Privacybeleid op je website: wat er echt in hoort te staan
Een privacybeleid dat niet klopt met wat uw website doet, is een leeg document. Zeven punten die er echt in horen, de gaten die wij het vaakst zien, en een video van een halve minuut over de basis.
Een privacybeleid is geen document dat u één keer van een voorbeeld overneemt en daarna vergeet. Het is de tekst waarin u uw bezoeker vertelt wat u met zijn gegevens doet. De AVG verplicht u tot die uitleg: u informeert mensen voor u hun gegevens gebruikt. Een goed privacybeleid ziet er saai uit en klopt met wat uw website echt doet. Juist daar gaat het mis bij de meeste kleine zaken: de tekst hangt los van de site.
Wat de wet van u vraagt
De AVG noemt dit de informatieplicht, in de artikelen 12, 13 en 14. Artikel 13 gaat over gegevens die u bij de bezoeker zelf ophaalt, bijvoorbeeld via een contactformulier. Artikel 14 gaat over gegevens die u van iemand anders krijgt, bijvoorbeeld van een leverancier of van een uitzendkantoor. In beide gevallen moet de uitleg in duidelijke en begrijpelijke taal staan. Korte zinnen, geen juristentaal, op een plek waar de bezoeker ze vindt zonder te zoeken.
Het privacybeleid is iets anders dan uw cookiebanner. De banner gaat over toestemming voor het plaatsen van cookies. Het privacybeleid gaat over alles wat u met persoonsgegevens doet. Hebt u alleen een banner en geen tekst, dan mist u de helft.
De zeven punten die er echt in horen
- Wie u bent en hoe iemand u bereikt. De naam van uw zaak, het adres, het ondernemingsnummer en een adres of telefoonnummer waar privacyvragen toekomen.
- Welke gegevens u verwerkt. Gegevens uit een contactformulier, gegevens van bestellingen, gegevens in uw boekhouding en gegevens van websitebezoek in een statistiekentool.
- Waarom u ze verwerkt en op welke grondslag. Een bestelling uitvoeren, een factuur opmaken, een wettelijke verplichting nakomen, of een gerechtvaardigd belang zoals het beveiligen van uw site.
- Hoe lang u ze bewaart, per soort gegeven. Facturen hebben een eigen termijn, sollicitaties een andere en statistieken weer een andere.
- Met wie u ze deelt. Uw boekhouder, uw hostingpartij, uw e-mailleverancier, uw boekhoudpakket, de transporteur. Noem de partijen of de soort partijen en waarvoor ze de gegevens krijgen.
- Of de gegevens buiten de Europese Economische Ruimte gaan. Gebruikt u een tool die zijn gegevens in de Verenigde Staten bewaart, dan hoort dat er te staan, met de waarborg die u daarvoor heeft.
- Wat iemand zelf kan doen. Inzage, verbetering, verwijdering, beperking, verzet en overdraagbaarheid. Zet er ook bij dat een klacht naar de Gegevensbeschermingsautoriteit kan en hoe dat gaat.
De gaten die wij het vaakst zien
- De tekst noemt alleen het contactformulier, terwijl de site ook statistieken bijhoudt, een nieuwsbrief verstuurt en een kaart van een derde partij toont.
- De bewaartermijn staat er niet in, of er staat "zo lang als nodig". Dat is geen termijn.
- De datum en het versienummer ontbreken. Dan weet niemand of de tekst nog klopt na een nieuwe tool.
- De link staat niet in de voettekst van elke pagina, maar alleen in een e-mail die u ooit heeft verstuurd.
- De tekst komt uit een buitenlands sjabloon en verwijst naar regels die hier niet gelden.
- De cookiebanner en het privacybeleid spreken elkaar tegen: de banner zegt dat u niets bijhoudt, de tekst beschrijft statistieken.
Geen van die zes punten vraagt om een jurist. Ze vragen om één iemand die de website en de tools van de zaak kent en de moeite neemt om de tekst daarmee te laten kloppen.
De video
Wat de video laat zien
De video duurt zevenendertig seconden en behandelt één vraag: wat hoort er in een privacyverklaring te staan. Volgens de omschrijving van de maker noemt hij vier dingen: waarom uw organisatie gegevens opslaat, hoe lang ze bewaard blijven, met wie u ze deelt en hoe de beveiliging geregeld is.
Die vier punten zijn een begin en niet de volledige lijst. De video gaat niet in op de grondslag, op doorgifte buiten de Europese Economische Ruimte en op de rechten van de bezoeker. Gebruik hem dus als opstap en niet als afvinklijst. De maker is een Nederlandse rechtsbijstandsverzekeraar. De regels die hij noemt komen uit de AVG en gelden ook in België.
Wat u vandaag doet
- Open uw eigen privacybeleid en zoek de zeven punten hierboven op. Kruis aan wat ontbreekt en laat de tekst verder staan.
- Loop de tools na die op uw site of in uw zaak meekijken: statistieken, nieuwsbrief, kaarten, chat, ingesloten video's en uw boekhoudpakket. Noteer per tool welke gegevens daarheen gaan.
- Vul de bewaartermijnen in met echte termijnen. Vraagt uw boekhouder u facturen zeven jaar te bewaren, zet dat er dan in.
- Zet een datum en een versienummer onderaan en link naar de tekst in de voettekst van elke pagina. Herhaal dat elk jaar of na elke nieuwe tool.
Wilt u dat wij dit nakijken en de tekst opnieuw opstellen naast de tools die u echt gebruikt, dan hoort dat bij onze dienst Webdesign & Development. U kunt de vier stappen ook zelf zetten, zolang er iemand de tekst naast de website legt voor hij online gaat.
Wilt u eerst zien wat er voor uw eigen zaak mogelijk is? Vraag dan een gratis proefhomepage aan via www.hisarweb.be/proefhomepage.
Omslagbeeld: AI-gegenereerd.
