Ja, een privacyverklaring is verplicht zodra uw bedrijf persoonsgegevens verwerkt. Dat geldt voor vrijwel elk bedrijf: een klantenbestand, een contactformulier, een sollicitatie per e-mail of de naam van een contactpersoon bij een zakelijke klant is al genoeg. De plicht komt uit artikel 12 tot en met 14 van de AVG, en geldt ongeacht de grootte van uw bedrijf.
In het kort
- De verplichting hangt af van wat u doet: verwerkt u persoonsgegevens voor uw bedrijf, dan moet u de mensen daarover informeren.
- Ook zzp'ers, bedrijven zonder website en bedrijven met alleen zakelijke klanten vallen eronder.
- De wet eist de informatie, niet per se een document met die naam. Een privacyverklaring is wel de gebruikelijke en controleerbare vorm.
- De echte uitzonderingen zijn smal. "Ik verwerk alleen wat nodig is voor de opdracht" is er geen.
Wanneer is een privacyverklaring verplicht?
Een privacyverklaring is verplicht als u persoonsgegevens verwerkt voor uw bedrijf of organisatie. U bent dan verwerkingsverantwoordelijke: u bepaalt waarom en hoe de gegevens worden gebruikt. Artikel 13 en 14 AVG verplichten u om de mensen van wie de gegevens zijn te vertellen wat u ermee doet. Alleen wie gegevens puur privé gebruikt, valt buiten de AVG (artikel 2 lid 2 onder c).
Twee begrippen bepalen het antwoord:
- Persoonsgegevens zijn gegevens over een herkenbare persoon: naam, e-mailadres, telefoonnummer, adres, IP-adres, klantnummer.
- Verwerken is alles wat u met die gegevens doet: verzamelen, opslaan, bekijken, doorsturen, verwijderen.
Een adresboek in uw zakelijke telefoon, een mailbox met klantvragen of een map met offertes voldoet daaraan al.
Is een privacyverklaring verplicht voor elk bedrijf?
Vrijwel wel. Rechtsvorm en omvang spelen geen rol; het gaat erom of u gegevens van mensen verwerkt. Zo pakt dat uit in situaties waarover ondernemers vaak twijfelen:
| Situatie | Verplicht? | Waarom |
|---|---|---|
| Zzp'er of eenmanszaak met particuliere klanten | Ja | U verwerkt namen, adressen en facturen |
| Alleen zakelijke klanten (b2b) | Ja | Contactpersonen bij bedrijven zijn ook personen |
| Geen website, alleen telefoon en e-mail | Ja | De informatieplicht hangt niet af van een website |
| Website zonder formulier of cookies | Meestal ja | Webservers houden vaak logbestanden met IP-adressen bij, en bezoekers die u via de website mailen, laten gegevens achter |
| Bedrijf met personeel of sollicitanten | Ja | Ook medewerkers en sollicitanten moeten geïnformeerd worden |
| Vereniging of stichting | Ja | De AVG geldt voor elke organisatie, ook zonder winstoogmerk |
| Privépersoon met een adreslijst van vrienden | Nee | Zuiver persoonlijke activiteit, buiten de AVG |
Voor zakelijke klanten wordt het vaak vergeten. Een e-mailadres als j.devries@bedrijf.nl is een persoonsgegeven, omdat het naar een herkenbare persoon verwijst.
Is een privacyverklaring verplicht op de website?
De AVG schrijft niet voor dat de informatie op een website staat. Wel moet de informatie beschikbaar zijn op het moment dat u gegevens verzamelt (artikel 13 lid 1 AVG). Heeft u een website met een contactformulier, inschrijving of webshop, dan hoort de privacyverklaring dus op die website, met een link bij het formulier.
Heeft u geen website, dan kiest u een andere vorm die de mensen op tijd bereikt: een tekst bij de offerte, op het intakeformulier of in de bevestigingsmail. De Autoriteit Persoonsgegevens noemt de online privacyverklaring als de gebruikelijke vorm, maar het gaat om de informatie zelf.
Wat er inhoudelijk in moet, staat in het overzicht van de verplichte onderdelen van een privacyverklaring.
Zijn er uitzonderingen op de verplichting?
Er zijn uitzonderingen, maar ze zijn smal en gelden per onderdeel, niet voor het hele document.
Als de persoon de informatie al heeft (artikel 13 lid 4 en artikel 14 lid 5 onder a AVG). Hiervoor moet u kunnen aantonen dat iemand alle informatie al kent. Dat lukt zelden voor alle onderdelen, zoals bewaartermijnen en rechten.
Als u de gegevens niet van de persoon zelf krijgt, zijn er extra uitzonderingen (artikel 14 lid 5 AVG):
- informeren is onmogelijk of kost onevenredig veel moeite, vooral bij archief, onderzoek of statistiek;
- een wet schrijft de verwerking uitdrukkelijk voor en regelt de bescherming;
- de gegevens vallen onder een wettelijk beroepsgeheim.
Een uitzondering die u op internet tegenkomt, maar die niet in de AVG staat: "wie alleen de strikt noodzakelijke gegevens gebruikt om een overeenkomst uit te voeren, heeft geen privacyverklaring nodig." Dat verwart twee dingen. De uitvoering van een overeenkomst is een grondslag: de reden waarom u gegevens mag verwerken (artikel 6 AVG). Ook met een geldige grondslag blijft de informatieplicht van artikel 13 gelden.
Wat gebeurt er als u geen privacyverklaring heeft?
Zonder privacyverklaring voldoet u niet aan de informatieplicht. De Autoriteit Persoonsgegevens kan dan handhaven, met onder meer een berisping, een bevel om de verwerking aan te passen, een last onder dwangsom of een boete (artikel 58 en 83 AVG en artikel 16 UAVG). Iemand van wie u gegevens verwerkt, kan ook een klacht indienen bij de AP.
In de praktijk merken bedrijven het vaker via hun eigen klanten en partners. Zakelijke opdrachtgevers, aanbestedingen en platforms zoals betaalproviders of advertentiediensten vragen geregeld om een link naar uw privacyverklaring. Een ontbrekende of zichtbaar verouderde verklaring maakt dan geen goede indruk.
Veelgestelde vragen
Is een privacyverklaring verplicht voor een zzp'er?
Ja. Ook als eenmanszaak verwerkt u persoonsgegevens van klanten: namen, adressen, e-mails en facturen. De AVG maakt geen uitzondering voor kleine bedrijven bij de informatieplicht. De verklaring kan wel kort zijn als u weinig verwerkt; een zzp'er met een handvol klanten en een boekhoudpakket heeft genoeg aan een paar alinea's per onderdeel.
Moet een privacyverklaring ondertekend worden?
Nee. Een privacyverklaring is een eenzijdige mededeling: u informeert de lezer, en hij hoeft niets te ondertekenen of te accepteren. Een akkoordvinkje is niet nodig. Heeft u voor een verwerking toestemming nodig, zoals voor een nieuwsbrief, dan vraagt u die apart.
Is een cookieverklaring ook verplicht?
Als uw website cookies of vergelijkbare technieken gebruikt, moet u bezoekers daarover informeren (artikel 11.7a Telecommunicatiewet). Voor cookies die niet strikt noodzakelijk zijn, zoals de meeste advertentie- en volgcookies, heeft u ook toestemming nodig. Die informatie mag een apart onderdeel van uw privacyverklaring zijn of een aparte cookieverklaring.
Wat u nu kunt doen
Maak een korte lijst van de groepen mensen van wie u gegevens heeft: klanten, contactpersonen, websitebezoekers, medewerkers, sollicitanten. Staat er ook maar één groep op, dan heeft u een privacyverklaring nodig. Controleer daarna of uw huidige verklaring al die groepen noemt.
Werft u personeel, lees dan ook wat er voor sollicitanten in de privacyverklaring moet staan. Heeft u nog geen verklaring, of beschrijft de huidige uw bedrijf niet meer, dan kunt u een privacyverklaring laten opstellen.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.