Privacyverklaring of privacybeleid: wat is het verschil?

Het verschil tussen een privacyverklaring en een privacybeleid zit in de lezer. Een privacyverklaring is voor de buitenwereld: klanten, websitebezoekers en sollicitanten lezen erin wat u met hun gegevens doet. Een privacybeleid is een intern document: het legt vast hoe uw organisatie met persoonsgegevens omgaat. Een privacyreglement is een derde variant, met regels voor één afdeling, groep of systeem.

In het kort

• De privacyverklaring volgt uit de informatieplicht van artikel 13 en 14 AVG en is voor iedere organisatie die persoonsgegevens verwerkt verplicht.
• Het privacybeleid volgt uit artikel 24 AVG en is nodig voor zover dat in verhouding staat tot uw verwerkingen.
• Het woord privacyreglement komt in de AVG niet voor. Het wordt vooral gebruikt in zorg, onderwijs en kinderopvang, en voor regels over personeelsgegevens.
• Op veel websites heet de privacyverklaring "privacybeleid". Dat mag, zolang de inhoud voldoet aan de AVG.

Wat is het verschil tussen een privacyverklaring en een privacybeleid?

Een privacyverklaring vertelt de mensen van wie u gegevens verwerkt wat er met die gegevens gebeurt. Een privacybeleid vertelt uw eigen medewerkers hoe zij met persoonsgegevens moeten omgaan. Het eerste document is openbaar, het tweede meestal niet. Een privacyreglement zit ertussenin.

	Privacyverklaring	Privacybeleid	Privacyreglement
Voor wie	Klanten, bezoekers, sollicitanten	Eigen organisatie	Medewerkers en betrokkenen bij één verwerking
Doel	Informeren over de verwerking	Afspraken en verantwoordelijkheden vastleggen	Regels voor een specifieke groep of systeem
Wettelijke basis	Artikel 12–14 AVG	Artikel 24 lid 2 AVG	Geen eigen AVG-artikel; soms een sectorwet of de WOR
Verplicht?	Ja, zodra u persoonsgegevens verwerkt	Als het in verhouding staat tot uw verwerkingen	Alleen als een wet of regeling het vraagt
Openbaar?	Ja, makkelijk vindbaar	Nee, intern	Soms, afhankelijk van de lezer
Geschikt voor	Iedere organisatie	Organisaties waar meerdere mensen met gegevens werken	Zorg, onderwijs, kinderopvang, bedrijven met een ondernemingsraad

Elk bedrijf heeft dus een privacyverklaring nodig. Of de andere twee documenten zinvol zijn, hangt af van de omvang en het soort gegevens.

Waarom heet een privacyverklaring vaak privacybeleid?

Dat komt grotendeels door het Engels. Een privacy policy is in Engelstalige landen het openbare document, en websitebouwers, sjablonen en generators vertalen dat letterlijk als "privacybeleid". In het Nederlands is privacyverklaring of privacy statement de gebruikelijke term, ook bij de Autoriteit Persoonsgegevens.

Voor de wet maakt de naam niet uit. Bevat het document alles wat artikel 13 en 14 AVG voorschrijven, dan voldoet u aan de informatieplicht, ook als er "privacybeleid" boven staat. Heeft u daarnaast een intern beleid, kies dan voor twee verschillende namen. Zo voorkomt u dat medewerkers of klanten het verkeerde document lezen.

Wat er in de openbare versie moet staan, leest u in het overzicht van wat een privacyverklaring moet bevatten.

Is een privacybeleid verplicht?

Niet voor iedere organisatie. Artikel 24 lid 2 AVG vraagt een "passend gegevensbeschermingsbeleid" wanneer dat in verhouding staat tot uw verwerkingsactiviteiten. Hoe meer gegevens, medewerkers en risico's, hoe eerder u eraan moet voldoen.

Daarnaast geldt voor iedere organisatie de verantwoordingsplicht (artikel 5 lid 2 en artikel 24 lid 1 AVG): u moet kunnen aantonen dat u zich aan de AVG houdt. Een kort, schriftelijk privacybeleid is daarvoor vaak de eenvoudigste manier, ook als u formeel niet verplicht bent.

Een praktisch privacybeleid voor een mkb-bedrijf beschrijft onder meer:

• wie in de organisatie verantwoordelijk is voor privacy;
• wie toegang heeft tot welke gegevens;
• hoe u gegevens beveiligt, bijvoorbeeld met wachtwoordbeleid en tweestapsverificatie;
• hoe lang u welke gegevens intern bewaart, en wie ze verwijdert;
• wat medewerkers doen bij een datalek: een melding aan de AP moet binnen 72 uur (artikel 33 AVG);
• hoe u omgaat met een verzoek om inzage of verwijdering;
• hoe u nieuwe software of leveranciers beoordeelt.

Details over uw beveiliging horen in dit interne document en niet in de openbare privacyverklaring. Daar volstaat een algemene beschrijving van de maatregelen.

Wat is een privacyreglement?

Een privacyreglement is een set regels voor één afgebakende verwerking, groep of afdeling. Het begrip stamt uit de tijd vóór de AVG en komt in de wet zelf niet voor. U komt het vooral tegen in zorginstellingen, scholen en de kinderopvang, waar het de omgang met dossiers van cliënten, leerlingen of kinderen regelt.

In het bedrijfsleven speelt het reglement vooral bij personeelsgegevens. Heeft uw bedrijf een ondernemingsraad, dan heeft die instemmingsrecht bij een regeling over de verwerking en bescherming van persoonsgegevens van medewerkers (artikel 27 lid 1 onder k van de Wet op de ondernemingsraden). Zo'n regeling heet in de praktijk vaak privacyreglement.

Een privacyreglement vervangt de privacyverklaring niet. De mensen over wie het reglement gaat, moeten nog steeds worden geïnformeerd volgens artikel 13 en 14 AVG.

Welke privacydocumenten heeft uw bedrijf nodig?

Begin bij de verplichtingen die voor iedereen gelden, en voeg de rest toe naarmate uw bedrijf groeit:

• Privacyverklaring: altijd, zodra u persoonsgegevens verwerkt.
• Verwerkersovereenkomst: met elke leverancier die gegevens in uw opdracht verwerkt, zoals uw hostingpartij of boekhoudsoftware (artikel 28 AVG).
• Verwerkingsregister: een intern overzicht van uw verwerkingen (artikel 30 AVG). Er is een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt onder meer als de verwerking niet incidenteel is (artikel 30 lid 5 AVG). Een klantenbestand of personeelsadministratie bijhouden is geen incidentele verwerking, dus voor de meeste bedrijven geldt de uitzondering niet.
• Privacybeleid: zodra meerdere mensen in uw bedrijf met persoonsgegevens werken, of u gevoelige gegevens verwerkt.
• Privacyreglement: als uw ondernemingsraad of uw sector erom vraagt.

Voor een bedrijf met tien medewerkers, een website en een klantenbestand betekent dat meestal: een privacyverklaring, verwerkersovereenkomsten, een verwerkingsregister en een beknopt intern beleid van één of twee pagina's.

Wat u nu kunt doen

Bekijk het document dat nu op uw website staat. Heet het privacybeleid maar bevat het de onderdelen uit artikel 13 AVG, dan is het in feite uw privacyverklaring; overweeg de naam aan te passen als u ook een intern beleid heeft. Staan er interne afspraken of beveiligingsdetails in, haal die dan naar een apart, intern document.

Ontbreekt de openbare tekst of beschrijft hij uw bedrijf niet meer, dan kunt u uw privacyverklaring laten opstellen en het interne beleid daarna zelf opbouwen met de lijst hierboven.