De meeste websites die ik controleer, voldoen niet aan de regels omdat het recht als laatste kwam — niet omdat de eigenaars er niet om geven. Het ontwerp werd goedgekeurd, de ontwikkelaar bouwde het, de site ging live — en toen dacht iemand aan de cookiebanner en plakte er een bovenop.
Die volgorde is het probleem. Tegen de tijd dat de banner komt, laden de lettertypen al van een server in een ander land, plaatst de kaart al cookies en draait het analysescript al voordat iemand ergens op heeft geklikt. De banner wordt een decoratie over beslissingen die zonder hem zijn genomen.
Een website is geen brochure met een privacyverklaring eraan vast. Elk element erop is een beslissing over de gegevens van iemand anders.
Elk element is een juridische beslissing
Wie een website bouwt, kiest niet alleen hoe die eruitziet. U kiest welke bedrijven de gegevens van uw bezoekers ontvangen, wanneer en op welke rechtsgrond. Een paar heel gewone voorbeelden:
- Webfonts. Lettertypen die rechtstreeks van de server van een derde worden geladen, sturen het IP-adres van elke bezoeker naar die aanbieder. In 2022 kende een Duitse rechter (LG München I) een bezoeker precies daarvoor schadevergoeding toe. De lettertypen zelf hosten kost niets en lost het op.
- Ingesloten video's en kaarten. Een YouTube-video of Google-kaart kan cookies plaatsen en externe servers benaderen zodra de pagina laadt. Een eenvoudige „klik om te laden”-placeholder lost dat op.
- Analyse. Trackingtools die identificatoren op het apparaat opslaan, hebben doorgaans eerst toestemming nodig. Privacyvriendelijke, cookieloze oplossingen vaak niet — dat is een ontwerpkeuze, geen juridisch detail.
- Contactformulieren. Elk formulier verzamelt persoonsgegevens. Wie ontvangt de inzendingen, waar worden ze bewaard en hoe lang?
- Chatwidgets, nieuwsbrieftools, boekingssystemen. Elk daarvan is meestal een verwerker die een overeenkomst nodig heeft (artikel 28 AVG) en een regel in uw privacyverklaring.
Niets hiervan is exotisch. Het is de normale anatomie van een bedrijfswebsite. Juist daarom hoort juridische kennis in de briefing, naast het kleurenpalet en de sitemap.
Wat de wet werkelijk vraagt
Zonder jargon komen de regels voor een gewone bedrijfswebsite neer op een handvol principes:
- Toestemming vóór niet-noodzakelijke cookies. Volgens de ePrivacy-regels (artikel 5, lid 3, van de ePrivacyrichtlijn, nationaal omgezet — in Nederland in artikel 11.7a Telecommunicatiewet) is voor het opslaan of uitlezen van informatie op het apparaat toestemming nodig, tenzij dat strikt noodzakelijk is voor de dienst waar de bezoeker om vroeg.
- Echte toestemming, geen truc. Het Hof van Justitie van de EU oordeelde in Planet49 (2019) dat vooraf aangevinkte vakjes geen geldige toestemming zijn. Europese toezichthouders verwachten dat „weigeren” even eenvoudig is als „accepteren”.
- Een rechtsgrond voor elke verwerking. Artikel 6 AVG: toestemming, overeenkomst, wettelijke plicht, gerechtvaardigd belang — u hebt er één nodig, en u moet weten welke.
- Transparantie. Artikel 13 AVG: vertel mensen in begrijpelijke taal wat u verzamelt, waarom, wie het ontvangt en hoe lang u het bewaart.
- Gegevensbescherming door ontwerp en door standaardinstellingen. Artikel 25 AVG eist letterlijk dat gegevensbescherming vanaf het begin in het systeem wordt ingebouwd. De wet zegt het zelf: eerst ontwerpen, niet later repareren.
- Zorgvuldigheid bij doorgifte buiten de EU. Veel tools sturen gegevens naar de VS. Het EU-VS Data Privacy Framework (sinds juli 2023) dekt gecertificeerde bedrijven, maar u moet nog steeds weten welke tools u gebruikt en op welke grond.
Waarom achteraf repareren duurder is
Het risico uit de krantenkoppen is de AVG-boete: tot € 20 miljoen of 4% van de wereldwijde jaaromzet. Voor een klein bedrijf is dat zelden de realistische dreiging. De realistische dreigingen zijn kleiner en komen vaker voor:
- sommaties van concurrenten of verenigingen — vooral gebruikelijk in Duitsland en Oostenrijk;
- claims van bezoekers voor immateriële schade op grond van artikel 82 AVG;
- klachten bij de toezichthouder, die vervolgens vragen stelt die u moet beantwoorden;
- en de stille kosten: delen van een site opnieuw bouwen die de eerste keer goed gebouwd hadden kunnen worden.
Een ingesloten kaart vervangen, lettertypen opnieuw hosten, de analyse omgooien en de privacyverklaring herschrijven na de lancering kost meer tijd dan het tijdens de bouw te doen. Juridische kennis, vroeg toegepast, is gewoon goedkoper.
Wat er verandert — en wat niet
In november 2025 stelde de Europese Commissie een „Digital Omnibus” voor die onder meer de cookieregels naar de AVG zou verplaatsen en enkele uitzonderingen zou invoeren, bijvoorbeeld voor bepaalde bereikmeting. Per oktober 2026 is dit deel nog een ontwerp: de Raad heeft geen onderhandelingsstandpunt vastgesteld en er is niets aangenomen.
De praktische regel is eenvoudig: bouw voor het geldende recht, niet voor een voorstel. De huidige toestemmingsregels gelden vandaag. Als de regels veranderen, is een site met een schone toestemmingslogica ook het makkelijkst aan te passen.
Een korte checklist voor uw volgende website
- Maak een lijst van elke externe dienst die de site laadt — vóór het ontwerp wordt goedgekeurd.
- Host lettertypen en essentiële scripts zelf waar dat kan.
- Zet video's, kaarten en social-media-embeds achter een klik-om-te-laden-placeholder.
- Blokkeer niet-noodzakelijke cookies tot er toestemming is; maak „weigeren” even zichtbaar als „accepteren”.
- Sluit verwerkersovereenkomsten met aanbieders van formulieren, hosting, nieuwsbrieven en chat.
- Schrijf de privacyverklaring op basis van de werkelijke opzet — niet op basis van een sjabloon.
Waar het om gaat
Recht is niet de vijand van goed ontwerp. Schone, snelle websites die alleen laden wat ze nodig hebben, zijn meestal zowel beter in lijn met de regels als prettiger in gebruik. Het beste moment om over de AVG na te denken, is wanneer u nog beslist wat de site moet worden. Daarna ontwerpt u niet meer — dan repareert u.
Wilt u weten waar uw huidige website staat? Onze gratis AVG- & cookiecheck laat zien wat er laadt, wat cookies plaatst en wat moet worden opgelost — en voor € 99 lossen wij het voor u op.
Jurist van opleiding, webbouwer van beroep. Goran schrijft over Europees digitaal recht — de AVG, de DSA en de AI-verordening — en wat dat betekent voor wie websites bouwt en beheert.
Bronnen
Dit artikel is algemene informatie en geen juridisch advies. Het geeft de stand van het recht weer op de datum van publicatie.