Kort antwoordDe AVG gebruikt het woord “privacybeleid” niet, maar verplicht je wel om iedereen van wie je persoonsgegevens verwerkt duidelijk te informeren: wie je bent, welke gegevens je gebruikt, waarvoor, op welke rechtsgrond, hoe lang, met wie je ze deelt en welke rechten ze hebben. Verzamel je gegevens via je website, een formulier of je klantenbestand, dan is een privacybeleid de eenvoudigste manier om daaraan te voldoen.
Bijna elke onderneming verwerkt persoonsgegevens. Een contactformulier, een nieuwsbrief, een klantenlijst in je boekhoudprogramma of de gegevens van een bestelling: het valt allemaal onder de Algemene Verordening Gegevensbescherming (AVG). In dit artikel lees je of je een privacybeleid nodig hebt, wat er volgens de wet in moet staan en waar ik in de praktijk het vaakst fouten zie.
Ben je verplicht om een privacybeleid te hebben?
Nergens in de AVG staat letterlijk dat je een privacybeleid op je website moet zetten. Wat er wel staat, is een informatieplicht. Volgens artikel 13 en 14 van de AVG moet je de mensen van wie je gegevens verwerkt een reeks informatie geven, en artikel 12 zegt hoe: in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm, in duidelijke en eenvoudige taal.
Die informatie moet je geven op het moment dat je de gegevens verzamelt. Een privacybeleid op je website, waar je naar linkt bij elk formulier en in je offertes of voorwaarden, is daarvoor de handigste oplossing. Je kan het ook op een andere manier doen, maar dan moet je kunnen aantonen dat iedereen de informatie kreeg.
Doe je het niet, dan riskeer je een klacht bij de Gegevensbeschermingsautoriteit. Voor inbreuken op de informatieplicht voorziet artikel 83 van de AVG boetes tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet. Voor een kleine onderneming komt het zelden zo ver, maar een klant die zijn gegevens opvraagt of een klacht indient, krijg je sneller dan je denkt.
Wat moet er in je privacybeleid staan?
Artikel 13 van de AVG somt op wat je moet vermelden als je de gegevens rechtstreeks bij de persoon zelf verzamelt. Dit is de lijst die ik bij elk privacybeleid afloop:
| Wat | Voorbeeld |
|---|---|
| Wie je bent en hoe men je bereikt | naam van je onderneming, ondernemingsnummer, adres, e-mailadres |
| Welke gegevens je verwerkt en waarvoor | naam en adres om een bestelling te leveren, e-mailadres voor je nieuwsbrief |
| De rechtsgrond per doel | overeenkomst, wettelijke verplichting, toestemming, gerechtvaardigd belang |
| Met wie je gegevens deelt | boekhouder, hostingbedrijf, betaalplatform, verzendfirma |
| Doorgifte buiten de Europese Unie | een mailprogramma of cloudtool met servers in de Verenigde Staten |
| Hoe lang je gegevens bewaart | een vaste termijn, of de criteria waarmee je die bepaalt |
| De rechten van de betrokkene | inzage, verbetering, wissing, beperking, bezwaar, overdraagbaarheid, toestemming intrekken |
| Het recht om klacht in te dienen | bij de Gegevensbeschermingsautoriteit |
De vijf punten waar ik het vaakst fouten zie
1. Een vage lijst van gegevens
“Wij verzamelen gegevens die u ons bezorgt” zegt je bezoeker niets. Noem ze bij naam: contactgegevens, facturatiegegevens, IP-adres en surfgedrag via cookies, en eventueel gevoelige gegevens zoals gezondheidsgegevens. Die laatste vallen onder strengere regels (artikel 9 AVG), dus als je ze verwerkt (een coach, een kinesist, een HR-bureau), hoort dat er zeker in.
2. Doelen zonder rechtsgrond
Voor elk doel heb je een rechtsgrond nodig, en die moet je ook vermelden. Een bestelling leveren doe je op basis van de overeenkomst, je facturen bijhouden op basis van een wettelijke verplichting, een nieuwsbrief versturen meestal op basis van toestemming. Welke rechtsgronden er zijn en wanneer je toestemming nodig hebt, lees je in Moet je toestemming vragen om persoonsgegevens te verwerken?
3. Geen bewaartermijnen
Dit vergeten ondernemers het vaakst, terwijl het verplicht is. Je hoeft niet voor elk gegeven een datum te noemen, maar wel de termijn of de criteria. Bijvoorbeeld: facturatiegegevens zolang de boekhoud- en btw-regels je verplichten ze bij te houden, gegevens van je nieuwsbrief tot iemand zich uitschrijft, een sollicitatie zolang de procedure loopt.
4. Rechten zonder uitleg
Een opsomming van rechten is niet genoeg. Vermeld ook hoe iemand ze uitoefent (een e-mailadres volstaat) en dat hij een klacht kan indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel. Praktisch advies: spreek intern af wie zo’n vraag beantwoordt. Je hebt in principe een maand om te reageren (artikel 12 AVG), en die termijn is snel om als de mail in een algemene inbox blijft liggen.
5. Niets over wie toegang heeft
Vermeld met welke soorten partijen je gegevens deelt: je boekhouder, je hostingbedrijf, je betaalplatform, je CRM. Werkt zo’n partij in jouw opdracht met de gegevens, dan is ze een verwerker en moet je met haar een verwerkersovereenkomst hebben (artikel 28 AVG). Bij grote tools zit die meestal in hun voorwaarden; bij een freelancer of een klein bureau moet je ze vaak zelf voorzien. Zeg ook kort hoe je de gegevens beveiligt, zonder je volledige IT-opzet bloot te geven.
Privacybeleid laten opstellenIk schrijf je privacybeleid op basis van wat jij echt met gegevens doet: je formulieren, je tools, je partners. Vaste prijs van €180 excl. btw, je ontwerp krijg je binnen 2 tot 5 werkdagen. Privacybeleid laten opstellen
Heb je naast een privacybeleid ook een cookiebeleid nodig?
Gebruikt je website cookies of vergelijkbare technieken die niet strikt noodzakelijk zijn, zoals Google Analytics, een Facebook-pixel of ingesloten YouTube-video’s, dan wel. Sinds 10 januari 2022 staat die regel in artikel 10/2 van de wet van 30 juli 2018 (daarvoor in artikel 129 van de wet op de elektronische communicatie). Je mag zulke cookies enkel plaatsen als de bezoeker duidelijke informatie kreeg en vooraf toestemming gaf. Enkel voor cookies die strikt nodig zijn om je site te laten werken of een dienst te leveren die de bezoeker zelf vraagt, heb je geen toestemming nodig.
Het cookiebeleid geeft die informatie, de cookiebanner vraagt de toestemming. Je kan het in één document met je privacybeleid zetten, maar een apart cookiebeleid is overzichtelijker, en je past het makkelijker aan als je een nieuwe tool installeert.
Waarom ik geen generator of kopie van een andere site aanraad
Een generator of een tekst van een concurrent is snel en goedkoop. Het probleem is dat een privacybeleid een beschrijving is van wat jij doet. Een generator weet niet dat je een webshop hebt met een betaalplatform uit Nederland, een mailprogramma in de Verenigde Staten en een boekhouder die je klantenlijst krijgt. Het resultaat noemt dan tools die je niet gebruikt en vergeet de tools die je wel gebruikt.
Een privacybeleid dat niet klopt met de werkelijkheid, voldoet niet aan de informatieplicht. Het geeft je een vals gevoel van zekerheid. Bij ChatGPT is het niet anders: hoe dat met algemene voorwaarden uitdraait, lees je in Kan je je algemene voorwaarden door ChatGPT laten schrijven?
Gebruik je toch een sjabloon, loop dan minstens de tabel hierboven af: staat elk formulier, elke tool en elke partner erin, en klopt de bewaartermijn?
Veelgestelde vragen
Heb ik een privacybeleid nodig als ik enkel een contactformulier heb?
Ja. Met een contactformulier verzamel je minstens een naam en een e-mailadres, en dan geldt de informatieplicht van de AVG. Het privacybeleid mag dan kort zijn, maar het moet er wel zijn, met een link bij het formulier.
Moet de Gegevensbeschermingsautoriteit in mijn privacybeleid staan?
Je moet vermelden dat iemand het recht heeft om klacht in te dienen bij een toezichthoudende autoriteit. In België is dat de Gegevensbeschermingsautoriteit. Het is handig om meteen het adres of de website erbij te zetten.
Mag mijn privacybeleid in het Engels?
De AVG vraagt duidelijke en eenvoudige taal voor de mensen die je bereikt. Richt je je op Nederlandstalige klanten, dan schrijf je het privacybeleid in het Nederlands. Heb je een meertalige website, dan zorg je best voor een versie in elke taal.
Hoe vaak moet ik mijn privacybeleid aanpassen?
Telkens je iets verandert aan wat je met gegevens doet: een nieuwe tool, een nieuw formulier, een nieuwe partner of een nieuw doel. Zet een datum onderaan, dan zie je zelf wanneer je het laatst nakeek.
Wil je zeker zijn dat je privacybeleid klopt met wat je echt doet? Dan stel ik je privacybeleid op, aan een vaste prijs. Heb je ook cookies van Google of Meta op je site, dan neem ik het cookiebeleid er meteen bij.
