Sinds de invoering van de AVG in mei 2018 zijn de oude formaliteiten voor voorafgaande verklaring bij de CNIL voor de grote meerderheid van de gegevensverwerkingen met betrekking tot een website afgeschaft. Het nalevingsmechanisme is nu gebaseerd op een logica van verantwoordelijkheidsgevoel: elke organisatie moet zelf zijn verwerkingen documenteren en in staat zijn om op elk moment zijn naleving te bewijzen.
Register van verwerkingen: het belangrijkste stuk dat de CNIL-verklaring vervangt
Het oude systeem maakte onderscheid tussen een vereenvoudigde verklaring en een normale verklaring. Een site die e-mailadressen verzamelt via een nieuwsbrief of een contactformulier moest een ontvangstbewijs van de CNIL verkrijgen voordat deze gegevens werden verwerkt. Dit regime bestaat niet meer.
Tegenwoordig gaat de naleving van een website via het register van verwerkingsactiviteiten. Dit interne document registreert elke operatie die persoonlijke gegevens betreft: doel, categorieën van verzamelde gegevens, bewaartijden, beveiligingsmaatregelen. Het moet kunnen worden gepresenteerd in geval van controle.
Voor een vitrinewebsite met een contactformulier blijft het register eenvoudig. Voor een e-commerce site die bankgegevens en een aankoopgeschiedenis opslaat, vermenigvuldigen de vermeldingen zich. De granulariteit van het register weerspiegelt de werkelijke complexiteit van de verwerkingen, niet de grootte van het bedrijf.
Concreet betekent het volgen van een vereenvoudigde CNIL-verklaring procedure dat dit register wordt gestructureerd en elke verwerking wordt gedocumenteerd volgens de vereisten van de AVG, zonder te wachten op een ontvangstbewijs of registratienummer.
Toestemming en cookies: de controles die de CNIL prioriteit geeft
Het beheer van toestemming op een website is de belangrijkste reden voor klachten bij de CNIL geworden. Slecht geconfigureerde cookie-banners, vooraf aangevinkte vakjes of het ontbreken van een afmeldmechanisme dat net zo eenvoudig is als dat van acceptatie, genereert regelmatig meldingen.
De CNIL heeft een vereenvoudigde sanctieprocedure aangenomen om veelvoorkomende tekortkomingen snel te behandelen. Sinds januari 2026 zijn er 23 sancties opgelegd in dit kader, de meeste als gevolg van klachten van gebruikers. Het mechanisme maakt het mogelijk om te sanctioneren zonder door de volledige beperkte opleiding te gaan, wat de verwerkingstijden versnelt.
De punten die tijdens een controle op een website worden gecontroleerd, bestrijken verschillende concrete aspecten:
- De aanwezigheid van een cookie-banner die het mogelijk maakt om cookies met dezelfde eenvoud te accepteren of te weigeren, zonder misleidend ontwerp
- De effectieve plaatsing van cookies voordat de gebruiker enige actie onderneemt (niet-essentiële cookies mogen niet worden geladen voordat er expliciete toestemming is gegeven)
- Het bewaren van een tijdstempel bewijs van de toestemming, raadpleegbaar op verzoek van de CNIL
- Het bestaan van een toegankelijke privacyverklaring die de verwerkingen, bewaartijden en rechten van gebruikers beschrijft
Een site die deze vier punten afvinkt, dekt de meeste risico’s die door de CNIL zijn geïdentificeerd met betrekking tot gangbare webverwerkingen.
Reageren op de rechten van gebruikers: de meest onderschatte verplichting
Veel sitebeheerders concentreren hun inspanningen op de cookie-banner en de privacyverklaring, maar verwaarlozen het beheer van verzoeken om rechten uit te oefenen. De AVG geeft betrokken personen het recht op toegang, rectificatie, verwijdering en overdraagbaarheid van hun gegevens.
Een gebruiker kan op elk moment vragen welke gegevens een site over hem heeft, of de verwijdering ervan eisen. De verwerkingsverantwoordelijke heeft een maand om te reageren. Het ontbreken van een reactie of een te late reactie vormt een sanctioneerbare tekortkoming.
Een circuit voor de behandeling van verzoeken opzetten
Voor een kleine site is een speciaal formulier of een specifiek e-mailadres (bijvoorbeeld [email protected]) voldoende. Het doel is om elke ontvangen aanvraag, de datum van ontvangst en de gegeven reactie te registreren.
Deze traceerbaarheid voedt direct het register van verwerkingen. In geval van controle controleert de CNIL niet alleen het bestaan van een contactkanaal, maar ook de werkelijke mogelijkheid om de gegevens van een geïdentificeerde persoon in de databases van de site te vinden en te verwijderen.
PIA en bijzondere gevallen: wanneer de basisnaleving niet meer voldoende is
De gegevensbeschermingseffectbeoordeling (PIA) is niet vereist voor alle sites. Het wordt verplicht wanneer een verwerking een hoog risico voor de rechten en vrijheden van personen met zich meebrengt: systematische profilering, verzameling van gevoelige gegevens (gezondheid, politieke opvattingen), grootschalige surveillance.
Een klassieke e-commerce site valt doorgaans niet binnen deze reikwijdte. Daarentegen moet een online gezondheidsplatform dat teleconsultaties aanbiedt, of een site die biometrische gegevens verzamelt voor authenticatie, een PIA uitvoeren voordat de verwerking in productie gaat.
Gegevensoverdrachten buiten de Europese Unie
Het gebruik van analysetools of hostingdiensten buiten de EU (bijvoorbeeld Amerikaanse cloudservices) vereist extra waarborgen. De verwerkingsverantwoordelijke moet controleren of de aanbieder een adequaat beschermingsniveau biedt, via standaardcontractbepalingen of een adequaatheidsbesluit van de Europese Commissie.
Het documenteren van de keuze van elke onderaannemer in het register maakt het mogelijk om deze controle aan te tonen. De CNIL heeft verschillende sites gesanctioneerd voor het overdragen van gegevens naar Amerikaanse servers zonder voldoende contractuele kaders.
AVG-naleving van een website: wat telt tijdens een controle
De huidige logica van de CNIL is gebaseerd op de mogelijkheid om naleving aan te tonen, niet op een voorafgaande administratieve stempel. Een controle richt zich op tastbare bewijzen: het actuele register, de bewijzen van toestemming, de antwoorden op verzoeken om rechten, de documentatie van onderaannemers.
- Het register van verwerkingsactiviteiten, zelfs in de vorm van een spreadsheet, moet compleet en actueel zijn
- De bewijzen van toestemming van gebruikers moeten tijdgestempeld zijn en gedurende de hele duur van de verwerking bewaard worden
- De contracten met onderaannemers (hosting, e-mailtool, betalingsoplossing) moeten AVG-bepalingen bevatten
De naleving van een website is niet langer beperkt tot een eenmalige verklaring. Het wordt gedurende de tijd opgebouwd, door het rigoureus bijhouden van deze documenten en door het regelmatig bijwerken van de praktijken bij elke wijziging van de site of zijn tools.
