Ongeveer één op de vijf bedrijven krijgt te maken met cybercriminaliteit. Data privacy is dan ook een hot item. Niet alleen omdat het op 28 januari de Europese Dag van de Privacy is, maar ook omdat het bij verkeerd of onzorgvuldig handelen grote negatieve gevolgen kan hebben. Voor jou als webshop, én voor je klanten. Voldoe je niet aan de regels, dan is de kans groot dat je op je vingers wordt getikt, of flinke boetes moet betalen en je je reputatie verliest. Maar het ergste? Dat je het vertrouwen van je klanten beschaamt. Zorg er dus voor dat je je zaken op orde hebt, en je er alles aan doet om hun persoonlijke gegevens juist te behandelen.
In de onzichtbare wereld van de e-commerce is er veel aandacht voor data privacy. Dagelijks worden er namelijk op grote schaal persoonlijke gegevens verwerkt om bijvoorbeeld het bezorgen van een pakket mogelijk te maken. Voor criminelen zijn dit soort gegevens interessant. Hoe meer gegevens zij hebben, hoe groter de kans is dat ze consumenten succesvol kunnen oplichten.
Data privacy is een ingewikkeld onderwerp en omdat niet iedereen er even gevoelig mee omgaat, zijn er verschillende regels in het leven geroepen. Als online retailer ben je verplicht deze na te komen. Wij ook, natuurlijk. Daarover lees je verderop in dit artikel meer.
- Data privacy voor webshops
- 28 januari: De Europese Dag van de Privacy
- Vier data privacy-zaken die je jaarlijks moet controleren
- Welke landen mogen persoonlijke gegevens behandelen?
- Wat doen wij als Sendcloud om te voldoen aan de privacyrechten van jouw klanten?
- Wat doen wij om de gegevens van jouw klanten te beschermen, en hoe?
- Extra tip: Houd je klanten op de hoogte, wees transparant
- Bottom line
Data privacy voor webshops
Het was met de invoering van de AVG in 2018 dat vele Europese burgers gingen beseffen dat hun persoonlijke gegevens privé waren en zorgvuldig behandeld moesten worden. Grappig feitje: Toen de AVG werd ingevoerd, werd er online meer gezocht op de verordening, dan op supersterren als Beyoncé en Kim Kardashian.
Ook webshops ontdekten dat het menens was. Er werd strenger gecontroleerd, kwamen veel meer claims binnen bij privacywaakhonden, en de EU ging ook steeds proactiever de strijd aan met schenders.
Zo besloot de Oostenrijkse privacywaakhond in januari dit jaar dat Google Analytics in sommige gevallen in strijd is met de GDPR, en werd vorig jaar besloten dat Mailchimp niet per default aan de AVG-regels voldoet.
Toch vond tijdens de coronapandemie het grootste Nederlandse datalek ooit plaats. De privégegevens van miljoenen Nederlanders uit de IT-systemen van de GGD, werden op internet verhandeld. Het laat zien dat we nog veel te leren hebben, én hoe belangrijk de bestaande wetten zijn.
28 januari: De Europese Dag van de Privacy
De consument heeft steeds meer ervaring bij het online shoppen en kent tegenwoordig beter z’n rechten als het gaat om de bescherming van hun persoonsgegevens. Hoe meer ze hierover weten, hoe beter.
Daarom is 28 januari de Europese Dag van de Privacy. De Raad van Europa heeft deze dag gekozen om burgers te informeren over hun rechten over het gebruik van hun persoonsgegevens door overheden, bedrijven en organisaties.
4 Data privacy-zaken die je jaarlijks moet controleren
De data privacy van jouw onderneming op orde hebben, lijkt misschien een hele kluif, maar zet 28 januari in je agenda en stel jezelf jaarlijks (of vaker) de volgende vragen. Zo houd je het behapbaar en overzichtelijk.
1. Weten jij en je medewerkers met welke privacyrechten je rekening moet houden?
Als webshop moet je op verschillende zaken letten die betrekking hebben op de privacy van je klant. Je moet niet alleen kijken naar de techniek die je gebruikt om de gegevens te verwerken, maar ook naar hoe jouw organisatie met persoonsgegevens omgaat. Wie heeft er bijvoorbeeld toegang tot welke gegevens?
Als jouw organisatie een Data Protection Officer (DPO, of Functionaris voor Gegevensbescherming) in dienst heeft, of een Privacy Officer (PO) heeft aangesteld, is het zijn of haar taak jou en je medewerkers te informeren over dataprivacy. Ben je nog niet zover dat je zo iemand in dienst hebt, laat dan een audit doen of huur een externe (D)PO in om je te helpen.
2. Hoe voldoe jij aan de privacyrechten van jouw klanten?
Bijvoorbeeld: Recht op inzage, recht op vergetelheid, recht op rectificatie en aanvulling, recht op dataportabilitieit, recht op beperking van de verwerking, recht met betrekking tot geautomatiseerde besluitvorming en profilering, recht om bezwaar te maken, recht op duidelijke informatie over wat je met hun data doet.
Meer hierover lees je op de website van Autoriteit Persoonsgegevens: Rechten van betrokkenen.
3. Heb je nog persoonsgegevens die niet meer nodig zijn?
Bijvoorbeeld: Bezorggegevens van pakketten die geleverd zijn en waarvoor geen actieve claim loopt, of afgehandelde klantenservicegesprekken van meer dan een maand oud.
4. Heb je met al je partners verwerkersovereenkomsten afgesloten?
Waarschijnlijk schakel je andere organisaties en software in om persoonsgegevens voor je te verwerken. Denk aan je boekhouder, cloudopslagproviders, marketingtools, en technische toepassingen voor softwareontwikkelaars. Als je daarin persoonsgegevens verwerkt is het nodig dat jullie een verwerkersovereenkomst sluiten.
Gebruik hiervoor eventueel de standaard verwerkersovereenkomst van de Europese Commissie.
Welke landen mogen persoonlijke gegevens behandelen?
Alle landen binnen de EU en EER moeten voldoen aan de AVG. Maar daarnaast zijn er ook een paar landen die de Europese Commissie als ‘adequate landen’ heeft aangewezen. Dit zijn landen die aan de vereisten van de AVG voldoen. Op dit moment zijn dat: Andorra, Argentinië, Canada (commerciële bedrijven), de Faeröer, Guernsey, Israël, het eiland Man, Japan, Jersey, Nieuw-Zeeland, de Republiek Korea, Zwitserland, het Verenigd Koninkrijk, en Uruguay.
Werk je met een partner die buiten de EU en EER opereert en niet in de lijst met adequate landen staat? Let dan op dat de overeenkomsten dan de ‘standard contractual clauses’ voor de doorgifte van persoonsgegevens naar de Verenigde Staten bevatten.
Wat doen wij als Sendcloud om te voldoen aan de privacyrechten van jouw klanten?
Als jij als webshop andere partijen inschakelt die persoonsgegevens van jouw klanten verzamelen, verwerken of opslaan, dan moeten zij maatregelen treffen om deze gegevens te beveiligen. Dat geldt dus ook voor ons. Als jij Sendcloud gebruikt voor het verzenden van de pakketten van jouw webshop, betekent dit dus dat wij in dit geval moeten voldoen aan de privacyrechten.
Wat doen wij om de gegevens van jouw klanten te beschermen, en hoe?
- Consumentgegevens worden enkel en alleen opgeslagen in databanken in de EU (om precies te zijn, in Frankfurt). Zo weet je dat je er wordt voldaan aan de strenge normen rondom databeveiliging.
- Verzendgegevens van klanten worden na een jaar automatisch verwijderd wanneer het bewaren ervan niet meer noodzakelijk is.
- Wij hebben een gecertificeerd managementsysteem voor informatiebeveiliging, dat continu onze risico’s in kaart brengen, waardoor we passende beveiligingsmaatregelen kunnen selecteren en implementeren. Sendcloud is ISO-27001 gecertificeerd. Dit is een internationaal erkende norm, die aangeeft dat wij zeer hoge standaarden hebben omtrent informatiebeveiliging en continu bezig zijn op een risicogebaseerde manier onze werkwijze te verbeteren.
- Wanneer er een verzoek tot vergetelheid van een van je klanten binnenkomt, kun je via je account makkelijk klantgegevens verwijderen. Doe dit per ordernummer of verzendlabel.
Wil je meer weten over hoe wij alle gegevens verwerken? Dat lees je terug in onze verwerkingsvoorwaarden. De lijst met onze subverwerkers vind je hier.
Extra tip: Houd je klanten op de hoogte, wees transparant
De Europese Dag van de Privacy is een mooi en ook nodig initiatief. Maar we kunnen niet ontkennen dat het taaie materie is.
Internationale wetgeving over abstracte zaken is gewoon niet voor iedereen weggelegd, en voor vele consumenten zelfs een ver-van-hun-bedshow.
Maar omdat het wel belangrijk is, kun je aan jouw klant laten zien dat je om hun veiligheid geeft:
- Wees proactief in je communicatie over de bescherming van persoonsgegevens.
- Laat je klanten duidelijk weten wat je met hun data doet.
- Zorg voor begrijpelijke taal, want het is al ingewikkeld genoeg. Maak je Privacybeleid ook begrijpelijk (schrijf het eventueel op B1-niveau).
- Vertel je klanten wat ze zelf kunnen doen om hun gegevens te beschermen. Wees ook meteen duidelijk over de mogelijke risico’s, want die zijn niet altijd duidelijk.
Bottom line
De persoonsgegevens van jouw klanten beschermen is een belangrijke taak. Niet alleen omdat je het vertrouwen van je klanten niet wilt beschadigen, maar ook omdat er nu eenmaal strenge wetten zijn die je verplichten de gegevens goed te verwerken. Blijf alert en kijk regelmatig kritisch naar je beleid. Zo voorkom je datalekken en zorg je voor een gezonde onderneming die aan alle belangrijke privacy-vereisten voldoet.
