Als je een website hebt en persoonsgegevens verwerkt, ben je verplicht een privacyverklaring te publiceren. Dat geldt voor vrijwel elke ondernemer: een contactformulier of bezoekersstatistieken zijn al genoeg om onder de AVG te vallen. Een privacyverklaring hoeft geen juridisch monster te zijn, maar moet eerlijk vertellen wat je met die gegevens doet.
Wanneer ben je verplicht een privacyverklaring te hebben?
In Nederland is de AVG (Algemene Verordening Gegevensbescherming) van toepassing op iedere ondernemer die persoonsgegevens verwerkt. Een naam en e-mailadres via een contactformulier zijn al persoonsgegevens. Hetzelfde geldt voor IP-adressen die bezoekersstatistieken bijhouden. Bijna elke bedrijfswebsite valt hieronder.
Uitzonderingen zijn zeldzaam. Zelfs als je geen webshop hebt en geen nieuwsbrief verstuurt, heb je hoogstwaarschijnlijk toch een analysetool draaien of een contactformulier staan. Dat is al genoeg om aan de privacywetgeving te moeten voldoen.
Wat staat er minimaal in?
De AVG schrijft voor wat je minimaal moet vermelden. Niet om je te plagen, maar zodat bezoekers weten waar ze aan toe zijn.
Wie je bent. Naam van je bedrijf, adres en KvK-nummer.
Welke gegevens je verzamelt. Namen, e-mailadressen, telefoonnummers, IP-adressen: alles wat je via formulieren of tools binnenkrijgt.
Waarom je die gegevens hebt. Bijvoorbeeld: om een offerte te kunnen sturen, of om bij te houden hoeveel mensen je website bezoeken.
Hoe lang je ze bewaart. Er is geen vaste wettelijke termijn voor alles, maar je mag gegevens niet langer bewaren dan nodig. Geef een redelijke, concrete periode.
Met wie je ze deelt. Gebruik je een e-mailprovider, een boekhoudpakket of een afsprakensysteem? Die ontvangen ook gegevens van jouw klanten. Noem ze, of de categorie.
Welke rechten bezoekers hebben. Ze mogen inzage vragen, correctie verlangen of vragen hun gegevens te verwijderen. Zet in je verklaring hoe ze dat kunnen doen.
Een privacyverklaring hoeft geen juridisch monster te zijn, maar moet eerlijk vertellen wat je met gegevens doet.
Cookiebanner en privacyverklaring: niet hetzelfde
Veel ondernemers denken dat een cookiebanner afdoende is. Dat is het niet. Een cookiebanner vraagt toestemming voor het plaatsen van bepaalde cookies, zoals trackers van Google of social media. Een privacyverklaring legt uit hoe je in bredere zin omgaat met persoonsgegevens. Je hebt beiden nodig als je niet-strikt-noodzakelijke cookies gebruikt.
Wanneer heb je alleen een privacyverklaring nodig? Als je website uitsluitend een contactformulier heeft en je geen externe analysetools of advertentiecookies gebruikt, kun je vooralsnog volstaan zonder actieve cookiebanner. Zodra je Google Analytics of vergelijkbare tools toevoegt, heb je een banner nodig.
Hoe kom je aan een goede tekst?
Je hoeft geen jurist in te huren voor een privacyverklaring. De Autoriteit Persoonsgegevens heeft hulpmiddelen beschikbaar waarmee je een basisverklaring kunt samenstellen. Pas de tekst daarna aan op jouw situatie: welke tools gebruik je, wie verwerkt namens jou gegevens, en hoe lang bewaar je offerteaanvragen?
Zet de verklaring op een vaste plek. Onderaan elke pagina een link naar je privacyverklaring is de standaard. Zorg dat die link zichtbaar is, ook in de buurt van je contactformulier.
Controleer je verklaring als je nieuwe tools toevoegt. Schakel je over op een nieuw e-mailprogramma of een ander afsprakensysteem, dan moet je verklaring worden aangepast. Het is geen eenmalig klusje.
Samengevat
- Elke website met een contactformulier of analysetool heeft een privacyverklaring nodig.
- Verplichte onderdelen: wie je bent, welke gegevens, waarom, hoe lang, met wie gedeeld en welke rechten bezoekers hebben.
- Een cookiebanner en een privacyverklaring zijn twee aparte dingen: je hebt beiden nodig bij analysetools.
- Je kunt starten met een hulpmiddel van de Autoriteit Persoonsgegevens, maar pas het altijd aan op jouw situatie.
- Controleer de verklaring opnieuw als je nieuwe tools of systemen toevoegt aan je website.