Kopiëren-plakken van een privacyverklaring van een concurrent: het gebeurt nog te vaak, maar brengt aanzienlijke risico’s met zich mee. De Gegevensbeschermingsautoriteit (GBA) kijkt bij controles immers verder dan mooie juridische clausules. Een tekst die online belooft dat gegevens na zes maanden worden gewist terwijl ze in werkelijkheid jarenlang in back-ups blijven circuleren, vormt een rechtstreekse inbreuk op het verantwoordingsbeginsel (accountability).Transparantie vereist dat theorie en praktijk perfect op elkaar aansluiten.
Privacyverklaring vs. privacybeleid: een belangrijk onderscheid
Vaak worden beide termen op één hoop gegooid, maar juridisch dienen ze een ander doel:
- De privacyverklaring (extern): Het publiek toegankelijke document waarin u klanten, websitebezoekers of sollicitanten informeert over de verwerking van hun persoonsgegevens (de informatieplicht conform artikelen 13 en 14 GDPR).
- Het privacybeleid (intern): De interne richtlijnen en beveiligingsprocedures die medewerkers voorschrijven hoe zij in het dagelijkse werk vertrouwelijk met data moeten omgaan.
Wat moet er verplicht in een conforme privacyverklaring staan?
De GDPR stelt strikte eisen aan de informatie die u aan betrokkenen moet verstrekken:
- Identiteit en contactgegevens: Wie is de verwerkingsverantwoordelijke? Is er een Data Protection Officer (DPO) of privacy-aanspreekpunt aangesteld, dan moeten diens contactgegevens duidelijk vermeld zijn.
- Doeleinden én rechtsgronden: Voor welk specifiek doel verzamelt u gegevens, en op welke wettelijke basis (art. 6 GDPR) steunt dit? (Bijvoorbeeld: uitvoering van een overeenkomst, wettelijke verplichting, gerechtvaardigd belang of expliciete toestemming).
- Bewaartermijnen of -criteria: Gegevens mogen niet oneindig bewaard worden. Vermeld concrete termijnen (bijv. 7 jaar voor boekhoudkundige data) of geef heldere criteria aan op basis waarvan de termijn wordt bepaald.
- Ontvangers en doorgifte buiten de EER: Aan welke derde partijen worden gegevens doorgegeven (zoals externe softwareleveranciers, payroll-partners of cloudproviders)? Indien data de Europese Economische Ruimte verlaat (bijv.naar de VS), moet vermeld worden welke waarborgen (zoals Standard Contractual Clauses) gelden.
- Rechten van de betrokkene: Leg uit hoe individuen hun recht op inzage, rectificatie, gegevenswissing (recht op vergetelheid), beperking en overdraagbaarheid kunnen uitoefenen. Vermeld uitdrukkelijk dat toestemming te allen tijde kan worden ingetrokken en dat men een klacht kan indienen bij de Belgische GBA.
Het risico van de praktijkkloof
Een juridisch vlekkeloze privacyverklaring beschermt niet als de interne bedrijfsvoering achterblijft. Uw externe communicatie moet naadloos sporen met:
- Uw interne verwerkingsregister (art. 30 GDPR).
- De verwerkersovereenkomsten (DPA’s) die u heeft gesloten met IT-dienstverleners en partners.
- De gehanteerde technische en organisatorische beveiligingsmaatregelen.
Extra waakzaamheid voor specifieke sectoren
Voor overheden, zorginstellingen, lokale besturen of scholen liggen de risico’s nog hoger. Door de verwerking van gevoelige gegevens (zoals gezondheidsdata of rijksregisternummers) gelden aanvullende verplichtingen:
- De verplichte aanstelling van een gecertificeerde Functionaris voor Gegevensbescherming (DPO).
- Het uitvoeren van een Gegevensbeschermingseffectbeoordeling (DPIA) vóór de start van risicovolle projecten.
- Verhoogde vereisten rond logging en toegangsbeheer.
Uw privacy-documenten en GDPR-compliance laten auditeren?
Twijfelt u of uw huidige privacyverklaring nog overeenstemt met uw verwerkingsactiviteiten, of zoekt u tijdelijke ondersteuning van een gespecialiseerde privacy jurist of interim DPO?
Het legal team van Nonzerosum helpt u bij het opstellen, auditeren en praktisch implementeren van uw GDPR-documenten. Neem contact met ons op voor een gericht adviesgesprek.
