Wat er gebeurt als je geen privacybeleid hebt

Merk je dat je gegevens hebt verzameld zonder beleid, pak het dan methodisch aan in plaats van in paniek:

1. Inventariseer elk formulier, elke accountfunctie, elke analytics- of advertentietag, elke SDK en elke dienstverlener die met persoonsgegevens werkt
2. Stel een beleid op dat die feiten juist beschrijft, inclusief de regionale secties die je publiek vereist
3. Controleer je toestemmingsinstellingen, zodat cookies en trackers waarvoor toestemming nodig is niet afgaan voordat gebruikers akkoord gaan
4. Publiceer het beleid op een vaste URL en link ernaar vanuit je footer, formulieren, app-instellingen en storevermeldingen
5. Werk je vermeldingen in de App Store, Google Play en op andere platforms bij met de nieuwe link
6. Stel een ingangsdatum in en houd een archief bij, zodat toekomstige versies herleidbaar zijn
7. Vraag juridisch advies als je gevoelige gegevens of gegevens van kinderen verwerkt, een klacht hebt ontvangen of door een toezichthouder bent benaderd

De gids een privacybeleid schrijven behandelt elke stap uitgebreid. Wil je sneller beginnen, dan neemt de privacybeleid generator je mee door dezelfde inventaris en kun je het volledige beleid gratis en zonder account bekijken.

Er is geen wereldwijde wet, maar als je online persoonsgegevens verzamelt, is vrijwel zeker minstens één regel op jou van toepassing. De belangrijkste:

• AVG en UK GDPR: gelden voor organisaties die in de EU of het VK zijn gevestigd en voor organisaties daarbuiten die goederen of diensten aanbieden aan mensen daar, of hun gedrag volgen. De artikelen 13 en 14 vereisen specifieke informatie bij het verzamelen van gegevens.
• CalOPPA: verplicht elke exploitant van een commerciële website of onlinedienst die persoonlijk identificeerbare informatie van inwoners van Californië verzamelt om duidelijk zichtbaar een privacybeleid te plaatsen, zonder omzetdrempel.
• CCPA: vereist een gedetailleerd privacybeleid van commerciële bedrijven die een van de drempels halen, zoals een jaarlijkse bruto-omzet boven $26.625.000, zoals aangepast per 1 januari 2025.
• Andere Amerikaanse staten en COPPA: veel staten hebben brede privacywetten, en COPPA vereist een online kennisgeving voor diensten die gericht zijn op kinderen jonger dan 13.
• Canada, Brazilië, Australië, Nieuw-Zeeland: PIPEDA, de LGPD en de Australische en Nieuw-Zeelandse Privacy Acts vereisen elk openheid over hoe met persoonsgegevens wordt omgegaan.

De gids heb ik een privacybeleid nodig loopt elke situatie uitgebreider met je door.

Ja, en dit is vaak het eerste gevolg waar ontwikkelaars tegenaan lopen. Apples App Review-richtlijn 5.1.1(i) stelt dat alle apps een link naar hun privacybeleid moeten bevatten in het metadataveld van App Store Connect en op een gemakkelijk toegankelijke plek in de app. Het User Data-beleid van Google Play zegt dat alle apps een link naar het privacybeleid moeten plaatsen in Play Console en in de app, en dat apps die geen persoonlijke of gevoelige gebruikersgegevens openen er toch een moeten indienen.

Zonder beleid wordt een nieuwe inzending waarschijnlijk afgewezen, en een bestaande app kan bij een latere review te maken krijgen met handhaving. De handhaving van Google Play kan bestaan uit afwijzing, verwijdering en schorsing, en ernstige of herhaalde overtredingen kunnen het ontwikkelaarsaccount in gevaar brengen. Het beleid moet ook overeenkomen met de privacylabels en het Data safety-formulier die je indient.

Publiceer je een mobiele app, dan noemen de gidsen over het privacybeleid voor Google Play en het privacybeleid voor de Apple App Store de precieze eisen van elke store.

Veel tools waarop je vertrouwt, maken een privacybeleid een contractuele voorwaarde voor het gebruik ervan. De voorwaarden van Google Analytics verplichten je bijvoorbeeld om een privacybeleid te publiceren dat vermeldt dat je cookies, mobiele identificatoren of vergelijkbare technologie gebruikt, en dat je Google Analytics gebruikt en hoe het gegevens verzamelt en verwerkt. Advertentieprogramma's vereisen vaak vergelijkbare informatie over cookies en advertentiepersonalisatie, en e-mailplatforms verwachten dat verzenders uitleggen hoe abonneegegevens worden gebruikt.

Schend je de voorwaarden van een aanbieder, dan kan die op basis van diezelfde voorwaarden meestal je toegang beperken, opschorten of beëindigen. Voor een bedrijf dat afhankelijk is van advertentie-inkomsten of een marketinglijst kan het verlies van een account ontwrichtender zijn dan een brief van een toezichthouder, omdat het gebeurt zonder hoorzitting en het tijd kan kosten om het terug te draaien.

De oplossing is eenvoudig: vermeld elke tool die je gebruikt in je beleid, op de manier die de voorwaarden ervan vereisen. De gidsen over de eisen voor een privacybeleid met Google Analytics en een privacybeleid met AdSense laten zien welke onderwerpen elke aanbieder verwacht.

Niet elk gevolg komt van een toezichthouder. Zakelijke klanten vragen standaard om een privacybeleid tijdens de inkoop en bij beveiligingsbeoordelingen van leveranciers. Een ontbrekend beleid, of een beleid dat duidelijk niet je product beschrijft, roept vragen op die deals vertragen of tegenhouden, vooral bij grotere klanten met eigen privacyverplichtingen.

Andere praktische gevolgen worden makkelijk onderschat:

• Partner- en integratieprogramma's, zoals inloggen met Google of stores voor browserextensies, vereisen vaak een URL naar het beleid vóór goedkeuring
• Betaal-, e-mail- en marketingaanbieders verwachten dat verkopers uitleggen hoe met klantgegevens wordt omgegaan
• Investeerders en overnemers bekijken de privacydocumentatie tijdens een due diligence
• Gebruikers zoeken steeds vaker naar een privacylink voordat ze een e-mailadres of kaartnummer afgeven

Geen van deze gevolgen gaat gepaard met een boete, maar elk ervan kan meer kosten aan gemiste omzet en vertraging dan de tijd die nodig is om een juist beleid te publiceren. Een duidelijk, eerlijk beleid is bovendien een stil vertrouwenssignaal op elke pagina van je site.

De AVG behandelt transparantie als een kernverplichting. Onder artikel 83, lid 5, kunnen inbreuken op de bepalingen over de rechten van betrokkenen in de artikelen 12 tot en met 22, waaronder de informatie die je mensen moet geven, leiden tot administratieve geldboetes van maximaal €20 miljoen of 4% van de totale wereldwijde jaaromzet in het voorafgaande boekjaar, als dat hoger is. De UK GDPR legt het overeenkomstige maximum op £17,5 miljoen of 4%.

Dat zijn plafonds, geen vertrekpunten. Artikel 83, lid 2, verplicht autoriteiten om rekening te houden met de aard, ernst en duur van de inbreuk, het aantal getroffen personen, of de inbreuk opzettelijk of uit nalatigheid is gepleegd, de maatregelen om schade te beperken en de medewerking van de organisatie. Boetes moeten doeltreffend, evenredig en afschrikkend zijn.

Boetes zijn ook niet het enige middel. Op grond van artikel 58 kunnen toezichthoudende autoriteiten waarschuwingen en berispingen geven, je bevelen de verwerking in overeenstemming te brengen met de AVG, je bevelen informatie aan de betrokkenen te verstrekken en een tijdelijke of definitieve beperking van de verwerking opleggen, waaronder een verbod. Voor een klein bedrijf kan een bevel om een marketingpraktijk te stoppen zwaarder wegen dan de theoretische maximale boete.

Californië heeft twee overlappende regimes. De CCPA geldt voor commerciële bedrijven die zaken doen in Californië en een drempel halen, zoals een jaarlijkse bruto-omzet boven $26.625.000, het kopen, verkopen of delen van de persoonsgegevens van 100.000 of meer consumenten of huishoudens, of het verdienen van minstens de helft van de jaaromzet met het verkopen of delen van persoonsgegevens. Na de aanpassing van januari 2025, aangekondigd door de California Privacy Protection Agency, kunnen administratieve boetes en civiele sancties oplopen tot $2.663 per overtreding of $7.988 per opzettelijke overtreding of per overtreding met persoonsgegevens van consumenten van wie het bedrijf weet dat ze jonger zijn dan 16. De Agency handhaaft bestuursrechtelijk en de Attorney General kan civiele procedures starten.

CalOPPA kent geen omvangsdrempel. Een exploitant overtreedt de wet als hij niet binnen 30 dagen nadat hij op de niet-naleving is gewezen een conform beleid plaatst. CalOPPA bevat zelf geen boetebedragen, maar overtredingen kunnen worden vervolgd onder de Californische Unfair Competition Law, waar civiele sancties onder Business and Professions Code section 17206 kunnen oplopen tot $2.500 per overtreding.

Bedragen per overtreding lopen snel op als ze per gebruiker of per download worden geteld. De gids over CCPA en CPRA legt uit wat de Californische informatie moet bevatten.

De Verenigde Staten hebben geen algemene federale wet die elk bedrijf verplicht een privacybeleid te publiceren. De Federal Trade Commission Act verbiedt echter oneerlijke of misleidende handelingen of praktijken in de handel, en de FTC gebruikt die bevoegdheid al jaren tegen bedrijven waarvan de privacyverklaringen misleidend waren of waarvan de praktijken gedane beloftes schonden. Schikkingen leggen vaak langdurige verplichtingen op, zoals privacyprogramma's, onafhankelijke beoordelingen en rapportages, en het overtreden van een FTC-bevel kan leiden tot civiele sancties.

Voor diensten voor kinderen geldt een strengere regel. De COPPA Rule verplicht exploitanten van websites en onlinediensten die gericht zijn op kinderen jonger dan 13, of die daadwerkelijk weten dat ze persoonsgegevens van zulke kinderen verzamelen, om een online privacykennisgeving te plaatsen en verifieerbare ouderlijke toestemming te verkrijgen. Volgens de COPPA-richtlijnen van de FTC kan een rechter overtreders aansprakelijk stellen voor civiele sancties tot $53.088 per overtreding, een bedrag dat voor inflatie wordt gecorrigeerd.

De les is dat zowel zwijgen als onjuistheid risico's meebrengt. Geen beleid hebben voorkomt geen onderzoek door de FTC als je praktijken oneerlijk zijn, en een beleid dat iets verkeerds zegt, creëert een eigen misleidingsprobleem.

Zitten je gebruikers in deze landen, dan verwachten ook hun wetten openheid over de omgang met gegevens:

• Canada: het openheidsbeginsel van PIPEDA verplicht organisaties om informatie over hun beleid en praktijken direct beschikbaar te stellen. Het Office of the Privacy Commissioner onderzoekt klachten, en Law 25 van Quebec voegt eigen publicatieplichten toe.
• Brazilië: de LGPD geeft mensen recht op duidelijke informatie over verwerking. De sancties omvatten waarschuwingen en boetes tot 2% van de omzet van een bedrijf in Brazilië, met een maximum van R$50 miljoen per overtreding.
• Australië: entiteiten die onder de Privacy Act vallen, doorgaans bedrijven met een jaaromzet boven A$3 miljoen plus enkele kleinere, moeten onder APP 1 een duidelijk geformuleerd en actueel privacybeleid hebben. De OAIC kan onderzoek doen en civiele sancties eisen voor ernstige inbreuken op de privacy.
• Nieuw-Zeeland: de Privacy Act 2020 verplicht organisaties om mensen te informeren over het verzamelen van gegevens, en de Privacy Commissioner kan klachten onderzoeken en nalevingsbevelen uitvaardigen.

De details verschillen, dus bekijk de overzichtspagina met privacywetten voor elk land dat je bedient.