# AVG-checklist: is jouw website privacy-proof?

## De Autoriteit Persoonsgegevens deelde in 2024 voor 8,5 miljoen euro aan boetes uit

En dat waren niet alleen de grote bedrijven. Steeds vaker worden MKB'ers aangesproken op hun privacybeleid. Een ondernemer uit Enschede kreeg 15.000 euro boete voor het plaatsen van tracking cookies zonder toestemming. De regels gelden voor iedereen.

Het goede nieuws: je website AVG-compliant maken is geen raketwetenschap. Loop deze checklist door en je bent 90% van de problemen voor.

## 1. Cookiebanner die echt werkt

"We gebruiken cookies om je ervaring te verbeteren. OK?" Dat is niet genoeg. De AVG en de ePrivacy-richtlijn eisen:

- **Actieve toestemming** - geen voorgecheckte vakjes
- **Weigeren moet even makkelijk zijn als accepteren** - geen dark patterns
- **Specifieke categorien** - de bezoeker moet kunnen kiezen: functioneel, analytisch, marketing
- **Geen tracking voor toestemming** - Google Analytics mag pas laden na een klik op "Accepteren"
- **Toestemming bewaren** - je moet kunnen bewijzen dat iemand toestemming gaf

**Gratis tools:** Cookiebot (gratis tot 100 pagina's), Complianz (WordPress plugin), of een custom banner met een consent management script.

## 2. Privacyverklaring

Verplicht voor elke website die persoonsgegevens verwerkt. En dat is vrijwel elke website (zelfs een contactformulier verwerkt persoonsgegevens).

Wat erin moet:
- **Wie** verwerkt de gegevens (naam, KvK, contactgegevens)
- **Welke** gegevens je verwerkt
- **Waarom** (grondslag: toestemming, overeenkomst, gerechtvaardigd belang)
- **Hoe lang** je gegevens bewaart
- **Met wie** je gegevens deelt (hostingpartij, Google Analytics, etc.)
- **Rechten** van de bezoeker (inzage, correctie, verwijdering)
- **Contactgegevens** voor privacy-verzoeken

**Tip:** De Autoriteit Persoonsgegevens biedt een gratis generator op hun website.

## 3. SSL-certificaat (HTTPS)

Als je website nog op HTTP draait in 2026, heb je een groter probleem dan privacy. Maar het is ook een AVG-vereiste: persoonsgegevens moeten versleuteld verstuurd worden.

De meeste hostingpartijen en platforms (Vercel, Netlify, Cloudflare) bieden gratis SSL via Let's Encrypt. Geen excuus om dit niet te hebben.

## 4. Formulieren beveiligen

Elk formulier op je site dat persoonsgegevens vraagt:
- **Versleutelde verbinding** (HTTPS - zie punt 3)
- **Verwijzing naar privacyverklaring** - een link of checkbox "Ik ga akkoord met het privacybeleid"
- **Alleen noodzakelijke velden** - vraag niet om geboortedatum als je die niet nodig hebt
- **Spam-bescherming** - reCAPTCHA of honeypot, zodat persoonsgegevens niet in spam-databases belanden

## 5. Google Analytics correct instellen

Google Analytics is de meest gebruikte analytics tool, maar ook de meest problematische qua privacy. Sinds GA4:

- **IP-anonimisering** is standaard aan (goed)
- **Data wordt in de EU opgeslagen** als je de EU-instelling activeert
- **Toestemming vereist** - laad GA pas na cookietoestemming
- **Bewaartermijn instellen** - standaard is 14 maanden, overweeg korter
- **Google Signals uitzetten** als je het niet gebruikt

**Alternatief:** Plausible of Fathom Analytics zijn privacy-first alternatieven die geen cookietoestemming vereisen (geen cookies, geen persoonsgegevens).

## 6. Verwerkersovereenkomsten

Gebruik je externe diensten die persoonsgegevens verwerken namens jou? Dan heb je een verwerkersovereenkomst nodig met elk van die partijen:

- Hostingpartij
- Email marketing platform
- Google (Analytics, Ads)
- CRM-systeem
- Boekhoudsoftware

De meeste grote diensten bieden standaard verwerkersovereenkomsten aan. Check of je die hebt geaccepteerd.

## 7. Rechten van betrokkenen

Bezoekers en klanten hebben rechten. Je moet daar technisch en organisatorisch op voorbereid zijn:

- **Recht op inzage** - "Welke gegevens heb je van mij?"
- **Recht op correctie** - "Mijn adres klopt niet meer"
- **Recht op verwijdering** - "Verwijder al mijn gegevens"
- **Recht op dataportabiliteit** - "Geef me mijn gegevens in een bruikbaar format"

**In de praktijk:** Heb een emailadres voor privacy-verzoeken (bijv. privacy@jouwbedrijf.nl), reageer binnen 4 weken, en weet waar alle persoonsgegevens staan in je systemen.

## 8. Datalekken protocol

Als er een datalek plaatsvindt (hack, verloren laptop, verkeerde email), moet je:
- Binnen **72 uur** melden bij de Autoriteit Persoonsgegevens (als er risico is voor betrokkenen)
- Betrokkenen **direct informeren** als het risico hoog is
- Het lek **documenteren** (wat, wanneer, welke gegevens, welke actie)

Heb een plan klaar. Niet als het gebeurt, maar voordat het gebeurt.

## Quick wins voor vandaag

1. Check je cookiebanner - kan een bezoeker weigeren in 1 klik?
2. Heb je een privacyverklaring? Is die actueel?
3. Draait je site op HTTPS?
4. Laadt Google Analytics pas na toestemming?
5. Heb je verwerkersovereenkomsten met je hostingpartij en email platform?

Vijf checks, 30 minuten werk. Daarmee ben je beter voorbereid dan 80% van de MKB-websites in Nederland.

---

## Bronnen

- [Autoriteit Persoonsgegevens - AVG regelhulp](https://www.autoriteitpersoonsgegevens.nl/avg-regelhulp)
- [Autoriteit Persoonsgegevens - Boeteoverzicht 2024](https://www.autoriteitpersoonsgegevens.nl/actueel/boetes-en-sancties)
- [ICO - Guide to cookies](https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guide-to-pecr/cookies-and-similar-technologies/)
- [Plausible Analytics - Privacy-first alternative](https://plausible.io/)
- [Google - GA4 EU data storage](https://support.google.com/analytics/answer/12017362)

---

Bron: https://webdesign.bykick.nl/blog/avg-privacy-checklist-voor-je-website