---
title: "Privacybeleid opstellen: dit hoort erin"
url: https://mkbjuristen.nl/blog/ondernemen/privacybeleid-opstellen/
date: 2026-09-24
modified: 2026-09-24
lang: nl
author: "denian@mkbrecht.nl"
description: "Privacybeleid opstellen? Lees welke onderdelen erin horen, de veelgemaakte fouten en wanneer je een jurist inschakelt."
categories:
  - "Ondernemen"
image: https://mkbjuristen.nl/wp-content/uploads/2026/07/privacybeleid-opstellen-hero-1024x576.jpg
word_count: 1066
---

# Privacybeleid opstellen: dit hoort erin

Een privacybeleid opstellen doe je door in een intern document vast te leggen wie binnen je organisatie verantwoordelijk is voor persoonsgegevens, welke procedures gelden, hoe lang je gegevens bewaart en welke beveiligingsmaatregelen je neemt. Het privacybeleid is een sturingsdocument voor je eigen mensen, niet de externe verklaring op je website. De inhoud volgt uit de verantwoordingsplicht van artikel 5 lid 2 AVG en de plicht tot passende maatregelen van artikel 24. Hieronder de onderdelen die erin horen en de aanpak om er een werkbaar document van te maken.

## Het korte antwoord

- **Wijs rollen toe**: wie is verwerkingsverantwoordelijke en wie zijn intern aanspreekbaar.
- **Koppel aan het verwerkingsregister**: welke verwerkingen voer je uit, op grond van artikel 30.
- **Leg bewaartermijnen vast** per categorie gegevens.
- **Beschrijf beveiligingsmaatregelen** op grond van artikel 32.
- **Neem een datalekprocedure op** volgens artikel 33 en 34.
- **Regel training** zodat medewerkers het beleid kennen en volgen.

## Privacybeleid opstellen: de vaste onderdelen

![Privacybeleid opstellen als intern document volgens de AVG](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacybeleid-opstellen-hero.jpg)

Een privacybeleid is pas nuttig als het aansluit op hoe je organisatie werkt. De basis bestaat uit deze onderdelen:

- **Rollen en verantwoordelijkheden**: wie beslist over verwerkingen, wie beheert de systemen en wie is het aanspreekpunt bij vragen of incidenten.
- **Beginselen uit artikel 5**: doelbinding, minimale gegevensverwerking, juistheid en opslagbeperking, vertaald naar concrete werkregels.
- **Bewaartermijnen** per categorie, met een wettelijke termijn waar die geldt.
- **Beveiliging op grond van artikel 32**: toegangsbeheer, wachtwoordbeleid, versleuteling en back-ups.
- **Datalekprocedure op grond van artikel 33 en 34**: hoe herken, meld en registreer je een datalek.
- **Verwerkers**: met welke externe partijen werk je en welke verwerkersovereenkomsten liggen er.
- **Rechten van betrokkenen**: hoe handel je een verzoek om inzage of verwijdering af.

## Rollen en het verwerkingsregister

![Rollen toewijzen en koppelen aan het verwerkingsregister in het privacybeleid](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacybeleid-opstellen-body1.jpg)

Begin met de vraag wie waarvoor verantwoordelijk is. In een mkb-organisatie is de directie doorgaans de verwerkingsverantwoordelijke, met een of enkele medewerkers als intern aanspreekpunt. Een functionaris voor gegevensbescherming is alleen verplicht in specifieke gevallen, zoals grootschalige verwerking van bijzondere gegevens, maar je mag er vrijwillig een aanwijzen.

Koppel het beleid vervolgens aan het verwerkingsregister uit artikel 30. Dat register somt op welke verwerkingen je uitvoert, met welk doel en op welke grondslag. Zonder die inventarisatie hangt een beleid in de lucht, omdat je niet weet wat je precies moet sturen. Het register is de inventarisatie, het beleid de spelregels daaromheen.

## Beveiliging en datalekken

Artikel 32 verlangt passende technische en organisatorische maatregelen. Passend betekent in verhouding tot de risico's, dus een organisatie met gevoelige dossiers neemt zwaardere maatregelen dan een bedrijf dat alleen adresgegevens verwerkt. Denk aan toegangsbeheer per rol, sterke wachtwoorden, versleuteling van laptops, gecontroleerde back-ups en een helder beleid voor het gebruik van privéapparaten.

Neem daarnaast een datalekprocedure op. Artikel 33 verplicht je om een datalek in beginsel binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, tenzij het risico voor betrokkenen klein is. Bij een hoog risico moet je op grond van artikel 34 ook de betrokkenen informeren. Leg vast hoe een medewerker een vermoedelijk lek meldt, wie beoordeelt en wie de melding verzorgt.

## Van papier naar praktijk

![Privacybeleid werkbaar maken met training van medewerkers](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacybeleid-opstellen-body2.jpg)

Een beleid dat in een la ligt, helpt je niet bij een controle en voorkomt geen incidenten. Zorg dat medewerkers het kennen, bespreek het bij indiensttreding en herhaal de kern periodiek. Leg kort vast dat en wanneer je dat doet, want ook dat hoort bij de verantwoordingsplicht.

Een kort voorbeeld. Een tandartspraktijk uit Breda met acht medewerkers verwerkt medische gegevens, wat bijzondere gegevens zijn. Het privacybeleid legt vast dat alleen behandelaars toegang hebben tot dossiers, dat het systeem automatisch uitlogt, dat gegevens conform de bewaartermijn voor medische dossiers worden bewaard en dat elk vermoedelijk datalek dezelfde dag bij de praktijkmanager wordt gemeld. Bij een controle kan de praktijk aantonen dat het beleid past bij de gevoeligheid van de gegevens.

## Eerlijke aanbeveling

![Ondernemer bespreekt het opstellen van een privacybeleid met een jurist](https://mkbjuristen.nl/wp-content/uploads/2026/07/privacybeleid-opstellen-advies.jpg)

Werk je alleen of met een klein team en verwerk je alleen gebruikelijke gegevens, dan kun je een privacybeleid goed zelf opstellen. Houd het beknopt, sluit aan op je verwerkingsregister en zorg dat de bewaartermijnen en de datalekprocedure kloppen met de praktijk. Daar heb je geen jurist voor nodig.

Roep hulp in zodra je met bijzondere gegevens werkt, personeel hebt over meerdere locaties, veel verwerkers inzet of camerabeelden bewaart. Dan zit de moeilijkheid in het afstemmen van rollen, beveiligingsniveau en procedures op de risico's. Een jurist helpt je een beleid te maken dat werkbaar is en de verantwoordingsplicht echt invult.

Meer weten of direct laten regelen? Bekijk het [privacybeleid van MKB Juristen](https://mkbjuristen.nl/contracten/privacybeleid/), lees eerst [wat is een privacybeleid](https://mkbjuristen.nl/blog/ondernemen/wat-is-een-privacybeleid/) en zie wat het kost om een [privacybeleid laten opstellen](https://mkbjuristen.nl/blog/ondernemen/privacybeleid-laten-opstellen/) inhoudt.

## Veelgestelde vragen

**Hoe stel je een privacybeleid op?** Wijs rollen en verantwoordelijkheden toe, koppel het beleid aan je verwerkingsregister uit artikel 30, leg bewaartermijnen vast, beschrijf beveiligingsmaatregelen op grond van artikel 32 en neem een datalekprocedure op volgens artikel 33 en 34. Zorg tot slot dat medewerkers het beleid kennen.

**Welke onderdelen horen er verplicht in?** Er is geen wettelijk sjabloon, maar een bruikbaar beleid bevat rollen, de beginselen uit artikel 5, bewaartermijnen, beveiliging uit artikel 32, de datalekprocedure, de omgang met verwerkers en de afhandeling van rechten van betrokkenen. Samen vullen die de verantwoordingsplicht in.

**Heb ik een functionaris voor gegevensbescherming nodig?** Alleen in specifieke gevallen, zoals grootschalige verwerking van bijzondere gegevens of systematische observatie. Buiten die gevallen mag je vrijwillig een aanspreekpunt aanwijzen. Voor de meeste mkb-organisaties volstaat een interne verantwoordelijke.

**Hoe leg ik bewaartermijnen vast?** Per categorie gegevens, op basis van het beginsel van opslagbeperking uit artikel 5. Waar een wettelijke termijn geldt, zoals de fiscale bewaarplicht van zeven jaar voor facturen, neem je die over. Voor overige gegevens noem je een termijn of een concreet criterium.

**Wat moet er in de datalekprocedure?** Hoe een medewerker een vermoedelijk lek herkent en meldt, wie het beoordeelt en wie de melding bij de Autoriteit Persoonsgegevens verzorgt. Artikel 33 vraagt in beginsel om melding binnen 72 uur; bij een hoog risico informeer je op grond van artikel 34 ook de betrokkenen.

**Moet ik het beleid met medewerkers delen?** Ja. Een beleid werkt alleen als je mensen het kennen en volgen. Bespreek het bij indiensttreding, maak de kern eenvoudig vindbaar en herhaal die periodiek. Leg kort vast dat je dit doet, want ook dat hoort bij de verantwoordingsplicht.

**Hoe verhoudt het beleid zich tot de externe verklaring?** Het privacybeleid is intern en beschrijft hoe je organisatie werkt. De externe privacyverklaring informeert bezoekers en klanten. Wat je intern regelt, moet kloppen met wat je extern belooft, maar het zijn twee aparte documenten met een verschillend publiek.