere grondslagen vallen: de bestelling en bezorging op basis van de overeenkomst, de nieuwsbrief op basis van toestemming.

Houd die per verwerking apart. Een nieuwsbriefaanmelding kun je niet op de overeenkomst baseren. Een bestelling niet op toestemming die de klant nooit heeft gegeven.

Leg per doel vast welke gegevens je gebruikt, welke grondslag erbij hoort en hoe je dat kunt aantonen. Die administratie sluit aan op de verantwoordingsplicht uit de AVG.

Je moet kunnen laten zien dat je klanten informeert over wat je met hun gegevens doet, aldus Ondernemersplein.

Kies je toestemming als grondslag, registreer dan ook wanneer en hoe iemand die heeft gegeven. Toestemming die niet aan de vier eisen voldoet is ongeldig. Dan mag je de gegevens niet verwerken.

Vier direct herkenbare grondslagen voor webshops volgens de AVG

Toestemming als grondslag: voor- en nadelen voor webshops

Mag je gegevens delen met bezorgers, betaaldiensten of andere partijen?

Je mag persoonsgegevens alleen aan anderen doorgeven als daar een goede reden voor is en je je aan de AVG houdt, aldus Rijksoverheid.nl. Die site noemt zes situaties waarin dat mag.

Voor een webshop zijn vooral deze relevant: de klant heeft toestemming gegeven. Die toestemming geldt alleen als duidelijk is waarvoor en wat de gevolgen zijn.

Het is nodig om een overeenkomst uit te voeren – het voorbeeld dat Rijksoverheid geeft is dat een telecombedrijf gegevens aan een postbedrijf geeft om een mobiele telefoon thuis te laten bezorgen.

Er is een wettelijke verplichting, zoals de Belastingdienst die gegevens kan opeisen voor de belastingheffing op grond van de Algemene wet inzake rijksbelastingen.

Of er is een gerechtvaardigd belang van de organisatie, bijvoorbeeld het opsporen van fraude. Daarbij weeg je je belang af tegen het belang en de rechten van de klant. Je voert een privacytoets uit.

Bij elke ontvanger hoort een concrete vermelding in je privacyverklaring. De AP schrijft voor dat je klanten informeert of je gegevens deelt met of doorverkoopt aan andere organisaties, en zo ja aan wie.

Ondernemersplein noemt wie de persoonsgegevens krijgt als een van de verplichte onderdelen van de verklaring.

Schrijf dus niet alleen wij delen gegevens met derden of met onze partners. Benoem per doel wie de ontvanger is, bijvoorbeeld de partij die de bezorging uitvoert of de partij die de betaling afhandelt.

Loop je leverancierslijst langs met drie vragen per partij: welk doel dient het delen, welke grondslag hoort daarbij, en staat de ontvanger met dat doel in de privacyverklaring?

Bij ontvangers die je inschakelt voor de uitvoering van de bestelling (verzending, betaling) is de overeenkomst met de klant het vertrekpunt. Bij ontvangers die je voor eigen doeleinden gebruikt, zoals fraudebestrijding, is dat het gerechtvaardigd belang met de bijbehorende belangenafweging en privacytoets.

Verkoop je klantgegevens door aan derden, dan moet dat expliciet in de verklaring staan, met de ontvanger erbij.

Je privacyverklaring: verplicht, begrijpelijk en vindbaar

Bewaar, gebruik of deel je persoonsgegevens van klanten of bezoekers – bijvoorbeeld omdat je goederen levert – dan moet je volgens de AVG een privacyverklaring hebben, zo staat op Ondernemersplein. Die verplichting geldt altijd als je persoonsgegevens verwerkt.

Veiliginternetten.nl voegt toe dat de informatieplicht geldt ongeacht de omvang of rechtsvorm van je organisatie. Of je zzp'er bent of eigenaar van een multinational maakt niet uit.

Je moet de informatie in de meeste gevallen schriftelijk geven, bijvoorbeeld met een online privacyverklaring of op een andere manier. Dat mag zolang je klant de informatie goed kan vinden en begrijpen.

De minimale inhoud staat vast. Ondernemersplein noemt naam en contactgegevens van je organisatie, plus contactgegevens van de functionaris gegevensbescherming (FG) als je die hebt.

Ook verplicht: welke wettelijke grondslag je hebt om persoonsgegevens te verwerken, wie de persoonsgegevens krijgt en hoe lang je de gegevens bewaart.

En of je gebruikmaakt van geautomatiseerde besluitvorming en hoe je dat doet.

In de verklaring hoort ook welke privacyrechten klanten hebben en hoe ze die kunnen uitoefenen (AP). Het gaat onder meer om inzage, wijzigen, verwijderen en het ontvangen van alle geregistreerde gegevens. Daar hoort het recht bij om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

De AP vult aan dat klanten ook moeten kunnen lezen welke persoonsgegevens je verwerkt. Ook: voor welk doel precies.

Verder moeten ze kunnen lezen of je gegevens deelt met of doorverkoopt aan andere organisaties en zo ja aan wie. En hoe lang je bewaart.

De verklaring moet in duidelijke en begrijpelijke taal staan. Ze mag niet te lang en niet ingewikkeld zijn, aldus de AP.

Het moment van informeren hangt af van hoe je aan de gegevens komt. Krijg je gegevens rechtstreeks van de klant, dan heeft die recht op informatie vóórdat hij zijn gegevens deelt.

Krijg je gegevens niet rechtstreeks van de klant, maar via een andere organisatie, dan speelt dat mee bij de informatie waarop die klant recht heeft. Hoeveel extra informatie iemand krijgt, hangt onder meer af van hoe de organisatie de gegevens heeft verkregen.

Vul je een formulier in, dan kan de informatie op het formulier staan. Vult iemand gegevens in op je website, dan is een duidelijke verwijzing naar je online privacyverklaring genoeg.

In sommige situaties moet je extra informatie geven. Hoeveel je geeft, hangt volgens de AP af van de verwachtingen van de klant.

Daarbij telt ook of je gebruik afwijkt van wat redelijkerwijs te verwachten is. Verder tellen de herkomst van de gegevens, de gevolgen voor de klant en de gevoeligheid van de gegevens.

Je hebt een verantwoordingsplicht: als je persoonsgegevens verwerkt, moet je kunnen aantonen dat je je aan de AVG houdt en dat je klanten informeert, aldus Ondernemersplein.

De Autoriteit Persoonsgegevens houdt toezicht op de privacywet. Volgens Veiliginternetten.nl kan de AP een boete opleggen tot maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet van je bedrijf.

Als dat laatste bedrag hoger uitvalt, geldt dat hogere bedrag.

Beloningen en boetes bij overtreding van de AVG in Nederland

Cookies en websitebezoekers: wat zet je in je verklaring?

De Telecomwet verplicht iedere website-eigenaar om bezoekers te informeren over het gebruik van cookies op de site, zo meldt Veiliginternetten.nl.

Het gaat daarbij om wat voor cookies het zijn, waar de cookies voor worden gebruikt, en of andere partijen ook toegang hebben tot de gegevens die via de cookies worden verzameld.

Die informatie hoort herkenbaar in je privacyverklaring te staan. Zo hoeft een bezoeker niet te zoeken naar het cookie-onderdeel.

Je krijgt via je website persoonsgegevens binnen zodra je bijvoorbeeld een betaal- of inlogmodule, een reactiemogelijkheid bij een blog, een contactformulier of een aanmeldmogelijkheid voor een nieuwsbrief hebt.

In al die gevallen ben je verplicht om je privacyvoorwaarden in een privacyverklaring te vermelden. Die verklaring plaats je op de website, aldus Veiliginternetten.nl.

In de verklaring vertel je bezoekers wat je met hun persoonsgegevens doet en waarom.

Voor de vindbaarheid en het moment van informeren geldt hetzelfde als bij klantgegevens. Bij het invullen van gegevens op je website is een duidelijke verwijzing naar de online privacyverklaring voldoende.

De verklaring mag niet te lang en niet ingewikkeld zijn (AP).

Zet de verwijzing dus direct bij het formulier, bij het aanmeldvak voor de nieuwsbrief en in de afronding van de bestelling. Niet alleen in de footer.

Praktische route: van gegevensinventarisatie naar een kloppende verklaring

Stap 1: breng in kaart welke persoonsgegevens je verwerkt. KVK noemt als voorbeelden naam, adres en telefoonnummer, klant- en personeelsnummers, aankoopgedrag op internet en video- en geluidsopnames waarop een persoon herkenbaar is.

Loop voor je webshop je systemen langs: besteladministratie, klantenservice, nieuwsbrief, betaalmodule, inlogmodule, contactformulier en reactiemogelijkheid. Noteer per systeem welke gegevens er binnenkomen en waar ze naartoe gaan.

Leg de uitkomsten vast in een verwerkingsregister. De AVG schrijft voor welke informatie daarin moet staan, waaronder een beschrijving van de categorieën van personen van wie je gegevens verwerkt (AP).

Stap 2: bepaal per verwerking de grondslag. Kies voor elk doel één grondslag en leg vast welke dat is.

Gebruik daarvoor de uitleg over de zes grondslagen en de eisen aan toestemming in de sectie 'Bepaal per webshopverwerking je grondslag'.

Stap 3: minimaliseer en toets. Vraag je bij elk gegeven af of het doel ook met minder gegevens of op een andere manier te bereiken is. Dat is expliciet onderdeel van de afweging bij een gerechtvaardigd belang (Rijksoverheid.nl).

Ga daarnaast na of je een functionaris gegevensbescherming nodig hebt. De onafhankelijke FG is verplicht voor bepaalde organisaties, waaronder overheden (KVK).

Heb je er een, dan moeten de contactgegevens van de FG in je privacyverklaring staan (Ondernemersplein).

Stap 4: stel je privacyverklaring op of verbeter hem. Neem de verplichte onderdelen uit de sectie 'Je privacyverklaring: verplicht, begrijpelijk en vindbaar' op (Ondernemersplein).

Gebruik voor een basistekst de privacyverklaringgenerator op Veiliginternetten.nl. Controleer met de Regelhulp AVG van de Autoriteit Persoonsgegevens of je organisatie aan de belangrijkste AVG-verplichtingen voldoet.

Stap 5: houd het actueel. Voeg je een betaalwijze, bezorgpartner, nieuwsbrieftool of cookie toe, of verandert een doel, controleer dan of de grondslag nog klopt.

Controleer ook of de ontvanger en het doel nog in de verklaring staan. Zonder die periodieke controle loopt je verklaring achter op je praktijk. Dan is de informatie die je klanten krijgen niet meer juist.

Praktische route voor webshops: van gegevensinventarisatie naar kloppende privacyverklaring