Bestellingen bij een webshop en de AVG: een moeilijke combinatie?

Als webwinkelier heb je (als het goed is) klanten. En dan verwerk je persoonsgegevens. Alleen al de naam en het adres van de klant vallen onder persoonsgegevens. Daarom ben je verplicht om de verschillende AVG-regels na te leven. Het belangrijkste is dat je goed nadenkt welke persoonsgegevens je aan de klant vraagt, waarom je die persoonsgegevens vraagt, hoe lang je ze gaat bewaren en hoe je ze zal beveiligen. Deze informatie moet je steeds in je privacyverklaring opnemen. Maar er zijn nog een aantal andere zaken waaraan je moet denken.

De juiste grondslag voor het verwerken van persoonsgegevens

Je mag enkel persoonsgegevens verwerken als je daarvoor op een geldige grondslag kan beroepen. De AVG voorziet verschillende grondslagen. De naam en het adres van je klant zorgen voor weinig problemen. Deze gegevens heb je nodig voor de uitvoering van de overeenkomst, anders kan je nu eenmaal de bestelling niet bezorgen. Die noodzakelijkheid is ook meteen je grondslag. Voor bijvoorbeeld een geboortedatum beroep je op je gerechtvaardigd belang. Het gaat dan om het marketingbelang en het belang dat je erbij hebt om de klant op de verjaardag een kortingscode te bezorgen.

Deze doelstellingen moet je vooraf identificeren en meedelen. Dat doe je in een privacyverklaring. Die privacyverklaring moet je vooraf meedelen want je hebt nu eenmaal een informatieplicht. Als je steunt op de toestemming, dan heb je natuurlijk ook die toestemming nodig maar anders is dat niet het geval. Hoe dan ook mag je de persoonsgegevens enkel verwerken voor het doel waarvoor je ze hebt verkregen. Zo mag je de adresgegevens van de klant niet zomaar verkopen als je die enkel verkregen hebt voor de uitvoering van de overeenkomst.

Beperkingen aan de verwerking van persoonsgegevens

Het volstaat nog niet dat je je op een rechtmatig doel kan beroepen. Daarnaast voorziet de AVG dat je niet meer persoonsgegevens mag verwerken dan wat noodzakelijk is voor het doel. Als webwinkel kan je bijvoorbeeld wel het geslacht vragen. Alleen zo weet je zeker dat je de klant op de juiste manier aanspreekt. Maar de seksuele voorkeur of het geslacht bij de geboorte hoef je daarvoor niet te weten.

Ten tweede mag je de persoonsgegevens niet langer bewaren dan noodzakelijk is. Omwille van de fiscale bewaarplicht zal je de persoonsgegevens bijvoorbeeld gedurende zeven jaar bewaren. Gaat het niet om een actieve klant? Dan moet je de persoonsgegevens nadien verwijderen of anonimiseren. Ook hierover schep je duidelijkheid in je privacyverklaring. Vergeet daarnaast niet dat je de persoonsgegevens in de tussentijd zo goed mogelijk moet beveiligen. Je bent vrij om zelf beveiligingsmaatregelen te kiezen, zolang ze maar voldoende passend zijn.

Verwerkersovereenkomst sluiten

Als webwinkeluitbater deel je de persoonsgegevens vaak met andere bedrijven. Dat is niet alleen het geval wanneer je dropshipping toepast, maar bijvoorbeeld ook wanneer je een betaalprovider gebruikt of de adresgegevens aan de postdiensten doorgeeft. In dat geval blijf je natuurlijk wel zelf verantwoordelijk voor de correcte verwerking van de persoonsgegevens. Net daarom moet je goede afspraken maken met de verwerker. Dergelijke afspraken giet je in een verwerkersovereenkomst. Als je geen verwerkersovereenkomst hebt, riskeer jij net als de verwerker een boete.

Registers bijhouden

Ten slotte moet je voldoen aan je verantwoordingsplicht ten aanzien van de Autoriteit Persoonsgegevens, waardoor een verwerkings- en datalekkenregister noodzakelijk is. Het verwerkingsregister bevat voornamelijk een samenvatting van bovenstaande zaken, met daarin bijvoorbeeld informatie over de bewaartermijn, de beveiligingsmaatregelen en de doeleinden van de verwerking. In het datalekkenregister registreer je alle datalekken, ook wanneer er geen meldplicht op het datalek rust.

Laat je bijstaan door MKBrecht.nl

Het AVG-proof maken van een webwinkel vergt duidelijk wel wat inspanningen. Tijdens een gratis adviesgesprek bespreken we daarom het een en ander. Beslis je om je documenten door ons op te laten stellen? Dan kies je voor ons AVG-pakket waarmee je voor een transparante prijs meteen een privacyverklaring, disclaimer, cookieverklaring, verwerkersregister en verwerkersovereenkomst krijgt. Plan nu een gratis telefonisch intakegesprek in.