GDPR en uw website: wat moet u weten als KMO?
De Algemene Verordening Gegevensbescherming (GDPR) is sinds 2018 van kracht, maar veel KMO's zijn nog steeds onzeker over wat dit betekent voor hun website. In deze blog leggen we in begrijpelijke taal uit wat u moet weten.
Wat is GDPR eigenlijk?
GDPR is Europese wetgeving die regelt hoe bedrijven om moeten gaan met persoonlijke gegevens van burgers. Het doel: mensen meer controle geven over hun eigen data.
Wat zijn persoonlijke gegevens?
Alles waarmee iemand te identificeren is:
- Naam en adres
- Email adres en telefoonnummer
- IP-adressen
- Locatiegegevens
- Cookie-gegevens
- En nog veel meer
Waarom is dit belangrijk voor uw website?
Uw website verzamelt waarschijnlijk persoonlijke gegevens via:
- Contactformulieren
- Nieuwsbrief inschrijvingen
- Cookies (voor analytics of advertenties)
- Chatfuncties
- Account registraties
Voor al deze zaken heeft u toestemming nodig en moet u transparant zijn.
De 7 basisprincipes van GDPR
1. Rechtmatigheid en transparantie
U moet duidelijk uitleggen:
- Welke gegevens u verzamelt
- Waarom u deze verzamelt
- Hoe lang u ze bewaart
- Met wie u ze deelt
2. Doelbinding
U mag gegevens alleen gebruiken voor het doel waarvoor iemand toestemming gaf.
❌ Niet OK: Email gebruikt voor marketing als iemand alleen contact zocht voor een vraag ✅ OK: Email gebruikt om de vraag te beantwoorden
3. Minimale gegevensverzameling
Verzamel alleen gegevens die u echt nodig heeft.
❌ Te veel: Geboortedatum vragen voor een offerte aanvraag ✅ Passend: Alleen naam, email en omschrijving project vragen
4. Juistheid
Houd gegevens actueel en bied mensen de mogelijkheid om foutieve informatie te corrigeren.
5. Beperkte bewaartermijn
Bewaar gegevens niet langer dan nodig. Bepaal per type data hoe lang u het bewaart.
6. Integriteit en vertrouwelijkheid
Beveilig gegevens goed:
- Gebruik HTTPS (SSL-certificaat)
- Beveilig databases met wachtwoorden
- Maak regelmatig backups
- Beperk toegang tot gevoelige data
7. Verantwoording
U moet kunnen aantonen dat u GDPR-compliant bent.
Wat moet er minimaal op uw website?
1. Privacy Policy (Privacyverklaring)
Een pagina die uitlegt:
- Welke gegevens u verzamelt
- Waarom u deze verzamelt
- Hoe u deze beschermt
- Hoe lang u deze bewaart
- Wat de rechten van de bezoeker zijn
- Hoe men contact kan opnemen voor privacy-vragen
2. Cookie Banner
Als u cookies gebruikt (bijv. Google Analytics), moet u:
- Toestemming vragen voordat cookies geplaatst worden
- Uitleggen welke cookies u gebruikt
- Een mogelijkheid bieden om te weigeren
3. Opt-in voor marketing
Bij nieuwsbrief inschrijvingen:
❌ Fout: Vooraf aangevinkt vakje ✅ Goed: Leeg vakje dat de bezoeker zelf moet aanvinken
4. Contactformulier disclaimer
Een korte tekst bij uw contactformulier:
"Door dit formulier te versturen, gaat u akkoord dat wij uw gegevens gebruiken om contact met u op te nemen over uw aanvraag. Lees ons privacybeleid voor meer informatie."
Rechten van bezoekers
Mensen hebben het recht om:
- Inzage te krijgen in hun gegevens
- Correctie te vragen van foute gegevens
- Verwijdering te vragen ("recht op vergeten worden")
- Bezwaar te maken tegen verwerking
- Data overdracht te vragen (bijv. naar een concurrent)
U moet binnen 30 dagen reageren op zo'n verzoek.
Veelvoorkomende vragen
"Moet ik een functionaris gegevensbescherming aanstellen?"
Voor de meeste KMO's: nee. Dit is alleen verplicht voor:
- Overheidsinstanties
- Bedrijven die grootschalig gevoelige data verwerken
- Bedrijven die systematisch mensen monitoren
"Wat gebeurt er als ik niet compliant ben?"
Boetes kunnen oplopen tot:
- €20 miljoen, of
- 4% van de wereldwijde jaaromzet
In de praktijk krijgen kleine overtredingen meestal eerst een waarschuwing.
"Moet ik een privacyverklaring laten schrijven door een jurist?"
Niet perse. Er zijn goede templates beschikbaar die u kunt aanpassen. Voor complexe situaties kan juridisch advies wel zinvol zijn.
Quick checklist: Is uw website GDPR-proof?
- [ ] HTTPS (SSL-certificaat) actief?
- [ ] Privacyverklaring aanwezig en up-to-date?
- [ ] Cookie banner met opt-in?
- [ ] Contactformulieren met toestemming?
- [ ] Nieuwsbrief opt-in (niet vooraf aangevinkt)?
- [ ] Duidelijk hoe mensen hun rechten kunnen uitoefenen?
- [ ] Gegevens worden beveiligd opgeslagen?
- [ ] Bewaartermijnen bepaald per datatype?
Conclusie
GDPR hoeft niet ingewikkeld te zijn voor KMO's. De kernprincipes zijn:
- Wees transparant over wat u doet met gegevens
- Vraag toestemming waar nodig
- Verzamel alleen wat u nodig heeft
- Beveilig gegevens goed
- Respecteer de rechten van mensen
Door deze basisregels te volgen, bent u al een heel eind. En het goede nieuws: een GDPR-compliant website wekt ook meer vertrouwen bij bezoekers.
