Privacyverklaring: de 3 meest gemaakte fouten
Een van de belangrijkste begrippen uit de AVG is dat van transparantie. Oftewel: zeg wat je doet.
Met een juiste privacyverklaring creëer je duidelijkheid richting je klanten, medewerkers en andere groepen van wie je gegevens verwerkt. Ze moeten namelijk weten:
- welke gegevens je verzamelt
- waarom je ze gebruikt
- waarom je ze mag gebruiken
- hoe lang je ze bewaart
- welke andere organisaties je hierbij helpen
- en nog meer…
Door zelf een eigen privacyverklaring op te stellen denk je daarnaast meteen goed na over hoe het er bij jou op privacy gebied aan toegaat. En niet onbelangrijk: een privacyverklaring is verplicht als je persoonsgegevens verwerkt.
Wanneer je privacyverklaring ontbreekt of niet op orde is, is dit voor buitenstaanders één van de eerste dingen die opvalt. Steeds meer mensen vinden privacy belangrijk. Ook jouw klanten en medewerkers! Is jouw privacyverklaring niet op orde? Dan roept dat vragen of zelfs frustratie op. Toch hebben nog (te) veel organisaties hun privacyverklaring niet op orde. Daarom hieronder de 3 meeste gemaakte fouten.
1. Een kant en klare privacyverklaring van internet (gratis of gekocht)
Een kant en klare privacyverklaring is onzin. Onmogelijk. Waarom? Geen organisatie is hetzelfde. Zelfs als je het template aanpast, ga je belangrijke zaken missen. Het is alsof je je jaarrekening van internet plukt en alleen je banksaldi in de balans aanpast. Een privacyverklaring is eigenlijk niets anders dan je verwerkingsregister (zie dit als je boekhouding) samengevat en in normale mensentaal uitgeschreven. Je boekhouding is toch ook niet hetzelfde als die van een concullega? Tip van ons: start bij het begin, je verwerkingsregister.
2. Een te algemene privacyverklaring
De privacyverklaring is bedoeld om anderen te informeren, zodat ze snappen welke persoonsgegevens je wanneer van ze verwerkt en waarom.
We zien vaak dat organisaties een tekst in de privacyverklaring hebben staan als: “We verwerken je NAW, geboortedatum, emailadres, (…) als je klant bij ons wordt. Soms verwerken we je gegevens met toestemming en in andere gevallen omdat we een wettelijke plicht hebben. We geven deze gegevens in bepaalde gevallen door aan anderen en bewaren ze niet langer dan noodzakelijk”.
Dat is niet informeren. Je weet als lezer nog helemaal niets. Ook mist in deze privacyverklaringen vaak een hele hoop verwerkingen. De oorzaak: ook weer het gaan werken vanuit het eindpunt, de privacyverklaring. Start bij het verwerkingsregister.
3. Een sterk verouderde privacyverklaring
Regelmatig zien we privacyverklaringen met als publicatiedatum een datum uit 2018 of 2019. Het is bijna onmogelijk dat er in de tussentijd helemaal niets is veranderd. Misschien denk je dat dat zo is. Maar als je kritisch gaat kijken is er toch vaak een verwerker gewijzigd, een nieuwe activiteit bijgekomen of een bewaartermijn aangepast. Of de wet is gewijzigd, waardoor je privacyverklaring niet meer klopt. Check je privacyverklaring (of eigenlijk liever: je verwerkingsregister) minimaal 1x per half jaar.
En de bonus: de vergeten interne privacyverklaring
Veel bedrijven vergeten dat ze ook hun medewerkers moeten informeren over welke persoonsgegevens ze als werkgever verwerken. Dat doe je natuurlijk niet in de privacyverklaring die je op je website zet. Hiervoor maak je een aparte interne privacyverklaring. Die verstrek je vóórdat iemand bij jou in dienst treedt. En houd ook deze actueel!
En nu?
Moeite met het opstellen of actueel houden van je privacyverklaring? Of denk je dat dit veel werk is? Neem dan contact met ons op: onze AVG-tool Caris doet dit namelijk voor je. Op maat gemaakt, volledig en blijvend actueel.
