Zo maak je een privacybeleid voor je website

Een privacybeleid is maar zo goed als de inventaris erachter. Loop de site door als bezoeker en als beheerder voordat je één woord schrijft, en noteer elk punt waar gegevens binnenkomen of de site verlaten:

• Formulieren: contact-, offerte-, boekings-, nieuwsbrief- en sollicitatieformulieren, inclusief verborgen velden en bestandsuploads.
• Accounts: registratie, inloggen, wachtwoordherstel en profielpagina's.
• Analytics: Google Analytics, ingebouwde analytics van je sitebouwer, heatmaps en sessie-opnames.
• Cookies en lokale opslag: wat elk ervan doet en wie het plaatst.
• Embeds: YouTube- of Vimeo-spelers, kaarten, socialemediafeeds, boekingswidgets en chatbubbels.
• Hosting en beveiliging: serverlogs, contentdeliverynetwerken, firewalls en CAPTCHA-tools.
• E-mail en marketing: nieuwsbriefplatforms, CRM's en advertentiepixels.
• Betalingen: afrekenpagina's, betaalverwerkers en factuurtools.

Een snelle technische controle helpt. Open de ontwikkelaarstools van je browser, laad een paar pagina's in een privévenster en bekijk de cookies, de opslag en de netwerkverzoeken. Elk extern domein dat je ziet, is een dienstverlener die je beleid misschien moet vermelden.

Bijna elke website verzamelt persoonsgegevens, ook als de eigenaar daar nooit om vraagt. Je hostingpartij legt IP-adressen vast in serverlogs, analyticsscripts plaatsen identificatoren en één enkel contactformulier verzamelt al namen en e-mailadressen. Verschillende wetten maken daar een plicht van om een privacyverklaring te publiceren:

• AVG en UK GDPR: de artikelen 13 en 14 sommen op welke informatie je mensen moet geven wanneer je hun gegevens verzamelt, en artikel 12 vereist dat die beknopt, transparant en gemakkelijk toegankelijk is.
• CalOPPA: commerciële websites die persoonlijk identificeerbare informatie van inwoners van Californië verzamelen, moeten een privacybeleid duidelijk zichtbaar plaatsen.
• Andere stelsels: Canada, Australië, Brazilië en Nieuw-Zeeland verwachten allemaal dat organisaties open zijn over hoe ze met persoonsgegevens omgaan.

Platformvoorwaarden stellen daarnaast eigen eisen. Google Analytics en Google AdSense vereisen allebei een passend privacybeleid voordat je ze gebruikt. Wil je het volledige beeld van wie er een moet publiceren, lees dan heb ik een privacybeleid nodig? en onze gids over wat er gebeurt als je geen privacybeleid hebt.

Zet de inventaris om in een eenvoudige tabel met vijf kolommen: welke gegevens, waarom je ze verzamelt, wie ze ontvangt, hoe lang je ze bewaart en, als de AVG van toepassing is, op welke rechtsgrond je je baseert. Deze tabel wordt de ruggengraat van het beleid.

Een klein voorbeeld voor de website van een kleine studio:

• Contactformulier: naam, e-mailadres, bericht. Doel: de vraag beantwoorden. Dienstverlener: je e-mailhost. Bewaartermijn: 12 maanden na het einde van het gesprek.
• Analytics: bekeken pagina's, apparaattype, globale locatie op basis van het IP-adres. Doel: begrijpen welke pagina's werken. Dienstverlener: je analyticsleverancier. Bewaartermijn: de periode die in de analyticsinstellingen is ingesteld.
• Nieuwsbrief: e-mailadres en aanmelddatum. Doel: updates sturen waar de persoon om heeft gevraagd. Dienstverlener: je e-mailmarketingplatform. Bewaartermijn: tot de persoon zich afmeldt.

Wees concreet over instellingen die het antwoord veranderen, zoals de bewaartermijn in analytics, advertentiefuncties of schakelaars voor het delen van gegevens. Onze gids over informatie over analytics in je privacybeleid laat zien welke analyticsinstellingen veranderen wat je moet vermelden.

De meeste privacyverklaringen van websites volgen hetzelfde skelet, omdat de wetten dezelfde kernvragen stellen. Gebruik eenvoudige kopjes die een bezoeker snel kan scannen:

1. Wie je bent en hoe mensen contact met je opnemen, inclusief een e-mailadres voor privacyvragen.
2. Welke persoonsgegevens je verzamelt, gegroepeerd per bron: formulieren, accounts, automatische verzameling en derden.
3. Waarom je ze gebruikt, en de rechtsgrond waar de AVG of de UK GDPR van toepassing is.
4. Cookies en vergelijkbare technieken, met een manier om voorkeuren te wijzigen.
5. Wie de gegevens ontvangt: aanbieders van hosting, e-mail, analytics, betalingen en advertenties.
6. Internationale doorgiften en de waarborgen waarop je je baseert.
7. Hoe lang je elke categorie bewaart.
8. De rechten van mensen en hoe ze die uitoefenen.
9. Gegevens van kinderen, beveiliging en hoe je wijzigingen aankondigt.

Schrijf in de actieve vorm en zeg wat je echt doet. “Wij gebruiken Google Analytics om paginaweergaven te tellen” is duidelijker dan “wij kunnen diverse technologieën gebruiken.” De checklist in wat moet er in een privacybeleid staan? legt elke sectie uitgebreider uit.

Bij regionale secties gaat het op veel kleine websites mis, doordat ze wetten negeren die wel gelden of secties kopiëren voor wetten die niet gelden.

• Bezoekers uit de EU en het VK: bied je goederen of diensten aan mensen in de EU of het VK aan, of volg je hun gedrag, reken er dan op dat de AVG of de UK GDPR van toepassing is. Je hebt rechtsgronden, rechten, doorgiften en het recht op een klacht bij een toezichthoudende autoriteit nodig. Zie de gids over een privacybeleid volgens de AVG.
• Californië: CalOPPA geldt voor commerciële sites die persoonlijk identificeerbare informatie van inwoners van Californië verzamelen en vereist onder meer een verklaring over hoe je reageert op Do Not Track-signalen. De CCPA geldt alleen voor bedrijven die de drempels ervan halen, zoals een voor inflatie gecorrigeerde omzetdrempel of het verwerken van persoonsgegevens van 100.000 of meer Californische consumenten of huishoudens. Zie de gids over CCPA en CPRA.
• Andere Amerikaanse staten, Canada, Brazilië, Australië en Nieuw-Zeeland: elk heeft eigen toepassingscriteria en terminologie.

Claim alleen rechten en verplichtingen die voor jou gelden. Een beleid dat rechten belooft die je nooit nakomt, schept zijn eigen risico.

Je hebt drie realistische opties, en elke optie heeft een keerzijde.

• Zelf schrijven: gratis en volledig op maat, maar traag, en je mist gemakkelijk verplichte vermeldingen zoals waarborgen voor doorgiften of formuleringen over Do Not Track.
• Het beleid van een andere site kopiëren: snel maar riskant. Hun werkwijze, dienstverleners en wettelijke verplichtingen zijn niet de jouwe, en de tekst is meestal auteursrechtelijk beschermd. We leggen uit waarom in mag ik een privacybeleid kopiëren?
• Een sjabloon of generator gebruiken: sneller, zolang de tool naar je echte werkwijze vraagt in plaats van lege plekken te vullen met algemene beloftes.

De Website Privacy Policy Generator van Legal Policy Generator kiest de derde route. Je beantwoordt eenvoudige vragen over formulieren, analytics, tracking, dienstverleners en regio's. De tool kiest vervolgens versiebeheerde clausules die bij je antwoorden passen, zonder dat AI tijdens het genereren clausules schrijft. De vragenlijst, het volledige voorbeeld en de eenvoudige HTML- en PDF-download zijn gratis zonder account. Geavanceerde regionale of optionele modules kosten $5. Welke route je ook kiest, het resultaat is geen juridisch advies, dus vergelijk het met je werkelijke opzet.

Geef het beleid een eigen pagina met een kort, vast adres zoals /privacy of /privacy-policy. Een vaste URL is belangrijk omdat je die plakt in appstores, advertentieplatforms, e-mailtools en afrekeninstellingen, en een kapotte link daar kan een beoordeling tegenhouden.

De algemene stappen zijn op bijna elk platform hetzelfde:

1. Maak een nieuwe pagina met de titel Privacybeleid.
2. Plak de tekst of HTML van het beleid in de pagina, of link naar een gehoste kopie.
3. Zet de ingangsdatum bovenaan, zodat lezers weten welke versie ze lezen.
4. Publiceer de pagina en open hem in een privévenster om te controleren dat hij zonder inloggen laadt.
5. Controleer of kopjes, lijsten en links het plakken hebben overleefd.

Met Legal Policy Generator kun je de eenvoudige HTML-download in een pagina van je sitebouwer plakken. Link je liever naar een openbare webpagina, dan voegt optionele hosting eenmalig $0,99 toe, en het abonnement van $5 per maand omvat hosting zolang het actief is. Voor advies per platform lees je hoe je een privacybeleid toevoegt aan Wix, Squarespace, Webflow of Shopify.

Een beleid dat niemand kan vinden, heeft weinig zin. Zet minimaal een link met het label Privacybeleid in de footer van elke pagina, zodat hij op de homepage staat en overal waar een bezoeker binnenkomt.

Voeg daarna contextuele links toe op elk punt waar je gegevens verzamelt:

• Naast de verzendknop van contact-, offerte- en nieuwsbriefformulieren.
• Op registratie- en afrekenpagina's.
• In je cookiebanner of voorkeurencentrum, als je die gebruikt.
• In appstorevermeldingen, instellingen van advertentieplatforms en OAuth-toestemmingsschermen die om een URL van een privacybeleid vragen.

Gebruik duidelijke linktekst, houd de link zichtbaar in mobiele lay-outs en zorg dat hij zonder JavaScript werkt. Onze gids over waar je een link naar je privacybeleid plaatst behandelt de eis van CalOPPA om het beleid “conspicuously” te plaatsen en de verwachtingen van de AVG in detail.

Een privacybeleid beschrijft je website op één moment, en websites veranderen voortdurend. Herzie het beleid telkens wanneer een van deze situaties zich voordoet:

• Je voegt een plug-in, script, embed of integratie toe of verwijdert die.
• Je stapt over naar een andere aanbieder van hosting, e-mail, analytics of betalingen.
• Je begint met adverteren, retargeting of online verkopen.
• Je gaat bezoekers in een nieuw land of een nieuwe regio bedienen.
• Een wet waarop je je baseert verandert, of een platform past zijn voorwaarden aan.

Bewaar een gedateerde kopie van elke versie, pas de ingangsdatum aan wanneer de tekst verandert en informeer mensen over wezenlijke wijzigingen op een manier die past bij je relatie met hen, zoals een melding op de site of een e-mail aan accounthouders. Een korte controle om de paar maanden, ook als er niets lijkt te zijn veranderd, brengt tools aan het licht die teamgenoten stilletjes hebben toegevoegd. Lees hoe vaak moet je je privacybeleid bijwerken? voor een praktisch controleschema.