Mag ik het privacybeleid van een ander kopiëren?

Andere beleidsteksten lezen is een verstandige manier om te leren. Het doel is opbouw en ideeën te lenen, nooit zinnen. Een praktische werkwijze:

1. Lees drie of vier beleidsteksten van bedrijven die op het jouwe lijken, waaronder minstens één die actief is in je belangrijkste markt
2. Noteer welke onderwerpen ze behandelen en in welke volgorde, niet hun formulering
3. Let op wat een beleid prettig leesbaar maakt, zoals samenvattingen, tabellen en duidelijke instructies voor verzoeken
4. Sluit die tabbladen en bouw je eigen data-inventaris op vanuit je product, formulieren en dienstverleners
5. Schrijf elke sectie in je eigen woorden op basis van die inventaris
6. Vergelijk je opzet met een checklist van verplichte inhoud om gaten te vinden
7. Controleer of je toestemmingsbanner, appstorelabels en beleid allemaal hetzelfde zeggen

Wil je dezelfde opbouw met minder handwerk, dan vraagt de privacybeleid generator in eenvoudige taal naar elk onderwerp en stelt hij de tekst samen uit een clausulebibliotheek met versiebeheer. Omdat de tekst op basis van je antwoorden wordt geselecteerd in plaats van van een derde te worden gekopieerd, beschrijft hij jouw product en niet dat van een ander.

Zelfs als auteursrecht geen rol speelde, beschrijft een gekopieerd beleid het bedrijf van een ander. Kijk wat er meestal misgaat als een kleine webshop het beleid van een groot softwarebedrijf kopieert:

• Het noemt de verkeerde rechtspersoon, het verkeerde adres en de verkeerde privacycontactpersoon
• Het noemt dienstverleners die de webshop niet gebruikt en laat de dienstverleners weg die hij wel gebruikt, zoals zijn betaalverwerker en e-mailplatform
• Het beschrijft functies die de webshop niet heeft, zoals mobiele apps, spraakassistenten of zakelijke accounts
• Het belooft verzoekprocedures, reactietijden en opt-outtools die de webshop nooit heeft gebouwd
• Het claimt rechtsgronden, gegevensdoorgiften en bewaartermijnen die niet overeenkomen met de werkelijkheid
• Het dekt regio's die de webshop niet bedient en mist de regio's die hij wel bedient

Elke afwijking is een onware uitspraak over hoe er met persoonsgegevens wordt omgegaan. Lezers kunnen hun rechten niet uitoefenen via contactgegevens van iemand anders, en iedereen die je product beoordeelt, van een appreviewer tot een zakelijke klant, ziet het verschil tussen het beleid en wat je site werkelijk doet.

Meestal wel. Een privacybeleid is geschreven tekst, en geschreven tekst is doorgaans auteursrechtelijk beschermd als oorspronkelijk werk. Volgens het U.S. Copyright Office valt een werk onder auteursrechtelijke bescherming op het moment dat het is gemaakt en in een tastbare vorm is vastgelegd, en registratie is over het algemeen vrijwillig. Het ontbreken van een copyrightvermelding in de footer betekent niet dat je de tekst zomaar mag overnemen.

Het auteursrecht heeft grenzen die hier belangrijk zijn. Het Copyright Office legt uit dat het auteursrecht geen feiten, ideeën, systemen of werkwijzen beschermt, en ook geen namen, titels, slogans of korte zinsneden. Dat betekent dat iedereen de onderwerpen van een privacybeleid vrij mag behandelen, zoals gegevenscategorieën, doelen, rechten en bewaring. Wat wel beschermd kan zijn, is de uitdrukking van een bepaalde auteur: de specifieke zinnen, keuzes in de opbouw en uitleg die hij of zij heeft geschreven.

De regels verschillen per land, en de meeste landen beschermen werken automatisch zonder registratie. Dit is een algemene uitleg, geen juridisch advies. De praktische les is eenvoudig: de ideeën hergebruiken is prima, terwijl iemands tekst integraal kopiëren een risico is dat je niet hoeft te nemen.

Dat kan, omdat een privacybeleid wordt gezien als een verzameling feitelijke beloftes. In de Verenigde Staten verbiedt Section 5 van de Federal Trade Commission Act oneerlijke of misleidende handelingen of praktijken in of met invloed op de handel, en de FTC heeft veel zaken aangespannen tegen bedrijven waarvan de privacyverklaringen niet overeenkwamen met hun werkelijke praktijken. De meeste staten hebben eigen consumentenbeschermingswetten voor vergelijkbaar gedrag.

Californië voegt daar een specifieke regel aan toe. CalOPPA verplicht commerciële websites en onlinediensten die persoonlijk identificeerbare informatie van inwoners van Californië verzamelen om een beleid met een vastgestelde inhoud te publiceren, en section 22576 maakt het een overtreding om je eigen gepubliceerde beleid niet na te leven, hetzij bewust en opzettelijk, hetzij nalatig en wezenlijk. Een gekopieerd beleid dat werkwijzen belooft die je niet volgt, is precies dat soort risico.

Het maakt niet uit dat de woorden door iemand anders zijn geschreven. Zodra je ze als jouw beleid publiceert, zijn het jouw uitspraken over je bedrijf, en ben jij ervoor verantwoordelijk dat ze kloppen.

Bedien je mensen in de Europese Economische Ruimte of het VK, dan maakt de AVG de eis van juistheid nog concreter. Artikel 13 verplicht je om bij het verzamelen het volgende te verstrekken: je identiteit en contactgegevens, de contactgegevens van een eventuele functionaris voor gegevensbescherming, de doelen en de rechtsgrond van de verwerking, de ontvangers, eventuele doorgiften buiten de regio en de bijbehorende waarborgen, bewaartermijnen of criteria, de beschikbare rechten en het recht om een klacht in te dienen bij een toezichthoudende autoriteit.

Een gekopieerd beleid faalt vanaf dag één op de meeste van deze punten. Het noemt een andere verwerkingsverantwoordelijke, beschrijft andere doelen en somt de verwerkers van een ander bedrijf op. Artikel 5, lid 1, onder a, vereist bovendien dat verwerking rechtmatig, behoorlijk en transparant is, en artikel 12 vraagt om informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm.

Inbreuken op de bepalingen over transparantie en rechten in de artikelen 12 tot en met 22 vallen in de hogere boetecategorie van de AVG. Je hoeft echter geen boete te verwachten om het probleem te zien: een verklaring die de verwerking van een ander beschrijft, informeert je gebruikers simpelweg niet, en dat is nu juist het doel ervan. De gids over een privacybeleid volgens de AVG noemt elk verplicht onderdeel.

Dat kan, en gekopieerde tekst maakt afwijzing waarschijnlijker. Het User Data-beleid van Google Play vereist een privacybeleid dat informatie over de ontwikkelaar en een privacycontactpunt bevat, vermeldt welke soorten persoonlijke en gevoelige gebruikersgegevens de app opent, verzamelt, gebruikt en deelt, en de veilige omgang en het bewaar- en verwijderbeleid van de ontwikkelaar uitlegt. Een beleid met de naam en contactgegevens van een ander bedrijf voldoet niet aan die omschrijving.

Apple-richtlijn 5.1.1(i) vereist op vergelijkbare wijze dat het beleid aangeeft welke gegevens de app verzamelt, hoe die worden verzameld en waarvoor ze allemaal worden gebruikt, en dat het bewaring, verwijdering en de manier uitlegt waarop gebruikers toestemming kunnen intrekken of om verwijdering kunnen vragen. Storereviewers vergelijken het beleid ook met de privacylabels en de Data safety-antwoorden die je hebt ingediend; inconsistenties daartussen zijn een veelvoorkomende reden voor vervolgvragen.

Andere platforms hanteren dezelfde logica. De OAuth-verificatie van Google, vermeldingen in de Chrome Web Store en betaalproviders verwachten allemaal dat het beleid jouw product beschrijft. Kopiëren bespaart minuten en kan je dagen aan herindieningen kosten.

Sjablonen zijn iets anders dan kopiëren, omdat ze bedoeld zijn voor hergebruik. De maker van een sjabloon verwacht dat je het aanpast, en de voorwaarden vertellen je wat je mag doen. Controleer voordat je een sjabloon gebruikt drie dingen:

• De licentie: sommige sjablonen mag je vrij gebruiken en bewerken, sommige vereisen naamsvermelding en sommige verbieden commercieel gebruik of verspreiding
• De datum: een sjabloon dat vóór recente wetswijzigingen is geschreven, mist mogelijk verplichte onderdelen
• De pasvorm: een sjabloon voor een blog dekt geen app met in-app-aankopen en advertentie-SDK's

Sommige organisaties publiceren hun eigen beleid onder een open licentie zoals Creative Commons. Heeft een beleid zo'n licentie, dan mag je het hergebruiken onder de vermelde voorwaarden, waaronder naamsvermelding en het delen van je aangepaste versie onder dezelfde licentie kunnen vallen. Toestemming lost de auteursrechtvraag op, maar niet die van de juistheid: je moet nog steeds elk feit herschrijven.

Een betere aanpak is een sjabloon dat zich aanpast aan je antwoorden in plaats van een sjabloon dat je met de hand bewerkt. De pagina privacybeleid sjabloon legt uit hoe een structuur kan veranderen op basis van de dienst die je beschrijft.

Je hebt drie realistische routes, en elke route begint met hetzelfde: een eerlijke inventaris van wat je verzamelt en waarom.

• Zelf schrijven: gratis en volledig in eigen hand als je methodisch te werk gaat. De stapsgewijze gids een privacybeleid schrijven bevat een checklist die je tijdens het schrijven kunt gebruiken.
• Een generator gebruiken: sneller en consistenter, mits hij naar je echte werkwijze vraagt. De vragenlijst en het volledige voorbeeld van Legal Policy Generator zijn gratis en zonder account, en een eenvoudige HTML- en pdf-download is gratis.
• Een advocaat inschakelen: de juiste keuze als je gevoelige gegevens verwerkt, kinderen bedient, gegevens verkoopt of deelt voor advertenties, of te maken hebt met veeleisende zakelijke klanten.

Welke route je ook kiest, de kosten zijn meestal lager dan mensen verwachten; wat een privacybeleid kost vergelijkt de opties. Elk ervan is veiliger dan kopiëren, omdat elk een document oplevert dat jouw bedrijf beschrijft en niet dat van een ander.