Webwinkels: de vier risico's op de plek waar het geld wordt betaald
De website van een winkel is de kassa. Hij neemt kaartgegevens aan, draait tags voor advertenties en moet sinds juni 2025 werken voor klanten met een beperking. Hier kosten de vier risico's winkels het meest, met de uitspraken die dat laten zien.
van ongeveer 100 van de grootste Nederlandse webshops was niet toegankelijk voor klanten die hulptechnologie gebruiken, toen de ACM ze in 2026 controleerde.
ACM, 24 mrt 2026boete van de CNIL, de Franse privacytoezichthouder, voor Fnac Darty en Fnac Direct in oktober 2026, voor een tracker die zonder toestemming werd gebruikt en weigeringen die werden genegeerd.
CNIL, 29 okt 2026van de homepages van de één miljoen grootste websites had in februari 2026 vindbare toegankelijkheidsfouten.
WebAIM, bijgewerkt 30 mrt 2026Hoe elk risico er in uw bedrijf uitziet
E-mail uit uw naam
Een klant vraagt waar de terugbetaling blijft. Er komt een antwoord van precies uw adres, met het verzoek de kaart te bevestigen op een pagina die op uw afrekenpagina lijkt. Zonder afgedwongen DMARC-beleid houdt niets die e-mail tegen.
- Klanten verwachten e-mails over bestellingen, verzending en terugbetalingen van u, dus een valse wordt geloofd.
- Gmail, Yahoo en Outlook weigeren nu bulkmail van domeinen zonder SPF, DKIM en DMARC of zetten die bij de spam, dus dezelfde records bepalen of uw nieuwsbrieven aankomen (DMARC Report, 2025).
- In Frankrijk had in september 2026 72% van de gevolgde domeinen geen werkende DMARC-bescherming (DmarcDkim.com, sep 2026).
Tracking vóór toestemming
Op uw productpagina's draaien een Meta-pixel en Google Ads-tags. Als die afgaan voordat de bezoeker op de banner heeft gereageerd, of als weigeren meer klikken kost dan accepteren, is dat de overtreding waarvoor toezichthouders het vaakst boetes geven.
- De AP (Autoriteit Persoonsgegevens) gaf het bedrijf achter Kruidvat een boete van € 600.000 voor het volgen van bezoekers via vooraf aangevinkte cookievakjes; het bedrijf maakte bezwaar (Autoriteit Persoonsgegevens, 16 jul 2024).
- De CNIL gaf Fnac Darty en Fnac Direct in oktober 2026 een boete van € 7 miljoen voor een tracker die zonder toestemming werd gebruikt en weigeringen die werden genegeerd (CNIL, 29 okt 2026).
- Een winkel die een social plugin insluit, kan medeverantwoordelijk zijn voor wat die plugin verzamelt: dat oordeelde het Hof van Justitie van de EU over Fashion ID, een online kledingwinkel (Court of Justice of the EU, 29 jul 2019).
Klanten met een beperking
Een blinde klant winkelt met een schermlezer. De maatkeuze is een afbeelding, de knop van het winkelmandje heeft geen naam en het adresformulier houdt het toetsenbord gevangen. De verkoop gaat verloren, en sinds 28 juni 2025 speelt ook de wet mee.
- Webwinkels die aan consumenten verkopen, vallen duidelijk onder de European Accessibility Act (EAA, richtlijn (EU) 2019/882), tenzij ze minder dan 10 medewerkers hebben en niet meer dan € 2 miljoen omzet of balanstotaal (EUR-Lex, 17 apr 2019).
- In juni 2026 droeg een Franse rechter Carrefour France op de website en de app volledig toegankelijk te maken, met een dwangsom van € 500 per dag na zes maanden (Tribunal judiciaire de Caen, 4 jun 2026).
- De ACM vond in 2026 dat 61% van ongeveer 100 van de grootste Nederlandse webshops niet toegankelijk was (ACM, 24 mrt 2026).
Betaal- en websitebeveiliging
Uw afrekenpagina laadt een chatwidget, een analysetag en een betaalformulier. Als iemand anders een van die scripts wijzigt, kan het kaartgegevens kopiëren terwijl klanten typen, en de bestellingen gaan gewoon door.
- De ICO, de Britse privacytoezichthouder, gaf Ticketmaster UK een boete van £ 1,25 miljoen nadat in 2018 een chatbot van een derde partij op de betaalpagina was gebruikt om kaartgegevens buit te maken (Hunton Andrews Kurth, 16 nov 2020).
- Sinds 31 maart 2025 moeten winkels die zelf betaalpagina's hosten volgens de regels van de kaartsector elk script op die pagina's registreren, goedkeuren en bewaken: PCI DSS 4.0.1, eisen 6.4.3 en 11.6.1 (Deepstrike, 4 nov 2026).
- In 2024 kreeg een veelgebruikt script, polyfill.io, een nieuwe eigenaar en begon het kwaadaardige code te leveren aan meer dan 100.000 sites (Sansec, 25 jun 2024).
Geldt de European Accessibility Act voor u?
Ja, in de meeste gevallen. Online verkopen aan consumenten is een van de diensten die de EAA noemt.
De EAA geldt voor e-commercediensten: diensten die op afstand worden verleend, via websites en apps, op verzoek van een consument, met het oog op het sluiten van een consumentenovereenkomst. De EAA geldt sinds 28 juni 2025. Micro-ondernemingen die diensten verlenen, zijn uitgezonderd: minder dan 10 medewerkers en niet meer dan € 2 miljoen jaaromzet of balanstotaal. Dienstencontracten die vóór 28 juni 2025 zijn gesloten, mogen ongewijzigd doorlopen tot ze aflopen, hooguit vijf jaar (EUR-Lex, 17 apr 2019).
Waarschijnlijk wel van toepassing
- Een webshop die aan consumenten verkoopt, met 10 of meer medewerkers of meer dan € 2 miljoen omzet en balanstotaal.
- De app, het klantaccount, het afrekenen en het retourproces van diezelfde winkel.
Waarschijnlijk niet van toepassing
- Een micro-onderneming: minder dan 10 medewerkers en niet meer dan € 2 miljoen omzet of balanstotaal.
- Alleen verkoop aan bedrijven, waarbij geen consumentenovereenkomst wordt gesloten.
In het VK geldt de EAA niet voor Britse winkels die in het VK verkopen, maar de Equality Act 2010 wel: een dienstverlener mag niet discrimineren en moet redelijke aanpassingen doen, hoe klein hij ook is (Equality Act 2010, geraadpleegd 8 nov 2026).
Onze lezing van de richtlijn en van de richtsnoeren van de toezichthouders, geen juridisch advies. Zit uw situatie dicht bij de grens, vraag dan een advocaat.
Controles die u in een minuut doet
Kan iemand e-mail sturen uit uw naam?
Doe de gratis e-mailcheck op het domein van uw winkel. U wilt DMARC op p=quarantine of p=reject, en een DKIM-sleutel voor elke dienst die uw bestelmails en nieuwsbrieven verstuurt.
Starten tags voordat de bezoeker heeft gekozen?
Open uw winkel in een privévenster en laat de banner met rust. In de ontwikkelaarstools van de browser ziet u op het tabblad Netwerk of Meta, Google Ads of analytics toch laden. Is Weigeren even makkelijk te vinden als Accepteren?
Kunt u kopen met alleen het toetsenbord?
Leg de muis weg. Kies met Tab, Shift+Tab en Enter een product en een maat, leg het in het winkelmandje, vul het adres in en kom bij de betaalstap.
Wie heeft elk script op uw afrekenpagina goedgekeurd?
Noteer bij de betaalstap elk extern domein dat de pagina laadt (ontwikkelaarstools, tabblad Netwerk). Elk domein hoort een naam, een reden en een eigenaar te hebben.
Wanneer is de winkelsoftware voor het laatst bijgewerkt?
Controleer de versie van uw platform en van elke plugin. Software die niet meer wordt ondersteund, krijgt geen fixes: Magento 1-winkels werden in september 2020 in één weekend bij duizenden gehackt, drie maanden nadat de ondersteuning was gestopt (Sansec, 14 sep 2020, bijgewerkt 18 sep 2020).
Is er een toegankelijkheidsverklaring?
Als de EAA voor u geldt, moet u publiceren hoe uw winkel aan de eisen voldoet, in uw algemene voorwaarden of een vergelijkbaar document (EUR-Lex, 17 apr 2019).
Slotje en headers
Typ http:// en uw domein: u hoort zonder waarschuwing op https:// uit te komen. Een gratis headerchecker laat zien welke beveiligingsheaders uw winkel meestuurt.
Wat ondernemers in deze sector zichzelf voorhouden
Website Exposure Bundle
Alle drie, plus een introductie bij onze partneradvocaat voor uw wettelijke vermeldingen en privacyverklaring, tegen diens vaste tarief en door de advocaat zelf gefactureerd.
Blijvend opgelost: vanaf € 39 per maand
Bevestig het met een echte scan
We lezen alleen wat elke bezoeker en openbare DNS-records laten zien: geen login, geen tests van uw systemen. U krijgt per e-mail een persoonlijk risicorapport met screenshots, een score per risico en vaste prijzen.
De details, voor wie meer wil weten
Tweeduizend winkels in één middag
Op 11 juni 2024 publiceerde Adobe een oplossing voor een lek in de software achter veel Magento- en Adobe Commerce-winkels. Een week later stelde een beveiligingsbedrijf vast dat 75% van de winkels die nog niet had geïnstalleerd. Op 14 oktober werden in een paar uur meer dan 2.000 winkels gehackt, volgens het bedrijf de grootste geautomatiseerde hack tot dan toe (Sansec, 2024).
Geen van die winkels was uitgekozen. Een script vond ze, omdat ze niet waren bijgewerkt.
Wat geldt, per markt
Cookies en trackers
De CNIL, de Franse privacytoezichthouder, handhaaft de toestemming voor trackers die niet noodzakelijk zijn. Weigeren moet even makkelijk zijn als accepteren. Haar cookieboetes lopen op tot € 325 miljoen (CNIL, 2025 tot 2026), en met haar vereenvoudigde procedure beboet ze kleinere bedrijven met enkele duizenden euro's per keer (Journal de l'économie, 7 jul 2026).
Toegankelijkheid
De European Accessibility Act geldt in Frankrijk sinds 28 juni 2025, en Franse rechters behandelen nu zaken op grond daarvan: in juni 2026 droeg een rechter een retailer op de site en de app volledig toegankelijk te maken (Tribunal judiciaire de Caen, 4 jun 2026).
Kaartbetalingen
PCI DSS geldt in elk land. Ook een winkel die alle betalingen naar zijn betaalprovider doorstuurt, moet zijn naleving valideren, meestal met een zelfbeoordelingsvragenlijst (PCI Security Standards Council, geraadpleegd 8 nov 2026).
Besluiten en uitspraken in deze sector
| Markt | Datum | Wie besliste | Tegen | Uitkomst | Waarom | Bron |
|---|---|---|---|---|---|---|
| FR | sep. 2025 | CNIL | Shein (Infinite Styles Services) | € 150.000.000 | Cookies geplaatst zonder toestemming | CNIL |
| FR | juni 2026 | Rechtbank in Caen | Carrefour France | Bevel om binnen zes maanden volledig toegankelijk te zijn, met een dwangsom per dag | Webwinkel en app niet toegankelijk (EAA) | PinMeTo |
| FR | mei 2026 | Rechtbank in Lille | Auchan | Vordering op procedurele gronden afgewezen; hoger beroep loopt | De rechter merkte op dat de site niet aan de toegankelijkheidsnormen voldeed | PinMeTo |
| FR | dec. 2025 | CNIL | Een retailer (door de CNIL anoniem gehouden) | € 3,5 miljoen | Gegevens van leden van een klantenprogramma zonder geldige toestemming naar een sociaal netwerk gestuurd voor gerichte advertenties | CNIL |
| FR | okt. 2026 | CNIL | Fnac Darty en Fnac Direct | € 7 miljoen | Cookies en trackers, ook in de mobiele app | CNIL |
| NL | dec. 2024 | Autoriteit Persoonsgegevens | Coolblue | € 40.000 | Trackingcookies zonder geldige toestemming | Privacy-web |
| NL | juli 2024 | Autoriteit Persoonsgegevens | Kruidvat | € 600.000 (volgens berichtgeving) | Trackingcookies zonder toestemming | Dutch IT Channel |
| NL | mei 2024, verlaagd mei 2025 | Autoriteit Persoonsgegevens | AS Watson | Niet openbaar bedrag boven € 50.000, na bezwaar verlaagd tot € 50.000 | Overtredingen met cookies | PPC Land |
| NL | mrt. 2026 | ACM | Ongeveer 100 van de grootste webshops | 61% niet toegankelijk bevonden | EAA-controle met gebruikers met een beperking | ACM |
| EU | juli 2019 | Hof van Justitie van de EU (C-40/17) | Fashion ID, een online kledingwinkel | Uitspraak over gezamenlijke verwerkingsverantwoordelijkheid | Door een social plugin op een winkelpagina in te sluiten, werd de winkel medeverantwoordelijk voor het verzamelen en doorgeven van gegevens van bezoekers | Court of Justice of the EU |
| UK | nov. 2020 | ICO | Ticketmaster UK | £ 1.250.000 | Een chatbot van een derde partij op de betaalpagina werd gecompromitteerd en in 2018 gebruikt om kaartgegevens buit te maken | Hunton Andrews Kurth |
Vragen die het stellen waard zijn
Uw antwoorden blijven op deze pagina. Bij elk antwoord ziet u waarom het ertoe doet.
Wie houdt uw winkelsoftware en plugins up-to-date?
Hoeveel externe scripts laden op uw afrekenpagina?
Waar typen klanten hun kaartnummer?
Heeft u 10 of meer medewerkers, of meer dan € 2 miljoen omzet?
antwoorden wijzen op iets wat het oplossen waard is.
De volledige zelftest geeft een score voor alle vier de risico's en stelt uw lijst voor de komende 30 dagen op.
Geen juridisch advies. Of de European Accessibility Act voor een bepaalde winkel geldt, hangt af van de omvang en van de manier van verkopen; in twijfelgevallen hoort een advocaat dat te bevestigen.