GDPR en je website: waar moet je op letten?

GDPR en je website: waar moet je op letten?

De AVG, in het Engels GDPR, is de Europese privacywetgeving die van toepassing is op iedereen die persoonsgegevens verwerkt van EU-inwoners. Als je een website hebt die bezoekers uit de EU heeft, val je onder de AVG. In dit artikel leg ik je in begrijpelijke taal uit wat de AVG betekent voor jouw website en wat je minimaal moet regelen.

Wat is de AVG/GDPR?

De Algemene Verordening Gegevensbescherming (AVG), internationaal bekend als GDPR (General Data Protection Regulation), is een Europese wet die in 2018 van kracht is gegaan. De wet regelt hoe organisaties persoonsgegevens mogen verzamelen, opslaan en gebruiken. Persoonsgegevens zijn alle gegevens waarmee een persoon direct of indirect geïdentificeerd kan worden: naam, e-mailadres, IP-adres, telefoonnummer, locatiegegevens en meer.

Ben jij als ZZP’er ook verplicht de AVG na te leven?

Ja, ook als ZZP’er val je onder de AVG zodra je persoonsgegevens verwerkt. En dat doe je al snel: een contactformulier op je website, Google Analytics dat IP-adressen registreert, een e-maillijst met klantgegevens. De AVG geldt voor iedereen, ongeacht bedrijfsgrootte.

Wat moet je minimaal regelen voor je website?

1. Privacyverklaring

Een privacyverklaring is verplicht als je persoonsgegevens verwerkt. Hierin leg je uit welke gegevens je verzamelt, waarvoor je ze gebruikt, hoe lang je ze bewaart en welke rechten bezoekers hebben. Maak de privacyverklaring bereikbaar via een link in de footer van je website.

2. Cookiemelding

Als je website cookies plaatst die niet strikt noodzakelijk zijn voor de werking van de website, heb je toestemming nodig van de bezoeker. Google Analytics-cookies vereisen toestemming. Gebruik een cookiemelding die bezoekers de keuze geeft om tracking cookies te accepteren of te weigeren.

3. Contactformuliermelding

Bij je contactformulier moet je vermelden waarvoor je de gegevens gebruikt en hoe lang je ze bewaart. Een simpele zin als Door dit formulier in te sturen ga je akkoord met onze privacyverklaring met een link is voldoende.

4. Beveiliging van persoonsgegevens

De AVG vereist dat je passende technische en organisatorische maatregelen neemt om persoonsgegevens te beveiligen. Voor je website betekent dit minimaal een SSL-certificaat (HTTPS), up-to-date software en beveiligde hosting.

Google Analytics en AVG

Google Analytics verzamelt IP-adressen van bezoekers, wat persoonsgegevens zijn. Voor AVG-compliance moet je anonimisering van IP-adressen inschakelen (of GA4 gebruiken dat dit standaard doet), een cookiemelding hebben en Google Analytics vermelden in je privacyverklaring. Een AVG-vriendelijk alternatief is Matomo, dat je zelf kunt hosten zodat geen data naar externe servers gaat.

Datalekken melden

Als je een datalek hebt, waarbij persoonsgegevens per ongeluk worden blootgesteld of gestolen, ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens als het een ernstig lek betreft. Een goed beveiligde website en regelmatige back-ups zijn de beste preventie.

Conclusie

De AVG klinkt complex maar de basisvereisten voor een eenvoudige bedrijfswebsite zijn overzichtelijk. Zorg voor een privacyverklaring, een correct functionerende cookiemelding, beveiligde hosting en AVG-conforme verwerking van contactformulieren. Twijfel je of jouw website compliant is? Neem contact op voor een AVG-check.

Veelgestelde vragen

Ben ik als ZZP'er ook verplicht een privacyverklaring te hebben?

Ja, zodra je persoonsgegevens verwerkt via je website (contactformulier, nieuwsbrief, Google Analytics) ben je verplicht een privacyverklaring te hebben. Dit geldt ongeacht de grootte van je bedrijf.

Wat kost een boete bij overtreding van de AVG?

De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de jaarlijkse wereldwijde omzet. Voor kleine bedrijven zijn de boetes in de praktijk lager, maar handhaving neemt toe. Preventie is veel goedkoper dan een boete.

Heb ik een cookiemelding nodig als ik alleen Google Analytics gebruik?

Ja, Google Analytics plaatst tracking cookies en vereist expliciete toestemming. Gebruik een cookiemelding waarmee bezoekers kunnen kiezen of ze tracking cookies accepteren. Zonder toestemming mag je geen tracking cookies plaatsen.

Wat moet er minimaal in een privacyverklaring staan?

Een privacyverklaring moet minimaal bevatten: wie de verantwoordelijke is (jouw bedrijfsgegevens), welke gegevens je verzamelt, waarvoor je ze gebruikt, hoe lang je ze bewaart, met wie je ze deelt, welke rechten betrokkenen hebben en hoe ze contact kunnen opnemen.

Is een gratis privacyverklaring-template voldoende?

Een gratis template is een goed startpunt, maar pas het altijd aan op jouw specifieke situatie. Gebruik je bepaalde tools of verwerk je bijzondere persoonsgegevens, dan moet je privacyverklaring dat vermelden. Bij twijfel is juridisch advies aan te raden.