Inhoudelijk bijgewerkt op 11 september 2026.
Privacy op je website gaat over wat er werkelijk met gegevens gebeurt. Een privacyverklaring en een cookiebanner helpen alleen als ze aansluiten op de gebruikte formulieren, diensten en instellingen.
Begin daarom met een overzicht van de gegevensroute. Welke informatie komt binnen, waarom is die nodig, waar wordt ze opgeslagen en wie gebruikt haar daarna?
Dit artikel helpt die controle voorbereiden. Het is algemene uitleg over de websitepraktijk, geen oordeel dat een specifieke organisatie volledig aan alle privacyregels voldoet. Voor een concrete juridische afweging zijn de werkelijke verwerkingen en omstandigheden bepalend.
01 / VERDIEPING
1. Breng de gegevensstromen in kaart
Loop de website door als bezoeker. Bekijk contactformulieren, downloads, eventuele bestellingen, accounts, nieuwsbrieven en gekoppelde externe diensten. Controleer daarnaast de instellingen achter de schermen.
Noteer per route de gegevens, het doel, de bestemming, de betrokken leverancier en de verantwoordelijke binnen je organisatie. Denk ook aan kopieën in e-mail, CRM, logs en back-ups.
Met dit overzicht kun je gerichter controleren of informatie en instellingen overeenkomen. Een pluginlijst alleen laat niet zien welke gegevens een concreet proces gebruikt.
02 / VERDIEPING
2. Bepaal per doel de passende grondslag
Niet iedere verwerking vraagt hetzelfde toestemmingsvakje. De AVG kent verschillende grondslagen. Noodzakelijke verwerking voor een overeenkomst of een aangevraagde offerte kan bijvoorbeeld anders worden beoordeeld dan aanvullende marketing.
Wanneer je toestemming gebruikt, moet die aan de daarvoor geldende voorwaarden voldoen. Een algemeen verplicht vinkje onder ieder formulier is geen vervanging voor die afweging. De EDPB licht de grondslagen en voorwaarden toe.
Leg de gekozen doelen en beoordeling vast. Voeg gegevens niet later aan een andere route toe alleen omdat ze technisch beschikbaar zijn.
03 / VERDIEPING
3. Maak formulieren doelgericht
Vraag alleen informatie die nodig is voor de betreffende stap. Een eerste kennismaking hoeft niet meteen alle gegevens van een volledige klantintake te verzamelen.
Leg bij het formulier begrijpelijk uit wat met de aanvraag gebeurt en verwijs naar passende privacyinformatie. Houd een eventuele vrijwillige marketingkeuze herkenbaar apart van de hoofdactie.
Test ook de uitgeschakelde keuze. Als iemand een download aanvraagt zonder aanvullende berichten te willen, moet de registratie die keuze bewaren en de bedoelde downloadroute blijven werken.
Dit is ook een beheerkwestie: wie mag inzendingen bekijken, hoelang blijven ze beschikbaar en hoe wordt een verzoek van een betrokkene opgepakt?
04 / VERDIEPING
4. Controleer het werkelijke cookie- en scriptgedrag
Bekijk wat de website doet vóór een keuze, na weigeren en na accepteren. Controleer ook of een bezoeker een eerdere keuze kan wijzigen. Alleen een zichtbaar bannerontwerp bewijst niet dat de achterliggende diensten de keuze volgen.
De Autoriteit Persoonsgegevens noemt onder meer vooraf aangevinkte keuzes en moeilijk vindbare weigeropties als problemen. Toestemming voor tracking moet een werkelijke keuze zijn. AP over correcte cookiebanners.
Niet elke website heeft dezelfde banner nodig. De gebruikte cookies en andere technieken bepalen welke beoordeling nodig is. De AP maakt bijvoorbeeld onderscheid met strikt noodzakelijke functionele cookies. AP over tracking en functionele cookies.
Een technische instelling in een meetplatform is geen algemene verklaring dat de hele website privacycorrect is. Beoordeel de volledige route en gebruikte functies.
05 / VERDIEPING
5. Laat de privacyinformatie aansluiten
Controleer of de privacyverklaring begrijpelijk uitlegt welke gegevens en doelen bij de organisatie horen. Neem geen leveranciers of garanties over uit een voorbeeldtekst als die niet bij de werkelijke inrichting passen.
Een sjabloon kan helpen om onderwerpen niet te vergeten, maar moet worden ingevuld met de eigen situatie. De Autoriteit Persoonsgegevens biedt daarvoor onder meer een sjabloon voor een privacyverklaring voor het mkb.
Werk de informatie bij wanneer je een nieuwe formulierroute, CRM-koppeling of AI-dienst toevoegt. Controleer daarbij niet alleen de tekst, maar ook welke gegevens de nieuwe toepassing daadwerkelijk krijgt.
06 / VERDIEPING
6. Controleer rollen en afspraken met leveranciers
Een hostingpartij, maildienst of formulierleverancier kan een rol hebben bij gegevensverwerking. Die rol volgt uit wat de partij daadwerkelijk doet. Niet iedere leverancier heeft automatisch dezelfde positie.
Bij verwerking namens jouw organisatie horen passende afspraken over die verwerking. De EDPB legt het onderscheid tussen verantwoordelijke en verwerker uit.
Leg vast welke diensten worden gebruikt en waar de relevante afspraken te vinden zijn. Beoordeel ook toegang, eventuele verdere partijen en internationale gegevensstromen wanneer die spelen. Laat onduidelijke of bijzondere situaties gericht beoordelen.
07 / VERDIEPING
7. Regel toegang, onderhoud en bewaartermijnen
Beperk toegang tot de mensen die deze voor hun taak nodig hebben. Gebruik passende eigen accounts en bekijk rechten opnieuw als iemand van rol verandert of vertrekt.
Maak afspraken over updates, back-ups en incidenten. Controleer dat herstel mogelijk is en dat onnodige kopieën niet ongemerkt blijven groeien.
Bepaal bewaartermijnen op basis van doel en toepasselijke verplichtingen. Een standaardinstelling van een plugin is niet automatisch de juiste termijn voor jouw organisatie. Zorg ook dat de gekozen werkwijze technisch uitvoerbaar is.
08 / VERDIEPING
Gebruik een controleoverzicht
| Route | Te controleren onderdelen |
|---|---|
| Contactaanvraag | Doel, noodzakelijke velden, opslag, ontvanger en vervolg |
| Download | Levering, eventuele afzonderlijke marketingkeuze en registratie |
| Meting | Gebruikte functies, gegevens, consentgedrag en informatie |
| Externe dienst | Rol, afspraken, toegang en relevante gegevensstroom |
| Beheer | Eigenaar, rechten, bewaartermijn en herstelroute |
Noteer per onderdeel wat is gecontroleerd, welk bewijs beschikbaar is en wat nog openstaat. Een onduidelijk punt hoort als open vraag in het overzicht, niet als stellige privacyclaim op de website.
09 / VERDIEPING
Veelgestelde vragen
Is een privacyverklaring genoeg?
Nee. De tekst moet aansluiten op de echte verwerking en instellingen. Daarnaast zijn onder meer de passende grondslag, afspraken, beveiliging en uitvoering relevant.
Moet onder ieder contactformulier een toestemmingsvakje?
Dat volgt niet automatisch uit het gebruik van een formulier. De grondslag hangt af van het doel en de situatie. Beoordeel aanvullende marketing afzonderlijk en verwar een verwijzing naar privacyinformatie niet met toestemming.
Maakt HTTPS de website volledig privacycorrect?
Een versleutelde verbinding is een belangrijk technisch onderdeel. Ze zegt niet op zichzelf welke gegevens worden verzameld, wie ze gebruikt en of alle andere afspraken kloppen.
10 / VERDIEPING
Controleer de gegevensroute samen met de websitewerking
Lees hoe je formulieren van invoer tot ontvangst test. Snugger kan helpen de technische inrichting en gegevensroutes inzichtelijk te maken: bespreek je websitevraag.
VERDER MET JOUW BEDRIJF
Van lezen naar een volgende stap.
Bekijk wat Snugger voor je kan maken of bespreek hoe dit onderwerp past bij je website en werkwijze.