Privacyverklaring maken: checklist voor kleine websites en webshops

Iedere website die persoonsgegevens verwerkt heeft een privacyverklaring nodig. Dit zijn de verplichte onderdelen volgens artikel 13 AVG, in gewone taal, met een checklist die je in een uur afwerkt.

Een privacyverklaring is verplicht zodra je persoonsgegevens verwerkt, en dat doet vrijwel iedere website: een contactformulier, een nieuwsbrief, een bestelling, analytics, serverlogs. Artikel 13 van de AVG schrijft voor welke informatie je geeft op het moment dat je gegevens verzamelt. Deze checklist loopt die onderdelen langs in gewone taal.

De verplichte onderdelen

1. Wie je bent. Bedrijfsnaam, adres, KVK-nummer, e-mailadres. Heb je een functionaris voor gegevensbescherming, dan ook diens contactgegevens.
2. Welke gegevens je verwerkt en waarvoor. Per doel: contact afhandelen, bestellingen leveren, nieuwsbrief versturen, website verbeteren, fraude voorkomen.
3. Op welke grondslag. Toestemming, uitvoering van een overeenkomst, wettelijke plicht of gerechtvaardigd belang. Bij gerechtvaardigd belang leg je kort uit welk belang.
4. Met wie je gegevens deelt. Hostingpartij, e-mailprovider, betaalprovider, bezorgdienst, Google, Meta. Noem categorieën en waar mogelijk namen.
5. Doorgifte buiten de EU. Gebruik je Amerikaanse diensten, vermeld dan op welke basis (bijvoorbeeld het EU-VS Data Privacy Framework of standaardcontractbepalingen).
6. Bewaartermijnen. Per categorie, of de criteria waarmee je de termijn bepaalt. Voor facturen geldt de fiscale bewaarplicht van zeven jaar.
7. De rechten van betrokkenen. Inzage, rectificatie, verwijdering, beperking, bezwaar, overdraagbaarheid en het intrekken van toestemming. Vermeld hoe iemand een verzoek indient.
8. Het recht om te klagen bij de Autoriteit Persoonsgegevens.
9. Of het verstrekken verplicht is en wat er gebeurt als iemand geen gegevens verstrekt (bijvoorbeeld: zonder adres kunnen we niet leveren).
10. Geautomatiseerde besluitvorming en profilering, als je die toepast.
11. Cookies. Een verwijzing naar je cookieverklaring, of een volledige cookieparagraaf.
12. Beveiliging. In grote lijnen welke maatregelen je neemt (versleuteling, toegangsbeheer).
13. Datum en wijzigingen.

Schrijf voor je bezoeker, niet voor je jurist

De AVG eist dat de informatie beknopt, transparant en begrijpelijk is. Korte alinea’s, duidelijke koppen per onderwerp en concrete namen werken beter dan een juridische lap tekst. Een bezoeker moet in een minuut kunnen vinden wat er met zijn e-mailadres gebeurt na het invullen van een formulier.

Veelgemaakte fouten

• Een gekopieerde verklaring die diensten noemt die je niet gebruikt, en diensten mist die je wel gebruikt.
• Geen bewaartermijnen, of overal “zo lang als nodig”.
• Google Analytics en Meta Pixel niet genoemd, terwijl ze wel actief zijn.
• Geen link vanaf iedere pagina (footer) en vanaf formulieren.
• Verklaring alleen in het Nederlands terwijl de site ook Engelstalige bezoekers bedient.

Bewaartermijnen: een voorbeeldtabel

Concrete termijnen maken je verklaring geloofwaardig en helpen je zelf om op te ruimen. Een gangbare indeling voor een kleine website of webshop:

In een uur klaar

Met de gratis privacyverklaring generator van CookieOpt beantwoord je een reeks vragen over je website (formulieren, webshop, nieuwsbrief, analytics, pixels) en krijg je een verklaring die bij jouw situatie past. Loop daarna de bewaartermijnen en de genoemde partijen nog eens na en plaats de verklaring op een eigen pagina met een link in de footer. Combineer hem met een automatisch bijgewerkte cookieverklaring, dan blijven beide documenten kloppen als je website verandert.