GDPR en uw website in België: de gids voor conformiteit

Deze gids overloopt punt per punt wat een kmo of een zelfstandige op zijn website moet regelen. Hij vervangt het advies van een jurist niet voor bijzondere gevallen (gezondheidsgegevens, profilering, grote volumes).

#Waarom de GDPR voor elke website geldt

Een vennootschap met vijf mensen en een zelfstandige in eenmanszaak zitten in hetzelfde schuitje: zodra een naam, een e-mailadres, een telefoonnummer of een IP-adres gekoppeld aan een cookie wordt verzameld, worden er persoonsgegevens verwerkt. Er bestaat geen vrijstelling voor kleine ondernemingen, alleen lichtere verplichtingen op enkele punten (het register, bijvoorbeeld).

#De sancties

Artikel 83 van de GDPR voorziet twee niveaus van boetes:

• tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet (het hoogste bedrag) voor organisatorische tekortkomingen: register, beveiliging, melding van datalekken;
• tot 20 miljoen euro of 4 % voor inbreuken op de principes: rechtsgrond, toestemming, rechten van personen, doorgiften buiten de Unie.

De GBA kan ook een waarschuwing geven, een conformiteit bevelen, een verwerking verbieden en haar beslissing publiceren, wat voor een kleine onderneming vaak zwaarder weegt dan een boete.

#De 6 principes (artikel 5)

1. Rechtmatigheid, behoorlijkheid, transparantie: de persoon weet wat u met zijn gegevens doet.
2. Doelbinding: gegevens die verzameld zijn om een offerte te beantwoorden, dienen zonder rechtsgrond niet voor iets anders.
3. Minimale gegevensverwerking: vraag alleen wat nodig is.
4. Juistheid: de gegevens zijn actueel en kunnen verbeterd worden.
5. Opslagbeperking: niets wordt eindeloos bewaard.
6. Integriteit en vertrouwelijkheid: HTTPS, beperkte toegang, sterke wachtwoorden, back-ups.

#De rechtsgronden: op welke basis verwerkt u gegevens?

Elke verwerking moet steunen op een van de zes rechtsgronden van artikel 6. Voor een typische website:

#Cookies

#Wat uw cookiebanner moet doen

• Vragen vóór er iets geplaatst wordt: geen enkele niet-essentiële cookie laadt vóór een klik op aanvaarden.
• Weigeren even makkelijk maken als aanvaarden: een knop "Alles weigeren" op hetzelfde niveau en even zichtbaar als "Alles aanvaarden". Een weigering die achter meerdere klikken verstopt zit, is niet geldig.
• Niets vooraf aanvinken: het Hof van Justitie van de Unie bevestigde dat in het arrest Planet49 (1 oktober 2019, C-673/17).
• Een keuze per categorie toelaten: statistieken, advertenties, ingesloten inhoud.
• Surfen niet gelijkstellen met toestemming: verder scrollen geldt niet als akkoord.
• Op elk moment van mening kunnen veranderen, bijvoorbeeld via een link "Cookies beheren" in de footer.
• Een spoor bewaren van de toestemmingen, en de vraag regelmatig opnieuw stellen.

#Cookies die zonder toestemming mogen

Alleen strikt noodzakelijke cookies: sessie, winkelmandje, aanmelding, beveiliging, het onthouden van de taalkeuze of van de cookiekeuze zelf.

#Statistieken en ingesloten inhoud

#De verplichte vermeldingen op uw website

#1. Het privacybeleid

• de identiteit en contactgegevens van de verwerkingsverantwoordelijke (uw onderneming);
• de contactgegevens van de functionaris voor gegevensbescherming, als u er een hebt;
• het doel en de rechtsgrond van elke verwerking, en het nagestreefde gerechtvaardigde belang waar van toepassing;
• de ontvangers van de gegevens (hosting, CRM, e-mailtool…);
• doorgiften buiten de Unie en de waarborgen daarbij;
• de bewaartermijnen;
• de rechten van de persoon en hoe hij ze uitoefent;
• het recht om de toestemming op elk moment in te trekken;
• het recht om klacht in te dienen bij de GBA;
• of het verstrekken van de gegevens verplicht of vrijblijvend is;
• het bestaan van geautomatiseerde besluitvorming of profilering.

#2. De wettelijke vermeldingen

Het Wetboek van economisch recht verplicht u te vermelden: naam of firmanaam, geografisch adres (geen postbus), e-mailadres, ondernemingsnummer (KBO) en btw-nummer, en voor een vennootschap het bevoegde rechtspersonenregister. Gereglementeerde beroepen voegen hun beroepsorde of toezichthouder en de toepasselijke beroepsregels toe.

#3. De voorwaarden voor online verkoop

#De rechten van bezoekers (artikelen 15 tot 22)

#De functionaris voor gegevensbescherming (DPO)

#Het register van verwerkingsactiviteiten (artikel 30)

Vereenvoudigingen voor kmo's liggen op Europees niveau op tafel (het pakket "digitale omnibus", waarover de Raad in oktober 2026 zijn standpunt innam). Zolang ze niet aangenomen zijn, gelden de huidige regels.

#Verwerkers: een overeenkomst voor elk (artikel 28)

• de hosting van uw website;
• uw e-mailtool en uw CRM;
• uw statistiektool;
• het platform van uw webshop;
• het bureau dat uw website of campagnes beheert, als het toegang heeft tot de gegevens.

#Doorgiften buiten de Europese Unie

Controleer voor elke tool:

• of de onderneming gecertificeerd is (openbare lijst op dataprivacyframework.gov);
• zo niet, of er standaardcontractbepalingen ondertekend zijn, met een beoordeling van de risico's van de doorgifte;
• of er een optie is om de gegevens binnen de Unie te hosten.

#Datalekken (artikelen 33 en 34)

#Meer dan de GDPR: wat er in 2025 en 2026 veranderde

• Toegankelijkheid: sinds 28 juni 2025 legt de European Accessibility Act toegankelijkheidseisen op aan online verkoopdiensten voor consumenten. Micro-ondernemingen die diensten leveren (minder dan 10 personen en hoogstens 2 miljoen euro omzet of balanstotaal) zijn in principe vrijgesteld.
• Herroepingsfunctie: verplicht voor online verkoop sinds 14 augustus 2026.
• ODR-platform: gesloten sinds 20 juli 2025.
• AI-assistenten op uw site: de Europese AI-verordening verplicht u om bezoekers duidelijk te laten weten dat ze met een AI praten; die transparantieverplichtingen gelden geleidelijk vanaf augustus 2026.

#De checklist in 12 punten

1. HTTPS op de hele site.
2. Een volledig privacybeleid (artikel 13), eigen aan uw activiteit.
3. Wettelijke vermeldingen volgens het Wetboek van economisch recht.
4. Een cookiebanner met "Alles weigeren" even zichtbaar als "Alles aanvaarden".
5. Geen niet-essentiële cookie vóór de toestemming (te controleren in het tabblad Netwerk van de browser).
6. Geen vooraf aangevinkte vakjes in formulieren.
7. Een afmeldlink in elke commerciële e-mail.
8. Een actueel register van verwerkingen.
9. Een ondertekende verwerkersovereenkomst met elke dienstverlener.
10. Een procedure om inzage- of wisaanvragen binnen een maand te beantwoorden.
11. Gedocumenteerde beveiligingsmaatregelen: wachtwoorden, tweestapsverificatie, back-ups, updates.
12. Een klaarliggende procedure bij een datalek: wie doet wat binnen 72 uur.

Voor online verkoop voegt u toe: algemene voorwaarden, de herroepingsfunctie, informatie over bemiddeling en een controle van de toegankelijkheid.

#De meest gemaakte fouten

• Een banner zonder echte weigerknop, of een "Aanvaarden" die veel zichtbaarder is dan "Weigeren".
• Google Analytics of de Meta-pixel die laden vóór de toestemming.
• Een gekopieerd privacybeleid van een andere site: het beschrijft andere tools en andere bewaartermijnen.
• Een nieuwsbrief zonder vakje, of met een vooraf aangevinkt vakje.
• Inzageaanvragen die na een maand nog onbeantwoord zijn.
• Contacten die eindeloos in het CRM blijven staan.
• Geen overeenkomst met de hosting of de e-mailtool.

#Veelgestelde vragen

#Mijn site heeft alleen een contactformulier: geldt dit voor mij?

Ja. Zodra een naam en een e-mailadres verzameld worden, worden er persoonsgegevens verwerkt. U hebt minstens een privacybeleid, wettelijke vermeldingen en basisbeveiliging nodig.

#Is Google Analytics verboden in België?

Nee, maar het mag pas geactiveerd worden na toestemming van de bezoeker, via een conforme banner. Tools zonder cookies, zoals Plausible, kunnen die nood beperken, afhankelijk van hun instellingen.

#Heeft mijn kmo een DPO nodig?

In de overgrote meerderheid van de gevallen niet. Het is alleen verplicht voor overheidsinstanties en voor grootschalige observatie of verwerking van gevoelige gegevens.

#Mag ik het privacybeleid van een andere site kopiëren?

Nee. Het moet uw verwerkingen, uw tools, uw verwerkers en uw bewaartermijnen beschrijven. Een algemeen beleid is een van de vaakst vastgestelde tekortkomingen.

#Hoelang mag ik de contacten van een formulier bewaren?

De GDPR legt geen vaste termijn op: die moet in verhouding staan. Voor een prospect die niet verder ging, is twee tot drie jaar een algemeen aanvaarde termijn. Voor een klant bewaart u de facturatiegegevens in de praktijk 10 jaar, de bewaartermijn op fiscaal vlak en voor de btw.

#Wat doe ik als ik een brief van de GBA krijg?

Antwoord snel en nauwkeurig, verhelp de tekortkoming en documenteer wat u gedaan hebt. De GBA kiest vaak voor conformiteit wanneer de onderneming meewerkt. Laat u vanaf de eerste brief begeleiden door een jurist.