Wat is de AVG en GDPR? Alles wat je als retailer moet weten

AVG en GDPR: twee namen, één wet

Als retailer met een website of webshop heb je ongetwijfeld al eens gehoord van de AVG of de GDPR. Misschien vraag je je af of het twee verschillende wetten zijn, of gewoon hetzelfde. Het antwoord is simpel: het is exact dezelfde wetgeving, alleen de naam verschilt per taal.

AVG staat voor Algemene Verordening Gegevensbescherming — de Nederlandse naam.
GDPR staat voor General Data Protection Regulation — de Engelse naam.

Beide termen verwijzen naar dezelfde Europese privacywet die op 25 mei 2018 van kracht werd in alle EU-lidstaten. Of je nu in Nederland, België of een ander EU-land zaken doet: deze wet geldt voor jou.

Waarom bestaat de AVG?

Vóór 2018 was de privacywetgeving in Europa een lappendeken. Elk land had zijn eigen regels, wat leidde tot verwarring en grote verschillen in bescherming van persoonsgegevens. De Europese Unie besloot daar een einde aan te maken met één uniforme wet: de AVG.

Het doel is helder: mensen meer controle geven over hun eigen persoonsgegevens. En als ondernemer ben jij verplicht om die controle te respecteren.

Wat zijn persoonsgegevens precies?

Persoonsgegevens zijn alle gegevens die herleidbaar zijn tot een specifiek persoon. Denk aan:

• Naam en adres
• E-mailadres
• Telefoonnummer
• IP-adres
• Bestelgeschiedenis
• Cookiegegevens
• Locatiegegevens

Als jouw webshop ook maar één van deze gegevens verzamelt — en dat doet vrijwel elke webshop — dan valt je onderneming onder de AVG.

Wat betekent de AVG concreet voor jouw webshop?

De AVG legt jou als retailer een aantal duidelijke verplichtingen op. We zetten de belangrijkste voor je op een rij.

1. Je hebt een geldige reden nodig om gegevens te verzamelen

Je mag persoonsgegevens niet zomaar verzamelen. De AVG schrijft voor dat je altijd een wettelijke grondslag moet hebben. De meest gebruikte grondslagen voor webshops zijn:

• Toestemming: de klant geeft expliciet akkoord, bijvoorbeeld voor een nieuwsbrief
• Uitvoering van een overeenkomst: je hebt het adres nodig om de bestelling te leveren
• Wettelijke verplichting: je bent verplicht factuurgegevens bij te houden voor de belastingdienst
• Gerechtvaardigd belang: je mag als bedrijf bepaalde gegevens gebruiken als dat nodig is voor de werking, zonder eerst expliciete toestemming te vragen, zolang dit eerlijk, beperkt en verantwoord gebeurt ( bv. een klant mailen over een lopende bestelling, camerabewaking voor veiligheid, basisdirect marketing naar bestaande klanten, fraude voorkomen of systemen beveiligen, … ).

2. Je moet transparant zijn

Klanten hebben het recht om te weten welke gegevens je verzamelt, waarom je dat doet, hoe lang je ze bewaart en met wie je ze deelt. Dit leg je vast in een privacyverklaring op je website. Geen kleine lettertjes, maar duidelijke taal.

3. Toestemming moet vrijwillig en actief zijn

Een vooraf aangevinkt vakje voor de nieuwsbrief? Dat telt niet. Toestemming onder de AVG moet:

• Vrij gegeven zijn (geen dwang)
• Specifiek zijn (voor één doel)
• Geïnformeerd zijn (de persoon weet waarvoor hij toestemming geeft)
• Actief bevestigd worden (zelf aanvinken)

4. Rechten van de betrokkene

Iedereen van wie jij gegevens verwerkt, heeft rechten. Als retailer ben jij verplicht die rechten te respecteren en te faciliteren:

• Recht op inzage: een klant mag opvragen welke gegevens jij van hem hebt
• Recht op correctie: foutieve gegevens moeten aangepast worden
• Recht op verwijdering: het zogenaamde ‘recht om vergeten te worden’
• Recht op dataportabiliteit: gegevens meenemen naar een andere dienstverlener
• Recht van bezwaar: bezwaar maken tegen verwerking, bijvoorbeeld voor marketingdoeleinden

5. Datalekken melden

Wordt jouw webshop gehackt of raken klantgegevens op een andere manier op straat? Dan ben je in veel gevallen verplicht dit binnen 72 uur te melden bij de Gegevensbeschermingsautoriteit. In ernstige gevallen moet je ook de betrokken klanten informeren.

6. Verwerkersovereenkomsten

Schakel jij externe partijen in die toegang hebben tot klantgegevens — denk aan je e-mailmarketingdienst, je betaalprovider of je hostingpartij — dan ben je verplicht een verwerkersovereenkomst af te sluiten. Daarin leg je vast hoe zij met de gegevens omgaan.

Wat zijn de risico’s als je de AVG niet naleeft?

Gegevensbeschermingsautoriteit controleert actief op naleving van de privacywetgeving. Boetes kunnen daarbij hoog oplopen:

• €10 miljoen of 2% van de wereldwijde jaaromzet voor minder zware overtredingen
  €20 miljoen of 4% van de wereldwijde jaaromzet voor ernstige overtredingen (het hoogste bedrag telt)

In België controleert de Gegevensbeschermingsautoriteit actief op naleving. In de praktijk krijgen kleine bedrijven vaak eerst waarschuwingen of verplichtingen om zich aan te passen, maar ook KMO’s kunnen boetes krijgen.

Maar los van boetes: een datalek of een klacht van een klant kan ook grote reputatieschade opleveren. En juist in retail draait veel op vertrouwen.

AVG en cookies: wat moet je weten?

Gebruik je Google Analytics, Facebook Pixel of andere trackingtools op je webshop? Dan heb je vrijwel zeker toestemming nodig via een cookiebanner. Cookies die persoonsgegevens verzamelen of bezoekers volgen, vallen onder de AVG én onder de Cookie-wet (in België).

Een goede cookiebanner biedt bezoekers een echte keuze: accepteren of weigeren. De ‘weigeren’-optie moet even makkelijk bereikbaar zijn als de ‘accepteren’-optie.

Waar begin je als retailer?

Voel jij dat je nog niet volledig compliant bent? Geen paniek, maar ga er wel mee aan de slag. Een praktische startlijst:

1. Maak een overzicht van welke persoonsgegevens je verzamelt en waarvoor
2. Controleer of je voor elk doel een geldige grondslag hebt
3. Schrijf of update je privacyverklaring
4. Controleer je cookiebanner
5. Sluit verwerkersovereenkomsten af met externe partijen
6. Zorg voor een procedure bij datalekken

Conclusie: AVG en GDPR zijn geen bureaucratie, maar een kans

Veel retailers zien de AVG als een last. Maar retailers die transparant omgaan met gegevens en klanten écht respecteren, bouwen aan vertrouwen. En vertrouwen is in e-commerce goud waard. Zie de AVG niet als een hindernis, maar als een fundament voor een duurzame relatie met je klanten.