IPROX en de AVG

Volgens de Algemene Verordening Gegevensbescherming (AVG) is elke organisatie zelf verantwoordelijk voor het goed omgaan met persoonsgegevens. Dit begint met het in kaart brengen waar deze gegevens verzameld worden en met welk doel. Ook bij webcommunicatie en e-dienstverlening worden persoonsgegevens getransporteerd en soms opgeslagen in het CMS. Wat is belangrijk om juist wel of niet te doen? Hieronder enkele tips.

Vraag in formulieren niet meer dan nodig is

Vraag alleen gegevens die nodig zijn voor het realiseren van je doel. Dus: stel je een IPROX-formulier samen, vraag dan niet meer dan strikt noodzakelijk is. En gebruik deze gegevens ook alleen voor het doel waarvoor je ze verzameld hebt.

Verstuur persoonSgegevens via een beveiligde verbinding

De AVG vereist dat gegevens versleuteld verzonden worden via https. Al onze klanten zijn zich hier al langer van bewust en hebben SSL/TLS-certificaten geregeld. Wanneer een ingezonden formulier in IPROX opgeslagen wordt, gaat dit via een beveiligde verbinding. Prima dus.

Als het formulier ook per e-mail verzonden wordt, dan is dit mogelijk niet veilig genoeg. Wil je aan de wet voldoen, dan zul je voor verzending per e-mail maatregelen moeten treffen om te voorkomen dat onbevoegden toegang krijgen tot de informatie. In de wet staat niet precies omschreven welke maatregelen getroffen moeten worden, wel dat deze passend moeten zijn.

Bij elk IPROX-formulier dat persoonsgegevens bevat, zou je er redactioneel voor kunnen kiezen de resultaten van het ingezonden formulier uitsluitend in de database op te slaan. Dus geen verzending per e-mail. En ook geen afschrift naar de inzender van het formulier.

Schoon opgeslagen formulieren regelmatig op

Persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk voor het doel waarvoor de data verzameld zijn. Via de IPROX-moderatie-schermen kunnen opgeslagen formulieren verwijderd worden. Plan dit periodiek in.

Verstuur je nieuwsbrieven?

Dan zul je via een mailinglist persoonsgegevens verzamelen. De IPROX-module werkt op basis van opt-in met bevestiging van e-mail adres en mensen kunnen zichzelf uitschrijven. Dat sluit aan bij de wet.

Sinds enige tijd kunnen gebruikers zich op een mailinglist inschrijven zonder hun naam in te hoeven vullen: in tegenstelling tot het e-mailadres is de naam van iemand immers niet noodzakelijk voor het kunnen verzenden van nieuwsbrieven. Voeg je e-mailadressen in bulk toe dan ligt de bewijslast voor het wettig gebruik buiten IPROX.

Neem een privacy-statement op

Je bent wettelijk verplicht klanten en bezoekers duidelijk te informeren welke privacygevoelige gegevens je verzamelt en met welk doel. Dit neem je op in een privacy statement op je website. Hierin geef je ook aandacht aan het cookiebeleid. Vanuit formulieren en mailinglijsten verwijs je naar deze pagina.

Bevat het sociale intranet bijzondere persoonsgegevens?

Zorg ervoor dat de medewerkers hiervoor toestemming hebben gegeven.

Sla je (bijzondere) persoonsgegevens op in de CMS-omgeving?

Mogelijk treedt InfoProjects op als verwerker van deze persoonsgegevens. In dat geval is een verwerkersovereenkomst verplicht. Neem contact met ons op als dit van toepassing is en er nog geen verwerkersovereenkomst met InfoProjects afgesloten is.

IPROX-aanpassingen

In het kader van de AVG zijn diverse optimalisaties doorgevoerd rondom de mailinglist-module:

Bij bulkinvoer wordt vastgelegd welke gebruiker een set adressen heeft toegevoegd. Hierdoor is deze gebruiker later eventueel te raadplegen wanneer het gaat om de verleende toestemming van de abonnees.
Bij mailinglistinschrijvingen wordt voortaan de datum vastgelegd waarop een abonnee zijn inschrijving (middels opt-in) bevestigd heeft.
Bij bulkinvoer kan aangegeven worden of de abonnees direct geactiveerd worden (bijv. voor een intranet) of dat opt-in van toepassing is.
De beheerder/moderator van een mailinglist kan een speciale nieuwsbrief sturen aan alle niet-geactiveerde adressen op die mailinglist. Met deze nieuwsbrief kan bv. een uitnodiging worden verstuurd aan een set abonnees die per bulk is ingevoerd of een herbevestiging van het account worden verstuurd aan abonnees waarvan niet duidelijk is of ze wel 'gewenst' op een mailinglist staan. Aan het moderatiescherm is hiertoe een knop [Uitnodiging versturen] toegevoegd.
Er is een systeemtaak gerealiseerd die alle abonnees op mailinglists verwijdert die: niet geactiveerd zijn, een uitnodiging/akkoordverklaring hebben ontvangen en waarvan de datum van uitnodiging/akkoordverklaring al meer dan 2 weken geleden is.

Over de AVG

Iedere Europese organisatie die gebruik maakt van persoonsgegevens heeft vanaf 25 mei 2018 te maken met de Algemene Verordening Gegevensbescherming (AVG). Deze nieuwe privacywet verplicht alle private en publieke organisaties in Nederland nog transparanter en zorgvuldiger om te gaan met persoonsgegevens.