De GDPR (in het Nederlands AVG, de Algemene Verordening Gegevensbescherming) geldt voor elk bedrijf dat persoonsgegevens verwerkt. Je website is daar vaak het eerste contactpunt: een contactformulier, statistieken, een nieuwsbrief of een ingesloten video verwerken allemaal persoonsgegevens. Deze checklist toont waar je op let. Ze is een praktische leidraad, geen juridisch advies; bij twijfel raadpleeg je een specialist.
1. Een duidelijke privacyverklaring
Je privacyverklaring vertelt in begrijpelijke taal welke gegevens je verzamelt, waarom, op welke rechtsgrond, hoe lang je ze bewaart, met wie je ze deelt en welke rechten bezoekers hebben. Link ernaar in de footer en bij elk formulier. Een gekopieerde standaardtekst die niet klopt met wat je website echt doet, is erger dan geen tekst.
2. Cookies: eerst toestemming
Volgens de Gegevensbeschermingsautoriteit (GBA) heb je voor alle cookies en gelijkaardige technieken toestemming nodig, behalve voor wat strikt noodzakelijk is. Let op:
- niet-noodzakelijke cookies worden pas geplaatst na toestemming;
- weigeren is even makkelijk als aanvaarden, met een knop op hetzelfde niveau;
- geen vooraf aangevinkte vakjes, en verder surfen is geen toestemming;
- toestemming per doel (bijvoorbeeld statistieken apart van marketing);
- bezoekers kunnen hun keuze altijd en eenvoudig aanpassen of intrekken;
- een cookiebeleid dat elke cookie beschrijft.
Nuttig? Ontvang praktische tips over websites, SEO, GEO en meten in je mailbox. Schrijf je in op de nieuwsbrief en krijg de gratis gids erbij.
3. Formulieren: vraag enkel wat je nodig hebt
Dataminimalisatie is een kernprincipe van de GDPR. Heb je voor een offerte geen geboortedatum nodig, vraag die dan niet. Vermeld bij elk formulier waarvoor je de gegevens gebruikt. En verbind een nieuwsbrief nooit stilzwijgend aan een contactformulier: daarvoor is een aparte, niet vooraf aangevinkte toestemming nodig.
4. Nieuwsbrief met dubbele bevestiging
Met een double opt-in bevestigt de inschrijver via een link in zijn mailbox dat hij de nieuwsbrief wil. Zo kan je aantonen dat de toestemming echt van de eigenaar van het e-mailadres kwam. Elke mail bevat een uitschrijflink die meteen werkt.
5. Externe diensten op je website
Lettertypes van Google Fonts, een YouTube-video, een Google Maps-kaartje, een chatwidget of een advertentiepixel: bij elk paginabezoek gaat het IP-adres van je bezoeker naar dat bedrijf. Een Duitse rechtbank oordeelde in 2022 dat het laden van Google Fonts zonder toestemming een inbreuk was. De veilige aanpak:
- host lettertypes en afbeeldingen op je eigen server;
- laad video's en kaarten pas na een klik ("klik om de kaart te tonen");
- gebruik enkel advertentiepixels na toestemming.
6. Een verwerkersovereenkomst met je webbouwer en hostingpartij
Bewaart je webbouwer of hostingpartij persoonsgegevens voor jou, zoals formulierinzendingen? Dan is hij een verwerker, en sluit je een verwerkersovereenkomst af die vastlegt wat hij met die gegevens mag doen, hoe ze beveiligd worden en wie zijn subverwerkers zijn.
7. Beveiliging
- de hele website draait op https;
- software wordt tijdig bijgewerkt (een groot risico bij CMS-plugins, lees WordPress of website op maat);
- regelmatige back-ups, die je ook kan terugzetten;
- beheerders loggen in met tweestapsverificatie (MFA);
- enkel wie het nodig heeft, krijgt toegang tot persoonsgegevens.
8. Bewaartermijnen
Bewaar gegevens niet langer dan nodig. Een aanvraag die geen klant werd, hoeft niet jaren in je mailbox of database te blijven. Leg per soort gegevens een termijn vast en ruim automatisch op.
9. Rechten van bezoekers
Iedereen mag vragen welke gegevens je over hem hebt, ze laten verbeteren of verwijderen, of zich verzetten tegen marketing. Zorg dat je zulke verzoeken binnen een maand kan beantwoorden, en dat je weet waar alle gegevens zitten: website, mailbox, boekhouding, nieuwsbriefprogramma.
10. Datalekken en je register
Een datalek met risico voor de betrokkenen moet je binnen 72 uur na ontdekking melden aan de Gegevensbeschermingsautoriteit. Houd daarnaast een register van verwerkingsactiviteiten bij: een overzicht van welke persoonsgegevens je verwerkt, waarvoor en hoe lang. Ook kleine ondernemingen moeten dat in de meeste gevallen doen.
Wat riskeer je?
De GDPR voorziet boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Voor een kmo is het grootste risico echter vaak een klacht van een bezoeker, een tussenkomst van de GBA of reputatieschade. Een website die privacy goed regelt, wekt bovendien vertrouwen.
Hoe DCE Services dit aanpakt
Deze website laadt niets van externe partijen: lettertypes en afbeeldingen staan op onze eigen server. Statistieken meten we zelf, zonder Google Analytics en zonder advertentiepixels, en enkel met toestemming. Weigeren is even makkelijk als aanvaarden. De nieuwsbrief werkt met dubbele bevestiging. Diezelfde aanpak bouwen we in elke website op maat, met een beheerpaneel dat de gegevens van je bezoekers bij jou houdt. Lees ook hoe je conversies meet zonder Google Analytics.