De Autoriteit Persoonsgegevens deelde in 2024 voor 8,5 miljoen euro aan boetes uit
En dat waren niet alleen de grote bedrijven. Steeds vaker worden MKB'ers aangesproken op hun privacybeleid. Een ondernemer uit Enschede kreeg 15.000 euro boete voor het plaatsen van tracking cookies zonder toestemming. De regels gelden voor iedereen.
Het goede nieuws: je website AVG-compliant maken is geen raketwetenschap. Loop deze checklist door en je bent 90% van de problemen voor.
1. Cookiebanner die echt werkt
"We gebruiken cookies om je ervaring te verbeteren. OK?" Dat is niet genoeg. De AVG en de ePrivacy-richtlijn eisen:
- Actieve toestemming - geen voorgecheckte vakjes
- Weigeren moet even makkelijk zijn als accepteren - geen dark patterns
- Specifieke categorien - de bezoeker moet kunnen kiezen: functioneel, analytisch, marketing
- Geen tracking voor toestemming - Google Analytics mag pas laden na een klik op "Accepteren"
- Toestemming bewaren - je moet kunnen bewijzen dat iemand toestemming gaf
Gratis tools: Cookiebot (gratis tot 100 pagina's), Complianz (WordPress plugin), of een custom banner met een consent management script.
2. Privacyverklaring
Verplicht voor elke website die persoonsgegevens verwerkt. En dat is vrijwel elke website (zelfs een contactformulier verwerkt persoonsgegevens).
Wat erin moet:
- Wie verwerkt de gegevens (naam, KvK, contactgegevens)
- Welke gegevens je verwerkt
- Waarom (grondslag: toestemming, overeenkomst, gerechtvaardigd belang)
- Hoe lang je gegevens bewaart
- Met wie je gegevens deelt (hostingpartij, Google Analytics, etc.)
- Rechten van de bezoeker (inzage, correctie, verwijdering)
- Contactgegevens voor privacy-verzoeken
Tip: De Autoriteit Persoonsgegevens biedt een gratis generator op hun website.
3. SSL-certificaat (HTTPS)
Als je website nog op HTTP draait in 2026, heb je een groter probleem dan privacy. Maar het is ook een AVG-vereiste: persoonsgegevens moeten versleuteld verstuurd worden.
De meeste hostingpartijen en platforms (Vercel, Netlify, Cloudflare) bieden gratis SSL via Let's Encrypt. Geen excuus om dit niet te hebben.
4. Formulieren beveiligen
Elk formulier op je site dat persoonsgegevens vraagt:
- Versleutelde verbinding (HTTPS - zie punt 3)
- Verwijzing naar privacyverklaring - een link of checkbox "Ik ga akkoord met het privacybeleid"
- Alleen noodzakelijke velden - vraag niet om geboortedatum als je die niet nodig hebt
- Spam-bescherming - reCAPTCHA of honeypot, zodat persoonsgegevens niet in spam-databases belanden
5. Google Analytics correct instellen
Google Analytics is de meest gebruikte analytics tool, maar ook de meest problematische qua privacy. Sinds GA4:
- IP-anonimisering is standaard aan (goed)
- Data wordt in de EU opgeslagen als je de EU-instelling activeert
- Toestemming vereist - laad GA pas na cookietoestemming
- Bewaartermijn instellen - standaard is 14 maanden, overweeg korter
- Google Signals uitzetten als je het niet gebruikt
Alternatief: Plausible of Fathom Analytics zijn privacy-first alternatieven die geen cookietoestemming vereisen (geen cookies, geen persoonsgegevens).
6. Verwerkersovereenkomsten
Gebruik je externe diensten die persoonsgegevens verwerken namens jou? Dan heb je een verwerkersovereenkomst nodig met elk van die partijen:
- Hostingpartij
- Email marketing platform
- Google (Analytics, Ads)
- CRM-systeem
- Boekhoudsoftware
De meeste grote diensten bieden standaard verwerkersovereenkomsten aan. Check of je die hebt geaccepteerd.
7. Rechten van betrokkenen
Bezoekers en klanten hebben rechten. Je moet daar technisch en organisatorisch op voorbereid zijn:
- Recht op inzage - "Welke gegevens heb je van mij?"
- Recht op correctie - "Mijn adres klopt niet meer"
- Recht op verwijdering - "Verwijder al mijn gegevens"
- Recht op dataportabiliteit - "Geef me mijn gegevens in een bruikbaar format"
In de praktijk: Heb een emailadres voor privacy-verzoeken (bijv. privacy@jouwbedrijf.nl), reageer binnen 4 weken, en weet waar alle persoonsgegevens staan in je systemen.
8. Datalekken protocol
Als er een datalek plaatsvindt (hack, verloren laptop, verkeerde email), moet je:
- Binnen 72 uur melden bij de Autoriteit Persoonsgegevens (als er risico is voor betrokkenen)
- Betrokkenen direct informeren als het risico hoog is
- Het lek documenteren (wat, wanneer, welke gegevens, welke actie)
Heb een plan klaar. Niet als het gebeurt, maar voordat het gebeurt.
Quick wins voor vandaag
- Check je cookiebanner - kan een bezoeker weigeren in 1 klik?
- Heb je een privacyverklaring? Is die actueel?
- Draait je site op HTTPS?
- Laadt Google Analytics pas na toestemming?
- Heb je verwerkersovereenkomsten met je hostingpartij en email platform?
Vijf checks, 30 minuten werk. Daarmee ben je beter voorbereid dan 80% van de MKB-websites in Nederland.