# Checklist privacyproof website

## Inleiding

De gemeente vindt het belangrijk om inwoners goed informeren wat er met hun persoonsgegevens gebeurt. Ook vindt de gemeente het belangrijk dat inwoners op de websites makkelijker dingen kunnen vinden. Om dit mogelijk te maken gebruikt de gemeente cookies .

Vanuit privacy gelden er verschillende eisen voor websites waar de gemeente verantwoordelijk voor is. Deze eisen staan in deze werkinstructie. Hieronder vind je een checklist. Verder in het document is ieder vereiste verder uitgewerkt.

## Checklist voor AVG-vereisten

Gebruik deze checklist om te controleren of de website voldoet aan de AVG-vereisten.

| # | Eis | Voldoet? |
|---|---|---|
| 1 | Is de privacyverklaring duidelijk, volledig en afgestemd op het taalniveau van de doelgroep? |  |
| 2 | Is er een cookieverklaring die uitlegt welke cookies worden gebruikt en hoe bezoekers deze kunnen beheren? |  |
| 3 | Indien e-formulier: Voldoen de e-formulieren aan het principe van dataminimalisatie en verwijzen ze naar de privacyverklaring? |  |
| 4 | Indien nieuwsbrief: Heeft de nieuwsbrief een duidelijke toestemming en een eenvoudige afmeldmogelijkheid? |  |
| 5 | Indien persoonsgegevens van kinderen: Worden persoonsgegevens van kinderen alleen verwerkt met toestemming van een ouder, en is die toestemming controleerbaar? |  |
| 6 | Zijn er voldoende technische maatregelen genomen, zoals een veilige verbinding, back-ups en regelmatige updates? |  |
| 7 | Zijn er organisatorische maatregelen genomen om accounts en bewaartermijnen van persoonsgegevens te beheren? |  |
| 8 | Is er een verwerkersovereenkomst getekend met externe partijen die persoonsgegevens verwerken? |  |
| 9 | Worden persoonsgegevens niet langer dan strikt noodzakelijk bewaard? |  |

Toelichting: Deze checklist bevat de belangrijkste AVG-vereisten die zijn vastgesteld om privacy en gegevensbescherming te waarborgen. Gebruik hem als een praktisch hulpmiddel om te voldoen aan de regelgeving. De nummers zijn hieronder verder uitgewerkt.

## 1. Privacyverklaring?

Vanuit de AVG heeft elke organisatie een informatieplicht. Dat wordt in de meeste gevallen in de praktijk gebracht door een privacyverklaring op de websites te plaatsen. Deze privacyverklaring moet zo helder mogelijk, begrijpelijk en afgestemd zijn op het taalniveau van de doelgroep. Een privacyverklaring moet ten minste de onderstaande onderdelen bevatten.

- Naam van de organisatie en contactgegevens;

- Welke persoonsgegevens er allemaal worden verwerkt en waar die verwerking plaatsvindt. Dan kan bijvoorbeeld op de website zijn, maar ook fysiek bij een loket. De gemeente gebruikt één centrale privacyverklaring. Andere websites kunnen verwijzen naar die privacyverklaring.

- Bewaartermijnen van de persoonsgegevens

- De doeleinden en de rechtsgrond waarop gegevens worden verwerkt. En daarbij, indien van toepassing, het gerechtvaardigd belang van de verwerkingsverantwoordelijke;

- De rechten van betrokkenen;

- Hoe gegeven toestemming ingetrokken kan worden;

- Bron van de persoonsgegevens;

- Vermelding of er sprake is van profilering;

- Of gegevens worden gedeeld met andere organisaties en zo ja aan welke;

- Vermelding van eventuele overdracht naar het buitenland;

- Contactgegevens van de Functionaris Gegevensbescherming.

- Hoe persoonsgegevens beveiligd worden;

- Waar je terecht kan voor een vraag of klacht

- Of de privacyverklaring kan worden gewijzigd

- Contactgegevens van Autoriteit Persoonsgegevens in geval van klachten

Advies:

- Je kunt hiervoor de standaard privacyverklaring gebruiken van de gemeente of hiernaar verwijzen (zoals Privacy - Gemeente VOORBEELDGEMEENTE)

- Niet zeker of jouw privacyverklaring klopt? Laat het controleren door het privacy team via naam@voorbeeldgemeente.nl.

Check:

- In een nieuw gemaakte privacyverklaring of al van de bovenstaande punten voldoen en hoe deze bekendgemaakt wordt aan de betrokkene;

- Check of de verwerking al min of meer omschreven wordt in de algemene privacyverklaring van de gemeente en/of kan worden toegevoegd: check dit met de privacy officer.

## 2. cookie verklaring en cookie banner?

In een cookieverklaring leg je uit welke cookies er op de website gebruikt worden, welke gegevens door deze cookies worden verzameld en hoe bezoekers deze kunnen in- en uitschakelen. Middels een cookie banner kunnen bezoekers net zo eenvoudig alle cookies accepteren als ze allemaal weigeren. Daarbij geldt voor alle cookies anders dan ‘noodzakelijke’ cookies dat er via de cookie toestemming banner expliciete toestemming aan de bezoeker gevraagd moet worden. Er mogen dus geen cookies, anders dan ‘noodzakelijke’ cookies, aangevinkt zijn en de bezoeker moet de niet-noodzakelijke zelf aanvinken of ze allemaal accepteren. De website moet daarnaast ook gewoon werken, zonder de toestemming. Met andere woorden, het gebruik van een ‘cookie-wall’ is niet toegestaan.

Zorg ervoor dat:

- Ga voor de meest privacy vriendelijke keuze en plaats zo min mogelijk cookies.

- Zorg ervoor dat er naast ‘alles accepteren’ ook een ‘alles afwijzen' button aanwezig is.

- Check regelmatig of de cookie toestemming banner ook werkt zoals beoogd. Klopt het bijvoorbeeld dat wanneer iemand alle cookies weigert er geen andere cookies dan ‘noodzakelijke’ cookies worden geladen?

- Vink geen toestemming vakjes aan, wanneer men naar cookie-instellingen gaat.

- Maak niet de goedkeuren knop groen en afwijzen knop rood ofwel de goedkeuren knop groter dan de afwijzen knop.

## 3. E-formulieren?

Worden er formulieren op de website gebruikt? En voldoen die aan de volgende punten?

- Zorg ervoor dat deze aan het principe van dataminimalisatie voldoen. Beperk het uitvragen van gegevens tot wat minimaal nodig is. Vraag dus niet onnodig om geslacht, geboortedatum of een BSN-nummer als dit niet bijdraagt aan het doel waarvoor het formulier bestemd is.

- Omschrijf hoe, na het versturen van het formulier, de gegevens worden verwerkt en wat het doel van deze verwerking is. Geef daarbij aan dat de gegevens niet anders zullen worden gebruikt dan het beschreven doel.

- Verwijs naar de privacyverklaring in het formulier.

## 4. Nieuwsbrief?

Is er een mogelijkheid aanwezig om in te schrijven op een nieuwsbrief?

Zo ja dan moet er een mogelijkheid zijn om expliciet toestemming hiervoor te geven middels het aanvinken van een checkbox. Daarbij moet in ieder geval het volgende bij de toestemming beschreven worden:

- Waar men zich voor inschrijft. Dus zo specifiek en helder mogelijk dat het om de nieuwsbrief gaat.

- Hoe vaak de nieuwsbrief wordt verstuurd;

- Hoe de nieuwsbrief wordt verstuurd;

- Wie de nieuwsbrief verstuurd;

- Beschrijving hoe iemand zijn/haar toestemming weer kan intrekken.

- Verwijzing naar de privacyverklaring;

Zorg ervoor dat:

- Iedere gestuurde nieuwsbrief een afmeldmogelijkheid heeft. Dit moet zo eenvoudig mogelijk zijn.

- Controleer of dit inderdaad het geval is bij alle e-mails en of de afmeldmogelijkheid werkt.

- Let ook hier op voor het dataminimalisatie principe, vraag dus niet om geboortedatum of adres, wanneer een naam en e-mail volstaat.

## 5. Persoonsgegevens van kinderen?

In sommige gevallen kan het voorkomen dat er gegevens van kinderen onder de 16 jaar worden verwerkt. Denk bijvoorbeeld aan een event-website waar bezoekers foto's en video's kunnen uploaden om zo mee te dingen naar een prijs. Onder de AVG mag dit uitsluitend als één van de ouders hiervoor toestemming heeft gegeven. Het is daarom cruciaal om te controleren of die toestemming daadwerkelijk is gegeven.

Zorg ervoor dat:

- In een dergelijke situatie er ook een mogelijkheid is om het telefoonnummer van een ouder in te voeren om zo te controleren of hij/zij ook daadwerkelijk toestemming heeft gegeven.

- dat de privacyverklaring ook voor een kind begrijpelijk is.

## 6. ‘technische maatregelen’?

Worden de volgende ‘technische maatregelen’ toegepast?

- Zorg voor een veilige verbinding door het gebruik van een SSL of TLS certificaat.

- Maak back-ups. Zorg ervoor dat dit dagelijks gebeurt. Vaak wordt dit automatisch geregeld door de IT-afdeling of een hostingprovider, maar wij raden aan om te achterhalen wie daarvoor verantwoordelijk is en waar deze back-ups bewaard worden.

- Controleer op updates van het CMS en plug-ins. Zorg ervoor dat iemand daar verantwoordelijk voor is. Tijdig en regelmatig updaten beperkt de kans op hacks aanzienlijk.

- Wordt de website extern gehost? Is deze hosting beveiligd?

- Zorg ervoor dat de website gebruik maakt van een HTTPS i.p.v. een HTTP.

Zorg ervoor dat:

- Wanneer de website extern gehost wordt raden wij aan om de overeenkomst door te nemen en te checken welke maartregelen deze partij heeft genomen om de veiligheid te garanderen.

- Voor specifieke vragen over deze technische maatregelen neem je contact op via naam@voorbeeldgemeente.nl.

## 7. ‘organisatorische maatregelen’?

Worden de volgende ‘organisatorische maatregelen’ toegepast?

- Loop alle medewerker accounts, die toegang hebben tot de website, regelmatig na. Zijn deze allemaal nog actief? Herken je alle accounts?

- Denk na over het soort rol voor toegang. Niet iedereen hoeft bijvoorbeeld een administrator te zijn.

- Stel een procedure op om de rechten van een betrokkene uit te voeren. Zoals het intrekken van toestemming (punt 5) of om een verzoek tot vergetelheid (bijvoorbeeld het verwijderen van afbeeldingen of video's van een website) uit te voeren.

- Zorg ervoor dat de bewaartermijnen van persoonsgegevens zijn geregeld.

Zorg ervoor dat:

- Het verwijderen van persoonsgegevens na een bewaartermijn gaat vaak niet automatisch. Maak daarom iemand verantwoordelijk voor de controle of deze persoonsgegevens niet langer dan strikt noodzakelijk worden opgeslagen, zodat hij/zij kan controleren of die daadwerkelijk verwijderd zijn.

## 8. verwerkersovereenkomst?

Schakelen we een partij in die in opdracht van de gemeente bepaalde werkzaamheden uitvoert en daarbij persoonsgegevens inziet of gebruikt? Dan moet er een verwerkersovereenkomst worden getekend. Denk bijvoorbeeld aan de koppeling van de website met een analytics platform, of wanneer een website extern gewijzigd wordt. Ook plug-ins voor bijvoorbeeld social media verzamelen soms persoonsgegevens (IP-adressen). Check daarom met welke partijen er gegevens worden uitgewisseld.

Heb je specifiek vragen over verwerkersovereenkomsten? Kijk dan op deze pagina.

## 9. Bewaren?

De AVG kent niet één duidelijk bewaartermijn, maar een ‘niet-langer-dan noodzakelijk’-regel. Er zijn echter een aantal bewaartermijnen wettelijk vastgelegd in de Archiefwet en/of nader toegespitst in de selectielijst voor gemeenten vanuit de VNG. Kijk voordat je gegevens verwerkt, zoals met cookies en/of e-formulieren, goed naar hoe lang je de gegevens bewaard en hoe je deze beveiligd.

Heb je hier nadere vragen over of wil je een keer sparren hierover? Stuur dan een mail naar naam@voorbeeldgemeente.nl.

## Bijlage 1: Algemene Borging Cookies (ABC)

Hierbij een format die gebruikt kan worden om het checken van de cookiebanner en/of instellingen te borgen en vast te leggen. Dit format zou ieder jaar minimaal 1 keer gebruikt moeten worden.

Let op! Sla het volgende jaarlijks op eenzelfde plek op en verwijder de vorige.

| Naam controleur: |  |
|---|---|
| Datum: |  |
| Gecheckte website: |  |
| Cookie ID’s: |  |

| Check | Ja/Nee |
|---|---|
| Cookiebanner aanwezig |  |
| Cookiebanner aanwezig |  |
| Alles afwijzen' knop aanwezig |  |
| Toestemming is niet van tevoren aangevinkt |  |
| Alles afwijzen knop is niet kleiner of rood, dan de goedkeuren |  |
| De cookies worden niet afgevuurd, als ik ze afwijs |  |

| Toelichting: |
|---|