AVG: cookies, formulieren en privacyverklaring

Module 9: E-mail, vindbaarheid, AVG, onderhoud en verhuizen · Leestijd: 10 minuten

Leerdoel: Na deze les kun je de AVG-basis van een WordPress-site op orde brengen: weten welke persoonsgegevens je verwerkt, cookies en externe inhoud goed regelen, formulieren netjes inrichten en een privacyverklaring opstellen.

Kernbegrippen: persoonsgegevens, verwerken, grondslag, informatieplicht, privacyverklaring, cookieregel (Telecommunicatiewet), toestemming, functionele en analytische cookies, trackingcookies, cookiebanner, externe inhoud, formulieren, bewaartermijn, verwerker, verwerkersovereenkomst, datalek

Deze les is algemene uitleg, geen juridisch advies. Voor jouw situatie lees je de informatie van de Autoriteit Persoonsgegevens (AP) of vraag je een deskundige.

Wat de AVG met je website te maken heeft

De AVG (Algemene verordening gegevensbescherming) gaat over persoonsgegevens: alles waarmee je iemand direct of indirect kunt herkennen. Op een website is dat meer dan je denkt: een naam en e-mailadres uit een formulier, een bestelling, een account, maar ook een IP-adres en een cookie met een uniek nummer.

Bijna elke WordPress-site verwerkt dus persoonsgegevens: in formulieren, reacties, accounts, bestellingen, logboeken van de server, back-ups, maillogs (les 9.1) en in wat je site naar andere partijen stuurt. Daarvoor gelden onder andere deze regels:

• Je hebt voor elke verwerking een grondslag nodig (artikel 6 AVG), bijvoorbeeld: nodig om een overeenkomst uit te voeren (een bestelling), toestemming (een nieuwsbrief), of een gerechtvaardigd belang.
• Je verwerkt niet meer dan nodig en bewaart niet langer dan nodig.
• Je informeert mensen over wat je doet (artikel 13 AVG): dat doe je in je privacyverklaring.
• Je beveiligt de gegevens passend (https, updates, back-ups: de rest van deze cursus).
• Laat je een andere partij gegevens voor je verwerken (je hoster, een maildienst, een plugin met een clouddienst), dan is dat een verwerker en sluit je een verwerkersovereenkomst (artikel 28 AVG). Hosters en grote diensten hebben die meestal standaard klaarliggen.
• Gaat het mis (een hack, een gelekte back-up), dan is het een datalek dat je soms moet melden (les 7.5).

Cookies: de Telecommunicatiewet

Voor cookies (en vergelijkbare technieken zoals local storage en trackingpixels) geldt daarnaast de cookieregel uit de Telecommunicatiewet (artikel 11.7a). In het kort, zoals de AP het uitlegt:

• Functionele cookies die nodig zijn om de site te laten werken (een inlogcookie, een winkelwagen, het onthouden van de cookiekeuze zelf): mag zonder toestemming. Je moet er wel over informeren.
• Analytische cookies met geen of geringe gevolgen voor de privacy: mogen zonder toestemming, als ze aan voorwaarden voldoen. Denk aan statistieken die je zelf bijhoudt of die privacyvriendelijk zijn ingesteld (geen gegevens delen, IP-adressen ingekort, geen volgen over andere sites).
• Trackingcookies en alles wat bezoekers volgt of profielen maakt (advertenties, sociale media, de meeste ingesloten diensten van grote platforms): pas na toestemming, en dus pas laden nadat de bezoeker "ja" heeft gezegd.

Een cookiebanner vraagt die toestemming. De AP noemt onder andere: leg uit welke cookies je gebruikt en waarvoor, weigeren moet net zo makkelijk zijn als accepteren, en geen vooraf aangevinkte vakjes. Een banner die alleen "OK" kent, of die de trackingcode al laadt voordat er gekozen is, voldoet niet. Er zijn veel cookieplugins voor WordPress; kies er een die scripts echt tegenhoudt tot er toestemming is, en controleer dat (de opdracht van deze les helpt).

Externe inhoud: wat je site naar anderen stuurt

Ook zonder cookies stuurt je site gegevens naar andere partijen, zodra een pagina iets van hen laadt. De browser van je bezoeker haalt het dan bij die partij op, en die ziet minstens het IP-adres. Voorbeelden:

In Duitsland oordeelde een rechtbank (LG München I, januari 2022) dat het laden van lettertypen van een externe dienst zonder toestemming in strijd was met de AVG, omdat daarmee het IP-adres van de bezoeker werd doorgegeven. Dat is geen Nederlandse uitspraak, maar het laat zien waar het om gaat: elke externe bron moet je kunnen uitleggen.

Formulieren

Een formulier is een verwerking. Let op:

• Vraag alleen wat je nodig hebt. Voor een terugbelverzoek heb je een naam en telefoonnummer nodig, geen adres en geboortedatum.
• Via https (les 3.1), anders gaan de gegevens onversleuteld over het internet.
• Waar blijven de gegevens? Veel formulierplugins bewaren elke inzending ook in de database, naast de mail. Dan staan daar na jaren duizenden inzendingen. Stel een bewaartermijn in of zet het opslaan uit als de mail genoeg is. Ook de maillog van je SMTP-plugin (les 9.1) bevat ze.
• Toestemming voor een nieuwsbrief is een apart, niet vooraf aangevinkt vakje. Een contactformulier is geen aanmelding voor de nieuwsbrief.
• Spambeveiliging: zie de tabel hierboven.

De privacyverklaring

WordPress maakt bij de installatie een conceptpagina Privacybeleid en heeft bij Instellingen > Privacy een hulp met voorbeeldteksten; plugins die gegevens verwerken, kunnen daar tekst aan toevoegen. Dat is een begin, geen eindresultaat. Een privacyverklaring beschrijft volgens artikel 13 AVG onder andere:

• wie je bent en hoe mensen je bereiken;
• welke persoonsgegevens je verwerkt, waarvoor en op welke grondslag;
• met wie je ze deelt (verwerkers, andere partijen) en of ze buiten de EU gaan;
• hoe lang je ze bewaart;
• welke rechten mensen hebben (inzage, correctie, verwijdering, bezwaar) en dat ze een klacht kunnen indienen bij de AP;
• welke cookies en externe diensten je site gebruikt.

Zet een link naar de privacyverklaring in de voettekst (les 4.3), zodat hij op elke pagina vindbaar is, en bij elk formulier.

WordPress heeft bij Hulpmiddelen ook functies om persoonlijke gegevens te exporteren en te wissen op verzoek van een gebruiker. Handig bij een inzage- of verwijderverzoek, maar ze vinden alleen gegevens van WordPress en van plugins die daarop aansluiten.

Een eenvoudig stappenplan

1. Maak een lijst van alle verwerkingen op je site: formulieren, accounts, bestellingen, reacties, statistieken, nieuwsbrief, logboeken, back-ups.
2. Bekijk wat je site bij het laden naar andere partijen stuurt (de opdracht van deze les).
3. Haal weg wat niet nodig is; vervang wat privacyvriendelijker kan.
4. Regel toestemming voor wat overblijft en echt toestemming nodig heeft, met een banner die scripts tegenhoudt.
5. Sluit verwerkersovereenkomsten en schrijf (of herschrijf) je privacyverklaring.
6. Kijk er elk jaar opnieuw naar (les 9.4), en na elke nieuwe plugin die gegevens verwerkt.

Samenvatting

• Bijna elke WordPress-site verwerkt persoonsgegevens: formulieren, accounts, IP-adressen, logboeken, back-ups.
• Functionele en beperkte analytische cookies mogen zonder toestemming; tracking pas na toestemming, en dan pas laden.
• Externe inhoud (lettertypen, video's, kaarten, captcha's) stuurt gegevens naar anderen; maak het lokaal of laad het pas na een klik.
• Vraag in formulieren alleen wat nodig is, bewaar inzendingen niet eindeloos, nieuwsbriefvinkje apart en niet vooraf aangevinkt.
• Een privacyverklaring volgens artikel 13 AVG, vindbaar op elke pagina; verwerkersovereenkomsten met je hoster en diensten.

Quiz

Opdracht

Opdracht A9.3: Wat stuurt je site naar anderen? Vul het adres van je site in. Het programma laadt de homepage zoals een nieuwe bezoeker zonder cookies en zonder toestemming, en geeft een overzicht: welke cookies de server meteen plaatst (alleen de namen), en van welke andere domeinen de pagina scripts, lettertypen, iframes of afbeeldingen laadt. Bekende diensten voor statistieken, advertenties, sociale media, lettertypen en video worden met naam gemeld (oranje: "controleer of dit pas na toestemming laadt, of vervang het"). Daarnaast controleert het of er op de homepage een link naar een privacyverklaring staat.

Opdracht D9.3: Je verwerkingenlijst en privacyverklaring. Maak een lijst van alle verwerkingen op je site (formulieren, accounts, bestellingen, reacties, statistieken, nieuwsbrief, logboeken, back-ups) met per verwerking: welke gegevens, waarvoor, grondslag, waar opgeslagen, hoe lang, en welke verwerker. Vergelijk die lijst met je privacyverklaring en vink aan wat erin staat. Noteer wat je toevoegt of weghaalt, en welke externe diensten uit opdracht A9.3 je vervangt of achter toestemming zet.

Verder lezen

Deze artikelen gaan over WebOké zelf; de uitleg voor je eigen site vind je bij de Autoriteit Persoonsgegevens.

• Cookies op WebOké: je keuze bekijken of wijzigen
• Cookies (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies en uw organisatie: zorg voor een goed beleid (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Heldere cookiebanners (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Recht op informatie (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Datalekken (Autoriteit Persoonsgegevens): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privacy in WordPress (wordpress.org, Engels): https://wordpress.org/documentation/article/settings-privacy-screen/