De privacyverklaring: meer dan een standaardtekst op uw website

Welke verplichtingen volgen uit de AVG?

De AVG legt iedere organisatie die persoonsgegevens verwerkt een reeks verplichtingen op. Dat geldt niet alleen voor grote ondernemingen, maar ook voor het mkb. Zodra een onderneming persoonsgegevens verwerkt van klanten, leveranciers, medewerkers of websitebezoekers, is zij al snel verwerkingsverantwoordelijke en moet zij aan de verplichtingen uit de AVG voldoen.

Die verplichtingen gaan verder dan vaak wordt gedacht. De AVG vereist onder meer dat een verwerkingsregister wordt bijgehouden, verwerkersovereenkomsten worden gesloten met partijen die namens de organisatie persoonsgegevens verwerken, passende technische en organisatorische beveiligingsmaatregelen worden getroffen en datalekken tijdig worden gemeld. Daarnaast moeten verzoeken van betrokkenen, zoals verzoeken om inzage, correctie of verwijdering van persoonsgegevens, zorgvuldig en binnen de wettelijke termijnen worden afgehandeld. Omdat verwerkingen veranderen en organisaties zich ontwikkelen, vraagt AVG-compliance om voortdurende aandacht en niet om een eenmalige exercitie.

De sancties bij niet-naleving kunnen aanzienlijk zijn. De AVG voorziet in bestuurlijke boetes tot maximaal € 20.000.000 of 4% van de totale wereldwijde jaaromzet van de onderneming, afhankelijk van welk bedrag hoger is. Dat blijft niet beperkt tot grote ondernemingen. Zo kreeg een Amsterdams recruitmentbedrijf een boete opgelegd omdat het in drie gevallen verwijderingsverzoeken van kandidaten niet tijdig had afgehandeld. De basisboete voor dit type overtreding bedraagt op grond van het boetebeleid van de AP € 310.000. Daarnaast publiceert de AP haar boetebesluiten met naam en toenaam, wat eveneens tot reputatieschade kan leiden.

De informatieplicht: waarom een privacyverklaring?

Een van de kernverplichtingen uit de AVG is de informatieplicht. Op grond van de artikelen 13 en 14 AVG hebben betrokkenen – zoals klanten, medewerkers en websitebezoekers – het recht om te weten wat er met hun persoonsgegevens gebeurt. Verwerkingsverantwoordelijken zijn verplicht hen op een duidelijke, begrijpelijke en transparante wijze te informeren over de verwerking van hun persoonsgegevens.

In de praktijk wordt aan deze informatieplicht invulling gegeven met een privacyverklaring. Daarin wordt uitgelegd wie verantwoordelijk is voor de verwerking van persoonsgegevens, welke gegevens worden verwerkt, voor welke doeleinden dat gebeurt, op basis van welke rechtsgrond de verwerking plaatsvindt, hoe lang de gegevens worden bewaard, met wie zij eventueel worden gedeeld en welke rechten betrokkenen hebben, zoals het recht op inzage, rectificatie, verwijdering en bezwaar. De privacyverklaring maakt daarmee voor betrokkenen inzichtelijk hoe een organisatie met persoonsgegevens omgaat.

Waar gaat het in de praktijk mis?

Wij zien regelmatig dat ondernemingen een generiek template van het internet gebruiken en op hun website plaatsen. Het probleem is dat een dergelijke standaardtekst vaak niet aansluit bij de persoonsgegevens die de organisatie daadwerkelijk verwerkt. Een privacyverklaring van een webshop verschilt immers wezenlijk van die van een accountantskantoor of een productiebedrijf. Sluit de verklaring niet aan op de feitelijke verwerkingen, dan wordt niet aan de informatieplicht voldaan.

Ook ontbreken regelmatig verwerkingsdoeleinden, rechtsgronden of bewaartermijnen, of worden bepaalde categorieën betrokkenen vergeten, zoals sollicitanten, contactpersonen van leveranciers of bezoekers van een bedrijfspand.

Daarnaast bestaat regelmatig het misverstand dat een privacyverklaring op zichzelf voldoende is om aan de AVG te voldoen. Dat is niet het geval. De informatieplicht is slechts één onderdeel van AVG-compliance; ook het verwerkingsregister, de verwerkersovereenkomsten, de beveiliging van persoonsgegevens en de datalekprocedure moeten op orde zijn.

Waar te beginnen?

Voor veel ondernemingen begint AVG-compliance met een privacyverklaring die daadwerkelijk aansluit bij de wijze waarop binnen de organisatie persoonsgegevens worden verwerkt. Niet een standaardtekst, maar een verklaring die is toegesneden op de concrete verwerkingen, de gekozen rechtsgronden en de organisatie. Vanuit die basis kan de verdere inrichting van de AVG-compliance worden vormgegeven.

De AP houdt actief toezicht op de naleving van de AVG. Een periodieke beoordeling van het privacybeleid en de bijbehorende documentatie kan bijdragen aan het voorkomen van handhavingsmaatregelen, discussies en onnodige kosten.

Tot slot

Een goede privacyverklaring is een belangrijk onderdeel van AVG-compliance, maar staat niet op zichzelf. Alleen wanneer ook aan de overige verplichtingen uit de AVG wordt voldaan, is sprake van een zorgvuldig privacybeleid.

Wilt jij weten of jullie privacyverklaring voldoet aan de eisen van de AVG? Of heeft je organisatie nog geen passende privacyverklaring? Neem dan gerust contact met ons op.