InloggenControleer je shop

Privacyverklaring webshop: wat er volgens de AVG echt in moet

Een privacyverklaring is een van de weinige verplichte pagina's die vrijwel iedereen heeft en vrijwel niemand nakijkt. Hij is ooit gedownload, één keer aangepast met de bedrijfsnaam en daarna nooit meer geopend, terwijl de webshop er in de tussentijd drie nieuwe diensten bij heeft gekregen die allemaal gegevens zien.

Kort antwoord

Een privacyverklaring is verplicht op grond van de artikelen 13 en 14 van de AVG. Hij moet per soort gegeven vermelden waarom je het verwerkt, op welke grondslag, hoe lang je het bewaart en met wie je het deelt. Ook moet erin staan dat iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens.

Wat moet er volgens de AVG in staan?

De artikelen 13 en 14 van de AVG schrijven voor welke informatie je moet geven aan iemand van wie je gegevens verwerkt. De opsomming is lang, maar hij komt neer op vijf vragen die per soort gegeven beantwoord moeten worden.

  • Wie ben je, en hoe is de verwerkingsverantwoordelijke te bereiken.
  • Welke gegevens verwerk je, en waarvoor.
  • Op welke grondslag: uitvoering van de overeenkomst, toestemming, wettelijke plicht of gerechtvaardigd belang.
  • Hoe lang bewaar je ze, of welke maatstaf bepaalt die termijn.
  • Met wie deel je ze, en gaan ze buiten de Europese Economische Ruimte.

Daarnaast noem je de rechten van de betrokkene, waaronder inzage, correctie en verwijdering, en het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Dat laatste punt ontbreekt opvallend vaak.

Waarom begin je bij een inventarisatie en niet bij de tekst?

Begin niet bij de tekst maar bij een inventarisatie. Loop een bestelling van begin tot eind na en schrijf op welke partij op welk moment gegevens ziet. Een gemiddelde webshop komt op meer partijen uit dan verwacht.

  • De hostingpartij, want daar staan de gegevens fysiek.
  • De betaaldienst, die naam en bedrag ziet.
  • De bezorger, die naam, adres en meestal een telefoonnummer of e-mailadres krijgt.
  • De e-mailsoftware voor bevestigingen en de nieuwsbrief.
  • Analysesoftware en advertentiepixels, als je die gebruikt.
  • Een boekhoudpakket of factuurdienst.
  • Een reviewplatform dat na levering een uitnodiging stuurt.

Elke partij op die lijst hoort in je verklaring te staan, met wat ze doen en waarom. Wie deze inventarisatie een keer maakt, ontdekt meestal ook een dienst die al maanden gegevens krijgt zonder dat er nog gebruik van wordt gemaakt.

Waarom verschilt de grondslag per verwerking?

De verleiding is om overal 'gerechtvaardigd belang' neer te zetten, omdat dat geen toestemming vraagt. Dat werkt niet. Voor het versturen van een bestelling is de grondslag de uitvoering van de overeenkomst, en die is sterker en eenvoudiger. Voor een nieuwsbrief heb je toestemming nodig, en die moet vrij, specifiek en aantoonbaar zijn.

Beroep je je op gerechtvaardigd belang, dan hoor je die afweging ook echt gemaakt te hebben: welk belang, en waarom weegt dat zwaarder dan de privacy van de klant. Bij een controle is de vraag niet of het woord in je verklaring staat maar of de afweging bestaat.

Wat meet VeriShop hiervan?

VeriShop controleert of de verplichte juridische pagina's bestaan en vindbaar zijn, waaronder de privacyverklaring. Dat is een structuurcontrole: staat de pagina er, is hij bereikbaar vanaf de winkel, en levert de link een werkende pagina op.

Of de inhoud van je verklaring klopt met wat er in jouw systemen gebeurt, kunnen wij niet meten. Dat vraagt kennis van je verwerkingen die van buitenaf niet waarneembaar is. Wij zeggen dat liever expliciet dan dat een groene status de indruk wekt dat je verklaring is inhoudelijk goedgekeurd.

Vragen

Veelgestelde vragen

Is een privacyverklaring verplicht voor elke webshop?

Ja. Zodra je persoonsgegevens verwerkt, en dat doe je bij elke bestelling, moet je de betrokkene informeren. Dat volgt uit de artikelen 13 en 14 van de AVG. Er is geen ondergrens: ook een webshop met tien bestellingen per maand heeft deze plicht.

Waarom is een gedownload sjabloon meestal onvoldoende?

Omdat een sjabloon jouw verwerkingen niet kent. Het noemt cookies die je niet gebruikt en zwijgt over de nieuwsbriefdienst, de bezorger en de betaaldienst die je wél gebruikt. Een verklaring die niet klopt is erger dan een korte die wel klopt: hij wekt vertrouwen dat hij niet waarmaakt, en bij een klacht is hij het eerste wat een toezichthouder naast de werkelijkheid legt.

Wat ontbreekt er meestal?

Vier onderdelen ontbreken bijna altijd: de bewaartermijn per soort gegeven, de grondslag per verwerking, de namen van de partijen aan wie je gegevens doorgeeft, en de vermelding dat iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens. Die laatste is verplicht en staat zelden in een sjabloon.

Welke grondslag geldt voor een bestelling?

De uitvoering van de overeenkomst is de grondslag voor het verwerken van naam, adres en bestelgegevens: zonder die gegevens kun je niet leveren. Voor een nieuwsbrief heb je toestemming nodig. Voor fraudebestrijding of beveiliging beroep je je meestal op gerechtvaardigd belang. Eén grondslag voor alles is bijna altijd onjuist.

Hoe lang mag ik klantgegevens bewaren?

Voor de fiscale bewaarplicht geldt zeven jaar voor je administratie, waaronder facturen. Dat betekent niet dat je alles zeven jaar mag bewaren: een klantaccount dat jaren niet is gebruikt, een verlanglijstje of een klikprofiel vallen daar niet onder. Noem per soort gegeven een termijn, en houd je eraan.

Met wie moet ik een verwerkersovereenkomst sluiten?

Een verwerkersovereenkomst is nodig met elke partij die in jouw opdracht persoonsgegevens verwerkt: je hostingpartij, je e-mailsoftware, je fulfilmentpartner. Niet met een partij die zelf verwerkingsverantwoordelijke is, zoals een bezorgdienst met eigen doeleinden of een betaaldienst. Twijfel je, kijk dan wie bepaalt waarvóór de gegevens worden gebruikt.

Waar dit op gebaseerd is

Deze gids is voorlichting op basis van de bovenstaande bronnen. Het is geen juridisch advies. Lees hoe wij gidsen controleren en herzien in ons redactieproces.

Verder lezen