Hoe voldoe je aan de AVG-vereisten voor websites (gids 2026)

Om te voldoen aan de AVG moet je alle "gegevensverwerkings"-activiteiten op je website monitoren en rechtvaardigen. De AVG gaat niet over cookiebanners of gebruikers die op "alles accepteren" klikken. Vanaf het begin was het doel van de AVG om bedrijven te verplichten zo min mogelijk persoonsgegevens te verzamelen en privacy in systemen in te bouwen, ongeacht toestemming.

Elke gegevensverwerking die niet strikt noodzakelijk is, heeft een rechtvaardiging nodig. Je kunt niet rechtvaardigen wat je niet kunt zien:

• De tientallen verwerkers die op je site actief zijn (chatbots, advertentiepixels en analysetools)
• Onverwachte "datatrackers" (lettertypebibliotheken of performancescripts die IP-adressen of geolocatie verwerken)
• Kwaadaardige scripts die persoonsgegevens stelen voordat server-beveiligingstools dit opmerken (zoals de aanval op British Airways)

Samenvatting

• AVG-artikelen 6, 13 tot en met 15, 25, 28, 30 en 32 bevatten allemaal websitespecifieke vereisten waaraan organisaties moeten voldoen.
• Een cookiebanner of Consent Management Platform (CMP) helpt bij het vastleggen van toestemming, maar garandeert op zichzelf geen AVG-compliance.
• AVG-compliance kan wegglijden wanneer nieuwe scripts, plugins of tags worden toegevoegd die gegevens verzamelen zonder dat privacyteams dit opmerken.
• Kwaadaardige websitescripts kunnen persoonsgegevens lekken vóórdat encryptie en server-beveiligingstools ingrijpen (bedrijven worden hiervoor beboet onder Artikel 32).
• Een volledig compliant website omvat een complete AVG-compliancestack: infrastructuur en interne controls via tools zoals Vanta, CMP's zoals OneTrust, en client-side compliance met cside.

AVG-vereisten die van toepassing zijn op je website (client-side)

    <tr>
      <td>
        <strong>Transparante informatie verstrekken aan gebruikers</strong><br>
        <span class="article-ref">(Artikelen 12–14)</span>
      </td>
      <td>
        <ul>
          <li>Privacyverklaring met duidelijke gegevenscategorieën en doeleinden</li>
          <li>Validatie dat de verklaringen overeenkomen met het werkelijke trackinggedrag van de website</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Gegevensblootstelling voorkomen met passende waarborgen</strong><br>
        <span class="article-ref">(Artikelen 30 &amp; 32)</span>
      </td>
      <td>
        <ul>
          <li>Continue websitemonitoring op ongeautoriseerde gegevensverzameling</li>
          <li>Detectie van scriptinjecties en risicovolle DOM-wijzigingen die gegevens lekken</li>
        </ul>
      </td>
    </tr>

    <tr>
      <td>
        <strong>Verwerking door derden documenteren en toezicht houden</strong><br>
        <span class="article-ref">(Artikelen 25, 28 &amp; 30)</span>
      </td>
      <td>
        <ul>
          <li>Verwerkingsregister (RoPA) dat aangeeft welke verwerkers gegevens ontvangen en waarheen deze worden verzonden</li>
          <li>Geordende registratie van maatwerk- of gestandaardiseerde DPA's</li>
          <li>Documentatie van grensoverschrijdende gegevensoverdrachten</li>
        </ul>
      </td>
    </tr>
  </tbody>
</table>

Een geautomatiseerde methode om verwerkers van derden te detecteren is via een gratis websitescan of een tool voor continue monitoring. Houd een lijst bij van alle leveranciers die persoonsgegevens verwerken die via je site worden verzameld en voeg ze toe aan je DPA-inventaris.

Hoe cside helpt met de AVG-vereisten voor verantwoording van verwerkers:

• Monitort scripts van derden om te controleren of verwerkers niet meer gegevens verzamelen dan je overeenkomst toestaat.
• Ontdekt "verwerkers" op je website door live scripts en scriptgedrag te scannen, zodat je DPA-inventaris actueel blijft.
• Markeert wanneer nieuwe scripts worden toegevoegd of wanneer bestaande leveranciers code aanpassen op een manier die verandert hoe zij persoonsgegevens verwerken, waardoor teams worden aangespoord tot een DPA-beoordeling.
• Brengt gegevensoverdrachten tussen regio's in kaart ter ondersteuning van documentatie.

Hoe voldoe je aan AVG Artikel 30: Register van verwerkingsactiviteiten

Wat het artikel vereist: Verwerkingsverantwoordelijken en verwerkers moeten een schriftelijk register bijhouden van alle verwerkingsactiviteiten van persoonsgegevens. Dit register (vaak RoPA genoemd) moet bevatten welke persoonsgegevens worden verwerkt, waarom ze worden verwerkt, wie ze ontvangt, waar ze worden opgeslagen of overgedragen, hoe ze worden beschermd en hoe lang ze worden bewaard.

In de praktijk: Artikel 30 gaat over het aantonen aan toezichthouders dat je de gegevensstromen binnen je organisatie begrijpt. Dat omvat het weten welke scripts persoonsgegevens verzamelen, welke leveranciers deze ontvangen en of er overdrachten plaatsvinden buiten de EU.

RoPA-registers omvatten doorgaans alle verwerkingsactiviteiten van de organisatie, niet alleen wat er online gebeurt. Dat betekent ook het documenteren van hoe interne teams zoals HR, IT en klantenservice persoonsgegevens gebruiken.

Artikel 30 is in het algemeen alleen van toepassing op bedrijven met 250 of meer medewerkers. Toch zijn ook kleinere bedrijven onder bepaalde omstandigheden verplicht dit artikel na te leven.

Om op je website te voldoen:

• Wie, wat, waar: Houd een register bij van alle scripts en tools van derden die persoonsgegevens verwerken. Noteer welk type gegevens ze verwerken en waarheen die gegevens worden verzonden (met name als ze de EU verlaten).
• Bewaring: Documenteer hoe lang elke categorie gegevens wordt bewaard en wanneer deze wordt verwijderd of geanonimiseerd.
• Beveiliging: Leg vast welke technische of organisatorische maatregelen die gegevens beschermen, zoals encryptie, toegangscontroles of op toestemming gebaseerde activering.

Hoe cside helpt met het AVG-register van verwerkingsactiviteiten:

• Levert geverifieerde gegevens ter onderbouwing van je RoPA, zodat privacyteams live bewijs hebben van welke leveranciers gegevens verwerken op je website.
• Genereert 24/7 auditklare rapporten van elke scriptactie en gegevensoverdracht voor regulatoire beoordeling.
• Toont aan dat client-side beveiligingsmaatregelen aanwezig zijn ter ondersteuning van de RoPA-documentatie van gegevensbescherming.
• Visueel dashboard van gegevensoverdrachten tussen regio's ter ondersteuning van de RoPA-documentatie onder Artikel 30.

RoPA-sjabloon

Bekijk dit RoPA-sjabloon van de ICO (Information Commissioner's Office) als startpunt voor het documenteren van deze activiteiten.

Hoe voldoe je aan AVG Artikel 32: Beveiliging van de verwerking

Wat het artikel vereist:

Organisaties moeten technische en organisatorische maatregelen implementeren om de vertrouwelijkheid en beschikbaarheid van persoonsgegevens te waarborgen. Dit omvat onder meer encryptie, toegangscontrole voor medewerkers en contractors, regelmatige tests en processen om beveiligingsincidenten te detecteren, erop te reageren en ervan te herstellen.

In de praktijk:

Je moet aantonen dat je systemen (gedurende de gehele gegevenslevenscyclus) zijn ontworpen om ongeautoriseerde blootstelling van gegevens te voorkomen.

Je website beveiligen (het punt van verzameling):

• Zorg ervoor dat formuliervelden, betaalpagina's en KYC-stromen (rijbewijzen, paspoortsscans) beschermd zijn tegen JavaScript-injectie of keylogging.
• Monitor scripts van derden op tekenen van gegevensexfiltratie of ongeautoriseerde netwerkverzoeken, met name die welke worden geladen vanuit nieuw toegevoegde of onbekende domeinen.
• Handhaaf basiscontroles met CSP en SRI om goedgekeurde scripts te laten uitvoeren. Gebruik voor grotere websites een tool voor continue monitoring die JavaScript-uitvoering en DOM-manipulaties in realtime inspecteert.
• Bewaar gehashte versies van goedgekeurde scripts zodat je kunt terugkeren naar een veilige versie als er manipulatie of verdachte netwerkactiviteit wordt gedetecteerd.

Gegevens in transit beveiligen:

• Gebruik end-to-end-encryptie om te zorgen dat gegevens niet kunnen worden gelezen terwijl ze tussen systemen worden verzonden.
• Beveilig je API's en authenticatie. Steeds meer websites implementeren door LLM gegenereerde code die API-sleutels en toegangstokens onjuist afhandelt.

Gegevens in opslag beveiligen:

• Verminder herkenbaarheid waar mogelijk met pseudonimisering of het redigeren van persoonsgegevens.
• Gebruik sterke encryptie voor alle opgeslagen persoonsgegevens.

Gegevenstoegang door interne belanghebbenden beveiligen:

• Handhaaf het principe van minimale rechten voor toegang tot persoonsgegevens.
• Voer privacybeveiligingstrainingen uit om medewerkers te informeren over phishing en wachtwoordhygiëne.

Wat betreft het reageren op incidenten:

• Detecteren: Integreer SIEM-platforms voor gebeurteniscorrelatie en realtime waarschuwingen. Implementeer runtime-monitoringtools voor client-side systemen om verdachte signalen te herkennen en je team te waarschuwen voordat een datalek optreedt.
• Waarschuwen: Test je waarschuwingsmechanismen regelmatig om te controleren of integraties naar verwachting werken. Voer af en toe client-side penetratietests uit om te controleren of waarschuwingsmechanismen niet kunnen worden onderdrukt.

Op grond van Artikel 33 van de AVG moeten verwerkingsverantwoordelijken de autoriteiten binnen 72 uur na het ontdekken van een datalek op de hoogte stellen.

Hoe cside helpt met de AVG-beveiliging van de verwerking

• Beschermt gevoelige formulieren door JavaScript-injecties, keyloggingpogingen of ongeautoriseerde gegevensvastlegging te detecteren.
• Monitort scripts van derden op tekenen van verdachte activiteit en markeert automatisch nieuw toegevoegde, niet-goedgekeurde domeinen of gewijzigde leverancierscode die AVG-risico's met zich meebrengt.
• Houdt toezicht op JavaScript-uitvoering en DOM-wijzigingen die persoonsgegevens kunnen lekken.
• Genereert gedetailleerde logboeken die aantonen dat client-side beveiligingsmaatregelen aanwezig zijn ter nakoming van de verplichtingen onder Artikel 32 rondom "ongeautoriseerde blootstelling" van persoonsgegevens.
• Verdedigt tegen client-side aanvallen die webbeveiligingswaarschuwingen onderdrukken.

Met meer dan 380.000 client-side aanvallen in 2025 is code van derden een van de grootste aanvalsoppervlakken voor persoonsgegevens geworden. Een van de meest significante AVG-inbreuken (het British Airways-incident, boete van €20 miljoen) werd uitgevoerd via een scriptinjectie op hun website.

Wanneer gebruikers formulieren invullen of interactie hebben met je chatwidgets, kunnen hun persoonsgegevens worden gestolen voordat ze je encryptietools of beveiligde backendsystemen bereiken. Daarom is client-side beveiliging een kernonderdeel van moderne AVG-compliance.

Welke tools moet ik gebruiken voor AVG-compliance?

AVG-compliance wordt niet afgedekt door één enkel tool. Het vereist meerdere lagen van controls, elk ontworpen om een ander deel van de gegevenslevenscyclus aan te pakken. Veel van deze tools zijn gebouwd om meerdere privacy- en beveiligingskaders te ondersteunen (bijv. AVG, SOC 2, ISO 27001, PCI DSS), dus de meeste organisaties hebben al onderdelen van deze stack in gebruik.

<compare-table data='{ "head_class": "!font-normal !bg-white", "cols": { "layer": { "title": "Compliancelaag" }, "covers": { "title": "Wat deze laag dekt" }, "tools": { "title": "Voorbeeldtools" }, "frameworks": { "title": "Relevante kaders" } }, "rows": [ { "layer": "Laag 1: Infrastructuurbeveiliging en compliance", "covers": "Beveiligt back-endsystemen, cloudinfrastructuur, toegangscontroles en interne processen", "tools": "Vanta, Drata, Sprinto", "frameworks": "SOC 2, ISO 27001, interne controls" }, { "layer": "Laag 2: Toestemmingsbeheer", "covers": "Legt gebruikerstoestemming vast, beheert voorkeuren en ondersteunt DSAR-workflows en transparantievereisten", "tools": "OneTrust, Transcend, Ketch", "frameworks": "AVG-toestemming, DSAR's, CPRA, andere privacywetten" }, { "layer": "Laag 3: Client-side compliance van de website", "covers": "Beschermt tegen datalekken op websites en monitort hoe scripts worden uitgevoerd, welke gegevens ze verzamelen en of code van derden zich gedraagt zoals bedoeld.", "tools": "cside Privacy Watch", "frameworks": "AVG Art. 28, 30, 32, PCI DSS 6.4.3 / 11.6.1, CCPA, Amerikaanse staatswetten" } ] }'

Is een cookiebanner voldoende voor AVG-compliance? (nee)

Beperkingen van cookiebanners

Een cookiebanner of CMP helpt bij het vastleggen en beheren van gebruikersvoorkeuren, maar garandeert niet dat die voorkeuren worden nageleefd of dat persoonsgegevens volledig zijn beschermd. Om duidelijk te zijn: CMP's zijn een belangrijk hulpmiddel dat aanwezig moet zijn in een AVG-compliancestack. Maar een CMP alleen dekt niet alle lagen van AVG-websitecompliance.

Beperkingen van cookiebanners:

• Verkeerde codeconfiguraties kunnen ertoe leiden dat cookiebanner-voorkeuren worden genegeerd (zoals onjuiste integraties met Google Tag Manager)
• Gegevensverzameling kan toch worden geactiveerd door hardgecodeerde triggers of scripts die buiten de controle van de CMP zijn geïmplementeerd
• CMP's beschermen niet tegen client-side aanvallen (JavaScript-injectie, formjacking) die persoonsgegevens stelen, waarvoor bedrijven kunnen worden beboet onder Artikel 32
• Scripts van derden updaten hun code regelmatig. In sommige gevallen wordt de gegevensverzameling uitgebreid buiten wat gebruikers hebben "geaccepteerd".

Hoe cside Privacy Watch AVG-risico's op websites elimineert

1. Continue zichtbaarheid in websitegegevensverwerking

Privacyteams kunnen verwerking die ze niet kunnen zien niet rechtvaardigen of documenteren. cside houdt in de gaten hoe eigen scripts en scripts van derden zich in de browser gedragen, over alle pagina's heen.

• Ontdekt alle scripts, trackers en ingebedde derde partijen die op je site actief zijn
• Toont welke persoonsgegevens tijdens runtime worden benaderd, verzonden of blootgesteld
• Waarschuwt teams wanneer nieuwe scripts of leveranciers worden geïntroduceerd die mogelijk beoordeling, DPA-wijzigingen of RoPA-wijzigingen vereisen

2. Handhaving van toestemming en rechtmatige verwerking

Toestemming heeft alleen waarde als deze tijdens runtime wordt gehandhaafd. cside verifieert dat scripts toestemmingskeuzes en rechtmatige grondslagen respecteren naarmate je website evolueert.

• Detecteert scripts die worden uitgevoerd vóór toestemming of buiten goedgekeurde categorieën
• Markeert overmatige gegevensverzameling door scripts, plugins of code van derden
• Valideert dat verwerking plaatsvindt binnen de opgegeven toestemming en rechtmatige doeleinden

3. Toezicht op en documentatie van verwerkers van derden

Scripts van derden fungeren als verwerkers onder de AVG. Scripts zijn van nature dynamisch, waardoor hun gedrag zonder kennisgeving kan veranderen. cside helpt teams auditklaar toezicht te handhaven.

• Monitort codewijzigingen van leveranciers die de gegevensverzameling uitbreiden
• Identificeert subverwerkers (scripts van vierde partijen) en onverwachte gegevensoverdrachten
• Ondersteunt RoPA- en DPA-documentatie met geverifieerde, live gegevens
• Visualiseert gegevensoverdrachten tussen regio's om documentatie te versnellen

4. Client-side beveiliging en bescherming onder Artikel 32

AVG-beveiligingsverplichtingen gelden ook op het punt van gegevensverzameling — de browser. cside beschermt tegen bedreigingen die serverbeveiliging, websitescanners en infrastructuurtools niet zien.

• Detecteert JavaScript-injectie, formjacking en ongeautoriseerde gegevensvastlegging
• Monitort DOM-wijzigingen en verdachte netwerkverzoeken

Genereert bewijs dat waarborgen aanwezig zijn om ongeautoriseerde blootstelling te voorkomen.