AVG compliance is geen optie — het is een verplichting
Sinds mei 2018 is de Algemene Verordening Gegevensbescherming (AVG, internationaal: GDPR) van kracht. De boetes zijn niet mals: tot €20 miljoen of 4% van de wereldwijde omzet. Toch zijn veel Nederlandse websites nog niet compliant. Bij NedDev bouwen we privacy-by-design als standaard in elk project. In dit artikel leggen we uit wat je minimaal moet regelen.
Wat valt onder persoonsgegevens?
Alles waarmee een persoon direct of indirect geïdentificeerd kan worden:
Vuistregel: als je twijfelt of iets een persoonsgegeven is, behandel het als een persoonsgegeven.
Cookie consent: hoe het hoort
De cookie wall die je op 90% van de Nederlandse sites ziet, is meestal niet AVG-compliant. Hier zijn de regels:
Wat moet er in je cookie banner?
Cookie-categorieën
Google Analytics 4 en AVG
GA4 zonder toestemming kan AVG-compliant zijn als je:
Alternatief: Overweeg privacy-first analytics als Plausible, Fathom of Umami. Geen cookies, geen toestemming nodig, volledig AVG-compliant.
De privacyverklaring
Elke website die persoonsgegevens verwerkt, heeft een privacyverklaring nodig. Dit moet erin staan:
Rechten van gebruikers
Onder de AVG hebben je gebruikers vergaande rechten:
Recht op inzage
Gebruikers mogen opvragen welke gegevens je van hen hebt. Je hebt één maand om te reageren.
Recht op correctie
Onjuiste gegevens moeten gecorrigeerd worden op verzoek.
Recht op verwijdering (recht om vergeten te worden)
Gebruikers kunnen vragen al hun gegevens te verwijderen. Je moet hieraan voldoen tenzij je een wettelijke bewaarplicht hebt.
Recht op dataportabiliteit
Gebruikers kunnen hun gegevens opvragen in een machine-leesbaar formaat (JSON, CSV) om naar een andere dienst over te stappen.
Verwerkersovereenkomsten
Gebruik je externe diensten die persoonsgegevens verwerken (hosting, e-mail service, analytics)? Dan heb je met elke partij een verwerkersovereenkomst nodig. Dit is een juridisch document dat vastlegt hoe de verwerker met de gegevens omgaat.
Let op: De meeste grote diensten (Google, Mailchimp, Vercel) bieden standaard verwerkersovereenkomsten aan. Teken ze. Bewaar ze. Documenteer ze.
Technische maatregelen
Wat kost een datalek?
De Autoriteit Persoonsgegevens deelt steeds vaker boetes uit. Enkele voorbeelden:
Kleinere bedrijven krijgen lagere boetes, maar zelfs €10.000-€50.000 kan een MKB-bedrijf hard raken.
Checklist voor je website
Privacy is geen kostenpost — het is vertrouwen. En vertrouwen is de basis van elke klantrelatie.