Op deze pagina
Waarom bijna elke site er een nodig heeft
De AVG verplicht je om mensen te informeren op het moment dat je hun gegevens verzamelt. Zelfs zonder formulier bewaart je hosting meestal IP-adressen, en het Europees Hof van Justitie oordeelde in de zaak Breyer dat zo'n adres een persoonsgegeven kan zijn. Die informatie geef je in een privacyverklaring: een pagina die vanaf elke pagina bereikbaar is, met een korte melding en een link bij elk formulier.
Ze staat los van je cookiebeleid, al linken ze naar elkaar; of je ook een banner nodig hebt, lees je in cookiebanner verplicht. En los daarvan vraagt het Wetboek van economisch recht dat je je bedrijfsgegevens toont: zie ondernemingsnummer verplicht op je website. Of je daarnaast een disclaimer nodig hebt, staat in disclaimer op je website verplicht.
Wat artikel 13 erin wil lezen
| Onderdeel | Wat je schrijft | Voorbeeld voor een kmo-site |
|---|---|---|
| Wie je bent | naam, adres, contact | je bedrijfsnaam en een mailadres voor privacyvragen |
| Waarom en op welke grond | doel per verwerking, met de rechtsgrond | je aanvraag beantwoorden, omdat je erom vroeg |
| Wie het nog ziet | ontvangers en verwerkers | je hosting, je mailprovider, je boekhouder |
| Buiten de EU | of gegevens de EU verlaten, met welke waarborg | een Amerikaanse mail- of AI-dienst |
| Hoe lang | een bewaartermijn per soort gegeven | aanvragen een jaar, klantdossiers zolang de wet vraagt |
| Je rechten | inzage, verbetering, wissen, bezwaar, overdracht | een mailadres om ze uit te oefenen |
| Klacht | het recht om te klagen | een link naar de GBA |
Vier momenten waarop een bezoeker leest wat je doet
- Bij het formulierKorte melding met linkWaarvoor je de gegevens vraagt.
- Een klik verderDe volledige verklaringAlles uit artikel 13, per verwerking.
- Bij een verzoekAntwoord binnen een maandTwee maanden langer als het ingewikkeld is.
- Bij elke nieuwe toolVerklaring bijwerkenMet de datum bovenaan.
Gekopieerd sjabloon
- Noemt een nieuwsbrief die er niet is
- Vergeet de meting en de chatbot
- Geen bewaartermijn
- Over alles, dus over niets
Eigen verklaring
- Opent met waar ze over gaat
- Elke verwerking met doel en grond
- Een termijn per soort gegeven
- Een datum en een contact
Waar gekopieerde verklaringen misgaan
Veel verklaringen zijn gekopieerd van een andere site of uit een generator, en dan informeren ze niet juist. De Gegevensbeschermingsautoriteit oordeelde al dat een verklaring die moeilijk te volgen is en geen bewaartermijn noemt, de AVG schendt. De AVG laat boetes toe tot 20 miljoen euro of 4 procent van de omzet, en de GBA kan ook bevelen om de verklaring recht te zetten; vaak begint het met een klacht van een bezoeker.
Drie verwerkingen ontbreken het vaakst. Een AI-chatbot stuurt wat bezoekers typen naar een taalmodel, vaak buiten de EU; lees ook of ChatGPT veilig is voor bedrijven. Een webshop geeft adressen door aan een vervoerder en betaalgegevens aan een betaalprovider. En een formulier dat aanvragen doorstuurt naar een CRM of mailtool, voegt een verwerker toe, met wie je een verwerkersovereenkomst sluit. Gebruik je AI ook intern, dan toont de AI Act-check welke regels daar bovenop komen.
Je verklaring nakijken in vijf stappen
- Open je site en noteer elk formulier, elke tool en elk script dat gegevens verzamelt.
- Leg dat naast wat je verklaring zegt: schrap wat er niet is, voeg toe wat ontbreekt.
- Zet een bewaartermijn bij elk soort gegeven.
- Zet een korte melding met link onder elk formulier.
- Zet de datum van de laatste wijziging bovenaan, zoals onze eigen privacyverklaring doet.
Voor een site met een contactformulier, een nieuwsbrief en een meting vraagt dat drie tot vijf uur, een keer, en een half uur per jaar of bij elke nieuwe tool. Een webshop of een site met klantenportaal vraagt meer, omdat er meer verwerkers zijn; de GDPR checklist helpt je ze op een rij te zetten.
Cookiebeleid en functionaris
Is een privacyverklaring hetzelfde als een cookiebeleid?
Nee. Het cookiebeleid zegt welke cookies je site zet. De privacyverklaring gaat over alle persoonsgegevens, ook die uit je formulier of je mailbox. Ze mogen op een pagina staan, als beide onderdelen volledig zijn.
Moet ik een functionaris voor gegevensbescherming aanstellen?
Voor de meeste kmo-sites niet: dat moet pas bij grootschalige verwerking van gevoelige gegevens of systematische opvolging van mensen. Noem wel een contactpunt voor privacyvragen.