Wanneer heb ik een privacyverklaring nodig? En hoe zorg ik voor een goede verklaring?

Ja, zodra je persoonsgegevens verwerkt, is een privacyverklaring wettelijk verplicht onder de AVG. En je verwerkt sneller persoonsgegevens dan je denkt: een contactformulier, een nieuwsbriefinschrijving, een klantenbestand of analytische cookies vallen er allemaal onder. Voor vrijwel elke zakelijke website betekent dit dat een privacyverklaring niet optioneel is. In de verklaring leg je transparant uit welke gegevens je verzamelt, waarom, hoelang je ze bewaart en welke rechten bezoekers hebben. Ontbreekt de verklaring, dan loop je risico op klachten en handhaving door de Autoriteit Persoonsgegevens. Zie het niet als een formaliteit, maar als een basisvoorwaarde voor een professionele website. Alleen een puur statische site die echt niets van bezoekers vastlegt, zou eventueel zonder kunnen, maar dat is tegenwoordig hoogst zeldzaam.

Ja. Een contactformulier verzamelt persoonsgegevens, zoals een naam, e-mailadres en soms een telefoonnummer, en daarmee val je onder de AVG. Ook al lijkt het onschuldig, je verwerkt gegevens van herleidbare personen, en dus ben je verplicht uit te leggen wat je ermee doet. In je privacyverklaring vermeld je bijvoorbeeld dat je de ingevulde gegevens gebruikt om contact op te nemen, hoelang je ze bewaart en dat je ze niet zomaar met anderen deelt. Veel ondernemers denken dat een privacyverklaring alleen nodig is bij grote systemen of webshops, maar dat klopt niet. Zelfs de meest eenvoudige website met alleen een contactformulier heeft er een nodig. Verzamel bovendien niet meer velden dan je echt gebruikt, want dataminimalisatie is ook hier het uitgangspunt.

In veel gevallen wel. Een IP-adres kan een persoon indirect identificeren en wordt daarom onder de AVG doorgaans als persoonsgegeven beschouwd. Ook cookies die gedrag koppelen aan een herkenbare gebruiker, zoals tracking- of marketingcookies, verwerken persoonsgegevens. Dat betekent dat het plaatsen ervan gevolgen heeft voor je verplichtingen: je moet erover informeren in je privacy- en cookieverklaring en er in veel gevallen toestemming voor vragen. Puur functionele cookies die alleen zorgen dat je website werkt, vallen daar meestal buiten. De grens ligt dus bij de vraag of gegevens naar een persoon te herleiden zijn. Omdat dit onderscheid soms lastig is, is het verstandig om per cookie of tool na te gaan welke gegevens precies worden verzameld. Bij twijfel over de juridische kwalificatie kun je het beste een specialist raadplegen.

Plaats je privacyverklaring op een vaste, goed vindbare plek, zodat bezoekers hem altijd kunnen raadplegen. De meest gangbare plaats is een link in de footer van je website, die op elke pagina zichtbaar is. Verwijs er daarnaast naar op plekken waar je gegevens verzamelt, bijvoorbeeld direct bij je contactformulier of je nieuwsbriefaanmelding, zodat mensen weten waar ze aan toe zijn op het moment dat ze hun gegevens invullen. Ook in je cookiemelding hoort meestal een verwijzing naar je privacy- en cookieverklaring. De kern is transparantie: bezoekers moeten zonder moeite kunnen vinden hoe je met hun gegevens omgaat. Verstop de verklaring dus niet diep in je website, maar maak hem met één klik bereikbaar. Een vaste footerlink is daarvoor de eenvoudigste en meest herkenbare oplossing.

De termen worden vaak door elkaar gebruikt, maar er zit een nuance in. Een privacyverklaring is het openbare document op je website waarin je bezoekers uitlegt hoe je met hun persoonsgegevens omgaat. Een privacybeleid is meer een intern document waarin je voor je eigen organisatie vastlegt welke afspraken, processen en beveiligingsmaatregelen je hanteert rond gegevensbescherming. De verklaring is dus naar buiten gericht, het beleid naar binnen. Voor een kleine website of zzp'er is vooral de openbare privacyverklaring belangrijk, omdat die wettelijk verplicht en zichtbaar is. Grotere organisaties leggen daarnaast vaak uitgebreider intern beleid vast, bijvoorbeeld voor hun medewerkers. Laat je niet in de war brengen door de terminologie. Waar het echt om gaat, is dat je transparant bent naar je bezoekers en intern zorgvuldig met persoonsgegevens omspringt.

Nee, dat is geen goed idee. Ten eerste is de tekst van een ander auteursrechtelijk beschermd, dus klakkeloos kopiëren mag niet. Belangrijker nog: een gekopieerde verklaring beschrijft de situatie van dat andere bedrijf, niet die van jou. De kans is groot dat er zaken in staan die jij niet doet, of dat juist jouw specifieke gegevensverwerking ontbreekt. Daarmee klopt je verklaring niet en voldoe je alsnog niet aan de AVG. Gebruik in plaats daarvan een betrouwbare, actuele generator of laat een jurist een verklaring op maat opstellen die past bij jouw website en processen. Dat kost iets meer moeite, maar levert een document op dat echt dekt wat je doet. Een kloppende verklaring is bovendien een teken van professionaliteit en wekt vertrouwen bij je bezoekers.

Er is geen vaste termijn, maar de regel is: werk je verklaring bij zodra er iets verandert in hoe je met gegevens omgaat. Ga je bijvoorbeeld een nieuw systeem gebruiken, een nieuwsbrief starten, andere cookies plaatsen of gegevens met een nieuwe partij delen, dan moet je verklaring dat weerspiegelen. Het is verstandig om daarnaast periodiek, bijvoorbeeld jaarlijks, te controleren of de tekst nog klopt met de praktijk. Een verklaring die niet meer overeenkomt met wat je werkelijk doet, is namelijk net zo problematisch als helemaal geen verklaring. Zie het onderhouden ervan dus als een doorlopend proces, niet als eenmalig werk. Zeker als je website groeit en je meer tools en diensten gaat gebruiken, is regelmatig nalopen belangrijk om AVG-proof te blijven.

Dan voldoe je niet aan de AVG en loop je risico op klachten van bezoekers en op handhaving door de Autoriteit Persoonsgegevens. Die kan onderzoek instellen en bij overtredingen boetes opleggen. Naast dat formele risico speelt er ook een vertrouwenskwestie: bezoekers die niet kunnen vinden hoe je met hun gegevens omgaat, haken sneller af of voelen zich minder op hun gemak om een formulier in te vullen. Voor de meeste kleine bedrijven is de kans op een hoge boete beperkt, maar het risico is reëel genoeg om niet te negeren. Bovendien is het opstellen van een privacyverklaring relatief eenvoudig ten opzichte van de gevolgen als je er geen hebt. Zie het daarom als basishygiëne die zowel juridisch als voor je professionele uitstraling de moeite waard is.

Nee, het zijn twee verschillende documenten, al hangen ze samen. Een privacyverklaring gaat breed over alle manieren waarop je persoonsgegevens verwerkt, van contactformulieren tot klantenbestanden. Een cookieverklaring (of cookiebeleid) is specifieker en beschrijft welke cookies je website plaatst, wat ze doen en welke gegevens ze verzamelen. Vaak verwijzen de twee naar elkaar en worden ze samen met een cookiemelding ingezet. Sommige bedrijven voegen de cookie-informatie toe als apart hoofdstuk in hun privacyverklaring, anderen maken er een los document van. Beide zijn goed, zolang het maar volledig en vindbaar is. De kern: de privacyverklaring dekt de brede gegevensverwerking, de cookieverklaring zoomt in op het specifieke onderwerp cookies. Voor een AVG-proof website heb je in de praktijk beide onderwerpen goed geregeld nodig.

Wij zijn een internetbureau en geen juridisch adviseur, dus we schrijven geen juridische documenten voor je. Wat we wél doen, is je website technisch zo opzetten dat je aan de AVG kunt voldoen: een goede plek voor je privacyverklaring in de footer, een correcte cookiemelding, veilige formulieren en een beveiligde verbinding. Voor de tekst van de verklaring zelf verwijzen we je naar een jurist of een betrouwbare, actuele generator, zodat het document echt aansluit op jouw situatie. Zo krijg je een technisch AVG-proof website van ons en een juridisch kloppende verklaring van iemand met de juiste expertise. We wijzen je graag op de punten waar je aan moet denken en zorgen dat de website er klaar voor is om je verklaring goed te presenteren.