AVG
Wat regelt de AVG?
De AVG, de Algemene verordening gegevensbescherming, is de Europese regelgeving voor het verwerken van persoonsgegevens. Ze geldt voor iedereen die persoonsgegevens verwerkt, dus ook voor een kleine website met een contactformulier of een ledenlijst, en voor verenigingen en zzp’ers.
Voor beveiliging vraagt de AVG om passende technische en organisatorische maatregelen. Dat betekent maatregelen die passen bij de risico’s van de gegevens die je verwerkt en bij de stand van de techniek. De wet noemt geen vaste lijst. Hoe gevoeliger de gegevens en hoe meer je ervan verzamelt, hoe zwaarder de beveiliging moet zijn.
Welke maatregelen zijn gebruikelijk?
Er is geen officiële checklist, maar een paar maatregelen komen in de praktijk steeds terug:
- Versleuteling: een beveiligde verbinding via HTTPS, zodat gegevens onderweg niet leesbaar zijn.
- Toegangsbeheer: alleen wie het nodig heeft krijgt toegang tot het beheer, met sterke wachtwoorden en tweestapsverificatie.
- Software actueel houden: updates van je CMS, plugins en server voorkomen dat bekende lekken openstaan.
- Gegevens beperken: verzamel alleen wat je echt nodig hebt en bewaar het niet langer dan nodig.
- Back-ups: je moet gegevens kunnen terugzetten als er iets misgaat.
Welke maatregel het zwaarst weegt, hangt af van je situatie. Een ledenlijst vraagt iets anders dan een webwinkel met klantaccounts.
Wat betekent dat voor je organisatie?
Beveiliging draait niet alleen om techniek. De AVG vraagt ook om organisatorische maatregelen: wie heeft welke toegang, hoe worden vrijwilligers of medewerkers geïnformeerd, en wat gebeurt er als iemand vertrekt? Een site die door meerdere vrijwilligers wordt beheerd, heeft ook afspraken nodig over wachtwoorden en toegang.
Gebruik je externe dienstverleners, zoals een hoster of een mailservice, dan maak je afspraken over de verwerking van persoonsgegevens. Dat gebeurt meestal in een verwerkersovereenkomst. Gebeurt er toch iets, dan lees je bij wat een datalek is wanneer je het moet melden.
Veelgestelde vragen
Moet mijn website altijd HTTPS gebruiken voor de AVG?
Voor een website die persoonsgegevens verwerkt, is een beveiligde verbinding een sterke aanbeveling en een gangbare minimale maatregel. Zonder HTTPS kunnen inlogsessies en formuliergegevens onderweg worden meegelezen. De AVG noemt versleuteling zelf als voorbeeld van een passende maatregel, dus voor een site met formulieren of accounts is het vrijwel altijd nodig.
Moet ik mijn beveiligingsmaatregelen vastleggen?
Dat is verstandig. De AVG vraagt om aantoonbaar te zijn dat je passende maatregelen neemt. Een korte beschrijving van wat je doet, wie toegang heeft en hoe je updates en back-ups regelt, helpt je bij een controle en bij het nemen van beslissingen.