Europese Privacywet raakt (online) ondernemers

Wat is een persoonsgegeven?

Een persoonsgegeven is te herleiden naar een persoon. Denk hierbij aan een privé telefoonnummer en (e-mail)adres, BSN nummer en geboortedatum. Denk ook aan een (directe) zakelijk telefoonnummer en e-mailadres. Breng in kaart welke persoonsgegevens je bewaart en om welke reden.

Bewaren van persoonsgegevens

Er zijn zes wettelijke grondslagen voor het bewaren van persoonsgegevens, waarvan de volgende drie het meest van toepassing zijn op een webshop:

• Toestemming: Verzamel niet meer gegevens dan je nodig hebt. De toestemming van je klant moet gericht zijn op een bepaald doel. Stel je verzoek om toestemming dus niet te breed op, maar heel specifiek, bijvoorbeeld voor het versturen van een nieuwsbrief.
• Uitvoering van een overeenkomst: de klant koopt een product of dienst bij je en gaat dus een overeenkomst met je aan.
• Wettelijke verplichting: bijvoorbeeld de bewaarplicht voor administratie van 7 jaar.

In AVG staan geen vaste bewaartermijnen. Je bewaart klantgegevens zo lang als nodig voor de verwerking. Belangrijk is dat je een goede onderbouwing hebt voor de door jou gehanteerde bewaartermijn. Houd ook rekening met andere wetten, zoals de bewaartermijn van 7 jaar voor de administratie.

Bestaande klant

Ga na wie jouw huidige klanten zijn en wie niet-actieve of slapende klanten. Een slapende klant is iemand die bijvoorbeeld twee jaar geleden iets in jouw webshop heeft gekocht. Bekijk vervolgens of je zijn/haar persoonsgegevens nodig hebt en wat je er mee doet. Tenslotte bekijk je hoe lang je deze gegevens zou moeten bewaren.

Voor het toesturen van een nieuwsbrief moet je aan kunnen tonen dat de klant hiervoor toestemming heeft gegeven. Kun je dit niet aantonen, dan zou je alle actieve klanten via een mailing opnieuw om toestemming kunnen vragen. Deze toestemming bewaar je in een bestand.

Privacyverklaring

Het is verplicht om een privacyverklaring op te stellen die makkelijk leesbaar is en makkelijk te vinden op je website. In zo'n privacyverklaring vermeld je waarom je persoonsgegevens opslaat en verwerkt, hoe lang je dit doet en om welke soorten gegevensverwerking het gaat.

Verwerkingsregister

In een verwerkingsregister vermeld je verschillende soorten verwerkingen. Het beheer van klantgegevens is al genoeg reden om een verwerkingsregister op te zetten. Er is geen standaard format voor een verwerkingsregister. Het is niet de bedoeling om ieder persoonsgegeven apart te registreren.

Meldplicht Datalekken

Het was al verplicht om datalekken te melden bij het Loket Datalekken, maar datalekken moeten na 25 mei ook goed gedocumenteerd worden. Houd dus goed bij wanneer je gehackt bent.

Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens heeft de AVG in een notendop gemaakt met een verwijzing naar een handig 10-stappen plan voor ondernemers.

Meer informatie over AVG

AVG Autoriteit Persoonsgegevens

AVG