Een privacyverklaring is verplicht zodra uw bedrijf persoonsgegevens verwerkt, en dat doet vrijwel elk bedrijf: een klantenbestand, een contactformulier of een sollicitatie per e-mail is al genoeg. In de privacyverklaring legt u uit welke gegevens u verwerkt, waarvoor, op welke grond, met wie u ze deelt en hoe lang u ze bewaart.
In het kort
- De AVG verplicht u om mensen te informeren over wat u met hun persoonsgegevens doet; een privacyverklaring is daarvoor de gebruikelijke vorm.
- Wat erin moet, staat in artikel 13 en 14 van de AVG: onder meer doelen, grondslagen, ontvangers, bewaartermijnen en de rechten van de lezer.
- Een privacyverklaring hoeft niet ondertekend te worden, en de lezer hoeft er niet mee akkoord te gaan.
- De informatie moet beschikbaar zijn op het moment dat u de gegevens verzamelt, dus ook bij een formulier, een intake of een telefoongesprek.
- Een standaardtekst volstaat zolang hij beschrijft wat uw bedrijf werkelijk doet. Bij gevoelige gegevens, veel leveranciers of meerdere groepen betrokkenen past hij meestal niet meer.
Wat is een privacyverklaring?
Een privacyverklaring is een document waarin een organisatie uitlegt welke persoonsgegevens zij verwerkt, waarom, op welke wettelijke grond, met wie zij die deelt en hoe lang zij ze bewaart. Ook staat erin welke rechten mensen hebben. De AVG verplicht organisaties om deze informatie te geven; de privacyverklaring op de website is daarvoor de gebruikelijke plek.
U komt ook de termen privacy statement, privacystatement en privacybeleid tegen. Op websites bedoelen ze meestal hetzelfde document. Strikt genomen is een privacybeleid een intern document over hoe uw organisatie met gegevens omgaat; de privacyverklaring is de tekst voor de buitenwereld. Meer daarover leest u in het verschil tussen privacyverklaring, privacybeleid en privacyreglement.
Persoonsgegevens zijn alle gegevens die iets zeggen over een herkenbaar persoon: een naam, e-mailadres, telefoonnummer, IP-adres of klantnummer. Verwerken is alles wat u ermee doet, van opslaan en bekijken tot doorsturen en verwijderen.
Is een privacyverklaring verplicht?
Ja. Verwerkt uw bedrijf persoonsgegevens, dan moet u de mensen van wie die gegevens zijn informeren. Dat is de informatieplicht uit artikel 12 tot en met 14 van de Algemene verordening gegevensbescherming (AVG). De wet noemt het woord "privacyverklaring" niet, maar in de praktijk is dat de manier waarop bedrijven aan deze plicht voldoen.
De plicht ligt bij de verwerkingsverantwoordelijke: de organisatie die bepaalt waarom en hoe gegevens worden verwerkt. Voor uw eigen klanten, websitebezoekers en sollicitanten bent u dat zelf. Grootte speelt geen rol. Ook een eenmanszaak met een klantenbestand valt eronder.
Er is één uitzondering die in de praktijk weinig ruimte geeft: u hoeft niets te vertellen wat de persoon al weet (artikel 13 lid 4 AVG). Dat is lastig aan te tonen, en het dekt zelden alle verplichte onderdelen. Ga er dus van uit dat u een privacyverklaring nodig heeft.
Ook de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder, gaat ervan uit dat organisaties deze informatie vooraf en begrijpelijk geven, meestal via een online privacyverklaring.
Moet een privacyverklaring ondertekend worden?
Nee. Een privacyverklaring is een eenzijdige mededeling waarmee u de lezer informeert; er komt geen overeenkomst mee tot stand. Er is dus geen handtekening nodig, niet van u en niet van de lezer. Een vinkje "ik ga akkoord met de privacyverklaring" is evenmin verplicht. Wel moet u kunnen laten zien dat de informatie op tijd beschikbaar was.
Zo'n akkoordvinkje kan zelfs verwarring geven. Een privacyverklaring lezen is iets anders dan toestemming geven. Heeft u voor een verwerking toestemming nodig, bijvoorbeeld voor een nieuwsbrief, dan vraagt u die apart en herkenbaar. Artikel 7 lid 2 AVG eist dat een verzoek om toestemming duidelijk te onderscheiden is van andere onderwerpen in dezelfde tekst.
Wat moet er in een privacyverklaring staan?
Artikel 13 AVG noemt wat u moet vertellen wanneer u gegevens bij de persoon zelf verzamelt. Een privacyverklaring bevat in elk geval:
- Wie u bent: bedrijfsnaam en contactgegevens.
- De contactgegevens van uw functionaris voor gegevensbescherming, als u die heeft.
- Welke persoonsgegevens u verwerkt.
- Voor welke doelen u ze verwerkt.
- Op welke grondslag elke verwerking rust.
- Uw gerechtvaardigd belang, als u zich op die grondslag beroept.
- Aan wie u gegevens verstrekt (ontvangers of categorieën ontvangers).
- Of gegevens buiten de Europese Economische Ruimte terechtkomen, en met welke waarborgen.
- Hoe lang u de gegevens bewaart, of hoe u die termijn bepaalt.
- Welke rechten de lezer heeft, en hoe hij die gebruikt.
- Dat de lezer gegeven toestemming altijd kan intrekken, als u op toestemming steunt.
- Dat de lezer een klacht kan indienen bij de Autoriteit Persoonsgegevens.
- Of het verstrekken van gegevens verplicht is, en wat er gebeurt als iemand ze niet geeft.
- Of u geautomatiseerde besluiten neemt of aan profilering doet.
Krijgt u gegevens via een ander, bijvoorbeeld van een verwijzer of een opdrachtgever, dan geldt artikel 14 AVG. U vermeldt dan ook waar de gegevens vandaan komen.
De onderdelen die het vaakst tekortschieten
Een lijst afvinken is het makkelijke deel. Op deze punten gaat het in de praktijk mis:
- Grondslag per doel. De AVG kent zes grondslagen, zoals uitvoering van een overeenkomst, een wettelijke plicht, toestemming en gerechtvaardigd belang (artikel 6 AVG). Eén zin als "wij verwerken uw gegevens op grond van de AVG" is geen grondslag. Koppel elk doel aan de grond die erbij hoort.
- Gerechtvaardigd belang. Gebruikt u die grondslag, bijvoorbeeld voor cameratoezicht of het bijhouden van websitestatistieken, dan noemt u ook welk belang u heeft.
- Ontvangers. Een verwerker is een partij die gegevens in uw opdracht verwerkt, zoals uw hostingpartij, boekhoudsoftware of nieuwsbriefdienst. Die horen in de privacyverklaring, bij naam of als categorie. "Derden" zonder uitleg is te vaag.
- Doorgifte buiten Europa. Veel software draait (deels) op servers in de Verenigde Staten. Dan moet uw privacyverklaring dat vermelden, en op welke basis de doorgifte plaatsvindt.
- Bewaartermijn. "Niet langer dan nodig" vertelt de lezer niets. Noem per soort gegevens een periode of de gebeurtenis waarna u verwijdert. Voor uw financiële administratie geldt bijvoorbeeld een fiscale bewaarplicht van zeven jaar.
Een voorbeeld van een concrete formulering: "Offerteaanvragen die niet tot een opdracht leiden, verwijderen wij twaalf maanden na het laatste contactmoment." Daarmee weet de lezer precies waar hij aan toe is.
Waar moet de privacyverklaring staan?
De informatie moet beschikbaar zijn op het moment dat u de gegevens verzamelt (artikel 13 lid 1 AVG). Voor de meeste bedrijven betekent dat:
- een link naar de privacyverklaring onderaan elke pagina van de website;
- een link bij elk formulier, direct bij de verzendknop;
- bij gegevens die u offline verzamelt, zoals bij een intake, aan de telefoon of op een papieren formulier: een korte verwijzing naar waar de volledige tekst staat.
Krijgt u gegevens via een ander, dan informeert u de persoon binnen een redelijke termijn, uiterlijk binnen een maand (artikel 14 lid 3 AVG).
De tekst moet beknopt, begrijpelijk en makkelijk toegankelijk zijn, in duidelijke en eenvoudige taal (artikel 12 lid 1 AVG). Een document van twintig pagina's juridisch Nederlands voldoet daar niet aan, ook als alle onderdelen erin staan. Werkt u voor meerdere groepen, zoals klanten en sollicitanten, dan kunt u de tekst per groep indelen of aparte verklaringen maken. Wat er voor sollicitanten in moet, staat in de privacyverklaring voor sollicitanten. Voor eigen medewerkers is een aparte personeelsverklaring gebruikelijk.
Hoe stelt u een privacyverklaring op?
Een privacyverklaring opstellen begint met een overzicht van wat uw eigen bedrijf met persoonsgegevens doet. Zo pakt u het aan:
- Breng in kaart wiens gegevens u verwerkt. Klanten, websitebezoekers, leveranciers, sollicitanten, medewerkers.
- Noteer per groep wat u verzamelt en waarom. Elk doel apart: een offerte maken, factureren, een nieuwsbrief sturen.
- Bepaal per doel de grondslag en de bewaartermijn. Houdt u een verwerkingsregister bij (een intern overzicht van uw verwerkingen, artikel 30 AVG), dan staat veel hiervan er al in.
- Maak een lijst van uw leveranciers en systemen. Website, e-mail, boekhouding, CRM, planning, betalingen. Kijk waar hun servers staan.
- Schrijf de tekst voor de lezer. Kort per onderdeel, in gewone taal, met de concrete termijnen en partijen.
- Publiceer en houd hem bij. Elke nieuwe leverancier, website-functie of groep betrokkenen kan een aanpassing vragen.
Met verwerkers sluit u daarnaast een verwerkersovereenkomst (artikel 28 AVG). Dat is een ander document: die regelt de afspraken tussen u en de leverancier, de privacyverklaring informeert de persoon van wie de gegevens zijn.
Wanneer is een standaard privacyverklaring genoeg?
Een standaardtekst of gratis generator volstaat zolang het resultaat klopt met wat uw bedrijf werkelijk doet. Bij een eenvoudig bedrijf met een website, een contactformulier en een boekhoudpakket lukt dat vaak. Hoe meer uw bedrijf afwijkt van het gemiddelde, hoe groter de kans dat een standaardtekst dingen beschrijft die u niet doet, en mist wat u wel doet.
| Uw situatie | Standaardtekst passend? | Waarom |
|---|---|---|
| Website met contactformulier, geen personeel | Vaak wel | Weinig verwerkingen, gangbare grondslagen |
| Webshop met betaalprovider en vervoerder | Met aanpassingen | Meer ontvangers, wettelijke bewaartermijnen |
| Werving via de website, personeel in dienst | Meestal niet zonder meer | Extra groepen betrokkenen met eigen termijnen |
| Software met servers buiten Europa | Meestal niet | Doorgifte en waarborgen moeten kloppen per leverancier |
| Gezondheids- of andere bijzondere gegevens, of gegevens van kinderen | Nee | Strengere regels (artikel 8 en 9 AVG); een algemene tekst dekt dit niet |
| Cameratoezicht, profilering of uitgebreide marketing | Nee | Gerechtvaardigd belang of toestemming moet specifiek onderbouwd zijn |
Voor kinderopvangorganisaties staat in het artikel over de privacyverklaring voor de kinderopvang welke onderdelen een standaardtekst daar mist.
In de laatste situaties is het verstandig de privacyverklaring te laten opstellen door iemand die uw verwerkingen kent, of persoonlijk advies te vragen bij twijfel over de grondslag. Een privacyverklaring is één onderdeel van de AVG; ook een goede tekst maakt de verwerking zelf niet rechtmatig als die dat niet is.
Veelgestelde vragen
Wat gebeurt er als ik geen privacyverklaring heb?
Dan voldoet u niet aan de informatieplicht uit de AVG. De Autoriteit Persoonsgegevens kan daarop handhaven, met onder meer een berisping, een last onder dwangsom of een boete (artikel 58 en 83 AVG en artikel 16 UAVG). Vaker merkt u het eerder: een klant, sollicitant of zakelijke opdrachtgever vraagt ernaar, of een leverancier of platform eist een link naar uw privacyverklaring voordat u hun dienst kunt gebruiken.
Moet mijn privacyverklaring ook in het Engels?
Alleen als uw doelgroep geen Nederlands leest. De AVG eist dat de informatie begrijpelijk is voor de mensen van wie u gegevens verwerkt. Richt uw website of dienst zich ook op Engelstalige klanten of sollicitanten, dan hoort daar een Engelse versie bij. Voor een bedrijf dat alleen in het Nederlands werkt, volstaat een Nederlandse tekst.
Hoe vaak moet ik mijn privacyverklaring bijwerken?
Elke keer dat er iets verandert in wat u met persoonsgegevens doet. Denk aan een nieuw softwarepakket, een nieuwe functie op uw website, een webshop of de eerste medewerker. Een vaste termijn schrijft de wet niet voor. Een jaarlijkse controle helpt om veranderingen niet te missen; zet de datum van de laatste wijziging bovenaan de tekst.
Is een privacyverklaring hetzelfde als een cookieverklaring?
Nee. De cookieverklaring gaat over cookies en vergelijkbare technieken op uw website, waarvoor naast de AVG de Telecommunicatiewet geldt. De privacyverklaring gaat over alle persoonsgegevens die u verwerkt, ook buiten de website. Veel bedrijven nemen de cookie-informatie op als apart onderdeel in de privacyverklaring; dat mag, zolang de cookietoestemming zelf apart wordt gevraagd.
Wat u nu kunt doen
Leg uw huidige privacyverklaring naast de lijst met veertien onderdelen hierboven. Controleer daarna drie dingen die het vaakst niet kloppen: staan al uw leveranciers erin, is er per doel een grondslag, en noemt u echte bewaartermijnen?
Heeft u nog geen privacyverklaring, begin dan bij stap 1: een lijst van wiens gegevens u verwerkt en waarom. Valt uw bedrijf in een van de laatste rijen van de tabel, of wilt u het in één keer goed geregeld hebben, dan kunt u een privacyverklaring laten opstellen die aansluit op uw eigen bedrijfsvoering.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.