#Waarom GDPR voor elke Belgische website geldt
De GDPR (Algemene Verordening Gegevensbescherming — Verordening EU 2016/679) geldt zodra een website ook maar één persoonsgegeven van een EU-inwoner verzamelt: een e-mailadres in een contactformulier, een IP-adres dat door Google Analytics wordt gelogd, een cookie voor publieksmeting.
In België wordt de GDPR aangevuld door de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. De Belgische toezichthouder is de Gegevensbeschermingsautoriteit (GBA) — Autorité de protection des données (APD) langs Franstalige zijde.
Of u nu een BV bent met 5 medewerkers of een zelfstandige in eigen naam, zodra uw site een contactformulier heeft, verwerkt u persoonsgegevens. GDPR is van toepassing. Geen KMO-uitzondering.
#Sancties: wat artikel 83 GDPR voorziet
De boetes van de GDPR zijn in twee niveaus:
- Tot 10 miljoen euro of 2 % van de wereldwijde jaaromzet (het hoogste bedrag) voor administratieve inbreuken (register, beveiliging, melding van datalek).
- Tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet voor inbreuken op de basisprincipes (rechtsgrond, toestemming, betrokkenenrechten, doorgiften buiten de EU).
De GBA kan ook waarschuwingen, ingebrekestellingen, verwerkingsverboden opleggen, en haar beslissingen publiceren — een aanzienlijke reputatieschade.
#De 6 basisprincipes (artikel 5)
Artikel 5 GDPR legt de basis. Elke verwerking via uw site moet voldoen aan:
- Rechtmatigheid, behoorlijkheid, transparantie — de gebruiker weet wat u met zijn gegevens doet.
- Doelbinding — gegevens verzameld voor X worden niet hergebruikt voor Y.
- Minimale gegevensverwerking — verzamel enkel wat nodig is.
- Juistheid — gegevens moeten actueel zijn en kunnen worden gecorrigeerd.
- Opslagbeperking — u bewaart geen gegevens "voor altijd".
- Integriteit en vertrouwelijkheid — technische beveiliging (HTTPS, sterke wachtwoorden, beperkte toegang).
Het verantwoordingsbeginsel (artikel 5.2) gaat verder: u moet kunnen aantonen dat u conform bent. Zonder documentatie bent u in overtreding, zelfs als alles in orde is.
#Rechtsgronden: waarom mag u verwerken?
Elke verwerking moet steunen op één van de 6 rechtsgronden van artikel 6 GDPR. Voor een typische website:
| Verwerking | Geschikte rechtsgrond |
|---|---|
| Contactformulier | Toestemming OF gerechtvaardigd belang |
| Marketing newsletter | Expliciete toestemming (opt-in) |
| E-commerce klantenaccount | Uitvoering van een overeenkomst |
| Facturatie, boekhouding | Wettelijke verplichting |
| Cookies voor publieksmeting | Toestemming (met strikte uitzonderingen) |
| Strikt noodzakelijke cookies | Geen toestemming vereist |
| Marketing / retargeting cookies | Expliciete toestemming |
Veelvoorkomende fout: "gerechtvaardigd belang" inroepen voor alles. Voor marketing, newsletters en niet-essentiële cookies is toestemming verplicht.
#Cookies: wat aanbeveling 01/2023 van de GBA oplegt
In februari 2023 publiceerde de GBA haar aanbeveling 01/2023 over de verwerking van persoonsgegevens via cookies en andere trackers. Samen met de ePrivacy-richtlijn 2002/58/EG (omgezet in de Belgische wet betreffende de elektronische communicatie) gelden er strikte regels.
#Wat uw cookiebanner moet doen
- Voorafgaande toestemming vragen: niet-essentiële cookies worden niet geplaatst vóór een actie van de gebruiker.
- Weigeren moet even eenvoudig zijn als aanvaarden: een knop "Alles weigeren" op hetzelfde visuele niveau als "Alles aanvaarden". Een eenzame "Aanvaarden"-knop, of een "Weigeren"-knop verstopt achter drie menu's, is geen geldige toestemming.
- Geen vooraf aangevinkte vakjes (HvJ-EU Planet49, C-673/17).
- Granulariteit: toestemming per categorie (analyses, marketing…) mogelijk maken.
- Verder surfen ≠ toestemming.
- Intrekking moet even eenvoudig zijn als toestemming verlenen.
- Bewaring van toestemming: 6 tot 13 maanden maximum aanbevolen, daarna opnieuw vragen.
#Cookies zonder toestemming toegestaan
Enkel strikt noodzakelijke cookies zijn toegestaan zonder toestemming:
- Sessie-cookie, winkelwagentje, authenticatie
- Taalvoorkeur (door de gebruiker actief gekozen)
- Anti-fraude beveiliging
Tools voor publieksmeting zijn slechts onder zeer beperkte voorwaarden vrijgesteld. Standaard Google Analytics voldoet niet aan deze criteria en vereist dus toestemming.
#Verplichte vermeldingen op uw site
#1. Privacybeleid
Het centrale document. Artikel 13 GDPR somt de informatie op die bij verzameling moet worden verstrekt:
- Identiteit en contactgegevens van de verwerkingsverantwoordelijke
- Contactgegevens van de DPO indien aangewezen
- Doeleinden van de verwerking en rechtsgrond
- Gerechtvaardigde belangen als die als basis gelden
- Ontvangers van de gegevens (verwerkers: hosting, CRM, mailing…)
- Doorgiften buiten de EU en garanties
- Bewaartermijnen of criteria
- Rechten van de betrokkene: toegang, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar
- Recht om toestemming in te trekken op elk moment
- Recht om klacht in te dienen bij de GBA
- Verplicht of optioneel karakter van de verstrekking
- Bestaan van geautomatiseerde besluitvorming (profilering)
#2. Juridische vermeldingen
Verplicht door de artikelen VI.45 en XII.6 van het Wetboek economisch recht:
- Naam / vennootschapsnaam
- Geografisch adres (maatschappelijke zetel, geen postbus)
- E-mail en telefoonnummer
- Ondernemingsnummer (KBO / BTW)
- Bevoegd RPR
- Voor gereglementeerde beroepen: orde, toezichthoudende autoriteit, toepasselijke regels
#3. AV / verkoopvoorwaarden voor e-commerce
Bijkomende verplichting bij online verkoop (boek VI WER: 14 dagen herroepingsrecht, 2 jaar wettelijke garantie, vermelding van het EU ODR-platform…).
#Rechten van gebruikers (artikelen 15–22)
Elke bezoeker van wie u gegevens bezit, kan het volgende uitoefenen:
| Recht | Artikel | In de praktijk |
|---|---|---|
| Toegang | 15 | Een kopie ontvangen van de gegevens die u over hem bezit |
| Rectificatie | 16 | Een onjuist gegeven corrigeren |
| Wissing | 17 | "Recht om vergeten te worden" — onder voorwaarden |
| Beperking | 18 | Verwerking tijdelijk bevriezen |
| Overdraagbaarheid | 20 | Gegevens ontvangen in een gestructureerd formaat (CSV, JSON) |
| Bezwaar | 21 | Bezwaar maken tegen verwerking (vooral direct marketing) |
| Geautomatiseerde besluitvorming | 22 | Een louter algoritmische beslissing weigeren |
U heeft 1 maand (verlengbaar met 2 maanden bij complexiteit) om te antwoorden, gratis. Te late of uitblijvende antwoorden zijn één van de meest voorkomende klachtgronden bij de GBA.
#DPO (Functionaris voor Gegevensbescherming): voor wie?
Artikel 37 GDPR verplicht een DPO in 3 gevallen:
- U bent een overheidsinstantie of -orgaan.
- Uw kerntaken vereisen regelmatige en stelselmatige observatie op grote schaal.
- Uw kerntaken bestaan uit grootschalige verwerking van bijzondere categorieën gegevens.
De grote meerderheid van Belgische KMO's en zelfstandigen valt niet onder deze verplichting. Een interne contactpersoon aanwijzen blijft een goede praktijk.
#Register van verwerkingsactiviteiten (artikel 30)
Verplicht intern document voor elk bedrijf met 250+ werknemers, en voor kleinere structuren waarvan de verwerking niet incidenteel is, risico's inhoudt voor personen, of betrekking heeft op bijzondere categorieën gegevens. Concreet: vrijwel elke site die leads verzamelt of een klantenbestand bijhoudt.
Per verwerking moet het bevatten:
- Naam en contactgegevens van de verantwoordelijke (en DPO indien van toepassing)
- Doeleinden
- Categorieën van betrokkenen en gegevens
- Categorieën van ontvangers
- Doorgiften buiten de EU
- Bewaartermijnen
- Beschrijving van beveiligingsmaatregelen
De GBA stelt een gratis Excel-sjabloon beschikbaar op haar officiële website.
#Verwerkers: een contract (artikel 28) is verplicht
Elke leverancier die gegevens namens u verwerkt, is een verwerker in de zin van GDPR:
- Hosting (OVH, Combell, Vercel…)
- E-mailplatform (Mailchimp, Brevo, ActiveCampaign)
- CRM (HubSpot, Pipedrive)
- Analytics (Google Analytics, Plausible, Matomo)
- E-commerce platform (Shopify, gehoste WooCommerce)
Met elk moet u een DPA (Data Processing Agreement) ondertekenen. De grote leveranciers bieden er online een. Een webproject zonder lijst van verwerkers en ondertekende DPA's is in overtreding, zelfs als de rest perfect is.
#Doorgiften buiten de EU: het gevoelige onderwerp
Veel Amerikaanse tools dragen gegevens over naar de Verenigde Staten. Sinds het Schrems II-arrest (HvJ-EU, juli 2020) is het Privacy Shield ongeldig verklaard. Het EU-US Data Privacy Framework, in werking sinds juli 2023, herstelt een adequaatheidsbesluit, maar enkel voor gecertificeerde ondernemingen.
Voor elke tool nagaan:
- Is de leverancier DPF-gecertificeerd (raadpleeg dataprivacyframework.gov)?
- Zo niet: zijn er standaardcontractbepalingen (SCC's) ondertekend en aangevuld met een transferimpactanalyse (TIA)?
- Is opslag in de EU beschikbaar (vaak in Enterprise plannen)?
#Melding van datalekken (artikel 33)
Bij een lek (hacking, lek, foutieve configuratie) heeft u 72 uur om de GBA te melden indien het lek een risico inhoudt voor personen. Bij een hoog risico moeten ook de betrokkenen geïnformeerd worden (artikel 34).
De GBA aanvaardt meldingen via een online formulier op haar officiële website. Niet-meldingsplichtige lekken moeten intern gedocumenteerd worden.
#Conformiteitschecklist: 12 actiepunten
Voor een typische KMO/zelfstandige site, het essentiële:
- ✅ HTTPS actief op de hele site (geldig SSL-certificaat)
- ✅ Privacybeleid volledig conform artikel 13
- ✅ Juridische vermeldingen conform WER
- ✅ Cookiebanner met "Alles weigeren" op hetzelfde niveau als "Alles aanvaarden"
- ✅ Geen niet-essentiële cookies vóór toestemming
- ✅ Geen vooraf aangevinkte vakjes op formulieren
- ✅ Recht van bezwaar vermeld op elke marketingmail (1-klik uitschrijven)
- ✅ Verwerkingsregister up-to-date
- ✅ DPA's ondertekend met elke verwerker
- ✅ Gedocumenteerde procedure voor verzoeken van betrokkenen binnen 1 maand
- ✅ Gedocumenteerde beveiligingsmaatregelen (sterke wachtwoorden, MFA, back-ups, logging)
- ✅ Procedure voor lekmelding klaar (wie te contacteren, binnen welke termijn)
#Veelvoorkomende fouten vastgesteld door de GBA
Op basis van openbare beslissingen van de GBA zijn dit terugkerende inbreuken:
- Niet-conforme cookiebanner ("Aanvaarden" duidelijker dan "Weigeren", of geen weigeringsknop)
- Cookies geplaatst vóór toestemming (m.n. Google Analytics, Meta Pixel)
- Niet beantwoorden van toegangsverzoeken of antwoorden buiten de termijn van 1 maand
- Generiek privacybeleid gekopieerd van een andere site
- Newsletter zonder actieve opt-in
- Geen DPA ondertekend met de belangrijkste verwerkers
- Onbeperkte bewaring van leads in het CRM
#Hoeveel kost de inrichting voor een KMO-site?
Voor een KMO-vitrinesite of e-commerce in België, in 2026:
- Initiële GDPR-audit door een gespecialiseerde consultant: €800 – €2 500
- Consent Management Platform (CMP): €0 – €100/maand (Cookiebot, Axeptio, Didomi, of open source zoals Klaro)
- Opstellen van vermeldingen door een jurist: €400 – €1 200
- Externe DPO (indien nodig): €150 – €600/maand
Een KMO bereikt een solide niveau van conformiteit voor €1 500 tot €4 000 initiële investering, plus enkele tientallen euro's per maand voor de CMP. Te vergelijken met het maximum van 20 miljoen euro boete.
#FAQ
#Mijn site heeft enkel een contactformulier, ben ik echt betrokken?
Ja. Zodra een naam en e-mail worden verzameld, verwerkt u persoonsgegevens. Een privacybeleid, juridische vermeldingen en basisbeveiliging zijn verplicht.
#Is Google Analytics verboden in België?
Nee, maar standaardgebruik vereist voorafgaande, expliciete toestemming via een conforme cookiebanner. Alternatieven zijn Plausible (in EU gehost) of zelf gehoste Matomo, die — afhankelijk van configuratie — geen toestemming vereisen.
#Heeft mijn KMO een DPO nodig?
In de meeste gevallen niet. Een DPO is enkel verplicht voor overheidsinstanties en bedrijven waarvan de kerntaken bestaan uit grootschalige observatie of bijzondere categorieën gegevens. Een interne contactpersoon aanstellen blijft een goede praktijk.
#Mag ik het privacybeleid van een andere site kopiëren?
Nee. Elk beleid moet uw doeleinden, uw verwerkers en uw bewaartermijnen weergeven. Een gekopieerd generisch beleid is overigens één van de meest gemelde tekortkomingen door de GBA.
#Hoe lang mag ik leads van een contactformulier bewaren?
Er is geen vaste termijn opgelegd door GDPR — enkel het proportionaliteitsbeginsel. Voor een niet-omgezette lead is 2 tot 3 jaar een redelijke marge. Voor een actieve klant loopt de bewaring zolang de contractuele relatie duurt + de wettelijke termijnen (vaak 7 jaar voor Belgische boekhouding).
#Wat te doen bij een klacht van de GBA?
Antwoord snel en nauwkeurig. De GBA kiest vaak voor een pedagogische aanpak vóór sanctie als u uw goede trouw aantoont en de tekortkoming corrigeert. Laat u bij de eerste brief begeleiden door een gespecialiseerde jurist.
Onthoud: GDPR-conformiteit is geen project dat je "afrondt". Het is een continu proces van documentatie, herziening van verwerkers en verbetering. Maar 80 % van de waarde komt uit enkele weken gestructureerd werk — één van de beste investeringen die een Belgische KMO kan doen, zowel voor regelgevingsrisico als voor klantvertrouwen.
LeadCo Agency
Oprichter van LeadCo
Webontwikkelaar en conversie-expert gevestigd in Brussel. Ik bouw websites die uw bezoekers omzetten in betalende klanten.
Ontdek onze dienstenLees verder
