Directe identificatie
Naam, straatnaam, postcode, woonplaats, telefoonnummer en e-mailadres. Deze velden zijn direct gekoppeld aan een persoon en vereisen expliciete toestemming voor verwerking.
Developer Guide
AVG en webformulieren
AVG en webformulieren
Wat elke developer moet weten.
Een technische gids voor het bouwen van formulieren die voldoen aan de Europese privacywetgeving. Geen juridische termen, maar code en configuratie.
De uitdaging
Waarom AVG ook een dev-probleem is
Veel teams denken dat privacy een rechtbankzaak is. In de praktijk is het een technische implementatievraagstuk.
Als developer ben je gewend aan 'stateless' API's en JSON-schema's. Privacywetgeving vraagt echter om 'stateful' gedrag: wie heeft wat gedaan, en waarom?
De meeste developers integreren Formly via een REST endpoint. Het grootste gevaar zit niet in de API, maar in hoe je de data verwerkt in jouw eigen database. Het is jouw verantwoordelijkheid om te bepalen wat wordt opgeslagen en hoe lang het bewaard blijft.
Data Classification
Welke velden zijn persoonsgegevens?
Identificeer velden op basis van herleidbaarheid.
Indirecte identificatie
IP-adres, Device ID, Browser fingerprint en Cookie-ID. Ook deze data kan worden gebruikt om een gebruiker te traceren en moet worden beschermd, vaak onder de noemer 'geanonimiseerde data'.
Geanonimiseerd
Velden die gekoppeld zijn aan een unieke User ID en waarvan de persoonlijke details (naam, email) zijn verstript. Dit is vaak toegestaan voor analyse, zolang de link naar de persoon niet kan worden hersteld.
Consent Management
Toestemming correct vastleggen en opslaan
Een checkbox "Ik ga akkoord" is niet voldoende. Je moet bewijzen dat de gebruiker het gedaan heeft.
Volgens de AVG moet je bewijzen dat:
- De gebruiker expliciet heeft ingestemd.
- De toestemming is vrijwillig en specifiek is voor het doel.
- De gebruiker de toestemming altijd kan intrekken.
Je moet dit opslaan in je database als een object. In Formly kan je schema zo worden opgezet dat bij elke indiening een object wordt gegenereerd:
{ consent: true, timestamp: "2023-10-27T10:00:00Z", purpose: "contact", source: "checkbox" }
Design voor Privacy
Data minimalisatie in je schema toepassen
Vragen zonder antwoord
Vraag niet naar "Geboortedatum" als je alleen "Leeftijd" nodig hebt. Het extra veld is overtollig data en moet bewaard worden volgens de bewaartermijn.
Conditional Visibility
Verberg gevoelige velden achter een knop "Toon meer informatie". De gebruiker geeft expliciet toestemming door te klikken. Gebruik Formly's conditional rendering om deze velden pas te tonen.
Lifecycle Management
Bewaartermijnen en automatische verwijdering
Het opslaan van data is niet genoeg. Je moet het ook verwijderen als het doel niet meer van toepassing is.
Stel een bewaartermijn in (bijv. 2 jaar na de laatste interactie). Implementeer een batch-job of een regel in je database die records met een verlopen timestamp automatisch verwijdert. Dit is vaak goedkoper dan het onderhouden van verouderde data en voldoet aan Art. 5(1)(e) AVG.
Juridische basis
Verwerkersovereenkomst met je formuliertool
Als je Formly gebruikt, ben je de 'verwerkingsverantwoordelijke' (controller). Formly is de 'verwerker' (processor).
Controleer of er een verwerkersovereenkomst is. Als je Formly gebruikt via de hosted service, is dit geregeld. Als je Formly zelf host (BYOD), ben je zelf verantwoordelijk voor de hosting en de bewaartermijnen van de data die daarop staat.
Formly Features
Hoe Formly je helpt compliant te blijven
Consent Logging API
Formly slaat automatisch toestemming en IP-adressen op zodra een gebruiker een formulier indient via onze SDK of API.
EU Hosting
Alle formulier-data wordt opgeslagen in onze datacenters in Amsterdam (EU), wat voldoet aan de scherpe AVG-locatievereisten.
Retention Jobs
Gebruik onze API om formulieren te verwijderen op basis van een datum, zodat je geen data bewaart langer dan nodig.
Disclaimer: Deze gids is informatief bedoeld als technische handleiding. AVG-wetgeving is complex en kan variëren per situatie. Formly kan geen juridisch advies geven. Raadpleeg altijd een bevoegd jurist voor uw specifieke privacybeleid.