Cookies, AVG en een privacyverklaring: wat moet je op je website regelen?

• Tracking cookies: alleen na actieve toestemming, vooraf gevraagd.
• Vooraf aangevinkte vakjes, doorsurfen of een cookiewall gelden niet als geldige toestemming.
• Toestemming intrekken moet even makkelijk zijn als toestemming geven.
• De Autoriteit Persoonsgegevens controleert of cookiebanners aan de regels voldoen.
• Een privacyverklaring is verplicht zodra je persoonsgegevens verwerkt.

Voor websites spelen twee wetten. De Telecommunicatiewet regelt wanneer je cookies mag plaatsen en wanneer je daarvoor toestemming nodig hebt. De Algemene verordening gegevensbescherming (AVG) regelt hoe je met persoonsgegevens omgaat, zoals de namen en telefoonnummers die via je offerteformulier binnenkomen. Ondernemersplein, het overheidsplatform voor ondernemers, vat beide samen en noemt de Autoriteit Persoonsgegevens als toezichthouder op cookiebanners.

Voor een gemiddelde mkb-website betekent dat drie dingen: een kloppende cookiebanner als je tracking gebruikt, een privacyverklaring, en zorgvuldige omgang met aanvragen die binnenkomen.

Volgens Ondernemersplein hoef je geen toestemming te vragen voor cookies die niet privacygevoelig zijn. Dat zijn noodzakelijke en functionele cookies, bijvoorbeeld om een formulier te laten werken, en analytische cookies met weinig gevolgen voor de privacy van bezoekers. Je moet bezoekers wel altijd vertellen dat je cookies plaatst, bijvoorbeeld in je privacyverklaring.

Voor cookies die privacygevoelige informatie verzamelen, zoals tracking cookies, vraag je vooraf toestemming. Denk aan advertentiepixels die bezoekers volgen voor retargeting. Die cookies mogen pas geplaatst worden nadat de bezoeker toestemming heeft gegeven. Of een analytische tool privacyvriendelijk genoeg is ingesteld om zonder toestemming te mogen, hangt af van de instellingen; laat dat per tool beoordelen.

Ondernemersplein noemt een aantal eisen. Bezoekers moeten duidelijk en volledig horen welke cookies je gebruikt, waarom, en wat je met de gegevens doet. Ze moeten een duidelijke keuze hebben om toestemming te geven of te weigeren. Bij de toestemmingsvraag noem je ook welke informatie je verzamelt, het doel, de bewaartermijn, aan welke bedrijven je gegevens doorgeeft en hoe toestemming kan worden ingetrokken. Je moet kunnen aantonen dat je toestemming hebt gekregen.

• Geen geldige toestemming: geen actie van de bezoeker, of doorgaan met surfen na een melding.
• Geen geldige toestemming: vooraf aangevinkte vakjes.
• Niet toegestaan: een cookiewall die de site blokkeert of beperkt bij weigeren.
• Verplicht: intrekken is even makkelijk als toestemming geven, en de site blijft daarna bruikbaar.
• Verplicht: de bezoeker geeft toestemming met een actieve handeling.

Volgens Ondernemersplein is een privacyverklaring altijd verplicht als je persoonsgegevens verwerkt. Elk contactformulier, offerteformulier of nieuwsbriefaanmelding doet dat. De verklaring moet in duidelijke en begrijpelijke taal zijn geschreven en bevat in ieder geval de volgende punten.

• Naam en contactgegevens van je organisatie.
• Contactgegevens van de functionaris gegevensbescherming, als je die hebt.
• De wettelijke grondslag, oftewel de reden waarom je de gegevens mag verwerken.
• Wie de persoonsgegevens ontvangt, bijvoorbeeld je CRM-leverancier of hostingpartij.
• Hoe lang je de gegevens bewaart.
• Of je geautomatiseerde besluitvorming gebruikt, en hoe.

De meest voorkomende fout is een gekopieerde privacyverklaring die niet past bij wat de website echt doet. Er staan tools in die niet meer gebruikt worden, terwijl de nieuwe advertentiepixel of het CRM ontbreekt. Een tweede fout is een cookiebanner die tracking al laadt voordat de bezoeker kiest. Dat zie je niet aan de buitenkant; het vraagt een technische controle.

Een derde punt: aanvragen die via een formulier binnenkomen, staan vaak in meerdere mailboxen en spreadsheets. Dat maakt bewaartermijnen en verzoeken om inzage lastig. Een CRM waarin aanvragen centraal binnenkomen, helpt om dat overzichtelijk te houden.

Wanneer heb je geen cookiebanner nodig? Als je alleen noodzakelijke cookies en privacyvriendelijk ingestelde statistieken gebruikt, is toestemming niet nodig. Je moet bezoekers dan nog wel informeren. Minder tracking betekent dus ook minder gedoe en een rustigere eerste indruk.

Maak eerst een lijst van alle tools op je website: statistieken, advertenties, chat, video's, kaarten en formulieren. Bepaal per tool of hij tracking cookies plaatst. Richt daarna de banner zo in dat die tools pas laden na toestemming, en pas de privacyverklaring aan op de werkelijke situatie. Herhaal die controle als je een nieuwe tool toevoegt.

Bij een nieuwe website van Next Growth nemen we cookie-instellingen, privacyverklaring en de verwerking van formulieren mee in de opbouw, en koppelen we aanvragen waar gewenst aan een CRM. Dit artikel is algemene informatie en geen juridisch advies.

1. Ondernemersplein: Gebruik van cookies op uw website
2. Ondernemersplein: Privacyverklaring opstellen