Wat een compliancecontrole van een website in de EU moet omvatten

‘Is onze website compliant?’ klinkt als één vraag. In de EU zijn het er minstens zes, geregeld in verschillende rechtshandelingen met verschillende toezichthouders: gegevensbeschermingsautoriteiten voor cookies en privacyverklaringen, consumentenautoriteiten voor de informatie in webshops en markttoezichthouders voor toegankelijkheid. Een goede compliancecontrole, of u die nu zelf uitvoert of een scanner aanschaft, moet ze allemaal omvatten en u vertellen uit welke regel elke bevinding voortvloeit.

1. Cookies, opslag en toestemming

Artikel 5, lid 3, van de ePrivacy-richtlijn vereist toestemming voordat informatie op het apparaat van een bezoeker wordt opgeslagen of daarvan wordt uitgelezen, tenzij dat strikt noodzakelijk is voor de dienst waar de bezoeker uitdrukkelijk om heeft gevraagd. De regel geldt voor cookies, maar ook voor lokale opslag, pixels en fingerprintingtechnieken. De maatstaf voor toestemming is die van de AVG: vrij, specifiek, geïnformeerd en ondubbelzinnig (artikel 4, punt 11, en artikel 7 AVG).

Een controle moet daarom:

• de site in een schone browser laden zonder enige interactie en elke cookie, elk opslagitem en elk netwerkverzoek vastleggen dat verschijnt voordat er een keuze is gemaakt;
• het bezoek herhalen na een klik op ‘Weigeren’ en bevestigen dat niet-essentiële trackers uit blijven;
• nagaan dat weigeren even eenvoudig is als accepteren, dat geen enkele optie vooraf is aangevinkt en dat toestemming even gemakkelijk kan worden ingetrokken als gegeven (artikel 7, lid 3, AVG);
• vergelijken wat de banner en de cookielijst beweren met wat er werkelijk wordt geladen.

Onze aparte gids, Cookietoestemming: wat de ePrivacy-regels vereisen, gaat dieper op de details in.

2. Verzoeken aan derden en gegevensdoorgifte

Elk ingesloten lettertype, elke video, kaart, chatwidget of analysetag stuurt het IP-adres en de browsergegevens van de bezoeker naar een ander bedrijf. Onder de AVG is dat een verstrekking van persoonsgegevens waarvoor een rechtsgrond nodig is (artikel 6) en, als de ontvanger buiten de EER is gevestigd, een doorgiftemechanisme volgens hoofdstuk V. Het Hof van Justitie oordeelde in Fashion ID (C-40/17) dat een websitebeheerder die een plug-in van derden insluit, gezamenlijk verwerkingsverantwoordelijke kan zijn voor het verzamelen en doorzenden van bezoekersgegevens.

Een scanner moet elke externe host vermelden waarmee de pagina contact opneemt, wanneer dat gebeurt (vóór of na toestemming) en idealiter waar de ontvanger is gevestigd. Lettertypen en scripts zelf hosten is voor veel bevindingen de eenvoudigste oplossing.

3. De privacyverklaring

De artikelen 13 en 14 AVG sommen op wat bezoekers moeten worden verteld: wie de verwerkingsverantwoordelijke is en hoe die te bereiken is (en de functionaris voor gegevensbescherming, als die is aangesteld), de doeleinden en rechtsgronden van elke verwerking, de ontvangers, doorgiften buiten de EER, bewaartermijnen, de rechten van betrokkenen, het recht om een klacht in te dienen bij een toezichthoudende autoriteit en of er geautomatiseerde besluitvorming plaatsvindt. Artikel 12 voegt toe dat de informatie beknopt, transparant en gemakkelijk toegankelijk moet zijn.

Geautomatiseerde tools kunnen bevestigen dat er een verklaring bestaat, dat er vanaf elke pagina naar wordt gelinkt en dat de vereiste onderdelen worden genoemd. Of de inhoud overeenkomt met wat de site werkelijk doet, is het belangrijkste deel, en het deel dat een scanner alleen kan benaderen door de verklaring te vergelijken met de gevonden trackers.

4. Bedrijfsgegevens (‘colofon’)

Artikel 5 van de richtlijn inzake elektronische handel verplicht elke dienst van de informatiemaatschappij bepaalde gegevens ‘gemakkelijk, rechtstreeks en permanent toegankelijk’ te maken: de naam van de dienstverlener, het geografische adres, contactgegevens met inbegrip van een e-mailadres, de inschrijving en het nummer in het handelsregister, het btw-identificatienummer en, waar van toepassing, de toezichthoudende autoriteit of de beroepsregels. Verschillende lidstaten geven hier uitvoering aan met een aparte colofonpagina (§ 5 DDG in Duitsland, § 5 ECG in Oostenrijk, wet nr. 22/2004 Coll. in Slowakije).

Een controle moet bevestigen dat de pagina bestaat, vanaf elke pagina met één of twee klikken bereikbaar is en elk onderdeel bevat. Meer details: Colofon en consumentenrechtelijke informatieplichten voor webshops in de EU.

5. Consumentenrechtelijke informatie voor webshops

Als de site aan consumenten verkoopt, voegt de richtlijn consumentenrechten daar precontractuele informatie (artikel 6), de tekst van de bestelknop (artikel 8, lid 2) en het herroepingsrecht van 14 dagen (artikel 9) aan toe. Sinds de Omnibusrichtlijn 2019/2161 moeten webshops ook uitleggen hoe de rangschikking van producten wordt bepaald, vermelden of en hoe ze consumentenreviews controleren en de eerdere prijs tonen wanneer ze een prijsverlaging aankondigen (prijsaanduidingsrichtlijn, artikel 6 bis).

6. Toegankelijkheid

Sinds 28 juni 2025 is de European Accessibility Act van toepassing op e-commerce voor consumenten en op diverse andere diensten. In de praktijk betekent dat voldoen aan de webeisen van EN 301 549, die verwijst naar WCAG 2.1 niveau AA. Geautomatiseerde tests vinden betrouwbaar ontbrekende alternatieve tekst, onvoldoende contrast, formuliervelden zonder label en ontbrekende taalattributen; bediening met het toetsenbord en het gebruik met een schermlezer vragen nog steeds om handmatig testen. Zie Toegankelijkheid (EAA 2025) voor websites.

Een checklist op één pagina

Wat geen enkele scanner kan zien

Verwerkingsregisters (artikel 30 AVG), verwerkersovereenkomsten (artikel 28), gegevensbeschermingseffectbeoordelingen (artikel 35), tracking aan de serverkant en wat er gebeurt in omgevingen waarvoor u moet inloggen, zijn onzichtbaar voor een crawler. Een scan is de beste eerste stap en een uitstekende regressietest; het is geen volledige audit. Onze gids Wat geautomatiseerde compliancescanners wel en niet kunnen controleren legt uit waar de grens ligt.