Wat de AVG betekent voor je website, en hoe je eraan voldoet

De AVG is een set Europese regels voor gegevensbescherming. Ze geven mensen toegang tot de informatie die organisaties over hen hebben, en beperken wat organisaties daarmee mogen doen.

Zodra je een analysetool als GA4 op je site zet, sla je persoonsgegevens van je bezoekers op. Dat je zelf buiten de EU zit maakt niet uit: het gaat om wie je bezoekers zijn, niet om waar jij staat ingeschreven.

Het volledige document telt 99 artikelen, maar het rust op zeven principes: rechtmatigheid, behoorlijkheid en transparantie; doelbinding; minimale gegevensverwerking; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoordingsplicht.

Dat laatste is het principe dat mensen onderschatten. Je moet niet alleen voldoen, je moet kunnen aantónen dat je voldoet.

Handhaving ligt bij de nationale toezichthouders. Een van de bekendste boetes kwam van de Franse toezichthouder: 50 miljoen euro voor Google, omdat de informatie over gegevensverwerking te versnipperd was en de toestemming voor gepersonaliseerde advertenties niet geldig was verkregen.

In 2022 oordeelden achtereenvolgens de Oostenrijkse, Franse en Italiaanse toezichthouders dat het gebruik van Google Analytics in strijd was met de AVG, omdat er persoonsgegevens naar de Verenigde Staten stroomden zonder passend beschermingsniveau. In juli 2023 nam de Europese Commissie het EU-US Data Privacy Framework aan, dat die doorgifte weer een grondslag geeft voor Amerikaanse partijen die zich hebben gecertificeerd. De scherpste kant is daarmee van die uitspraken af, maar het onderwerp is niet gesloten: het vorige kader is twee keer door het Hof van Justitie vernietigd.

• Plaatsen je trackingtools cookies voordat er toestemming is?
• Is je analysetool van een Amerikaans bedrijf, en zo ja, is dat bedrijf gecertificeerd onder het Data Privacy Framework?
• Draait je analysetool op servers van een Amerikaanse cloudprovider?

Dit is geen juridisch advies. Twijfel je, leg het dan voor aan een jurist. Wat hieronder staat is de praktische kant, en let op: alleen IP-adressen anonimiseren is niet genoeg.

• Vraag toestemming voordat je verzamelt. Zet een cookiebanner neer en zorg dat er niets geplaatst wordt voordat iemand ja zegt.
• Verzamel alleen wat je nodig hebt. Alles wat je opslaat is iets waar je verantwoordelijk voor bent.
• Beveilig wat je bewaart. Twee actuele, veilige kopieën op twee gescheiden locaties buiten je eigen omgeving.
• Zorg dat je gegevens kunt bewerken en verwijderen. Inclusief het kunnen aantonen dát je het gedaan hebt.
• Schrijf een volwaardig privacy- en cookiebeleid. Wees expliciet over wat je plaatst en waarom.
• Anonimiseer IP-adressen. De meeste moderne tools doen dit standaard, maar controleer het.
• Deel niets zonder verwerkersovereenkomst. Werk je met een analysetool, teken die dan.
• Versleutel persoonsgegevens in je eigen database.
• Bepaal zelf wat er naar derden gaat. Server-side tracking via GTM geeft je die controle, in plaats van dat de browser alles rechtstreeks doorstuurt.
• Houd data in de EU. Servers van Amerikaanse cloudproviders zijn daarvoor niet automatisch voldoende.

De exacte cookievereisten verschillen per land, dus die staan hier bewust niet in. Voor dat stuk is juridisch advies of een gespecialiseerde consent-partij de juiste route.

De rest is werk dat je vandaag kunt oppakken. Het meeste komt neer op één vraag: weet je precies welke gegevens je site verzamelt en waar ze heen gaan? Kun je die niet beantwoorden, dan begint het daar.