Privacyverklaring generator of laten opstellen?

Een privacyverklaring generator volstaat als uw bedrijf eenvoudig is: weinig verwerkingen, gangbare software, geen gevoelige gegevens. Hoe meer uw bedrijf afwijkt van het gemiddelde, hoe vaker een generator een tekst oplevert die niet klopt met wat u werkelijk doet. Dan is een template met uitleg of een opgestelde verklaring de betere keuze.

In het kort

• Een generator stelt vragen en zet uw antwoorden om in vaste tekstblokken. Hij kent uw bedrijf alleen via die antwoorden.
• De zwakke plekken van generators zijn grondslagen, bewaartermijnen, leveranciers en doorgifte buiten Europa.
• Laten opstellen loont bij gevoelige gegevens, meerdere groepen betrokkenen, veel leveranciers of als de tekst moet kloppen voor een zakelijke opdrachtgever.
• Wie zelf genereert, blijft verantwoordelijk voor de juistheid. Een generator neemt die verantwoordelijkheid niet over.

Welke mogelijkheden zijn er om een privacyverklaring te maken?

Er zijn vier gangbare manieren om aan een privacyverklaring te komen:

	Gratis generator	Template of betaalde generator	Laten opstellen	Juridisch adviestraject
Hoe het werkt	Vragenlijst, automatische tekst	Modeltekst of uitgebreidere vragenlijst, u vult aan	Jurist stelt de tekst op aan de hand van uw informatie	Jurist of advocaat onderzoekt uw verwerkingen en adviseert
Wat u zelf doet	Vragen beantwoorden	Invullen, schrappen, aanvullen	Informatie aanleveren en controleren	Meewerken aan het onderzoek
Afstemming op uw bedrijf	Beperkt tot de vragen	Afhankelijk van uw eigen invulwerk	Op basis van wat u aanlevert	Volledig, inclusief uw processen
Controle van uw ingevulde tekst	Geen	Geen of beperkt	Ja	Ja
Bijhouden	Opnieuw genereren	Zelf	Afhankelijk van de afspraak	Afhankelijk van de afspraak
Geschikt voor	Eenvoudig bedrijf, weinig verwerkingen	Ondernemers met tijd en enige privacykennis	Gevestigd mkb dat het in één keer goed wil hebben	Complexe of risicovolle verwerkingen

De keuze hangt af van twee vragen: hoe ingewikkeld zijn uw verwerkingen, en hoeveel tijd en kennis heeft u zelf?

Wat doet een privacyverklaring generator goed?

Een generator dwingt u langs de vaste onderdelen van artikel 13 AVG. Daardoor vergeet u geen kopjes: contactgegevens, doelen, rechten, het klachtrecht bij de Autoriteit Persoonsgegevens. Voor een bedrijf dat alleen een contactformulier, een boekhoudpakket en een e-mailadres heeft, levert dat vaak een bruikbare basis op.

Generators zijn ook snel. Heeft u nu niets op uw website staan, dan is een gegenereerde tekst die u daarna controleert beter dan geen tekst.

Waar loopt een generator op vast?

Een generator werkt met vaste keuzes en vaste tekstblokken. Op deze punten levert dat in de praktijk een tekst op die niet klopt:

• Grondslagen. De generator koppelt een standaardgrondslag aan een standaarddoel. Gebruikt u gegevens voor iets wat niet in de lijst staat, of op een andere grond, dan is de tekst onjuist.
• Bewaartermijnen. Generators vullen vaak "niet langer dan nodig" in, of één termijn voor alles. De AVG vraagt per soort gegevens een termijn of de criteria daarvoor (artikel 13 lid 2 onder a).
• Leveranciers. U kiest uit een lijst bekende diensten. Wat u gebruikt en niet in de lijst staat, ontbreekt; wat in de lijst staat en u niet gebruikt, blijft er soms in staan.
• Doorgifte buiten Europa. Of uw software gegevens in de Verenigde Staten opslaat en op welke basis, weet de generator niet. Dat moet u zelf uitzoeken.
• Bijzondere situaties. Gezondheidsgegevens, gegevens van kinderen, camerabeelden, profilering: daar heeft een generator meestal geen of een te algemene vraag voor.

Een generator kan alleen beschrijven wat u invoert. Weet u zelf niet precies welke gegevens waar terechtkomen, dan weet de tekst het ook niet.

Hoe beoordeelt u een gegenereerde privacyverklaring?

Lees de uitkomst na met deze vragen voordat u hem publiceert:

1. Staan al uw groepen betrokkenen erin: klanten, websitebezoekers, sollicitanten, medewerkers?
2. Heeft elk doel een eigen grondslag?
3. Staat er per soort gegevens een concrete bewaartermijn?
4. Staan al uw leveranciers erin, en geen leveranciers die u niet gebruikt?
5. Is vermeld waar uw software de gegevens opslaat?
6. Klopt alles wat er staat? Haal zinnen weg over diensten, apps of nieuwsbrieven die u niet heeft.

Kunt u een van deze vragen niet beantwoorden, dan is de tekst nog niet af, ongeacht hoe u hem gemaakt heeft. Wat er in elk onderdeel hoort, staat in het overzicht van wat een privacyverklaring moet bevatten.

Wanneer kunt u de privacyverklaring beter laten opstellen?

Laten opstellen is zinvol als de tekst niet meer uit standaardblokken kan bestaan. Dat is het geval als:

• u gevoelige gegevens verwerkt, zoals over gezondheid of van kinderen;
• u meerdere groepen betrokkenen heeft met verschillende termijnen, zoals klanten, sollicitanten en medewerkers;
• u veel software gebruikt, waaronder diensten met servers buiten Europa;
• zakelijke opdrachtgevers of aanbestedingen uw privacyverklaring beoordelen;
• u geen tijd of zin heeft om zelf de juridische kant uit te zoeken.

Een opgestelde verklaring is zo goed als de informatie die u aanlevert. Ook een jurist kan alleen beschrijven wat u vertelt, tenzij u kiest voor een adviestraject waarin uw processen worden onderzocht. Bij ingewikkelde of risicovolle verwerkingen, zoals grootschalige profilering of cameratoezicht, is dat adviestraject de veiligere keuze.

Voor sectoren met gevoelige gegevens, zoals de kinderopvang, leest u in het artikel over de privacyverklaring voor de kinderopvang waar een standaardtekst tekortschiet.

Wat u nu kunt doen

Leg uw situatie naast de tabel bovenaan. Heeft u een eenvoudig bedrijf, gebruik dan een generator en loop de uitkomst na met de zes controlevragen. Valt u in een van de situaties uit de laatste lijst, of wilt u het niet zelf uitzoeken, dan kunt u een privacyverklaring laten opstellen op basis van een vragenlijst over uw eigen bedrijf.

Twijfelt u nog of u er wel een nodig heeft, lees dan eerst wanneer een privacyverklaring verplicht is.