GDPR checklist voor je website: twintig punten

Een GDPR checklist voor je website overloopt zes blokken: formulieren, cookies en meting, verwerkers, bewaren en register, datalekken en de rechten van wie je gegevens verzamelt. Dit sjabloon zet ze in twintig punten, elk met de manier om het zelf na te kijken. In het Excel-bestand kies je per punt een status, en het blad toont per blok hoeveel procent klaar is.

De checklist gaat over je website: wat een bezoeker invult, wat je meet en wie die gegevens voor je bewaart. Het is geen volledige AVG-audit van je bedrijf en vervangt geen advocaat; voor een juridische vraag, zoals welke grondslag je voor een verwerking gebruikt, ga je naar een advocaat. Wat het wel is: de lijst waarmee je in een namiddag ziet waar je site staat. Je downloadt ze zonder e-mailadres.

De zes blokken en waarom ze tellen

Begin bij cookies. Het is het blok dat een bezoeker meteen ziet, dat de toezichthouder het makkelijkst kan nakijken, en waar de meeste sites fouten maken. Of je een banner nodig hebt, lees je in is een cookiebanner verplicht.

Formulieren en cookies: de punten die een bezoeker ziet

Een contactformulier vraagt vaak meer dan nodig: een telefoonnummer en een bedrijfsnaam voor een vraag die per mail beantwoord kan worden. Elk veld moet een doel hebben dat je kan uitleggen, in een zin bij het formulier met een link naar je privacyverklaring. De nieuwsbrief krijgt een eigen vakje dat leeg start; een vooraf aangevinkt vakje is geen toestemming. En inzendingen blijven niet jaren in een gedeelde mailbox staan. Wie zijn formulier tegen spam beschermt zonder een cookie van Google, leest spam via contactformulier.

Voor cookies is de Belgische lijn streng. De Gegevensbeschermingsautoriteit vraagt een knop om alles te aanvaarden en een om alles te weigeren op de eerste laag van de banner, geen vooraf aangevinkte vakjes, en ze kent geen vrijstelling voor analytische cookies. Dezelfde regel geldt voor pixels en local storage, niet alleen voor cookies in de enge zin. De keuze bewaar je en de bezoeker kan ze later wijzigen; zes maanden bewaren noemt de toezichthouder in beginsel redelijk.

Hoe Google Ads en Analytics omgaan met wie weigert, staat in consent mode in GA4. De Europese plannen om de cookieregels te versoepelen liggen nog op tafel; wat er nu wel en niet verandert, volg je in cookieregels en de Digital Omnibus.

Verwerkers: wat achter je site gebeurt

Je site draait op diensten van anderen: je hosting, de tool die je nieuwsbrief verstuurt, je analytics, het CRM waar aanvragen in belanden, de dienst achter je formulier. Elk van die diensten verwerkt persoonsgegevens voor jou. Dan heb je met elk een verwerkersovereenkomst nodig. Bij grote aanbieders zit ze in de voorwaarden; kijk ze na, en noteer waar je ze vond. Staan de gegevens buiten de Europese Economische Ruimte, dan regelt de overeenkomst ook de doorgifte, meestal met de standaardcontractbepalingen van de Europese Commissie.

Zet tweestapsverificatie op elk beheeraccount: je site, je hosting, je mailtool en je domeinnaam. Een gestolen wachtwoord van een beheerder is het meest voorkomende lek bij kleine sites. Draait je site op WordPress, lees dan ook is WordPress veilig.

Het register en hoe lang je bewaart

Het register van verwerkingen is een lijst van wat je verwerkt, waarom, van wie en hoe lang. De Gegevensbeschermingsautoriteit heeft er een model voor. Per soort gegevens een bewaartermijn: een contactaanvraag zonder vervolg hoeft geen drie jaar te blijven staan, een factuur moet je wel bewaren zolang de boekhoudregels het vragen.

Datalekken en rechten: de punten die tellen als het fout gaat

Een datalek is meer dan een hack. Een mail met klantgegevens naar de verkeerde ontvanger, een laptop die verdwijnt, een formulier dat inzendingen publiek zichtbaar maakte: allemaal lekken. Is er een risico voor de mensen van wie de gegevens zijn, dan meld je het binnen 72 uur na ontdekking bij de Gegevensbeschermingsautoriteit. Elk lek noteer je in een intern logboek, ook als je het niet meldt. Leg vooraf vast wie beslist en wie meldt: om drie uur 's nachts heb je geen tijd om dat uit te zoeken.

Iemand die vraagt welke gegevens je over hem hebt, of ze wil laten wissen, krijgt binnen een maand antwoord. Wie leest het adres waar die vragen binnenkomen? Een marketingmail heeft altijd een uitschrijflink, en wie mailt in bulk, voldoet aan de eisen die Gmail en Outlook aan afzenders stellen; hoe, lees je in nieuwsbrief schrijven. Wat je verplicht op je site zet naast de privacyverklaring, staat in ondernemingsnummer verplicht op je website en disclaimer verplicht.