Overheidsorganisaties weten niet of hun privacystatements kloppen
Een gemiddelde gemeente beheert 80–150 websites en apps. Vrijwel elke site heeft een eigen privacystatement — vaak slecht onderhouden, soms verouderd, soms niet dekkend voor wat de site daadwerkelijk doet. De Functionaris Gegevensbescherming (FG) heeft geen overzicht en handmatige audits kosten €3.000–5.000 per site.
Ondertussen veranderen websites continu: er komen nieuwe formulieren bij, trackers worden toegevoegd, cookiebeleid wijzigt. Het privacystatement loopt per definitie achter.
Wat dip Insights al weet per site
dip Privacy bouwt voort op data die al beschikbaar is in dip Insights. Dit vormt het siteprofiel — de technische fingerprint die bepaalt wat er minimaal in het privacystatement moet staan.
🔗 Privacystatement URL
Of er een statement is, en waar het staat.
🍪 Cookies
Welke cookies worden geplaatst, door wie, inclusief historie.
📊 Trackers
Welk analytics-platform draait (GA, Matomo, Hotjar, etc.).
📝 Formulieren
Regex-detectie van formulieren tijdens crawl.
🔧 Technologie-stack
CMS, frameworks, third-party integraties via WhatCMS.
🌐 Third-party requests
Welke externe domeinen worden geladen.
Hoe dip Privacy werkt
dip Privacy analyseert privacystatements op twee assen: is het compleet volgens de AVG, en relevant voor wat de site daadwerkelijk doet.
Siteprofiel
Cookies, trackers, formulieren, third-party requests → activiteitenprofiel
Statement ophalen
Fetch de bekende privacystatement URL(s), extraheer tekst
AI-analyse
LLM beoordeelt completeness + relevance, gestructureerde output
Findings
Bevindingen per site, advies voor FG, delta-tracking
Twee assen van beoordeling
Elke as geeft andere inzichten en leidt tot andere acties.
As 1 Completeness
Bevat het statement alle verplichte onderdelen volgens AVG art. 13/14? Gebaseerd op de 8-punten structuur van ICTRecht.
As 2 Relevance
Dekt het statement wat de site daadwerkelijk doet? Cross-referentie tussen het siteprofiel en de inhoud van het statement.
Score per site
Zo zou een beoordeling van een enkele site eruitzien.
gemeente-voorbeeld.nl
Laatst geanalyseerd: 2 maart 2026Hoe een finding eruitziet
Elke finding combineert een constatering met context en een advies.
Op deze site is Hotjar gedetecteerd (sessie-opname en heatmaps). Het huidige privacystatement maakt geen melding van profileringsactiviteiten, sessieopnames of vergelijkbare tracking.
Het privacystatement noemt geen bewaartermijnen of criteria voor het bepalen van de bewaartermijn. Dit is een verplicht onderdeel op grond van AVG art. 13 lid 2 sub a.
Baseline + delta-tracking
Bij het toevoegen van een website draait automatisch een volledige baseline. Daarna worden wijzigingen in het siteprofiel (nieuwe cookies, trackers, formulieren) én het privacystatement zelf bijgehouden. Bij een mismatch genereert dip Privacy een nieuwe finding.
Tijdlijn voorbeeld
Vragen uitzetten bij de organisatie
Waar technische detectie niet volstaat, genereert dip Privacy gerichte vragen. Bijvoorbeeld: een formulier is gedetecteerd, maar het systeem kan niet weten waar de data naartoe gaat of hoe lang die bewaard wordt. Die vraag gaat naar de verantwoordelijke binnen de organisatie.
Vragen:
· Naar welk systeem worden deze gegevens verstuurd?
· Hoe lang worden de gegevens bewaard?
· Is er een verwerkersovereenkomst met de leverancier van dat systeem?
Het antwoord verrijkt het siteprofiel en maakt toekomstige scans preciezer.
Geen privacystatement aanwezig
Als een site geen privacystatement heeft, genereert dip Privacy een onderbouwd advies op basis van het siteprofiel.
⚠ afvalkalender-voorbeeld.nl — Geen privacystatement gevonden
Op basis van het siteprofiel is een privacystatement nodig. Gedetecteerd: Matomo analytics (plaatst cookies), contactformulier (verwerkt naam + e-mailadres), Google Fonts (extern geladen, third-party request naar de VS).
Meerdere statements per site
Sommige sites (zoals amsterdam.nl) hebben meerdere privacystatements voor verschillende achterliggende diensten. Klanten kunnen extra statement-URLs handmatig toevoegen. Elk statement wordt apart geanalyseerd, maar de relevance-check loopt tegen het gehele siteprofiel.
Verwijzing naar statement op andere site
Als site A verwijst naar het statement van site B, is dat op zich toegestaan. Maar het statement moet wel dekkend zijn voor de activiteiten op site A. dip Privacy vergelijkt het siteprofiel van site A met de inhoud van het statement op site B en rapporteert mismatches.
Wat dip Privacy wel en niet kan
✓ Wel
· Completeness beoordelen (verplichte AVG-onderdelen)
· Relevance matchen met technische data (cookies, trackers, formulieren, third-party)
· Deltas signaleren bij wijzigingen
· Advies genereren per finding
· Vragen uitzetten waar technische detectie niet volstaat
· Verouderde of inconsistente statements detecteren
· Onderbouwen waarom een statement nodig is
✗ Niet
· Juridisch oordeel geven (het is een hulpmiddel)
· Inhoudelijke correctheid van bewaartermijnen beoordelen
· Verwerkingsregister opstellen
· DPIA-noodzaak bepalen
· Rechtmatigheid van grondslagen beoordelen
· Interne processen achter formulieren kennen (zonder input organisatie)
Verdiepingslaag op dip Insights
dip Privacy is geen los product maar een verdiepingslaag — net als dip Toegankelijkheid, dip Content, dip Security en dip Archief. Insights is de basis (het siteprofiel), de verdiepingen zijn lenzen op dezelfde data. Prioritering van websites komt uit de bestaande dip-prioritering.
Productarchitectuur
dip Privacy is altijd een adviserend hulpmiddel om beter compliant te zijn — nooit een juridisch oordeel. Altijd zelf controleren.
Aanpak analyse
De kern van dip Privacy is de AI-analyse van privacystatements. Het statement wordt getoetst aan een 8-punten checklist gebaseerd op AVG art. 13/14 (structuur van ICTRecht), gecombineerd met een cross-referentie tegen het siteprofiel.
- Privacystatement (tekst)
- Cookies (lijst)
- Trackers (lijst)
- Formulieren (URLs + velden)
- Third-party domeinen
- Technologie-stack
- 8-punten completeness check
- Siteprofiel matching
- Per item: aanwezig / onvolledig / afwezig
- Citaat als bewijs
- Advies per finding
- Completeness score
- Relevance score
- Findings met advies
- Gegenereerde vragen
- Snapshot + timestamp
LLM-overwegingen
Indicatie verwerkingskosten
Een privacystatement is typisch 1.000–3.000 woorden. Met het siteprofiel als context erbij, komt een analyse op ~4.000–6.000 tokens input. Bij Haiku-pricing is dat verwaarloosbaar.
Per statement: ~$0.002 (Haiku) / ~$0.02 (Sonnet)
Per organisatie (100 sites): ~$0.20 (Haiku) / ~$2.00 (Sonnet)
Volledige klantenbestand (200 organisaties): ~$40 (Haiku) / ~$400 (Sonnet)
Delta-scans zijn goedkoper: alleen gewijzigde statements of siteprofielen worden opnieuw geanalyseerd.
Bouwvolgorde
Fase 1 Standalone prototype
Los van dip. Neemt een privacystatement URL + siteprofiel (handmatig of via API), draait de AI-analyse, toont resultaten. Doel: valideren dat de analyse betrouwbaar genoeg is.
Fase 2 Integratie in dip
Koppeling met bestaande site-data. Automatische baseline bij toevoegen website. Dashboard met scores per site. Finding-overzicht voor FG.
Fase 3 Monitoring + vragen
Delta-tracking bij wijzigingen in siteprofiel of statement. Vragenflow uitzetten naar organisatie. Tijdlijn per site. Versioning van statement-snapshots.