Contactformulier en AVG: vinkje, privacyverklaring en bewaren

Je hebt een grondslag nodig, niet per se toestemming

Volgens de AVG mag je persoonsgegevens alleen gebruiken met een geldige reden. Die reden heet een grondslag. Er zijn er zes, en volgens de AP zijn er vier belangrijk voor ondernemers: overeenkomst, wettelijke verplichting, toestemming en gerechtvaardigd belang.

De meest voorkomende is de overeenkomst. De AP zegt erbij dat die grondslag ook geldt voor de fase vóór de overeenkomst, bijvoorbeeld als je op verzoek een offerte maakt. Vraagt een klant via je formulier om een offerte of een afspraak, dan heb je dus geen aparte toestemming nodig om zijn gegevens daarvoor te gebruiken.

De AP zegt zelfs: je hoeft zeker niet overal toestemming voor te vragen. Toestemming kan iemand namelijk intrekken, en dan mag je de gegevens niet meer gebruiken. Voor een aanvraag is dat geen handige basis.

Het vinkje: wanneer wel, wanneer niet

Kort samengevat, voor een gewoon contact- of offerteformulier:

• Voor de aanvraag zelf: geen toestemmingsvinkje nodig. Zet wel een link naar je privacyverklaring bij de verstuurknop.
• Wil je de klant ook je nieuwsbrief sturen? Dan wel een vinkje. Dat is een ander doel, en daarvoor heb je een aparte grondslag nodig.
• Dat vinkje staat nooit al aan. Volgens de ACM telt toestemming via een vooraf aangevinkt hokje niet.
• Een verplicht vinkje 'ik ga akkoord met de privacyverklaring' voegt meestal niets toe. Je privacyverklaring is informatie, geen contract. En elk extra verplicht vakje is een reden om af te haken.

Dit zet je in je privacyverklaring

Je moet mensen vertellen wat je met hun gegevens doet. De meeste bedrijven doen dat met een privacyverklaring op hun website. De AP raadt aan om daarin ook de grondslag te noemen. Voor je formulier betekent dat:

• Wie je bent en hoe mensen je bereiken.
• Welke gegevens je formulier vraagt, en waarvoor: de aanvraag behandelen en contact opnemen.
• De grondslag: meestal de (voorbereiding van een) overeenkomst.
• Wie de gegevens nog meer verwerkt, zoals je formulierdienst, je websitehost of je mailprovider.
• Hoe lang je de gegevens bewaart.
• Welke rechten mensen hebben, zoals inzage en verwijderen, en hoe ze dat bij jou vragen.
• Dat ze een klacht kunnen indienen bij de Autoriteit Persoonsgegevens.

Vraag niet meer dan nodig

Je mag niet meer persoonsgegevens verwerken dan nodig is voor je doel. Voor een garage is een kenteken nodig, een geboortedatum niet. Een installateur heeft het adres van de klus nodig, maar geen BSN. Twijfel je over een vraag, schrap hem dan. Dat maakt je formulier meteen korter. Voorbeelden van goede vragen per vak staan in welke vragen je in een offerteformulier stelt.

Vraag nooit naar gezondheid of andere bijzondere persoonsgegevens. Volgens de AP is het verboden om die te verwerken, tenzij je aan strenge eisen voldoet. Moet een klant met voorrang geholpen worden, laat hem dan 'spoed' kiezen in plaats van uitleggen waarom.

Wie verwerkt de aanvragen voor je?

Komen je aanvragen binnen via een formulierdienst, een websitebouwer of een mailprogramma? Dan verwerkt dat bedrijf de gegevens voor jou. Volgens de AVG is dat een verwerker. Met een verwerker sluit je een verwerkersovereenkomst. Vaak staat die al in de voorwaarden van de dienst; controleer het en bewaar hem.

Noem die diensten in je privacyverklaring. Ook een dienst die spam tegenhoudt of bezoekers meet, kan gegevens verwerken.

Hoe lang bewaar je aanvragen?

De AVG noemt geen vast aantal maanden. De regel is: niet langer dan nodig. Kies daarom zelf een termijn die je kunt uitleggen, en zet die in je privacyverklaring. Twee situaties:

• Werd de aanvraag een klus? Dan horen de werkbon en de factuur bij je administratie. De Belastingdienst noemt voor de basisgegevens van je administratie een bewaartermijn van 7 jaar.
• Werd het niets? Dan heb je de gegevens na een tijdje niet meer nodig. Ruim ze op, bijvoorbeeld één keer per kwartaal.

Een verwerkingsregister, ook voor kleine bedrijven

Volgens de AP is een verwerkingsregister bijna altijd verplicht, meestal ook voor kleine ondernemers. Dat klinkt groot, maar het is een lijst. Je formulier is daarin één regel: het doel (aanvragen behandelen), van wie (klanten en mensen die iets vragen), welke gegevens (naam, contactgegevens, adres van de klus, omschrijving) en hoe je ze beveiligt.

Hoe minder gegevens je verwerkt, hoe sneller het register klaar is.

Beveiliging: de basis

Je hoeft geen ICT-afdeling te hebben. Deze basis kan iedereen regelen:

• Je website gebruikt https, het slotje in de adresbalk.
• Je mailbox en je formulierdienst hebben een sterk wachtwoord en tweestapsverificatie.
• Aanvragen gaan niet naar een privémailadres of een gedeelde telefoon zonder code.
• Alleen wie de aanvragen nodig heeft, kan erbij.
• Stopt een medewerker? Zet zijn toegang meteen uit.

Werk je in België of Spanje?

De AVG is een Europese wet, dus de basis is overal in de EU gelijk. Wel heeft elk land een eigen toezichthouder: in België de Gegevensbeschermingsautoriteit, in Spanje de AEPD.

Heb je een Spaanse website, dan moet daar ook een 'aviso legal' op staan, met onder meer je naam, je NIF en je adres. Meer daarover lees je in wat er op de website van een vakbedrijf moet.