Je ontvangt een mailtje via het contactformulier op je website. De afzender heeft alleen een voornaam ingevuld en een e-mailadres opgegeven. Verwerk jij daarmee een persoonsgegeven? Veel website-eigenaren twijfelen op dat moment, of gaan ervan uit van niet. Die twijfel is begrijpelijk, maar de grens ligt eerder dan je denkt. In dit artikel leg ik stap voor stap uit wat persoonsgegevens precies zijn, aan de hand van situaties die jij als website-eigenaar dagelijks tegenkomt.

Verwerk ík eigenlijk persoonsgegevens?

Deze vraag stellen website-eigenaren vaak te laat, namelijk pas wanneer er al een klacht is of wanneer iemand vraagt om zijn gegevens te laten verwijderen. De reden: het begrip ‘persoonsgegeven’ klinkt formeel en groot. Maar in de praktijk raakt het elke website die ook maar één bezoeker heeft.

Het sleutelcriterium is identificeerbaarheid. Een gegeven is een persoonsgegeven als je er een levende, natuurlijke persoon mee kunt identificeren, direct of indirect. ‘Direct’ is duidelijk: naam, rijksregisternummer, foto van het gezicht. ‘Indirect’ is de tricky kant: een IP-adres, een gebruikersnaam, een cookie-ID.

De kerntest in gewone taal

Stel jezelf één vraag: ‘Kan ik met dit gegeven, al dan niet in combinatie met andere gegevens die ik heb of kan opvragen, achterhalen over welke specifieke persoon het gaat?’ Als het antwoord ‘ja’ of ‘misschien’ is, heb je een persoonsgegeven in handen en gelden de GDPR-regels.

Let wel: het hoeft niet jij zelf te zijn die de koppeling kan maken. Ook als een derde partij (zoals je hostingprovider of een overheidsinstantie) die koppeling theoretisch kan leggen, telt het alsnog als persoonsgegeven.

FAQ-blok 1: Contactgegevens

Valt een zakelijk e-mailadres zoals info@bedrijf.be ook onder de GDPR?

Meestal niet, want info@bedrijf.be verwijst naar een organisatie, niet naar een individuele persoon. Maar zodra het adres naar één specifieke persoon wijst, zoals jan.janssen@bedrijf.be, is het wél een persoonsgegeven. Een zelfstandige boekhoudster die werkt met sofie@sofiesboekhoudkantoor.be valt dus wel onder de GDPR. Twijfel je? Kijk of je uit het e-mailadres een naam of identiteit van een persoon kunt afleiden.

FAQ-blok 2: Technische data

Is een IP-adres altijd een persoonsgegeven, of alleen soms?

Een IP-adres is in de meeste gevallen een persoonsgegeven, maar niet altijd. Het hangt ervan af of jij of een partij waarmee je samenwerkt de koppeling kan maken naar een identificeerbare persoon. Voor een kleine vzw die alleen de bezoekersstatistieken bekijkt via een dashboard zonder extra gegevens, is dat minder evident. Maar voor een webshop die IP-adressen koppelt aan bestelling en naam, is het IP-adres duidelijk een persoonsgegeven. De Belgische Gegevensbeschermingsautoriteit hanteert hier een ruime interpretatie: behandel IP-adressen bij twijfel gewoon als persoonsgegevens.

FAQ-blok 3: Cookies en tracking

Welke cookies raken persoonsgegevens en welke niet?

Functionele cookies die puur technisch werken (denk aan een winkelmandje bijhouden voor de duur van een sessie) raken in de regel geen persoonsgegevens. Analytische en tracking cookies slaan een unieke identifier op, een cookie-ID, die aan een specifiek toestel of surfgedrag gekoppeld is. Als je die koppelt aan een gebruikersnaam, aankoophistoriek of locatie, zijn het persoonsgegevens. Advertentiecookies van derde partijen zoals Meta of Google zijn vrijwel altijd persoonsgegevens, ook al zie jij als website-eigenaar de onderliggende data niet rechtstreeks.

FAQ-blok 4: Visuele content

Wanneer is een foto of video op je website beschermd?

Een foto waarop een herkenbaar persoon staat, is een persoonsgegeven. Dat geldt voor je teamfoto op de ‘Over ons’-pagina, maar ook voor een sfeerbeeldje van een event waarop bezoekers herkenbaar in beeld staan. Zelfs een foto van iemand van achteren kan een persoonsgegeven zijn als die persoon in zijn omgeving herkenbaar is voor mensen die hem kennen, bijvoorbeeld door een opvallende jas of rolstoel.

Praktisch voorbeeld: een Gentse sportclub plaatst wedstrijdfoto’s op haar website. Spelers die herkenbaar in beeld staan, zijn persoonsgegevens. De club heeft een rechtsgrond nodig, zoals toestemming, om die foto’s te publiceren.

FAQ-blok 5: Formulieren en gebruikersaccounts

Wat als je alleen een voornaam en postcode verzamelt?

Dat is vaker een persoonsgegeven dan je denkt. Een voornaam alleen is doorgaans onvoldoende om iemand te identificeren. Maar een voornaam gecombineerd met een postcode, een IP-adres en een tijdstip van invullen? Dan wordt het een stuk concreter. De combinatie is wat telt.

Heb je een formulier waarop iemand zijn geboortedatum, postcode en voornaam invult? Dan heb je in de meeste gevallen een uniek identificeerbaar persoon. Behandel zo’n formulier als een verwerking van persoonsgegevens.

FAQ-blok 6: Bijzondere categorieën

Wat zijn ze, en hoe herken je ze op een ‘gewone’ website?

De GDPR maakt een onderscheid tussen gewone persoonsgegevens en bijzondere categorieën. Die laatste zijn extra gevoelig en vragen om een strengere bescherming. Denk aan gegevens over gezondheid, ras of etnische afkomst, politieke opvattingen, religie of seksuele geaardheid.

Die categorieën duiken sneller op dan je denkt:

  • Een contactformulier met een vrij tekstveld waarop iemand schrijft ‘Ik heb diabetes en wil weten of uw product geschikt is voor mij.’ Dat is gezondheidsinformatie.
  • Een profielpagina van een ledenplatform voor een religieuze organisatie maakt religie zichtbaar als persoonsgebonden kenmerk.
  • Een vacatureformulier waarbij iemand aangeeft lid te zijn van een vakbond of politieke partij.

Je hoeft deze gegevens niet actief op te vragen om ze toch te verwerken. Zorg dat vrije tekstvelden afgeschermd zijn, minimale data vragen en duidelijk beperkt zijn in gebruik.

De combinatietest: waarom losse datapunten samen een probleem worden

Dit is misschien wel het meest onderschatte aspect van GDPR voor website-eigenaren. Eén datapunt lijkt onschuldig. Meerdere samen niet meer.

Stel: je webshop registreert per bestelling de voornaam van de klant, het afleveradres op postcodeniveau, het tijdstip van de bestelling en het type product. Elk van die elementen apart zegt weinig. Maar samen identificeren ze in een kleine gemeente met weinig bewoners heel snel één specifieke persoon. De GDPR rekent ook met die indirecte identificeerbaarheid.

Vraag jezelf bij elke data-stroom af: wat heb ik al, en wat kan ik er straks aan koppelen? Niet alleen wat ik nu koppel, maar ook wat technisch mogelijk is.

Praktische zelfscan: drie vragen die je nu kunt doorlopen

Je hoeft geen jurist te zijn om een eerste inschatting te maken. Doorloop deze drie vragen voor elke pagina of functie op je website:

Vraag 1: Welke gegevens ontvang of registreer ik? Maak een lijstje van alles wat je website verzamelt. Contactformulieren, analytics, cookies, betalingsgegevens, reacties, gebruikersaccounts. Vergeet ook de automatische registraties niet, zoals serverlogboeken met IP-adressen.

Vraag 2: Kan ik, of iemand die toegang heeft tot mijn systemen, hiermee een persoon identificeren? Kijk niet alleen naar wat jij ziet, maar ook naar wat je hostingprovider, je analytics-tool of je betalingsprovider ziet. Als iemand in die keten de koppeling kan maken, tel je het mee.

Vraag 3: Combineer ik gegevens die apart onschuldig zijn? Kijk of je op enig moment datapunten aan elkaar koppelt. Een naam aan een IP-adres, een postcode aan een aankoophistoriek. Zo ja, behandel de gecombineerde set als persoonsgegevens.

Kom je bij één van deze vragen uit op ‘ja’, dan verwerk je persoonsgegevens en heb je een privacybeleid, een rechtsgrond en in veel gevallen een cookiebanner nodig.

Of iets een persoonsgegeven is, hangt niet af van of er een volledige naam bij staat. Een IP-adres in je serverlog, een foto op je eventpagina of een vrij tekstveld op je contactformulier kunnen het allemaal zijn. De vraag is steeds dezelfde: kun je hiermee een levende persoon identificeren, direct of via een combinatie van gegevens? Is het antwoord ja of misschien, dan zijn de GDPR-regels van toepassing. De zelfscan hierboven geeft je in een kwartier een helder beeld van welke gegevens op jouw website beschermd zijn. Een privacybeleid dat aansluit op wat je effectief doet, is dan de logische vervolgstap.