AVG voor je website: cookies, externe inhoud, formulieren en privacyverklaring
Bijna elke website verwerkt persoonsgegevens: namen en e-mailadressen uit een formulier, bestellingen, accounts, maar ook IP-adressen en cookies. Daarvoor gelden de AVG (Algemene verordening gegevensbescherming) en, voor cookies, de Telecommunicatiewet. Hier lees je waar je op let bij je eigen website.
Dit artikel is geen juridisch advies. Het geeft de hoofdlijnen zoals de Autoriteit Persoonsgegevens (AP) ze uitlegt. Twijfel je over je eigen situatie, lees dan de pagina's van de AP of vraag een deskundige.
Cookies en toestemming
| Soort | Toestemming nodig? |
|---|---|
| Functionele cookies die de site nodig heeft, zoals een inlogcookie, een winkelwagen of het onthouden van de cookiekeuze | Nee, wel uitleggen |
| Analytische cookies met geen of geringe gevolgen voor de privacy | Nee, als ze aan de voorwaarden van de AP voldoen |
| Trackingcookies en alles wat bezoekers volgt of profielen maakt, zoals advertenties en de meeste ingesloten diensten van grote platforms | Ja, en pas laden nadat de bezoeker toestemming gaf |
Een cookiebanner vraagt die toestemming. Volgens de AP leg je uit welke cookies je gebruikt en waarvoor, is weigeren net zo makkelijk als accepteren, en staan er geen vakjes vooraf aangevinkt. Een banner die de trackingcode al laadt voordat de bezoeker kiest, voldoet niet. Kies een cookieplugin die scripts echt tegenhoudt, en controleer dat in de ontwikkelaarstools van je browser (F12, tabblad Netwerk).
Wil je bezoekers tellen zonder banner? Lees Bezoekers meten zonder cookiebanner.
Externe inhoud
Laadt een pagina iets van een andere partij, dan haalt de browser van je bezoeker het bij die partij op. Die ziet dan minstens het IP-adres, ook zonder cookies. Loop daarom na wat je site van buiten laadt:
- Lettertypen van een externe dienst: zet ze op je eigen hosting.
- Video's: gebruik de privacyvriendelijke insluitmodus van het platform, of een afbeelding die de video pas na een klik laadt.
- Kaarten: een afbeelding met een link naar de kaart.
- Captcha's, chatvensters en widgets: kies een variant zonder externe dienst, of laad ze pas na toestemming.
- Avatars in reacties gaan in WordPress standaard via Gravatar. Zet ze uit als je ze niet nodig hebt (Instellingen > Discussie).
Wat overblijft, noem je in je privacyverklaring.
Formulieren
- Vraag alleen wat je nodig hebt. Voor een terugbelverzoek is een naam en telefoonnummer genoeg.
- Zorg dat je site alleen via https werkt: zie SSL-certificaat activeren, vernieuwen en problemen oplossen.
- Veel formulierplugins bewaren elke inzending ook in de database, naast de mail. Stel een bewaartermijn in, of zet het opslaan uit als de mail genoeg is. Ook de log van een SMTP-plugin bevat inzendingen.
- Een aanmelding voor de nieuwsbrief is een apart vakje, niet vooraf aangevinkt.
De privacyverklaring
In je privacyverklaring vertel je bezoekers onder meer:
- wie je bent en hoe ze je bereiken;
- welke gegevens je verwerkt, waarvoor en op welke grondslag;
- met wie je ze deelt, en of ze buiten de EU gaan;
- hoe lang je ze bewaart;
- welke rechten ze hebben, zoals inzage en verwijdering, en dat ze een klacht kunnen indienen bij de AP;
- welke cookies en externe diensten je site gebruikt.
WordPress maakt bij de installatie een conceptpagina Privacybeleid en geeft bij Instellingen > Privacy voorbeeldteksten. Dat is een begin, geen kant-en-klare tekst. Zet een link naar de privacyverklaring in de voettekst en bij elk formulier. Bij Gereedschap kun je persoonlijke gegevens van een gebruiker exporteren of wissen als iemand daarom vraagt.
Bouw je je site met AI Builder, dan kan die een privacyverklaring opstellen uit wat er op je site staat, en een cookiebanner tonen voor diensten van andere partijen. Lees de tekst altijd na en vul aan wat ontbreekt.
De verwerkersovereenkomst met je hoster
Laat je een andere partij persoonsgegevens voor je verwerken, zoals je hoster, een maildienst of een plugin met een clouddienst, dan is die partij een verwerker. Daarvoor sluit je een verwerkersovereenkomst. Met WebOké heb je die al: hij is een bijlage bij onze algemene voorwaarden. Zie Verwerkersovereenkomst: waar vind ik die? Voor andere diensten die je op je site gebruikt, regel je het met die dienst.
Gaat er iets mis, zoals een hack of een gelekte back-up, dan kan het een datalek zijn dat je moet melden. Zie Datalekken bij de AP en Help! Mijn site is gehackt. Hoe los ik dat op en hoe voorkom ik het?
Een kort stappenplan
- Maak een lijst van alles op je site dat persoonsgegevens verwerkt: formulieren, accounts, bestellingen, reacties, statistieken, nieuwsbrief.
- Bekijk wat je site bij het laden naar andere partijen stuurt.
- Haal weg wat niet nodig is en vervang wat privacyvriendelijker kan.
- Vraag toestemming voor wat overblijft en het echt nodig heeft.
- Regel verwerkersovereenkomsten en schrijf of herschrijf je privacyverklaring.
- Kijk er elk jaar opnieuw naar, en na elke nieuwe plugin of dienst.
De cookiekeuze op weboke.nl zelf staat in Cookies op WebOké: je keuze bekijken of wijzigen. Dat gaat over onze site, niet over die van jou.
Verder lezen bij de Autoriteit Persoonsgegevens
Meer leren? Volg de gratis WordPress-cursus, les 9.3 AVG: cookies, formulieren en privacyverklaring.