Wanneer voldoet een privacyverklaring aan de AVG verplichting?

Als je in Nederland persoonsgegevens ‘verwerkt’, dan is de Algemene Verordening Gegevensbescherming (AVG) op jouw van toepassing. In de AVG staan allerlei verplichtingen waaraan organisaties moeten voldoen. Één van de verplichtingen in de AVG is de plicht om betrokkenen (zoals klanten) te informeren over hoe (en waarom) zijn/haar gegevens worden verwerkt. In deze blog lees je wat valt onder het verwerken van persoonsgegevens, wat de informatieplicht inhoudt en hoe je het beste eraan kan voldoen.

Wat zijn persoonsgegevens?
Volgens de AVG zijn dat alle gegevens die direct iets zeggen over een persoon (bijv. naam, e-mailadres, geslacht), of zelfs gegevens die indirect iets zeggen over een persoon (bijv. het type woning, werkplek, etc.). Iets is echter pas een persoonsgegeven als met de informatie, of de combinatie van gegevens een bepaald persoon kan worden geïdentificeerd.

Gevoelige gegevens als iemands ras, godsdienst of gezondheid worden bijzondere persoonsgegevens genoemd. Het is verboden om deze überhaupt te verwerken, tenzij er een wettelijke uitzondering is.

Wat is verwerken?
Eigenlijk alles wat je met persoonsgegevens kan doen, dus: het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, wissen en vernietigen van gegevens.

Concreet zijn bijvoorbeeld het opslaan van beelden van beveiligingscamera’s, het verzamelen van IP-adressen en zelfs het verwijderen van personeelsdossiers verwerkingen volgens de AVG.

Waarover moet je informeren?
Volgens de AVG moet je ‘betrokkenen’, zoals je klanten, in duidelijke taal informeren over onder andere:

Wie jij bent als ‘verwerkingsverantwoordelijke’;
Jouw wettelijke grondslag;
Jouw doeleinden;
Waar de persoonsgegevens heen gaan;
De bewaartermijnen;
De rechten van de betrokkene;
Wat de rechten zijn van de klant;
Etc.

Hoe moet je informeren?
In de praktijk is een online privacyverklaring de handigste manier om aan de informatieplicht te voldoen. Hierin kan je onder andere bovenstaande informatie opsommen en je betrokkenen het makkelijkste bereiken. Ook de Autoriteit Persoonsgegevens (AP) raadt deze manier van informeren aan.

Is een privacyverklaring verplicht?
Ja. Een organisatie in Nederland is verplicht om nieuwe en bestaande klanten duidelijk te informeren over wat je met diens persoonsgegevens doet en waarom. De Autoriteit Persoonsgegevens (AP) houdt hierop toezicht.

Onlangs heeft de AP nog boetes uitgedeeld voor het niet goed naleven van de informatieplicht uit de AVG, ter hoogte van 750.000 euro en 525.000 euro. Overigens hadden de 2 organisaties die in kwestie beboet werden allebei een privacyverklaring, alleen voldeden deze niet aan de strenge eisen van de AVG.

Kan iemand anders jouw privacyverklaring opstellen?
De inhoud van een privacyverklaring is enorm afhankelijk van de desbetreffende organisatie. Om deze op te stellen heb je grondige kennis nodig van de AVG en van het bedrijf in kwestie. Van der Drift heeft ruime ervaring in het opstellen van privacyverklaringen. Aan de hand van een (video)gesprek met efficiënte en gerichte vragen kan een volledig profiel worden samengesteld van de organisatie, inclusief de evt. privacy risico’s. Op basis van dat profiel kan een nauwkeurige privacyverklaring worden opgesteld die volledig compliant is met de AVG. In de meeste gevallen zijn de kosten voor het opstellen van een privacyverklaring beperkt.

Bel 06-57298950, vul het contactformulier in, of e-mail info@vanderdriftlegal.com voor een kostenindicatie of een vrijblijvend gesprek over wat de AVG voor invloed heeft op jouw organisatie.