Je website AVG-proof maken zonder onnodige cookiebanner

Bijna elke ondernemer die mij belt over de AVG begint bij de cookiebanner. Voor een bedrijfssite met een contactformulier, een kaartje en privacyvriendelijk ingestelde statistieken staat die banner onderaan mijn lijstje. Je regelt eerst drie dingen: een privacyverklaring die beschrijft wat je verzamelt, formulieren die alleen vragen wat je gebruikt, en een bewaartermijn per soort gegeven.

Toestemming vooraf hoort bij een vierde categorie: scripts die bezoekers over verschillende sites heen volgen. De Autoriteit Persoonsgegevens staat functionele cookies en privacyvriendelijk ingestelde analytische cookies toe zonder dat je iets hoeft te vragen. Een advertentiepixel valt daarbuiten, ook als je hem twee jaar geleden liet plaatsen en sindsdien nooit meer gebruikte.

Loop deze drie langs voordat je een banner installeert.

1. Laadt je site scripts van derden die gedrag volgen, zoals een Meta Pixel, een LinkedIn Insight Tag of remarketing van Google Ads?
2. Draait er Google Analytics, en zo ja, met de instellingen die de Autoriteit Persoonsgegevens voorschrijft?
3. Zet je zelf cookies die verder gaan dan inloggen, een winkelmandje of een taalkeuze?

Drie keer nee en je vraagt niets. Bij een ja op vraag 1 of 3 laad je het script pas nadat de bezoeker heeft geklikt, met een weigerknop die net zo zichtbaar is als de accepteerknop. Een balk waarin alleen "Alles accepteren" opvalt, levert geen geldige toestemming op. Die moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn.

Op het contactformulier van een installatiebedrijf in Almere stonden negen velden, waaronder geboortedatum en volledig adres. Voor een offerteaanvraag die per mail binnenkwam deed de helft daarvan niets. Dataminimalisatie is de regel erachter: schrap elk veld waarvan je niet kunt uitleggen waarom je het nodig hebt.

Het tweede punt zit achter het formulier. Waar komt een inzending terecht, hoe lang blijft hij daar staan, en wie kan erbij? Verstuur je via een externe formulierdienst, dan sluit je met die partij een verwerkersovereenkomst. Voor je mailprovider en je hostingpartij geldt hetzelfde.

Een vinkje voor de nieuwsbrief hoort los van het versturen zelf en staat nooit vooraf aangevinkt. Korte formulieren leveren bovendien meer aanvragen op, iets wat ik uitwerk in de opbouw van een landingspagina die converteert.

Een verklaring die klopt, benoemt per onderdeel:

• welke gegevens je verzamelt en met welk doel
• de grondslag per doel: toestemming, uitvoering van een overeenkomst of gerechtvaardigd belang
• hoe lang je elk soort gegeven bewaart
• met welke partijen je deelt, bij naam: je hostingpartij, je mailprovider, je boekhoudpakket
• hoe iemand inzage, correctie of verwijdering aanvraagt, plus de route naar de Autoriteit Persoonsgegevens

Gegenereerde verklaringen halen dit zelden. Ik lees teksten die Google Analytics, Facebook en een nieuwsbriefdienst opsommen op sites die geen van drieën draaien. Zo'n verklaring geeft onjuiste informatie over je eigen verwerking en kost je meer geloofwaardigheid dan ze oplevert.

Een consent-oplossing van een externe partij laadt vroeg, blokkeert het renderen en duwt je content omlaag zodra de balk verschijnt. Dat raakt je Largest Contentful Paint en je Cumulative Layout Shift, de meetpunten die ik bespreek in het artikel over Core Web Vitals.

Daarnaast speelt gedrag mee. Wie als eerste een keuzevenster ziet, moet iets wegklikken voordat hij aan jouw verhaal begint. Op een site die dat venster niet nodig heeft, levert elke extra klik en elke seconde vertraging alleen maar verlies op.

Een betaald consent management platform op een site met driehonderd bezoekers per maand en nul advertentiecampagnes is weggegooid geld. De goedkoopste route is daar ook de beste: haal de pixels weg die een vorige bouwer achterliet, zet je statistieken privacyvriendelijk in en schrap de balk. Je site wordt sneller en je hebt minder uit te leggen.

Dezelfde afweging geldt voor uitgebreide AVG-documentatie bij een eenmanszaak zonder personeel en zonder klantsysteem. Weet je niet welke scripts je site laadt, dan kom je daar in een half uur achter. Ik kijk in een korte check van je site graag met je mee.

De AVG noemt geen vaste termijn voor contactformulieren. Je bepaalt zelf wat redelijk is, legt dat vast en houdt je eraan. Voor een aanvraag die nergens toe leidde werkt een jaar prima; daarna verwijder je de mail en de regel in je formulierdatabase.

Voor een paar categorieën ligt de termijn wel vast. Facturen en administratie bewaar je zeven jaar volgens de fiscale bewaarplicht van de Belastingdienst. Sollicitatiegegevens verwijder je binnen vier weken na afronding van de procedure, of na een jaar als de kandidaat daarvoor toestemming gaf, aldus de Autoriteit Persoonsgegevens.

Zet die termijnen in één overzicht naast de gegevens die je verzamelt. Dat overzicht vormt meteen de basis van je privacyverklaring en van het verwerkingsregister waar een toezichthouder bij een controle om vraagt. Ik ben geen jurist; voor bijzondere persoonsgegevens of een complex klantsysteem laat je dit toetsen door iemand die dat wel is.