E-commerce, webwinkel en privacy

Wat we doen

Voor e-commerce organisaties is de wet- en regelgeving omtrent privacy en gegevensbescherming complex. De wetgever heeft in verband met consumentenbescherming extra regels opgesteld, die resulteren in extra werk. Hierbij kan gedacht worden aan bepaalde informatieverplichtingen vanuit de website of regelgeving omtrent cookies. Aan deze wet- en regelgeving dient te worden voldaan, aangezien anders handhavend kan worden opgetreden een toezichthouder (bijvoorbeeld door middel van een boete). Binnen onze praktijkgroep hebben wij de kennis en de ervaring om hierbij organisaties te voorzien van juridisch advies.

Vragen omtrent e-commmerce? Neem dan contact met ons op.

E-commerce en privacy binnen Privacy en gegevensbescherming

Een webwinkel draait op persoonsgegevens. Vanaf het eerste bezoek aan de website tot en met de aflevering, retour en after-sales verwerkt u namen, adressen, e-mailadressen, betaalgegevens, bestelhistorie en surfgedrag. Daarmee valt iedere webshop — van een internationaal e-commerceconcern tot de bakker met een bestelpagina op de hoek — onder de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Deze pagina belicht e-commerce specifiek vanuit het perspectief van Privacy en gegevensbescherming: niet de algemene consumentenrechtelijke spelregels, maar de vraag hoe u klantgegevens rechtmatig verwerkt, beveiligt en verantwoordt. Onze gemengde teams van advocaten en bedrijfsjuristen vertalen die regels naar werkbare afspraken die passen bij de omvang en het risicoprofiel van uw webshop.

Grondslag en doelbinding bij het verwerken van klantgegevens

Elke verwerking van persoonsgegevens heeft volgens artikel 6 van de Algemene verordening gegevensbescherming een geldige grondslag nodig. Bij een webshop zijn de gegevens die nodig zijn om de bestelling uit te voeren, te bezorgen en te betalen doorgaans gebaseerd op de uitvoering van de overeenkomst. Voor een nieuwsbrief, gepersonaliseerde aanbiedingen of niet-functionele cookies is meestal toestemming vereist. Op grond van artikel 5 van de Algemene verordening gegevensbescherming gelden daarnaast doelbinding en dataminimalisatie: u mag alleen gegevens verzamelen die noodzakelijk zijn voor een vooraf bepaald doel en niet langer bewaren dan nodig. Een veelgemaakte fout is het standaard aanvinken van marketingtoestemming of het bewaren van complete bestelhistories zonder bewaartermijn. Wij bepalen per gegevensstroom de juiste grondslag en stellen een houdbaar bewaarbeleid op.

Privacyverklaring, cookies en toestemming op uw webshop

De AVG verplicht u betrokkenen vooraf helder te informeren (artikelen 13 en 14 van de Algemene verordening gegevensbescherming). Een webshop heeft daarom een vindbare, begrijpelijke privacyverklaring nodig waarin staat welke gegevens u verwerkt, met welk doel, op welke grondslag, hoe lang u ze bewaart en met welke partijen u ze deelt. Voor cookies geldt naast de AVG ook artikel 11.7a van de Telecommunicatiewet: voor tracking- en analysecookies die persoonsgegevens verwerken is voorafgaande, actieve toestemming nodig — een cookiebanner zonder echte weigeroptie volstaat niet. De Autoriteit Persoonsgegevens handhaaft hier streng op. Met onze cookiescan brengen we in kaart welke cookies uw shop plaatst en richten we toestemming AVG-proof in.

Verwerkersovereenkomsten met betaaldiensten, fulfilment en marketing

Een webshop werkt zelden alleen. Betaaldienstverleners, hostingpartijen, fulfilmentcentra, e-mail- en marketingtools en pakketvervoerders krijgen toegang tot klantgegevens. Met elke partij die in uw opdracht gegevens verwerkt, moet u op grond van artikel 28 van de Algemene verordening gegevensbescherming een verwerkersovereenkomst sluiten met afspraken over beveiliging, datalekken, subverwerkers en het verwijderen van gegevens na afloop. Maakt u gebruik van diensten buiten de Europese Economische Ruimte — denk aan Amerikaanse marketing- of analyseplatformen — dan gelden aanvullende eisen voor doorgifte uit hoofdstuk V van de Algemene verordening gegevensbescherming. Wij beoordelen en onderhandelen deze contracten en stellen modelovereenkomsten op die u steeds opnieuw kunt gebruiken.

Beveiliging, datalekken en de rechten van uw klanten

Artikel 32 van de Algemene verordening gegevensbescherming verplicht u tot passende technische en organisatorische maatregelen, zoals een beveiligde (TLS-)verbinding, sterke toegangsbeveiliging en autorisatiebeheer in uw webshop- en kassasystemen. Gaat het toch mis, dan moet u een datalek beoordelen en zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens en mogelijk bij de klant (artikelen 33 en 34 van de Algemene verordening gegevensbescherming). Daarnaast hebben uw klanten rechten: inzage, rectificatie, verwijdering en bezwaar (artikelen 15 tot en met 22 van de Algemene verordening gegevensbescherming), en bij profilering voor gepersonaliseerde aanbiedingen gelden extra waarborgen. Lees meer over onze aanpak bij datalekken. Bij gevoelige of grootschalige verwerkingen kan een DPIA verplicht zijn.

Handhaving, boetes en hoe MKB Juristen u ontzorgt

De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet (artikel 83 van de Algemene verordening gegevensbescherming), naast reputatieschade en het stilvallen van uw verkoopkanaal. Voor een grote e-commercespeler en voor de kleine ondernemer is de norm dezelfde, maar de praktische aanpak verschilt. Daarom werken wij met gemengde teams van advocaten en bedrijfsjuristen: van een snelle compliance-check voor een startende webshop tot een volledig privacyprogramma voor een internationaal platform. Wilt u eerst weten waar u staat, dan voeren wij een privacy-audit uit of zetten we een functionaris gegevensbescherming (FG) in. Heeft u vragen over e-commerce en privacy? Neem gerust contact met ons op.