AVG: 3 veelgemaakte fouten om recht te zetten vóór een klacht
Geen register, cookies zonder echte toestemming, een datalek te laat gemeld: de 3 AVG-fouten die u eerst aanpakt, met de cijfers 2025 van de GBA.
Wat de controles van de GBA echt doen
In 2025 ontving de Gegevensbeschermingsautoriteit (GBA) 1 216 meldingen van datalekken en onderzocht ze de ontvankelijkheid van 1 423 klachten. Ze legde 4 boetes op, voor in totaal 75 700 euro (59 700 euro na beroep). Boetes blijven dus zeldzaam in België. Maar één klacht van een klant, een werknemer of een concurrent volstaat om een onderzoek, bevelen tot naleving en een reële kost in tijd en reputatie op gang te brengen.
Het goede nieuws? De drie fouten hieronder zijn makkelijk recht te zetten. Als u weet welke.
Wist u dat?
Volgens haar jaarverslag 2025 blijft de Inspectiedienst van de GBA prioritair kijken naar het cookiebeheer en de kwaliteit van de privacyverklaring op websites, en naar direct marketing. Voor de GBA is uw website vaak uw visitekaartje.
3 fouten om eerst aan te pakken
1. Geen register van verwerkingsactiviteiten. Het register (artikel 30 AVG) is het eerste document dat bij een controle wordt opgevraagd. Het beschrijft elke verwerking van persoonsgegevens, het doel, de categorieën gegevens, de ontvangers en de bewaartermijn. Ondernemingen met minder dan 250 werknemers zijn alleen vrijgesteld als hun verwerkingen occasioneel zijn, geen risico inhouden en geen gevoelige gegevens bevatten: een kmo die lonen of een klantenbestand beheert, moet er een bijhouden. Onze AVG-opleiding behandelt dit met een kant-en-klaar sjabloon.
2. Slecht beheerde toestemming. Een cookiebanner die trackers plaatst vóór er een keuze is gemaakt, een verstopte of minder zichtbare knop "Weigeren", opt-out in plaats van opt-in voor marketing. De GBA stelt vast dat verwerkingsverantwoordelijken nog regelmatig de toestemming voor niet strikt noodzakelijke cookies moeten corrigeren, en de manier waarop keuzes worden voorgesteld (bijvoorbeeld via kleurgebruik). De regel: toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Onze AVG-opleiding overloopt uw formulieren en cookies.
3. Geen procedure voor het melden van datalekken. U hebt 72 uur om een datalek bij de GBA te melden als het een risico inhoudt voor de betrokkenen (artikel 33). Zonder schriftelijke procedure is dat bijna onmogelijk. En lekken zijn vaak banaal: in 2025 waren de meest gemelde oorzaken een e-mail naar de verkeerde ontvanger (12,85 %), een brief of pakket naar het verkeerde adres (9,98 %) en phishing (9,85 %). Een duidelijke procedure en bewuste teams maken het verschil.
Onderneem actie
Drie dingen om deze week te doen:
- Evalueer uw conformiteitsniveau met onze gratis mini-audit. Enkele minuten, zonder verplichting.
- Leid uw team op. Onze AVG-opleiding is beschikbaar als lunch & learn, halve dag of conferentie. Ontdek het programma.
- Begeleiding nodig? We helpen u prioriteiten te stellen en de basis op orde te brengen. Contacteer ons.
U bent beter voorbereid vóór de brief van de GBA in de bus valt.
