Privacy in Joomla

1. De basis

1.1 Wat is de Joomla Privacy Suite?

De Privacy Suite is Joomla's ingebouwde gereedschapskist voor privacywetgeving zoals de Europese AVG (GDPR). Joomla introduceerde het in versie 3.9 (mei 2018) en het wordt sindsdien standaard meegeleverd. Het is niet één scherm, maar een kleine set samenwerkende onderdelen:

• Een component, com_privacy, met een dashboard, verzoeken, toestemmingen en mogelijkheden.
• Een groep privacy-plugins die weten hoe ze gegevens exporteren en verwijderen, elk voor één gebied.
• Een Privacy Consent-systeemplugin die ingelogde gebruikers vraagt akkoord te gaan met je privacybeleid.
• Een Algemene voorwaarden-gebruikersplugin voor het registratieformulier.

Je hoeft niets te installeren. Alles wat hier beschreven wordt zit al in je Joomla. Je hoeft alleen de onderdelen die je wilt in te schakelen en te configureren.

1.2 Wat "persoonsgegevens" hier betekent

Onder de AVG zijn persoonsgegevens alle informatie waarmee een levend persoon geïdentificeerd kan worden. Op een typische Joomla-site hoort daarbij:

• De naam, gebruikersnaam en e-mail in #__users.
• Gegevens uit contactformulieren en de contactcomponent.
• Privéberichten tussen gebruikers.
• IP-adressen die in de actielog staan.
• Het record dat een persoon akkoord ging met je privacybeleid.

De Privacy Suite is opgebouwd rond twee rechten die de wet aan iedereen geeft: het recht op inzage (geef mij mijn gegevens) en het recht op verwijdering (wis mijn gegevens). Joomla noemt deze een exportverzoek en een verwijderingsverzoek.

1.3 Waar vind ik het?

In de Joomla 6-backend staat de Privacy Suite onder het menu Gebruikers:

Gebruikers → Privacy                  de Privacy-kop opent het dashboard
Gebruikers → Privacy → Verzoeken      export- en verwijderingsverzoeken
Gebruikers → Privacy → Mogelijkheden  welke gegevens elk onderdeel verwerkt
Gebruikers → Privacy → Toestemmingen  wie akkoord ging met het privacybeleid
Systeem → Beheren → Plugins           de privacy- en toestemmingsplugins

De component zelf staat in administrator/components/com_privacy/. Twee kleine naamkwesties zijn vooraf goed om te weten. Ten eerste staat het onder Gebruikers, niet onder Systeem, wat mensen verrast die een privacytool onder de systeeminstellingen verwachten. Ten tweede is er geen aparte "Dashboard"-link: de Privacy-kop in het menu is het dashboard. Het scherm Verzoeken heet bovenaan de pagina ook Privacy: Informatieverzoeken, terwijl de menulink simpelweg Verzoeken is.

1.4 Wat de Privacy Suite niet doet

Eén punt voorkomt de meeste verwarring voordat die ontstaat: de Privacy Suite is een raamwerk voor informatieverzoeken en toestemmingsrecords, geen magische compliance-knop. Het verzorgt met name niet:

• Cookiebanners of cookietoestemming.
• Toestemming voor analytics en tracking, zoals het blokkeren van Google Analytics of Matomo totdat een bezoeker akkoord gaat.
• Marketing-opt-ins voor nieuwsbrieven of advertenties.
• Scripts van derden die laden voordat een gebruiker akkoord is gegaan.

Die hebben aparte configuratie of een speciale cookietoestemmings-extensie nodig. Alleen com_privacy installeren maakt een site op zichzelf niet AVG-conform. Het geeft je een gestructureerde manier om verzoeken van betrokkenen te beantwoorden en toestemming vast te leggen, wat één belangrijk onderdeel van compliance is, niet het geheel.

3. Informatieverzoeken: export en verwijdering

3.1 De twee soorten verzoeken

Alles wat de suite voor een individu doet, verloopt via een verzoek. Er zijn precies twee soorten:

Een verzoek is gekoppeld aan één e-mailadres, niet aan een gebruikers-id. Dat is bewust: de aanvrager kan een gast zijn die een contactformulier invulde, geen geregistreerde gebruiker.

3.2 Een verzoek aanmaken als beheerder

Zo handel je een verzoek af dat per e-mail of post binnenkwam:

1. Ga naar Gebruikers → Privacy → Verzoeken en klik op Nieuw.
2. Voer het e-mailadres van de persoon in.
3. Kies Export of Verwijdering.
4. Sla op. Joomla mailt een bevestigingslink naar dat adres.

De bevestigingsstap is belangrijk. Door een token naar het e-mailadres te sturen, zorgt Joomla ervoor dat de persoon die de mailbox beheert de actie ook echt wil. Dit voorkomt dat de ene gebruiker het account van een ander verwijdert door een e-mailadres te raden.

3.3 Gebruikers hun eigen verzoek laten indienen

Je kunt mensen het proces ook zelf laten starten, zonder beheerder ertussen. De Privacy-component levert front-end menu-itemtypes precies hiervoor:

• Verzoek aanmaken: een openbaar formulier waar een bezoeker zijn e-mail invoert en export of verwijdering kiest.
• Verzoek bevestigen: de landingspagina waarnaar de bevestigingsmail linkt.
• Toestemming verlengen: een pagina waar een ingelogde gebruiker zijn privacytoestemming vernieuwt.

Maak van elk type een menu-item, link ernaar vanaf je privacybeleidpagina, en de hele bevestigingsstap loopt vanzelf. Je verwerkt het bevestigde verzoek nog steeds met de hand, zodat een mens de controle houdt over elke verwijdering.

3.4 De bevestigingsmail en e-mailsjablonen

Het hele verzoekproces hangt af van één e-mail die de persoon bereikt. Joomla verstuurt die via het centrale systeem van e-mailsjablonen, zodat je de tekst kunt nakijken en vertalen onder Systeem → Sjablonen → E-mailsjablonen. Zoek het sjabloon voor de bevestiging van het privacyverzoek en pas de tekst aan zodat die duidelijk en niet-technisch klinkt.

Omdat die e-mail de poortwachter is, zorg dat die ook echt aankomt:

• Gebruik een echte SMTP-dienst in plaats van PHP mail() voor betrouwbare bezorging.
• Stel SPF, DKIM en DMARC in zodat het bericht niet als spam wordt gefilterd.
• Stuur een test voordat je een openbaar verzoekformulier opent.

Werkt de mail niet, dan stapelen verzoeken zich op bij Bevestiging in behandeling en wordt de hele suite stilletjes nutteloos.

5. Toestemmingen: akkoord vastleggen

5.1 Wat een toestemmingsrecord is

De wet vraagt je vaak te bewijzen dat een persoon ergens mee akkoord ging, en wanneer. Het overzicht Gebruikers → Privacy → Toestemmingen is dat bewijs. Elke regel legt vast dat een specifieke gebruiker op een specifiek moment akkoord ging met een specifiek document (je privacybeleid).

Een toestemmingsrecord bewaart de gebruiker, het onderwerp en de inhoud van waar hij mee akkoord ging, de datum en een status (geldig of ingetrokken). Omdat de suite de werkelijke tekst die de gebruiker zag opslaat, kun je later precies tonen waarmee hij akkoord ging, ook als je het beleid daarna wijzigt.

5.2 Waar toestemmingen vandaan komen

Toestemmingsregels worden geschreven door de Privacy Consent-plugin (sectie 6) wanneer een ingelogde gebruiker het akkoordvakje aanvinkt. Ze worden niet met de hand aangemaakt. Het overzicht Toestemmingen is in de geest alleen-lezen: je bekijkt en, indien nodig, verklaart een toestemming ongeldig, maar je typt er geen in.

Dit is dezelfde filosofie als bij de actielog: een record dat je vrij kunt bewerken is geen betrouwbaar bewijs, dus Joomla beperkt wat je kunt wijzigen.

7. Algemene voorwaarden versus privacytoestemming

7.1 Twee plugins, twee momenten

Mensen verwarren de twee toestemmingsplugins vaak omdat beide een vakje voor de gebruiker zetten. Het verschil zit in wanneer ze in actie komen:

De overlap is de Privacy Consent-plugin: die voegt zijn vakje toe aan het registratie- en profielformulier van de gebruiker, en stuurt ook een al ingelogde gebruiker die nooit akkoord ging door naar een toestemmingspagina. Zo kan die zowel bij aanmelding als bij een later bezoek in actie komen. De plugin Algemene voorwaarden komt daarentegen alleen op het registratieformulier in actie.

7.2 Welke je gebruikt

Gebruik Algemene voorwaarden als je wilt dat elk nieuw account je siteregels accepteert op het moment van aanmelden. Gebruik Privacy Consent als je ook wilt dat bestaande gebruikers, die zich registreerden lang voordat je een beleid schreef, een vastgelegd, gedateerd akkoord geven. Veel sites gebruiken beide: voorwaarden bij de deur, privacytoestemming bij binnenkomst.

Alleen de Privacy Consent-plugin schrijft regels in de toestemmingstabel die de Privacy Suite later kan exporteren en auditen. De voorwaardenplugin blokkeert simpelweg de registratie tot het vakje is aangevinkt.

9. Onder de motorkap (ontwikkelaarsperspectief)

9.1 De databasetabellen

De Privacy Suite bewaart zijn status in twee hoofdtabellen:

#__privacy_requests    een regel per export- of verwijderingsverzoek
#__privacy_consents    een regel per vastgelegde toestemming

De kernvelden van #__privacy_requests zijn:

id                       automatisch oplopende primaire sleutel
email                    het e-mailadres van de betrokkene
requested_at             wanneer het verzoek is aangemaakt
status                   bevestiging in behandeling / bevestigd / voltooid / ongeldig
request_type             'export' of 'remove'
confirm_token            gehasht token uit de bevestigingsmail
confirm_token_created_at wanneer het token is uitgegeven (voor verloop)

De kernvelden van #__privacy_consents zijn:

id        automatisch oplopende primaire sleutel
user_id   de gebruiker die akkoord ging
state     1 = geldig, 0 = ingetrokken
created   wanneer toestemming is gegeven
subject   de titel van waar men mee akkoord ging
body      een momentopname van de afgesproken tekst

9.2 De plugingroep

Het echte werk wordt gedaan door plugins in de privacy-groep, die elk Joomla's basisklasse PrivacyPlugin uitbreiden. De component raakt nooit rechtstreeks de gebruikers-, contact- of berichttabellen aan. In plaats daarvan vuurt het events af en laat het elke plugin zijn eigen gegevens afhandelen. Dit is hetzelfde losgekoppelde patroon dat Joomla overal in het CMS gebruikt: de component dirigeert, de plugins doen het domeinwerk.

9.3 De vier events

Een privacyplugin kan zich op vier events abonneren:

9.4 Hoe een export wordt opgebouwd

Een export is niet één grote query. Elke plugin geeft een of meer domains terug, en elk domain bevat items opgebouwd uit velden met naam-waardeparen. De component verzamelt de domains van alle plugins en serialiseert het geheel naar XML. Een vereenvoudigde export-handler ziet er zo uit:

public function onPrivacyExportRequest(PrivacyExportRequestEvent $event)
{
    $request = $event->getRequest();
    $user    = $event->getUser();

    $domain = $this->createDomain('user_profile', 'Joomla user account');
    $item   = $this->createItemForUserId($user->id, $tableData);
    $domain->addItem($item);

    return [$domain];
}

Omdat elke plugin dezelfde domain-item-veldvorm spreekt, is het exportbestand consistent, hoeveel extensies er ook aan bijdragen.

11. Je eigen extensie privacybewust maken

11.1 Waarom zou je

Als je component persoonsgegevens opslaat, bijvoorbeeld een boekingssysteem met namen en telefoonnummers, hoort die mee te doen met de Privacy Suite. Anders is een export onvolledig en laat een verwijdering persoonsgegevens achter, en beide breken de belofte die je in je privacybeleid deed.

11.2 De drie stappen

Schrijf één plugin in de privacy-groep die zich abonneert op de events die je nodig hebt:

1. Implementeer onPrivacyCollectAdminCapabilities zodat je gegevens in het overzicht Mogelijkheden verschijnen.
2. Implementeer onPrivacyExportRequest om je gegevens als domains en items terug te geven.
3. Implementeer onPrivacyRemoveData (en optioneel onPrivacyCanRemoveData) om ze te wissen of te anonimiseren.

Een minimale capabilities-handler is genoeg om je extensie zichtbaar te maken voor een auditor:

public function onPrivacyCollectAdminCapabilities()
{
    $this->loadLanguage();

    return [
        Text::_('PLG_PRIVACY_BOOKINGS') => [
            Text::_('PLG_PRIVACY_BOOKINGS_CAPABILITY_NAME'),
            Text::_('PLG_PRIVACY_BOOKINGS_CAPABILITY_PHONE'),
        ],
    ];
}

11.3 Anonimiseren in plaats van verwijderen

Bij een verwijdering is een regel wissen niet altijd juist. Verwijder je een boeking helemaal, dan breek je misschien een factuur die wettelijk bewaard moet blijven. Het gangbare patroon is anonimiseren: vervang de naam, e-mail en telefoon door neutrale plaatshouders en houd de structuur van het record intact.

UPDATE #__bookings
SET customer_name  = 'Removed',
    customer_email = CONCAT('removed-', id, Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.'),
    customer_phone = ''
WHERE customer_email = :email;

Wat je ook kiest, bind de e-mail altijd als parameter in plaats van die in de SQL te plakken. Joomla's query builder maakt dit makkelijk met ->bind(':email', $request->email). De querystring met de hand opbouwen opent een SQL-injectiegat in precies de gegevens die je probeert te beschermen.

Anonimiseren voldoet aan het recht op verwijdering van persoonsgegevens en behoudt tegelijk het niet-persoonlijke boekhoudspoor. Kies alleen verwijderen als geen enkele andere verplichting je dwingt de regel te bewaren.

11.4 Wanneer je een verwijdering blokkeert

Soms is het juiste antwoord op een verwijdering "nog niet". Je onPrivacyCanRemoveData-handler is de plek waar je dat zegt, met een duidelijke reden die de beheerder kan lezen. Veelvoorkomende, verdedigbare blokkades zijn:

• Een onbetaalde factuur of een openstaande bestelling.
• Een actief abonnement of lidmaatschap.
• Een wettelijke bewaartermijn, zoals belastinggegevens die je jaren moet bewaren.
• Een lopend geschil, terugboeking of fraudeonderzoek.

Blokkeren is geen weigering van de rechten van de persoon; het is een gedocumenteerde pauze zolang een sterkere wettelijke verplichting geldt. Leg vast waarom, en verwijder de gegevens zodra de verplichting eindigt.

11.5 Houd exports schoon en veilig

Een export wordt gelezen door de persoon, en soms door een toezichthouder, dus ontwerp die voor hen, niet voor je database. Twee regels zijn het belangrijkst:

• Maak het leesbaar. Geef betekenisvolle domains en items terug ("Profiel", "Boekingen", "Nieuwsbriefstatus"), geen ruwe tabeldumps of geserialiseerde blobs.
• Lek nooit meer dan de persoon. Een export mag alleen de gegevens van dat individu bevatten. Houd records van andere gebruikers, interne tokens, API-sleutels, wachtwoordhashes en configuratiegeheimen eruit.

Te veel delen in een export is zelf een datalek. Bij twijfel: neem minder op en label het duidelijk.

13. IP-adressen, logs en andere persoonsgegevens

13.1 De link met de actielog

De makkelijkst vergeten opslag van persoonsgegevens is de actielog, want een IP-adres telt onder de AVG als persoonsgegeven. De plugin plg_privacy_actionlogs verbindt de twee systemen: exporteer je de gegevens van een persoon, dan worden zijn actielog-regels meegenomen, en een verwijdering kan ze schoonvegen.

Zet je IP-logging in de actielog aan, schrijf dat dan in je privacybeleid en stel een bewaartermijn in. Een IP voor altijd bewaren is moeilijk te rechtvaardigen; een venster van 90 dagen voor beveiliging is makkelijk te verdedigen.

13.2 Gegevens die de suite niet ziet

De Privacy Suite kent alleen gegevens die een privacyplugin meldt. Het kan niet bij:

• Persoonsgegevens binnen een extensie van derden zonder privacyplugin.
• Gegevens in externe systemen, zoals een nieuwsbriefplatform of een betaalprovider.
• Back-ups en databasedumps die buiten Joomla worden bewaard.

Als je een verwijderingsverzoek beantwoordt, denk dan aan de gegevens buiten Joomla's bereik. Een volledige wissing betekent vaak een paar handmatige stappen naast de knop in com_privacy.

13.3 Ontdekken waar persoonsgegevens zich verstoppen

Voordat je erop vertrouwt dat een export volledig is, ontdek waar persoonsgegevens echt staan. Een snelle auditquery somt elke kolom op die op een e-mailadres lijkt in de hele database:

SELECT TABLE_NAME, COLUMN_NAME
FROM   INFORMATION_SCHEMA.COLUMNS
WHERE  TABLE_SCHEMA = DATABASE()
  AND  COLUMN_NAME LIKE '%email%'
ORDER  BY TABLE_NAME, COLUMN_NAME;

Herhaal het voor %phone%, %ip% en %name%. Elke tabel die opduikt maar geen bijbehorende privacyplugin heeft, is een blinde vlek in je export en verwijdering. Deze query vervangt geen echte privacyplugins; hij vertelt je welke je nog moet schrijven of installeren.

15. Veelgemaakte fouten en valkuilen

15.1 "De bevestigingsmail komt nooit aan"

Symptoom: een verzoek blijft eeuwig op Bevestiging in behandeling staan, en de gebruiker zegt dat hij niets kreeg.

Oplossing: de suite gebruikt Joomla's mailer. Controleer Systeem → Globale configuratie → Server → E-mail en stuur een test. Op een lokale stack bevestigt een onderschepper als MailHog of Joomla het bericht wel echt verstuurde. Geen werkende mail betekent geen privacyproces.

15.2 "Ik schakelde Privacy Consent in en sloot iedereen buiten"

Symptoom: elke ingelogde gebruiker wordt naar een toestemmingsformulier gestuurd, jij ook.

Oplossing: dit is verwacht gedrag, maar het heeft een echt beleid nodig om naar te wijzen. Publiceer het privacy-artikel voordat je de plugin inschakelt en selecteer het in de instelling Privacy-artikel van de plugin. Dan heeft het toestemmingsformulier iets te tonen.

15.3 "De export mist gegevens"

Symptoom: een export bevat geen berichten, contacten of de gegevens van een extensie van derden.

Oplossing: een privacyplugin draagt alleen bij zolang die is ingeschakeld. Controleer dat elke relevante privacy-plugin aanstaat, en onthoud dat extensies zonder privacyplugin onzichtbaar zijn voor de export.

15.4 "Een verwijdering deed niets"

Symptoom: je klikt op Gegevens verwijderen en het account blijft bestaan.

Oplossing: een plugin hield het tegen. De gebruikersplugin weigert een Super User te verwijderen. Verlaag de groep van het account of draag eerst de inhoud over en probeer opnieuw, of handel dat account met de hand af.

15.5 "We verwijderden de gebruiker, maar de gegevens kwamen terug in een back-up"

Symptoom: een verwijderde persoon duikt na een herstel weer op.

Oplossing: wissing moet back-ups in je bewaarbeleid meenemen. Oude back-ups kun je meestal niet bewerken, dus documenteer dat persoonsgegevens een vastgestelde periode in back-ups blijven en bij de rotatie worden overschreven.

15.6 "Privacy staat niet in mijn menu"

Symptoom: je kunt de Privacy-schermen niet vinden.

Oplossing: ze staan onder Gebruikers, niet onder Systeem, en de ACL verbergt ze voor iedereen zonder toegang tot de component. Controleer de groepsrechten van het account.

17. In het kort

DASHBOARD     Gebruikers → Privacy  (de kop zelf)
VERZOEKEN     Gebruikers → Privacy → Verzoeken
TOESTEMMING   Gebruikers → Privacy → Toestemmingen
MOGELIJKHEDEN Gebruikers → Privacy → Mogelijkheden
OPTIES        Gebruikers → Privacy → Verzoeken → Opties
URGENTE DAGEN Opties → Aantal dagen voordat verzoek urgent is (standaard 14)
CONSENT-PLUG  Systeem → Plugins → System - Privacy Consent
VOORWAARDEN   Systeem → Plugins → User - Terms and Conditions
PLUGINGROEP   privacy (user, contact, message, consents, actionlogs)
TABELLEN      #__privacy_requests, #__privacy_consents
VERZOEKTYPE   export  |  remove
STATUSSEN     bevestiging in behandeling → bevestigd → voltooid | ongeldig
EXPORTFORMAAT XML, opgebouwd uit plugin-domains en items
EVENTS        onPrivacyCollectAdminCapabilities, onPrivacyExportRequest,
              onPrivacyCanRemoveData, onPrivacyRemoveData
REST-API      geen in core (bewust)
E-MAILSJABL.  Systeem → Sjablonen → E-mailsjablonen
NIET GEDEKT   cookietoestemming, analytics/marketing-opt-ins
SINDS         Joomla 3.9 (mei 2018)