Privacyverklaring voorbeeld: formuleringen per onderdeel

Een goed privacyverklaring voorbeeld laat per onderdeel zien hoe u concreet beschrijft wat uw bedrijf met persoonsgegevens doet. Een volledige tekst van een ander bedrijf overnemen werkt zelden: een privacyverklaring beschrijft feiten over één organisatie, en die feiten verschillen per bedrijf. Hieronder staan voorbeeldformuleringen per onderdeel, telkens met een zwakke en een sterkere versie, en de situaties waarin ze niet passen.

In het kort

• Een privacyverklaring is een feitelijke beschrijving. Een gekopieerde tekst beschrijft het bedrijf waar hij vandaan komt.
• Een sterke formulering is concreet: welke gegevens, welke termijn, welke partij.
• Vage zinnen als "niet langer dan nodig" en "derden" voldoen niet aan de AVG.
• Gebruik voorbeelden als vorm, en vul ze met uw eigen werkwijze.

Waarom past een gekopieerde privacyverklaring zelden?

Een privacyverklaring beschrijft wat uw bedrijf feitelijk doet: welke gegevens u verzamelt, waarvoor, op welke grond, met wie u ze deelt en hoe lang u ze bewaart (artikel 13 AVG). Twee bedrijven in dezelfde branche verschillen daarin vaak sterk. De een heeft een webshop en een nieuwsbrief, de ander werkt alleen op offertebasis.

Een overgenomen tekst gaat daardoor op voorspelbare punten mis:

• hij noemt verwerkingen die u niet uitvoert, en mist verwerkingen die u wel uitvoert;
• de grondslagen horen bij de doelen van het andere bedrijf;
• de leveranciers en systemen zijn die van het andere bedrijf;
• de bewaartermijnen kloppen niet met uw administratie;
• de tekst kan op het moment van kopiëren al verouderd zijn.

Een privacyverklaring die iets onjuists beschrijft, voldoet niet aan de informatieplicht, ook als alle kopjes erin staan. Daarom staat hieronder geen volledige tekst, maar per onderdeel een voorbeeld van de vorm.

De voorbeelden gaan uit van een herkenbaar mkb-bedrijf: bijvoorbeeld een installatiebedrijf met tien medewerkers, een website met offerteformulier en een boekhoudpakket.

Voorbeeldformuleringen per onderdeel

Wie verwerkt uw gegevens?

De AVG vraagt uw identiteit en contactgegevens (artikel 13 lid 1 onder a). Noem daarom de volledige bedrijfsnaam, het adres en een manier om contact op te nemen over privacy. Een KvK-nummer is niet verplicht, maar maakt voor de lezer duidelijk welk bedrijf precies bedoeld is.

• Zwak: "Wij gaan zorgvuldig om met uw gegevens."
• Sterker: "[Bedrijfsnaam] B.V., [adres], KvK [nummer], is verantwoordelijk voor de verwerking van uw persoonsgegevens. Vragen over privacy stelt u aan [e-mailadres]."

Heeft u een functionaris voor gegevensbescherming, dan noemt u ook diens contactgegevens.

Welke gegevens verwerkt u, en waarvoor?

Beschrijf per doel welke gegevens u gebruikt en op welke grondslag: de wettelijke reden waarom u de gegevens mag verwerken (artikel 6 AVG).

• Zwak: "Wij verwerken persoonsgegevens op grond van de AVG om onze dienstverlening te verbeteren."
• Sterker: "Vraagt u een offerte aan, dan gebruiken wij uw naam, adres, telefoonnummer en de omschrijving van de klus om de offerte op te stellen en met u een afspraak te maken. Wij doen dit omdat u ons vraagt een overeenkomst voor te bereiden."

Past niet als: u de offertegegevens ook gebruikt voor iets anders, zoals een nieuwsbrief. Dat is een apart doel met een eigen grondslag.

Gerechtvaardigd belang

Steunt een verwerking op gerechtvaardigd belang, dan moet u dat belang noemen (artikel 13 lid 1 onder d AVG).

• Zwak: "Wij kunnen gegevens verwerken op basis van ons gerechtvaardigd belang."
• Sterker: "Wij bewaren de gegevens van uitgevoerde klussen om garantievragen te kunnen beantwoorden. Dat is ons gerechtvaardigd belang: wij moeten kunnen nagaan wat wij wanneer hebben geïnstalleerd."

Met wie deelt u gegevens?

Noem de ontvangers bij naam of als categorie, met wat ze voor u doen.

• Zwak: "Wij delen uw gegevens niet met derden, tenzij dat nodig is."
• Sterker: "Wij gebruiken een boekhoudpakket voor onze facturen en een planningssysteem voor onze monteurs. Deze leveranciers verwerken uw gegevens alleen in onze opdracht, en wij hebben met hen een verwerkersovereenkomst gesloten."

De zwakke versie zegt tegelijk dat u niets deelt en dat u soms wel deelt. Vrijwel elk bedrijf deelt gegevens met ten minste een hosting- of softwareleverancier.

Doorgifte buiten Europa

• Zwak: "Uw gegevens kunnen buiten de EU worden verwerkt."
• Sterker: "Ons planningssysteem slaat gegevens op in de Verenigde Staten. De leverancier heeft hiervoor met ons de standaardcontractbepalingen van de Europese Commissie afgesproken."

Past niet als: al uw leveranciers binnen de Europese Economische Ruimte opslaan. Schrijf dan dat de gegevens binnen de EER blijven, en controleer dat per leverancier.

Hoe lang bewaart u de gegevens?

Noem per soort gegevens een termijn, of de gebeurtenis waarna u verwijdert.

• Zwak: "Wij bewaren uw gegevens niet langer dan noodzakelijk."
• Sterker: "Offerteaanvragen die niet tot een opdracht leiden, verwijderen wij na twaalf maanden. Facturen en de bijbehorende gegevens bewaren wij zeven jaar, omdat de belastingwet dat voorschrijft."

Welke rechten heeft de lezer?

Noem de rechten en hoe iemand ze gebruikt: inzage, correctie, verwijdering, beperking, bezwaar en gegevensoverdraagbaarheid (artikel 15 tot en met 21 AVG), plus het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

• Zwak: "U heeft de rechten die de AVG u geeft."
• Sterker: "U kunt ons vragen welke gegevens wij van u hebben, en ze laten verbeteren of verwijderen. Stuur daarvoor een e-mail naar [e-mailadres]; wij reageren binnen een maand. Bent u het niet eens met hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens."

De termijn van een maand komt uit artikel 12 lid 3 AVG.

Wijzigingen

• Sterker: "Deze privacyverklaring is voor het laatst gewijzigd op [datum]."

Een datum laat lezers zien of de tekst actueel is, en helpt u zelf om te zien wanneer hij aan herziening toe is.

Hoe gebruikt u deze voorbeelden?

Begin bij uw eigen bedrijf. Maak eerst een lijst van uw groepen betrokkenen, uw doelen, uw leveranciers en uw termijnen. Kies daarna per onderdeel de vorm van de sterkere formulering en vul hem met uw eigen gegevens.

Controleer na het schrijven elke zin met één vraag: klopt dit voor mijn bedrijf? Zinnen over een app, nieuwsbrief of webshop die u niet heeft, haalt u weg. Een korte verklaring die klopt, is beter dan een lange die deels onjuist is.

Heeft u een webshop, dan komen er verwerkingen bij die hier niet staan; die vindt u in de checklist voor de privacyverklaring van een webshop. Wilt u de tekst laten genereren, lees dan eerst waar een generator op vastloopt.

Wat u nu kunt doen

Leg uw huidige privacyverklaring naast de zwakke voorbeelden hierboven. Elke zin die erop lijkt, vervangt u door een concrete versie met uw eigen gegevens, termijnen en leveranciers. Begin bij de bewaartermijnen en de ontvangers: daar staan de meeste vage formuleringen.

Een volledig overzicht van de verplichte onderdelen staat in het artikel over de privacyverklaring. Wilt u liever een verklaring die vanaf het begin op uw bedrijf is afgestemd, dan kunt u een privacyverklaring laten opstellen.