Waarom GDPR meer is dan een cookiebanner

Zodra uw website persoonsgegevens verwerkt, valt hij onder de Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR). Dat geldt al bij een contactformulier, een nieuwsbrief-inschrijving, een analysetool of een ingebedde kaart. In België is de Gegevensbeschermingsautoriteit (GBA) de toezichthouder.

Veel KMO's denken dat een cookiebanner volstaat. In werkelijkheid is de banner één onderdeel van een grotere set verplichtingen: informeren, een rechtsgrond hebben, gegevens beperken, verwerkers regelen en incidenten kunnen afhandelen.

GDPR-conformiteit is geen eenmalige vinkjeslijst — het is een doorlopende verantwoordelijkheid die begint bij hoe uw website is gebouwd.

De basis: privacyverklaring en cookiebeleid

Wie persoonsgegevens verzamelt, moet de betrokkenen daarover informeren (artikel 13 AVG). Concreet heeft uw website minstens nodig:

  • Een privacyverklaring die zegt wie u bent, welke gegevens u verwerkt, waarom, op welke rechtsgrond, hoe lang u ze bewaart, met wie u ze deelt en hoe mensen hun rechten uitoefenen.
  • Een cookiebeleid dat per cookie of tracker uitlegt wat hij doet, wie hem plaatst en hoe lang hij blijft bestaan.
  • Een contactpunt voor privacyvragen, bij voorkeur een eigen e-mailadres dat effectief gelezen wordt.

Beide documenten moeten vanaf elke pagina bereikbaar zijn (doorgaans via de footer) en moeten kloppen met wat uw website écht doet. Een gekopieerde tekst van een andere site die niet overeenkomt met uw tools, is een risico.

Contactformulieren: informeren, beperken, bewaren

Een contactformulier is voor de meeste KMO's de belangrijkste bron van persoonsgegevens. Drie regels volstaan als vertrekpunt:

  • Informeer bij het formulier zelf: een korte zin met een link naar de privacyverklaring.
  • Beperk de velden tot wat u nodig hebt om te antwoorden. Een telefoonnummer verplicht maken terwijl u per e-mail antwoordt, is overbodig.
  • Bepaal een bewaartermijn en pas die toe. Aanvragen die u nooit opvolgt, hoeven niet jaren in uw mailbox of CRM te blijven staan.

Controleer ook waar de ingediende gegevens terechtkomen: mailserver, CRM, spamfilter. Elk van die systemen is een schakel in uw verwerking. Houd antispam-oplossingen zoals Turnstile of reCAPTCHA vermeld in uw privacyverklaring wanneer ze gegevens van bezoekers verwerken.

Een formulier dat zonder toestemming een nieuwsbriefinschrijving meestuurt, is een klassieke fout. Marketingmails vragen een aparte, actieve keuze — geen voorgeaard vakje.

Cookies, analytics en doorgifte naar de VS

De GBA publiceert een cookiechecklist met de kernregels. De belangrijkste:

  • Niet-essentiële cookies mogen pas ná voorafgaande toestemming worden geplaatst.
  • Doorsurfen of scrollen is geen toestemming.
  • Er mogen geen voorgeaarde vakjes zijn.
  • Strikt noodzakelijke cookies zijn vrijgesteld van toestemming.
  • De toegang tot de website mag niet worden geweigerd omdat iemand cookies weigert.

De GBA heeft hierover ook een beslissing genomen (beslissing 176/2025 van 3 november 2025) die u terugvindt op haar website. De GBA vraagt op haar eigen site trouwens toestemming voor haar analytics: een goed signaal dat ook "lichte" meettools onder de regels vallen.

Gebruikt u Google Analytics, Meta Pixel of een andere dienst van een Amerikaanse aanbieder, dan gaat het ook om doorgifte van gegevens naar een derde land. Controleer of de aanbieder onder het EU-US Data Privacy Framework valt of dat een andere geldige doorgiftemechanisme bestaat, en vermeld de doorgifte in uw privacyverklaring.

Verwerkers in kaart brengen

Elke externe partij die in uw opdracht gegevens verwerkt, is een verwerker: uw hostingpartij, uw e-mailprovider, uw CMS, uw nieuwsbriefdienst, uw analysetool. Met elk van hen hoort u een verwerkersovereenkomst te hebben (artikel 28 AVG). Meestal accepteert u die online in de algemene voorwaarden of het dashboard, maar u moet weten dat ze bestaat.

Maak een eenvoudige lijst: welke partij, welke gegevens, in welk land, onder welke overeenkomst. Dat is ook de basis voor uw verwerkingsregister (artikel 30); de uitzondering voor organisaties met minder dan 250 werknemers is beperkt en geldt bijvoorbeeld niet voor verwerkingen die niet occasioneel zijn.

Twee termijnen om te kennen: een datalek moet binnen 72 uur na kennisname aan de GBA worden gemeld wanneer het een risico inhoudt voor de betrokkenen (artikel 33), en een verzoek van een betrokkene beantwoordt u binnen één maand (artikel 12, lid 3). Een goed onderhouden website maakt beide veel makkelijker; lees ook waarom regelmatig website-onderhoud voor KMO's onmisbaar is.

Boetes en risico's

De AVG voorziet in administratieve geldboetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet voor de zwaarste inbreuken, en tot 10 miljoen euro of 2% voor andere (artikel 83). In de praktijk zijn bedragen voor een KMO veel lager en hangen ze af van de ernst, de duur en uw medewerking. Het reële risico voor de meeste KMO's is eerder een klacht, een onderzoek, reputatieschade en het vertrouwen van klanten.

De checklist: 12 punten voor uw website

  1. Een volledige privacyverklaring, bereikbaar vanaf elke pagina.
  2. Een cookiebeleid dat overeenkomt met de tools die effectief draaien.
  3. Een cookiebanner die niet-essentiële cookies blokkeert tot de bezoeker kiest.
  4. Weigeren is even makkelijk als accepteren.
  5. Geen voorgeaarde vakjes en geen toestemming via scrollen of doorklikken.
  6. Contactformulieren met een korte privacymelding en alleen de noodzakelijke velden.
  7. Aparte, actieve toestemming voor nieuwsbrieven en marketing.
  8. Een bewaartermijn voor formulierdata, mails en CRM-gegevens.
  9. Een lijst van verwerkers (hosting, e-mail, analytics, nieuwsbrief) met verwerkersovereenkomsten.
  10. Doorgiften buiten de EU gekend en vermeld.
  11. Een procedure voor datalekken (72 uur) en voor verzoeken van betrokkenen (één maand).
  12. Een vast moment per jaar waarop u dit alles nakijkt, en telkens als u een nieuwe tool toevoegt.

Veelgestelde vragen

Heeft elke KMO-website een privacyverklaring nodig?

Ja, zodra de website persoonsgegevens verwerkt. Dat is al het geval bij een contactformulier, serverlogs, analytics of een nieuwsbrief. Een website zonder enige verwerking is zeldzaam.

Moet mijn KMO een functionaris voor gegevensbescherming (DPO) aanstellen?

Meestal niet. Een DPO is verplicht voor overheidsinstanties en voor organisaties die op grote schaal personen systematisch monitoren of op grote schaal bijzondere categorieën van gegevens verwerken (artikel 37). Twijfelt u, laat u dan juridisch adviseren.

Mag ik Google Analytics gebruiken?

Het kan, maar met toestemming van de bezoeker vóór het laden, een correcte vermelding in uw privacyverklaring en aandacht voor de doorgifte naar de VS. Privacyvriendelijker alternatieven bestaan; ook die vragen een afweging.

Hoe weet ik of mijn website conform is?

Open uw site in een privévenster, weiger alle cookies en kijk in de browserontwikkelaarstools welke cookies en verzoeken toch geladen worden. Vergelijk dat met uw cookiebeleid en privacyverklaring. Voor een formele beoordeling hebt u een jurist of privacyspecialist nodig.

Bronnen

Conclusie: een GDPR-conforme website is een kwestie van goede basis en onderhoud: duidelijke documenten, beperkte gegevens, geregelde verwerkers en een banner die doet wat hij belooft. Dit is algemene informatie en geen juridisch advies. Wilt u uw website technisch laten nakijken of laten bouwen met privacy als vertrekpunt? Neem contact op of bekijk onze pakketten.