Bijgewerkt op 9 oktober 2026
Je hebt een formulier dat goed converteert. Er komen dagelijks leads binnen en je salesteam of callcenter belt ze terug. Dan vraagt een prospect: "Waar heb ik toestemming voor gegeven om gebeld te worden?" En op dat moment weet niemand meer welk vakje was aangevinkt, welke tekst er die dag werd weergegeven of wanneer het formulier was ingediend. Sinds 11 augustus 2026 kan deze vergissing een bedrijf tot wel € 375.000 kosten. Deze handleiding laat je zien hoe je een GDPR-conform formulier bouwt waarbij toestemming geldig blijft tijdens een audit, zonder dat dit ten koste gaat van je conversieratio.
Kortom: een GDPR-conform formulier verzamelt toestemming via een apart, niet-aangevinkt vakje, los van de algemene voorwaarden en specifiek voor elk gebruik (e-mail, telefoon, delen met partners), met tekst die aangeeft wie contact met u opneemt en wat het doel van het contact is. Voor telefonische marketing aan individuen is voorafgaande toestemming verplicht sinds 11 augustus 2026; deze toestemming vervalt na maximaal één jaar en het bewijs van toestemming moet drie jaar worden bewaard. Het gehele proces moet worden voorzien van een tijdstempel en gearchiveerd met de exacte versie van de weergegeven tekst.
De 4 criteria voor geldige toestemming in een formulier
Toestemming is alleen geldig als deze vrijwillig, specifiek, geïnformeerd en ondubbelzinnig is gegeven, en moet te allen tijde herroepbaar blijven. Als zelfs maar één van deze criteria ontbreekt, is er juridisch gezien geen sprake van toestemming.
Concreet betekent dit wat elk criterium van uw formulier vereist:
- Vrij : het invullen van het formulier mag niet afhankelijk zijn van de marketingoptie. Als de potentiële klant geen offerte kan ontvangen zonder akkoord te gaan met de marketing, wordt toestemming afgedwongen.
- Specifiek : één vakje per doel. "De nieuwsbrief ontvangen" en "Door een adviseur teruggebeld worden" zijn twee aparte toestemmingen.
- Verlicht : de tekst naast het vakje moet vermelden wie de gegevens verwerkt, met welk doel en hoe men zich kan afmelden. Een klein lettertype of een link naar een pagina van 4000 woorden is niet voldoende.
- Ondubbelzinnig : een actieve handeling is vereist. Een vooraf aangevinkt vakje, stilte of simpelweg verder browsen geldt niet als instemming.
Een belangrijk punt dat veel formulieren over het hoofd zien: het vakje voor toestemming mag nooit worden verward met acceptatie van de algemene voorwaarden. De CNIL (Franse Autoriteit voor Gegevensbescherming) benadrukt dit nogmaals in haar factsheet over e-mailprospectie : voor een individu is een positieve en specifieke actie vereist, meestal een vakje dat standaard niet is aangevinkt.
En in de B2B-sector?
In de B2B-sector kan e-mailmarketing gebaseerd zijn op een gerechtvaardigd belang als het bericht betrekking heeft op het beroep van de ontvanger en deze zich gemakkelijk kan afmelden. Het telefonische aanmeldingssysteem van 2026 is echter gericht op consumenten. Een expliciete afmeldoptie blijft nuttig in de B2B-sector: het maakt bewijsvoering eenvoudiger en stelt uw juridische afdeling gerust.
Telefonische aanmelding: wat verandert er sinds 11 augustus 2026?
Sinds 11 augustus 2026 is het illegaal om een consument voor commerciële doeleinden te bellen zonder diens voorafgaande toestemming, tenzij er een lopend contract voor datzelfde doel bestaat. Dit betekent een verschuiving van opt-out (Bloctel) naar opt-in, zoals vastgelegd in Wet nr. 2025-594 van 30 juni 2025 en verder gedefinieerd in Decreet nr. 2026-662 van 23 juli 2026.
Voor een leadgeneratieformulier is de verandering enorm. Voorheen waren oproepen toegestaan zolang het nummer niet bij Bloctel geregistreerd stond. Nu geeft je formulier zelf het recht om te bellen. Hier is waarom.
Volgens de factsheet van DGCCRF voor professionals, telefonische toestemming moet:
- het resultaat van een duidelijke positieve handeling: een vooraf opgestelde verklaring die de consument "erkent" zonder uitdrukkelijke toestemming telt niet mee;
- vermeld de identiteit van de professional die zal bellen en het doel van het gesprek (de betreffende goederen of diensten);
- hebben een maximale geldigheidsduur van één jaar, zonder stilzwijgende verlenging;
- te bewijzen: de professional bewaart het bewijs gedurende minimaal drie jaar en stelt het ter beschikking aan de consument die erom vraagt;
- om net zo gemakkelijk weer opgenomen te kunnen worden als het gegeven is.
De boetes kunnen oplopen tot €75.000 voor een individu en €375.000 voor een rechtspersoon. Bloctel is stopgezet en meldingen worden nu afgehandeld via SignalConso Citroenpers, het platform ontving in de eerste maand ongeveer 16.000 klachten, bijna het dubbele van het gebruikelijke gemiddelde. Consumenten melden de problemen. Er zullen audits volgen.
Het geval van sectoren onder verbod
Voor energiezuinige renovaties, woningaanpassingen en het CPF (Personal Training Account) blijft ongevraagd bellen verboden, tenzij de consument hier expliciet om vraagt. Als u leads verzamelt in deze sectoren, moet uw formulier dit verzoek expliciet vermelden ("Ik wil graag gecontacteerd worden over mijn warmtepompproject"), en niet slechts een passieve acceptatie. We beschrijven dit proces in detail in onze handleiding voor aanvraagformulier voor subsidie voor warmtepompen en zonnepanelen.
Er blijft één vraag over die de wet niet duidelijk beantwoordt: wat te doen als een lead aan meerdere partners wordt doorgegeven? We komen hierop terug in het gedeelte over het formuliersjabloon, omdat dit het punt is waar de meeste incassopogingen mislukken.
Ontwerpfouten die de CNIL bestraft
De CNIL (Franse Autoriteit voor Gegevensbescherming) maakt zich minder zorgen over het ontbreken van een selectievakje dan over interfaces die gebruikers dwingen tot acceptatie: een grote "ja"-knop, een verborgen "weigeren"-optie in een grijze link of gereduceerde tekst. Drie recente uitspraken hebben specifiek betrekking op formulieren voor leadgeneratie.
- Solocal Marketing Services, mei 2025, €900.000 : acceptatieknoppen worden benadrukt door hun grootte, kleur en positie, terwijl afwijzingsknoppen geminimaliseerd worden weergegeven. Miljoenen mensen worden via sms en e-mail benaderd met behulp van gegevens van brokers en deelnames aan prijsvragen.
- Caloga, mei 2025, €80.000 : een prominente "accepteren"-knop in plaats van een simpele hyperlink om te weigeren, de onmogelijkheid om met één klik uit te schrijven en het doorgeven van bestanden aan partners op basis van een gerechtvaardigd belang persbericht van de CNIL over Caloga beschrijft elk tekortkoming tot in detail.
- Tagadamedia, december 2023, €75.000 (verlaagd tot €50.000 door de bestuursrechtbank in mei 2026) : wedstrijd- en producttestformulieren waarbij de toestemmingsknop contrasteerde met de weigeringsknop, met onvolledige tekst in een klein lettertype.
Het patroon is altijd hetzelfde. Geen van deze bedrijven had de doos over het hoofd gezien. Ze hadden het weigeren allemaal moeilijker gemaakt dan accepteren.
De praktische regel die hieruit voortvloeit, is dat de "nee"-optie dezelfde visuele impact moet hebben als de "ja"-optie. Dezelfde grootte, hetzelfde contrast, hetzelfde aantal klikken.
Toestemming bewijzen: de 8 gegevenspunten om vast te leggen
Het bewijzen van toestemming betekent dat je kunt aantonen wie ermee instemde, waarmee ze instemden, wanneer, op welk scherm en met welke exacte tekst. Een simpele kolom "opt-in = ja" in je CRM bewijst niets.
De handleidingen die we in zowel Frankrijk als de Verenigde Staten hebben geanalyseerd, vermelden herhaaldelijk dat je "bewijs moet bewaren", zonder ooit te specificeren wat voor soort bewijs. Hier is de lijst die we aanraden om voor elke inzending te bewaren:
- Tijdstempel tot op de seconde nauwkeurig, inclusief tijdzone.
- Lead ID (e-mail, telefoon) zoals ingevoerd.
- Volledige tekst van de toestemming de afbeelding die op dat moment werd weergegeven, was geen link naar de huidige versie.
- Formulierversie (nummer of datum van wijziging), om de exacte lay-out te vinden.
- Pagina-URL en een bron van verkeer.
- IP-adres en de gebruikersagent, als technische indicatoren.
- Waarde van elke cel : aangevinkt, niet aangevinkt, niet weergegeven (voorwaardelijke logica).
- Vervaldatum : indiening + 12 maanden voor de telefoon, en opnamegeschiedenis.
Punt 3 wordt het vaakst over het hoofd gezien. Als u de formulering van het veld in maart wijzigt, moeten de leads van januari gekoppeld blijven aan de oude formulering. Anders kunt u de consument niet het bewijs leveren dat de DGCCRF (Frans directoraat-generaal voor mededingingsbeleid, consumentenzaken en fraudebestrijding) vereist.
Punt 8 heeft operationele gevolgen. Een toestemmingsformulier voor telefonische oproepen gedateerd 15 september 2026 geeft geen toestemming meer voor oproepen na 15 september 2027. Uw CRM-systeem moet hiervan op de hoogte zijn. Als uw leads naar HubSpot of Salesforce worden verzonden, moet u deze velden samen met de contactgegevens doorgeven: zie ons artikel over dit onderwerp een formulier integreren met HubSpot of Salesforce laat zien hoe je aangepaste velden kunt toewijzen.
Sjabloon voor een GDPR-toestemmingsformulier, klaar om aan te passen
Een correct leadformulier bestaat uit drie onderdelen: de verplichte velden, aparte toestemmingsvakjes voor elk kanaal en een korte informatieve mededeling met een link naar het volledige beleid. Hier is een sjabloon dat u kunt aanpassen.
Blok 1, velden: alleen de velden die nodig zijn om het verzoek te verwerken. Het minimaliseringsprincipe kruist hier met conversie: elk overbodig veld vertraagt de verwerking. Onze methode voor verhoog uw conversiepercentages met 40% keer terug naar dit punt.
Blok 2, toestemmingen (standaard allemaal uitgeschakeld):
- ☐ “Ik ga ermee akkoord dat [Bedrijfsnaam] contact met mij opneemt over [specifiek onderwerp, bijv. mijn hypotheekaanvraag] gedurende maximaal 12 maanden.”
- ☐ “Ik ga ermee akkoord om e-mailaanbiedingen van [Bedrijfsnaam] over [onderwerp] te ontvangen.”
- ☐ “Ik ga ermee akkoord dat mijn contactgegevens worden gedeeld met [genoemde lijst van partners of link naar deze lijst] om contact met hen op te nemen over [onderwerp].”
En dat is nog niet alles. Wat betreft de overdracht van gegevens aan partners, denk aan de zaak Caloga: gerechtvaardigd belang was niet voldoende. Als een lead naar drie makelaars gaat, moet elke makelaar toestemming kunnen aantonen die specifiek bij naam genoemd is of verwijst naar een precieze en actuele lijst. Een algemene "onze partners" is niet langer acceptabel.
Blok 3, informatieverklaring: de verantwoordelijke voor de gegevensverwerking, het doel, de bewaartermijn, de rechten (inzage, correctie, bezwaar, intrekking) en de contactgegevens voor het uitoefenen van deze rechten. Drie regels en een link zijn voldoende.
Wil je de structuur verder uitbreiden? Met meerstapsformulieren kun je toestemming in de laatste fase vastleggen, wanneer de potentiële klant het meest betrokken is. Je vindt voorbeelden in onze selectie van meerstaps offerteformulieren.
Conformiteit en bekering: waarom ze niet tegenover elkaar staan
Een goed ontworpen GDPR-formulier leidt niet per se tot lagere conversieratio's; wat dat wel doet, is een slecht geplaatst verplicht veld of verwarrend juridisch jargon. Compliance is vooral kostbaar vanwege het grote aantal 'nep'-leads – leads die nooit daadwerkelijk om een terugbelverzoek hebben gevraagd.
Laten we een bekend voorbeeld nemen uit de kredietverlening of de vastgoedsector. Een formulier met een vooraf aangevinkt vakje genereert 1.000 leads per maand, maar het callcenter neemt slechts contact op met een klein deel daarvan, omdat veel mensen zich niet herinneren dat ze iets hebben aangevraagd. De versie met een expliciet aangevinkt vakje levert minder inzendingen op. Mensen die het vakje aanvinken, wachten op het telefoontje. De kosten per lead stijgen en de kosten per afspraak dalen. Dit is de meetwaarde die we moeten bijhouden, niet het absolute aantal.
Drie hefbomen beperken de wrijving:
- Voorwaardelijke logica : toon de optie 'bellen' alleen als de potentiële klant 'terugbelverzoek' als contactmethode heeft gekozen. Minder opties, meer duidelijkheid. Zie onze handleiding voor voorwaardelijke logica.
- Een menselijke tekst De mededeling "Een adviseur neemt binnen 24 uur contact met u op over uw project" is geruststellender dan een alinea over artikel 6 van de AVG.
- De A/B-test : de formulering en plaatsing van de kaders worden, net als elk ander element, getest. Onze aanbevelingen voor verlaag de kosten per eenheid (CPL) van uw formulieren dit geldt ook hier.
Wat Blastform te bieden heeft op het gebied van traceerbaarheid van toestemmingen
Blastform is ontworpen voor leadgeneratie, waarbij GDPR-naleving is ingebouwd in de tool in plaats van achteraf toegevoegd. Het doel: dat elke lead binnenkomt met toestemming en bewijs daarvan.
In de praktijk vertaalt dit zich in configureerbare toestemmingsvakjes die standaard niet zijn aangevinkt, weergavevoorwaarden op basis van antwoorden en leadgeneratie via uw tools met de velden die uw teams nodig hebben. Het gedeelte "GDPR-conform" van onze Blastform-functies beschrijft wat er inbegrepen is, en de Blastform-helpcentrum de installatie wordt stap voor stap uitgelegd.
Werkt u in een gevoelige sector zoals de kredietverlening, waar elke potentiële klant onberispelijk moet zijn? Onze speciale pagina voor kredietaanvraagformulieren presenteert geschikte modellen.
De eenvoudigste manier is om het zelf via je eigen formulieren te controleren. Boek een Blastform-demonstratie : we nemen samen met u een bestaand formulier en de bijbehorende toestemmingen door, of vergelijk de aanbiedingen en start de proefperiode.
Veelgestelde vragen
Kan een toestemmingsvakje verplicht gesteld worden om het formulier in te dienen?
Nee, niet voor marketingdoeleinden: als het invullen van het formulier afhankelijk is van het accepteren van marketingcommunicatie, is er geen sprake meer van vrije toestemming. U kunt echter wel een veld verplicht stellen dat verband houdt met de verwerking van de aanvraag zelf, bijvoorbeeld toestemming om gecontacteerd te worden over de aangevraagde offerte.
Is een vooraf aangevinkt vakje geldig als de gebruiker het kan uitvinken?
Nee. Het Hof van Justitie van de Europese Unie, de CNIL (de Franse Autoriteit voor Gegevensbescherming) en het decreet van 23 juli 2026 betreffende telemarketing zijn het er allemaal over eens: alleen een actieve handeling van de gebruiker geldt als toestemming. Een vooraf aangevinkt vakje, zelfs als het niet aanvinkbaar is, geldt niet als toestemming.
Is telefonische toestemming die vóór 11 augustus 2026 is verkregen nog steeds geldig?
Alleen als het aan de nieuwe eisen voldoet: een duidelijke bevestigende handeling, vermelding van de identiteit van de professional en het doel van het gesprek, en het bewaren van bewijs. Omdat de geldigheid beperkt is tot één jaar, wordt oude en vage toestemming als verlopen beschouwd; het is raadzaam om deze opnieuw te verkrijgen.
Moet elke partner in het formulier worden genoemd?
De bellende partner moet een bewijs van toestemming kunnen overleggen waaruit blijkt wie hij of zij is. In de praktijk is het beter om de partners bij naam te noemen in de tekst of te verwijzen naar een specifieke, gedateerde lijst die toegankelijk is via het formulier. Een algemene formulering zoals "onze partners" kan leiden tot sancties, zoals blijkt uit de uitspraak in de zaak Caloga.
Hoe lang moet een bewijs van toestemming bewaard worden?
Voor telemarketing moeten gegevens volgens de DGCCRF (Frans directoraat-generaal voor mededingingsbeleid, consumentenzaken en fraudebestrijding) minimaal drie jaar worden bewaard, ook nadat de toestemming is verlopen. Bewaar het tijdstempel, de exact weergegeven tekst, de versie van het formulier en de geschiedenis van de intrekking.