GDPR website: wat je site nodig heeft om in orde te zijn

Wat heeft een GDPR-conforme website nodig? Zes dingen: een privacyverklaring die zegt wat je verzamelt en waarom, toestemming voor elke cookie of tracker die niet strikt nodig is, formulieren die alleen vragen wat je nodig hebt, een verwerkersovereenkomst met elke dienst die persoonsgegevens voor je verwerkt, beveiliging die past bij het risico, en een plan voor gegevens die de EU verlaten. Een cookiebanner is er een van de zes, niet het hele werk.

In België heet de GDPR de AVG, de Algemene Verordening Gegevensbescherming, en de Gegevensbeschermingsautoriteit (GBA) houdt toezicht. Deze gids loopt de zes vereisten af, beantwoordt de vraag over Google Analytics, en gebruikt onze eigen site als voorbeeld: vbsmarketing.eu meet bezoekers zonder cookies en stuurt niets naar een derde. Het is de technische kant; voor advies over je eigen situatie ga je naar een advocaat.

De zes vereisten voor een GDPR-conforme website

Boetes gaan tot 20 miljoen euro of 4 procent van de wereldwijde omzet, maar het gewone risico voor een kmo is een klacht bij de GBA, een bevel om in orde te komen en de tijd die het kost om te antwoorden.

Een voorbeeld van een GDPR website: de onze

De site die je nu leest, is een statische export op Amazon S3 achter CloudFront. Er draait geen database op de webserver en geen plugin die bijgewerkt moet worden. Drie stromen raken persoonsgegevens of zouden het kunnen:

1. Het bezoek. Een kleine functie op AWS (Lambda) telt de pagina, de bron en een eventuele campagnecode, en schrijft dat weg in een database (DynamoDB) in Stockholm, binnen de EU. Ze zet geen cookie en leest niets van het toestel, dus er valt niets te vragen en er gaat niets naar Google of Meta.
2. Het contactformulier. Een verstuurd formulier gaat naar onze eigen functie op AWS, die bots eruit filtert en het bericht per mail doorstuurt via Amazon SES. We vragen een naam, een e-mailadres, optioneel een telefoonnummer, en het bericht. Dezelfde formulierdienst verwerkt de contactformulieren van elf klantdomeinen.
3. Lettertypes en beelden. Komen van ons eigen domein, dus bij het laden vertrekt er geen verzoek naar een lettertypedienst.

Daarom kan onze privacyverklaring kort blijven, en daarom staat er geen cookiebanner op deze site. Het is een keuze met een prijs: we zien minder detail dan Google Analytics zou geven, en we kunnen geen doelgroepen bouwen voor advertenties. Voor de meeste kmo-sites is die ruil het waard; voor een site die fors adverteert, misschien niet.

Is Google Analytics in orde onder de GDPR?

Het kan, onder voorwaarden. In 2022 oordeelden de Oostenrijkse, Franse en Italiaanse toezichthouders dat bepaalde vormen van Google Analytics de AVG schonden, omdat persoonsgegevens zonder voldoende bescherming naar de Verenigde Staten gingen. Op 10 juli 2023 nam de Europese Commissie het EU-VS Data Privacy Framework aan, dat doorgifte naar gecertificeerde Amerikaanse bedrijven dekt, Google inbegrepen. Sindsdien is de doorgifte voor de meeste toepassingen geregeld, zolang dat kader standhoudt.

Wat blijft, is toestemming. Analytics zet cookies en verwerkt persoonsgegevens, dus de bezoeker moet eerst ja zeggen. De GBA is daar duidelijk over: een analytische cookie is in principe niet strikt noodzakelijk. Consent mode verandert dat niet: het is het mechanisme dat de tags van Google vertelt of de bezoeker ja zei. Sinds 15 juni 2026 haalt Google Ads zijn gegevens uit Analytics alleen nog via consent mode; zie consent mode in Google Analytics. Hoe je het instelt, staat in Google Analytics 4 instellen.

Server-side tagging wordt vaak verkocht als manier om de banner te omzeilen. Dat klopt niet; waarom, lees je bij server side tracking.

Meten zonder cookies

Wil je alleen weten hoeveel mensen langskomen, van waar en hoeveel er een aanvraag doen, dan volstaat een meting zonder cookies, en blijft de banner van je site. De voorwaarde is dat er niets op het toestel van je bezoeker bewaard of uitgelezen wordt en dat geen kenmerk een persoon over bezoeken heen volgt. Zo meet onze eigen site, en de site van Business Centrum op dezelfde manier. Of je wel een banner nodig hebt, staat in cookiebanner verplicht.

Formulieren, mail en de diensten erachter

Elk formulier op je site stuurt persoonsgegevens ergens heen: een mailbox, een CRM, een nieuwsbrieftool. Elk van die diensten verwerkt gegevens voor jou en heeft een verwerkersovereenkomst nodig; de meeste bieden er een aan in hun voorwaarden. Vraag alleen wat je nodig hebt, zeg in een zin naast het formulier wat je ermee doet, en hou bij waar de gegevens terechtkomen. Een formulier dat misbruikt wordt, is ook een beveiligingsprobleem; de filters staan in spam via je contactformulier.

Hosting en beveiliging

De AVG verplicht geen hosting binnen de EU, wel dat je weet waar gegevens naartoe gaan en op welke grond. Een Europese host, of een Amerikaanse in een EU-regio, houdt die vraag eenvoudig. Onze sites draaien op AWS in EU-regio's, met de meetdatabase in Stockholm. Beveiliging telt even zwaar: HTTPS met een geldig SSL-certificaat, updates, tweestapsverificatie op elk beheeraccount, en een plan voor als het misloopt. Een datalek met persoonsgegevens meld je binnen 72 uur bij de GBA; het draaiboek staat in website gehackt.

Als een bezoeker zijn gegevens opvraagt

Wie via je formulier contact opnam, mag vragen welke gegevens je over hem bewaart, ze laten verbeteren of laten wissen. Je antwoordt binnen een maand, gratis, en je moet de persoon kunnen identificeren voor je iets doorgeeft. Dat lukt alleen als je weet waar je gegevens staan: in je mailbox, je CRM, je nieuwsbrieftool en je boekhouding. Leg die plekken vast in je register van verwerkingen; een kmo met een eenvoudige site heeft daar meestal genoeg aan een korte lijst. Gegevens die je wettelijk moet bewaren, zoals facturen, wis je niet, maar je zegt wel waarom.

Je privacyverklaring, en wat er verandert

In de privacyverklaring komen de zes samen: wie verantwoordelijk is, wat je verzamelt, waarom en op welke grond, hoe lang, wie het krijgt, waar het de EU verlaat en hoe bezoekers hun rechten uitoefenen. Of je er een nodig hebt en wat erin moet, staat in privacyverklaring verplicht. De Europese regels over cookies worden mogelijk soepeler voor sommige doelen met weinig risico; hoe ver dat staat, lees je in cookieregels in de Digital Omnibus. Tot dat wet is, gelden de regels van vandaag.