Privacyverklaring en cookiemelding: zo doe je het juist

Consumenten zijn de voorbije jaren wantrouwig geworden, en ze handelen ernaar. Uit het Consumer Privacy Survey van Cisco blijkt dat 75% van de consumenten niet koopt bij een organisatie die ze niet vertrouwen met hun gegevens, en dat voor het eerst een meerderheid, 53%, zegt de privacywetgeving van zijn land te kennen. Mensen weten dus dat ze rechten hebben.

Andere cijfers wijzen in dezelfde richting: ongeveer 48% van de gebruikers stopte al met aankopen bij een bedrijf wegens privacyzorgen, en 63% vindt dat de meeste bedrijven onduidelijk zijn over wat ze met persoonsgegevens doen.

Zet dat naast je contactformulier. Iemand staat op het punt zijn naam, nummer en soms zijn adres achter te laten. Hij twijfelt niet of jij een goede vakman bent, hij twijfelt of hij straks gebeld wordt door drie andere bedrijven. Een korte, leesbare uitleg over wat je met zijn gegevens doet, is op dat moment geen juridische formaliteit maar een duwtje in de rug.

Je privacyverklaring is eigenlijk het antwoord op zes vragen die een klant redelijkerwijs mag stellen. Schrijf ze in die volgorde en je bent er:

1. Wie zijn jullie? Naam van je onderneming, adres, ondernemingsnummer en een e-mailadres waar iemand terecht kan met een vraag over zijn gegevens.
2. Welke gegevens houden jullie bij? Bijvoorbeeld naam, telefoonnummer, e-mailadres, adres van de werf, en wat je via je website meet.
3. Waarom? Om een offerte te maken, om te leveren, om te factureren, om een nieuwsbrief te sturen. Concreet, geen algemene formule.
4. Hoelang? Zeg een termijn. Bijvoorbeeld: offertegegevens houden we twee jaar bij, facturatiegegevens zeven jaar omdat de wet dat vraagt.
5. Wie krijgt ze nog te zien? Je boekhouder, je nieuwsbriefprogramma, je webshopplatform, je hoster. Noem ze bij naam.
6. Wat kan de klant doen? Zijn gegevens inkijken, laten aanpassen of laten verwijderen, en klacht neerleggen bij de Gegevensbeschermingsautoriteit.

De Gegevensbeschermingsautoriteit vraagt dat zo'n tekst geschreven is in taal die makkelijk toegankelijk is voor de betrokkenen. Een pagina die je zelf niet kunt uitleggen, is dus per definitie geen goede pagina. Eén A4 in gewone taal verslaat tien pagina's gekopieerd juridisch proza.

Hier maakt bijna elke kmo-website dezelfde fout: een balkje met één opvallende knop Alles aanvaarden, en wie wil weigeren moet eerst doorklikken naar instellingen. Dat is precies wat niet mag.

De Gegevensbeschermingsautoriteit is er expliciet over: een knop Alles aanvaarden moet vergezeld zijn van een even prominente knop Alles weigeren op hetzelfde niveau, weigeren mag niet meer moeite kosten dan aanvaarden, en cookiewalls die bezoekers buitensluiten als ze niet toestemmen, zijn verboden.

Nog drie zaken die vaak verkeerd zitten:

• Toestemming moet vooraf komen. Cookies plaatsen zodra iemand de pagina opent en pas daarna toestemming vragen, telt niet. Ook vooraf aangevinkte vakjes gelden niet als toestemming.
• Analytische cookies zijn niet vrijgesteld. Enkel strikt noodzakelijke cookies mogen zonder toestemming, zoals een winkelkarretje, een taalkeuze of beveiliging. Bezoekersstatistieken horen daar niet bij en hebben dus toestemming nodig.
• Intrekken moet kunnen. Voorzie een link of icoon waarmee iemand zijn keuze later kan wijzigen.

En je cookiebeleid moet vermelden welke cookies je gebruikt, waarvoor, hoelang ze blijven en wie ze plaatst. Weet je dat niet? Vraag het aan je webbouwer, want in de praktijk komen de meeste cookies van meegeleverde onderdelen zoals video's, kaartjes, lettertypes of chatvensters.

Eerlijk antwoord: voor een kleine Belgische kmo is de kans op een cookieboete klein, maar niet nul, en het gaat niet enkel over boetes. Een overzicht van de Belgische cookiehandhaving telde twaalf beslissingen sinds de eerste boete in 2019, met bedragen van 15.000 euro tot 50.000 euro. Die dossiers gingen vooral over grote mediaspelers.

Wat wel opvalt in datzelfde overzicht: de Gegevensbeschermingsautoriteit legde na 2022 minder klassieke boetes op en werkt sindsdien met dwangsommen, dus bedragen per dag zolang de overtreding voortduurt. Dat verlegt het risico van een eenmalige tik naar een aanhoudende kost.

Voor een kmo is het praktische risico bovendien zelden een inspecteur. Het is een klacht van een klant of een ex-medewerker, of een concurrent die iets meldt. Eén klacht volstaat om een dossier te openen, en dan begint het gesprek over wat je precies bijhoudt en waarom.

Belangrijker dan de boete is de dagelijkse winst. Een leesbare privacyverklaring en een eerlijke cookiemelding kosten je één namiddag en één gesprek met je webbouwer, en ze werken elke dag mee aan het vertrouwen van elke bezoeker.

Praktisch plan voor wie geen jurist in dienst heeft:

1. Maak een lijstje van wat je bijhoudt. Loop je systemen af: mailbox, boekhoudprogramma, nieuwsbrieftool, webshop, contactformulier, camerabeelden. Wie iets bijhoudt zonder te weten waarom, kan het meestal schrappen. Dat is de goedkoopste privacymaatregel die er bestaat.
2. Schrijf je privacyverklaring zelf, als antwoord op de zes vragen hierboven. Laat ze eventueel nakijken, maar begin met je eigen woorden.
3. Vraag je webbouwer welke cookies je site plaatst en laat de cookiemelding aanpassen zodat weigeren even makkelijk is als aanvaarden.
4. Beperk je formulieren. Vraag alleen wat je nodig hebt om te antwoorden. Minder velden betekent meer invullingen en minder risico.
5. Zet één zin bij je formulier. Bijvoorbeeld: we gebruiken je gegevens enkel om je vraag te beantwoorden en geven ze niet door aan derden. Dat ene zinnetje neemt bij een twijfelende bezoeker meer weg dan je hele privacypagina.

Privacy is één van de signalen waarop bezoekers je zaak beoordelen, samen met je https-slotje, je contactgegevens, je reviews en je vindbaarheid. Wil je weten hoe jouw website daarop staat? Doe de gratis marketing scan van Marketing Scan: enkele minuten werk en je krijgt een helder rapport in mensentaal, met de punten waar je meteen mee vooruit kunt.