AVG boete voorkomen: wat zijn de risico's voor uw website?

De Autoriteit Persoonsgegevens (AP) legt sinds de invoering van de AVG steeds vaker boetes op, ook aan kleine en middelgrote bedrijven. Dit artikel legt uit hoe hoog de risico's zijn, hoe handhaving in de praktijk werkt, en welke stappen u kunt nemen om een boete te voorkomen.

Hoe hoog kan een AVG-boete zijn?

De AVG kent twee boetecategorieën: tot €10 miljoen (of 2% van de wereldwijde jaaromzet) voor administratieve overtredingen, en tot €20 miljoen (of 4% van de omzet) voor overtredingen van de kernbeginselen, zoals het ontbreken van een geldige grondslag voor gegevensverwerking.

In de praktijk legt de AP aan kleinere ondernemingen meestal eerst een waarschuwing of last onder dwangsom op — een directe boete volgt vaak pas bij herhaalde of ernstige overtredingen.

Welke overtredingen worden het vaakst gehandhaafd?

• Tracking cookies die laden vóór toestemming (Google Analytics, Meta Pixel)
• Ontbrekende of onvolledige privacyverklaring
• Geen mogelijkheid om toestemming te weigeren even makkelijk als te accepteren
• Persoonsgegevens versturen zonder beveiligde verbinding (geen HTTPS)
• Geen reactie op verzoeken van betrokkenen binnen de wettelijke termijn van 4 weken
• Gegevens delen met derde partijen zonder verwerkersovereenkomst

Hoe voorkomt u een boete?

1. Inventariseer welke persoonsgegevens uw website verzamelt en waarvoor.
2. Corrigeer de cookie banner zodat tracking pas laadt na expliciete toestemming.
3. Actualiseer uw privacyverklaring zodat deze overeenkomt met de daadwerkelijke verwerkingen.
4. Documenteer verwerkersovereenkomsten met derde partijen (hosting, analytics, e-mailmarketing).
5. Monitor uw website continu — instellingen en scripts veranderen vaak zonder dat u het merkt.

Automatische controle

GDPRcheck.nl scant uw website gratis op de meest gehandhaafde AVG-punten en geeft direct een score met concrete verbeterpunten. Voor doorlopende monitoring — zodat u het weet zodra er iets verandert — kunt u daarna doorschakelen naar masoSec.

Veelgestelde vragen

Krijgt een klein bedrijf ook echt een boete?

Boetes aan kleinere bedrijven zijn zeldzamer dan aan grote organisaties, maar de AP kan wel degelijk handhaven, vooral na een klacht. Bovendien wegen reputatieschade en het risico op een privéclaim van betrokkenen ook mee.

Is één keer per jaar controleren voldoende?

Nee. Websites veranderen continu (nieuwe plugins, tracking scripts, formulieren) en dat geldt ook voor de AVG-status. Regelmatige of continue controle is aan te raden.

Wat moet ik doen als ik een klacht of onderzoek van de AP ontvang?

Reageer tijdig en volledig, documenteer de genomen maatregelen, en overweeg juridisch advies in te winnen — dit artikel is geen juridisch advies maar een algemene richtlijn.