Wat moet er in een privacyverklaring staan?

Contactgegevens, doeleinden en rechten vormen de kern

Een privacyverklaring bevat in de meeste gevallen wie de verwerkingsverantwoordelijke is, met naam en contactgegevens, en voor welke doeleinden persoonsgegevens worden verwerkt. Daarbij hoort een vermelding van de wettelijke grondslag: gaat het om een overeenkomst, een wettelijke verplichting, een gerechtvaardigd belang of toestemming. Ook de categorieën van persoonsgegevens die worden verzameld — bijvoorbeeld naam, e-mailadres, betaalgegevens of surfgedrag — komen doorgaans terug, samen met een omschrijving van wie die gegevens ontvangt, zoals een boekhouder, een hostingpartij of een verzendpartner.

Verder is het gebruikelijk dat een privacyverklaring aangeeft hoe lang gegevens worden bewaard, of gegevens buiten de Europese Economische Ruimte worden doorgegeven, en welke rechten een betrokkene heeft: inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Een verwijzing naar de mogelijkheid om een klacht in te dienen bij de Autoriteit Persoonsgegevens hoort daar veelal bij, evenals — als die er is — de contactgegevens van een functionaris voor gegevensbescherming. Bij gegevens die niet rechtstreeks bij de betrokkene zijn verzameld, wordt vaak ook de bron van die gegevens genoemd.

Dit volgt uit artikel 13 en 14 van de AVG

Deze onderdelen zijn ontleend aan artikel 13 van de AVG, dat gaat over informatie die wordt verstrekt wanneer gegevens rechtstreeks bij de betrokkene worden verzameld, en artikel 14, dat ziet op de situatie waarin gegevens uit een andere bron komen. Beide artikelen sommen op welke informatie ten minste wordt verstrekt, zodat een betrokkene kan begrijpen wat er met zijn gegevens gebeurt. De Autoriteit Persoonsgegevens geeft op haar website nadere toelichting op hoe deze informatieplicht in de praktijk wordt ingevuld.