Welke gegevens verzamelt een website — en wat doet hij ermee?

Elke keer dat je een website bezoekt, laat je gegevens achter. Dat weet iedereen wel, maar wat er precies wordt vastgelegd en waar het daarna heen gaat, is voor de meeste mensen een zwart gat. Welke gegevens verzamelt een website nu eigenlijk, en waar belanden die daarna? En dat geldt twee kanten op: als bezoeker weet je het niet, en als eigenaar van een bedrijfswebsite weet je vaak evenmin wat jouw eigen site allemaal doorstuurt.

Dat tweede is het interessante deel. Wie een website heeft met een contactformulier, statistieken en misschien een chatwidget, is volgens de AVG verwerkingsverantwoordelijke. Ook als de website door een bureau is gebouwd en je zelf nooit in de instellingen kijkt.

In dit artikel: welke gegevens websites verzamelen, hoe die worden gedeeld, wat de regels zijn in 2026, en een praktische checklist voor je eigen site.

Welke gegevens verzamelt een website?

Grofweg zijn er drie soorten.

Wat je zelf invult

Naam, e-mailadres, telefoonnummer, een vraag in een contactformulier, bestelgegevens. Dit is de meest zichtbare categorie en meestal ook de best geregelde — je weet immers dat je iets invult.

Wat automatisch wordt vastgelegd

IP-adres, browsertype, apparaat, schermformaat, taal, welke pagina’s je bekijkt en hoe lang. Dit gebeurt zonder dat je iets doet, en deels is het gewoon nodig om een site te laten werken. Een IP-adres geldt onder de AVG als persoonsgegeven, ook al staat er geen naam bij.

Wat wordt afgeleid

Uit je gedrag maken systemen aannames: interesses, koopintentie, of je terugkerende bezoeker bent, in welke branche je waarschijnlijk werkt. Deze categorie is het minst zichtbaar en tegelijk het meest waardevol voor adverteerders.

Hoe komen die gegevens bij anderen terecht?

Zelden doordat iemand bewust een bestand verkoopt. Meestal gaat het vanzelf, via stukjes code van derden die op de pagina staan.

• Analytics. Bezoekstatistieken worden verwerkt door een externe partij — op de meeste Nederlandse sites is dat Google Analytics. Waar die servers staan en wat er verder met de gegevens gebeurt, verschilt per aanbieder.
• Advertentiepixels. Een pixel van een advertentieplatform stuurt bij elke paginaweergave gegevens door, ook aan bezoekers die nooit op een advertentie klikken.
• Ingesloten inhoud. Een video, kaart of lettertype van een externe dienst betekent dat de browser van je bezoeker contact maakt met die dienst — inclusief IP-adres.
• Chat-, formulier- en boekingswidgets. Die draaien bij de leverancier, dus alles wat een bezoeker intypt komt daar binnen.

Los daarvan is er een markt van datahandelaren die profielen samenstellen uit openbare bronnen, apps en advertentienetwerken. Daar hoef je zelf niets aan te leveren om erin voor te komen.

Wat zeggen de regels in 2026?

Voor Nederlandse bedrijven gelden twee sporen naast elkaar: de AVG (voluit: Algemene verordening gegevensbescherming) voor het verwerken van persoonsgegevens, en de Telecommunicatiewet voor het plaatsen en uitlezen van cookies. De hoofdlijnen:

• Je hebt een grondslag nodig. Toestemming, een overeenkomst of gerechtvaardigd belang. “Handig om te hebben” is geen grondslag.
• Alleen functionele en strikt noodzakelijke analytische cookies mogen zonder toestemming. Alles voor marketing, tracking of profilering vereist vooraf een actieve keuze.
• Weigeren moet net zo makkelijk zijn als accepteren. Een grote groene “Accepteren”-knop met daarnaast een grijs linkje naar instellingen voldoet niet. De Autoriteit Persoonsgegevens is hier de laatste jaren strenger op geworden.
• Geen trackers vóór de keuze. Een banner die pas verschijnt nadat de pixels al hebben gevuurd, is een schijnoplossing.
• Verwerkersovereenkomst met elke partij die voor jou gegevens verwerkt. Je hostingpartij, je nieuwsbriefsoftware, je chatleverancier.
• Weet waar de data staat. Doorgifte buiten de EU mag onder voorwaarden, maar je moet weten dát het gebeurt en op welke grondslag.
• Privacyverklaring die klopt. Niet een gekopieerd model, maar een beschrijving van wat er werkelijk gebeurt.

Meer context over hoe dit samenhangt met andere verplichtingen lees je in privacy en AVG: trends en compliance en bijblijven met privacyregels.

Waarom dit ook een beveiligingsvraag is

Gegevens die je niet verzamelt, kunnen niet lekken. Dat is de kortste samenvatting. Elk formulier dat meer velden heeft dan nodig, elke tool die jarenlang alles bewaart, elke widget van een leverancier die je niet meer gebruikt: het is allemaal oppervlak dat je kwijt kunt.

Een lek bij een van je leveranciers is bovendien jouw probleem, niet alleen dat van hen. Onder de AVG blijf je verantwoordelijk voor de keuze van je verwerkers. Bewaartermijnen en opruimen horen daar direct bij — zie data lifecycle management voor het MKB.

Hoe dat er in de praktijk uitziet

Een adviesbureau laat zijn website doorlichten. De site oogt eenvoudig: een paar pagina’s, een contactformulier, een nieuwsbrief. In de code blijken elf externe scripts te staan.

Twee daarvan zijn analytics (de oude was nooit verwijderd), drie zijn advertentiepixels van een campagne uit 2023, één is een chatwidget die niemand meer gebruikt maar wel gesprekken opslaat, en vier zijn lettertypen en een videospeler die het IP-adres van elke bezoeker doorgeven. Van vijf van de elf partijen is geen verwerkersovereenkomst. De cookiebanner staat er wel, maar drie pixels vuren al vóór de keuze.

Wat er gebeurde: zeven scripts eruit, de banner opnieuw ingericht zodat er echt niets laadt vóór toestemming, lettertypen lokaal geplaatst, formuliergegevens met een bewaartermijn, en overeenkomsten geregeld met de vier partijen die overbleven. Een dag werk, en de site laadde ook nog merkbaar sneller.

Checklist voor je eigen website

1. Inventariseer wat er meedraait. Vraag je webbouwer om een lijst van alle externe scripts, of bekijk in je browser via het netwerktabblad met welke domeinen je site contact maakt.
2. Gooi weg wat je niet gebruikt. Oude pixels en vergeten widgets zijn de makkelijkste winst.
3. Controleer je cookiebanner. Laadt er echt niets vóór de keuze? Is weigeren even makkelijk als accepteren?
4. Beperk je formulieren. Vraag alleen wat je nodig hebt en spreek af hoe lang je inzendingen bewaart.
5. Regel verwerkersovereenkomsten met elke partij die gegevens voor je verwerkt.
6. Werk je privacyverklaring bij zodat die de werkelijkheid beschrijft.
7. Zet het in de jaarcyclus. Neem het mee in je jaarlijkse IT-review, want er sluipt vanzelf weer van alles bij.

En als bezoeker?

Je kunt je eigen sporen flink beperken zonder dat het werk in de weg zit: kies bewust in cookiebanners in plaats van standaard te accepteren, gebruik een browser die tracking blokkeert, en houd het aantal browserextensies laag — die hebben vaak meer rechten dan je denkt, zie de gevaren van browserextensies. Ruim ook eens de app-toestemmingen op je telefoon op; zie mobiele apps veilig gebruiken.

Veelgestelde vragen

Mag ik statistieken bijhouden zonder toestemming te vragen?

Alleen als de analytics privacyvriendelijk is ingericht: geen gegevens delen met derden voor eigen doeleinden, IP-adressen verkort, geen tracking over websites heen. Voldoe je daar niet aan, dan is toestemming nodig. Twijfel je, laat het dan beoordelen — dit is een van de punten waar de toezichthouder actief op controleert.

Welke cookies mag ik plaatsen zonder toestemming?

Alleen cookies die noodzakelijk zijn om de site te laten werken: een winkelmandje, een inlogsessie, een taalkeuze. Alles wat verder gaat — advertentiecookies, cookies die bezoekers over websites heen volgen, en in de meeste opstellingen ook Google Analytics — mag pas na een actieve keuze. Het onderscheid draait niet om het woord “cookie” maar om wat je doet: zodra je met de gegevens bezoekers of klanten kunt herkennen, verwerk je persoonsgegevens en heb je een grondslag nodig. Een privacyvriendelijk ingerichte statistiektool is daarom vaak de eenvoudigste route.

Mijn website is door een bureau gebouwd. Zijn zij niet verantwoordelijk?

Het bureau is meestal verwerker, jij bent verwerkingsverantwoordelijke. Dat betekent dat de verplichting bij jouw bedrijf ligt, ook als je de techniek uitbesteedt. Leg wel duidelijk vast wie wat doet.

Hoe lang mag ik formulierinzendingen bewaren?

De AVG noemt geen vaste termijn: je bewaart niet langer dan nodig voor het doel. Voor een contactformulier is een half jaar tot een jaar meestal goed te onderbouwen; voor offertes en klantgegevens gelden vaak langere termijnen vanuit administratieplicht. Belangrijk is dat je een termijn kiest, vastlegt en er ook naar handelt.

Wat als er toch gegevens uitlekken via mijn website?

Beoordeel of het een datalek is en documenteer dat. Is er risico voor betrokkenen, dan meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Hoe dat proces verloopt en welke fouten veel worden gemaakt, staat in datalek afhandelen: 5 valkuilen.

Benieuwd wat jouw website allemaal doorstuurt? We brengen de externe scripts in kaart, gooien eruit wat niet nodig is en zorgen dat de rest netjes geregeld staat. Bel 030-7115791 of mail info@okayict.nl.