Je website ziet er mooi uit, laadt redelijk snel, en bezoekers kunnen vinden wat ze zoeken. Maar onder de motorkap is het een privacy-ramp. De cookiebanner heeft alle vakjes al aangevinkt voordat iemand op “accepteren” klikt. Google Analytics begint al te tracken voordat er toestemming is. Je contactformulier heeft een pre-ticked opt-in voor de nieuwsbrief. Google Fonts worden geladen vanaf Amerikaanse servers waardoor IP-adressen daar terechtkomen. Je privacy policy is gekopieerd van een template site en klopt niet met wat je website werkelijk doet. En dan zijn er nog de WordPress plugins die stiekem data naar externe servers sturen zonder dat je het doorhebt: Jetpack, bepaalde forms, social media integrations.
Elk van deze dingen is een GDPR-overtreding die kan leiden tot waarschuwingen of boetes van de Gegevensbeschermingsautoriteit. Het ironische is dat deze problemen vaak makkelijk op te lossen zijn als je weet waar je op moet letten. Maar de meeste webdevelopers en marketingbureaus begrijpen de GDPR onvoldoende, of ze negeren het omdat “iedereen het zo doet.” Het goede nieuws: een GDPR-compliant website is vaak ook sneller, gebruiksvriendelijker en converteert beter. Privacy en performance gaan hand in hand.
Wat er misgaat:
De cookiebanner heeft alle vakjes al aangevinkt. Bezoeker klikt "accepteren" en denkt dat het oké is. Maar volgens de GDPR moet toestemming "vrij gegeven zijn" zijn: dat betekent dat vakjes standaard UIT moeten staan.
Wat de wet zegt:
GDPR Artikel 4(11) + ePrivacy Directive. Toestemming is alleen geldig als het een actieve, bewuste keuze is. Pre-ticked boxes zijn expliciet verboden.
Hoe ik het oplost:
Cookiebanner configureren met alle vakjes uit, behalve "noodzakelijke cookies" die je niet mag weigeren. Plus: analytics/marketing scripts pas laden na expliciete toestemming.
Wat er misgaat:
Je website laadt lettertypes vanaf fonts.googleapis.com. Dat betekent dat elk bezoeker IP-adres naar Google stuurt. IP-adressen zijn persoonlijke data volgens de GDPR. Duitse rechters hebben hier al boetes voor uitgedeeld.
Juridische risico:
Data transfer naar de VS zonder toestemming. Schrems II-problematiek. Boetes tot €250.000 gezien in Duitsland.
Hoe ik het oplost:
Google Fonts lokaal hosten. De lettertypes zitten op jouw server, niet bij Google. Nul data lekkage + sneller laden (geen externe DNS lookup).
Wat er misgaat:
Google Analytics start al met tracken zodra iemand je site bezoekt, voordat de cookiebanner zelfs verschijnt. Of: de cookiebanner is er wel, maar de "weigeren" optie blokkeert GA niet echt.
Waarom dat illegaal is:
GA is geen "noodzakelijke cookie" - je hebt explicite toestemming nodig. Plus: GA4 stuurt data naar de VS wat Transfer Impact Assessment vereist.
Hoe ik het oplost:
Twee opties: (A) Cookiebanner correct configureren zodat GA pas na "ja" laadt, of (B) Switch naar privacy-vriendelijke analytics (Matomo, Plausible) die geen toestemming nodig hebben.
Wat er misgaat:
Je contactformulier heeft een vakje "Ja, stuur me de nieuwsbrief" dat al aangevinkt is. Of erger: er is helemaal geen keuze, het aanmelden gebeurt automatisch.
Juridisch probleem:
Toestemming voor marketing moet apart en expliciet zijn. Je mag het niet bundelen met een ander doel (contactaanvraag).
Hoe ik het oplost:
Formulier aanpassen: vakje voor nieuwsbrief staat uit, duidelijke tekst wat er gebeurt met de data, link naar privacy policy direct bij het formulier.
Wat er misgaat:
Je hebt YouTube video's geëmbed, Facebook widgets, Instagram feeds, Twitter tijdlijnen. Al deze embeds laden scripts van Big Tech die je bezoekers tracken - vaak zonder dat je het doorhebt.
Privacy-impact:
YouTube embed = Google tracking. Facebook widget = Meta tracking. Allemaal zonder toestemming van je bezoeker.
Hoe ik het oplost:
Privacy-vriendelijke embeds gebruiken: youtube-nocookie.com voor video's, of twee-klik oplossingen waarbij de embed pas laadt na expliciete klik van de bezoeker.
Wat er misgaat:
Je privacy policy is gekopieerd van een template. Het staat vol met Amerikaanse juridische termen. Of het vermeldt niet alle tools die je gebruikt (Google Analytics, Mailchimp, Hotjar, etc.).
GDPR-eis:
Artikel 13: je moet helder en volledig uitleggen welke data je verzamelt, waarom, hoe lang je het bewaart, en naar wie je het doorstuurt.
Hoe ik het oplost:
Privacy policy op maat schrijven: inventarisatie van alle tools, duidelijke Nederlandse tekst, regelmatige updates als je nieuwe tools toevoegt.
Wat er misgaat:
Jetpack stuurt site statistics naar WordPress.com. Contact Form 7 met Akismet stuurt alle form submissions naar Amerikaanse spam-filters. Social sharing plugins connecten met externe APIs. Je hebt geen idee waar je data naartoe gaat.
Compliance-issue:
Elke externe partij die data ontvangt = verwerker. Je hebt een verwerkersovereenkomst nodig (GDPR Artikel 28). De meeste gratis plugins hebben die niet.
Hoe ik het oplost:
Plugin audit: vervang privacy-onvriendelijke plugins door EU-alternatieven of bouw custom oplossingen. Plus: verwerkersovereenkomsten regelen met alle resterende externe diensten.
Ik bouw niet eerst een website en plak dan achteraf een cookiebanner op. Privacy zit vanaf dag 1 in de fundering. Hier is mijn proces.
Het mooie is dat GDPR-compliance je website vaak ook sneller maakt. En snelheid = betere gebruikerservaring = hogere conversie. Win-win-win.
Het probleem met traditionele websites:
Privacy-vriendelijke alternative:
Impact op conversie:
Google data toont: elke seconde sneller = 7% meer conversies. Pinterest zag 40% conversie stijging door 40% snellere laadtijd.
Google Fonts voorbeeld:
Andere optimalisaties die privacy + snelheid combineren:
Slechte cookiebanner UX:
Enorme pop-up die half je scherm blokkeert. "Accepteren" is een grote oranje knop. "Instellingen aanpassen" verbergt zich in klein lettertype. "Weigeren" moet je door drie schermen heen klikken. Resultaat: gebruikers zijn gefrustreerd voordat ze je content zien.
Goede cookiebanner UX:
Compacte banner onderaan. "Accepteren" en "Weigeren" even groot en zichtbaar. "Instellingen" voor wie dat wil. Na één klik verdwijnt het en komt het niet elke pagina terug. Gebruiker kan direct aan de slag.
Impact:
Betere UX = lager bounce rate. Study van ConsentManager toont: goede cookiebanner = 15% minder bounce vs. slechte banner.
Voor bestaande websites die privacy-problemen hebben.
Voor organisaties die een nieuwe website willen vanaf nul.
Voor webshops die klantdata verwerken en extra compliance nodig hebben.
Vraag gerust een voorstel op maat
Voor websites die blijvend compliant en up-to-date moeten blijven.
Ik werk niet met alle website platformen. Ik heb bewust gekozen voor WordPress en WooCommerce omdat:
WordPress heeft als open-source platform inherente voordelen voor privacy. Je bent niet afhankelijk van één commerciële partij die plotseling zijn privacy policy kan wijzigen. Je hebt volledige controle over waar je data staat – self-hosted betekent dat jij bepaalt of het in België, Nederland, of ergens anders in de EU staat. De plugin ecosysteem biedt privacy-vriendelijke alternatieven voor bijna alles, van analytics tot forms tot caching. En omdat WordPress meer dan 40% van het web draait, zijn er uitgebreide GDPR-tools beschikbaar die goed getest zijn.
Het belangrijkste voordeel is transparantie: je kunt precies zien wat er gebeurt omdat de code open is. Bij closed-source platforms zoals Wix, Squarespace of Shopify ben je afhankelijk van hun compliance claims – je kunt niet verifiëren wat er echt gebeurt onder de motorkap. Met WordPress kan ik elke plugin auditen, elke externe call traceren, en volledige controle garanderen.
WooCommerce heeft ingebouwde GDPR-tools sinds versie 3.4: klanten kunnen hun data exporteren en verwijderen via hun account. De checkout is configureerbaar zodat je alleen essentiële data verzamelt. Order geschiedenis kan automatisch geanonimiseerd worden na een bepaalde periode. En omdat het WordPress-based is, integreer je makkelijk met privacy-vriendelijke tools voor analytics, email marketing, en payment processing.
Het alternatief – platforms zoals Shopify – hebben weliswaar GDPR-features, maar je data staat op Amerikaanse servers en je hebt minder controle over de implementatie details. Voor bedrijven die privacy serieus nemen, is WooCommerce de logische keuze.
Jij focust op design en development, ik doe de privacy-laag:
Leer je team hoe ze privacy-first websites bouwen:
Ja, zonder uitzondering. De GDPR en ePrivacy Directive zijn hier glashelder over: toestemming moet "freely given" zijn. Pre-ticked boxes impliceren dat je toestemming verwacht, wat niet vrij is.
Uitzondering: "Noodzakelijke cookies" die strikt noodzakelijk zijn voor de basisfunctie van de site (login sessions, winkelwagentje) hoeven geen toestemming. Maar die vakjes mag je ook niet aanbieden - ze zijn gewoon altijd aan.
Analytics, marketing, social media cookies: Moeten expliciet geaccepteerd worden. Vakje staat uit, gebruiker zet het aan als ze willen.
Nederlandse/Belgische context: De Autoriteit Persoonsgegevens (NL) en GBA (BE) hebben beide boetes uitgedeeld voor pre-ticked boxes. Dit wordt actief gehandhaafd.
Technisch kan het, maar het is juridisch complex en praktisch lastig.
Problemen met Google Analytics:
Mijn advies:
Als je echt GA wil: Gebruik Google Analytics 4 via Google Tag Manager met consent mode V2, host via EU-regio's, doe Transfer Impact Assessment, en accepteer dat je minder data hebt.
Ze zijn niet per definitie illegaal, maar het laden vanaf Google servers is risicovol.
Juridische context: Duitse rechtbanken hebben boetes uitgedeeld (tot €250.000) voor websites die Google Fonts laden vanaf fonts.googleapis.com. Reden: IP-adressen worden naar Google gestuurd zonder toestemming, wat een GDPR-overtreding is.
Belgische/Nederlandse situatie: Nog geen precedent cases, maar de juridische redenering is hetzelfde. IP-adres = persoonlijke data. Google = Amerikaanse partij. Transfer zonder toestemming = overtreding.
Oplossing is simpel:
Tools die helpen: google-webfonts-helper.herokuapp.com
Alleen met plugins die data naar externe servers sturen.
Wanneer heb je een DPA (Data Processing Agreement) nodig:
Wanneer niet nodig:
Praktisch: Check in je browser devtools (Network tab): welke externe domeinen worden gecontacteerd? Voor elk uniek domein: check of je DPA hebt.
Mijn service: Ik doe plugin audits en regel alle DPA's die nodig zijn.
Hangt af van het doel waarvoor je het verzamelt.
Analytics data:
Form submissions:
WooCommerce orders:
GDPR-principe: Data minimalisatie. Bewaar alleen wat nodig is, niet langer dan nodig, en review regelmatig.
GDPR geeft gebruikers rechten die je moet respecteren binnen 30 dagen.
Recht op inzage (Artikel 15): Bezoekers kunnen vragen: welke data heb je over mij? Je moet een overzicht geven van:
Recht op verwijdering (Artikel 17 - "recht op vergeten worden"): Bezoekers kunnen vragen: verwijder mijn data. Je moet dit doen tenzij:
Praktische implementatie:
Mijn aanpak: Ik bouw een "Privacy verzoek" pagina waar bezoekers via formulier hun verzoek kunnen indienen. Geautomatiseerde flow stuurt email met verificatie link. Na verificatie: geautomatiseerde export of verwijdering (waar mogelijk).
Minimaal: elk keer dat je iets wijzigt aan je data verwerking.
Wanneer update nodig is:
Best practice: Jaarlijkse review, ook als er niets wijzigt. Check of alles nog klopt.
Communicatie: Als wijziging materieel is (bijvoorbeeld: je deelt data met nieuwe partijen), informeer actieve gebruikers via email of banner.
Mijn service: Bij website onderhoud pakketten check ik elk kwartaal of je privacy policy nog actueel is. Updates zijn inclusief.
01 — Privacy by↗AI is te waardevol om te negeren, maar ChatGPT en Claude zijn Amerikaanse tools met data transfer issues. Er zijn betere opties.
02 — Privacy by↗Veilige, robuuste hosting met preventie van datalekken of exploitatie van data.
03 — Privacy by↗Technische tracking tot ethische marketing met oog op data en privacy.
“De webshop die we voor ogen hadden is snel en vakkundig opgezet. Wij kunnen deze nu zelf beheren waardoor we uiteindelijk kosten besparen."
“Goede samenwerking, professioneel werk afgeleverd. De communicatie verliep eenvoudig waardoor je snel met elkaar kan schakelen.”
"Resultaatgericht, vlotte communicatie en betrouwbaar. Ze vragen feedback voor optimaal resultaat. Website werd snel afgeleverd."
"Revaio heeft ons goed geholpen met SEO & digital marketing. Het aantal backlinks is sterk gestegen wat onze Google rankings ten goede kwam. Verder heeft Revaio onze eerste digital marketing campagnes op Facebook & Google succesvol opgezet."
"Stijn is met Revaio onze held op gebied van online marketing. Hij onderhoud zelfstandig onze Facebook pagina, maakt doelgerichte advertenties en werkt aan de hand van duidelijke doelen."
"Heel prettig samengewerkt met Stijn. Snel in reactie en vlot in verbeteringen doorvoeren. Met een frisse nieuwe website als resultaat: vso-beoordeling.nl. Enorme aanrader!"
Laten we samenwerken!Stuur me een bericht met het antwoord op “Welke AI-tools gebruikt jouw team?” en ik stuur je binnen 24 uur een eerste risico-inschatting (gratis, geen verplichtingen).
Je krijgt meteen een bevestiging van letstalk@stijnbelmans.be.