Privacyverklaring conform art. 13 en 14 AVG | Model

Juridisch is de privacyverklaring geen overeenkomst maar de schriftelijke uitvoering van een eenzijdige informatieplicht. De betrokkene hoeft niets te accepteren, en een vinkje "ik ga akkoord met de privacyverklaring" voegt dan ook niets toe. Het is zelfs riskant, omdat het de indruk wekt dat u toestemming vraagt terwijl uw verwerking op een andere grondslag rust. De verklaring moet beschikbaar zijn op het moment van verzamelen, dus naast het contactformulier en onder het inschrijfformulier, niet pas na drie klikken in de footer.

In de praktijk wordt de privacyverklaring vaak verward met drie verwante documenten. Het verwerkingsregister van artikel 30 AVG is een interne administratie die u op verzoek aan de Autoriteit Persoonsgegevens toont en niet publiceert. De verwerkersovereenkomst van artikel 28 AVG regelt de verhouding met uw leveranciers, niet met de betrokkene. De cookieverklaring hoort bij dezelfde informatieplicht, maar vindt haar grondslag in de Telecommunicatiewet en niet in de AVG. Ons model neemt de cookieparagraaf op als afzonderlijk hoofdstuk, dat u desgewenst als losse pagina publiceert.

Artikel 12 van Verordening (EU) 2016/679 bepaalt de vorm: beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk. Artikel 13 somt op wat u vermeldt wanneer u gegevens bij de betrokkene zelf verzamelt: uw identiteit en die van een eventuele functionaris gegevensbescherming, de doeleinden met hun rechtsgrond uit artikel 6 lid 1, het nagestreefde gerechtvaardigd belang, de ontvangers en eventuele doorgifte buiten de Europese Economische Ruimte. Het tweede lid voegt daar de bewaartermijn, de rechten van de betrokkene, het recht om toestemming in te trekken, het klachtrecht bij de toezichthouder, de vraag of verstrekking wettelijk of contractueel verplicht is en het bestaan van geautomatiseerde besluitvorming aan. Artikel 14 vult dit voor indirect verkregen gegevens aan met de bron en de categorieën persoonsgegevens. Eén bepaling wordt in vrijwel elke zelfgeschreven verklaring gemist: artikel 21 lid 4 AVG verplicht u het recht van bezwaar uitdrukkelijk onder de aandacht te brengen, duidelijk en gescheiden van alle andere informatie.

De Nederlandse invulling staat in de Uitvoeringswet AVG. Artikel 8 AVG legt de leeftijdsgrens voor toestemming bij online diensten op zestien jaar, en artikel 5 UAVG trekt die grens door naar elke verwerking op basis van toestemming: onder die leeftijd beslist de wettelijk vertegenwoordiger. Artikel 46 UAVG staat het gebruik van het burgerservicenummer alleen toe waar een wet dat voorschrijft. Zie de geconsolideerde tekst van de Uitvoeringswet AVG op wetten.overheid.nl. Voor cookies geldt artikel 11.7a Telecommunicatiewet: plaatsen of uitlezen mag alleen na duidelijke informatie en toestemming, met een uitzondering in het derde lid voor functionele cookies en analytische cookies met geen of geringe gevolgen voor de privacy. Het Hof van Justitie oordeelde in Planet49 (C-673/17, 1 oktober 2019) dat een vooraf aangevinkt vakje geen geldige toestemming oplevert. Het toezicht ligt bij de Autoriteit Consument & Markt voor de cookiebepaling en bij de Autoriteit Persoonsgegevens voor de AVG. Schendingen van de informatieplicht vallen onder de zwaarste boetecategorie van artikel 83 lid 5 AVG, tot 4 procent van de wereldwijde jaaromzet of een hoger vast maximum. Wie verwerkingen uitbesteedt, legt de afspraken vast in een verwerkersovereenkomst conform artikel 28 AVG en noemt die categorie ontvangers in de privacyverklaring.

Het moment waarop de vraag het vaakst opkomt, is de lancering van een website of webwinkel. Zodra er een contactformulier, een nieuwsbriefinschrijving of een bestelproces online staat, verzamelt u persoonsgegevens en moet de verklaring er zijn. Wie net een vennootschap heeft opgericht, regelt dit samen met de andere documenten voor het oprichten van een onderneming. Een tweede aanleiding is de klantadministratie buiten het web, zoals het intakeformulier van een adviseur of de klantenkaart van een winkel. Artikel 13 kent geen uitzondering voor papier.

Een nieuwe verwerking is de derde aanleiding. Gaat u klantgegevens ook gebruiken voor gerichte marketing of een klanttevredenheidsonderzoek, dan schrijft artikel 13 lid 3 AVG voor dat u de betrokkene vóór die verdere verwerking informeert. Verenigingen en stichtingen hebben de verklaring nodig voor hun leden- en donateursadministratie. Twee randgevallen verdienen aandacht. De zzp'er zonder website denkt vaak vrijgesteld te zijn, maar wie klantdossiers bijhoudt, moet die klanten nog steeds informeren, bijvoorbeeld via een korte verklaring bij de opdrachtbevestiging. En wie adresbestanden koopt of gegevens van een zakenpartner ontvangt, valt onder artikel 14 lid 3 AVG: de betrokkene moet binnen een redelijke termijn en uiterlijk binnen één maand worden geïnformeerd, en bij een eerste contact uiterlijk op dat moment.

• De identiteit van de verwerkingsverantwoordelijke wordt vermeld met statutaire naam, KVK-nummer, vestigingsadres en een direct bereikbaar contactadres voor privacyvragen. Een functionaris gegevensbescherming (artikel 37 AVG) krijgt een eigen regel.
• Het overzicht van doeleinden en grondslagen koppelt elk doel aan precies één rechtsgrond uit artikel 6 lid 1 AVG. Orderafhandeling rust op de overeenkomst, de fiscale administratie op een wettelijke verplichting, de nieuwsbrief aan bestaande klanten doorgaans op het gerechtvaardigd belang binnen de grenzen van artikel 11.7 Telecommunicatiewet.
• De omschrijving van het gerechtvaardigd belang benoemt concreet welk belang u nastreeft, zoals fraudepreventie of direct marketing; "bedrijfsbelang" overleeft geen klachtprocedure.
• De bewaartermijnen worden per categorie gegevens vastgelegd, met de wettelijke basis erbij: zeven jaar voor de administratie op grond van artikel 52 Algemene wet inzake rijksbelastingen en artikel 2:10 BW, kortere termijnen voor offerteaanvragen en websitestatistieken.
• De paragraaf ontvangers en doorgifte onderscheidt verwerkers, zelfstandige ontvangers zoals de Belastingdienst en doorgifte naar derde landen, met de toepasselijke waarborg.
• De verplichte verstrekking en geautomatiseerde besluitvorming worden apart toegelicht: welke gegevens nodig zijn om een overeenkomst te sluiten, wat er gebeurt als de betrokkene ze niet geeft, en of u profileert in de zin van artikel 22 AVG.
• Het hoofdstuk rechten van betrokkenen beschrijft inzage, rectificatie, wissing, beperking, overdraagbaarheid en intrekking van toestemming, met reactietermijn en wijze van indienen. Het recht van bezwaar staat in een afzonderlijk, visueel gescheiden blok.
• De cookieparagraaf deelt de gebruikte cookies in naar functie, vermeldt per categorie of toestemming nodig is en legt uit hoe de bezoeker die toestemming intrekt.

Webwinkels en online dienstverleners werken bijna altijd met een betaalprovider, een verzendpartner, een e-mailplatform en analysesoftware. Voor commerciële e-mail geldt naast de AVG artikel 11.7 Telecommunicatiewet: toestemming vooraf, behalve bij bestaande klanten voor eigen gelijksoortige producten, mits zij bij het verzamelen en in elk bericht kosteloos kunnen afmelden. Dat afmeldrecht moet ook in de privacyverklaring terugkomen.

Werkgevers verwerken sollicitatie- en personeelsgegevens, die een eigen hoofdstuk verdienen. Voor sollicitanten hanteert de Autoriteit Persoonsgegevens als norm een bewaartermijn van vier weken na afloop van de procedure, of één jaar met toestemming. Voor personeelsgegevens sluit de verklaring aan op de interne regels in uw personeelshandboek met privacy- en ICT-beleid, bijvoorbeeld over cameratoezicht, waarvoor een ondernemingsraad instemmingsrecht heeft op grond van artikel 27 lid 1 sub l WOR.

Zorgverleners, van fysiotherapeut tot psycholoog, verwerken gegevens over gezondheid, een bijzondere categorie onder artikel 9 AVG. De verklaring vermeldt de uitzonderingsgrond uit artikel 9 lid 2 sub h AVG en artikel 30 lid 3 UAVG, en de dossierbewaartermijn van twintig jaar uit artikel 7:454 lid 3 BW. Het medisch beroepsgeheim van artikel 7:457 BW beperkt bovendien aan wie u gegevens mag verstrekken.

Financiële en juridische dienstverleners die onder de Wet ter voorkoming van witwassen en financieren van terrorisme vallen, bewaren identificatiegegevens tot vijf jaar na beëindiging van de zakelijke relatie op grond van artikel 33 Wwft. Die termijn is langer dan de betrokkene verwacht en moet daarom in de verklaring worden uitgelegd.

Verenigingen en sportclubs delen ledengegevens geregeld met sponsors of een bond. Het Hof van Justitie oordeelde in de KNLTB-zaak (C-621/22, 4 oktober 2024) dat ook een rechtmatig commercieel belang een gerechtvaardigd belang kan zijn, mits de verwerking noodzakelijk is en de belangenafweging klopt. Die afweging en de ontvangers horen zichtbaar in de verklaring; wie intern toegang heeft, legt u vast in een huishoudelijk reglement van de vereniging.

U begint met de gegevens van uw organisatie zoals ze in het handelsregister staan, en geeft aan of u een functionaris gegevensbescherming heeft. Daarna kiest u de groepen betrokkenen die u bedient: klanten, prospects, websitebezoekers, leveranciers, sollicitanten of leden. Per groep vraagt het formulier welke gegevens u verzamelt en voor welk doel, waarna het model de passende grondslag en een gangbare bewaartermijn voorstelt. Vervolgens vult u uw leveranciers en eventuele doorgifte buiten de Europese Economische Ruimte in. Het cookieblok vult u in aan de hand van de cookies die uw website werkelijk plaatst; de categorieën worden gekoppeld aan de juiste regel uit artikel 11.7a Telecommunicatiewet. Tot slot kiest u het kanaal waarlangs betrokkenen hun rechten uitoefenen en de datum van de laatste wijziging.

Het resultaat publiceert u als zelfstandige pagina, bereikbaar vanaf elke pagina van uw website. Verwijs ernaar vanuit uw algemene voorwaarden voor B2B en B2C, maar neem de verklaring er niet in op: een privacyverklaring die als contractsbepaling wordt gelezen, verliest haar karakter als eenzijdige informatie.

De meest voorkomende fout is de gekopieerde verklaring. Een tekst van een concurrent noemt doeleinden die u niet heeft en mist verwerkingen die u wél uitvoert. De tweede fout is toestemming als standaardgrondslag. Toestemming kan op elk moment worden ingetrokken, en wie daarop de orderafhandeling baseert, moet bij intrekking stoppen met leveren. Een derde fout is de vage bewaartermijn: "zo lang als nodig" is geen termijn, en artikel 13 lid 2 sub a AVG eist een periode of ten minste de criteria om die te bepalen.

De vierde fout zit in de cookiebanner. Een banner met alleen een knop "akkoord", of een weigerknop die pas na twee schermen verschijnt, levert geen vrije toestemming op. De vijfde fout is gebrekkig onderhoud. Een verklaring wordt opgesteld bij de lancering van de website en daarna nooit meer aangepast, terwijl er een chatfunctie of analyseplatform bij is gekomen. Een privacyverklaring die niet overeenkomt met de feitelijke verwerking schendt zelf de transparantieplicht van de AVG. Herzie de tekst minstens jaarlijks en bij elke nieuwe tool.

Is een privacyverklaring verplicht voor kleine ondernemers?

Ja. De informatieplicht uit artikel 13 en 14 AVG geldt ongeacht de omvang van de organisatie. De vrijstelling voor organisaties met minder dan 250 werknemers in artikel 30 lid 5 betreft alleen het verwerkingsregister, en ook die vrijstelling is beperkt. Een eenmanszaak die klantgegevens bijhoudt of een contactformulier op de website heeft, moet dus een privacyverklaring publiceren.

Is dit model juridisch geldig?

Het model bevat alle onderdelen die artikel 13 en 14 AVG voorschrijven en volgt de Nederlandse invulling uit de Uitvoeringswet AVG en artikel 11.7a Telecommunicatiewet. Geldigheid hangt bij een privacyverklaring niet af van een handtekening, maar van de juistheid van de inhoud. De tekst moet overeenkomen met wat u feitelijk met persoonsgegevens doet. Vult u het formulier volledig en naar waarheid in, dan beschikt u over een verklaring die aan de wettelijke informatieplicht voldoet.

In welk formaat ontvang ik de privacyverklaring?

U ontvangt de verklaring direct in Word en in PDF. De Word-versie gebruikt u om de tekst op uw website te plaatsen en later bij te werken wanneer u een nieuwe tool in gebruik neemt. De PDF dient als bijlage bij een intakeformulier of offerte. Bewaar elke gepubliceerde versie met de datum waarop zij online stond, zodat u bij een klacht kunt aantonen welke informatie de betrokkene op dat moment had. Andere modellen voor uw bedrijfsvoering vindt u in het overzicht van alle Nederlandse juridische modellen.

Binnen welke termijn moet ik reageren op een verzoek van een betrokkene?

Artikel 12 lid 3 AVG geeft u één maand na ontvangst van het verzoek. Die termijn kan met twee maanden worden verlengd als het verzoek complex is of als u er veel tegelijk ontvangt, mits u de betrokkene daarover binnen de eerste maand informeert. Een inzageverzoek hoeft niet gemotiveerd te worden. De Hoge Raad oordeelde dat al in de Dexia-beschikkingen van 29 juni 2007, en het Hof van Justitie bevestigde onder de AVG dat het motief van de betrokkene niet relevant is (C-307/22, 26 oktober 2023).

Moet ik toestemming vragen voor alle cookies?

Nee. Artikel 11.7a lid 3 Telecommunicatiewet zondert functionele cookies uit, zoals die voor een winkelwagen of een taalkeuze, en analytische cookies die geen of geringe gevolgen hebben voor de privacy. Voor marketing- en trackingcookies is voorafgaande toestemming wel nodig, net als voor analysesoftware die gegevens deelt met de aanbieder voor diens eigen doeleinden. Verwerkt u via vrijgestelde cookies toch persoonsgegevens, dan blijft de informatieplicht uit de AVG gelden, en daar dient de cookieparagraaf in het model voor.

Wat gebeurt er als mijn privacyverklaring ontbreekt of onvolledig is?

De Autoriteit Persoonsgegevens kan op grond van artikel 58 lid 2 AVG een waarschuwing, een berisping of een bevel geven, en daarnaast een last onder dwangsom of een bestuurlijke boete opleggen. Schendingen van artikel 12 tot en met 14 AVG vallen onder het hoogste boetemaximum van artikel 83 lid 5. Vaak begint het probleem eerder, bij een zakelijke afnemer die in een leveranciersaudit om uw privacydocumentatie vraagt.