Les 2: De privacyverklaring — wat moet er in staan?

Deze cursus biedt algemene informatie en geen juridisch advies.

Als je persoonsgegevens verwerkt, ben je verplicht mensen daarover te informeren. Dat doe je via een privacyverklaring — ook wel privacybeleid of privacy statement genoemd. In deze les leer je wat er minimaal in moet staan en hoe je er een maakt die ook echt leesbaar is.

Is een privacyverklaring verplicht?

Ja. De AVG verplicht je om mensen te informeren over hoe je hun gegevens gebruikt, en de privacyverklaring is de standaardmanier om dat te doen. Zonder privacyverklaring overtreedt je de wet — ook als je maar een simpel contactformulier hebt.

Wat moet er minimaal in staan?

De AVG schrijft voor welke informatie je moet geven. Voor de meeste kleine websites zijn dit de verplichte onderdelen:

1. Wie ben jij?

Naam van het bedrijf, KVK-nummer, adres en contactgegevens. Als je een Functionaris voor Gegevensbescherming (FG) hebt aangesteld — wat voor kleine bedrijven zelden verplicht is — moet je ook diens contactgegevens vermelden.

2. Welke gegevens verzamel je?

Wees specifiek. Niet “we verzamelen contactgegevens” maar “we verzamelen naam, e-mailadres en telefoonnummer via ons contactformulier”. Vermeld ook indirecte gegevens zoals IP-adressen en cookiedata als je die verzamelt.

3. Waarom verzamel je ze?

Voor elk type gegeven moet je het doel vermelden. Voorbeelden:

• “Naam en e-mailadres via het contactformulier gebruiken we om uw vraag te beantwoorden.”
• “E-mailadres van nieuwsbriefabonnees gebruiken we om onze maandelijkse nieuwsbrief te versturen.”
• “IP-adres en cookiedata verzamelen we via Google Analytics om het gebruik van onze website te analyseren.”

4. Op welke grondslag?

Vermeld de juridische grondslag voor elk type verwerking. Dit klinkt formeel, maar is simpel in de praktijk:

• Contactformulier: “uitvoering van een overeenkomst” of “gerechtvaardigd belang”
• Nieuwsbrief: “toestemming”
• Webshop-orders: “uitvoering van een overeenkomst”
• Google Analytics: “toestemming” (als je de gebruiker om toestemming vraagt via een cookiebanner)

5. Hoe lang bewaar je de gegevens?

Je mag gegevens niet langer bewaren dan nodig. Bewaartermijnen variëren:

• Contactformulier-berichten: tot de vraag is afgehandeld, daarna te verwijderen
• Klantgegevens webshop: wettelijk verplicht 7 jaar voor de financiële administratie
• Nieuwsbriefadressen: zolang iemand ingeschreven is, daarna direct te verwijderen
• Analyticsdata: afhankelijk van instellingen (standaard 26 maanden in GA4)

6. Deel je gegevens met derden?

Als je gegevens deelt met andere partijen, moet je dat vermelden. Denk aan:

• Je e-mailmarketingtool (MailerLite, Mailchimp)
• Je betaalprovider (Mollie)
• Google (Analytics, Ads)
• Je hosting provider

Vermeld ook of gegevens buiten de EU worden verstuurd — Google’s servers staan deels in de VS, wat specifieke aandacht vereist.

7. Rechten van betrokkenen

Leg uit welke rechten mensen hebben (inzage, correctie, verwijdering, bezwaar) en hoe ze die kunnen uitoefenen. Geef een contactadres voor privacyverzoeken.

8. Klachten

Vermeld dat mensen het recht hebben een klacht in te dienen bij de Autoriteit Persoonsgegevens als zij van mening zijn dat hun gegevens onjuist worden verwerkt.

Hoe maak je een privacyverklaring?

Er zijn drie routes:

1. Generator gebruiken — de Autoriteit Persoonsgegevens heeft een gratis model beschikbaar. Diverse commerciële tools (zoals Iubenda of Cookiebot) genereren automatisch een op maat gemaakte verklaring op basis van jouw website.
2. Zelf schrijven — gebruik de acht punten uit deze les als leidraad. Schrijf in begrijpelijke taal, niet in juridisch jargon.
3. Jurist inschakelen — voor complexere situaties (veel gevoelige gegevens, internationaal werkend) is dit het veiligst.

In WordPress instellen

Maak een nieuwe pagina aan met de titel “Privacyverklaring”. Stel hem in als de officiële privacypagina via Instellingen → Privacy. WordPress linkt dan automatisch naar deze pagina op relevante plekken, zoals het registratieformulier en de cookiemelding.

Zet ook een link naar de privacyverklaring in de footer van elke pagina. Dat is geen wettelijke verplichting maar wel een sterke aanbeveling — en gebruikelijk in Nederland.

Opdracht

Schrijf een privacyverklaring voor jouw website. Gebruik de acht punten als structuur. Maak een WordPress-pagina aan met de titel “Privacyverklaring”, stel hem in via Instellingen → Privacy, en voeg een link toe aan je footer. Laat hem daarna lezen door iemand zonder juridische kennis — begrijpt die persoon wat er staat?