AVG en privacy check voor websites: wat moet aantoonbaar kloppen?

Veel mkb-websites denken klaar te zijn zodra er een cookiebanner staat. In werkelijkheid is de AVG breder dan cookies: hij gaat over elke verwerking van persoonsgegevens, dus ook over contactformulieren, accounts, nieuwsbrieven, betalingen, chatwidgets en analytics. De cookiebanner is daarvan slechts één zichtbaar onderdeel.

Het kernprobleem dat je bij een check wilt opsporen, is het verschil tussen belofte en praktijk. Je privacyverklaring beschrijft wat er hoort te gebeuren, maar de browser laadt scripts, plaatst cookies en stuurt data naar derde partijen zoals Google, Meta of een marketingtool. Als die twee niet overeenkomen, klopt je verhaal niet, ongeacht hoe mooi de tekst is.

Een goede privacy check werkt daarom van buiten naar binnen. Je kijkt eerst wat een bezoeker daadwerkelijk meekrijgt: welke verzoeken vertrekken er, welke cookies verschijnen er voor toestemming en welke gegevens vraag je uit. Pas daarna leg je dat naast je documentatie. Een gratis CheckBorg-scan maakt een deel van die zichtbare signalen snel inzichtelijk, zonder dat je zelf de netwerkverzoeken hoeft uit te pluizen.

Een privacyverklaring hoort makkelijk vindbaar te zijn, doorgaans via een link in de footer op elke pagina. Bezoekers moeten hem kunnen lezen voordat ze een formulier invullen of een account aanmaken, niet pas achteraf. Een verklaring die je alleen via een omweg of via de cookiebanner bereikt, schiet zijn doel voorbij.

Belangrijker dan de vindbaarheid is dat de inhoud aansluit op de werkelijke verwerking. Een verklaring die nog spreekt over een oude analyticstool, een verdwenen nieuwsbriefdienst of een chatfunctie die je niet meer gebruikt, ondermijnt vertrouwen en klopt simpelweg niet. Andersom is het minstens zo schadelijk wanneer je een nieuwe tool toevoegt en de verklaring vergeet bij te werken.

Controleer of de verklaring per verwerking benoemt welke gegevens je verzamelt, met welk doel, op welke grondslag en hoe lang je ze bewaart. Noem ook de partijen waarmee je deelt en hoe bezoekers hun rechten kunnen uitoefenen, zoals inzage of verwijdering. Schrijf het in begrijpelijke taal: een juridisch correcte maar onleesbare tekst voldoet wel aan de letter, maar niet aan de bedoeling van de AVG.

De kern van de cookieregels is de volgorde. Niet-noodzakelijke cookies en trackingscripts, denk aan marketingpixels, analytics met persoonsgegevens en social embeds, mogen pas laden nadat de bezoeker daar actief toestemming voor heeft gegeven. Een banner die alleen meldt dat je cookies gebruikt terwijl de scripts al draaien, voldoet niet.

Let bij een check op een paar concrete punten. Worden er trackingcookies geplaatst voordat je iets aanklikt? Is weigeren even makkelijk als accepteren, of staat er alleen een grote groene knop en is afwijzen verstopt? Kun je je keuze later weer aanpassen? Een toestemming die je niet kunt intrekken, is geen geldige toestemming.

Maak onderscheid tussen categorieën. Functionele cookies die nodig zijn om de website te laten werken, zoals een winkelmandje of een ingelogde sessie, vragen meestal geen toestemming. Statistiek- en marketingcookies wel. Veel websites schieten hier de fout in door alles op één hoop te gooien of door een tool te gebruiken die de banner toont maar de scripts niet daadwerkelijk blokkeert tot na toestemming. Test dat altijd in de browser en vertrouw niet blind op de instellingen van de cookieplugin.

Elk formulier op je website is een verwerking van persoonsgegevens. Het principe van dataminimalisatie zegt: vraag alleen wat je echt nodig hebt. Een contactformulier dat naam, e-mail en bericht uitvraagt is logisch. Een formulier dat daarbovenop geboortedatum, adres of telefoonnummer verplicht stelt zonder duidelijke reden, verzamelt te veel.

Zorg dat bij elk formulier helder is waar de gegevens heen gaan en waarvoor ze worden gebruikt. Een korte verwijzing naar de privacyverklaring bij het verzendpunt helpt, zeker bij gevoeligere acties zoals een offerteaanvraag of accountregistratie. Vermijd vooraf aangevinkte vakjes voor bijvoorbeeld een nieuwsbrief: toestemming moet een bewuste handeling zijn.

Kijk ook naar de techniek achter het formulier. Verstuurt het over een beveiligde HTTPS-verbinding? Komt de inzending terecht in een tool of mailbox die voldoende beveiligd is? Worden gegevens niet langer bewaard dan nodig? Formulieren zijn vaak de plek waar privacybeloftes en praktijk het verst uit elkaar liggen, juist omdat ze in de loop van de tijd worden uitgebreid zonder dat iemand de privacygevolgen opnieuw bekijkt.

Veel privacyrisico's komen niet van je eigen code, maar van externe scripts die je inlaadt. Een ingesloten YouTube-video, een Google Maps-kaart, een Facebook-pixel, een livechat of een lettertype dat je rechtstreeks bij een externe partij ophaalt: elk daarvan kan gegevens van je bezoeker doorsturen naar een derde, vaak nog voordat er toestemming is gegeven.

Bij een check wil je weten welke partijen meekijken. Open de website en bekijk welke externe verzoeken er vertrekken en welke cookies van derden verschijnen. Komt daar een trackingdomein langs dat je niet in je privacyverklaring noemt, dan heb je een gat. Dit is precies het type signaal dat zichtbaar is van buitenaf en waar een scan je op kan attenderen.

De oplossing is meestal niet om alles te verwijderen, maar om het bewust te beheren. Laad externe embeds pas na toestemming, gebruik privacyvriendelijke alternatieven waar dat kan en zorg dat elke externe partij die persoonsgegevens verwerkt ook in je documentatie staat, idealiter met een verwerkersovereenkomst. Het doel is dat er geen onzichtbare datastromen zijn die je verhaal tegenspreken.

Voor webbureaus en marketeers is privacy zelden een eenmalige oplevering. Websites veranderen: er komt een nieuwe tracking tag bij via de tagmanager, een marketeer plaatst een extra pixel, een plugin-update verandert het cookiegedrag. Daardoor kan een website die bij livegang netjes klopte, maanden later stilletjes uit de pas lopen.

Maak privacy daarom onderdeel van je periodieke onderhoud, naast SSL, SEO en performance. Een terugkerende controle van cookies, trackers en de privacyverklaring voorkomt dat klanten ongemerkt risico opbouwen. Het maakt bovendien zichtbaar welke waarde je levert: je kunt aantonen dat je niet alleen bouwt, maar ook bewaakt.

Gebruik concrete signalen in je klantrapportage. Benoem welke externe partijen meeladen, of de toestemming technisch wordt gerespecteerd en of de verklaring nog actueel is. Vertaal dat naar risico en actie, niet naar jargon. Een herhaalbare CheckBorg-scan helpt om die zichtbare punten consistent te meten en de verandering tussen twee momenten aantoonbaar te maken, zodat onderhoud bespreekbaar en verkoopbaar wordt.