In een privacybeleid, ook wel privacy statement privacyverklaring of privacy policy genoemd, staat hoe de onderneming omgaat met de (persoons)gegevens die zij verzamelen. Verder staat er in op welke wijze dat gebeurt, via welke middelen zoals bijvoorbeeld een website, en vooral met welk doel deze gegevens worden verzameld.

Met de invoering van de nieuwe Algemene Verordening Gegevensbescherming (AVG), is het van belang dat elke betrokkene inzicht krijgt in de gegevens die van hem worden verzamelend.  In de privacystatement kun je alles lezen over de gegevensverwerking van het bedrijf. Deze wordt veelal onderin de website opgenomen met een hyperlink naar het privacybeleid van je onderneming.

Als onderneming val je al vrij snel onder de Algemene Verordening Gegevensbescherming. Dit gebeurt al op het moment dat je persoonsgegevens verzamelt. Het maakt niet uit of je duizenden bestellingen via je webshop binnen krijgt of een paar. Ook het aanmelden voor een nieuwsbrief wordt gezien als het vastleggen van persoonsgegevens.

Zodra je (persoons)gegevens verzamelt van betrokkenen hebt je een privacybeleid nodig. Het verzamelen van (persoons)gegevens gebeurt al wanneer de bezoekers van je website zich bijvoorbeeld inschrijven voor je nieuwsbrief of akkoord gaan met je cookieverklaring waardoor bepaalde gegevens van de bezoeker verzamelt worden. Deze gegevens hebben betrekking op de persoon die de website bezoekt en verschilt van algemene informatie tot meer persoonlijke informatie.

Over het algemeen staat er het volgende in een privacybeleid:

De gegevens die er worden verzameld. Het moet voor de betrokkene duidelijk zijn welke gegevens van en over hem verzamelt worden. Er moet een overzicht zijn waarin aangegeven staat welke gegevens van hem verzamelt worden.

De reden dat deze gegevens verzameld worden. Het is van belang om te weten welke gegevens verzameld worden en met welk doel deze gegevens verzamelt worden. Als bepaalde gegevens verzamelt worden zonder  een specifiek of geschikt doel, is het verzamelen van deze gegevens niet nodig en maakt dit inbreuk op de persoonsgegevens van die betrokkene.

De manier waarop een betrokkene inzicht krijgt in de gegevens. Wanneer de betrokkene weet dat er gegevens over hem verzamelt zijn, moet hij de mogelijkheid hebben om deze gegevens in te zien. Als hij dit wenst, kan hij in sommige situaties vragen om het verwijderen van zijn gegevens, of hierover een klacht indienen. Er moet naar de omstandigheden gekeken worden of dit mogelijk is. Er moet zoveel mogelijk rekening gehouden worden met de privacy van de betrokkene.

Het delen van gegevens met derden. Het komt soms voor dat privacygegevens worden gedeeld met andere bedrijven die samenwerken met de betreffende onderneming. Denk bijvoorbeeld aan retargetting. Ook hier gelden dezelfde privacyregels die de betrokkene moeten beschermen.

Een privacybeleid moet kort en bondig worden opgemaakt en duidelijk toegankelijk zijn. Het moet ook duidelijk en transparant zijn.  Het moet voor de persoon duidelijk zijn waar hij of zij aan toe is zonder ingewikkelde juridische taal of hele lappen tekst. Het opnemen van onderzoeksdoeleinden als doel van het verwerken van persoonsgegevens is niet transparant genoeg. Daarnaast zul je moeten zorgen dat op je website het privacybeleid toegankelijk is vanaf iedere webpagina.

Duidelijk toegankelijk is bij een app wat lastiger. Eigenlijk moet je ervoor zorgen dat voor het downloaden van de app de privacybeleid al zichtbaar is. Als norm kun je gebruiken dat bij een app het privacybeleid binnen twee kliks bereikt moet zijn. Het privacybeleid moet kosteloos bereikbaar zijn en schriftelijk (ook elektronisch) beschikbaar zijn.

Daarnaast moet de privacyverklaring worden opgesteld in de taal die past bij je doelgroep. Als je een Nederlandse webshop hebt, is het aan te raden om een Nederlands privacybeleid op te stellen die voor je doelgroep ook écht leesbaar is. Hiervoor wordt geadviseerd om de privacybeleid op te stellen op B1 niveau van de Nederlandse taal.

Vanaf 25 mei 2018 moet het voor elke betrokkene duidelijk zijn welke gegevens van hem verzamelt worden, met welk doel en moet deze persoon inzage hebben in zijn gegevens. Voldoe je als onderneming niet aan deze eisen, handel je in strijd met de AVG en loop je het risico op een enorme boete. Het beschermen van en inzicht geven in de persoonsgegevens van een betrokkene is heel erg belangrijk. Raadpleeg een deskundig jurist voor het opstellen of controleren van je privacybeleid!