AP publiceert gratis AVG-sjablonen voor webwinkels
Veel kleine webwinkels worstelen al jaren met dezelfde vraag: welk papierwerk vraagt de AVG nu precies, en hoe pak je dat aan zonder een jurist in te huren? De Autoriteit Persoonsgegevens probeert daar sinds begin september verandering in te brengen. Op 3 september publiceerde de toezichthouder twee gratis sjablonen voor het mkb: een voor het verwerkingsregister en een voor de privacyverklaring. Precies de twee documenten waar ondernemers vaak op vastlopen.
Wat moet er in een verwerkingsregister
Onder de AVG moeten veel bedrijven bijhouden welke persoonsgegevens ze verwerken, met welk doel en hoe lang ze die bewaren. Voor een webwinkel gaat dat al snel om namen, adressen, betaalgegevens en bestelgeschiedenis, en bij een nieuwsbrief ook om e-mailadressen en klikgedrag. Het nieuwe sjabloon van de AP bevat voorbeeldtabellen voor tien sectoren, waaronder retail, logistiek en dienstverlening, zodat ondernemers niet vanaf een leeg vel hoeven te beginnen. Je vult in wat van toepassing is en laat de rest weg.
Van register naar privacyverklaring
Het handige zit in de koppeling tussen de twee documenten. De informatie die in het verwerkingsregister staat, vat je grotendeels samen in de privacyverklaring die klanten op je website lezen: welke gegevens je verzamelt, waarom, en welke rechten iemand heeft om die gegevens in te zien of te laten verwijderen. Wie het register op orde heeft, schrijft de verklaring bijna vanzelf. Bij een datalek, en dat overkomt ook kleine webshops weleens, helpt diezelfde documentatie om snel te zien welke gegevens precies geraakt zijn en wie daarover ingelicht moet worden.
Praktisch nut voor webwinkels
Een webwinkel zonder klantgegevens bestaat niet. Elke bestelling genereert adres en betaalinformatie, elke accountregistratie een wachtwoord en voorkeuren, elke marketingmail toestemming die je moet kunnen aantonen. Dat maakt dit sjabloon relevanter dan voor veel andere mkb’ers, want waar een lokale aannemer misschien tien klantdossiers per jaar bijhoudt, verwerkt een gemiddelde webwinkel die hoeveelheid soms in een week. Het scheelt overigens niet alle werk: de voorbeeldtabel voor retail is een startpunt, geen kant-en-klaar document. Wie bijvoorbeeld ook gegevens deelt met een bezorgdienst, een betaalprovider of een extern marketingbureau, moet dat zelf aanvullen, inclusief de vraag hoe lang die partijen de gegevens mogen bewaren.
Ook de webwinkels die menen dat hun administratie allang op orde is, doen er goed aan de sjablonen toch even naast de eigen documenten te leggen. De AP wijst er zelf op dat een verwerkingsregister geen momentopname is maar iets dat meebeweegt met nieuwe tools, nieuwe plug-ins of een nieuw verzendpartner. Een webshop die vorig jaar overstapte op een ander betaalplatform, maar dat nooit in het register aanpaste, loopt alsnog achter de feiten aan.
Even de tijd nemen
Wie de eigen privacyverklaring al een tijd niet heeft nagekeken, kan dit moment prima gebruiken om ook het cookiebeleid en de bewaartermijnen eens langs te lopen. De sjablonen staan gratis op de website van de Autoriteit Persoonsgegevens, onder de documentensectie voor het mkb. Een middag werk, maar wel een die achteraf een hoop onzekerheid scheelt mocht een klant ooit vragen wat er precies met zijn gegevens gebeurt.