Elke website die gegevens van bezoekers verwerkt heeft een privacyverklaring nodig, en dat begint al bij een contactformulier. Deze pagina legt uit wat er in moet staan, wanneer je een cookiebanner nodig hebt en wat je verder aan de AVG moet doen als klein bedrijf. Dit is algemene uitleg en geen juridisch advies.
Wanneer het voor jou geldt
Zodra je persoonsgegevens verwerkt. Een contactformulier met naam en telefoonnummer is al een verwerking. Hetzelfde geldt voor een mailadres in je inbox, een klantenbestand in je boekhouding en statistieken die bezoekers herkennen. Vrijwel elk bedrijf met een website valt er dus onder, ook een eenmanszaak.
Wat er in een privacyverklaring hoort
- Wie je bent. Bedrijfsnaam, adres, KvK-nummer en een contactmogelijkheid.
- Welke gegevens je verzamelt. Concreet: naam, telefoonnummer, mailadres, wat er in het tekstveld staat.
- Waarvoor. Bijvoorbeeld om een offerte uit te brengen of contact op te nemen over een aanvraag.
- Op welke grondslag. Meestal uitvoering van een overeenkomst, toestemming of gerechtvaardigd belang.
- Hoe lang je ze bewaart. Geef een termijn, geen "zo lang als nodig".
- Met wie je ze deelt. Je hostingpartij, je boekhoudpakket, je mailprovider.
- Welke rechten de bezoeker heeft. Inzien, corrigeren, laten verwijderen, bezwaar maken.
- Waar hij kan klagen. Bij jou, en daarna bij de Autoriteit Persoonsgegevens.
Schrijf het in gewone taal. Een verklaring die je ergens vandaan hebt geplakt en die spreekt over diensten die je niet levert, is slechter dan een korte die klopt.
Cookies en de banner
Niet elke site heeft een banner nodig. De regel is simpel: functionele cookies, die nodig zijn om de site te laten werken, mag je zonder toestemming plaatsen. Analytische cookies mogen onder voorwaarden ook zonder banner, mits ze privacyvriendelijk zijn ingesteld. Zodra je tracking gebruikt voor advertenties, bijvoorbeeld een Facebook-pixel of remarketing in Google Ads, heb je vooraf toestemming nodig en dus een banner met een echte weigerknop.
- Alleen een contactformulier
- privacyverklaring, geen banner nodig
- Statistieken privacyvriendelijk ingesteld
- doorgaans geen banner nodig
- Advertentiepixels of remarketing
- banner met weigeren op gelijke voet
- Ingesloten video's van derden
- toestemming vooraf
Een banner waar je alleen op akkoord kunt klikken voldoet niet. Weigeren moet even makkelijk zijn als accepteren.
Verwerkersovereenkomsten
Partijen die namens jou gegevens verwerken, bijvoorbeeld je hostingpartij of het pakket waarin je formulieren binnenkomen, horen een verwerkersovereenkomst met je te hebben. Bij de meeste Nederlandse leveranciers staat die standaard klaar in het account of in de algemene voorwaarden. Bewaar een kopie.
Wat je verder praktisch regelt
- Zorg dat je site over https gaat. Een formulier over een onbeveiligde verbinding is niet te verdedigen.
- Houd een kort overzicht bij van welke gegevens je waar bewaart. Voor een klein bedrijf past dat op één A4.
- Gooi oude aanvragen weg als de bewaartermijn voorbij is, ook uit je mailbox.
- Geef niet meer mensen toegang tot je klantgegevens dan nodig.
- Zet de privacyverklaring in je voettekst, bereikbaar vanaf elke pagina, en link ernaar bij het formulier.
Sjablonen en generatoren
Er zijn gratis generatoren die een bruikbaar startpunt geven. Loop de tekst daarna zelf door en haal eruit wat niet op jou van toepassing is. De Autoriteit Persoonsgegevens publiceert uitleg per onderwerp op haar eigen site, en dat is de bron waar je in geval van twijfel naar kijkt. Gaat het om gevoelige gegevens of om grote aantallen, leg het dan voor aan een jurist.
Bij de sites die wij bouwen staat de privacyverklaring, het https-certificaat en de juiste instelling van de statistieken standaard goed. Vraag een gratis adviesgesprek aan als je wilt weten hoe je site er nu voor staat.
