Beveilig de verbinding met uw bezoeker
Verwerkt uw website inloggegevens, contactaanvragen of bestellingen, dan wilt u voorkomen dat die onderweg worden gelezen of gewijzigd. HTTPS is daarvoor een belangrijke technische maatregel. Wij raden aan om de hele website via HTTPS aan te bieden, ook pagina’s zonder formulier.
De AVG vraagt om passende technische en organisatorische beveiliging, afgestemd op het risico. Artikel 32 noemt onder meer versleuteling waar dat passend is. De wet schrijft niet letterlijk voor dat iedere website met een cookie een bepaald type SSL-certificaat moet kopen.
Een certificaat maakt uw website niet automatisch AVG-proof
Met HTTPS regelt u de beveiliging van het transport tussen browser en server. U moet daarnaast kijken naar toegangsrechten, updates, de gegevens die u verzamelt, bewaartermijnen en afspraken met verwerkers. Welke maatregelen nodig zijn, hangt af van de verwerking. Laat bijzondere of gevoelige verwerkingen zo nodig juridisch beoordelen.
Heeft u daarvoor een betaald certificaat nodig?
Dat volgt niet automatisch uit het feit dat u een formulier of webshop heeft. Een vertrouwd en goed ingericht domeingevalideerd certificaat, zoals Let’s Encrypt, kan de verbinding ook versleutelen. Organisatievalidatie is een andere vorm van identiteitscontrole, geen algemene voorwaarde om HTTPS bij een webshop te gebruiken.
Bekijk voor de wettelijke formulering artikel 32 van de AVG. Voor de technische inrichting helpen de artikelen over SSL instellen en een veilige verbinding herkennen.