Hoe vaak je je privacybeleid bijwerkt en gebruikers informeert

De meeste updates komen voort uit je eigen product, niet uit nieuwe wetten. Werk het beleid bij voordat, of op hetzelfde moment dat, een van deze wijzigingen live gaat:

• Een dienstverlener toevoegen of vervangen die persoonsgegevens ontvangt, zoals een analytics-, e-mail-, betaal-, support- of hostingdienst
• Een nieuwe SDK, pixel of tag installeren, vooral voor advertenties of attributie
• Een nieuwe gegevenscategorie verzamelen, zoals locatie, contacten, foto's, gezondheidsinformatie of spraakopnames
• Bestaande gegevens gebruiken voor een nieuw doel, zoals personalisatie, advertenties of het trainen van een AI-model
• AI-functies lanceren die gebruikerscontent naar een modelaanbieder sturen
• Beginnen met het verkopen of delen van gegevens of het gebruiken ervan voor gerichte advertenties
• Uitbreiden naar een nieuw land of een nieuwe Amerikaanse staat, of de toepassingsdrempel van een wet overschrijden
• Bewaartermijnen, opslaglocaties of internationale doorgiften wijzigen
• Je bedrijfsnaam, adres, contactgegevens of privacycontactpersoon wijzigen
• Wijzigen hoe gebruikers hun rechten uitoefenen, zoals een nieuw verzoekformulier of een nieuwe instellingenpagina

Een handige gewoonte is om “impact op het privacybeleid?” aan je releasechecklist toe te voegen. Is het antwoord ja, dan gaat de wijziging van het beleid samen met de functie live.

Slechts één grote wet stelt een vaste termijn, maar verschillende wetten stellen verwachtingen die op hetzelfde neerkomen:

• CCPA: Civil Code section 1798.130(a)(5) verplicht bedrijven die eronder vallen om bepaalde informatie in hun online privacybeleid op te nemen en die informatie minstens eens per 12 maanden bij te werken. De CCPA-regelgeving vereist ook dat het beleid de datum van de laatste wijziging toont.
• CalOPPA: het beleid moet de ingangsdatum vermelden en beschrijven hoe gebruikers op de hoogte worden gebracht van wezenlijke wijzigingen.
• AVG: er is geen vaste termijn, maar de informatie die je mensen geeft, moet juist zijn, en Europese richtlijnen over transparantie benadrukken dat de verantwoordingsplicht gedurende de hele levenscyclus van de verwerking geldt, niet alleen op het moment van verzamelen.
• Australië: APP 1 vereist een duidelijk geformuleerd en actueel privacybeleid.

In de praktijk levert dit een eenvoudige regel op: controleer minstens eens per 12 maanden en werk direct bij als je werkwijze verandert. Een jaarlijkse controle waarbij niets hoeft te veranderen, is toch de moeite waard om vast te leggen, omdat die laat zien dat het beleid actief wordt onderhouden. Voor specifiek Californische inhoud, zie de gids over een privacybeleid volgens CCPA en CPRA.

Niet elke aanpassing hoeft te worden aangekondigd. De transparantierichtlijnen van de Artikel 29-werkgroep, onderschreven door het Europees Comité voor gegevensbescherming, raden aan om de impact op mensen af te wegen, inclusief hun mogelijkheid om hun rechten uit te oefenen, en hoe onverwacht of verrassend de wijziging zou zijn.

De richtlijnen geven concrete voorbeelden. Wijzigingen die altijd moeten worden gecommuniceerd, zijn onder meer:

• Een wijziging van het doel van de verwerking
• Een wijziging van de identiteit van de verwerkingsverantwoordelijke
• Een wijziging in hoe mensen hun rechten kunnen uitoefenen

Het verbeteren van spelfouten of stilistische en grammaticale verbeteringen worden niet als inhoudelijk beschouwd. Daartussen moet je zelf een afweging maken. Een nieuwe advertentiepartner toevoegen, beginnen met internationale doorgiften of gegevens gebruiken om AI-modellen te trainen, zijn het soort wijzigingen dat de meeste lezers belangrijk zouden vinden. Een bestaande zin verduidelijken zonder de betekenis te veranderen, is dat meestal niet.

Twijfel je, behandel de wijziging dan als wezenlijk. Een bescheiden wijziging te uitgebreid communiceren kost weinig; stilletjes een ingrijpende wijziging invoeren kan het vertrouwen schaden en de aandacht van toezichthouders trekken.

Bij wezenlijke wijzigingen is het aanpassen van de datum bovenaan de pagina niet genoeg. De Europese transparantierichtlijnen zeggen dat een kennisgeving een passende vorm moet hebben, zoals een e-mail, een brief of een pop-up, die aan de wijzigingen is gewijd en niet is vermengd met marketingcontent, en dat uitspraken waarin mensen wordt gevraagd “het privacybeleid regelmatig op wijzigingen te controleren” niet alleen als onvoldoende maar ook als oneerlijk worden beschouwd. Bij fundamentele wijzigingen, zoals nieuwe categorieën ontvangers of nieuwe doorgiften buiten de regio, raden ze aan dit ruim van tevoren te melden, zodat mensen de wijziging kunnen overwegen en hun rechten kunnen uitoefenen.

Een praktisch plan voor de kennisgeving:

1. Publiceer de nieuwe versie met de ingangsdatum en houd de oude versie beschikbaar
2. Mail accounthouders een korte, heldere samenvatting van wat er verandert en waarom
3. Toon ingelogde gebruikers een melding in de app of op de site
4. Leg de waarschijnlijke gevolgen uit en welke keuzes mensen hebben, zoals afmelden
5. Geef een redelijke termijn voordat de wijzigingen ingaan

Voorbeeldtekst: “Vanaf 1 maart gebruiken we een nieuwe e-mailprovider die in de Verenigde Staten is gevestigd. Je nieuwsbriefgegevens worden doorgegeven op basis van modelcontractbepalingen. Je kunt je op elk moment afmelden.”

Sommige wijzigingen vereisen meer dan een kennisgeving. Ben je van plan persoonsgegevens voor een nieuw doel te gebruiken, dan verplicht artikel 13, lid 3, AVG je om mensen te informeren voordat die verdere verwerking begint, en als de verwerking op toestemming berust, heb je toestemming nodig die het nieuwe doel dekt. De richtlijnen waarschuwen ook dat transparantie een wijziging niet goedmaakt die zo ingrijpend is dat de verwerking een totaal ander karakter krijgt.

Amerikaanse toezichthouders denken er net zo over. In een bericht uit 2024 waarschuwden medewerkers van de FTC dat een bedrijf dat ruimere gegevenspraktijken invoert en mensen alleen informeert via een heimelijke, terugwerkende wijziging van zijn servicevoorwaarden of privacybeleid, zich mogelijk schuldig maakt aan oneerlijk of misleidend gedrag. Het bericht verwijst naar eerdere zaken, waaronder een zaak waarin een bedrijf zijn privacybeleid wijzigde om gegevens met derden te delen zonder consumenten te informeren of hun toestemming te vragen.

Een veilige standaard voor ingrijpende wijzigingen:

• Pas nieuwe praktijken alleen toe op gegevens die na de wijziging zijn verzameld, of
• Vraag om duidelijke, actieve toestemming voordat je ze toepast op gegevens die je al hebt

Weet je niet zeker wat van toepassing is, vraag dan advies aan een gekwalificeerde advocaat voordat de wijziging live gaat.

Goed versiebeheer maakt elke toekomstige vraag makkelijker te beantwoorden. Je beleid hoort minimaal een ingangsdatum te tonen, wat CalOPPA vereist, en een datum van laatste wijziging, wat de CCPA-regelgeving vereist voor bedrijven die eronder vallen. Veel sites voegen ook een korte samenvatting van de wijzigingen toe, bovenaan of onderaan het beleid.

Houd achter de schermen een archief bij:

• Elke gepubliceerde versie, met de ingangsdatum en de datum waarop ze werd vervangen
• Een samenvatting van één regel over wat er veranderde en waarom
• Kopieën van alle kennisgevingen die je over wijzigingen hebt verstuurd, en wanneer
• De vastgelegde toestemmingen voor wijzigingen waarvoor toestemming nodig was

Met dit archief kun je laten zien welk beleid gold toen een gebruiker zich aanmeldde, de vraag van een toezichthouder of klant precies beantwoorden en geschillen oplossen over wat je destijds beloofde. Het maakt ook de jaarlijkse controle sneller, omdat je begint bij een overzicht van eerdere beslissingen in plaats van bij je geheugen.

Legal Policy Generator gebruikt versiebeheerde clausules die deterministisch op basis van je antwoorden worden geselecteerd. Pas je je antwoorden aan, dan verandert de opnieuw gegenereerde tekst dus alleen waar je feiten of de onderliggende clausuleversies zijn veranderd. Welke tool je ook gebruikt, bewaar je eigen kopieën.

Ook wetten veranderen, en verschillende recente ontwikkelingen kunnen gevolgen hebben voor je beleid:

• Amerikaanse staten: brede privacywetten in Indiana, Kentucky en Rhode Island traden op 1 januari 2026 in werking. Daarmee groeit de lijst met staten die opt-outrechten kennen voor gerichte advertenties, verkoop en profilering. De gids over privacywetten van Amerikaanse staten vat de gebruikelijke informatie samen.
• Californië: bijgewerkte CCPA-regelgeving trad op 1 januari 2026 in werking, met regels over technologie voor geautomatiseerde besluitvorming, risicobeoordelingen en cybersecurityaudits, met gefaseerde nalevingsdata.
• Kinderen: de gewijzigde COPPA Rule werd in april 2025 gepubliceerd, met herziene eisen voor kennisgeving en toestemming.
• Verenigd Koninkrijk: de Data (Use and Access) Act 2025 wordt gefaseerd in werking gesteld en wijzigt delen van het Britse gegevensbeschermingskader, zoals behandeld in de gids over een privacybeleid volgens de UK GDPR.
• Nieuw-Zeeland: de Privacy Amendment Act 2025 voegde een nieuw beginsel toe over het informeren van mensen wanneer informatie indirect wordt verzameld.

Je hoeft niet elk wetsvoorstel te volgen. Raadpleeg in plaats daarvan bij elke jaarlijkse controle officiële bronnen voor de regio's die je bedient, en abonneer je op updates van de toezichthouders die voor je publiek belangrijk zijn.

Zet een terugkerende afspraak in je agenda en doorloop deze routine elk jaar, of eerder na een grote release:

1. Voer je data-inventaris opnieuw uit: formulieren, accounts, SDK's, tags, dienstverleners en AI-functies
2. Vergelijk die met het beleid: is er iets nieuw, verwijderd of anders beschreven?
3. Controleer dienstverleners: bevestig namen, rollen, locaties en eventuele waarborgen voor doorgifte
4. Controleer regio's: bedien je nu een nieuw land of een nieuwe staat, of overschrijd je een drempel zoals die van de CCPA?
5. Raadpleeg officiële bronnen: zoek naar nieuwe wetten of richtlijnen in elke regio die je bedient
6. Test verzoeken om rechten uit te oefenen: stuur een testverzoek via elke route die het beleid noemt
7. Vergelijk met toestemmingstools en storelabels: de banner, de privacylabels in de App Store en het Data safety-formulier van Google Play moeten overeenkomen met het beleid
8. Werk bij en leg vast: publiceer wijzigingen met een nieuwe datum, archiveer de oude versie en informeer gebruikers als de wijziging wezenlijk is

Veranderde er niets, leg dan vast dat de controle heeft plaatsgevonden. Wil je het beleid opnieuw opbouwen op basis van bijgewerkte antwoorden, dan kun je met de privacybeleid generator het resultaat gratis bekijken voordat je publiceert. Voor het bredere proces van het schrijven van elke sectie, zie een privacybeleid schrijven.