Een GDPR-proof website in België: checklist voor B2B

Een GDPR-proof website in België verzamelt alleen nodige data en trackt pas na toestemming.

Daarnaast leg je je afspraken met leveranciers contractueel vast, en ben je transparant over wat er met de data gebeurt.

Het verdict: GDPR is geen juridische formaliteit die je achteraf erbij plakt. Het is een set keuzes in je formulieren, je tracking en je hosting, en voor een B2B-site goed haalbaar.

Hieronder: een concrete checklist voor B2B-sites.

Wat de Gegevensbeschermingsautoriteit (GBA) verwacht, waar het vaak misgaat en hoe je het risico klein houdt.

Wat betekent GDPR-proof voor een B2B-website precies?

Dat elke plek waar je site persoonsgegevens aanraakt, voldoet aan de Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR).

De vier zones van je website

Voor een B2B-website zijn dat vier zones:

• Formulieren: contact, offerte, nieuwsbrief
• Tracking en cookies: analytics, advertenties, chat
• Externe diensten: hosting, CRM, e-mailtools
• Informatieplicht: je privacyverklaring en cookiebeleid

Zo hangen ze samen:

Ook B2B valt onder de AVG

Veel B2B-ondernemers denken dat de AVG vooral voor webshops en consumentenmerken geldt. Dat klopt niet.

Zodra je een naam, een zakelijk e-mailadres of een IP-adres verwerkt, val je onder de regels.

Drie voorbeelden die al volstaan:

• een contactformulier
• een nieuwsbriefinschrijving
• een Google Analytics-script

Het goede nieuws: voor een typische B2B-site is de lat goed haalbaar, als je de basis bewust inricht.

Wat zijn de regels rond cookies en tracking in België?

Geen voorafgaande toestemming, geen niet-essentiële cookies. Zo helder is de Belgische regel.

Welke cookies mogen zonder toestemming?

Alleen strikt noodzakelijke cookies mag je zonder toestemming plaatsen. Denk aan een winkelmandje, een ingelogde sessie of het onthouden van een taalkeuze.

Voor alle andere heb je vooraf de actieve toestemming van de bezoeker nodig.

Dat geldt voor analytics van derden, marketingcookies en trackingcookies.

Wat de GBA verwacht

De Gegevensbeschermingsautoriteit zet haar verwachtingen op haar pagina over cookies en traceringsmiddelen. Ze publiceerde ook een cookiechecklist.

Vier harde punten die in de praktijk vaak fout gaan:

• Toestemming moet vrij, specifiek, geïnformeerd en actief zijn. Een voorgevinkt vakje of een banner die zegt “door verder te surfen ga je akkoord” telt niet als geldige toestemming.
• Weigeren moet even makkelijk zijn als aanvaarden. Een banner met alleen een prominente knop “Alles aanvaarden” en een verstopte weigeroptie voldoet niet.
• Geen cookiewall. Je mag de toegang tot je site niet blokkeren voor wie de niet-essentiële cookies weigert.
• Een cookiebeleid is verplicht zodra je trackers plaatst, zodat bezoekers transparant zien wat er gebeurt.

Daarnaast moet een bezoeker zijn toestemming even makkelijk kunnen intrekken als hij ze gaf. Ook dat staat op de GBA-pagina.

Een goede banner in de praktijk

De GBA zet haar verwachtingen zelf op een rij op haar cookiepagina:

Tip: test je banner in een incognitovenster. Klik op weigeren en controleer of er daarna geen marketingcookies verschijnen.

Hoe je dat stap voor stap doet, lees je in cookies controleren.

Dat dit geen theorie is

De GBA beboette in 2022 de Belgische mediagroep Roularta met 50.000 euro voor cookies op haar nieuwssites, zo vat advocatenkantoor Stibbe de beslissing samen.

De vaststellingen:

• een zestigtal niet-noodzakelijke cookies werd geplaatst vóór de toestemming
• de informatie over cookies was onvoldoende
• toestemming intrekken was duidelijk moeilijker dan ze geven

De GBA oordeelde daarbij dat statistische cookies niet strikt noodzakelijk zijn. Ook voor analytics heb je dus vooraf toestemming nodig.

Wat dit concreet betekent voor B2B

Zet je analytics- en advertentiescripts pas aan nadat er toestemming is.

Niet bij het laden van de pagina.

Een goed ingestelde consent-tool die scripts blokkeert tot de bezoeker kiest, is hiervoor het werkpaard. Welke tool past, lees je in een cookie consent management platform kiezen.

Of een cookiebanner in jouw geval verplicht is, lees je in cookiebanner verplicht in België.

Google-tags en Consent Mode

Gebruik je Google Analytics of Google Ads, dan geef je de keuze van de bezoeker door met Consent Mode. Let op: Google zegt zelf dat Consent Mode geen banner of widget levert.

Je hebt dus nog altijd een consent-tool nodig. Consent Mode past alleen het gedrag van de Google-tags aan:

Hoe je dat instelt, lees je in Consent Mode v2 voor Google Ads en Google Analytics GDPR-conform.

Hoe maak je je formulieren GDPR-proof?

Vraag alleen wat je nodig hebt, zeg waarvoor je het gebruikt en verwar toestemming niet met functionaliteit.

Dataminimalisatie is hier het kernprincipe. Elk extra veld dat je niet gebruikt, is data die je onnodig bewaart en moet beveiligen.

Vier regels voor je B2B-formulieren

• Vraag minder. Een naam en een zakelijk e-mailadres volstaan meestal voor een eerste contact. Telefoonnummer, bedrijfsgrootte en budget kun je later in het gesprek ophalen. Dit is bovendien gewoon goede conversie-optimalisatie van formulieren: kortere formulieren leveren doorgaans meer leads op.
• Scheid toestemmingen. Een contactaanvraag verwerken mag op basis van het gesprek dat de bezoeker zelf start. Wil je iemand daarna ook nieuwsbrieven sturen, dan vraag je daar een aparte, niet-voorgevinkte opt-in voor.
• Wees expliciet over het doel. Een korte zin bij het formulier (“We gebruiken je gegevens enkel om je aanvraag te beantwoorden”) plus een link naar je privacyverklaring volstaat.
• Beveilig de doorgifte. Je site hoort over HTTPS te draaien zodat ingevulde gegevens versleuteld verzonden worden, en de inzendingen mogen niet eindeloos rondslingeren in een onbeveiligde mailbox.

Een voorbeeld

Stel: je offerteformulier vraagt naam, e-mail, telefoon, functie, bedrijfsgrootte, budget en een vinkje “ik wil de nieuwsbrief”, al aangevinkt.

Na de opkuis blijven naam, zakelijk e-mailadres en een vrij tekstveld over.

De nieuwsbrief krijgt een eigen, leeg vinkje.

Diezelfde discipline geldt voor je contactpagina, vaak het drukste formulier op een B2B-site. Alle details staan in een AVG-conform contactformulier.

Je privacyverklaring

Bij elk formulier hoort een link naar een heldere privacyverklaring. Wat daarin moet staan, lees je in een privacybeleid voor je website opstellen.

Vergeet ook de andere verplichte gegevens op je site niet, zoals je ondernemingsnummer.

Die staan in wettelijke vermeldingen op je website.

Wat is een verwerkersovereenkomst en heb je die nodig?

Een contract met elke externe partij die namens jou persoonsgegevens verwerkt. En ja, voor vrijwel elke B2B-site heb je er meerdere nodig.

De AVG verplicht dit zodra een leverancier data voor jou verwerkt.

Welke leveranciers je makkelijk vergeet

Denk aan de partijen achter je site:

• je hostingprovider
• je CRM
• je e-mailmarketingtool
• je formulier- of chatdienst
• je analytics-leveranciers

Stuk voor stuk verwerken zij gegevens van jouw bezoekers in jouw opdracht.

De grote platformen bieden hiervoor standaard een verwerkersovereenkomst, vaak Data Processing Agreement of DPA genoemd. Die aanvaard of onderteken je online.

Werk je met een webbureau dat toegang heeft tot je formulierdata? Ook dan heb je er een nodig, zoals we uitleggen in een verwerkersovereenkomst met je webbureau.

Twee aandachtspunten voor B2B in België

Houd een overzicht bij van welke diensten welke data zien. Dat is meteen de basis van je verwerkingsregister.

Let op waar de data terechtkomt. Worden gegevens buiten de Europese Economische Ruimte verwerkt, bijvoorbeeld bij Amerikaanse leveranciers? Dan moet er een geldige doorgiftegrond zijn, zoals de standaardcontractbepalingen van de Europese Commissie.

EU-hosting als eenvoudige uitweg

Het loont om bij de keuze van je tools te kijken of er een EU-hostingoptie bestaat.

Meer over die afweging lees je in webhosting in België kiezen en EU-hosting en data residency.

Meer controle over welke data naar welke leverancier gaat? Dat biedt server-side tagging.

Wat riskeer je als je site niet voldoet?

Een boete, maar vooral verloren vertrouwen.

De boetes volgens de AVG

De AVG kent twee boetecategorieën, vastgelegd in artikel 83 van de verordening:

De zwaarste overtredingen gaan tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, het hoogste van de twee.

Een tweede categorie, voor zaken als een ontbrekend verwerkingsregister of zwakke beveiliging, gaat tot 10 miljoen euro of 2 procent.

Wat de GBA in de praktijk doet

In de praktijk treft de GBA kleinere B2B-bedrijven zelden met de maximumbedragen. Ze kijkt naar de aard en ernst van de overtreding, het aantal betrokkenen en je medewerking.

De Roularta-zaak toont de orde van grootte: 50.000 euro voor een grote mediagroep.

Het echte risico: vertrouwen

Maar staar je niet blind op de boete. Het reëlere risico voor de meeste B2B-bedrijven is reputatieschade en verloren vertrouwen.

Drie dingen ondermijnen precies het signaal dat je site moet uitstralen:

• een opdringerige cookiebanner
• een formulier dat te veel vraagt
• een datalek dat je had kunnen voorkomen

Hoe je dat laatste voorkomt, lees je in websitebeveiliging voor B2B.

Privacy netjes regelen is ook gewoon een manier om vertrouwen te wekken op je B2B-website.

Bezoekers die zich gerespecteerd voelen, vullen makkelijker een formulier in.

Veelgestelde vragen over een GDPR-proof website in België

Heb ik als B2B-bedrijf een cookiebanner nodig?

Ja, zodra je niet-essentiële cookies plaatst, zoals analytics van derden of marketingcookies. Gebruik je alleen strikt noodzakelijke cookies, dan is toestemming niet nodig, maar moet je ze wel uitleggen.

Mag ik Google Analytics gebruiken op een Belgische website?

Ja, maar pas na toestemming. De GBA beschouwt statistische cookies als niet strikt noodzakelijk.

Is een cookiewall toegestaan in België?

Nee. Je mag de toegang tot je site niet weigeren aan bezoekers die niet-essentiële cookies weigeren.

Welke verwerkersovereenkomsten heb ik nodig?

Eén per leverancier die namens jou persoonsgegevens verwerkt: hosting, CRM, e-mailtool, formulier- of chatdienst en analytics.

De korte samenvatting

Een GDPR-proof website in België staat of valt met vier dingen:

1. verzamel alleen data die je echt gebruikt
2. vraag voorafgaande toestemming voor niet-essentiële cookies en tracking
3. leg met elke leverancier een verwerkersovereenkomst vast
4. wees transparant via een heldere privacyverklaring

De GBA-regels rond cookies zijn streng, maar voor een doordachte B2B-site goed haalbaar. Bouw je het vanaf het begin mee in, dan is naleving geen rem maar een vertrouwenssignaal.

Wil je dit goed verankerd in een site die leads oplevert? Lees onze complete gids over een B2B-website laten maken of bekijk hoe wij een website laten maken, met privacy en conversie hand in hand.

Neem contact op