Een privacyverklaring moet voldoen aan de eisen van de Algemene Verordening Gegevensbescherming (AVG). Concreet betekent dit dat je verplicht informeert over wie de gegevens verwerkt, welke gegevens worden verzameld, op welke rechtsgrond dat gebeurt, hoe lang ze worden bewaard en welke rechten betrokkenen hebben. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de EU, ongeacht de omvang van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen van een correcte en volledige privacyverklaring.
Welke wettelijke verplichtingen gelden voor een privacyverklaring?
Op grond van de AVG is iedere organisatie die persoonsgegevens verwerkt verplicht betrokkenen actief te informeren over die verwerking. Dit heet de informatieplicht. Een privacyverklaring is de meest gebruikte manier om aan die plicht te voldoen. De informatie moet begrijpelijk, toegankelijk en volledig zijn. Ontbreekt de verklaring of is ze onvolledig, dan loop je het risico op een boete van de Autoriteit Persoonsgegevens.
De informatieplicht uit de AVG is vastgelegd in artikelen 13 en 14. Artikel 13 geldt wanneer persoonsgegevens rechtstreeks bij de betrokkene worden verzameld, bijvoorbeeld via een contactformulier. Artikel 14 geldt wanneer gegevens via een andere bron worden verkregen. In beide gevallen moet de informatie worden verstrekt op het moment van verzameling of, als dat niet mogelijk is, zo snel mogelijk daarna.
Naast de AVG kunnen aanvullende regels gelden. Organisaties in specifieke sectoren, zoals de zorg of het onderwijs, hebben te maken met sectorspecifieke wet- en regelgeving die extra eisen stelt aan de verwerking van persoonsgegevens. Wil je meer weten over de bredere regelgeving rondom privacy en beveiliging, dan loont het om die context mee te nemen bij het opstellen van je verklaring.
Welke gegevens moeten verplicht worden vermeld?
Een AVG-conforme privacyverklaring moet minimaal de volgende informatie bevatten: de identiteit en contactgegevens van de verwerkingsverantwoordelijke, de contactgegevens van de Functionaris Gegevensbescherming (indien aangesteld), de doeleinden en rechtsgronden van de verwerking, de bewaartermijnen en de rechten van betrokkenen. Dit zijn de verplichte bouwstenen van elk privacybeleid.
Concreet gaat het om de volgende elementen:
- Identiteit van de verwerkingsverantwoordelijke: naam, adres en contactgegevens van de organisatie.
- Contactgegevens FG: indien een Functionaris Gegevensbescherming is aangesteld, moeten diens gegevens worden vermeld.
- Verwerkingsdoeleinden en rechtsgronden: waarom worden de gegevens verwerkt en op welke juridische grondslag.
- Categorieën van persoonsgegevens: welke soorten gegevens worden verwerkt (naam, e-mailadres, locatiegegevens, enzovoort).
- Ontvangers of categorieën van ontvangers: aan wie worden de gegevens verstrekt, inclusief eventuele derde landen buiten de EU.
- Bewaartermijnen: hoe lang worden de gegevens bewaard of op welke criteria wordt de bewaartermijn bepaald.
- Rechten van betrokkenen: inzage, rectificatie, verwijdering, bezwaar en overdraagbaarheid.
- Recht om een klacht in te dienen: verwijzing naar de Autoriteit Persoonsgegevens als toezichthoudende autoriteit.
- Geautomatiseerde besluitvorming: indien van toepassing, informatie over profilering of geautomatiseerde besluiten.
Bij het vermelden van ontvangers in derde landen moet je ook aangeven welke waarborgen zijn getroffen, zoals standaardcontractbepalingen of een adequaatheidsbesluit van de Europese Commissie.
Hoe beschrijf je de rechtsgronden voor gegevensverwerking?
De AVG kent zes rechtsgronden voor gegevensverwerking. Voor elke verwerking moet je in je privacyverklaring expliciet vermelden op welke grondslag die plaatsvindt. De meest voorkomende grondslagen zijn: toestemming van de betrokkene, uitvoering van een overeenkomst, wettelijke verplichting en gerechtvaardigd belang van de verwerkingsverantwoordelijke.
Een korte toelichting per grondslag helpt betrokkenen begrijpen waarom hun gegevens worden verwerkt:
- Toestemming (art. 6 lid 1 sub a): de betrokkene heeft vrijelijk, specifiek en ondubbelzinnig ingestemd. Denk aan het aanmelden voor een nieuwsbrief. Toestemming kan altijd worden ingetrokken.
- Overeenkomst (art. 6 lid 1 sub b): de verwerking is noodzakelijk voor de uitvoering van een contract waarbij de betrokkene partij is, of voor stappen voorafgaand aan het sluiten van dat contract.
- Wettelijke verplichting (art. 6 lid 1 sub c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting, zoals het bewaren van financiële gegevens voor de Belastingdienst.
- Vitale belangen (art. 6 lid 1 sub d): verwerking is noodzakelijk om levensbelangen te beschermen. Deze grondslag is beperkt tot uitzonderlijke situaties.
- Algemeen belang of openbaar gezag (art. 6 lid 1 sub e): relevant voor overheidsorganisaties en publieke taken.
- Gerechtvaardigd belang (art. 6 lid 1 sub f): de verwerking is noodzakelijk voor een legitiem belang van de verwerkingsverantwoordelijke, tenzij de belangen van de betrokkene zwaarder wegen. Hier is een zogenaamde belangenafweging vereist.
Vermijd vage omschrijvingen als “we verwerken uw gegevens voor commerciële doeleinden”. Wees specifiek: koppel elk verwerkingsdoel aan een concrete rechtsgrond en leg uit waarom die grondslag van toepassing is.
Wat zijn de rechten van betrokkenen en hoe vermeld je die?
Betrokkenen hebben onder de AVG meerdere rechten die je volledig en begrijpelijk moet vermelden in je privacyverklaring. Het gaat om het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens, bezwaar en het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming. Elk recht moet worden beschreven, inclusief hoe betrokkenen het kunnen uitoefenen.
Praktisch gezien betekent dit dat je in je privacyverklaring duidelijk aangeeft:
- Hoe een betrokkene een verzoek kan indienen (e-mail, formulier, post).
- Binnen welke termijn je reageert (de AVG schrijft maximaal één maand voor, met mogelijkheid tot verlenging).
- Of er kosten verbonden zijn aan het uitoefenen van een recht (in de meeste gevallen niet).
- Dat betrokkenen het recht hebben een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Als je toestemming als rechtsgrond gebruikt, vermeld dan ook expliciet dat betrokkenen die toestemming op elk moment kunnen intrekken, zonder dat dit gevolgen heeft voor de rechtmatigheid van de verwerking vóór de intrekking. Dit is een veelgemaakte omissie in privacyverklaringen.
Hoe vaak moet een privacyverklaring worden bijgewerkt?
Er is geen wettelijk vastgelegde minimale updatefrequentie voor een privacyverklaring, maar de AVG vereist dat de informatie te allen tijde actueel, juist en volledig is. In de praktijk betekent dit dat je de verklaring bijwerkt zodra er iets verandert in de manier waarop je persoonsgegevens verwerkt.
Situaties die aanleiding geven tot een update zijn onder meer:
- Je start met het verzamelen van nieuwe categorieën persoonsgegevens.
- Je werkt met nieuwe softwareleveranciers of verwerkers die toegang krijgen tot persoonsgegevens.
- Je bewaartermijnen of verwerkingsdoeleinden wijzigen.
- Er zijn wijzigingen in wet- en regelgeving die van invloed zijn op je verwerkingen.
- Je begint gegevens te delen met partijen buiten de EU.
Een goede praktijk is om de privacyverklaring minimaal jaarlijks te reviewen, ook als er geen directe aanleiding is. Zo voorkom je dat kleine veranderingen in de verwerkingen ongemerkt leiden tot een verouderd document. Vermeld in de verklaring altijd de datum van de laatste wijziging, zodat betrokkenen weten hoe actueel de informatie is.
Wat zijn veelgemaakte fouten in een privacyverklaring?
De meest voorkomende fout in een privacyverklaring is het gebruik van vage, juridisch onjuiste of onvolledige informatie. Organisaties kopiëren regelmatig een sjabloon zonder dat aan te passen aan hun eigen situatie, waardoor de verklaring niet overeenkomt met de werkelijke verwerkingen. Dit is niet alleen een AVG-overtreding, maar ook een risico bij een controle door de Autoriteit Persoonsgegevens.
Andere veelgemaakte fouten zijn:
- Ontbrekende rechtsgronden: alleen vermelden dat gegevens worden verwerkt, zonder aan te geven op welke grondslag.
- Geen of vage bewaartermijnen: “zo lang als nodig” voldoet niet aan de AVG-eis van specifieke of criteria-gebaseerde termijnen.
- Onvolledig overzicht van ontvangers: derde partijen zoals analysediensten, advertentieplatformen of cloudleveranciers worden niet vermeld.
- Geen melding van doorgifte buiten de EU: het gebruik van Amerikaanse softwarediensten (denk aan Google Analytics of Microsoft Azure) impliceert vaak een doorgifte naar een derde land die expliciet moet worden vermeld.
- Rechten van betrokkenen niet uitlegbaar gemaakt: de rechten worden opgesomd maar er staat niet bij hoe betrokkenen die kunnen uitoefenen.
- Verouderde verklaring: de verklaring is nooit bijgewerkt na introductie van nieuwe tools of werkprocessen.
- Onbegrijpelijk taalgebruik: de AVG vereist dat informatie in duidelijke en eenvoudige taal wordt gepresenteerd, met name als de doelgroep ook kinderen omvat.
Een privacyverklaring is geen juridisch document dat je eenmalig opstelt en vergeet. Het is een levend document dat de werkelijkheid van je gegevensverwerkingen weerspiegelt.
Hoe Q-Cyber helpt met privacyverklaring en AVG-compliance
Een correcte privacyverklaring opstellen is meer dan een juridisch vinkje zetten. Het vereist inzicht in je eigen verwerkingen, kennis van de AVG en het vermogen om die informatie begrijpelijk te vertalen voor je gebruikers. Tegelijkertijd raakt privacybeleid steeds vaker aan bredere vraagstukken rondom informatiebeveiliging en wet- en regelgeving zoals de NIS2-richtlijn.
Wij bij Q-Cyber helpen organisaties met het structureel verankeren van beleid rondom privacy en cybersecurity. Concreet bieden we:
- Beleidsadvies en documentatie: we schrijven en beoordelen privacyverklaringen, verwerkingsregisters en informatiebeveiligingsbeleid op maat van jouw organisatie.
- Gap-analyses: we brengen in kaart waar jouw huidige privacydocumentatie tekortschiet ten opzichte van de AVG-vereisten.
- Virtuele CISO-diensten via Continuous-Q: een team van specialisten dat structureel toeziet op de naleving van privacy- en beveiligingsbeleid binnen jouw organisatie.
- Trainingen voor bestuurders en medewerkers: zodat iedereen in de organisatie begrijpt waarom privacybeleid belangrijk is en hoe het in de praktijk werkt.
- NIS2-begeleiding: voor organisaties die ook onder de Cyberbeveiligingswet vallen, combineren we privacyadvies met de bredere NIS2-vereisten.
Wil je weten of jouw privacyverklaring voldoet aan de AVG of heb je hulp nodig bij het opstellen ervan? Neem contact op en we kijken samen wat nodig is.
Gerelateerde artikelen
- Dark web monitoring: wat is het en heb je het nodig?
- Managed security services: wat zijn de voordelen voor het mkb?
- Hoe bereken je de ROI van cybersecurity-investeringen?
- Wat is vulnerability management?
- Wachtwoordmanagers voor bedrijven: welke kies je?
- Wat zijn de rechten van betrokkenen onder de AVG?
- Hoe bereid je jouw bedrijf voor op NIS2?
- Welke specialisaties zijn er binnen pentesten?
- Welke deliverables krijg je na een pentest?
- Wat is black box pentesten?