Zonder privacyverklaring ontbreekt op uw website het document waarin u uitlegt welke persoonsgegevens u verzamelt, waarvoor, en hoe lang. De AVG verplicht organisaties om bezoekers en klanten hierover vooraf te informeren; dat heet de informatieplicht. Ontbreekt die informatie, dan kunt u dus niet aantonen dat u aan die verplichting voldoet.
Wat er concreet gebeurt hangt af van wie het opmerkt. Een bezoeker kan een klacht indienen bij de Autoriteit Persoonsgegevens, een zakelijke klant kan er tijdens een aanbesteding naar vragen, en een betalingsprovider of advertentieplatform kan de koppeling met uw website weigeren zolang er geen privacyverklaring staat. Geen van deze situaties is denkbeeldig; ze komen voort uit voorwaarden die derde partijen zelf al stellen, los van wat een toezichthouder ooit zou doen.
Waarom een privacyverklaring meer is dan een formaliteit
Een privacyverklaring is het zichtbare bewijs van iets dat u toch al zou moeten weten: welke gegevens uw website verzamelt, via welke formulieren, cookies of analysetools, en met welk doel. Ontbreekt de verklaring, dan is de kans groot dat die inventarisatie zelf ook niet is gemaakt. Dat raakt niet alleen de website, maar ook het bredere beeld van hoe uw bedrijf met persoonsgegevens omgaat — iets wat ook naar voren komt zodra u een antwoord zoekt op een concrete AVG-vraag.
De EDPB en de Autoriteit Persoonsgegevens hebben richtsnoeren gepubliceerd over wat een privacyverklaring in elk geval moet bevatten, zoals de contactgegevens van de verwerkingsverantwoordelijke, de bewaartermijnen en de rechten van betrokkenen. Die richtsnoeren zijn geen wet, maar toezichthouders toetsen er wel aan wanneer zij beoordelen of aan de informatieplicht is voldaan.
Wat er in de praktijk gebeurt als de verklaring ontbreekt
De meest directe gevolgen spelen zich zelden af bij een toezichthouder, maar bij de partijen waarmee u zaken doet. Een verzekeraar die een cyberpolis beoordeelt, vraagt vaak naar de privacyverklaring als onderdeel van het dossier. Een aanbestedende dienst kan hetzelfde doen. En een bezoeker die zich afvraagt wat er met een ingevuld contactformulier gebeurt, kan bij gebrek aan uitleg besluiten geen zaken met u te doen, of een klacht indienen.
Daarnaast is een ontbrekende privacyverklaring vaak een signaal dat ook andere onderdelen niet op orde zijn: geen overzicht van welke SaaS-tools persoonsgegevens verwerken, geen verwerkersovereenkomsten met leveranciers, geen vastgelegde bewaartermijnen. Dat is precies het soort samenhang dat een kennisbank met uitleg per AVG-onderwerp inzichtelijk maakt: de privacyverklaring staat zelden op zichzelf.
De rol van de toezichthouder
De Autoriteit Persoonsgegevens kan optreden wanneer de informatieplicht niet wordt nageleefd, maar hoe en wanneer dat gebeurt, hangt af van de omstandigheden van het geval en is niet op voorhand te voorspellen. Wat wel vaststaat, is dat het ontbreken van een privacyverklaring geen omissie is die vanzelf minder zichtbaar wordt naarmate een website meer bezoekers trekt — eerder het tegenovergestelde.
Of een klacht daadwerkelijk tot onderzoek leidt en wat de uitkomst daarvan zou zijn, is niet in algemene zin te zeggen. Voor de beoordeling van een specifieke situatie is een jurist of de Autoriteit Persoonsgegevens zelf het aangewezen aanspreekpunt.
Hoe u dit oplost
Het opstellen van een privacyverklaring vraagt om een helder overzicht van wat uw website daadwerkelijk verzamelt: contactformulieren, cookies, een webshop met bestelgegevens, een nieuwsbrief. Zodra dat overzicht er is, is de verklaring zelf meestal snel te schrijven. Voor de onderliggende vraag welke gegevens u eigenlijk verwerkt en via welke tools, helpt het om te kijken naar de manier waarop dat overzicht wordt opgebouwd, bijvoorbeeld via de manier waarop gegevens en systemen in kaart worden gebracht.
Een privacyverklaring is bovendien geen eenmalige tekst. Nieuwe formulieren, nieuwe tools of een nieuwe nieuwsbriefdienst veranderen wat er verzameld wordt, en dus ook wat er in de verklaring moet staan. Wie dat overzicht wil laten meelopen met wijzigingen in de website, kan dat vastleggen in een zakelijk account zodat het niet bij een eenmalige actie blijft.
Gdpria.eu biedt de generator voor een privacyverklaring gratis aan, net als de kennisbank en de andere basischecks. Wilt u weten waar uw bedrijf op dit moment staat, dan is de gratis quick-scan een goed startpunt om te zien welke onderdelen al op orde zijn en welke aandacht vragen.