"We hebben een privacyverklaring op onze website" — maar voldoet die ook écht aan de AVG? Een gegenereerde standaard-privacyverklaring van een website-template is in de meeste gevallen onvoldoende. De Autoriteit Persoonsgegevens controleert actief, en een formele klacht van één persoon kan een onderzoek starten. Hier leest u wat er écht in moet staan en welke fouten MKB-bedrijven het meest maken.
Wat zijn de wettelijke eisen aan een privacyverklaring?
Artikel 13 en 14 van de AVG schrijven voor dat u in begrijpelijke taal, bij het eerste contact met betrokkenen, vermeld:
- **Verplichte elementen**:
- De identiteit en contactgegevens van uw organisatie (naam, adres, KvK-nummer)
- Contactgegevens van uw functionaris gegevensbescherming (FG) als u die heeft
- Welke persoonsgegevens u verzamelt en verwerkt
- Waarom u die gegevens verwerkt (het doel)
- Op welke wettelijke grondslag (toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang)
- Hoe lang u de gegevens bewaart (bewaartermijnen)
- Met wie u de gegevens deelt (ontvangers en derde landen)
- De rechten van betrokkenen (inzage, rectificatie, verwijdering, dataportabiliteit, bezwaar)
- Hoe betrokkenen een klacht kunnen indienen bij de AP
- Of u geautomatiseerde besluitvorming of profiling toepast
Meest voorkomende fouten bij MKB-bedrijven
Fout 1: Verklaring klopt niet met de werkelijkheid De privacyverklaring vermeldt alleen "het contactformulier" terwijl u ook nieuwsbrieven verstuurt via Mailchimp, Google Analytics gebruikt, en een chatbot op de website heeft. Al deze gegevensverwerkingen moeten vermeld worden.
Controleer elk half jaar: welke tools verwerken data van websitebezoekers of klanten? Zijn ze allemaal in de privacyverklaring opgenomen?
Fout 2: Geen verwerkersovereenkomsten met leveranciers Als u data deelt met externe partijen (hostingpartij, boekhoudpakket, CRM, e-mailmarketingtool), moet u een verwerkersovereenkomst hebben. In de privacyverklaring vermeldt u dan dat data gedeeld wordt met de naam van de verwerker, voor welk doel.
Ontbrekende verwerkersovereenkomst met uw websitehost of Mailchimp: veelgehoorde bevinding bij AP-onderzoeken.
- **Fout 3: Onrealistische of ontbrekende bewaartermijnen**"Niet langer dan noodzakelijk" is te vaag en niet compliant. U moet specifieke termijnen noemen:
- Belastingdienst: factuurdata 7 jaar bewaren
- Sollicitaties afgewezen: max. 4 weken (of tot 1 jaar met toestemming)
- Klantcontact zonder contract: max. 2 jaar
Fout 4: Geen actuele cookieverklaring Cookies zijn een apart hoofdstuk van de privacyverklaring (of een aparte cookieverklaring). Verplicht te vermelden: welke cookies gebruikt u, voor welk doel, hoelang ze bewaard worden, en hoe bezoekers ze kunnen weigeren.
Met Google Analytics 4: zorg dat u het IP-adres anonymizeert, een verwerkers-overeenkomst met Google heeft, en dat cookies pas worden geplaatst na toestemming (consent management platform).
Fout 5: Rechten van betrokkenen niet operationeel U vermeldt in de privacyverklaring dat mensen inzage, rectificatie of verwijdering kunnen aanvragen — maar er is geen procedure om deze verzoeken te behandelen. Binnen één maand na ontvangst van een verzoek moet u reageren.
Stel een procedure in: wie ontvang het verzoek? Wie beoordeelt het? Wie verwerkt de uitkomst in alle relevante systemen? Documenteer dit.
Verwerkersregister: de vergeten verplichting
- Naast de publieke privacyverklaring bent u als ondernemer verplicht intern een verwerkersregister bij te houden. Dit is een overzicht van alle gegevensverwerkingen in uw organisatie:
- Welke categorieën persoonsgegevens verwerkt u?
- Voor welk doel?
- Wie heeft er toegang?
- Hoelang bewaart u ze?
- Welke beveiligingsmaatregelen gelden?
U hoeft dit niet publiek te publiceren, maar moet het kunnen tonen aan de AP bij een controle.
DPIA: wanneer nodig?
- Een Data Protection Impact Assessment (DPIA) is verplicht als u een verwerking uitvoert met een hoog privacyrisico:
- Grootschalige verwerking van bijzondere persoonsgegevens (gezondheid, religie)
- Systematische monitoring van een openbaar gebied (camerabewaking)
- Geautomatiseerde besluitvorming met significante gevolgen
Voor de meeste MKB-bedrijven is een DPIA niet verplicht, maar bij twijfel raadpleeg een AVG-adviseur.
Wilt u een AVG-check van uw privacybeleid en IT-omgeving? Bekijk onze IT-audit dienst of neem contact op: contact@vrad.nl.