Media augustus heeft de NOS een artikel geplaatst over hoe onveilig de verschillende zorgwebsites zijn. Er worden op die sites persoonsgegevens verwerkt, zonder dat deze sites beveiligd zijn met een SSL-certificaat. De autoriteit persoonsgegeven kan hiervoor boetes uitreiken, want je overtreedt de privacywet. Een veilige website herken je met https voor in de URL. Een website zonder HTTPS betekent feitelijk dat iedereen toegang kan hebben tot de gegevens die jij achterlaat op die website. Fijne gedachte of toch niet?
Welke websites moeten tenminste beveiligd zijn met HTTPS
Het artikel van de NOS richt zich vooral op de zorgwebsites. Maar feitelijk geldt deze verplichting voor elke website waarin persoonsgegevens worden verwerkt. Voor de hand liggend is dan bijvoorbeeld een webwinkel, zoals Bol.com en Wehkamp. Naast NAW-gegevens vul je hier ook meestal je betalingsgegevens in. Maar dit geld ook voor sites waarin je inlogt om persoonlijke zaken af te handelen (zoals banken, verzekeraars, reisbureau’s, etc.). Maar deze verplichting geldt daarnaast voor websites waar een contactformulier op staat. In dit contactformulier worden persoonlijke gegevens opgevraagd zoals naam en e-mail. Als je deze gegevens invult dan horen die in een beveiligde omgeving te worden verwerkt. Niet iedereen is zich hier bewust van.
Voordelen van een beveiligde HTTPS website
Naast dat een beveiligde website een verplichting is vanuit de privacywetgeving zijn er verschillende voordelen van een beveiligde website (URL begint met HTTPS) ten opzichte van een normale website (URL begint met WWW).
- Google heeft een voorkeur voor websites met HTTPS. Deze worden in de zoekresultaten getoond vóór de niet beveiligde websites.
- Medio oktober toont Google aan de bezoeker van een onbeveiligde website in Google Chrome een melding, dat de website niet beveiligd is. En dat het niet verstandig is je persoonsgegevens op deze website achter te laten. Zo kom je als professionele organisatie wel een beetje knullig over.
- Daarnaast laat je met een beveiligde website zien, dat je als organisatie persoonsgegevens op een veilige manier wilt verwerken en dat je de privacy van de websitebezoeker respecteert.
Aan de slag
En nu aan de slag! De kosten voor een SSL certificaat zijn niet schrikbarend. Afhankelijk van je hosting partij wordt dit of in het pakket aangeboden of betaal je een paar tientjes per jaar. Je hosting partij kan je hierbij helpen. Als je toch aan de slag gaat, denk dan ook aan de volgende punten:
- Als je als organisatie persoonsgegevens verwerkt, dan is een privacy policy verplicht! In zo’n policy geef je onder andere aan waarom je welke persoonsgegevens verwerkt en voor hoe lang. En waar iemand terecht kan voor vragen en/of klachten. Je kunt voor je eigen beeldvorming zoeken naar voorbeelden van zo’n privacy policy om te kijken wat er zoal in staat.
- Je hoort ook iets te doen met cookies. Hier gaat wel een en ander op korte termijn in veranderen. Maar gebruik je nu Google Analytics en heb je niet aangegeven dat gegevens niet met derden worden gedeeld, dan hoor je al een cookie-melding op je website te bepalen. Ook hier is op internet meer te vinden.
Er zijn nog meer aandachtspunten voor een goede privacy policy. Bovenstaand lijstje is niet compleet. Daarnaast kun je in Google Analytics ook het delen van surfgedrag van websitebezoekers uitzetten. Dan hoef je bijvoorbeeld geen cookie-melding op je website te plaatsen. Ik kan je hier eventueel meer over vertellen.
Security awareness
Ja leuk zo’n filmpje en tips! Maar “het” moet gewoon geregeld worden. Ik kan je daarbij helpen. Nee. ik kan zelf niet het certificaat installeren, maar ik kan je wel helpen de personen aan te sturen die dit wel voor jou kunnen. Meer weten, neem gerust contact met mij op.
