Bijna elke Nederlandse bedrijfssite heeft een privacyverklaring, en bij een verontrustend deel daarvan is die overgenomen van een andere site of uit een gratis generator gehaald. Dat is begrijpelijk — het is geen leuk werk — maar het schiet zijn doel voorbij. Een privacyverklaring voor uw website moet beschrijven wat úw site doet, en wat u niet doet hoort er niet in te staan.
Wij komen verklaringen tegen waarin Facebook-advertentiepixels worden genoemd die er niet zijn, en verklaringen die met geen woord reppen over het boekingssysteem dat wel degelijk gegevens naar een Amerikaanse partij stuurt. Beide zijn een probleem: het eerste maakt u ongeloofwaardig, het tweede is de kern van de overtreding. Hieronder leest u wat er verplicht in staat, hoe u die informatie boven tafel krijgt en hoe u het document actueel houdt zonder er een jaarlijks project van te maken.
Waarom het moet en wat er gebeurt als het ontbreekt
De AVG kent een informatieplicht: verwerkt u persoonsgegevens, dan moet u de betrokkene daarover in begrijpelijke taal informeren, op het moment dat u de gegevens verzamelt. Een privacyverklaring is de gebruikelijke manier om daaraan te voldoen.
Persoonsgegevens verwerkt u eerder dan u denkt. Een contactformulier, een nieuwsbriefinschrijving, statistieken met een bezoekersherkenning, een chatvenster, bestellingen in een webshop, sollicitaties, en zelfs de logbestanden van uw server met IP-adressen erin. Vrijwel elke site valt eronder.
Handhaving door de Autoriteit Persoonsgegevens richt zich in de praktijk vooral op klachten en op grotere partijen; een kleine ondernemer krijgt zelden onaangekondigd een boete voor een gebrekkige verklaring. Maar één klacht van een ex-medewerker of een boze klant is genoeg om er wél mee te maken te krijgen, en dan is de eerste vraag altijd of u kunt uitleggen wat u met gegevens doet.
Wat er verplicht in staat
Deze onderdelen moeten erin, en ze zijn allemaal concreet in te vullen.
- Wie u bent. Bedrijfsnaam, adres, KvK-nummer en een e-mailadres waarop mensen u kunnen bereiken over privacyzaken.
- Welke gegevens u verzamelt. Per situatie: van een contactformulier naam, e-mail en telefoonnummer; van een bestelling ook adres en betaalgegevens.
- Waarvoor u ze gebruikt. Om een aanvraag te beantwoorden, een bestelling uit te voeren, een nieuwsbrief te sturen, de site te verbeteren.
- Op welke grondslag. De AVG kent er zes; voor de meeste sites zijn er drie van belang: toestemming (nieuwsbrief, tracking), uitvoering van een overeenkomst (bestellingen) en gerechtvaardigd belang (bijvoorbeeld beveiliging).
- Hoe lang u bewaart. Geef termijnen, geen ontwijkende formulering. Fiscaal moet u administratie zeven jaar bewaren; een contactformulier hoeft u geen zeven jaar te houden.
- Met wie u deelt. Uw hostingpartij, uw mailverzenddienst, uw statistiekpakket, uw boekhoudprogramma, uw verzendpartij, uw webbureau. Noem ze bij naam.
- Of gegevens buiten de EU gaan en op welke basis. Dit geldt voor veel Amerikaanse diensten.
- Welke rechten mensen hebben: inzage, correctie, verwijdering, bezwaar, overdraagbaarheid, en het intrekken van toestemming.
- Dat men kan klagen bij de Autoriteit Persoonsgegevens. Dit is verplicht te vermelden.
- Cookies. Mag in een aparte cookieverklaring; verwijs er dan naar. Of u een cookiemelding nodig hebt en hoe die eruit moet zien, leest u in het artikel over wanneer een cookiemelding verplicht is.
Stap voor stap opstellen
Het echte werk zit niet in het schrijven maar in het inventariseren. Reken op twee tot drie uur voor een gemiddelde bedrijfssite.
Stap 1: inventariseer de invoerpunten
Loop uw site door en noteer elke plek waar iemand iets kan invullen of achterlaten: contactformulier, offerteformulier, nieuwsbriefveld, sollicitatieformulier, reacties op berichten, accountregistratie, afrekenproces, chat, belafspraakmodule.
Stap 2: inventariseer wat er meekijkt
Open uw pluginoverzicht en noteer alles wat gegevens naar buiten stuurt: statistieken, advertentiepixels, ingesloten video’s, kaarten, lettertypen die van een externe server komen, chatvensters, beoordelingswidgets. Een controle in de netwerkweergave van uw browser toont welke externe domeinen er worden aangeroepen — vaak zijn dat er meer dan verwacht.
Stap 3: zoek per partij uit waar de gegevens landen
Voor elke externe dienst: welk bedrijf, in welk land staan de servers, en is er een verwerkersovereenkomst? Grote aanbieders hebben die standaard online staan.
Stap 4: bepaal bewaartermijnen
Kies per categorie een termijn en zorg dat u die ook nakomt. Formulierinzendingen die als losse berichten in uw WordPress-database blijven staan, zijn hier de klassieke misser: iedereen vergeet ze op te ruimen.
Stap 5: schrijf het op in gewone taal
De AVG vraagt letterlijk om beknopte, begrijpelijke en toegankelijke informatie. Gebruik kopjes per onderwerp, korte alinea’s, en schrijf “wij bewaren uw aanvraag twee jaar” in plaats van juridische formuleringen. Een goede verklaring is twee tot vier A4’tjes.
Stap 6: zet hem op de juiste plekken
In de voettekst op elke pagina, en met een verwijzing bij elk formulier. Een vinkje “ik ga akkoord met de privacyverklaring” is bij een contactformulier niet verplicht en werkt zelfs averechts, omdat het suggereert dat toestemming uw grondslag is terwijl dat meestal niet zo is. Een verwijzende zin volstaat.
Stap 7: zet een herinnering
Een privacyverklaring veroudert net zo snel als uw pluginlijst. Plan een jaarlijkse controle, en werk hem tussentijds bij zodra u een nieuwe dienst koppelt.
Sjablonen: bruikbaar mits u ze invult
Een generator of sjabloon als startpunt is prima, en beter dan een leeg document. Maar behandel het als een formulier dat u nog moet invullen, niet als een eindproduct. Schrap alles wat u niet doet, voeg toe wat u wel doet, en zet uw eigen gegevens erin. De Autoriteit Persoonsgegevens en brancheorganisaties bieden bruikbare voorbeelden; voor complexere situaties — medische gegevens, gegevens van kinderen, grootschalige profilering — is juridisch advies zijn geld waard.
Een makelaarskantoor in Amersfoort had een verklaring waarin stond dat er geen gegevens buiten de EU werden verwerkt. Ondertussen liepen het mailmarketingpakket, het statistiekprogramma en de ingesloten kaartweergave allemaal via Amerikaanse aanbieders. Niet uit onwil: die diensten waren in de loop van drie jaar toegevoegd en niemand had de verklaring erbij gepakt. Het rechtzetten kostte een middag. Waar de privacyverklaring past in het bredere plaatje van AVG-verplichtingen voor een website, staat in de AVG-checklist voor websites.
Wat u zelf doet en wanneer u hulp inschakelt
Het inventariseren en schrijven kunt u zelf. Het technische deel — uitzoeken welke plugins wat versturen, lettertypen lokaal hosten, tracking pas na toestemming laden — is het lastigste onderdeel, en daar loopt het bij de meeste sites op vast. Loopt dat mee in structureel beheer van uw WordPress-site, dan komt zo’n controle er vanzelf bij zodra er een plugin wordt toegevoegd, in plaats van eens in de drie jaar.
Concrete volgende stap: open uw huidige privacyverklaring en zoek naar de namen van de diensten die u gebruikt. Staan uw statistiekpakket, uw mailverzenddienst en uw hostingpartij er niet in, dan weet u dat het document niet over uw site gaat. Dat is meteen uw eerste actiepunt.
