Voordat je een formuliertool kiest of je eerste formulier live zet, moet je begrijpen wat er met de gegevens van bezoekers gebeurt na het versturen. Waar ze staan. Wie ze kan zien. Hoe ze zijn beschermd. De meeste mensen gaan ervan uit dat hun formuliertool dit allemaal automatisch regelt. Soms is dat zo. Vaak niet.
Dit artikel laat zien hoe het opslaan van formuliergegevens echt werkt, welke beveiligingsfuncties je van een formuliertool moet eisen en welke regels gelden, afhankelijk van de gegevens die je verzamelt.
Wat veilige opslag van formuliergegevens betekent
Veilige opslag van formulieren heeft drie onderdelen: versleuteling in rust (gegevens zijn onleesbaar gemaakt zolang ze zijn opgeslagen), versleuteling tijdens verzending (gegevens zijn onleesbaar gemaakt op weg naar je server) en toegangscontrole (alleen bevoegde mensen kunnen de gegevens lezen).
De meeste formulieren doen het goed met versleuteling tijdens verzending. De gegevens komen veilig aan op je server. Maar daarna staan ze als leesbare tekst in een database. Iedereen die de database hackt, of een medewerker die er geen toegang toe zou moeten hebben, kan alles lezen. Dan mislukt veilige opslag.
Versleuteling in rust of tijdens verzending
Deze beschermen gegevens in verschillende fasen. Het verschil begrijpen is cruciaal om te weten wat je echt hebt.
Versleuteling tijdens verzending
Dit is de versleuteling die plaatsvindt als gegevens van de browser van de bezoeker naar je server gaan. Staat je formulier op een HTTPS-pagina (let op het slotje naast je URL), dan is versleuteling tijdens verzending actief. De gegevens zijn tijdens de overdracht onleesbaar gemaakt.
Versleuteling tijdens verzending is inmiddels standaard. Elke grote formuliertool, elke webshopkassa en elke serieuze website gebruikt HTTPS. Staat je formulier niet op HTTPS, regel dat dan eerst. Daar valt niet over te onderhandelen.
Versleuteling in rust
Dit gaat over wat er gebeurt nadat de gegevens op je server zijn aangekomen en in je database staan. Zijn de gegevens in de database versleuteld? Of staan ze als leesbare tekst opgeslagen?
Veel formuliertools bieden de optie, maar zetten die niet standaard aan. Je moet het zelf inschakelen. Sommige bieden het helemaal niet, vooral gratis of goedkope formulieroplossingen. Noemt een formuliertool versleuteling in rust niet in de beveiligingsdocumentatie, ga er dan van uit dat ze het niet doen.
Versleuteling in rust betekent dat de gegevens onleesbaar zijn zonder de sleutel, ook als iemand ongeoorloofd toegang krijgt tot je database. Dat beschermt je als je hostingpartij wordt gehackt, als een malafide medewerker de database opent of als een derde partij een kopie van je gegevens steelt.
Hoe weet je of je formuliergegevens zijn versleuteld?
Lees de beveiligingsdocumentatie van je formuliertool. Zoek naar formuleringen als "gegevens versleuteld in rust" of "end-to-end-versleuteling". Staat het er niet in, mail dan de klantenservice en vraag het direct: "Zijn formulierinzendingen versleuteld in jullie database?"
Dit vertellen de antwoorden je:
"Ja, alle gegevens zijn standaard versleuteld." Dat is goed. Je gegevens zijn beschermd.
"Versleuteling is beschikbaar als premiumfunctie." Dat is een waarschuwingssignaal. Versleuteling hoort standaard te zijn. Heb je compliance nodig (HIPAA, GDPR en dergelijke), dan moet je misschien upgraden of van tool wisselen.
"We versleutelen gegevens met standaardmethoden uit de branche, zoals AES-256." Dat is uitstekend. AES-256 is de gouden standaard voor versleuteling.
"We versleutelen niet in rust, maar hebben strikte toegangscontrole." Dat is niet genoeg. Toegangscontrole helpt, maar versleuteling is beter. Ook bedrijven met strikte toegangscontrole kunnen worden gehackt.
Toegangscontrole: wie kan je formuliergegevens zien
Regel naast versleuteling ook wie bij je formulierinzendingen kan. Dat geldt voor zowel je teamleden als de medewerkers van de formuliertool.
Toegang voor je team
Niet iedereen in je team hoeft alle formulierinzendingen te zien. Een klantenservicemedewerker moet de inzendingen zien die aan hem zijn toegewezen. Een manager ziet misschien rapporten en samenvattingen, maar niet de details van losse formulieren. Iemand van de boekhouding hoort nooit een inzending van een contactformulier te zien.
Goede formuliertools laten je verschillende rechtenniveaus instellen. Gebruik ze. Het principe van minimale rechten betekent dat iedereen alleen toegang krijgt tot wat hij nodig heeft voor zijn werk.
Toegang voor medewerkers van de formuliertool
De medewerkers van de formuliertool kunnen je gegevens zien. De vraag is of ze dat zouden mogen. Zoek tools die:
Een duidelijk privacybeleid hebben waarin staat of medewerkers van de klantenservice ooit bij klantgegevens kunnen. Veel tools hebben als beleid dat ze niet naar klantgegevens kijken, tenzij je ze vraagt te helpen bij een probleem.
Toegang van de klantenservice registreren (als de klantenservice voor het oplossen van een probleem bij je gegevens komt, wordt dat vastgelegd en word je geïnformeerd).
SOC 2-gecertificeerd zijn, wat betekent dat een derde partij hun beveiligingspraktijken heeft gecontroleerd.
Bewaartermijn: hoe lang bewaar je formulierinzendingen?
Je hoeft inzendingen niet eeuwig te bewaren. Bepaal hoe lang je gegevens nodig hebt en verwijder ze dan automatisch.
De meeste bedrijven bewaren inzendingen één tot drie jaar. Inzendingen van contactformulieren bewaar je misschien een jaar (lang genoeg voor mogelijke opvolging). Transactiegegevens van webshops moeten zeven jaar worden bewaard (fiscale en wettelijke eisen). Enquêtegegevens bewaar je misschien een jaar om zakelijke beslissingen te onderbouwen.
Stel automatisch verwijderen in als je formuliertool dat ondersteunt. Zo niet, bekijk en verwijder oude inzendingen dan regelmatig handmatig. Dat verkleint ook je beveiligingsrisico (minder gegevens betekent minder dat kan uitlekken bij een datalek).
Controleer de wettelijke eisen voor je branche. Verwerk je gezondheidsgegevens, dan moet je ze misschien voor vaste periodes bewaren. Verwerk je financiële gegevens, dan kunnen regels de bewaartermijn bepalen. Twijfel je, raadpleeg dan een jurist.
Formuliergegevens veilig back-uppen
Je moet je formulierinzendingen regelmatig back-uppen. Maar back-ups kunnen zelf zwakke punten in je beveiliging zijn als je er niet goed mee omgaat.
Maak je een back-up van je gegevens (automatisch via je formuliertool of handmatig door te exporteren), zorg dan dat de back-ups:
Versleuteld zijn: Back-ups moeten op dezelfde manier versleuteld zijn als je live gegevens.
Veilig zijn opgeslagen: Sla je back-ups op je eigen servers of in cloudopslag op, zorg dan dat ze met een wachtwoord zijn beveiligd en niet toegankelijk zijn voor iedereen in je organisatie.
Gescheiden zijn van de live omgeving: Wordt je hoofddatabase gehackt, dan mag de back-up niet worden aangetast. Bewaar back-ups op andere systemen met andere toegangscontrole.
Getest zijn: Test regelmatig of je echt kunt terugzetten vanuit je back-ups. Een back-up die je niet kunt terugzetten, is nutteloos.
Compliance-eisen voor het opslaan van formuliergegevens
Afhankelijk van waar je bezoekers zich bevinden en in welke branche je werkt, gelden er misschien wettelijke eisen.
AVG (GDPR) voor inwoners van de EU
Verzamel je gegevens van inwoners van de Europese Unie, dan geldt de GDPR (in Nederland de AVG). De belangrijkste eisen: je moet mensen vertellen welke gegevens je verzamelt, waarom en hoe je ze veilig houdt. Je moet ze veilig opslaan. Je moet ze verwijderen als erom wordt gevraagd. Je mag ze niet langer bewaren dan nodig is voor het doel waarvoor ze zijn verzameld.
CCPA (inwoners van Californië)
Inwoners van Californië hebben privacyrechten rond het verzamelen van gegevens. Je moet bekendmaken welke gegevens je verzamelt, mensen hun gegevens laten verwijderen en ze niet zonder toestemming verkopen.
HIPAA (gezondheidsgegevens)
Verzamel je gezondheidsinformatie, dan stelt HIPAA strikte eisen: gegevens moeten versleuteld zijn, toegang moet worden vastgelegd, er moet een plan zijn voor het melden van datalekken, en meer. Dit is niet vrijblijvend. Overtredingen kunnen leiden tot flinke boetes.
PCI DSS (betaalgegevens)
Verzamelt je formulier creditcardgegevens, dan eist PCI DSS specifieke beveiligingsmaatregelen. De meeste serieuze formuliertools slaan geen echte creditcardgegevens op. Ze gebruiken tokenisatie (een verwijzingscode opslaan in plaats van het echte kaartnummer). Vraag je formuliertool of ze PCI-compliant zijn.
Wat te doen bij een vermoeden van een datalek
Ontdek je ongeoorloofde toegang tot je formulierinzendingen, handel dan snel:
Bepaal de omvang: Welke gegevens lagen open? Hoeveel records? Over welke periode?
Dicht het lek: Wijzig direct alle wachtwoorden. Zet API-sleutels opnieuw. Trek toegangstokens in. Los de kwetsbaarheid op die het lek mogelijk maakte.
Informeer de getroffen mensen: Afhankelijk van de regels moet je iedereen informeren van wie de gegevens zijn blootgesteld. Meestal binnen 30 dagen voor de GDPR, direct voor HIPAA.
Leg alles vast: Houd bij wat er is gebeurd, wanneer je het ontdekte en wat je eraan hebt gedaan. Toezichthouders willen dit zien.
Zo beveiligt WEMASY formulierinzendingen
WEMASY versleutelt formulierinzendingen tijdens verzending (HTTPS) en in rust (AES-256-versleuteling). Inzendingen staan in een beveiligde database met toegangscontrole die aan je account is gekoppeld. Je stelt verschillende rechtenniveaus in voor je teamleden, en automatische back-ups zijn versleuteld en worden apart opgeslagen. Moet je inzendingen verwijderen (voor het recht op verwijdering uit de GDPR), dan heeft WEMASY tools om gegevens definitief te wissen uit alle back-ups en uit de live opslag.
Bekijk voor compliance-eisen de functies van je abonnement of neem contact op met de klantenservice. Lees meer over gegevensbeveiliging en privacy in je WEMASY-account of bekijk de prijspagina om te zien welke beveiligingsfuncties in elk abonnement zitten.