Een privacybeleid schrijven, stap voor stap

Elk nauwkeurig privacybeleid begint met een data-inventaris, niet met een sjabloon. Open een spreadsheet en loop door je product zoals een gebruiker dat doet. Noteer elke plek waar persoonsgegevens binnenkomen:

• Formulieren: contact, aanmelding, afrekenen, support en sollicitaties
• Accounts: e-mailadres, naam, wachtwoordhash, profielfoto en instellingen
• Automatische verzameling: serverlogs met IP-adressen, cookies, SDK's en crashrapporten
• Input van derden: inloggen met Google of Apple, betalingsbevestigingen en advertentiedoelgroepen
• Content die gebruikers maken: berichten, uploads, reviews en prompts die naar AI-functies gaan

Leg voor elke rij de gegevenscategorie, de bron en de tool vast die ermee werkt. Vergeet de onzichtbare verzameling niet: ingesloten video's, webfonts die van een derde partij worden geladen en chatwidgets kunnen allemaal IP-adressen doorgeven. Weet je niet zeker wat een script doet, lees dan de documentatie van de aanbieder of bekijk het netwerktabblad in de ontwikkelaarstools van je browser. Deze inventaris vormt de ruggengraat van alle volgende stappen, dus dat extra uurtje is het waard.

Schrijf vervolgens op waarom je elke gegevenscategorie gebruikt. Gebruikelijke doelen zijn de dienst leveren, accounts beheren, betalingen verwerken, supportvragen beantwoorden, nieuwsbrieven versturen, gebruik meten, fraude voorkomen en adverteren. Houd doelen concreet: “om onze diensten te verbeteren” zegt een lezer op zichzelf weinig, terwijl “om te zien welke pagina's bezoekers lezen, zodat we verwarrende content kunnen verbeteren” eerlijk en concreet is.

Gebruikt iemand in de Europese Economische Ruimte of het Verenigd Koninkrijk je product, dan vraagt artikel 13 AVG je ook om voor elk doel de rechtsgrond te vermelden, zoals overeenkomst, toestemming, wettelijke verplichting of gerechtvaardigde belangen, en om de gerechtvaardigde belangen te benoemen waarop je je beroept. Een kort overzicht in je notities houdt het beleid consistent:

• Nieuwsbriefmails: toestemming
• Orderafhandeling en bonnen: overeenkomst
• Fraudepreventie en beveiliging: gerechtvaardigde belangen
• Belasting- en boekhoudadministratie: wettelijke verplichting

Noem alleen doelen die je vandaag echt nastreeft. Een doel dat je ooit misschien toevoegt, hoort in een toekomstige update, niet in de verklaring van vandaag.

Lezers en toezichthouders willen weten wie de gegevens nog meer ontvangt. Loop je inventaris door en noteer elke dienstverlener: hosting, contentlevering, e-mailbezorging, analytics, betalingen, klantenservice, foutopsporing, advertenties en aanbieders van AI-modellen. Noteer bij elke partij of die alleen op jouw instructies handelt, zoals een verwerker of service provider, of de gegevens ook voor eigen doeleinden gebruikt, zoals veel advertentienetwerken doen.

Je beleid moet de categorieën ontvangers beschrijven en, waar dat de lezer helpt, de dienstverleners zelf bij naam noemen. Sommige contracten met dienstverleners verwachten specifieke formuleringen. De voorwaarden van Google Analytics verplichten je bijvoorbeeld om een privacybeleid te publiceren dat vermeldt dat je Google Analytics gebruikt en hoe het gegevens verzamelt en verwerkt, en de gids over analytics-informatie legt uit wat die sectie meestal bevat.

Leg ook vast waar elke dienstverlener gegevens verwerkt. Verlaat informatie de Europese Economische Ruimte of het VK, dan verwacht de AVG dat je de doorgifte vermeldt, plus de waarborg waarop je je baseert, zoals een adequaatheidsbesluit of modelcontractbepalingen.

Twee vragen laten veel eerste versies struikelen: hoe lang je gegevens bewaart en hoe je ze beschermt. Voor bewaring accepteert de AVG een vaste termijn of de criteria waarmee je die termijn bepaalt. Praktische voorbeelden zien er zo uit:

• Accountgegevens: bewaard zolang het account open is en binnen een vaste termijn na opheffing verwijderd
• Factuurgegevens: bewaard zolang de belasting- en boekhoudwetgeving dat vereist
• Supportmails: bewaard gedurende een bepaalde termijn nadat het ticket is gesloten
• Analyticsgegevens: bewaard gedurende de bewaartermijn die je in je analyticstool hebt ingesteld

Beschrijf voor beveiliging je echte maatregelen in algemene termen, zoals versleuteling tijdens transport, beperkte toegang voor medewerkers en snelle software-updates. Vermijd absolute beloftes als “je gegevens zijn volkomen veilig”. Geen enkel systeem is immuun voor datalekken, en een overdreven beveiligingsclaim is precies het soort uitspraak dat een misleidende praktijk wordt als er iets misgaat. Schrijf op wat je doet, niet wat je hoopt te doen.

Je publiek, niet alleen de vestigingsplaats van je bedrijf, bepaalt het grootste deel van de regionale inhoud. Stel jezelf drie vragen: waar zitten je gebruikers, wat verzamel je en hoe groot is je bedrijf?

• Gebruikers in de EU of het VK: de transparantie-eisen van de AVG en de UK GDPR, waaronder rechtsgronden, doorgiften en het recht om een klacht in te dienen bij een toezichthoudende autoriteit. De gids over een privacybeleid volgens de AVG zet ze op een rij.
• Bezoekers uit Californië: CalOPPA vereist een duidelijk zichtbaar geplaatst beleid van elke commerciële website of onlinedienst die persoonlijk identificeerbare informatie van inwoners van Californië verzamelt, zonder omvangsdrempel. De CCPA voegt gedetailleerde informatie toe voor bedrijven die de drempels ervan halen; de gids over CCPA en CPRA loopt ze met je door.
• Andere Amerikaanse staten: inmiddels hebben veel staten een brede privacywet, elk met eigen drempels en opt-outrechten.
• Kinderen: een dienst die in de Verenigde Staten op kinderen jonger dan 13 is gericht, valt onder de informatie- en ouderlijke-toestemmingsregels van COPPA.
• Canada, Brazilië, Australië, Nieuw-Zeeland: elk land kent eigen openheids- of transparantieplichten.

Neem alleen de modules op die van toepassing zijn. Elke wet “voor de zekerheid” toevoegen leidt tot tegenstrijdigheden, zoals het beloven van verzoekprocedures die je in werkelijkheid niet uitvoert.

Een privacybeleid is ook een handleiding voor mensen die hun rechten willen uitoefenen. Noem voor elke regio die je bedient de rechten die gelden en leg precies uit hoe je ze gebruikt: een e-mailadres dat iemand in de gaten houdt, een webformulier of een instelling in de app.

Onder de AVG gaat het om inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar, het intrekken van toestemming en het indienen van een klacht bij een toezichthoudende autoriteit. Inwoners van Californië die te maken hebben met een bedrijf dat onder de CCPA valt, hebben het recht om te weten, te verwijderen, te corrigeren, zich af te melden voor de verkoop of het delen van persoonsgegevens en het gebruik van gevoelige persoonsgegevens te beperken, en de CCPA-regelgeving vraagt om een algemene beschrijving van hoe je verzoeken verifieert.

Test de route voordat je publiceert. Stuur een verzoek naar je eigen privacyadres, controleer of het aankomt en bepaal wie het beantwoordt en hoe snel. Een rechtensectie die naar een inbox verwijst die niemand leest, is erger dan nutteloos: lezers zien dat het beleid niet wordt onderhouden en echte verzoeken blijven onbeantwoord.

Artikel 12 AVG vraagt om informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal. Dat is goed advies voor elk publiek, en met een paar gewoontes wordt zelfs een lang beleid leesbaar:

• Begin met een korte samenvatting van de belangrijkste punten
• Gebruik beschrijvende kopjes die mensen kunnen scannen, zoals “Met wie we gegevens delen”
• Kies voor “wij” en “jij” in plaats van “de Onderneming” en “de Betrokkene”
• Vervang vage woorden als “kan” en “bepaalde” waar mogelijk door concrete details
• Gebruik lijsten voor gegevenscategorieën en een tabel voor bewaartermijnen
• Voeg een inhoudsopgave met ankerlinks toe als het beleid lang is

Lees het concept hardop voor. Moet je een zin twee keer lezen om hem te begrijpen, herschrijf hem dan. Eenvoudige taal gaat niet over losjes zijn; het gaat erom dat een lezer na afloop weet wat er echt met zijn of haar gegevens gebeurt. Voor echte formuleringspatronen loopt de gids met voorbeelden van privacybeleid sectie voor sectie door geannoteerde fragmenten.

Publiceer het beleid op een vaste, openbare URL en link ernaar overal waar mensen beslissingen nemen over hun gegevens. Gebruikelijke plekken zijn:

• De footer van elke pagina van je website
• Aanmeld-, afreken- en nieuwsbriefformulieren
• Het instellingen- of infoscherm in je app
• Je vermeldingen in App Store Connect en Google Play Console

Appstores hebben specifieke regels. Apple-richtlijn 5.1.1(i) vereist een link naar het privacybeleid in het metadataveld van App Store Connect en op een gemakkelijk toegankelijke plek in de app. Google Play vereist een link in Play Console en in de app, op een actieve, openbaar toegankelijke URL zonder geofencing, en accepteert geen pdf's. CalOPPA vereist dat het beleid duidelijk zichtbaar is geplaatst, en de CCPA-regelgeving verwacht een opvallende link met het woord “privacy” op je homepage of de downloadpagina van je app. Voor indelingen die op echte sites werken, zie waar je een link naar je privacybeleid plaatst.

Een privacybeleid is een levend document. Toon bovenaan een ingangsdatum, wat CalOPPA vereist, en bewaar een kopie van elke versie die je publiceert, zodat je kunt laten zien wat gebruikers op elk moment te zien kregen. Herzie het beleid telkens wanneer je:

• Een tool, SDK of dienstverlener toevoegt of verwijdert
• Een nieuwe gegevenscategorie gaat verzamelen of gegevens voor een nieuw doel gaat gebruiken
• Lanceert in een nieuw land of een nieuwe Amerikaanse staat
• AI-functies, advertenties of betalingen toevoegt
• Verandert hoe gebruikers hun rechten uitoefenen

Bedrijven die onder de CCPA vallen, moeten de verplichte informatie voor Californië volgens Civil Code section 1798.130(a)(5) minstens eens per 12 maanden bijwerken, dus zet een jaarlijkse controle in je agenda, ook als er niets veranderd lijkt te zijn. Bij wezenlijke wijzigingen informeer je gebruikers rechtstreeks in plaats van de pagina stilletjes aan te passen. Het volledige proces, inclusief formuleringen voor de kennisgeving, staat in hoe vaak je je privacybeleid moet bijwerken.

Loop deze checklist door voordat het beleid live gaat:

1. De juridische naam van de exploitant, het contactmailadres en, waar vereist, het postadres kloppen
2. Elke gegevenscategorie uit je inventaris staat in het beleid, en er staat niets extra's in
3. Elk doel is concreet, met een rechtsgrond als gebruikers in de EU of het VK binnen bereik vallen
4. Elke categorie ontvangers staat erin, inclusief analytics- en advertentietools
5. Internationale doorgiften en hun waarborgen zijn beschreven waar relevant
6. Bewaartermijnen of de criteria daarvoor zijn vermeld
7. Rechten, verzoekmethoden en verificatie zijn uitgelegd voor elke regio die je bedient
8. De keuzes voor cookies en tracking komen overeen met wat je toestemmingsbanner echt doet
9. Gegevens van kinderen, gevoelige gegevens en AI-functies worden behandeld als ze aanwezig zijn
10. De ingangsdatum is ingesteld en eerdere versies zijn gearchiveerd
11. De link staat in je footer, formulieren, app-instellingen en storevermeldingen

Wil je dit liever niet allemaal met de hand samenstellen, dan stelt de Legal Policy Generator deze vragen in eenvoudige taal en kiest hij versiebeheerde clausules op basis van je antwoorden. De vragenlijst en het volledige voorbeeld zijn gratis en vereisen geen account, zodat je de uitkomst kunt vergelijken met je eigen checklist.