Je shop verzamelt elke dag klantgegevens. E-mailadressen bij het afrekenen. Telefoonnummers voor de verzending. Betaalgegevens. IP-adressen uit analytics. Browsegeschiedenis uit trackingpixels. Bij elk gegeven dat je verzamelt hoort een wettelijke plicht om het te beschermen en klanten te vertellen hoe je het gebruikt.
Dit is waar privacybeleid, cookietoestemming en de AVG (GDPR) om de hoek komen kijken. Het zijn geen formaliteiten. Het zijn de regels voor hoe je klantgegevens verzamelt, opslaat en gebruikt. Doe je het fout, dan krijg je boetes, wantrouwen van klanten en juridische problemen. Doe je het goed, dan bouw je vertrouwen in je merk op.
De meeste shopeigenaren slaan privacy over, omdat het saai en ingewikkeld voelt. Het is ook ingewikkeld. Maar in dit artikel lees je wat je echt moet doen.
Wat is de AVG en wie krijgt ermee te maken
De AVG (in het Engels GDPR, General Data Protection Regulation) is een wet van de Europese Unie met regels voor hoe bedrijven persoonsgegevens verzamelen en gebruiken. Heb je één klant in de EU, dan geldt de AVG voor jou. Bedient je shop klanten in de EU, dan moet je je aan de AVG houden.
De AVG is niet vrijblijvend. Het is geen suggestie. De Europese Commissie heeft bedrijven miljarden euro's aan boetes opgelegd voor overtredingen. Microsoft betaalde USD 20 miljoen. Facebook betaalde USD 5 miljard. Dat zijn enorme bedrijven. Een kleine webshop betaalt misschien lagere boetes, maar het principe is hetzelfde: overtredingen van de AVG kosten veel geld.
Het kernprincipe van de AVG is simpel: klanten zijn eigenaar van hun gegevens. Jij leent ze tijdelijk. Je moet toestemming vragen voordat je ze verzamelt. Je moet uitleggen wat je ermee doet. En je moet ze verwijderen als klanten erom vragen.
De belangrijkste AVG-regels voor webshops
Je hebt toestemming nodig voordat je gegevens verzamelt
Je kunt niet zomaar e-mailadressen, telefoonnummers of andere persoonlijke gegevens verzamelen zonder duidelijke toestemming. Bij het afrekenen heb je expliciete aanvinkvakjes nodig, geen vakjes die al zijn aangevinkt. Als een klant een vakje uitvinkt met "Ik ga akkoord met marketingmails", mag je hem niet aanmelden voor marketing. Je hebt zijn actieve, geïnformeerde instemming nodig.
Dit geldt voor marketinglijsten, analyticstracking en advertentiecookies. Gebruik je Google Analytics, dan moet je klanten vertellen dat je het gebruikt en ze de kans geven om te weigeren. Gebruik je de Facebook Pixel om klanten te retargeten, dan heb je toestemming nodig voordat de pixel afgaat.
Je moet uitleggen wat je met gegevens doet
Je privacybeleid is niet alleen een juridisch document. Het is communicatie met je klanten. Je moet in gewone taal (zonder juridisch jargon) uitleggen welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en wie er toegang toe heeft. De AVG eist dat deze informatie "gemakkelijk toegankelijk" is en in "duidelijke en eenvoudige taal" is geschreven.
Een privacybeleid dat achter 5 klikken verstopt zit of in juridisch jargon is geschreven, voldoet niet aan de eis van "duidelijk en eenvoudig".
Je moet gegevens verwijderen als daarom wordt gevraagd
Klanten hebben het recht om te vragen dat je hun gegevens verwijdert. Dit heet het "recht op vergetelheid". Mailt een klant dat hij zijn account en gegevens wil laten verwijderen, dan heb je 30 dagen om daaraan te voldoen. Je mag er geen kosten voor rekenen. Je mag het verzoek niet negeren. Je moet de gegevens verwijderen en bevestigen dat ze weg zijn.
Je moet datalekken melden
Als je klantgegevens worden gehackt of gestolen, heb je 72 uur om dat bij de Europese autoriteiten te melden. Ook moet je de getroffen klanten informeren. Je mag een datalek niet verbergen of hopen dat niemand het merkt. Alleen al deze eis heeft de AVG voor veel bedrijven kostbaar gemaakt, omdat hij transparantie en verantwoording afdwingt. Voor tips over een veilige checkout, zie hoe je de checkout van je webshop veilig houdt.
Doorgifte van gegevens vraagt goedkeuring
Sla je klantgegevens buiten de EU op, dan moet je goedgekeurde doorgiftemechanismen gebruiken. Dat speelt als je betaalverwerker in de VS zit, als je een Amerikaanse e-mailservice gebruikt of als je back-ups in een Amerikaans datacenter bewaart. Je kunt klantgegevens uit de EU niet zomaar overal naartoe verplaatsen. Je hebt wettelijke kaders nodig.
Wat is een privacybeleid en waarom heb je er een nodig
Een privacybeleid is een document dat uitlegt hoe je shop klantgegevens verzamelt, gebruikt en beschermt. De AVG eist het, veel Amerikaanse staatswetten eisen het en het is een branchestandaard. Zonder privacybeleid overtreed je de wet en kunnen klanten niet begrijpen hoe je met hun gegevens omgaat.
Je privacybeleid moet het volgende bevatten:
Welke gegevens je verzamelt
Noem elk type gegevens dat je verzamelt. Dat zijn de voor de hand liggende dingen zoals e-mailadressen en verzendadressen, maar ook minder opvallende zoals IP-adressen van je webserver, cookies van analytics, gedragstracking en locatiegegevens. Wees specifiek. Schrijf niet alleen "persoonsgegevens". Schrijf "e-mailadres, telefoonnummer, verzendadres, aankoopgeschiedenis en browsegedrag". Accepteer je betalingen via een betaalprovider, dan moet je privacybeleid uitleggen welke betaalgegevens je verwerker afhandelt. Lees hoe betaalproviders werken om te begrijpen welke gegevens door je betaalsysteem stromen.
Hoe je ze verzamelt
Verzamel je gegevens via formulieren, afrekenpagina's of cookies? Via klantenservicecontact of supporttickets? Via analyticstools of advertentiepixels? Leg de methoden uit. Hier noem je Google Analytics, Facebook Pixel, Stripe of welke tools je ook gebruikt om gegevens te verzamelen.
Waarom je ze verzamelt
Je verzamelt e-mailadressen om bestellingen te verwerken en verzendupdates te sturen. Je verzamelt telefoonnummers voor de klantenservice. Je verzamelt analyticsdata om te begrijpen hoe bezoekers je site gebruiken. Je gebruikt cookies om klanten te onthouden, zodat ze niet elke keer hoeven in te loggen. Leg voor elk type gegevensverzameling de zakelijke reden uit.
Hoe lang je ze bewaart
Je bewaart gegevens niet eeuwig. Je moet bewaartermijnen vastleggen. Je kunt de aankoopgeschiedenis 7 jaar bewaren om fiscale en juridische redenen. Je kunt e-mailadressen 3 jaar na de laatste aankoop bewaren voor marketing. Je kunt supporttickets 1 jaar bewaren. Wat je bewaarbeleid ook is, benoem het duidelijk.
Wie er toegang toe heeft
Gebruik je een betaalverwerker, dan heeft die toegang tot betaalgegevens. Gebruik je een verzendpartij, dan heeft die toegang tot adressen en kan die ze gebruiken voor de bezorging. Besteed je klantenservice uit, dan ziet je supportteam namen en e-mailadressen van klanten. Noem alle derde partijen die klantgegevens kunnen zien en leg uit waarom. Hoe verzending precies werkt, lees je in hoe je verzending voor je webshop instelt.
Hoe je ze beschermt
Gebruik je SSL-certificaten om gegevens tijdens het versturen te versleutelen? Eis je sterke wachtwoorden? Maak je regelmatig back-ups? Train je je team in gegevensbeveiliging? Leg je beveiligingsmaatregelen uit. Is je beveiliging zwak, schrijf dat dan toch op, maar beloof dat je haar verbetert.
Rechten van klanten
Onder de AVG hebben klanten het recht om hun gegevens in te zien, te corrigeren, te laten verwijderen en over te dragen naar een andere dienst. Je privacybeleid moet vertellen hoe ze die rechten uitoefenen. Neem een e-mailadres of contactformulier op waar klanten inzage of verwijdering van gegevens kunnen aanvragen.
Cookietoestemming en tracking
Cookies zijn kleine bestanden die websites op de computer van een klant opslaan om hem te onthouden. Ze worden gebruikt om je ingelogd te houden, om artikelen in je winkelwagen te onthouden en om je gedrag over websites heen te volgen.
De AVG maakt onderscheid tussen noodzakelijke en niet-noodzakelijke cookies. Noodzakelijke cookies (zoals winkelwagencookies of sessiecookies) vragen geen toestemming. Al het andere wel.
Noodzakelijke cookies die geen toestemming nodig hebben
Winkelwagencookies zijn noodzakelijk, want zonder die cookies zouden klanten hun winkelwagen kwijtraken zodra ze naar een nieuwe pagina gaan. Sessiecookies die je ingelogd houden zijn noodzakelijk. Beveiligingscookies die fraude voorkomen zijn noodzakelijk. Je kunt deze cookies gebruiken zonder toestemming te vragen, omdat ze nodig zijn om de shop te laten werken.
Niet-noodzakelijke cookies die toestemming vereisen
Analyticscookies (Google Analytics, heatmaptools, productanalytics) zijn niet nodig om je shop te laten draaien. Ze helpen je gedrag te begrijpen, maar de shop werkt prima zonder. Inzicht in je bezoekersdata is nuttig voor optimalisatie, maar klanten moeten toestemming geven voordat je ze volgt. Marketingcookies en retargetingpixels (Facebook Pixel, conversietracking van Google Ads) zijn zeker niet noodzakelijk. Deze cookies volgen klanten over het internet om ze advertenties te tonen. Ze vereisen expliciete toestemming voordat ze afgaan. Een overzicht van wat je uit analytics kunt leren vind je in hoe je analytics gebruikt om het gedrag van bezoekers te begrijpen.
Hoe je cookietoestemming invoert
Je hebt een cookiebanner nodig die verschijnt als een klant je site voor het eerst bezoekt. De banner moet uitleggen welke cookies je gebruikt en waarom. Hij moet minstens drie opties hebben: Alles accepteren, Niet-noodzakelijke weigeren en Aanpassen. Alles accepteren moet één knop zijn. Weigeren moet even makkelijk aan te klikken zijn (niet verstopt onder een menu). Klanten moeten analytics- en marketingcookies kunnen weigeren zonder dat ze niet meer kunnen winkelen.
Maak toestemming niet verwarrend met dark patterns zoals "Accepteren" in grote blauwe letters en "Weigeren" in kleine grijze tekst. Dat is in strijd met de AVG. Beide opties moeten even zichtbaar en even makkelijk aan te klikken zijn.
Je kunt een tool voor cookietoestemming gebruiken. Deze diensten regelen de banner, de vastlegging van toestemming en het bijwerken van je voorkeuren. Ze kosten geld, maar verkleinen je juridische risico.
Privacy voor webshops buiten de EU
De AVG is Europese wetgeving, maar privacyregels bestaan overal. Als je shop in Californië actief is, val je onder de CCPA (California Consumer Privacy Act). In Virginia is er de VDPA. Canada heeft PIPEDA. Brazilië heeft de LGPD. Australië heeft de APPs.
Deze wetten zijn niet identiek aan de AVG, maar volgen vergelijkbare principes: klanten zijn eigenaar van hun gegevens, je moet toestemming vragen, je moet transparant zijn en je moet gegevens verwijderen als daarom wordt gevraagd.
Heb je klanten in meerdere regio's, dan kun je niet één privacybeleid hebben dat overal werkt. Je moet de strengste wet volgen die voor jou geldt. Voor de meeste shops is dat de AVG, omdat die het strengst is. Voldoe je aan de AVG, dan voldoe je waarschijnlijk ook aan de meeste andere privacywetten.
Algemene voorwaarden versus privacybeleid
Je privacybeleid en je algemene voorwaarden zijn verschillende documenten met verschillende doelen.
Het privacybeleid gaat over hoe je met gegevens omgaat: wat je verzamelt, waarom, hoe lang je het bewaart en hoe klanten het kunnen inzien of laten verwijderen.
De algemene voorwaarden gaan over hoe klanten je shop kunnen gebruiken: betalingsvoorwaarden, retourbeleid, terugbetalingsbeleid, aansprakelijkheidsbeperkingen en wat klanten niet mogen doen. Een klant kan het prima vinden hoe je met gegevens omgaat (privacy), maar het oneens zijn met je beleid van geen terugbetaling (voorwaarden).
Je hebt beide documenten nodig. Hoe je algemene voorwaarden schrijft, lees je in hoe je algemene voorwaarden voor je webshop schrijft.
Zo helpt WEMASY bij privacy en compliance
De websitebouwer van WEMASY heeft ingebouwde SSL-versleuteling voor alle gegevens die worden verstuurd. Je klantgegevens staan op beveiligde servers met regelmatige back-ups. WEMASY ondersteunt ook het toevoegen van een privacybeleid en cookiebanners direct aan je site, zonder eigen code. Je stelt in welke cookies noodzakelijk zijn en welke toestemming vragen, en laat WEMASY de toestemmingsstroom beheren.
Dit neemt je wettelijke verantwoordelijkheid voor een duidelijk privacybeleid niet weg, maar maakt de invoering makkelijker. Bekijk wat er in jouw WEMASY-abonnement zit.
Privacychecklist voor je webshop
Loop deze lijst door voordat je live gaat:
Privacybeleid
Heb je een privacybeleid op je site? Is het openbaar toegankelijk? Legt het uit welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en wie er toegang toe heeft? Staan er contactgegevens in voor verzoeken over gegevens? Kopieer het privacybeleid van een ander niet. Algemene beleidsteksten leggen jouw specifieke werkwijze niet uit.
Cookietoestemming
Gebruik je analytics- of marketingcookies, heb je dan een cookiebanner? Geeft die klanten een echte keuze om te weigeren? Is de weigerknop even makkelijk aan te klikken als de accepteerknop? Legt de banner uit wat elk type cookie doet?
Noodzakelijke beveiliging
Gebruik je SSL (HTTPS) voor je hele shop? Eis je sterke wachtwoorden? Heb je een plan voor als gegevens in gevaar komen? Maak je regelmatig back-ups van klantgegevens?
Tools van derden
Noem elke tool die je gebruikt en die klantgegevens verwerkt: betaalverwerker, verzendpartij, e-mailservice, analyticsplatform, marketingtool, supportsoftware. Staan ze allemaal in je privacybeleid? Heb je hun privacybeleid gelezen? Voldoen ze aan de AVG of aan je lokale wetten?
Proces voor het verwijderen van gegevens
Als een klant mailt met het verzoek zijn gegevens te verwijderen, heb je dan een proces om dat te doen? Weet je hoe je gegevens verwijdert uit je shopsysteem, je betaalverwerker, je e-mailservice en alle andere tools? Je hebt een vastgelegd proces nodig, geen gok.
Juridisch advies
Heb je een jurist over privacy geraadpleegd? Je hebt geen jurist nodig voor elke vraag, maar voor je eerste shop is het de moeite waard om 1-2 uur juridische hulp in te schakelen om zeker te weten dat je op de goede weg zit. Veel juristen beoordelen een eenvoudig privacybeleid voor EUR 200-400.
Veelgestelde vragen
Heb ik een privacybeleid nodig als mijn webshop klein is?
Ja. De AVG en andere privacywetten gelden ongeacht de omvang van je shop. Ook een shop met 10 klanten per maand heeft een wettelijke plicht om hun gegevens te beschermen en uit te leggen hoe je ze gebruikt. Een privacybeleid is het wettelijke minimum.
Kan ik een sjabloon voor een privacybeleid gebruiken?
Ja, maar alleen als startpunt. Generatoren voor privacybeleid maken beleid op basis van jouw specifieke tools en werkwijze. Kopieer het beleid van een concurrent niet woord voor woord. Het beleid moet passen bij wat je echt met gegevens doet. Staat er in je beleid dat je gegevens na 1 jaar verwijdert, maar bewaar je ze in werkelijkheid 7 jaar, dan creëer je juridische aansprakelijkheid.
Wat als ik geen klanten in de EU heb?
Dan heb je mogelijk toch privacyverplichtingen. De VS heeft de CCPA in Californië en de VDPA in Virginia. Canada heeft PIPEDA. Brazilië heeft de LGPD. De meeste landen hebben wel een vorm van privacywet. Ook als je je alleen op Amerikaanse klanten richt, is het veiliger om de AVG te volgen, omdat die het strengst is. Voldoen aan de AVG betekent meestal ook voldoen aan zwakkere wetten.
Wat kost een privacybeleid eigenlijk?
Met een generator voor privacybeleid kun je gratis een basisbeleid maken. Voor een persoonlijk beleid dat door een jurist is geschreven, reken je op EUR 500-2.000. De meeste kleine webshops beginnen met een gegenereerd beleid en laten dat door een jurist beoordelen voor EUR 200-400, zodat het hun specifieke situatie dekt.
Wat is het verschil tussen de AVG en de CCPA?
De AVG is Europese wetgeving. De CCPA is wetgeving van de staat Californië. De AVG is strenger. Beide geven klanten het recht om hun gegevens in te zien, te laten verwijderen en te corrigeren. Beide eisen opt-intoestemming voor marketing. De AVG vraagt toestemming voordat je de meeste gegevens verzamelt. De CCPA staat verzamelen toe, maar vraagt opt-outmogelijkheden. Voldoe je aan de AVG, dan voldoe je waarschijnlijk ook aan de CCPA.
Hoe reageer ik op een verzoek van een klant om zijn gegevens te verwijderen?
Vraagt een klant om zijn gegevens te verwijderen, reageer dan binnen 30 dagen. Verwijder zijn account uit je shopsysteem. Verwijder hem van je e-mailmarketinglijst. Haal hem uit je analytics. Vraag je betaalverwerker zijn gegevens te verwijderen. Bevestig schriftelijk dat zijn gegevens zijn verwijderd. Bewaar documentatie van de verwijdering, voor het geval je moet bewijzen dat je eraan hebt voldaan.