Er zijn veel factoren waar je rekening mee moet houden en vele eisen waar je aan moet voldoen. De Algemene Verordening Gegevensbescherming (AVG), ook wel bekend als de General Data Protection Regulation (GDPR) in het Engels, is een privacywet die sinds 2018 geldt in de hele Europese Unie. De AVG heeft de Wet bescherming persoonsgegevens (Wbp) vervangen en legt strengere regels op aan partijen die persoonlijke informatie beheren en verwerken. Bedrijven die niet voldoen aan de regels kunnen hoge boetes verwachten.
Wat is het doel van de AVG en waarom is een privacyverklaring belangrijk?
Het hoofddoel van de AVG is om burgers meer controle te geven over hun gegevens en het gebruik ervan. Organisaties moeten duidelijk zijn over waarom ze bepaalde persoonlijke informatie nodig hebben en hoe deze gebruikt zal worden. Burgers hebben het recht om hun opgeslagen gegevens in te zien, toestemming in te trekken, klachten in te dienen en gebruik te maken van het recht om te worden vergeten. Hoge boetes en een beetje goed fatsoen: twee redenen om gewoon aan de AVG te voldoen.
Een privacyverklaring is een verplicht document dat uitlegt welke persoonsgegevens worden verzameld, waarom ze worden verzameld en hoe ze worden gebruikt. Ook de rechten van de betrokkene, zoals inzage, rectificatie of verwijdering, moeten in detail beschreven worden. Daarnaast moet worden aangegeven wie verantwoordelijk is voor de verwerking en welke contactgegevens er zijn voor vragen.
Stap-voor-stap: hoe maak en voeg je een privacyverklaring toe in WordPress
-
Inventariseer welke gegevens jouw site verwerkt. Zoek uit welke gegevens een plugin verzamelt en verwerkt en controleer of de beveiligingsmaatregelen voldoen. Let op dat sommige plugins wel AVG-compliant lijken, maar niet alle aspecten van de AVG dekken. Controleer documentatie of neem contact op met de ontwikkelaars.
-
Werk met cookies en cookiestatement. Om volledig te voldoen aan de AVG is het belangrijk om gebruikers helder te informeren over cookiegebruik en om expliciete toestemming te vragen voor cookies die persoonsgegevens verzamelen. Een duidelijke opt-outmogelijkheid moet aanwezig zijn en toestemming moet per cookie aantoonbaar zijn.
-
Controleer plugins en verwerkersovereenkomsten. Installeer alleen vertrouwde plugins van gerenommeerde bronnen en zorg dat zij verwerkersovereenkomsten bieden. Sluit verwerkersovereenkomsten met partijen zoals hostingproviders en backup-diensten die toegang hebben tot persoonsgegevens.
-
Houd rechten en toegangsrechten up-to-date. Regelmatig de rechten herzien is aan te raden: wie heeft toegang tot de site en data? Wanneer een relatie eindigt, trek dan direct de toegangsrechten in.
-
Implementeer het minste privilege-principe. Beperk toegang tot data tot het minimum dat noodzakelijk is voor iemands functie. Schakel bijvoorbeeld features uit die het aanmaken van accounts voor iedereen mogelijk maken als dit niet nodig is.
-
Privacyverklaring aanmaken en publiceren. WordPress biedt sinds versie 4.9.6 een Privacybeleidspagina-template; dit kan een handig startpunt zijn. Pas de voorgestelde tekst aan jouw situatie aan en laat bij twijfel een jurist meekijken. Plaats vervolgens de privacyverklaring op een duidelijke plek op de site.
-
Maak het privacybeleid adaptief. De standaardtekst is generiek; actualiseer deze regelmatig aan de hand van veranderende wetgeving en de data die je verwerkt. Houd ook rekening met nieuwe plugins en derde partijen die data kunnen verwerken.
-
Bescherm persoonsgegevens en documenteer maatregelen. Denk aan encryptie, 2-factor authenticatie en beveiligingsplannen. Leg in normale taal uit welke technische en organisatorische maatregelen zijn genomen om gegevens te beveiligen.
-
Dataportabiliteit en meldplicht bij datalekken. Gebruikers hebben recht op dataportabiliteit en moeten verzoeken tot verwijdering of correctie kunnen indienen. Datalekken dienen mogelijk binnen 72 uur gemeld te worden bij de Autoriteit Persoonsgegevens.
Daarnaast is het aan te raden een privacybeleid op maat te laten maken of geautomatiseerde generators te gebruiken die regelmatig worden bijgewerkt. Een privacybeleid moet duidelijk en in begrijpelijke taal zijn, zodat klanten precies begrijpen wat ermee gebeurt. Een privacybeleid kan ook helpen bij SEO, omdat duidelijke privacy-informatie vaak als positieve rankingfactor wordt gezien.
Belangrijke elementen die in de privacyverklaring moeten staan
- Naam en contactgegevens van de organisatie, inclusief KvK-nummer en adresgegevens.
- Doel van de verwerking van persoonsgegevens en welke gegevens worden verzameld.
- Grondslagen voor verwerking (toestemming, contract, wettelijke verplichting, vitale belangen, gerechtvaardigd belang).
- Wie toegang heeft tot de gegevens en met wie de gegevens mogelijk gedeeld worden (derde partijen en verwerkers).
- Hoe lang gegevens worden bewaard en welke beveiligingsmaatregelen zijn getroffen.
- Rechten van betrokkenen: inzage, correctie, verwijdering, recht op bezwaar en dataportabiliteit.
- Informatie over cookies: welke cookies worden gebruikt, doeleinden en hoe toestemming kan worden ingetrokken.
- Procedure voor het melden van een datalek en contactpunt voor privacyvragen.
Specifieke tips voor WordPress-gebruikers
Google Analytics is bijvoorbeeld niet automatisch AVG-proof, maar het kan wel zo ingesteld worden. Gebruik analytics-plugins of cookies die beperkt invloed hebben op de privacy, of gebruik privacy-vriendelijke alternatieven zoals Statify. Zorg ervoor dat cookies die privacy-impact hebben duidelijk gecommuniceerd worden en vraag expliciete toestemming voordat je ze plaatst. Controleer regelmatig of plugins en thema’s up-to-date zijn en documenteer welke data zij verwerken.
Uit de AVG-veiligheidsrichtlijnen volgt ook dat je verwerkersovereenkomsten moet sluiten met partijen die persoonsgegevens voor jou verwerken, zoals hostingproviders en back-updiensten. Een dubbele opt-in voor nieuwsbrieven verhoogt de zekerheid dat ze toestemming hebben en helpt aantoonbaar te blijven voldoen aan de AVG.
Hoe maak je een pagina met een privacybeleid in WordPress?
Voorbeelden en bronnen in de praktijk
WordPress biedt een Privacybeleidspagina-template die handig kan zijn om te starten. Het template genereert een standaard privacypagina die in het Nederlands verschijnt voor een Nederlandse installatie. Je kunt de voorgestelde tekst eerst verwijderen en vervangen door jouw eigen situatie. Het is belangrijk dat je altijd expliciet toestemming hebt voordat je persoonsgegevens zoals IP-adressen gaat verzamelen of invasieve cookies plaatst. Daarnaast moet je de privacyverklaring up-to-date houden met de nieuwste wetgeving en met de data die jouw site verwerkt.
Een privacyverklaring is in alle opzichten een juridisch document en het moet specifiek zijn voor jouw situatie. Als de inhoud twijfelt, raadpleeg een jurist. WordPress helpt met het faciliteren van een privacyverklaring, maar de inhoud moet kloppen met jouw praktijk en dataflow.
Breng alles samen: concrete stappenplan voor jouw WordPress-site
- Inventariseer alle verwerkingen van persoonsgegevens en maak een verwerkingsregister.
- Verkrijg expliciete toestemming voor dataverzameling; gebruik duidelijke opt-in methoden.
- Stel een heldere cookieverklaring op en kies passende cookies en verwerkersovereenkomsten.
- Maak een privacyverklaring op maat en publiceer deze op een zichtbare plek op de site.
- Beveilig data met passende technische maatregelen en documenteer deze maatregelen.
- Controleer periodiek of alles nog voldoet aan de AVG en pas aan waar nodig.
Wil je weten of jouw site volledig AVG-proof is? Raadpleeg een jurist of een WordPress-specialist met AVG-kennis. De belangrijkste boodschap is dat transparantie, expliciete toestemming en bescherming van persoonsgegevens centraal staan bij een privacyverklaring op een WordPress-website.