De AVG is de privacywet van Europa. Verzamelt je formulier informatie van bezoekers uit de Europese Unie, al is het maar een e-mailadres, dan geldt de AVG voor jou. Dit raakt niet alleen grote bedrijven of bepaalde branches. De AVG geldt voor elk bedrijf ter wereld dat gegevens verzamelt van Europese inwoners, en de boetes bij fouten zijn zwaar.
De AVG en toestemming in formulieren zijn de wettelijke regels over welke gegevens je mag verzamelen van bezoekers uit de EU, hoe je ernaar vraagt en wat je ermee doet. Deze regels begrijpen is essentieel voordat je een formulier bouwt dat gegevens van Europese inwoners verzamelt.
Wat je leert: Wat de AVG is en voor wie die geldt, wat wettelijke toestemming betekent, hoe je formuliervelden en vakjes opbouwt om aan de AVG te voldoen en wat er gebeurt als je je er niet aan houdt.
Wat is de AVG en geldt die voor je formulieren?
De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) is een wet van de Europese Unie die bepaalt hoe organisaties persoonsgegevens verzamelen, opslaan en gebruiken. Die geldt voor elk bedrijf, waar ook ter wereld, dat informatie verzamelt van inwoners van de EU.
Je formulieren vallen onder de AVG als:
- Je bezoekers uit de EU hebt en je formulier informatie van hen verzamelt
- Je e-mailadressen, namen, telefoonnummers, IP-adressen of andere identificerende gegevens verzamelt
- Je informatie verzamelt over inwoners van de EU, ook als je zelf niet in de EU zit
Het maakt niet uit of je bedrijf groot of klein is, in welke branche je zit of of je iets verkoopt. Verzamel je gegevens van inwoners van de EU, dan geldt de AVG.
Wat eist de AVG van formulieren?
De AVG stelt enkele specifieke regels voor formulieren die gegevens verzamelen:
Transparantie: vertel bezoekers wat je verzamelt
Voordat iemand je formulier invult, moet hij weten welke gegevens je verzamelt en waarom. Je moet duidelijke informatie geven over:
- Welke gegevens je verzamelt (e-mail, naam, enzovoort)
- Wat je ermee gaat doen (ze mailen, ze toevoegen aan een mailinglijst, bewaren voor later contact)
- Wie er toegang toe heeft (je team, diensten van derden, enzovoort)
- Hoe lang je het bewaart
Deze informatie moet zichtbaar zijn voor bezoekers voordat ze het formulier versturen. Een privacybeleid waarnaar je linkt, is niet genoeg. Je moet de belangrijkste informatie direct op de formulierpagina of boven het formulier zelf geven.
Toestemming: vraag uitdrukkelijk, ga er niet van uit
Voor de meeste gegevensverzameling heb je uitdrukkelijke toestemming van de bezoeker nodig. Hij moet actief akkoord gaan met je voorwaarden. Een vakje aanvinken is toestemming. Zwijgen is dat niet.
Dit is anders dan hoe formulieren vóór de AVG werkten. Je kunt er niet van uitgaan dat iemand die een formulier verstuurde om contact met je op te nemen, automatisch bereid is te worden toegevoegd aan je marketingmailinglijst. Elk gebruik van de gegevens vraagt om aparte toestemming.
Toestemming moet vrij gegeven zijn
Toestemming mag geen voorwaarde zijn voor het gebruik van je dienst als de gegevens niet nodig zijn voor die dienst. Vult iemand bijvoorbeeld een contactformulier in om een vraag te stellen, dan heb je zijn e-mail nodig om te antwoorden. Daarvoor heb je geen toestemming nodig, omdat het noodzakelijk is. Maar wil je hem toevoegen aan je marketingnieuwsbrief, dan is dat optioneel en heb je uitdrukkelijke toestemming nodig.
Het toestemmingsmechanisme zelf moet duidelijk zijn
Gebruik je een vakje voor toestemming, dan moet het leeg beginnen. Bezoekers moeten het actief aanvinken. Vooraf aangevinkte vakjes tellen niet als toestemming. De taal moet duidelijk en eenvoudig zijn, niet begraven in juridisch jargon.
Formulieren opbouwen voor AVG-toestemming
Noodzakelijke en optionele gegevens
Scheid eerst de gegevens die je absoluut nodig hebt van gegevens die optioneel zijn:
- Noodzakelijk: Informatie die je nodig hebt om het verzoek uit te voeren (e-mail om op een contactformulier te antwoorden, adres om een bestelling te verzenden)
- Optioneel: Informatie die je wilt voor marketing of analytics (via welk kanaal ze kwamen, wat hun functie is)
Markeer optionele velden duidelijk met "(optioneel)", zodat bezoekers weten dat ze die niet hoeven in te vullen.
Aparte toestemmingsvakjes
Wil je gegevens voor meerdere doelen gebruiken, gebruik dan aparte vakjes. Eén voor "Ik ga ermee akkoord dat jullie me per e-mail benaderen" en een ander voor "Ik ga akkoord met het ontvangen van marketingmails." Combineer ze niet in één vakje.
<label> <input type="checkbox" name="contact_consent" required> Je gaat ermee akkoord dat wij contact met je opnemen om op deze vraag te antwoorden </label> <label> <input type="checkbox" name="marketing_consent"> Ik ga akkoord met het ontvangen van marketingmails over nieuwe producten en speciale aanbiedingen </label>Merk op dat het eerste vakje verplicht is (noodzakelijk voor de dienst) maar standaard leeg. Het tweede is optioneel (marketing is niet noodzakelijk) en standaard ook leeg.
Duidelijke, leesbare toestemmingstaal
De tekst bij het vakje moet duidelijk en specifiek zijn. Algemene zinnen zoals "Ik ga akkoord met jullie algemene voorwaarden" voldoen niet aan de AVG. Wees specifiek over waarmee de bezoeker akkoord gaat.
Slecht: "Ik ga akkoord"
Beter: "Ik ga akkoord met het ontvangen van marketingmails"
Het best: "Ik ga akkoord met het ontvangen van marketingmails over producten en aanbiedingen, ongeveer twee keer per maand"
Hoe specifieker, hoe beter. Vertel bezoekers precies waarmee ze instemmen.
Link naar je privacybeleid
Neem na de toestemmingsvakjes een link op naar je volledige privacybeleid. Zo kunnen bezoekers, als ze dat willen, alle details lezen over hoe je met hun gegevens omgaat.
<p>Door dit formulier te versturen, ga je akkoord met ons <a href="/begrippenlijst/privacyverklaring">privacybeleid</a>.</p>Gegevensbewaring en de AVG
De AVG eist ook dat je persoonsgegevens alleen bewaart zolang dat nodig is. Je moet een bewaarbeleid vaststellen en volgen.
- Hoe lang bewaar je inzendingen van contactformulieren? (30 dagen? 6 maanden? Tot de vraag is afgehandeld?)
- Hoe lang laat je mensen op een marketingmailinglijst staan? (Tot ze zich afmelden?)
- Hoe lang bewaar je klantgegevens na een aankoop? (7 jaar voor belastinggegevens, daarna verwijderen)
Leg je bewaarbeleid vast en handhaaf het. Stel een schema in om oude inzendingen en gegevens automatisch te verwijderen.
Rechten die de AVG geeft aan betrokkenen
Verstuurt iemand een formulier op je site, dan heeft hij onder de AVG rechten:
- Recht op inzage: Ze kunnen vragen welke gegevens je over hen hebt
- Recht op vergetelheid: Ze kunnen je vragen hun gegevens te verwijderen (al zijn er uitzonderingen, zoals belastinggegevens)
- Recht op correctie: Ze kunnen je vragen onjuiste gegevens te corrigeren
- Recht op gegevensoverdraagbaarheid: Ze kunnen je vragen hun gegevens in een overdraagbaar formaat te geven
- Recht om toestemming in te trekken: Ze kunnen op elk moment hun toestemming voor marketingmails of ander gebruik intrekken
Je moet voorbereid zijn om deze verzoeken af te handelen. Meestal betekent dat een proces waarmee mensen deze verzoeken kunnen indienen (een e-mailadres, een formulier, enzovoort) en een manier om binnen 30 dagen te reageren.
AVG-boetes en gevolgen
Overtredingen van de AVG hebben forse sancties:
- Tot 20 miljoen euro of 4% van je jaarlijkse wereldwijde omzet (wat hoger is) voor de ernstigste overtredingen
- Tot 10 miljoen euro of 2% van de omzet voor minder ernstige overtredingen
- In de praktijk krijgen zelfs kleine bedrijven boetes van zes cijfers voor datalekken of schendingen van toestemmingsregels
Naast boetes kan een AVG-overtreding je reputatie schaden, klanten kosten en juridische aansprakelijkheid opleveren als gegevens worden misbruikt.
AVG-checklist voor formulieren
- [ ] Je weet welke gegevens je verzamelt
- [ ] Je hebt een duidelijk privacybeleid
- [ ] Je toont de belangrijkste privacy-informatie boven of in het formulier
- [ ] Alle vakjes beginnen leeg
- [ ] Toestemmingsvakjes gebruiken duidelijke, specifieke taal
- [ ] Je hebt aparte vakjes voor aparte gebruiksdoelen van gegevens (contact versus marketing)
- [ ] Je formulier legt uit hoe lang je gegevens bewaart (hoe lang je inzendingen bewaart)
- [ ] Je hebt een bewaarbeleid en handhaaft het (verwijder oude gegevens)
- [ ] Je hebt een proces waarmee mensen inzage, verwijdering of correctie van hun gegevens kunnen vragen
- [ ] Je kunt mensen makkelijk afmelden voor marketingmails
- [ ] Je weet waar gegevens van bezoekers worden opgeslagen en wie er toegang toe heeft
Wat WEMASY doet voor AVG-naleving
WEMASY-formulieren bevatten functies voor toestemmingsbeheer die je helpen aan de AVG te voldoen. Je voegt toestemmingsvakjes toe aan je formulieren en WEMASY legt vast met welke opties elke bezoeker instemde. Inzendingen bevatten tijdstempels, zodat je weet wanneer toestemming is gegeven. WEMASY helpt je ook bij gegevensbewaring door je automatische verwijderregels voor oude inzendingen te laten instellen.
Je merk heeft nog steeds een privacybeleid nodig en moet bepalen hoe je verzoeken om inzage afhandelt, maar WEMASY regelt de technische infrastructuur voor toestemming en gegevensbeheer.
Lees meer over de naleving-functies in je abonnement op de prijzenpagina.