AVG/GDPR compliance voor uw website: wat is verplicht?

De Algemene Verordening Gegevensbescherming (AVG), in het Engels GDPR, is sinds mei 2018 van kracht. De Autoriteit Persoonsgegevens (AP) handhaaft actief en deelt miljoenenboetes uit aan organisaties die de wet overtreden. Is uw website AVG-compliant?

Wat is de AVG precies?

De AVG beschermt de privacy van EU-burgers. Elke organisatie — bedrijf, overheid, non-profit — die persoonsgegevens verwerkt van EU-inwoners, moet aan de AVG voldoen. Persoonsgegevens zijn alle gegevens die een persoon identificeerbaar maken: naam, e-mailadres, IP-adres, cookies.

Uw website verwerkt bijna zeker persoonsgegevens als u:

• Een contactformulier heeft
• Google Analytics of Facebook Pixel gebruikt
• Cookies plaatst
• Een nieuwsbrief verstuurt
• Webshop heeft

De 7 beginselen van de AVG

1. Rechtmatigheid, behoorlijkheid en transparantie — Verwerk gegevens alleen met een geldige grondslag
2. Doelbinding — Gebruik gegevens alleen voor het opgegeven doel
3. Minimale gegevensverwerking — Vraag alleen wat u nodig heeft
4. Juistheid — Houd gegevens actueel
5. Opslagbeperking — Bewaar gegevens niet langer dan nodig
6. Integriteit en vertrouwelijkheid — Beveilig de gegevens goed
7. Verantwoordingsplicht — U kunt aantonen dat u AVG-conform handelt

Wat moet er op uw website staan?

Privacyverklaring (verplicht)

Uw privacyverklaring moet beschrijven:

• Welke gegevens u verzamelt en waarom
• Hoe lang u ze bewaart
• Met wie u ze deelt (verwerkers)
• Welke rechten betrokkenen hebben
• Wie de verwerkingsverantwoordelijke is
• Hoe iemand een klacht kan indienen

Cookiebanner (verplicht bij niet-functionele cookies)

Als u tracking cookies (analytics, marketing) gebruikt, heeft u expliciete toestemming nodig voordat cookies worden geplaatst. Een “door verder te surfen accepteert u cookies” volstaat niet.

Vereisten voor een geldige cookiebanner:

• Weigeren moet even makkelijk zijn als accepteren
• Toestemming moet actief worden gegeven (geen vooraf aangevinkte vakjes)
• U bewaart bewijs van de gegeven toestemming

Verwerkersovereenkomst

Gebruikt u diensten van derden die uw klantdata verwerken (Google Analytics, Mailchimp, Stripe)? Dan heeft u een verwerkersovereenkomst nodig met elk van die partijen.

AVG en overheidswebsites

Voor overheidsinstanties gelden extra verplichtingen:

• Functionaris voor Gegevensbescherming (FG): Overheden zijn verplicht een FG aan te stellen
• DPIA (Gegevensbeschermingseffectbeoordeling): Verplicht bij hoog-risico verwerking
• Register van verwerkingsactiviteiten: Verplicht bijhouden van alle verwerkingen
• Privacy by design: Privacybescherming inbouwen vanaf het ontwerp

Veel gemaakte fouten

Google Analytics zonder correcte instelling

Standaard Google Analytics is niet AVG-compliant. U heeft toestemming nodig en moet IP-anonimisering inschakelen. Overweeg een privacy-vriendelijk alternatief zoals Plausible of Fathom.

Contactformulier zonder SSL

Formulieren die persoonsgegevens verzenden zonder HTTPS zijn een directe overtreding.

Te lange bewaartermijnen

Formulierinzendingen van 5 jaar geleden die nog in uw database staan — dat is waarschijnlijk niet proportioneel.

Third-party scripts zonder cookiewall

Google Fonts, YouTube embeds, social media buttons — al deze scripts laden data van externe servers. Ze mogen pas laden na toestemming.

Hoe NarexPlatform u helpt

NarexPlatform bouwt websites die standaard AVG-compliant zijn:

• Cookiebanner die voldoet aan de laatste AP-richtlijnen
• Privacy-vriendelijke analytics als alternatief voor Google Analytics
• Beveiligde formulieren met encryptie en beperkte bewaartermijnen
• Geen overbodige third-party scripts die data doorsturen
• Verwerkersovereenkomsten voor alle gebruikte diensten

Wij kunnen ook bestaande websites doorlichten en advies geven over hoe u compliant wordt zonder uw website helemaal opnieuw te bouwen.

Conclusie

AVG-compliance is verplicht voor elke organisatie die persoonsgegevens verwerkt — en de handhaving wordt strenger. Wacht niet tot u een boete krijgt.

Vraag een AVG-check aan en wij analyseren uw huidige website op privacyrisico’s.