Privacy hoeft geen rem op je marketing te zijn. Het vraagt vooral om duidelijke keuzes: wat meet je, waarom, en wanneer vraag je toestemming? Dit artikel legt de praktische kant uit voor een mkb-website, van een kapsalon tot een webwinkel. Het is geen juridisch advies: twijfel je over jouw situatie, vraag dan een jurist of kijk bij de Autoriteit Persoonsgegevens.
Twee wetten die samen gelden
In Nederland gaan twee regelingen over cookies en persoonsgegevens op je site.
- De Telecommunicatiewet: het deel dat de cookiewet wordt genoemd. Die regelt wanneer je iets mag plaatsen of uitlezen op het apparaat van een bezoeker, zoals een cookie of een vergelijkbare techniek.
- De AVG: die regelt hoe je met persoonsgegevens omgaat, zoals een naam, e-mailadres of IP-adres. Ook gegevens uit cookies kunnen persoonsgegevens zijn.
De Autoriteit Persoonsgegevens (AP) publiceert op haar website praktische uitleg over cookies en privacy. Die uitleg is het beste startpunt als je twijfelt.
Welke cookies mogen zonder toestemming?
Niet elke cookie is hetzelfde. Het verschil zit in wat de cookie doet en wat het betekent voor de privacy van je bezoeker.
Functionele cookies
Cookies die nodig zijn om je site te laten werken, zoals een winkelmandje, een ingelogde sessie, beveiliging of het onthouden van een taalkeuze. Daarvoor heb je geen toestemming nodig. Je moet bezoekers wel informeren, bijvoorbeeld in je privacy- of cookieverklaring.
Analytische cookies
Cookies waarmee je meet hoe bezoekers je site gebruiken. Volgens de AP mag je die zonder toestemming plaatsen als ze weinig of geen gevolgen hebben voor de privacy van je bezoekers en je aan de voorwaarden voldoet. Denk aan afspraken met de leverancier van je meetprogramma, het niet delen van gegevens voor andere doeleinden en het beperken van wat je over een bezoeker vastlegt. Gebruik je een meetprogramma op een manier die verder gaat, dan heb je wel toestemming nodig.
Marketing- en trackingcookies
Advertentiepixels, remarketing en cookies die bezoekers over meerdere sites volgen. Daarvoor vraag je vooraf toestemming. Vooraf betekent: de cookie wordt pas geplaatst en het script laadt pas nadat de bezoeker ja heeft gezegd.
Een cookiemelding die klopt
Een melding is niet genoeg als de scripts al laden voordat iemand een keuze maakt. De techniek moet de keuze volgen. Let op deze punten:
- Weigeren is even makkelijk als accepteren: een knop om te weigeren staat even zichtbaar naast de knop om te accepteren, niet verstopt achter een extra scherm.
- Geen vooraf aangevinkte vakjes: toestemming geeft de bezoeker zelf, actief.
- Duidelijk taalgebruik: leg in gewone woorden uit wat je meet en met wie je gegevens deelt.
- Intrekken kan altijd: een bezoeker kan zijn keuze later aanpassen, bijvoorbeeld via een link onderaan elke pagina.
- Geen melding als het niet hoeft: gebruik je alleen functionele en privacyvriendelijke analytische cookies, dan heb je geen toestemmingsvraag nodig. Informeren blijft wel verplicht.
Formulieren zijn ook privacy
Over cookies wordt veel gesproken, maar de meeste persoonsgegevens komen binnen via je formulieren: een offerteaanvraag bij een installateur, een sollicitatie bij een uitzendbureau, een reservering bij een restaurant. Daar geldt de AVG volledig.
Vraag alleen wat je nodig hebt
Dataminimalisatie is een van de uitgangspunten van de AVG. Vraag alleen gegevens die je echt nodig hebt om de aanvraag op te volgen. Een geboortedatum of een volledig adres hoort niet in een eerste contactformulier, tenzij je dat nodig hebt voor wat de bezoeker vraagt.
Leg uit wat er gebeurt
Zet bij het formulier kort wat je met de gegevens doet en verwijs naar je privacyverklaring. Sla aanvragen op een beveiligde plek op, stuur ze niet door naar programma’s die er niets mee hoeven, en spreek af hoe lang je ze bewaart.
Let op je e-mail
Aanvragen komen vaak per mail binnen. Een mailbox die met meerdere mensen gedeeld wordt via één wachtwoord, of een gratis adres op een privéaccount, is een zwakke plek. Een zakelijke e-mail met eigen accounts per medewerker en tweestapsverificatie maakt dat beter beheersbaar.
Zo zet je het stap voor stap goed
- Inventariseer: welke cookies, scripts en pixels staan er nu op je site?
- Deel in: functioneel, analytisch of marketing.
- Stel je meetprogramma privacyvriendelijk in: of kies een programma dat weinig gegevens verzamelt.
- Laat marketing pas na toestemming laden: en test dat in een privévenster.
- Werk je privacyverklaring bij: met wat je verzamelt, waarom, hoe lang en met wie je het deelt.
- Kijk je formulieren na: schrap velden die je niet gebruikt.
Neem dit ook mee in je vaste onderhoud van de website: bij elk nieuw script of elke nieuwe koppeling hoort de vraag in welke groep het valt.
Hoe wij het aanpakken
Bij de websites die we bouwen laden marketingscripts pas na toestemming en vragen formulieren alleen wat nodig is om op te volgen. In hosting en beheer houden we de site veilig en bij. Welke teksten in je privacyverklaring horen, blijft een keuze van jou als verantwoordelijke; wij zorgen dat de techniek doet wat erin staat.
Veelgestelde vragen
Heb ik altijd een cookiemelding nodig?
Nee. Gebruik je alleen functionele cookies en analytische cookies die weinig of geen gevolgen hebben voor de privacy, dan hoef je geen toestemming te vragen. Je moet bezoekers wel informeren over welke cookies je gebruikt.
Mag de knop om te weigeren kleiner zijn dan accepteren?
Weigeren moet even makkelijk zijn als accepteren. Een verstopte of veel minder zichtbare weigerknop past daar niet bij.
Moet ik een privacyverklaring hebben?
Als je persoonsgegevens verwerkt, bijvoorbeeld via een contactformulier, moet je bezoekers informeren over wat je ermee doet. Dat doe je meestal in een privacyverklaring.