Privacybeleid voor je blog: wat elke blogger moet vermelden

Controleer eerst de plugins en instellingen van je blog. Noteer welke gegevens je verzamelt bij het lezen, reageren, abonneren en contact opnemen, en welke dienstverleners ze ontvangen. Deel het beleid in rond wat je lezers op de blog doen: berichten lezen, reageren, zich abonneren, op links klikken en contact met je opnemen. Voeg daarna de standaardsecties toe over rechten, bewaring, doorgiften en wijzigingen. Onze stapsgewijze gids over een privacybeleid voor een website maken behandelt het volledige proces.

Begin je liever niet met een leeg vel, dan vraagt de Website Privacy Policy Generator naar je trackingtechnieken, wanneer niet-essentiële tracking begint, hoe lezers hun voorkeuren wijzigen en welke dienstverleners je gebruikt, zoals Google Analytics, Mailchimp of reCAPTCHA. Daarna stelt hij passende clausules samen. Het voorbeeld en de eenvoudige HTML-download zijn gratis, en je kunt de HTML rechtstreeks in een WordPress-pagina of elke andere sitebouwer plakken.

Onthoud dat een privacybeleid geen vervanging is voor een affiliatevermelding in je berichten of een toestemmingsbanner waar die verplicht is. Zie het als één onderdeel van een transparante blog, niet als het hele werk.

Het is verleidelijk om te denken dat een persoonlijke blog te klein is om ertoe te doen. De wet kijkt alleen zelden eerst naar omvang. Ze kijkt naar de vraag of je persoonsgegevens verzamelt en van wie die gegevens zijn.

• AVG en UK GDPR: de uitzondering voor zuiver persoonlijke of huishoudelijke activiteiten is smal en dekt waarschijnlijk geen openbare blog die reacties, e-mailadressen of analyticsgegevens van lezers verzamelt.
• CalOPPA: geldt voor exploitanten van commerciële websites die persoonlijk identificeerbare informatie van inwoners van Californië verzamelen. Een blog met inkomsten en een nieuwsbrief is een typisch voorbeeld.
• Platformvoorwaarden: Google AdSense en Google Analytics vereisen een privacybeleid, ongeacht je bezoekersaantallen, en nieuwsbriefplatforms hebben eigen voorwaarden over hoe je adressen van abonnees verzamelt en gebruikt.

Het praktische antwoord: heeft je blog reacties, een nieuwsbrief, analytics, advertenties of affiliatelinks, publiceer dan een privacybeleid. De algemene gids heb ik een privacybeleid nodig? loopt per land de wettelijke aanleidingen door.

Blogs bestaan uit plug-ins, thema's en embeds, en veel daarvan verzamelen ongemerkt gegevens. Gebruik deze checklist wanneer je je blog doorlicht:

• Reacties: naam, e-mailadres, website, de reactie zelf en vaak het IP-adres van de reageerder.
• Reactiecookies: veel platforms bieden aan om de gegevens van een reageerder in de browser te onthouden.
• Spamfilters: de inhoud van reacties en formulieren wordt ter controle naar een antispamdienst gestuurd.
• Server- en beveiligingslogs: IP-adressen en user agents die je hostingpartij en beveiligingsplug-ins vastleggen.
• Analytics: paginaweergaven, verwijzers, apparaatgegevens en identificatoren.
• Advertenties en affiliatelinks: cookies en identificatoren die advertentienetwerken en affiliateprogramma's plaatsen.
• Embeds: YouTube-video's, socialemediaberichten en kaarten die content van andere bedrijven laden.
• Lettertypen en CDN's: bestanden die van servers van derden worden geladen, die daardoor het IP-adres van de lezer ontvangen.
• Nieuwsbriefformulieren en pop-ups: e-mailadressen en aanmeldgegevens.
• Contactformulieren: namen, e-mailadressen en berichten.

Noteer elk onderdeel dat je vindt, de plug-in of dienst erachter en het bedrijf dat de gegevens ontvangt.

Reacties zijn vaak de eerste persoonsgegevens die een blog verzamelt, en ze verdienen een eigen korte sectie. De voorgestelde privacytekst van WordPress zelf herinnert je nuttig aan wat er standaard gebeurt: daarin staat dat de site, wanneer bezoekers een reactie achterlaten, de gegevens uit het reactieformulier verzamelt plus het IP-adres en de user-agentstring van de browser van de bezoeker om spam te helpen opsporen. Er staat ook in dat een gehashte versie van het e-mailadres naar Gravatar kan worden gestuurd om te controleren of er een profielfoto is.

Je sectie over reacties moet het volgende behandelen:

1. Wat het reactieformulier verzamelt en wat openbaar wordt getoond.
2. Of een geautomatiseerde spamdienst reacties controleert, en welke.
3. Of gegevens van reageerders in cookies worden onthouden, en hoe lang.
4. Hoe lang reacties en de bijbehorende metadata worden bewaard.
5. Hoe een reageerder je kan vragen zijn of haar gegevens aan te passen, te exporteren of te verwijderen.

In WordPress kun je een pagina voor je privacybeleid kiezen en krijg je een gids met voorgestelde tekst, maar WordPress kan niet weten welke plug-ins je hebt geïnstalleerd. Onze gids over een privacybeleid voor WordPress legt het instellingenscherm en de regels voor plug-ins uit.

Een nieuwsbrief verandert losse lezers in een lijst met e-mailadressen, en dat zijn persoonsgegevens die je voor langere tijd in handen hebt. Je beleid moet uitleggen:

• Wat je verzamelt: meestal een e-mailadres, soms een naam, de aanmelddatum en de pagina waarop de persoon zich heeft aangemeld.
• Welk platform de e-mails verstuurt: noem je e-maildienst, omdat die de lijst namens jou verwerkt.
• Of je opens en kliks volgt: veel e-mailplatforms doen dat standaard met trackingpixels en omgeleide links.
• Hoe mensen zich afmelden: elke e-mail moet een werkende link bevatten, en het beleid moet dat vermelden.
• Toestemming: in de EU en het VK hebben marketingmails aan particulieren doorgaans voorafgaande toestemming nodig, tenzij een smalle uitzondering geldt.

In de VS vereist de CAN-SPAM Act dat commerciële e-mails een duidelijke manier bevatten om je af te melden en een geldig fysiek postadres, en afmeldverzoeken moeten snel worden gehonoreerd. Die regels gelden voor de e-mails zelf, niet voor het privacybeleid, maar de twee moeten wel met elkaar overeenkomen. Onze gids over een privacybeleid voor e-mailnieuwsbrieven behandelt de details.

Ja. De servicevoorwaarden van Google Analytics verplichten je om een passend privacybeleid te hebben en na te leven, te vermelden dat je Google Analytics gebruikt en hoe het gegevens verzamelt en verwerkt, en kennis te geven van de betrokken cookies of identificatoren. De voorwaarden vragen ook om een opvallende link naar de pagina van Google die uitlegt hoe Google informatie gebruikt van sites die zijn diensten gebruiken, of een gelijkwaardige kennisgeving.

Wat je voor een gemiddelde blog opneemt:

• Dat je Google Analytics gebruikt om te begrijpen welke berichten mensen lezen en hoe ze de blog vinden.
• De soorten gegevens die het betreft, zoals bekeken pagina's, verwijzers, apparaat- en browsergegevens en globale locatie.
• Of je functies hebt ingeschakeld die gegevens toevoegen, zoals Google-signalen of koppelingen met Google Ads.
• Hoe lezers hun cookiekeuzes kunnen wijzigen of analytics kunnen blokkeren.

Heb je lezers in de EU of het VK, dan hebben analyticscookies doorgaans toestemming nodig voordat ze laden, behoudens smalle nationale uitzonderingen. Overstappen op een privacyvriendelijke analyticstool kan beperken wat je verzamelt, maar neemt de noodzaak niet weg om het te beschrijven. Zie de gids over Google Analytics in je privacybeleid.

Verdien je geld met Google AdSense, dan is het privacybeleid niet optioneel. Het helpartikel van AdSense over verplichte content noemt vermeldingen die je beleid moet bevatten:

• Dat externe leveranciers, waaronder Google, cookies gebruiken om advertenties te tonen op basis van eerdere bezoeken van een gebruiker aan je website of andere websites.
• Dat Google door het gebruik van advertentiecookies, samen met zijn partners, advertenties kan tonen op basis van bezoeken aan je sites en andere sites op internet.
• Dat gebruikers zich via de advertentie-instellingen van Google kunnen afmelden voor gepersonaliseerde advertenties, of zich via een afmeldpagina van de branche kunnen afmelden voor de cookies van sommige externe leveranciers.

Uitgevers met bezoekers in de EER, het VK of Zwitserland moeten ook het EU-beleid voor toestemming van gebruikers van Google volgen, dat toestemming vereist voor cookies waar de wet dat vereist en voor advertentiepersonalisatie. Google verplicht uitgevers die zijn advertentieproducten gebruiken om een door Google gecertificeerd consent management platform te gebruiken wanneer ze advertenties tonen aan gebruikers in de EER en het VK.

Gebruik je ook andere advertentienetwerken, noem ze dan en link naar hun afmeldpagina's. De volledige checklist staat in onze gids over AdSense in je privacybeleid.

Nee, en die twee door elkaar halen is een van de meest gemaakte fouten op blogs. Ze beantwoorden verschillende vragen voor verschillende toezichthouders.

De affiliate- of aanbevelingsvermelding vertelt lezers dat je mogelijk geld verdient wanneer ze klikken of kopen. In de VS zegt de richtlijn van de FTC over aanbevelingen dat bloggers affiliaterelaties duidelijk en opvallend moeten vermelden, en hoe dichter de vermelding bij de aanbeveling staat, hoe beter. Een vermelding die onderaan een pagina is weggestopt of achter een link met het label “Juridisch” zit, mis je gemakkelijk. De affiliatevermelding hoort dus naast de links in elk bericht, niet alleen in je privacybeleid.

De privacyvermelding legt de datakant uit. Wanneer een lezer op een affiliatelink klikt, kan het affiliatenetwerk of de verkoper cookies plaatsen of de klik vastleggen om de verkoop toe te wijzen. Je privacybeleid moet vermelden dat affiliatelinks deze tracking met zich mee kunnen brengen en de programma's noemen die je gebruikt.

Affiliateprogramma's hebben in hun deelnemersovereenkomsten vaak eigen regels over vermeldingen. Lees de actuele overeenkomst van elk programma waaraan je deelneemt, in plaats van te vertrouwen op formuleringen die je van een andere blog hebt gekopieerd.

Ingesloten content vergeet je gemakkelijk, omdat je die niet zelf hebt gebouwd. De voorgestelde privacytekst van WordPress verwoordt het goed: ingesloten content van andere websites gedraagt zich precies alsof de bezoeker die andere website heeft bezocht. Een YouTube-video, een Instagram-bericht of een kaart kan dat bedrijf dus gegevens laten verzamelen, cookies laten plaatsen en interactie met de embed laten volgen.

Noem in je beleid voor elk type embed de aanbieder en leg uit dat de aanbieder gegevens kan verzamelen wanneer de embed laadt. Hetzelfde geldt voor:

• Webfonts en scriptbibliotheken die van servers van derden worden geladen, die daardoor het IP-adres van de lezer ontvangen.
• Deelknoppen voor sociale media die scripts van sociale netwerken laden.
• Reactiesystemen die door een derde partij worden gehost.

Je kunt de blootstelling beperken met klik-om-te-laden-plaatshouders die de embed pas laden nadat de lezer daarvoor kiest, of door lettertypen zelf te hosten. Waar Europese of Britse toestemmingsregels gelden voor cookies die embeds plaatsen, helpen die plaatshouders je ook om ze niet vóór toestemming te laden.