AVG verklaring voorbeeld: welke onderdelen horen in de privacyverklaring op uw website?

Een AVG verklaring, in de praktijk meestal privacyverklaring genoemd, is de tekst waarmee uw organisatie betrokkenen informeert over welke persoonsgegevens u verwerkt, met welk doel, op welke grondslag, hoe lang en welke rechten zij hebben. De verplichte onderdelen staan in artikel 13 en 14 van de AVG. Dit AVG verklaring voorbeeld zet die onderdelen op een rij, zodat u ze kunt vergelijken met uw eigen tekst.

In het kort

• Een privacyverklaring is verplicht zodra u persoonsgegevens verwerkt, dus ook bij een eenvoudig contactformulier of nieuwsbrief.
• Artikel 13 AVG schrijft voor welke informatie u geeft als u gegevens bij de betrokkene zelf verzamelt; artikel 14 AVG geldt als u gegevens via een andere bron ontvangt.
• De verklaring moet volgens artikel 12 AVG beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk zijn, in duidelijke en eenvoudige taal.
• Een AVG verklaring voorbeeld is bruikbaar als checklist. Een gekopieerd sjabloon dat afwijkt van uw werkelijke verwerkingen voldoet niet aan de informatieplicht; uw verwerkingsregister is de juiste basis.

Wie zoekt op een avg verklaring voorbeeld, vindt tientallen sjablonen. Zo’n voorbeeld is bruikbaar om te controleren of u niets vergeet, maar de inhoud moet kloppen met wat uw organisatie werkelijk doet. In dit artikel zet ik op een rij welke onderdelen verplicht zijn, hoe u ze begrijpelijk opschrijft en welke fouten wij in de praktijk het vaakst tegenkomen.

Wat is een AVG verklaring en wanneer is die verplicht?

De AVG kent de term ‘privacyverklaring’ zelf niet. De wet spreekt over de informatieplicht van de verwerkingsverantwoordelijke: de verplichting om betrokkenen te informeren over wat er met hun gegevens gebeurt. De privacyverklaring op uw website is de gebruikelijke manier om aan die plicht te voldoen.

De informatieplicht geldt voor iedere organisatie die persoonsgegevens verwerkt, ongeacht omvang of sector. Een website met een contactformulier, een inschrijfmogelijkheid voor een nieuwsbrief, analytische cookies of een sollicitatiepagina verwerkt persoonsgegevens en heeft dus een privacyverklaring nodig. Een AVG verklaring voorbeeld laat zien welke onderwerpen daarin aan bod moeten komen; de invulling per onderwerp verschilt per organisatie.

AVG verklaring voorbeeld: welke onderdelen zijn verplicht?

Artikel 13 AVG bepaalt welke informatie u verstrekt wanneer u persoonsgegevens rechtstreeks bij de betrokkene verzamelt, bijvoorbeeld via uw website. Een volledig AVG verklaring voorbeeld bevat de volgende onderdelen:

1. Identiteit en contactgegevens van uw organisatie als verwerkingsverantwoordelijke, inclusief vestigingsadres en een bereikbaar e-mailadres.
2. Contactgegevens van de functionaris gegevensbescherming (FG), als uw organisatie er een heeft aangewezen. Een naam is niet verplicht, een rechtstreeks bereikbaar contactadres wel.
3. De doeleinden waarvoor u de persoonsgegevens verwerkt, concreet omschreven per verwerking.
4. De rechtsgrond per doel: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, taak van algemeen belang of gerechtvaardigd belang.
5. Het gerechtvaardigde belang zelf, als u die grondslag gebruikt. Benoem welk belang dat is, bijvoorbeeld beveiliging van uw netwerk of direct marketing aan bestaande klanten.
6. De ontvangers of categorieën van ontvangers, zoals hostingpartijen, een salarisadministrateur of een e-mailmarketingdienst.
7. Doorgifte naar landen buiten de EER, inclusief de waarborg waarop u die doorgifte baseert, zoals een adequaatheidsbesluit of standaardcontractbepalingen. Meer daarover leest u in ons artikel over doorgifte buiten de EU.
8. De bewaartermijn per categorie gegevens, of als dat niet mogelijk is, de criteria waarmee u die termijn bepaalt.
9. De rechten van betrokkenen: inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar, met uitleg hoe iemand die rechten bij u uitoefent.
10. Het recht om toestemming in te trekken, als toestemming de grondslag is, met de vermelding dat intrekking de eerdere verwerking niet onrechtmatig maakt.
11. Het recht om een klacht in te dienen bij de toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens.
12. Of het verstrekken van gegevens verplicht is op grond van wet of overeenkomst, en wat de gevolgen zijn als iemand de gegevens niet verstrekt.
13. Geautomatiseerde besluitvorming en profilering, als daarvan sprake is, met zinvolle informatie over de onderliggende logica en de verwachte gevolgen voor de betrokkene.

Loop deze dertien punten langs en noteer per punt wat voor uw organisatie geldt. Zo gebruikt u het AVG verklaring voorbeeld als checklist en wordt de uiteindelijke tekst een eigen document in plaats van een kopie.

Welke extra onderdelen gelden als u gegevens via een andere bron ontvangt?

Ontvangt u persoonsgegevens niet van de betrokkene zelf, maar bijvoorbeeld van een werkgever, een verwijzer of een openbaar register, dan geldt artikel 14 AVG. Naast de onderdelen hierboven vermeldt u dan ook:

• de categorieën persoonsgegevens die u heeft ontvangen;
• de bron van de gegevens, en of die bron openbaar toegankelijk is.

Deze informatie verstrekt u binnen een redelijke termijn na ontvangst, uiterlijk binnen een maand, of bij het eerste contact met de betrokkene als dat eerder is.

Hoe schrijft u een privacyverklaring die begrijpelijk is?

Volledigheid alleen is niet genoeg. Artikel 12 AVG eist dat de informatie beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk is, in duidelijke en eenvoudige taal. Een juridisch correcte tekst die niemand leest, schiet dus tekort. Dat de toezichthouder dit serieus neemt, blijkt uit het boetebesluit van 31 januari 2024, waarin de Autoriteit Persoonsgegevens Uber een boete van 10 miljoen euro oplegde, onder meer omdat chauffeurs onvoldoende duidelijk werden geïnformeerd over bewaartermijnen en doorgifte buiten Europa.

In de praktijk werkt een gelaagde opzet het best. De eerste laag bestaat uit korte alinea’s of een tabel met de hoofdpunten per verwerking: welke gegevens, waarom, hoe lang. Wie meer wil weten, klikt door naar de uitgebreide toelichting. Schrijf vanuit de lezer: ‘Wij bewaren uw sollicitatiegegevens tot vier weken na afronding van de procedure’ zegt meer dan ‘gegevens worden niet langer bewaard dan noodzakelijk’. Veel sjablonen die als AVG verklaring voorbeeld worden aangeboden, blijven juist hangen in dat soort algemene formuleringen.

Plaats de verklaring op een vaste, vindbare plek, meestal in de footer van iedere pagina, en verwijs ernaar op het moment dat u gegevens uitvraagt, zoals onder een contactformulier of bij een inschrijving.

Welke fouten ziet u vaak in een gekopieerd AVG verklaring voorbeeld?

Bij onze AVG audits beoordelen wij regelmatig privacyverklaringen die ooit van een AVG verklaring voorbeeld zijn overgenomen. Dezelfde tekortkomingen komen steeds terug:

• De verklaring beschrijft verwerkingen die niet bestaan, of mist verwerkingen die wel bestaan. Een nieuw CRM-systeem, een chatfunctie of een AI-tool wordt ingevoerd zonder dat de verklaring wordt aangepast.
• Toestemming wordt als grondslag genoemd waar die niet past. Voor de uitvoering van een overeenkomst of een wettelijke plicht is toestemming geen geschikte grondslag. Wanneer toestemming wel geldig is, leest u in ons artikel over geldige toestemming onder de AVG.
• Bewaartermijnen ontbreken of zijn vaag. ‘Zo lang als nodig’ is geen bewaartermijn en geen criterium.
• Rechten worden genoemd zonder procedure. Betrokkenen lezen dat zij recht op inzage hebben, maar niet waar zij hun verzoek indienen of hoe snel zij antwoord krijgen. Hoe u dat organiseert, beschrijven wij in ons artikel over het afhandelen van een inzageverzoek.

Hoe houdt u uw privacyverklaring actueel?

Een privacyverklaring is een momentopname van uw verwerkingen. Verandert uw organisatie, dan verandert de verklaring mee. Drie afspraken maken dat beheersbaar:

1. Werk vanuit het verwerkingsregister. Het register uit artikel 30 AVG bevat al de doeleinden, categorieën, ontvangers en bewaartermijnen. Als de verklaring daarvan is afgeleid, kloppen beide documenten met elkaar.
2. Beleg de controle. Spreek af dat iedere nieuwe leverancier, tool of verwerking langs de privacy officer of FG gaat voordat deze live gaat. Het verschil tussen die twee rollen leggen wij uit in ons artikel over de privacy officer en de functionaris gegevensbescherming.
3. Vermeld een versiedatum en plan een jaarlijkse review. Zo kunt u aantonen wanneer de tekst voor het laatst is getoetst, en voorkomt u dat de verklaring ongemerkt veroudert.

Wij zien privacyverklaringen liever als onderdeel van professionele bedrijfsvoering dan als sluitstuk van een juridisch traject. Een AVG verklaring voorbeeld helpt u op weg bij de eerste opzet; het verwerkingsregister en de jaarlijkse review zorgen ervoor dat de tekst blijft kloppen. Een heldere verklaring laat klanten, patiënten, leerlingen en burgers zien dat uw organisatie zorgvuldig met hun gegevens omgaat. Dat vertrouwen is uiteindelijk meer waard dan het afvinken van een verplichting.

Veelgestelde vragen over de AVG verklaring

Is een AVG verklaring hetzelfde als een privacyverklaring?

Ja. AVG verklaring, privacyverklaring, privacy statement en privacybeleid zijn verschillende namen voor hetzelfde document waarmee u voldoet aan de informatieplicht uit artikel 13 en 14 AVG.

Mag ik een AVG verklaring voorbeeld van internet overnemen?

Als checklist wel, als eindproduct niet. De verklaring moet exact beschrijven welke gegevens uw organisatie verwerkt, met welk doel, op welke grondslag en hoe lang. Een AVG verklaring voorbeeld dat daarvan afwijkt, voldoet niet aan de AVG.

Moet de naam van de functionaris gegevensbescherming in de privacyverklaring staan?

Nee, de AVG vereist de contactgegevens van de FG, niet de naam. Een functioneel e-mailadres zoals fg@uworganisatie.nl volstaat, zolang betrokkenen de FG daarmee rechtstreeks kunnen bereiken.

Hoe vaak moet ik de privacyverklaring aanpassen?

Zodra uw verwerkingen wijzigen, bijvoorbeeld bij een nieuwe leverancier, tool of dienst. Daarnaast is een jaarlijkse review verstandig, zodat de verklaring aantoonbaar actueel blijft.

Geldt de informatieplicht ook voor medewerkers en sollicitanten?

Ja. De informatieplicht geldt voor iedere betrokkene van wie u gegevens verwerkt. Voor medewerkers en sollicitanten gebruikt u meestal een aparte interne privacyverklaring, omdat de verwerkingen en bewaartermijnen afwijken van die voor websitebezoekers.