Wat moet er in een privacyverklaring staan?

De vaste onderdelen van een privacyverklaring

Een privacyverklaring vermeldt in de meeste gevallen wie de gegevens verwerkt, waarom, en welke rechten de betrokkene daarbij heeft. Concreet gaat het om de identiteit en contactgegevens van de organisatie die de gegevens verwerkt, en om de contactgegevens van een functionaris gegevensbescherming als die is aangewezen. Daarnaast staat erin voor welke doelen de gegevens worden gebruikt en op welke wettelijke grondslag dat gebeurt — denk aan uitvoering van een overeenkomst, een wettelijke verplichting, of een gerechtvaardigd belang, waarbij dat laatste belang dan ook wordt benoemd.

Verder hoort in de verklaring te staan aan wie de gegevens worden doorgegeven, of ze naar een land buiten de EU gaan, en hoe lang ze worden bewaard — of, als een vaste termijn niet te geven is, welke criteria daarvoor worden gebruikt. Ook de rechten van de betrokkene komen terug: inzage, correctie, verwijdering, beperking, bezwaar, overdraagbaarheid, en de mogelijkheid om een gegeven toestemming weer in te trekken. Tot slot vermeldt de verklaring het recht om een klacht in te dienen bij de toezichthouder, en — als dat aan de orde is — of het verstrekken van gegevens een wettelijke of contractuele verplichting is en wat de gevolgen zijn als iemand dat niet doet, plus of er sprake is van geautomatiseerde besluitvorming of profilering.

Dit staat in artikel 13 van de AVG

Deze opsomming volgt rechtstreeks uit artikel 13 van de AVG, dat voorschrijft welke informatie een organisatie geeft op het moment dat zij persoonsgegevens bij de betrokkene zelf verzamelt. De AVG is een verordening en deze eisen gelden dus inhoudelijk gelijk in elke lidstaat; wat verschilt, is bij welke toezichthouder het genoemde klachtrecht in de praktijk wordt ingevuld — in Nederland de Autoriteit Persoonsgegevens, in Duitsland de toezichthouder van de deelstaat waar de vestiging staat. Voor de volledige tekst van de bepaling en voor nadere duiding kan de verordening zelf worden geraadpleegd, en voor de Nederlandse praktijk de website van de Autoriteit Persoonsgegevens.