Eind mei 2018 trad de nieuwe Europese privacyverordening in werking: de GDPR (ook wel AVG genoemd in Nederland). Dit zijn nieuwe regels voor iedereen die binnen de EU persoonsgegevens verzamelt, zoals e-mailadressen, IP-adressen en andere identificatoren. Als blogger val jij hier ook onder – en in deze gids leggen we precies uit hoe je als GDPR-blogger in 8 stappen compliant wordt.

Betekent dit dat de nieuwe regelgeving ook voor bloggers geldt? Ja, zonder uitzondering.

„Moet ik nu al mijn lezers opnieuw een e-mail sturen om ze opnieuw in te laten schrijven? En mag ik helemaal geen cookies meer gebruiken?!”

Het internet staat vol met dit soort apocalyptische scenario’s, maar GDPR is helemaal niet zo erg. Je moet er gewoon even doorheen bijten. We schreven een praktische gids met wat je op jouw blog moet aanpassen om aan de nieuwe regels te voldoen. We vertellen je ook wat je met je bestaande e-maillijst kunt doen.

DISCLAIMER. Wij zijn geen juristen en ook geen experts op het gebied van gegevensbescherming. Alles wat je hier leest is onze eigen interpretatie van de GDPR-verordening, vanuit het perspectief van een blogger. Bij het verzamelen van informatie hebben we ons gebaseerd op de verordening zelf en op de manier waarop anderen ermee zijn omgegaan. Beschouw dit artikel niet als juridisch advies, maar als een praktische leidraad voor jouw specifieke situatie. Bedankt, laten we beginnen!

Het doel van de GDPR is om de lezer (of klant) meer controle te geven over zijn of haar gegevens. Hoe transparanter je bent over de verwerking van gegevens en hoe meer controle je lezers geeft, hoe beter je aan alle voorwaarden voldoet.

Welke gegevens verzamelen we als bloggers van onze lezers?

Met het verwerken van gegevens bedoelen de Europese regelgevers alle gegevens die je over gebruikers verzamelt én de manieren waarop je die verwerkt. Persoonsgegevens zijn gegevens waarmee je een lezer direct of indirect kunt identificeren: namen, adressen, telefoonnummers, e-mailadressen, maar ook IP-adressen en andere identificatoren. Heb je op jouw blog één van de volgende dingen, dan is de GDPR op jou van toepassing:

• Je verzamelt e-mailadressen – bijvoorbeeld voor een nieuwsbrief
• Je hebt reacties onder artikelen ingeschakeld (met name WordPress)
• Je volgt het gedrag van bezoekers, bijvoorbeeld via Google Analytics
• Je hebt een contactformulier op je blog
• Je gebruikt plug-ins die gegevens over gebruikers verzamelen
• Je organiseert wedstrijden en giveaways

#1 Gebruik checkboxes (of een andere vorm van toestemming) telkens wanneer een lezer je gegevens verstrekt

Telkens wanneer je persoonsgegevens van een lezer verzamelt, moet dat met zijn of haar expliciete toestemming. Bij het verstrekken van gegevens moet ook duidelijk zijn waarvoor je ze gaat gebruiken. Als een lezer je een e-mailadres geeft zodat je hem nieuwsbrieven kunt sturen, moet hij expliciet akkoord gaan met het ontvangen van die berichten.

De eenvoudigste optie is het toevoegen van een checkbox waarmee de lezer duidelijk toestemming geeft. Het is een beetje omslachtig, maar het dekt je op alle fronten. Op Loudavým Krokem ziet het er zo uit:

Een tweede optie is de toestemming direct in de knoptekst te verwerken. Bij het aanmelden voor een cursus bevestig je de toestemming bijvoorbeeld door op de inschrijfknop te klikken.

VOORBEELDTEKST

Om het je nog makkelijker te maken, hebben we een voorbeeldtekst voor je opgesteld. Vervang de puntjes door een opsomming van wat je lezers per e-mail zult sturen en voeg aan de laatste zin een link naar je privacybeleid toe. (Het voorbeelddocument kun je zo meteen downloaden.)

VOORBEELDTEKST VOOR TOESTEMMING: Door op “Ik ga akkoord…” te klikken, geef je toestemming voor het ontvangen van …………… Als je geen e-mails meer wilt ontvangen, kun je je op elk moment uitschrijven via de afmeldlink onderaan elke e-mail. Meer informatie over ons privacybeleid vind je hier.

Gebruik je standaard WordPress-formulieren, dan volstaat de plug-in WP GDPR Compliance. Verzamel je e-mailadressen via Mailchimp, ConvertKit of een andere dienst, dan vind je de oplossing direct op hun platform.

Het actieplan is simpel: je moet voor elke lezer kunnen aantonen hoe en wanneer toestemming is gegeven voor het ontvangen van e-mails.

#2 Wil je écht goed gedekt zijn? Gebruik dan double opt-in

Hoewel de GDPR dit niet expliciet vereist, is een dubbele opt-in een goed idee. Nadat mensen zich aanmelden voor een nieuwsbrief of cursus, sturen we ze per e-mail nog een bevestigingsknop waarmee ze aangeven dat ze inderdaad berichten van ons willen ontvangen. Bevestigen ze niet, dan worden ze niet aan de mailinglijst toegevoegd. Wat zijn de voordelen?

• Dubbele bevestiging van toestemming
• Zekerheid dat de lezer echt geïnteresseerd is in jouw content
• Tikfouten in e-mailadressen belanden niet in je database

Zo ziet zo’n double opt-in e-mail eruit:

Pas nadat iemand op de rode knop heeft geklikt, wordt het e-mailadres aan de database toegevoegd en start de e-mailreeks. Persoonsgegevens van gebruikers die geen toestemming hebben gegeven, moet je zonder onnodige vertraging uit je database verwijderen.

#3 Stel een privacybeleid op conform de GDPR en publiceer het op je website

Het opstellen van een privacybeleid is iets waar veel mensen tegenop zien. Maar dat hoeft niet, want we hebben een sjabloon voor je klaargemaakt dat je alleen nog hoeft in te vullen. Zo ziet ons privacybeleid eruit. Je moet voor elke blog die je beheert een privacybeleid opstellen en dit toegankelijk maken via het menu (mag ook in een dropdown). Wat er in het privacybeleid staat:

• Wie je hebt aangewezen als verwerkingsverantwoordelijke
• Welke gegevens je verwerkt en met welk doel
• Aan wie je de gegevens eventueel doorgeeft
• Hoe je de gegevens beveiligt
• De rechten van je lezers

In het voorbeelddocument hebben we aangegeven waar je je eigen gegevens moet invullen, met uitleg wat er moet staan. 🙂

#4 Informeer je huidige abonnees dat je voldoet aan de GDPR, of vraag om toestemming

En nu het lastigste gedeelte. Waarschijnlijk heb je tientallen, honderden of zelfs duizenden e-mailadressen in je database. Wat doe je daarmee? Moet je iedereen opnieuw een registratieformulier sturen om hun toestemming te bevestigen? Of kun je het zo laten? Dat hangt af van hoe zorgvuldig je e-mailadressen tot nu toe hebt verzameld.

1. Je hebt e-mailadressen verzameld voor een specifiek doel en je houdt je daaraan

Als je tot nu toe e-mailadressen hebt verzameld zoals de GDPR vereist, hoef je niet opnieuw om toestemming te vragen. Verzamelen volgens de GDPR betekent dat je kunt aantonen wanneer, hoe en voor welk doel een lezer toestemming heeft gegeven en zijn e-mailadres heeft verstrekt.

In dat geval is het volgens ons voldoende om bestaande abonnees het volgende te laten weten:

• Hoe je hun gegevens hebt verkregen (waar ze zich hebben aangemeld)
• Waarvoor je de gegevens gebruikt (wat je hen stuurt)
• Dat je gegevens vanaf nu verwerkt conform de GDPR
• Hoe ze zich kunnen uitschrijven

Zo hebben wij het gedaan:

1. Je hebt e-mailadressen verzameld via algemene formulieren, of je verstuurt ook content waarvoor de lezer zich niet heeft aangemeld, of je hebt op een andere manier niet aan alle voorwaarden voldaan

Heb je een licht slecht geweten omdat je e-mailadressen hebt verzameld zonder expliciete toestemming, of stuur je allerlei soorten e-mails naar je hele database, dan moet je van elke lezer alsnog expliciete toestemming zien te krijgen – als je daarmee wilt doorgaan.

Dat was ook ons geval: op Loudavým Krokem hadden we e-mailadressen vooral verzameld via wedstrijden en reis-giveaways, en we hadden lezers nooit expliciet laten weten dat ze door deel te nemen ook de nieuwsbrief ontvingen. We hebben hen daarom gevraagd toestemming te geven voor alles wat we van plan waren te sturen:

Na het doorklikken komen lezers op een pagina terecht waar ze expliciet moeten aanvinken dat ze akkoord gaan met het ontvangen van berichten.

#5 Gebruik je tags en meerdere formulieren? Zorg dan voor een duidelijke structuur

Het was voor ons niet eenvoudig om de GDPR in onze formulierstructuur te verwerken, omdat we er veel gebruiken. We hebben meerdere interessecategorieën waarvoor lezers zich kunnen aanmelden, en we kennen alle abonnees geleidelijk tags toe op basis waarvan we hen relevante content sturen.

De ene lezer is geïnteresseerd in crypto, de andere in online marketing of online ondernemen. Als iemand zich aanmeldt voor een cursus over cryptocurrency, mogen we hem of haar volgens de GDPR niet zomaar een artikel over Instagram-promotie sturen. Het is dus belangrijk om bij te houden wie welke toestemming heeft gegeven. We raden aan een overzichtskaart te tekenen die je snel kunt raadplegen. Zo ziet die van ons eruit:

Zoals je ziet, hebben we GDPR double opt-ins toegevoegd aan alle instapformulieren waarmee een lezer zich kan aanmelden voor onze e-maildatabase.

#6 “Gerechtvaardigd belang” en hoe je ermee omgaat

Binnen de GDPR bestaat de term “gerechtvaardigd belang”, een uitzondering die je kunt inroepen voor het versturen van e-mails.

Als iemand bijvoorbeeld een reisboek bij je koopt, kun je redelijkerwijs aannemen dat diegene ook geïnteresseerd is in nieuws uit je webshop, en kun je hem of haar toevoegen aan je nieuwsbrief. Dit valt onder gerechtvaardigd belang bij directe marketing.

Wees echter voorzichtig met gerechtvaardigd belang: de definitie is vaag en naar onze mening kun je het beste zo min mogelijk op deze uitzondering leunen en altijd expliciet toestemming vragen.

#7 Het gebruik van cookies en tools zoals Google Analytics

Gebruik je analytische tools om het gedrag van bezoekers op je blog bij te houden, zoals Google Analytics, dan valt ook dat onder de GDPR.

Zodra een lezer jouw website voor het eerst opent, plaatst Google Analytics cookies in zijn of haar browser om het gedrag te kunnen volgen. Cookies verzamelen persoonsgegevens in de vorm van identificatoren, die potentieel kunnen worden gebruikt voor indirecte identificatie.

Daarom moet je bezoekers informeren dat je cookies gebruikt. Maar dat is niet alles: ze moeten ook weten welke gegevens je verzamelt, waarvoor je die gebruikt en hoe ze cookies kunnen weigeren of verwijderen.

De eenvoudigste manier is een plug-in te gebruiken (als je WordPress gebruikt):

• Cookie Law / GDPR Info

Informatie over cookies moet je ook opnemen in je privacybeleid.

#8 Lezers kunnen alle informatie opvragen die je over hen verwerkt

Gebruikers hebben op grond van de GDPR het zogenoemde recht op inzage in de informatie die je over hen hebt.

Zorg er daarom voor dat je toegang hebt tot die gegevens. Je moet niet alleen logs kunnen exporteren over wanneer en hoe een gebruiker zich heeft aangemeld en welke e-mails je hebt gestuurd, maar ook informatie over hun gedrag op je website, bijvoorbeeld via Google Analytics.

Gelukkig heeft Google tools beschikbaar gesteld die je hiervoor kunt gebruiken, inclusief de mogelijkheid om verzamelde gegevens over elke afzonderlijke gebruiker te verwijderen.

Samenvatting

De GDPR is niet zo eng als het lijkt. Het heeft ons zelfs geholpen onze e-maildatabases beter te ordenen, de beveiliging te verbeteren en inactieve abonnees op te ruimen. Welke stappen moet je dus ondernemen om als blogger aan de GDPR te voldoen?

• Een privacybeleid opstellen
• Voor elk contact expliciete toestemming hebben voor de verwerking van gegevens voor een specifiek doel
• Kunnen aantonen wanneer en hoe een lezer toestemming heeft gegeven
• In je privacybeleid informatie opnemen over eventuele andere gegevensverwerkers

Ons uitgewerkte sjabloon dat je helpt bij het opstellen van je GDPR-document

De informatie die we uren lang hebben verzameld, willen we niet voor onszelf houden. Daarom hebben we een gedetailleerd document opgesteld met een voorbeeldprivacybeleid (GDPR) dat je alleen nog hoeft in te vullen. Het staat vol met aantekeningen en uitleg, zodat ook beginners er eenvoudig mee uit de voeten kunnen. 👇

DISCLAIMER. Wij zijn geen juristen en ook geen experts op het gebied van gegevensbescherming. Alles wat je hier leest is onze eigen interpretatie van de GDPR-verordening, vanuit het perspectief van een blogger. Bij het verzamelen van informatie hebben we ons gebaseerd op de verordening zelf en op de manier waarop anderen ermee zijn omgegaan. We hebben meerdere grote en kleine bloggers en online ondernemers bekeken en hoe zij met de GDPR zijn omgegaan. Beschouw dit artikel niet als juridisch advies, maar als een praktische leidraad voor jouw specifieke situatie.