AVG checklist voor bloggers: ben jij klaar voor de AVG-wet?

Foto door Christin Hume

Een AVG checklist? Ja, want vanaf 25 mei moet iedereen zich aan de AVG houden. Deze ‘Algemene verordening gegevensbescherming’ beschermt jouw privacy en zorgt ervoor dat bedrijven duidelijk kenbaar moeten maken welke gegevens ze van je opslaan én geeft je het recht om persoonlijke gegevens te laten verwijderen. Ben jij een (hobby) blogger? Grote kans dat je (onbewust) persoonsgegevens verzamelt met je website. Ook jij moet je dan voorbereiden op de AVG. Maar, geen paniek. Samen met mijn webdeveloper Naomi heb ik een handige AVG checklist opgesteld. Doorloop deze stappen en maak je blog AVG-proof!

Wat houdt die avg in?

Zoals kort in de inleiding omschreven is de Algemene verordening gegevensbescherming een wet die jouw persoonsgegevens beschermt. Dit is een Europese wet en staat ook wel bekend als GDPR: General Data Protection Regulation. Deze nieuwe verordening geldt wereldwijd voor alle ondernemingen en organisaties die persoonsgegevens bijhouden en verwerken van Europese staatsburgers, onafhankelijk of er al dan niet betaald wordt voor diensten of producten. Bedrijven moeten transparant zijn over de (manier van) gegevensverwerking en moeten expliciete toestemming hebben om gegevens te mogen verwerken.

Heb je onlangs allerlei mailtjes gehad van bedrijven die je vroegen om nogmaals de ‘terms of service’ door te nemen en goed te keuren? Dat had te maken met de nieuwe AVG.

Maar niet alleen online ondernemingen (zoals Facebook of Twitter) moeten zich aan de AVG houden. De AVG heeft impact op vrijwel iedereen. Denk aan je werkgever, hij of zij heeft namelijk een database met daarin gegevens over alle werknemers en diverse contactgegevens, maar ook je bankrekeningnummer zodat jouw salaris iedere maand gestort kan worden. Kortom, je werkgever heeft toegang tot een hoop persoonsgegevens en volgens de AVG dienen deze beschermd te worden.

Elke organisatie waar persoonsgegevens van Europese staatsburgers worden verwerkt moet zich aan de AVG houden. Persoonsgegevens zijn namen, mailadressen, telefoonnummers en geboortedata, maar ook geloofsovertuiging en medische informatie valt hieronder. Zodra je een contactformulier op je website hebt, verwerk je dus al persoonsgegevens. Met de ingang van de AVG worden ook zakelijke mailadressen, telefoonnummers etc. als persoonsgegevens gezien.

Het niet voldoen aan de regels kan vanaf mei 2018 leiden tot een boete ter hoogte van 4% van de jaaromzet en tot een bedrag van €20 miljoen. Goede reden om je zaken op orde te hebben!

Wil je meer informatie over de AVG wet dan verwijs ik je graag naar Charlotte’s Law.

Foto door Christin Hume

AVG checklist

En ja: ook (hobby)bloggers zullen zich aan de AVG moeten houden. Wanneer lezers op jouw blog kunnen reageren verzamel je al persoonsgegevens (naam, e-mailadres en ip-adres). Het is belangrijk dat je hierover transparant bent naar je lezers. Heb je geen idee hoe je precies ‘AVG-proof’ wordt? Doorloop dan deze AVG checklist. Als je alle stappen hebt doorlopen ben je helemaal AVG ready en hoef je niet bang te zijn voor een boete.

[bg-box]Let op: deze checklist is met zorg samengesteld en gericht op bloggers. Voor informatie die desondanks onvolledig of onjuist is opgenomen, aanvaarden de auteurs geen aansprakelijkheid. Voor eventuele verbeteringen van de opgenomen gegevens houden zij zich aanbevolen.[/bg-box] 

Check 1: Installeer een SSL-certificaat

Misschien heb je het eens gezien in de browser; naast de URL van de website die je bezoekt staat soms een groen slotje. Dit betekent dat de verbinding versleuteld is en dat de gegevens die je op dat moment achterlaat en verzendt, via een beveiligde verbinding wordt verstuurd. Je kan het ook zien als http (in het grijs) is veranderd naar https (in het groen) of in de zoekmachine resultaten van Google. Je krijgt dan namelijk een veilig melding naast je website te zien.

Heb jij een website waarbij persoonsgegevens verstuurd worden (denk aan het achterlaten van reacties op je blog of een contactformulier), dan is een beveiligde verbinding (en dus een SSL-certificaat) verplicht. Bijkomend voordeel is wel dat je voorrang krijgt in de zoekresultaten van Google.

Je kunt een SSL-certificaat aanvragen bij je hosting en zij kunnen je daar dan verder mee helpen. Er zijn diverse certificaten te verkrijgen, vaak ook een basiscertificaat dat gratis wordt aangeboden via Let’s Encrypt. Andere certificaten kunnen geld kosten, dit is afhankelijk van het doel van jouw website, bijvoorbeeld bij een webshop.

Wil je een SSL certificaat correct laten installeren waardoor je geen WordPress plugin nodig hebt? Neem dan vrijblijvend contact op met Naomi om de details te bespreken.

Check 2: Schrijf een Privacyverklaring

De AVG is er voor het transparant maken van hoe bedrijven met persoonsgegevens omgaan. Lezers van jouw blog moeten weten dat jij eerlijk bent over wat je van je bezoekers verzamelt, zodat ze weten waar ze aan toe zijn en ook in de gelegenheid zijn om deze gegevens te laten verwijderen als ze dat willen. Deze informatie verwerk je in de privacyverklaring.

Je legt dus onder andere uit:

• welke persoonsgegevens je bewaart
• hoe lang je de persoonsgegevens bewaart
• waarom je de persoonsgegevens bewaart
• waar je de persoonsgegevens bewaart
• met wie je de persoonsgegevens deelt

Realiseer je dat je ook onbewust persoonsgegevens verzamelt. Laat iemand via WordPress een reactie achter op jouw blog? Dan heb je al toegang tot het IP-adres, naam (mits juist ingevuld) en email-adres. De bewustwording van hoe persoonsgegevens verzameld, beveiligd en bewaard worden is het hele punt.

Je kan de privacyverklaring in je eigen woorden noteren, maar wees zo duidelijk mogelijk. Denk hierbij aan allerlei opties van het verzamelen van persoonsgegevens en betrek daarbij ook alle externe partijen: dus ook wanneer men een blogartikel kan delen op social media middels jouw website. Je biedt namelijk deze optie aan de bezoekers aan, maar men kan alleen delen wanneer ze ingelogd zijn op dat sociale netwerk. Dat sociale netwerk ontvangt dus weer de gegevens die er gedeeld worden.

Wil je meer weten wat er precies in een Privacyverklaring moet staan? Lees dan zeker even dit artikel met 11 punten waaraan een Privacyverklaring moet voldoen.

Je kan een Privacyverklaring laten opstellen door een jurist, maar ook de online Privacyverklaring generator gebruiken. Deze generator is samengesteld door de overheid. Geef antwoord op de vragen en vul waar nodig de punten aan, zo rolt er uiteindelijk vanzelf een privacyverklaring uit.

Let op: je privacyverklaring moet goed vindbaar zijn op je website. Plaats deze bij voorkeur in de footer (onderste gedeelte van je website, vaak waar ook de copyright staat). Op deze manier is de verklaring op elke pagina toegankelijk.

Check 3: Maak je Google Analytics AVG-proof

Google Analytics is een gratis tool om de statistieken van je website te bekijken. Zo kan je zien waar de bezoekers vandaan komen, hoe ze op je website zijn beland, welke pagina’s ze bezocht hebben maar ook hoe lang ze zijn gebleven. En dat is nog maar de topje van de ijsberg van alle informatie die Google Analytics verzamelt.

Bij Google Analytics heb je twee opties:

• Het volledig gebruiken van Google Analytics en hiervoor toestemming vragen aan de bezoeker (zie check 4: Cookies). Risico hiervan is,  dat als men geen toestemming geeft je dus ook geen gegevens kan verzamelen. Wanneer meerdere bezoekers dit doen, zullen je statistieken geen realistische weergave zijn van je bezoekers.
• Het anonimiseren van Google Analytics. Hierdoor wordt er alleen een functionele cookie geplaatst waardoor Google Analytics toch gegevens kan verzamelen, maar waarvoor geen toestemming nodig is. Je zal dit dan nog wel moeten vermelden in je privacyverklaring.

Hoe maak je jouw Google Analytics account AVG-proof?

• Sluit een verwerkersovereenkomst af met Google. Deze kan je downloaden in je account.
• Anonimiseer de IP-adressen. Je dient dan de script code aan te passen.
  • Tip: Gebruik je een WordPress plugin om je statistieken in je dashboard te bekijken? Dan kan je op zoek gaan naar de juiste instellingen om IP adressen te anonimiseren.
• Optioneel: voor extra beveiliging kan je SSL aanzetten voor je Google Analytics
• Zet het delen van gegevens uit
• Zet het delen van gegevens voor advertentiedoelen uit
• Controleer of de tracking info optie uit staat
• Informeer je bezoekers middels je privacyverklaring

Wil je meer informatie over hoe je deze stappen kan doorlopen, dan verwijs ik je graag naar dit blog Wat betekent de GDPR/AVG voor digital analytics?

Check 4: installeer een Cookie-wall

Je zal de term cookies vast wel vaker hebben gehoord, maar wat zijn het nu eigenlijk? Wikipedia zegt dit: “Een cookie of magic cookie is een hoeveelheid data die een server naar de browser stuurt met de bedoeling dat deze opgeslagen wordt en bij een volgend bezoek weer naar de server teruggestuurd wordt. Zo kan de server de browser opnieuw herkennen en bijhouden wat de gebruiker, c.q. de webbrowser, in het verleden heeft gedaan. Een dergelijk historie is bijvoorbeeld voor marketingdoeleinden interessant.”

Facebook, Google Analytics, Instagram feed.. het zijn allemaal tools die gebruik maken van cookies. En paar jaar terug kwam je er met een simpele ‘hey ik gebruik cookies-melding’ nog vanaf. Voor de AVG wet moet je hier echter een stuk preciezer in zijn!

Cookies worden namelijk onderverdeeld in diverse categorieën. Zo heb je eerst First Party- en Third Party cookies. First Party cookies zijn van de website zelf, bijvoorbeeld de cookies die naam en e-mailadres onthouden in het reactieveld, zodat deze niet elke keer opnieuw ingevuld hoeven worden. Third Party cookies zijn geplaatst door externe partijen, denk aan Google Analytics.

Deze twee categorieën kan je weer onderverdelen in de volgende categorieën:

• Functionele cookies: zijn nodig om een website goed te laten werken.
• Tracking cookies: deze houden het surfgedrag bij van een bezoeker en volgen dus het hele proces van wat de bezoeker doet.
• Social media cookies: maken het mogelijk om het blogartikel te delen op diverse social media platformen.
• Advertising cookies: zorgen ervoor dat een website gepersonaliseerde reclameboodschappen kan sturen.

Nu vraag je je misschien af waarom je het verschil tussen al deze cookies moet weten. Naast de AVG-wet is er ook een ePrivacy verordening wet in de maak. Deze verordening richt zich met name op online advertising. Daarom is het belangrijk dat je onderscheid maakt tussen de verschillende cookies. Meer informatie over de verschillen tussen AVG en ePrivacy verordening vind je hier.

Voorlopig hoef je alleen te voldoen aan de AVG, wat betekent dat een duidelijke cookie-wall op je website plaatsen voldoende is.

Middels deze cookie wall vraag je bezoekers expliciet toestemming te geven aan je website om analytische en tracking cookies te mogen plaatsen. Nadat er toestemming gegeven is, mogen de cookies geplaatst worden. Let op: je ziet nu vaak dat websites een algemene balk hebben waarin alleen de optie ‘accepteren’ staat, maar wist je dat de cookies dan eigenlijk al geplaatst zijn? Het maakt dus niet uit of de bezoeker hiermee akkoord gaat of niet. Dat mag dus niet!

Een bezoeker moet cookies kunnen weigeren en een website moet altijd gewoon toegankelijk zijn, of men de cookies nu wel of niet accepteert.

Hoe maak je je cookies nou AVG-proof? Doorloop onderstaande stappen.

• maak een lijst met alle aanwezige cookies
  • Heb jij Chrome als browser? Dan kan je de extensie Ghostery downloaden. Als je dan eenmaal jouw eigen website bezoekt, scant deze extensie welke cookies aanwezig zijn. Handig!
  • Maak een gratis scan middels de website Cookiebot. Binnen enkele minuten ontvang je de resultaten in je mailbox.
• Vermeld de aanwezige cookies en waarvoor ze dienen in je Privacyverklaring. Vandaar dat het handig is dat je weet onder welke categorie ze behoren zodat je dit in het algemeen kan behandelen.
• Plaats een cookie wall op je website waarbij duidelijk is welke cookies gebruikt worden en geef de bezoeker de keuze om bepaalde cookies niet te accepteren.
  • Cookiebot heeft hiervoor ook een oplossing, namelijk een AVG-proof Cookie Wall die je kan installeren op je website. De tool is op zich vrij makkelijk in te stellen en installeren, maar je zal het e.e.a. moeten plaatsen op je website (een script code). Nadeel is dat deze tot 100 pagina’s gratis is. Na 100 pagina’s zal je per maand een klein bedrag moeten betalen. CookieInfo is de Nederlandse variant hiervan.
  • WeePie Cookie Allow wordt ook veel aangeraden, maar na het testen kwam ik erachter dat het niet de cookies onderverdeeld in categorieën. Ze zijn daar wel mee bezig en willen de nieuwe versie voor 25 mei uitbrengen. Dit is dan eenmalig een bedrag wat je moet betalen voor deze plugin.
  • Helaas heb ik nog geen gratis opties gevonden die echt volledig voldoen aan de AVG-wet. Jij wel? Let me know in the comments!

Dus nogmaals: alleen een balk of pop-up met ‘accepteer cookies’ en daarbij een verwijzing naar je privacy policy is niet  AVG-proof! Je moet a) laat zien welke cookies aanwezig zijn en b) ze moeten apart uit te schakelen zijn en c) de website moet gewoon blijven werken als er een bepaald type cookie wordt uitgeschakeld.

Check 5: maak een Verwerkingsregister

Alle gegevens die je tot nu verzameld hebt, worden verwerkt in een verwerkingsregister. Dit is een Excel-bestand met daarin informatie over de persoonsgegevens die je verwerkt. Denk hierbij ook aan waar je jouw bestanden opslaat (computer, in de cloud, externe harde schijf) en welke systemen je gebruikt (boekhoudprogramma, icloud, mailinglist provider, etc.).

Een handig overzicht is als volgt:

• Wat heb ik opgeslagen (klantgegevens, factuurgegevens, etc)
• Waar heb ik dat opgeslagen?
• Wat is de bestandsnaam?
• In welk programma wordt het gebruikt?
• Waar heb ik het voor nodig?
• Wordt je data gesynchroniseerd? Zo ja, waar / hoe?

Je kan dit dan per onderdeel in Excel plaatsen; een tabblad voor je computer, een tabblad voor je laptop, een voor je telefoon, een voor je externe harde schijf, etc.

Ben je een hobbyblogger en verzamel je behalve de noodzakelijke gegevens om reacties achter te laten geen persoonsgegevens? Dan zal je verwerkingsregister erg klein zijn ;-) Je hoeft dus niet alle namen en e-mailadressen van personen die op je blog reageren te verwerken, maar je moet wel opslaan welke gegevens je opslaat (naam, e-mailadres, IP-adres), wat het doel en de grondslag van deze gegevens is (website gebruiksvriendelijk maken, o.b.v. toestemming), welke personen betrokken zijn (lezers van je blog) en hoe lang je je gegevens bewaart. Zie hier een voorbeeld van zo’n Excelbestand.

Het is overigens nog niet heel duidelijk of het register echt verplicht is voor (hobby)bloggers of alleen voor (grote) bedrijven, maar je kan beter goed voorbereid zijn. Bij bedrijven is dit natuurlijk heel anders omdat zij allerlei systemen gebruiken voor hun dienstverlening. Wordt de dienstverlening aangepast dan zal het verwerkingsregister ook aangepast moeten worden.

Check 6: Minimaliseer de gegevens die je verzamelt

Een belangrijk punt bij de AVG is dataminimalisatie. Dit houdt in dat bij het verzamelen en verwerken van persoonsgegevens niet meer gegevens mogen worden gebruikt dan nodig is om het doel waarvoor ze gebruikt zullen worden te bereiken.

Kortom, je verwerkt alleen de persoonsgegevens die je daadwerkelijk nodig hebt voor je dienst of product.

Als voorbeeld kunnen we het contactformulier nemen. Wil je dat je met een potentiële klant contact kan opnemen en vraag je daarom een e-mailadres en telefoonnummer? Maak dan 1 van de twee velden verplicht. Je hebt namelijk niet beide gegevens nodig om contact te kunnen leggen.

Check 7: tips voor wordpress gebruikers

We zijn er bijna! Als je bovenstaande stappen hebt doorlopen ben je al een heel eind! Heb jij een WordPress website dan kan je nog de volgende tips meenemen, ik houd deze kort omdat de check al erg lang is geworden. Heb je nog vragen, stel ze dan in de comments.

• Maak je website extra veilig. Zet Two-factor authentication aan en zorg voor een sterk wachtwoord en gebruikersnaam. Dit kan je doen met de plugin Google Authenticator .
• Controleer wie er toegang heeft tot je website en verwijder onnodige gebruikers.
• Houd je website up to date! Een website met verouderde software of plugins is een veiligheidsrisico. Op 17 mei is er een nieuwe WordPress update geweest waarbij er rekening is gehouden met de AVG wet. Er zullen dus enkele functies gewijzigd zijn, zorg dat je WordPress up-to-date is!
• Maak je een backup van je website? Zorg ervoor dat deze op een veilige locatie wordt bewaard.
• Contactformulieren dienen alleen te vragen naar informatie die je daadwerkelijk nodig hebt. Vul deze aan met een checkbox waarin je toestemming vraagt om verwerking van de persoonsgegevens. Dit kan je doen met WP GDPR Compliance.
• Bij het reactieformulier bij een blog moet een selectievakje komen te staan dat persoonsgegevens verwerkt worden en dat de bezoeker, die een reactie wilt achterlaten, hiervoor toestemming geeft. Wanneer men een reactie achterlaat heb je als eigenaar van de website namelijk toegang tot het IP-adres, emailadres en website. Dit valt onder persoonsgegevens. Je kan dit selectievakje ook met de plugin  WP GDPR Compliance toevoegen.
• Vraagt een bezoeker zijn of haar gegevens te verwijderen van jouw blog, bijvoorbeeld reacties die geplaatst zijn? Dan kan je daarvoor de plugin Delete Me gebruiken.
• Verstuur je een nieuwsbrief? Zorg ervoor dat je opt-ins AVG-proof zijn middels een checkbox. Voor emailmarketing gelden nog meer regels, lees hier de blog van Charlotte’s Law over.
• Sluit verwerkersovereenkomsten af met de externe diensten die je gebruikt, denk hierbij aan: MailChimp, ActiveCampaign, MoneyBird (boekhoudprogramma), Google Analytics, Social Media platformen, etc. Bewaar deze overzichtelijk bij elkaar in een map.
• Niet alle WordPress plugins die beschikbaar zijn zullen voldoen aan de AVG wet. Controleer dit dus eerst even voordat je deze in gebruik neemt!

Tot slot

Poeh, dat was het zo’n beetje! Is het gelukt met het doorlopen van alle stappen?

Het is een hoop werk, zeker voor een hobbyblogger. Maar het is wel fijn om te weten dat vanaf 25 mei er bewuster met jouw gegevens wordt omgegaan, en je het recht hebt om gegevens te laten wissen. Ik ga er vanuit dat grote bedrijven sneller en strenger gecontroleerd worden dan de miljoenen hobbybloggers die er zijn, bovendien kan het zo zijn dat wanneer je kan laten zien dat je bezig bent met het naleven van de AVG je eerst een waarschuwing krijgt in plaats van een boete. In de toekomst zullen de regels alleen maar aangescherpt worden, dus je kunt er maar beter gelijk mee aan de slag gaan! Hopelijk heb je wat aan deze AVG checklist. Mocht je nog vragen hebben, stel ze dan in de comments!

Wees bewust van alles wat je gebruikt voor je blog en onderneming en ga bewust om met persoonsgegevens. Dat is namelijk het hele punt van deze wet.

Ook ik ben hard bezig met het AVG-proof maken van mijn blog. De komende dagen zullen jullie vanzelf mijn privacy policy en cookie wall zien verschijnen ;-).