Een klant belde me vorige week. Ze had een brief gekregen van een advocatenkantoor. Iemand had via haar contactformulier een bericht gestuurd en wilde nu weten hoe zijn persoonsgegevens werden opgeslagen, hoe lang, en of er een verwerkersovereenkomst lag met de hostingpartij. De klant had geen idee. Het formulier stond er al jaren op. Ze had er nooit bij stilgestaan.
Dit is geen uitzondering. De meeste kleine bedrijven hebben een contactformulier, geen privacybeleid dat klopt, en geen idee wat de AVG van ze vraagt. Dit stuk legt uit wat je minimaal moet hebben geregeld.
Wat de AVG precies zegt over formulieren
De AVG — de Algemene Verordening Gegevensbescherming — geldt voor elk formulier waarop je persoonsgegevens verzamelt. Een naam en e-mailadres zijn persoonsgegevens. Een telefoonnummer ook. Zelfs een IP-adres dat je server logt op het moment van verzending valt eronder.
Dat betekent concreet: zodra iemand jouw contactformulier invult, ben jij als websitebeheerder de verwerkingsverantwoordelijke. Je bepaalt welke gegevens je verzamelt, waarvoor je ze gebruikt en hoe lang je ze bewaart. Die verantwoordelijkheid kun je niet wegschuiven naar de plugin die je gebruikt of de hostingpartij waar je op draait.
Wat de wet van je vraagt:
- Een geldige rechtsgrond voor de verwerking (meestal: gerechtvaardigd belang of uitvoering van een overeenkomst)
- Transparantie richting de invuller — die moet weten wat er met zijn gegevens gebeurt
- Een verwerkersovereenkomst met elke partij die de gegevens technisch verwerkt
- Een retentiebeleid: hoe lang bewaar je de inzendingen, en daarna weg
De meeste WordPress-sites met Contact Form 7 of Gravity Forms slaan inzendingen op in de database. Standaard worden ze nooit automatisch verwijderd. Dat is een probleem.
De verwerkersovereenkomst met je hostingpartij
Dit is waar het voor de meeste mkb-klanten misgaat. De formulierinzendingen staan op een server. Die server wordt beheerd door een hostingbedrijf. Dat hostingbedrijf verwerkt dus technisch gezien de persoonsgegevens van jouw bezoekers.
Volgens de AVG ben je verplicht om met die partij een verwerkersovereenkomst te sluiten. Dat is een schriftelijke overeenkomst waarin staat wat de hostingpartij wel en niet met de gegevens mag doen, hoe ze beveiligd worden, en wat er bij een datalek moet gebeuren.
Grote hostingpartijen bieden dit inmiddels standaard aan, soms als apart document dat je moet tekenen, soms als onderdeel van hun algemene voorwaarden. Controleer dit. Ga naar het klantenpaneel van je hostingpartij en zoek naar “verwerkersovereenkomst” of “DPA” (Data Processing Agreement). Als je het niet kunt vinden, vraag er dan expliciet naar via de support.
Als de hostingpartij geen verwerkersovereenkomst aanbiedt, is dat een serieus probleem. Niet alleen juridisch, maar ook als signaal over hoe serieus ze de beveiliging nemen.
Hetzelfde geldt voor e-mailmarketingdiensten als je formulierinzendingen doorstuurt naar een CRM of nieuwsbrieflijst. Elke schakel in de keten heeft een verwerkersovereenkomst nodig.
Wat er op je privacypagina moet staan
Je hebt een privacyverklaring nodig. Niet een stuk tekst dat je vijf jaar geleden van een andere site hebt gekopieerd en nooit meer hebt aangepast. Een verklaring die klopt voor jouw situatie.
De informatie van de Rijksoverheid over de AVG beschrijft welke onderdelen verplicht zijn. In de praktijk betekent dat voor een gewone zakelijke website minimaal het volgende:
- Wie de verwerkingsverantwoordelijke is (naam, adres, KvK-nummer)
- Welke persoonsgegevens je verzamelt en via welke kanalen
- Wat de rechtsgrond is voor elke verwerking
- Hoe lang je de gegevens bewaart
- Met welke derde partijen je de gegevens deelt (hostingpartij, e-maildienst, analytics)
- Welke rechten de betrokkene heeft (inzage, correctie, verwijdering)
- Hoe iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens
Die laatste punt wordt bijna altijd vergeten. Je bent verplicht om in je privacyverklaring te vermelden dat iemand een klacht kan indienen bij de toezichthouder.
Op het formulier zelf moet een link naar de privacyverklaring staan, bij voorkeur direct bij de verzendknop. Niet ergens verstopt in de footer. Zichtbaar, klikbaar, en de tekst eromheen moet duidelijk maken dat de invuller door te verzenden akkoord gaat met de verwerking van zijn gegevens — of in ieder geval weet dat die verwerking plaatsvindt.
Een checkbox voor akkoord is niet altijd verplicht. Als de rechtsgrond “gerechtvaardigd belang” is (wat bij de meeste contactformulieren het geval is), hoef je geen expliciete toestemming te vragen. Maar transparantie is altijd verplicht.
Technische instellingen die je nu kunt controleren
De juridische kant is één ding. De technische kant is minstens zo belangrijk, en die heb je zelf in de hand.
Sla geen inzendingen op als dat niet nodig is
Contact Form 7 slaat standaard geen inzendingen op in de database — tenzij je de Flamingo-plugin gebruikt. Gravity Forms doet dat wel standaard. Controleer in je formulierplugin of inzendingen worden opgeslagen, en zo ja: heb je die opslag nodig?
Als je de inzendingen per e-mail ontvangt en ze daarna verwerkt in je eigen systeem, is opslag in de database dubbelop en vergroot het je risico. Zet het uit, of stel een automatische verwijdering in na bijvoorbeeld dertig dagen.
HTTPS is niet optioneel
Elk formulier waarop persoonsgegevens worden ingevuld, moet via een beveiligde verbinding worden verstuurd. Dat betekent HTTPS, met een geldig SSL-certificaat. Als je site nog op HTTP draait, stop dan nu met lezen en regel dat eerst. De meeste hostingpartijen bieden gratis Let’s Encrypt-certificaten aan via het controlepaneel.
Spam en bots
Een contactformulier zonder spambeveiliging is een open uitnodiging. Maar pas op met de keuze voor beveiliging. Google reCAPTCHA v3 — de onzichtbare variant — stuurt gebruiksgegevens naar Google. Dat betekent dat je Google als verwerker moet opnemen in je privacyverklaring én dat je een verwerkersovereenkomst met Google nodig hebt (via de Google Cloud-voorwaarden).
Alternatieven zoals hCaptcha of een eenvoudige honeypot-techniek (een verborgen veld dat bots invullen maar mensen niet zien) zijn privacyvriendelijker en werken in de meeste gevallen goed genoeg.
Wat de server logt
Je webserver logt standaard het IP-adres van elke bezoeker. Dat is een persoonsgegeven. Controleer hoe lang je hostingpartij die logs bewaart en of dat in de verwerkersovereenkomst staat beschreven. Veel hostingpartijen bewaren serverlogbestanden standaard dertig tot negentig dagen. Zorg dat je dat weet en dat het in je privacyverklaring klopt.
Formulieren via e-mail doorsturen
Als de inzending via e-mail bij jou binnenkomt, verwerkt ook je e-mailprovider de gegevens. Gmail, Outlook, een zakelijk mailpakket bij je hostingpartij — ze zijn allemaal verwerkers. Controleer ook hier of er een verwerkersovereenkomst ligt.
Tot slot
Het contactformulier is het meest onderschatte onderdeel van een zakelijke website. Iedereen heeft er een. Bijna niemand heeft de bijbehorende zaken op orde.
Je hoeft hier geen jurist voor in te huren, maar je moet het wel serieus nemen. Begin met drie dingen: controleer of je een verwerkersovereenkomst hebt met je hostingpartij, zorg dat je privacyverklaring klopt en actueel is, en check of inzendingen onnodig lang worden bewaard.
De klant met de advocatenbrief heeft het inmiddels geregeld. Het kostte haar een middag. Ze had het vijf jaar eerder kunnen doen, maar dat is hoe dit soort dingen gaat. Wacht niet op een brief.