Website security en AVG/GDPR: wat wordt gecontroleerd?

Techniek en privacy horen bij dezelfde website-audit

De AVG/GDPR raakt zowel de technische bescherming als de manier waarop de website persoonsgegevens verzamelt en gebruikt. Daarom beoordeelt de vaste audit niet alleen transport, toegang, opslag, logging en herstel, maar ook de websitegebonden doelen, rechtsgronden en verantwoordingsinformatie.

Vaste privacycontroles voor iedere website

We inventariseren welke persoonsgegevens de website verwerkt, waarom dat gebeurt, welke externe diensten meewerken, waar gegevens terechtkomen en hoelang ze worden bewaard. Iedere controle krijgt een aantoonbare uitkomst.

• Zijn verwerkingsdoelen en rechtsgronden duidelijk vastgelegd?
• Sluiten privacyverklaring, formulieren en werkelijke gegevensstromen op elkaar aan?
• Laden niet-noodzakelijke cookies en trackers pas na geldige toestemming?
• Zijn bewaartermijnen, verwijdering en betrokkenenrechten uitvoerbaar?
• Zijn verwerkers, doorgiften en mogelijke DPIA-triggers in kaart gebracht?
• Zijn accounts, sessies, secrets en gevoelige velden passend beschermd?

Documentatie en techniek worden samen getoetst

De websitegebonden privacyaudit combineert technische verificatie met de relevante verklaringen, contractinformatie en processen. Zo worden rechtsgronden, verwerkers, internationale doorgiften, rechtenprocedures en datalekvoorbereiding gekoppeld aan wat de website werkelijk doet.

Regelmatig testen houdt beveiliging aantoonbaar

Artikel 32 noemt bescherming én een proces om de effectiviteit van maatregelen regelmatig te testen en beoordelen. Het Charter Nine-webveiligheidscertificaat is één jaar geldig. Na elf kalendermaanden ontvangt de eigenaar één herinnering; een nieuwe audit vraagt een nieuwe opdracht. De eigenaar blijft verantwoordelijk voor beveiliging tijdens de geldigheidsperiode.