Een klant belde me op omdat ze een brief had gekregen van een advocaat. Iemand klaagde dat haar website geen duidelijke privacyverklaring had. Ze verkocht handgemaakte kaarsen via WooCommerce, verstuurde een nieuwsbrief en had een contactformulier. Drie kanalen waarlangs persoonsgegevens binnenkomen. Geen woord over hoe ze die gegevens verwerkte. Dat is een probleem, en niet alleen juridisch. Bezoekers vertrouwen je simpelweg minder als je er niets over zegt.
Wat de AVG van je verwacht
De Algemene Verordening Gegevensbescherming, beter bekend als de AVG, geldt voor elke website die persoonsgegevens verwerkt van mensen in de EU. Dat klinkt groter dan het is. Een naam en e-mailadres in een contactformulier zijn al persoonsgegevens. Een IP-adres ook. Zodra je Google Analytics draait of een nieuwsbrief verstuurt, ben je verwerkingsverantwoordelijke.
Wat moet er dan minimaal in je privacyverklaring staan? De wet is duidelijk:
- Wie ben je en hoe ben je bereikbaar
- Welke gegevens je verzamelt en waarom
- Op welke juridische grondslag je dat doet (toestemming, gerechtvaardigd belang, contract)
- Hoe lang je de gegevens bewaart
- Of je gegevens deelt met derden, en welke
- Welke rechten de bezoeker heeft (inzage, correctie, verwijdering)
- Of je gegevens buiten de EU doorgeeft
De informatie van de Rijksoverheid over de AVG is een goed startpunt als je wil begrijpen welke verplichtingen er precies gelden voor kleine ondernemers. Niet alles wat je op juridische blogs leest klopt namelijk, en de officiële tekst is minder ingewikkeld dan mensen denken.
Wat ik in de praktijk zie: veel mkb-sites hebben een privacyverklaring die ooit is gekopieerd van een andere site, nooit is bijgewerkt en verwijst naar tools die ze al lang niet meer gebruiken. Dat is erger dan niets, want het wekt vertrouwen dat niet terecht is. Als je Mailchimp hebt vervangen door ActiveCampaign, staat dat dan ook in je verklaring? Waarschijnlijk niet.
Hoe je de verklaring technisch goed op je WordPress-site zet
Een privacyverklaring is geen marketingtekst. Je hoeft er geen mooie opmaak op los te laten. Wat telt is vindbaarheid en leesbaarheid.
Maak een aparte pagina aan in WordPress. Geen subpagina, geen popup, geen tekst die je ergens in de footer hebt geplakt zonder eigen URL. Een eigen pagina, bereikbaar via een directe link. Die pagina zet je in de footer van je site. Niet alleen in een cookiebanner, niet alleen in de algemene voorwaarden. In de footer, altijd zichtbaar.
Paar concrete dingen die ik controleer als ik een site overneem:
- Staat de privacyverklaring in het footermenu? Niet als “Privacy” verstopt achter een dropdown, maar als directe link.
- Is de pagina niet uitgesloten van indexering? Controleer of er een
noindex-tag op staat. Soms zet iemand per ongeluk een hele categorie op noindex, inclusief juridische pagina’s. - Laadt de pagina zonder redirects? Een privacyverklaring die via drie redirects binnenkomt, is een teken dat er ergens iets mis is gegaan bij een migratie.
- Is de datum van de laatste update zichtbaar? Dat hoeft niet verplicht, maar het helpt bezoekers en toezichthouders om te zien of de verklaring actueel is.
Als je een contactformulier hebt, moet je ook op of direct bij dat formulier een verwijzing naar de privacyverklaring plaatsen. Niet in de kleine lettertjes, maar leesbaar. In Contact Form 7 doe je dat met een simpele tekstregel of een checkbox. In Gravity Forms heb je een veld voor aanvullende tekst onder het formulier. Gebruik dat.
Cookies zijn een apart hoofdstuk. Als je analytische of marketingcookies plaatst, heb je toestemming nodig voordat die cookies worden geplaatst. Dat betekent een cookiebanner die standaard op “weigeren” staat, niet op “accepteren”. Veel sites doen dit nog steeds verkeerd. De cookiebanner is technisch iets anders dan de privacyverklaring, maar ze horen wel naar elkaar te verwijzen.
Onderhoud: wanneer je de verklaring moet bijwerken
Een privacyverklaring is geen document dat je eenmalig schrijft en vergeet. Elke keer dat je iets wijzigt in hoe je gegevens verwerkt, moet de verklaring mee. Dat klinkt zwaar, maar in de praktijk zijn er maar een paar momenten waarop dit speelt.
Momenten waarop je de verklaring moet herzien:
- Je installeert een nieuwe plugin die gegevens verwerkt of doorgeeft aan een externe partij. Denk aan een chatwidget, een boekingtool, een betalingsprovider.
- Je schakelt over naar een andere e-mailmarketingdienst.
- Je gaat remarketing of advertenties via Meta of Google draaien.
- Je voegt een formulier toe voor een nieuw doel, zoals een vacatureformulier of een offerte-aanvraag.
- Je verplaatst je hosting naar een ander land, zeker als dat buiten de EU is.
Wat ik bij klanten doe: ik houd een eenvoudig tekstbestand bij met een overzicht van alle externe diensten die op hun site actief zijn. Elke keer dat er iets verandert, kijk ik of de privacyverklaring nog klopt. Dat kost vijf minuten per wijziging. Als je dat niet doet, is de kans groot dat je verklaring na een jaar al achterloopt op de werkelijkheid.
Een ander punt: als iemand je een verzoek stuurt om hun gegevens in te zien of te verwijderen, moet je dat binnen een maand afhandelen. Dat is een wettelijke termijn. Zorg dat je weet waar de gegevens van je bezoekers staan. In je CRM, in Mailchimp, in de WordPress-database via formulierinvoer. Als je dat niet weet, kun je het verzoek niet uitvoeren. Dat is een praktisch probleem, geen juridisch ver-van-je-bed-verhaal.
Tot slot nog iets over taalgebruik. Schrijf de privacyverklaring in begrijpelijk Nederlands. Geen juridisch jargon dat niemand leest. Korte zinnen, duidelijke kopjes per onderwerp, geen lappen tekst. Bezoekers die de verklaring willen lezen, moeten dat ook kunnen. En als de Autoriteit Persoonsgegevens ooit een klacht onderzoekt, is een verklaring die begrijpelijk is voor een gewone gebruiker een stuk sterker dan één vol met clausules die je ergens van internet hebt geplukt.
Tot slot
De kaarsenverkoper uit het begin heeft inmiddels een nette privacyverklaring. Het kostte ons samen twee uur: één uur om in kaart te brengen welke gegevens ze verwerkte, één uur om de tekst te schrijven en technisch goed te plaatsen. De advocatenbrief is niet verder gekomen dan een waarschuwing.
Je hoeft geen jurist te zijn om dit goed te doen. Je moet wel weten wat er op je site gebeurt met persoonsgegevens, en dat eerlijk opschrijven. Dat is het grootste deel van het werk. De rest is techniek, en die is makkelijker dan je denkt.