Een webwinkelier die slordig omspringt met klantgegevens kon tot voor kort rekenen op een boete van de Autoriteit Persoonsgegevens, maar bleef daarbij meestal buiten beeld. Dat is veranderd. Sinds 1 september dit jaar maakt de toezichthouder sancties voor overtreding van de AVG standaard openbaar, met naam en toenaam. Voor webshops die persoonsgegevens van klanten verwerken, en dat doen ze allemaal, is dat geen klein detail meer.
Wat er precies verandert
De nieuwe regel is vastgelegd in artikel 21b van de Uitvoeringswet AVG, ingevoerd via de Verzamelwet gegevensbescherming. Waar de Autoriteit Persoonsgegevens eerder per geval afwoog of een sanctie openbaar werd gemaakt, is openbaarmaking nu de hoofdregel. Het gaat niet alleen om boetes. Ook een last onder dwangsom en een verwerkingsverbod, de maatregel waarmee een bedrijf tijdelijk geen persoonsgegevens meer mag verwerken, worden voortaan gepubliceerd. Informatie die onder de Wet open overheid is uitgesloten van openbaarmaking vormt de enige uitzondering.
Een webshop krijgt niet meteen een naam en rietje. De toezichthouder wacht met publiceren tot minstens tien werkdagen na het moment waarop het besluit aan de organisatie zelf is bekendgemaakt. In die periode mag een bedrijf reageren, en kan het bij de rechter een voorlopige voorziening vragen om publicatie uit te stellen. Uitstel is dus mogelijk, afstel meestal niet.
Waarom dit meer raakt dan grote bedrijven
Grote namen als Uber en Marktplaats haalden eerder al het nieuws met miljoenenboetes, en daar verandert dit beleid weinig aan: die zaken kwamen toch al naar buiten. Het echte verschil zit bij de kleinere overtredingen, de webshop die een datalek niet op tijd meldde, een nieuwsbrief verstuurde zonder geldige toestemming, of klantgegevens langer bewaarde dan nodig. Dat soort zaken bleef vaak binnenskamers. Vanaf nu staat het gewoon op de site van de toezichthouder, doorzoekbaar voor iedereen, inclusief klanten die toevallig de naam van de webshop googelen voordat ze bestellen.
Dat raakt vooral kleinere ondernemers. Een grote retailer absorbeert een vervelend nieuwsbericht wel, een eenmanszaak met een webshop heeft minder buffer. Een klant die ziet dat een winkel een privacyboete kreeg, bestelt de volgende keer liever ergens anders. De reputatieschade kan dus groter uitpakken dan de boete zelf.
Praktisch: waar webwinkeliers op moeten letten
De meeste overtredingen waarvoor de Autoriteit Persoonsgegevens ingrijpt, zijn te herleiden tot een paar basiszaken: een privacyverklaring die niet klopt met wat de webshop daadwerkelijk doet, een datalek dat te laat of helemaal niet gemeld wordt, of een cookiebanner die bezoekers geen echte keuze geeft. Het is dus vooral een kwestie van de basis op orde hebben. Wie twijfelt of de eigen privacyverklaring nog aansluit bij de praktijk, bijvoorbeeld na een nieuwe marketingtool of een ander verzendbedrijf, kan dat het beste nu checken en niet pas als er een klacht binnenkomt. In de kennisbank van Webshop Keurmerk staat uitgelegd welke onderdelen een privacyverklaring onder de AVG minimaal moet bevatten.
Het raakt ook direct aan de bredere set wettelijke verplichtingen waaraan een webshop moet voldoen, van herroepingsrecht tot heldere algemene voorwaarden. Twijfelt u of uw webshop op al die punten in orde is? Dan geeft de gratis webshop zelftest van Webshop Keurmerk in een paar minuten inzicht in wat er eventueel nog ontbreekt.
Vertrouwen wordt zichtbaarder
Er zit ook een andere kant aan deze maatregel. Juist omdat nalatigheid straks zichtbaar wordt, loont het om vooraf te laten zien dat de zaken wel op orde zijn. Webshops die zijn aangesloten bij Webshop Keurmerk laten daarmee aan bezoekers zien dat ze aan een reeks eisen voldoen, waaronder een deugdelijke privacyverklaring. Dat is precies het soort zichtbaar vertrouwen waar consumenten in een tijd van openbare boetelijsten naar zoeken voordat ze bestellen. Aanmelden kan via keurmerk.info.
De eerste besluiten onder de nieuwe regel moeten nog verschijnen op de site van de toezichthouder. Webwinkeliers die hun zaakjes goed op orde hebben, hoeven zich daar geen zorgen over te maken. Voor de rest is dit een goed moment om de privacyverklaring er nog eens bij te pakken.
Recente reacties