MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Een privacy statement opstellen doet u door per verwerking vast te leggen welke persoonsgegevens u gebruikt, met welk doel, op welke grondslag en hoe lang u ze bewaart — aangevuld met de rechten van betrokkenen en de partijen aan wie u gegevens doorgeeft. De AVG (art. 13/14) bepaalt de minimuminhoud. De valkuil is niet de vorm, maar de eerlijkheid: het statement moet uw werkelijke praktijk beschrijven, niet een geleende voorbeeldtekst.
Het korte antwoord
- Inventariseer welke persoonsgegevens u verwerkt en waarom.
- Bepaal per doel de grondslag (overeenkomst, wettelijke plicht, gerechtvaardigd belang of toestemming).
- Leg bewaartermijnen vast per soort gegeven.
- Benoem verwerkers en ontvangers en eventuele doorgifte buiten de EU.
- Beschrijf de rechten van betrokkenen en hoe zij die uitoefenen.
- Publiceer en actualiseer de tekst begrijpelijk op uw website.
Privacy statement opstellen begint met inventariseren
Voordat u iets schrijft, brengt u uw verwerkingen in kaart. Loop uw processen langs: klantadministratie, offertes, facturatie, personeel, nieuwsbrief, website-analytics, sollicitaties. Voor elk proces noteert u welke gegevens u verzamelt, waarvoor, van wie en waar ze terechtkomen. Deze inventarisatie is de basis. Zonder dit overzicht schrijft u een tekst die niet klopt met de werkelijkheid — en dat is precies wat de Autoriteit Persoonsgegevens afkeurt.
De verplichte onderdelen
Uw statement bevat ten minste:
- Uw identiteit als verwerkingsverantwoordelijke, met contactgegevens.
- Doeleinden per verwerking.
- Grondslag per doel.
- Categorieën gegevens die u verwerkt.
- Ontvangers en verwerkers: leveranciers die in uw opdracht gegevens verwerken.
- Bewaartermijnen of de criteria daarvoor.
- Rechten: inzage, rectificatie, verwijdering, beperking, bezwaar, dataportabiliteit en het klachtrecht bij de AP.
- Doorgifte buiten de EU, met de gebruikte waarborgen.
Grondslag per doel bepalen
Dit is het inhoudelijk lastigste deel. Elke verwerking heeft precies één grondslag nodig. Een greep uit de praktijk:
- Bestelling leveren: noodzakelijk voor de overeenkomst.
- Facturen bewaren: wettelijke verplichting (fiscale bewaarplicht, zeven jaar).
- Salarisadministratie: wettelijke verplichting en overeenkomst.
- Nieuwsbrief aan niet-klanten: toestemming.
- Fraudepreventie of beveiligingscamera: gerechtvaardigd belang, na een belangenafweging.
Kies bewust en noem de grondslag expliciet. “Toestemming” als vangnet voor alles is fout: als u een bestelling niet kunt leveren zonder de gegevens, is toestemming niet de juiste grondslag.
Bewaartermijnen concreet maken
“Wij bewaren gegevens niet langer dan nodig” is te vaag. Maak het concreet: facturen zeven jaar (fiscaal), sollicitatiegegevens vier weken na afwijzing (of één jaar met toestemming), personeelsdossiers doorgaans twee jaar na uitdiensttreding, camerabeelden vier weken. Waar een exacte termijn niet vaststaat, noemt u het criterium. Concrete termijnen tonen aan dat u de verwerking daadwerkelijk beheerst.
Verwerkers en de grens met andere documenten
In het statement noemt u de categorieën ontvangers: hostingpartij, boekhoudsoftware, e-mailmarketingtool, betaaldienstverlener. Met elk van die verwerkers sluit u afzonderlijk een verwerkersovereenkomst (art. 28 AVG) — dat is een contract, geen onderdeel van uw statement. Verwar het ook niet met de cookieverklaring: die beschrijft specifiek de trackingtechniek op uw website en hoort bij uw cookiebanner. Drie documenten, drie functies.
Praktijkvoorbeeld
Een webshop verkoopt sportkleding. Bij het opstellen komt naar voren: klantgegevens voor het leveren van bestellingen (overeenkomst, bewaartermijn zeven jaar via facturen), een nieuwsbrief (toestemming, tot intrekking), een retargeting-pixel (toestemming via de cookiebanner) en een boekhoudkoppeling (verwerker, met verwerkersovereenkomst). Vier verwerkingen, vier grondslagen, één samenhangend statement dat precies dit beschrijft.
Eerlijke aanbeveling
Heeft u een overzichtelijke onderneming met standaardverwerkingen — klantadministratie, gewone nieuwsbrief, geen bijzondere gegevens — dan kunt u het statement zelf opstellen op basis van een betrouwbare template, mits u de grondslagen en bewaartermijnen serieus invult. U heeft dan geen jurist nodig. Schakel er wel een in zodra u bijzondere persoonsgegevens verwerkt, profileert, buiten de EU deelt of op grote schaal marketeert. Het inhoudelijke werk zit in de grondslagkeuze, en juist daar gaat het bij zelf knutselen vaak mis.
Verdieping: wat is een privacy statement, een privacy statement voorbeeld, of laat een privacy statement opstellen.
Veelgestelde vragen
Begin met een inventarisatie van uw verwerkingen. Bepaal per doel de grondslag, leg bewaartermijnen vast, benoem verwerkers en ontvangers, beschrijf de rechten van betrokkenen en publiceer de tekst begrijpelijk op uw website. De AVG (art. 13/14) bepaalt de minimuminhoud.
Uw identiteit en contactgegevens, de doeleinden, de grondslag per doel, de categorieën gegevens, de ontvangers en verwerkers, de bewaartermijnen, de rechten van betrokkenen en eventuele doorgifte buiten de EU met de gebruikte waarborgen.
Per verwerking kiest u één van zes grondslagen. Een bestelling leveren is “overeenkomst”, facturen bewaren is “wettelijke verplichting”, een nieuwsbrief aan niet-klanten is “toestemming”, en fraudepreventie is “gerechtvaardigd belang” na een belangenafweging. Noem de grondslag expliciet.
Maak ze concreet: facturen zeven jaar (fiscaal), sollicitatiegegevens vier weken na afwijzing, personeelsdossiers doorgaans twee jaar na uitdiensttreding, camerabeelden vier weken. Waar geen exacte termijn vaststaat, noemt u het criterium waarop u de termijn baseert.
Een template als basis is prima, maar u moet die aanpassen aan uw werkelijke verwerkingen. Een geleende tekst die niet klopt met uw praktijk voldoet niet aan de AVG en kan bij handhaving juist tegen u werken. Vul de grondslagen en bewaartermijnen eerlijk in.
Nee. In het statement noemt u alleen de categorieën ontvangers en verwerkers. Met elke verwerker sluit u afzonderlijk een verwerkersovereenkomst (art. 28 AVG). Dat is een contract tussen u en uw leverancier, geen onderdeel van uw openbare privacyverklaring.
Ja. Als u nieuwe verwerkingen start, andere leveranciers gaat gebruiken of bewaartermijnen wijzigt, past u het statement aan. Een verouderde verklaring die niet meer klopt met uw praktijk voldoet niet aan de transparantie-eis van de AVG.
