Je wijnwebshop vraagt bezoekers om hun geboortedatum in te vullen voordat ze een account aanmaken. Dat voelt vertrouwd, maar de Gegevensbeschermingsautoriteit (GBA) kijkt anders naar die keuze: als je uitsluitend wilt weten of iemand meerderjarig is, is een volledige geboortedatum meer dan je nodig hebt. Dat onderscheid, tussen wat je wilt weten en wat je daarvoor opslaat, is precies waar het bij leeftijdscontrole en de GDPR om draait.

Eén vraag, twee heel verschillende antwoorden

De kern van het probleem is simpel: je wilt weten of een bezoeker meerderjarig is. Dat is één binaire vraag, met twee mogelijke uitkomsten: ja of nee. Maar de manier waarop webshops die vraag beantwoorden, loopt sterk uiteen. Sommigen plaatsen een vinkje met “Ik verklaar dat ik 18 jaar of ouder ben”. Anderen vragen de volledige geboortedatum en slaan die op in hun database.

Die twee methodes verzamelen fundamenteel andere hoeveelheden informatie. Een vinkje geeft je één bit: meerderjarig of niet. Een geboortedatum geeft je een precies tijdstip in iemands leven, een gegeven dat je kunt combineren met naam, adres en bestelgeschiedenis om een gedetailleerd profiel op te bouwen. De vraag die GDPR stelt, is niet “welke methode kies je?”, maar “welke methode kun je rechtvaardigen?”

Dataminimalisatie als meetlat, niet als voorkeur

Artikel 5(1)(c) van de GDPR schrijft voor dat persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor het doel van de verwerking. Dat is het principe van leeftijdscontrole GDPR dataminimalisatie in de praktijk.

“Noodzakelijk” is hier het sleutelwoord. Het betekent niet dat je een gegeven niet kunt gebruiken, maar dat je het gebruik kunt verantwoorden. Als je doel is controleren of iemand 18 jaar of ouder is, dan is een geboortedatum alleen noodzakelijk als je dat niet op een minder ingrijpende manier kunt bereiken. Kun je dat wel via een vinkje, dan is de geboortedatum juridisch moeilijk te verdedigen tegenover de Gegevensbeschermingsautoriteit (GBA).

Wanneer een vinkje volstaat

In veel situaties is een eenvoudige leeftijdsbevestiging meer dan voldoende. Denk aan een webshop die horrorfilms verhuurt, een blog met volwasseneninhoud of een platform voor cocktailrecepten. Het risico is laag, er is geen wettelijke verificatieplicht en de relatie met de gebruiker is eenmalig of laagfrequent.

In die gevallen geldt: als er geen wettelijke verplichting is om de leeftijd te verifiëren (niet alleen te bevestigen), dan is een selfverklaring juridisch verdedigbaar. Je kunt de aansprakelijkheid dan voor een deel bij de gebruiker leggen, zolang jij te goeder trouw handelt en geen signalen negeert.

De criteria voor wanneer een vinkje volstaat:

  • Er is geen specifieke wettelijke verplichting om de leeftijd actief te verifiëren.
  • Het risico voor minderjarigen bij toegang is beperkt.
  • Er zijn geen terugkerende transacties waarbij leeftijd bij elke aankoop relevant is.
  • Je slaat de bevestiging niet op als persoonsgegeven, maar verwerkt ze enkel functioneel.

Wanneer de geboortedatum wél verdedigbaar is

Er zijn situaties waar je de exacte geboortedatum nodig hebt of waarbij de verzameling ervan juridisch te onderbouwen valt. Dat zijn gevallen met een wettelijk verkoopverbod, een leeftijdsafhankelijk tarief of een formele contractuele check.

Scenario Methode Rechtsgrond Geboortedatum nodig?
Online verkoop van alcohol Geboortedatum of leeftijdsgate Wettelijke verplichting Ja, maar niet per se opslaan
Gokplatform (vergund) Identiteitsverificatie Wettelijke verplichting Ja, inclusief opslag
Jeugdtarief of seniorenkorting Geboortedatum Uitvoering overeenkomst Ja, voor berekening
Cocktailblog zonder verkoop Vinkje Gerechtvaardigd belang (beperkt) Nee
Webshop met horrorfilms (18+) Vinkje Gerechtvaardigd belang Nee

Bij gokplatforms, tabak of bepaalde geneesmiddelen geldt bovendien vaak een verplichting tot actieve leeftijdsverificatie via een derde partij. Daar is een vinkje onvoldoende, ongeacht wat je verkiest.

De grijze zone: wat webshops denken nodig te hebben

In de praktijk zien we een patroon dat de GBA niet onopgemerkt laat. Een webshop verkoopt energiedranken (niet verboden voor minderjarigen, maar “niet aanbevolen”), vraagt toch een geboortedatum bij registratie, slaat die op in de klantendatabase en gebruikt ze vervolgens ook voor verjaardagsacties. Dat is meervoudig gebruik van een gegeven dat voor het oorspronkelijke doel (leeftijdscheck) overbodig was.

Of een andere situatie: een kledingwebshop die “voor jeugdige stijl” vraagt om de geboortedatum, terwijl er geen enkel leeftijdsgebonden product of tarief in het gamma zit. De verwerkingsverantwoordelijke kan dat niet verantwoorden tegenover de GBA, want er is geen link tussen het doel en het gegeven.

Wat je riskeert bij overcollectie

De GBA heeft de afgelopen jaren duidelijk gemaakt dat ze handhavend optreedt bij structurele GDPR-schendingen, ook bij kmo’s. Overcollectie is een schending van artikel 5(1)(c). Dat kan leiden tot een formele waarschuwing, een bevel tot aanpassing of een boete. Voor kleine ondernemers is zelfs een administratieve boete in de lagere categorieën al een serieuze financiële klap.

Maar de reputatieschade is minstens even belangrijk. Als er een datalek optreedt en klantgegevens inclusief geboortedata worden blootgesteld, is de schade groter dan wanneer je enkel een bevestiging had opgeslagen. Meer data betekent meer schade bij een incident.

Technische alternatieven die dataminimalisatie inbouwen

Er bestaan technische oplossingen die leeftijdsverificatie mogelijk maken zonder dat jij als verwerkingsverantwoordelijke de geboortedatum ontvangt of opslaat. Denk aan leeftijdspoorten die via een externe dienst werken: de gebruiker voert zijn geboortedatum in bij een derde partij, die dienst stuurt jou enkel een token terug met de bevestiging “18+ geverifieerd: ja”. Jij ziet de datum nooit.

Dat is het principe van tokenized age verification. Het is technisch wat complexer om te implementeren, maar het lost het GDPR-probleem op fundamenteel niveau op: je verwerkt het minst ingrijpende gegeven dat je doel bereikt. Zulke diensten zijn in opmars, ook in de Belgische markt, al is de adoptie bij kleinere webshops nog beperkt.

Belangrijk om te weten: als jij zo’n externe verificatiedienst inschakelt, is die dienst een verwerker in de zin van de GDPR. Je hebt een verwerkersovereenkomst nodig en moet nagaan welke gegevens de dienst namens jou verwerkt.

Hoe je dit correct verwoordt in je privacybeleid

Welke methode je ook kiest, je privacybeleid moet de verwerking correct beschrijven. Dat zijn de verplichte elementen per scenario:

  • Het doel van de verwerking (leeftijdscontrole voor wettelijk vereiste of eigen beleid)
  • De rechtsgrond (wettelijke verplichting, uitvoering overeenkomst of gerechtvaardigd belang)
  • Welk gegeven je verzamelt (geboortedatum of enkel bevestiging)
  • De bewaartermijn (of de reden waarom je het niet bewaart)

Voorbeeldzin voor een vinkje-methode: “Bij toegang tot bepaalde inhoud vragen wij je te bevestigen dat je 18 jaar of ouder bent. Deze bevestiging wordt niet als persoonsgegeven opgeslagen.”

Voorbeeldzin voor geboortedatum bij alcoholverkoop: “Om te voldoen aan de wettelijke verplichting voor de verkoop van alcoholhoudende dranken verwerken wij je geboortedatum. Dit gegeven wordt bewaard zolang je klantaccount actief is en maximaal twee jaar na je laatste aankoop.”

Drie vragen die bepalen welke methode jij mag gebruiken

Twijfel je nog over welke aanpak voor jouw website van toepassing is? Doorloop deze beslisboom:

Vraag 1: Is er een wettelijke verplichting om de leeftijd actief te verifiëren (niet alleen te laten bevestigen)?
Ja: ga naar vraag 2. Nee: een vinkje volstaat juridisch, gebruik dat.

Vraag 2: Vereist die wettelijke verplichting de opslag van de geboortedatum, of volstaat een bevestiging via een derde partij?
Opslag vereist: je mag de geboortedatum verzamelen en opslaan, met correcte rechtsgrond en bewaartermijn. Derde partij volstaat: gebruik tokenized verification en sla de datum zelf niet op.

Vraag 3: Gebruik je de geboortedatum ook voor andere doeleinden (verjaardagsacties, tarieven, segmentatie)?
Ja: dat is een afzonderlijk verwerkingsdoel met een eigen rechtsgrond, die je apart moet vermelden. Nee: je verwerkt alleen wat strikt noodzakelijk is voor leeftijdscontrole.

Of je een geboortedatum mag verzamelen hangt af van wat je er daarna mee doet. Dient de datum alleen om meerderjarigheid te bevestigen, dan volstaat een eenvoudiger alternatief en is opslaan van de volledige datum moeilijk te verantwoorden. Heb je een wettelijke verificatieplicht, leg dan in je privacybeleid precies vast waarom je die gegevens bewaart en hoe lang. Dat maakt je aanpak controleerbaar en houdt een eventuele inspectie door de GBA beheersbaar.