AVG website checklist: is jouw website AVG-proof?

Je website is AVG-proof als je alleen persoonsgegevens verzamelt die je echt nodig hebt, bezoekers uitlegt wat je ermee doet, toestemming vraagt waar dat moet en de gegevens goed beveiligt. Dat klinkt groot, maar voor de meeste mkb-websites komt het neer op een handvol punten die je zelf kunt nalopen. Deze checklist helpt je daarbij.

Wat betekent de AVG voor je website?

De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) geldt sinds mei 2018 in de hele EU. Hij is van toepassing zodra je persoonsgegevens verwerkt. Op een website gebeurt dat sneller dan je denkt: een contactformulier, een nieuwsbriefinschrijving, een webshopbestelling, maar ook een IP-adres in je statistieken.

Toezicht ligt in Nederland bij de Autoriteit Persoonsgegevens. Voor cookies gelden daarnaast regels uit de Telecommunicatiewet. In de praktijk loop je ze samen na, omdat ze elkaar overlappen.

De AVG-checklist voor je website

Pak je website erbij en loop de punten één voor één af. Zet bij elk punt een vinkje of een actie.

1. Breng in kaart welke gegevens je verzamelt

• Welke formulieren staan er op je site, en welke velden zijn verplicht?
• Heb je een webshop, klantaccount of nieuwsbrief?
• Welke tools draaien er mee: statistieken, chat, kaarten, video, advertentiepixels?

Schrijf dit op in een simpel overzicht. Dat is meteen de basis voor je verwerkingsregister, dat veel bedrijven moeten bijhouden.

2. Vraag niet meer dan nodig

Dataminimalisatie is een kernregel van de AVG. Heb je voor een offerteaanvraag echt een geboortedatum nodig? Een telefoonnummer verplicht maken terwijl je altijd mailt? Haal overbodige velden weg of maak ze optioneel.

3. Zorg voor een duidelijke privacyverklaring

Leg in gewone taal uit welke gegevens je verzamelt, waarom, hoe lang je ze bewaart en met wie je ze deelt. Link ernaar in de footer en bij elk formulier. Hoe je die opstelt, lees je in privacyverklaring opstellen.

4. Regel cookies en tracking goed

• Functionele cookies mag je zonder toestemming plaatsen.
• Voor tracking- en advertentiecookies heb je vooraf toestemming nodig. Die scripts mogen pas laden na een ja.
• Weigeren moet net zo makkelijk zijn als accepteren.

Weet je niet precies wat je site plaatst? Begin met checken welke cookies je website gebruikt en richt daarna een cookiebanner goed in.

5. Sluit verwerkersovereenkomsten af

Een verwerker is een partij die namens jou persoonsgegevens verwerkt: je hostingpartij, je e-mailmarketingtool, je CRM, je webbouwer met toegang tot de site. Met elk van hen heb je een verwerkersovereenkomst nodig. Bij grote softwarepartijen zit die vaak al in de voorwaarden, maar controleer het en bewaar een kopie.

6. Beveilig je website

• Een SSL-certificaat (https) op de hele site, zeker op pagina’s met formulieren.
• Software, thema en plugins up-to-date.
• Sterke wachtwoorden en tweestapsverificatie voor beheerders.
• Alleen accounts voor mensen die nu nog toegang nodig hebben.
• Regelmatige back-ups, ook buiten de server.

7. Bewaar niet langer dan nodig

Formulierinzendingen worden vaak eindeloos bewaard in de database en in je mailbox. Bepaal een bewaartermijn en ruim periodiek op.

8. Wees klaar voor verzoeken en datalekken

Bezoekers mogen hun gegevens inzien, laten aanpassen of laten verwijderen. Weet waar alles staat, zodat je zo’n verzoek binnen een maand kunt afhandelen. Ontdek je een datalek, dan moet je dat in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

AVG op een WordPress website

WordPress zelf is niet AVG-proof of juist niet. Het hangt af van hoe je het inricht. Let vooral op deze punten:

Onderdeel	Waar je op let
Formulierplugins	Slaan inzendingen op in de database. Stel een bewaartermijn in of zet opslaan uit als je alles per mail krijgt.
Reacties	Slaan naam, e-mail en IP op. Zet reacties uit als je ze niet gebruikt.
Ingesloten content	YouTube-video’s, Google Maps en lettertypen van externe servers kunnen gegevens doorgeven. Laad ze pas na toestemming of host lettertypen lokaal.
Statistieken	Stel Google Analytics privacyvriendelijk in en gebruik consent mode.
Plugins in het algemeen	Verwijder plugins die je niet gebruikt. Elke plugin is een mogelijk lek en een mogelijke extra gegevensverwerker.

WordPress heeft ingebouwde hulpmiddelen om persoonsgegevens te exporteren en te wissen op verzoek, en een sjabloon voor een privacypagina. Dat sjabloon is een begin, geen kant-en-klare tekst.

Voorbeeld: de website van een schilder

Een schildersbedrijf in Hilversum heeft een WordPress-site met een offerteformulier, Google Analytics, een ingesloten Google Maps-kaart en een Meta-pixel voor advertenties. Bij het nalopen blijkt dat de pixel en Analytics direct laden, voordat iemand op de cookiebanner heeft geklikt. Het formulier vraagt om een geboortedatum die nergens voor nodig is, en de formulierplugin bewaart alle aanvragen sinds de lancering.

De oplossing kost een middag: de cookiebanner wordt gekoppeld aan de scripts, het geboortedatumveld verdwijnt, inzendingen worden na een jaar automatisch gewist en de privacyverklaring wordt bijgewerkt met de tools die echt gebruikt worden. Daarnaast vraagt de eigenaar bij zijn hostingpartij en nieuwsbrieftool de verwerkersovereenkomst op.

Zelf doen of uitbesteden?

Een eenvoudige website met een contactformulier kun je met deze checklist prima zelf AVG-proof maken. Het meeste werk zit in overzicht krijgen en een paar instellingen aanpassen.

Laat het nakijken als je een webshop hebt, met klantaccounts werkt, gevoelige gegevens verwerkt (bijvoorbeeld in de zorg) of als je niet zeker weet welke scripts er allemaal op je site draaien. Juridische vragen, zoals of je een functionaris gegevensbescherming nodig hebt, leg je voor aan een privacyjurist. Een webbouwer kan de techniek regelen, maar geeft geen juridisch advies.

Laat je een nieuwe website bouwen? Neem de AVG dan vanaf het begin mee in het ontwerp, dat is veel makkelijker dan achteraf repareren. Bekijk hoe we een website laten maken aanpakken.

Veelgestelde vragen