AVG-proof website: cookies, formulieren en analytics

Je wilt een website die voldoet aan de AVG. Geen juridische teksten, maar praktische uitvoerbare stappen. Dit artikel behandelt drie pijnpunten: cookies en het cookie‑banner, formulieren (contact, sollicitatie) en analytics. Ik geef concrete instellingen, een checklist en een tabel die direct toepasbaar is.

AVG‑regels zijn niet onverklaarbaar. De Autoriteit Persoonsgegevens heeft heldere uitgangspunten: doelbinding, minimale gegevensverwerking en transparantie. Zie ook de samenvatting op de site van de Autoriteit Persoonsgegevens voor de basisregels (AVG in het kort) en hun uitleg over cookies (Cookies en de telecomwet).

Stap 1 — Maak een cookie‑audit

Je begint met inzicht: welke cookies zet jouw site daadwerkelijk? Dat kun je handmatig of met tools doen. Noteer per cookie:

• naam
• doel (functioneel, voorkeur, statistiek, marketing)
• data die het verzamelt (bijv. session id, IP)
• bewaartermijn
• derde partij (bijv. analytics provider)

Tabel: cookietypes en wat je per type moet regelen

Let op: "functioneel" blijft soms een grijs gebied. Als een cookie meer doet dan strikt noodzakelijk, behandel het als statistiek of marketing.

Stap 2 — Cookiebanner en consent‑management

Een cookiebanner is geen designdingetje. Het is een proces: scannen, informeren, toestemming, en naleving (logboek). Praktisch:

• Toon de banner bij eerste bezoek. Niet alleen een "sluiten"-knop.
• Bied minimaal twee keuzes: noodzakelijke cookies en "alle overige" (of per categorie). Per categorie opt‑in.
• Sla toestemming op (timestamp, gekozen categorieën, bannerversie).
• Zorg dat je scripts pas laden nadat de bezoeker consent heeft gegeven voor die categorie.

Technisch: laad scripts via een tagmanager die consent‑aware is, of zet scripts dynamisch in na consent. Dit voorkomt dat analytics of marketing meteen data sturen.

Kostenschatting: een eenvoudige audit en banner: €300–€1.200, integratie van consent‑logic in complexe sites: €800–€3.000 (afhankelijk van tech en aantal third parties). Indicatie, verschilt per project.

Stap 3 — Formulieren veilig en AVG‑bewust

Formulieren zijn de grootste bron van overtollige data. Houd ze klein.

Praktische regels:

• Vraag alleen wat je nodig hebt. Verwijder velden die je niet direct gebruikt.
• Geen gevoelige gegevens vragen via standaard contactformulieren (geen BSN, medische info). Als het nodig is: leg uit waarom, en beveilig extra.
• Gebruik server‑side validatie en sanitatie. Client‑side is handig voor UX, maar geen beveiliging.
• Sla persoonsgegevens versleuteld op en denk na over retentie: bewaar niet permanent.
• Gebruik CAPTCHA of een honeypot tegen spam; leg vast dat dit een anti‑spammaatregel is.

Veiligheidstechnisch zijn dit geen nieuwe ideeën. Raadpleeg gerust de OWASP Top 10 voor risico's bij inputverwerking en SQL‑injectie‑preventie (OWASP Top 10).

Checklist formulierbeveiliging:

• Minimale velden
• Server‑side validatie & escaping
• HTTPS overal (let op cookies: secure flag)
• CSRF‑token bij sessiegebonden acties
• Versleutelde opslag van persoonsgegevens
• Retentie‑beleid en duidelijke melding in privacytekst
• Double opt‑in waar e‑mailadressen worden opgeslagen

Stap 4 — Analytics zonder privacy‑problemen

Je wilt metrics, maar niet meer dan nodig. Basisprincipes:

• Anonimiseer IP‑adressen waar mogelijk.
• Schakel features uit die User‑ID of cross‑device tracking doen, tenzij je dat hebt afgedekt in de grondslag en toestemming.
• Stel korte dataretenties in en controleer wie er toegang heeft.
• Laad analytics pas na toestemming voor statistiekcookies.

SEO en analytics hangen samen. Vergeet niet dat crawlers en zoekmachines je content moeten indexeren. Voor technische SEO en hoe Google pagina's ziet, is de Google Search Essentials een goede bron: Google Search Essentials.

Praktisch: als je Google Analytics of vergelijkbare tools gebruikt, controleer hun instellingen op dataretentie, IP‑anonymisatie en het uitschakelen van advertentiefuncties voordat je ze actief laadt.

Technische tips en valkuilen

• Server‑side tracking kan privacy verhogen: minder third‑party cookies, meer controle. Het vergt wel ontwikkeling en onderhoud.
• First‑party cookies zijn beter dan third‑party voor compatibiliteit met browser‑regels, maar bieden geen vrijbrief voor tracking zonder toestemming.
• Cookies in iframes of door advertentienetwerken kunnen alsnog data lekken. Minimaliseer externe scripts.

Checklist: concrete taken

• Audit alle cookies en maak een overzicht.
• Implementeer een consent‑manager die scripts blokkeert tot consent.
• Pas formulieren aan: minder velden, server‑side validatie, CSRF, honeypot.
• Verifieer analyticsinstellingen: anonimiseer IP, kortere retentie, geen User‑ID zonder grondslag.
• Update je privacypagina en koppel daar je cookiebeleid. Zie ook onze pagina over privacy: /privacy.
• Maak een operationeel retentie‑ en backupplan (backups versleuteld, beleid op papier).
• Documenteer keuzes en bewaar consent logs.

Kostenindicatie totaal (indicatief): een basisimplementatie: €1.000–€4.000; maatwerk en server‑side tracking: €4.000–€12.000. Afhankelijk van platform en aantal integraties.

Tot slot

De AVG is geen rem op meten of contact opnemen. Het dwingt je om selectiever te zijn en technisch strakker te werken. Bij DevCru bouwen we maatwerk en helpen we met integratie van consent‑managers en veilige formulieren zonder onnodige dataopslag. Voor wie een nieuwe site laat maken verwijzen we naar onze opties: /website-laten-maken.

Wil je een korte, vrijblijvende quote? Vraag er één aan via /quote.

Bronnen: zie Autoriteit Persoonsgegevens (AVG in het kort, Cookies en de telecomwet) en beveiligingsrichtlijnen (OWASP Top 10).