--- title: "Je website doorlichten op GDPR | Pitch" description: "Wat een technologie-audit van een website onderzoekt, waarom je privacyverklaring en de echte gegevensstromen uit elkaar groeien en welke wettelijke plichten…" url: https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr --- [pitch](https://www.pitch.law/nl) [Academy](https://www.pitch.law/nl/academy) [Privacy & gegevensbescherming](https://www.pitch.law/nl/academy/topics/privacy) # Je website doorlichten op GDPR Wat een technologie-audit van een website onderzoekt, waarom je privacyverklaring en de echte gegevensstromen uit elkaar groeien en welke wettelijke plichten worden getoetst. - Door Door Bart Lieben, Advocaat - Gepubliceerd 25 februari 2026 ## Het juridisch kader Een website is een verwerking. Telkens een bezoeker een pagina laadt, bereikt zijn IP-adres jouw server en meestal ook servers van derden wier scripts, lettertypen, kaarten, videospelers of analysetools erin zijn ingebed. De wettelijke plichten die daaruit volgen, zitten verspreid over verschillende regels. - **Transparantie (artikelen 12 tot 14 AVG).** Bezoekers moeten weten wie verantwoordelijk is, waarom gegevens worden verwerkt, op welke grond, wie ze ontvangt, waar ze naartoe gaan en hoelang ze worden bewaard. De privacyverklaring moet beschrijven wat de site echt doet. - **Rechtmatigheid (artikel 6).** Elk doel heeft een rechtsgrond nodig. Voor tracking is dat meestal toestemming, die de ePrivacyregels sowieso vragen voor het opslaan of lezen van informatie op het toestel (artikel 129 van de Belgische wet van 13 juni 2005). - **Rollen (artikelen 26 en 28).** Het Hof van Justitie oordeelde in _Fashion ID_ (zaak C-40/17) dat een website-uitbater die een plug-in van een derde inbedt, gezamenlijk verantwoordelijke kan zijn voor het verzamelen en doorsturen van de gegevens van de bezoeker naar die derde. Voor dienstverleners die als verwerker optreden heb je een verwerkersovereenkomst nodig. - **Doorgiften (hoofdstuk V).** Veel ingebedde diensten sturen gegevens naar servers buiten de EER, en daarvoor heb je een doorgiftegrond nodig. Zie [internationale doorgiften](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii). - **Beveiliging en privacy door ontwerp (artikelen 25 en 32).** Versleutelde verbindingen, toegangscontrole, verwerking van formulieren en standaardinstellingen die niet meer verzamelen dan nodig. - **Verantwoordingsplicht (artikel 5, lid 2).** Je moet het bovenstaande kunnen aantonen, en daar hoort het [verwerkingsregister](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) bij. ### Wat een audit onderzoekt Een technologie-audit vergelijkt de privacyverklaring en de toestemmingsbanner met wat de website echt doet. Meestal omvat ze: - alle geladen cookies, pixels, lokale opslag en scripts, vóór en na toestemming, met de partij erachter; - het gedrag van de toestemmingsbanner: of tags geblokkeerd zijn tot toestemming, of weigeren werkt en of de toestemming wordt vastgelegd; - verzoeken naar derden, zoals lettertypen, kaarten, video, chatwidgets, tag managers, en de landen van de servers die ze ontvangen; - formulieren: wat wordt verzameld, op welke rechtsgrond, waar het naartoe gaat (CRM, e-mailtool, spreadsheets) en hoelang het wordt bewaard; - de privacyverklaring en het cookiebeleid, getoetst aan die bevindingen; - beveiligingsbasis zoals HTTPS, headers en de verwerking van gegevens in formulieren. Het resultaat is een lijst van bevindingen per risico, met de rechtsregel, het bewijs en de oplossing. Je kunt elke bevinding toewijzen aan iemand binnen je organisatie en opvolgen tot ze is opgelost, zodat de audit geen rapport blijft dat in een lade verdwijnt. ## In de praktijk Een Limburgse producent lanceert met een bureau een nieuwe website. Zijn privacyverklaring, twee jaar geleden opgesteld, noemt één analysetool. De audit vindt er zeven: de analysetool, een advertentiepixel, een heatmaptool, een chatwidget, een ingebedde videospeler die cookies plaatst, een lettertypedienst die vanaf een Amerikaanse server wordt geladen en een formulier-plug-in die inzendingen op een server van een derde bewaart. Vier ervan laden voordat de bezoeker in de banner een keuze maakt. De audit leidt tot concrete beslissingen. De heatmaptool verdwijnt, omdat de producent ze niet kan verantwoorden. De videospeler gaat over op een modus die pas bij het afspelen cookies plaatst. Lettertypen worden lokaal gehost. De tag manager wordt zo ingesteld dat hij op toestemming wacht. De formuliergegevens gaan nu naar de eigen CRM van de producent, met een verwerkersovereenkomst met de CRM-leverancier. De privacyverklaring en het cookiebeleid worden herschreven en het register krijgt nieuwe vermeldingen voor elke tool. ### Waarom herhalen Websites veranderen voortdurend: een marketingteam voegt een tag toe, een plug-in wordt bijgewerkt, een bureau wisselt van leverancier. Een eenmalige audit veroudert. Herhaal ze na grote wijzigingen en op een vast ritme, en wijs een eigenaar aan voor het goedkeuren van tags. ## Veelgestelde vragen ### Volstaat een cookiebanner? Nee. De banner is maar één onderdeel. De tags moeten echt geblokkeerd zijn tot toestemming, de verklaring moet kloppen en de relaties met derden moeten gedocumenteerd zijn. ### Moet een louter informatieve website voldoen? Ja. Een statische site die een analysescript, een kaart of een lettertypedienst laadt, verwerkt persoonsgegevens van bezoekers. Een site die niets van derden laadt en minimale serverlogs bijhoudt, heeft een veel lichtere voetafdruk. ### Wie is aansprakelijk, het bureau of de website-eigenaar? De eigenaar is verantwoordelijk als verwerkingsverantwoordelijke. Het bureau kan jegens de eigenaar aansprakelijk zijn op grond van hun contract, dus zet in het contract wie een conforme configuratie moet opleveren. ### Hebben we een DPIA nodig voor tracking op onze website? Niet altijd. Uitgebreide profilering, tracking over sites heen of verwerking van gevoelige gegevens kunnen er een vereisen. De screening van de [DPIA-functie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) helpt je beslissen. ## Hoe dit samenhangt Website-audits voeden rechtstreeks [DPO as a Service](https://www.pitch.law/nl/solutions/dpo-as-a-service): bevindingen worden vermeldingen in het [privacyregister](https://www.pitch.law/nl/technologies/privacy-register) en taken die jouw team en de DPO opvolgen in het [klantenportaal](https://www.pitch.law/nl/technologies/client-portal). Het ontwerp van toestemming lees je in [Cookies and Consent](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management). ## In het kort - Wat een audit onderzoekt - Waarom verklaring en realiteit uit elkaar groeien - Plichten voor ingebedde tools van derden ## Hier helpen we mee - [Oplossingen](https://www.pitch.law/nl/solutions/dpo-as-a-service) ### [Externe DPO](https://www.pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://www.pitch.law/nl/solutions/dpo-as-a-service) ## Tech die we gebruiken - [Technologie](https://www.pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://www.pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://www.pitch.law/nl/technologies/privacy-register) - [Technologie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [DPIA](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) - [Technologie](https://www.pitch.law/nl/technologies/client-portal) ### [Klantenportaal](https://www.pitch.law/nl/technologies/client-portal) [Een beveiligde plek waar je je dossiers volgt, ons instructies geeft over termijnen, samen met ons aan registers werkt en je IP-portefeuille bekijkt, in dezelfde omgeving als ons werk.](https://www.pitch.law/nl/technologies/client-portal) ## Meer over Privacy & gegevensbescherming - ### [Cookies en toestemming](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) - ### [Datalek: de 72-urenregel](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Wanneer je een inbreuk op persoonsgegevens moet melden aan de toezichthouder en aan betrokkenen, hoe de 72 uur worden geteld en wat je moet documenteren.](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - ### [Hoe lang mag je persoonsgegevens bewaren?](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) [Het beginsel van opslagbeperking in artikel 5, lid 1, e) AVG, hoe je bewaartermijnen bepaalt en hoe je in de praktijk wist.](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) - ### [Inzageverzoeken van betrokkenen](https://www.pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) [Hoe het recht op inzage werkt onder artikel 15 AVG, hoe je de termijn bewaakt, wat je mag weigeren en wat een goed antwoord bevat.](https://www.pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) - ### [Het verwerkingsregister (RoPA)](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) [Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt.](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) - ### [Gegevens doorgeven buiten de EU](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii) [Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort.](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)