AVG en cookies: waaraan uw website moet voldoen in België

In België moet uw website aan twee reeksen regels voldoen: de AVG (de Algemene Verordening Gegevensbescherming, in het Engels GDPR), die elke verzameling van persoonsgegevens regelt (formulieren, nieuwsbrief, statistieken), en de cookieregels, die voorafgaande toestemming vereisen voor elke niet-noodzakelijke cookie of tracker. Concreet: een cookiebanner waarmee bezoekers even gemakkelijk kunnen weigeren als aanvaarden, een duidelijk privacybeleid, formulieren die alleen het nodige vragen en goed beschermde gegevens.

Dit artikel geeft een praktisch overzicht. Het vervangt geen juridisch advies op maat van uw situatie.

De AVG in het kort

De AVG is sinds 2018 van toepassing in de hele Europese Unie. Ze geldt voor elke onderneming die persoonsgegevens verwerkt, ongeacht haar grootte: een zelfstandige die via zijn website offerteaanvragen ontvangt, valt eronder.

De belangrijkste principes:

• doelbinding: gegevens verzamelen voor een concreet, aangekondigd doel;
• minimale gegevensverwerking: alleen vragen wat nodig is;
• transparantie: mensen duidelijk informeren;
• opslagbeperking: gegevens niet onbeperkt bewaren;
• beveiliging: gegevens beschermen tegen verlies en onbevoegde toegang.

In België ziet de Gegevensbeschermingsautoriteit (GBA) toe op de naleving van deze regels en behandelt ze klachten.

Cookies: de regel van voorafgaande toestemming

Een cookie is een klein bestand dat in de browser van de bezoeker wordt opgeslagen. De regel is eenvoudig:

• strikt noodzakelijke cookies voor de werking van de website (sessie, winkelmandje, beveiliging, het onthouden van de cookiekeuze) vragen geen toestemming;
• alle andere (statistieken, reclame, sociale netwerken, ingesloten video’s en kaarten) mogen pas na toestemming van de bezoeker worden geplaatst.

De toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. In de praktijk:

• geen vooraf aangevinkte vakjes: het Hof van Justitie van de Europese Unie bevestigde dat in 2019 (arrest Planet49);
• gewoon verder surfen geldt niet als toestemming;
• weigeren moet even eenvoudig zijn als aanvaarden;
• de bezoeker moet zijn toestemming op elk moment kunnen intrekken, even gemakkelijk als hij ze gaf;
• u moet de toestemming kunnen bewijzen.

De GBA hanteert een strenge lezing van deze regels, ook voor tools die het websitebezoek meten. Vraag uit voorzorg toestemming voor elke statistiekentool, ook als die zich als privacyvriendelijk voorstelt.

Een conforme cookiebanner: de checklist

• Een banner die bij het eerste bezoek verschijnt, vóór er een niet-noodzakelijke cookie wordt geplaatst.
• Knoppen „Alles aanvaarden” en „Alles weigeren” die even zichtbaar zijn.
• Een knop „Aanpassen”, met een keuze per categorie (statistieken, marketing, externe inhoud).
• Duidelijke informatie: wie welke cookies plaatst, waarom en voor hoelang.
• Een permanente link, bijvoorbeeld in de footer, om de keuze te wijzigen.
• Een nieuwe toestemming wanneer het cookiebeleid ingrijpend verandert.

Let op met ingesloten inhoud

Een Google Maps-kaart, een YouTube-video, lettertypes van een externe dienst of een reCAPTCHA sturen gegevens naar derden, minstens het IP-adres van de bezoeker, en plaatsen vaak cookies. De oplossingen:

• de kaart of video pas tonen na toestemming, met een knop zoals „Kaart tonen”;
• de lettertypes op uw eigen server hosten;
• niet-noodzakelijke diensten vervangen door oplossingen die niets verzamelen.

Het privacybeleid

Zodra uw website persoonsgegevens verzamelt (contactformulier, nieuwsbrief, reservatie, statistieken), moet u een gemakkelijk vindbaar privacybeleid publiceren. Daarin staat onder meer:

1. wie de verwerkingsverantwoordelijke is en hoe men hem kan contacteren;
2. welke gegevens worden verzameld en waarom;
3. op welke rechtsgrond (toestemming, overeenkomst, gerechtvaardigd belang…);
4. wie de gegevens ontvangt (hostingprovider, e-mailtool…) en of ze de Europese Unie verlaten;
5. hoelang ze worden bewaard;
6. de rechten van de betrokkenen: inzage, rectificatie, wissing, bezwaar, beperking en overdraagbaarheid;
7. het recht om klacht in te dienen bij de GBA.

Formulieren en nieuwsbrief

• Vraag alleen het nodige: voor een offerteaanvraag volstaan een naam, een contactmiddel en een bericht vaak.
• Leg uit waarvoor de gegevens dienen, vlak naast het formulier.
• Nieuwsbrief: een apart vakje, nooit vooraf aangevinkt. Het versturen van reclamemails vraagt in principe voorafgaande toestemming. Dubbele opt-in, waarbij de inschrijving per e-mail wordt bevestigd, is een goede praktijk waarmee u de inschrijving ook kunt bewijzen.
• Een uitschrijflink in elke e-mail.

Beveiliging en verwerkers

• Uw website moet HTTPS gebruiken, met het slotje in de browser.
• Software en plug-ins moeten regelmatig worden bijgewerkt, en de website moet worden geback-upt.
• Met elke dienstverlener die gegevens voor u verwerkt (hostingprovider, e-mailtool, betaalprovider) moet een verwerkersovereenkomst die verwerking regelen.
• Bij een datalek met een risico moet u de GBA binnen 72 uur verwittigen.

Wat een niet-conforme website riskeert

De GBA kan waarschuwingen en berispingen geven, maatregelen opleggen om in regel te komen en, in ernstige gevallen, boetes opleggen tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet. Los van sancties wekt een website die de privacy van zijn bezoekers respecteert meer vertrouwen.

Het voorbeeld van de website van Novexa Digital

De website van Novexa Digital past deze principes toe: geen niet-noodzakelijke cookie of tracker vóór uw keuze, een banner waarmee u met één klik kunt weigeren, statistieken (Plausible) die pas na toestemming worden geladen, een Google Maps-kaart die alleen verschijnt als u ze aanvaardt, lettertypes op onze eigen server en een link „Mijn cookies beheren” in elke footer. Wilt u dezelfde zorg voor uw website? Laten we praten.

Veelgestelde vragen

Mijn website gebruikt geen statistiekencookies: heb ik een banner nodig?

Als uw website alleen strikt noodzakelijke cookies gebruikt, is geen toestemmingsbanner vereist. Een privacybeleid blijft nodig zodra u gegevens verzamelt, bijvoorbeeld via een contactformulier.

Zijn statistiekentools zonder cookies vrijgesteld van toestemming?

Niet noodzakelijk: de regels gelden ook voor andere volgtechnieken, en de GBA hanteert een strikte aanpak. Vraag uit voorzorg toestemming, zoals voor andere tools die het websitebezoek meten.

Wie is verantwoordelijk voor de conformiteit van mijn website?

U, als uitgever van de website en verwerkingsverantwoordelijke. Uw webbouwer helpt u de juiste tools in te zetten, maar u beslist welke gegevens u verzamelt en waarom.

Samengevat

Voorafgaande toestemming voor niet-noodzakelijke cookies, weigeren even eenvoudig als aanvaarden, een duidelijk privacybeleid, sobere formulieren en up-to-date beveiliging: dat zijn de basisregels voor een conforme website in België. Meer praktische informatie vindt u op de website van de GBA, gegevensbeschermingsautoriteit.be. En voor een website die van bij het ontwerp conform is, ontdek onze diensten.