Veel ondernemers die een webshop runnen, herkennen het dilemma: vraag je klanten om een account aan te maken, of bied je ook een mogelijkheid om zonder registratie af te rekenen? Uit een recente publicatie van de Autoriteit Persoonsgegevens (AP) blijkt dat de European Data Protection Board (EDPB) met nieuwe aanbevelingen hier meer duidelijkheid in gaat brengen. De kernboodschap is helder: een verplicht account is in veel gevallen niet toegestaan en kan strijdig zijn met de AVG.
Wat is het probleem?
Consumenten klagen al langer over webshops die hen dwingen een account aan te maken voordat ze iets kunnen bestellen. Die verplichte accounts zorgen niet alleen voor irritatie, maar ook voor structurele privacyproblemen. Veel webshops verzamelen hierdoor meer persoonsgegevens dan noodzakelijk is, en bewaren die ook langer dan nodig. Denk aan e-mailadressen, telefoonnummers, geboortedata en bestelgeschiedenis. Daarmee groeit ook het risico op datalekken of misbruik.
Wat zeggen de toezichthouders?
De EDPB, waarin de Europese privacytoezichthouders zijn verenigd, heeft eind 2025 nieuwe aanbevelingen gepubliceerd. Die maken duidelijk dat een verplicht account in de meeste gevallen niet gerechtvaardigd is.
Voorbeelden waar het volgens de EDPB níet nodig is: een klant bestelt één keer een product of de klant wil zijn bestelling volgen of retourneren.
Voorbeelden waar het wél kan: bij abonnementsdiensten, zoals een maandelijkse levering van koffie of wanneer toegang wordt verleend tot een besloten ledenomgeving, bijvoorbeeld een exclusieve community voor professionals.
In de meeste andere gevallen geldt: geef de klant keuzevrijheid. Laat hen kiezen tussen een account aanmaken of afrekenen als gast.
De gastoptie als standaard
Volgens de EDPB is de gastoptie de meest privacyvriendelijke keuze. Hierbij vraag je als webshop alleen die gegevens die je echt nodig hebt: naam, adres, e-mailadres en eventueel een telefoonnummer voor de bezorging. Niet meer, niet minder. Dat past binnen het privacybeginsel van ‘dataminimalisatie’ en de plicht om je diensten zo privacyvriendelijk mogelijk in te richten (privacy by design/default).
Wat betekent dit voor uw webshop?
Als ondernemer moet u kritisch kijken naar de manier waarop uw bestelproces is ingericht. Is het echt nodig dat elke klant een account aanmaakt? Of is dat vooral handig voor marketing of herhaalaankopen? De AVG staat het verzamelen van gegevens voor ‘gemak’ of ‘marketingdoeleinden’ niet zomaar toe. Dat vereist een duidelijke wettelijke grondslag en zorgvuldige afweging van belangen.
Een praktijkvoorbeeld: een webshop in sportartikelen laat klanten alleen bestellen als ze een account aanmaken. Ook als ze maar één paar sokken willen kopen. Volgens de EDPB is dat niet toegestaan. De ondernemer kan beter een gastoptie aanbieden en het aanmaken van een account optioneel maken, bijvoorbeeld om eerdere bestellingen terug te zien of sneller opnieuw te kunnen bestellen.
Minder data = minder risico
Er is nog een bijkomend voordeel: hoe minder data u opslaat, hoe minder risico u loopt. Niet alleen op boetes, maar ook op reputatieschade bij een datalek. Veel datalekken ontstaan doordat systemen volstaan met verouderde klantgegevens die allang niet meer nodig zijn. Door minder gegevens te verzamelen en ze korter te bewaren, beperkt u uw kwetsbaarheid.
Wat nu?
De aanbevelingen van de EDPB zijn op dit moment nog in consultatie. Tot 12 februari 2026 kunnen organisaties, brancheverenigingen en andere belanghebbenden reageren. Daarna worden de aanbevelingen definitief. Toch is het verstandig om als ondernemer nú al te handelen. Want de richting die de toezichthouders opgaan is duidelijk.
Heeft u een webshop of verkoopt u producten online en twijfelt u of uw bestelproces AVG-proof is? Neem dan contact op met advocaat Julia van Leeuwen bij Guldemond Advocaten. Zij denkt graag met u mee over privacy, dataminimalisatie en klantvriendelijke oplossingen die binnen de wet passen.
