Privacyverklaring: houd de lijst met diensten actueel

Wat de AVG vraagt

Verzamel je persoonsgegevens bij iemand, dan noemt artikel 13, lid 1, AVG wat je die persoon op dat moment moet vertellen. Punt e is „in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens”. Een ontvanger is volgens artikel 4, punt 9, een persoon, overheidsinstantie, dienst of ander orgaan aan wie persoonsgegevens worden verstrekt, al dan niet een derde. Punt f voegt daar in voorkomend geval informatie over een doorgifte naar een derde land aan toe. Artikel 12, lid 1, vraagt om deze informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal.

De AVG staat categorieën van ontvangers toe. Of een categorie zoals „aanbieders van analysediensten” in jouw geval genoeg is, of dat je elke dienst moet noemen, is een juridische vraag die deze gids niet beslist. Noemt je privacyverklaring afzonderlijke diensten, dan moet die lijst met de website overeenkomen.

Waarom de lijst afwijkt

De website verandert vaker dan de privacyverklaring. Een nieuwe plug-in, een nieuw thema, een video in een blogbericht, een overstap naar een andere nieuwsbrieftool: elk daarvan kan een ontvanger toevoegen of weghalen. Vaak werken meerdere mensen aan één website, en elke wijziging lijkt klein. Niemand werkt de verklaring bij, omdat de wijziging niet op een onderwerp voor gegevensbescherming leek. Na een jaar beschrijft de verklaring misschien een website die niet meer bestaat.

Typische gaten

• Een plug-in of thema laadt een lettertype, een kaart of een script van een externe server, en niemand merkte het.
• Een tagmanager voegt een nieuwe tool toe zonder dat de code van de website verandert.
• Een redacteur sluit in één artikel een video of een socialemediabericht in.
• Een tool is maanden geleden weggehaald, maar staat nog in de verklaring.
• Je bent overgestapt naar een andere aanbieder, bijvoorbeeld voor de nieuwsbrief of de chat, en de verklaring noemt nog de oude.
• Een sjabloon of een tekstgenerator voegde diensten toe die je website nooit heeft gebruikt.

Zo stel je de echte lijst op

1. 1Controleer wat de website laadt: open de belangrijkste pagina's in een privévenster met de ontwikkelaarstools van je browser, of gebruik een scan. Noteer elke externe server en de dienst erachter.
2. 2Controleer wat er is geïnstalleerd: de plug-ins en extensies in je contentmanagementsysteem, de tags in je tagmanager en de embeds in je inhoud.
3. 3Controleer wie er nog meer gegevens ontvangt: loop de contracten en facturen van je dienstverleners door, ook van degenen die nooit op de website verschijnen.
4. 4Vergelijk deze lijst dienst voor dienst met de privacyverklaring: wordt de dienst genoemd, met het juiste bedrijf, het doel en, waar van toepassing, de doorgifte naar een derde land?
5. 5Vergelijk de lijst ook met je toestemmingsbanner. De banner heeft een eigen lijst met diensten, en die hoort dezelfde werkelijkheid te beschrijven.

De toestemmingsbanner is een tweede lijst

Voor het opslaan of uitlezen van informatie op het apparaat van de bezoeker, zoals cookies, vereist § 25 TDDDG in Duitsland toestemming op basis van duidelijke en volledige informatie. In Polen vereist artikel 399 van het Prawo komunikacji elektronicznej (de Poolse wet op de elektronische communicatie) dat de gebruiker eerst wordt geïnformeerd, onder meer over het doel, en daarna toestemt. Beide bepalingen hebben uitzonderingen voor wat strikt noodzakelijk is of nodig voor een gevraagde dienst. Ontbreekt een dienst in de banner, dan kan de bezoeker er niet over beslissen. Staat een weggehaalde dienst er nog in, dan beschrijft de banner iets wat niet gebeurt.

Een controleroutine

Maak van elke controle een korte notitie: de datum, de pagina's die je hebt gecontroleerd, wat je vond en wat je in de verklaring of de banner hebt veranderd. Dan zie je later wat wanneer is gecontroleerd. Wijs één persoon aan die verantwoordelijk is voor de controle, zodat die niet van toeval afhangt. Dit is een gewoonte die we aanraden, geen regel uit de wet.

Werken met Do4U

De Controle privacyverklaring vergelijkt je privacyverklaring met je website. Je voert de startpagina in, als je wilt nog een paar pagina's van dezelfde website, en het adres of de tekst van je privacyverklaring. Do4U leest de pagina's en vindt de diensten van derden die ze laden. De AI van Do4U leest de privacyverklaring en somt elke dienst en ontvanger op die ze noemt, elk met een citaat. De code controleert of elk citaat woordelijk in de verklaring staat en doet de vergelijking zelf. Je krijgt drie lijsten: ingesloten maar niet genoemd, genoemd maar niet gevonden, en gevonden en genoemd. De check is statisch: hij voert geen JavaScript uit en leest alleen de pagina's die je invoert.

Do4U vindt hints, jij controleert en beslist. „Genoemd maar niet gevonden” kan betekenen dat een dienst later laadt, op andere pagina's of buiten de website. Het resultaat zegt niet of je privacyverklaring volledig of juist is.