Privacyverklaring opstellen: wat moet erin?
Een privacyverklaring opstellen voor je website: wanneer je die nodig hebt, wat er volgens de AVG in moet staan en waarom een gekopieerd voorbeeld niet werkt.
In dit artikel
Bijna elke bedrijfswebsite heeft een link “Privacy” onderin. Klik je erop, dan vind je vaak een lange tekst die vaag klinkt, verwijst naar diensten die het bedrijf niet gebruikt, en een contactpersoon noemt die er al jaren niet meer werkt. Zo’n tekst voldoet niet, en een bezoeker heeft er niets aan.
In dit artikel lees je wanneer je een privacyverklaring nodig hebt, wat erin moet, en hoe je hem opstelt zonder juristentaal. Het is praktische uitleg, geen juridisch advies.
Wanneer heb je een privacyverklaring nodig?
Zodra je persoonsgegevens verwerkt. Dat is sneller dan je denkt. Op een website gaat het bijvoorbeeld om:
- een contactformulier of offerteaanvraag;
- een nieuwsbriefinschrijving (zie ook nieuwsbrief versturen: wat mag wel en niet);
- een webshop met klantaccounts en bestellingen;
- een chatfunctie;
- analysetools of advertentiepixels die bezoekers volgen;
- sollicitaties via de website.
Heeft je website geen formulier en geen tracking, dan verwerk je waarschijnlijk nog steeds persoonsgegevens buiten de website, bijvoorbeeld van klanten in je administratie. Ook daarover moet je mensen informeren, en de privacyverklaring op je website is daarvoor de logische plek.
Wat moet erin?
De AVG noemt vrij precies welke informatie je moet geven. Vertaald naar gewone taal:
- Wie je bent. Bedrijfsnaam, adres, KvK-nummer en hoe iemand je bereikt over privacyvragen.
- Welke gegevens je verwerkt. Concreet: naam, e-mailadres, telefoonnummer, adres, bestelgegevens, IP-adres, gegevens uit analysetools.
- Waarvoor. Per doel: een aanvraag beantwoorden, een bestelling leveren, een nieuwsbrief sturen, je website verbeteren, adverteren.
- Op welke grondslag. Bijvoorbeeld de uitvoering van een overeenkomst, een wettelijke plicht zoals de fiscale bewaarplicht, toestemming, of een gerechtvaardigd belang.
- Hoe lang je ze bewaart. Per soort gegevens een termijn of een criterium. Voor je administratie geldt vaak een fiscale bewaarplicht van zeven jaar.
- Met wie je ze deelt. Denk aan je hostingpartij, je mailingtool, je boekhoudpakket, je betaalprovider, je vervoerder. Je hoeft niet elke leverancier bij naam te noemen, maar wel de soorten ontvangers.
- Of gegevens buiten de EU gaan, en hoe je ze dan beschermt.
- Welke rechten mensen hebben. Inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar, en hoe ze die uitoefenen.
- Dat toestemming altijd kan worden ingetrokken, als je op toestemming steunt.
- Dat iemand een klacht kan indienen bij de Autoriteit Persoonsgegevens.
Waarom een gekopieerd voorbeeld niet werkt
Generators en voorbeeldteksten zijn handig om te zien welke onderwerpen erin horen. Maar een privacyverklaring is een beschrijving van wat jóuw bedrijf doet. Een gekopieerde tekst:
- noemt tools die je niet gebruikt, of mist de tools die je wel gebruikt;
- noemt bewaartermijnen die je niet aanhoudt;
- belooft soms dingen die je niet doet, zoals “wij delen nooit gegevens met derden”, terwijl je een mailingtool en een hostingpartij hebt.
Dat laatste is riskant: een verklaring die meer belooft dan je waarmaakt, is misleidend.
Zo stel je hem op, stap voor stap
- Maak een lijst van alles waar persoonsgegevens binnenkomen. Formulieren, webshop, e-mail, telefoon, sollicitaties, social media.
- Schrijf per bron op welke gegevens het zijn, waarvoor je ze gebruikt, waar ze worden opgeslagen en hoe lang.
- Maak een lijst van leveranciers die bij die gegevens kunnen: hosting, mail, boekhouding, CRM, nieuwsbrief, analyse. Controleer dat je met hen een verwerkersovereenkomst hebt; bij grote partijen zit die meestal in de voorwaarden.
- Schrijf de verklaring per doel, niet per wetsartikel. “Als je ons contactformulier invult” leest beter dan “Artikel 6 lid 1 sub b”.
- Zet er een datum onder en loop hem na bij elke nieuwe tool of elk nieuw formulier.
Een indeling die werkt
- Wie wij zijn en hoe je ons bereikt
- Welke gegevens we verwerken, per situatie (contact, offerte, bestelling, nieuwsbrief, sollicitatie)
- Waarom en op welke grondslag
- Hoe lang we gegevens bewaren
- Met wie we gegevens delen
- Hoe we gegevens beveiligen
- Cookies (of een verwijzing naar de cookieverklaring)
- Je rechten en hoe je ze uitoefent
- Klachten
- Wijzigingen en datum
Voor cookies geldt een eigen set regels; zie cookiebanner: wanneer verplicht en wat mag. Wat er verder wettelijk op je website hoort, lees je in wat moet er verplicht op je website staan.
Beveiliging hoort erbij
In je privacyverklaring vertel je ook, in grote lijnen, hoe je gegevens beveiligt. Dat moet dan wel kloppen. Beveiligde verbindingen, toegang alleen voor wie het nodig heeft, tweestapsverificatie op mail en systemen: zie MFA en Conditional Access voor het mkb.
Hoe SEBA Connect hierbij helpt
De inhoud van je privacyverklaring blijft jouw verantwoordelijkheid. Bij een nieuwe website of webshop zorgen we dat de privacyverklaring op de goede plek staat en vertellen we je welke formulieren, tools en cookies de site gebruikt. Zo kan de verklaring kloppen met wat de site echt doet. Stel je vraag.
Veelgestelde vragen
Wanneer heb ik een privacyverklaring nodig?
Zodra je persoonsgegevens verwerkt, bijvoorbeeld via een contactformulier, offerteaanvraag, nieuwsbrief, webshop of analysetool. In de praktijk heeft vrijwel elke bedrijfswebsite er een nodig.
Wat moet er in een privacyverklaring staan?
Wie je bent en hoe je bereikbaar bent, welke gegevens je verwerkt en waarvoor, op welke grondslag, hoe lang je ze bewaart, met wie je ze deelt, of gegevens buiten de EU gaan, welke rechten mensen hebben en dat ze een klacht kunnen indienen bij de Autoriteit Persoonsgegevens.
Mag ik een voorbeeld of generator gebruiken voor mijn privacyverklaring?
Als startpunt wel, maar de tekst moet beschrijven wat jouw bedrijf echt doet: jouw formulieren, jouw tools, jouw bewaartermijnen. Een verklaring die over een ander bedrijf lijkt te gaan, voldoet niet en kan zelfs tegen je werken.