Je website doorlichten op GDPR

Het juridisch kader

Een website is een verwerking. Telkens een bezoeker een pagina laadt, bereikt zijn IP-adres jouw server en meestal ook servers van derden wier scripts, lettertypen, kaarten, videospelers of analysetools erin zijn ingebed. De wettelijke plichten die daaruit volgen, zitten verspreid over verschillende regels.

• Transparantie (artikelen 12 tot 14 AVG). Bezoekers moeten weten wie verantwoordelijk is, waarom gegevens worden verwerkt, op welke grond, wie ze ontvangt, waar ze naartoe gaan en hoelang ze worden bewaard. De privacyverklaring moet beschrijven wat de site echt doet.
• Rechtmatigheid (artikel 6). Elk doel heeft een rechtsgrond nodig. Voor tracking is dat meestal toestemming, die de ePrivacyregels sowieso vragen voor het opslaan of lezen van informatie op het toestel (artikel 129 van de Belgische wet van 13 juni 2005).
• Rollen (artikelen 26 en 28). Het Hof van Justitie oordeelde in Fashion ID (zaak C-40/17) dat een website-uitbater die een plug-in van een derde inbedt, gezamenlijk verantwoordelijke kan zijn voor het verzamelen en doorsturen van de gegevens van de bezoeker naar die derde. Voor dienstverleners die als verwerker optreden heb je een verwerkersovereenkomst nodig.
• Doorgiften (hoofdstuk V). Veel ingebedde diensten sturen gegevens naar servers buiten de EER, en daarvoor heb je een doorgiftegrond nodig. Zie internationale doorgiften.
• Beveiliging en privacy door ontwerp (artikelen 25 en 32). Versleutelde verbindingen, toegangscontrole, verwerking van formulieren en standaardinstellingen die niet meer verzamelen dan nodig.
• Verantwoordingsplicht (artikel 5, lid 2). Je moet het bovenstaande kunnen aantonen, en daar hoort het verwerkingsregister bij.

Wat een audit onderzoekt

Een technologie-audit vergelijkt de privacyverklaring en de toestemmingsbanner met wat de website echt doet. Meestal omvat ze:

• alle geladen cookies, pixels, lokale opslag en scripts, vóór en na toestemming, met de partij erachter;
• het gedrag van de toestemmingsbanner: of tags geblokkeerd zijn tot toestemming, of weigeren werkt en of de toestemming wordt vastgelegd;
• verzoeken naar derden, zoals lettertypen, kaarten, video, chatwidgets, tag managers, en de landen van de servers die ze ontvangen;
• formulieren: wat wordt verzameld, op welke rechtsgrond, waar het naartoe gaat (CRM, e-mailtool, spreadsheets) en hoelang het wordt bewaard;
• de privacyverklaring en het cookiebeleid, getoetst aan die bevindingen;
• beveiligingsbasis zoals HTTPS, headers en de verwerking van gegevens in formulieren.

Het resultaat is een lijst van bevindingen per risico, met de rechtsregel, het bewijs en de oplossing. Je kunt elke bevinding toewijzen aan iemand binnen je organisatie en opvolgen tot ze is opgelost, zodat de audit geen rapport blijft dat in een lade verdwijnt.

In de praktijk

Een Limburgse producent lanceert met een bureau een nieuwe website. Zijn privacyverklaring, twee jaar geleden opgesteld, noemt één analysetool. De audit vindt er zeven: de analysetool, een advertentiepixel, een heatmaptool, een chatwidget, een ingebedde videospeler die cookies plaatst, een lettertypedienst die vanaf een Amerikaanse server wordt geladen en een formulier-plug-in die inzendingen op een server van een derde bewaart. Vier ervan laden voordat de bezoeker in de banner een keuze maakt.

De audit leidt tot concrete beslissingen. De heatmaptool verdwijnt, omdat de producent ze niet kan verantwoorden. De videospeler gaat over op een modus die pas bij het afspelen cookies plaatst. Lettertypen worden lokaal gehost. De tag manager wordt zo ingesteld dat hij op toestemming wacht. De formuliergegevens gaan nu naar de eigen CRM van de producent, met een verwerkersovereenkomst met de CRM-leverancier. De privacyverklaring en het cookiebeleid worden herschreven en het register krijgt nieuwe vermeldingen voor elke tool.

Waarom herhalen

Websites veranderen voortdurend: een marketingteam voegt een tag toe, een plug-in wordt bijgewerkt, een bureau wisselt van leverancier. Een eenmalige audit veroudert. Herhaal ze na grote wijzigingen en op een vast ritme, en wijs een eigenaar aan voor het goedkeuren van tags.

Veelgestelde vragen

Volstaat een cookiebanner?

Nee. De banner is maar één onderdeel. De tags moeten echt geblokkeerd zijn tot toestemming, de verklaring moet kloppen en de relaties met derden moeten gedocumenteerd zijn.

Moet een louter informatieve website voldoen?

Ja. Een statische site die een analysescript, een kaart of een lettertypedienst laadt, verwerkt persoonsgegevens van bezoekers. Een site die niets van derden laadt en minimale serverlogs bijhoudt, heeft een veel lichtere voetafdruk.

Wie is aansprakelijk, het bureau of de website-eigenaar?

De eigenaar is verantwoordelijk als verwerkingsverantwoordelijke. Het bureau kan jegens de eigenaar aansprakelijk zijn op grond van hun contract, dus zet in het contract wie een conforme configuratie moet opleveren.

Hebben we een DPIA nodig voor tracking op onze website?

Niet altijd. Uitgebreide profilering, tracking over sites heen of verwerking van gevoelige gegevens kunnen er een vereisen. De screening van de DPIA-functie helpt je beslissen.

Hoe dit samenhangt

Website-audits voeden rechtstreeks DPO as a Service: bevindingen worden vermeldingen in het privacyregister en taken die jouw team en de DPO opvolgen in het klantenportaal. Het ontwerp van toestemming lees je in Cookies and Consent.