Is een privacyverklaring verplicht voor webshops?
- Jill Wissing
- 28 feb
- 3 minuten om te lezen
Bijgewerkt op: 28 apr
Als bedrijf ben je op grond van de AVG verplicht informatie te geven aan betrokkenen als je persoonsgegevens verwerkt. Je hebt de plicht om duidelijk te informeren over wat je met de persoonsgegevens doet en waarom je ze verwerkt.
Als webshop verwerk je eigenlijk altijd persoonsgegevens. Zonder persoonsgegevens kan je natuurlijk geen producten naar je klanten sturen. Met een privacyverklaring kan je aan die informatieplicht voldoen. In deze blog vertel ik je hier meer over.
Informatieplicht
Zodra je persoonsgegevens verwerkt, ben je verplicht om betrokkenen op een duidelijke manier te informeren over de verwerking van de persoonsgegevens. Die informatie moet je schriftelijk delen, maar mag ook mondeling als je de identiteit van de betrokkene met andere middelen is bewezen.
Een privacyverklaring is in die zin niet verplicht, maar wel handig. Door alle verplichte informatie op te nemen in één verklaring en deze op een makkelijk vindbare plek op je website en/of onderaan je e-mail te plaatsen, voldoe je aan die informatieplicht.
De Autoriteit Persoonsgegevens houdt toezicht op de naleving van die informatieplicht en kan boetes opleggen als je niet voldoet aan de eisen van de AVG. Zorg er dus voor dat je privacyverklaring volledig is.
Wat moet er in de privacyverklaring staan?
Bedrijfsgegevens
Je moet de identiteit en contactgegevens van jouw bedrijf opnemen in de privacyverklaring.
Functionaris gegevensbescherming (FG)
Heeft jouw bedrijf een functionaris gegevensbescherming? Neem dan ook zijn (contact)gegevens op in de verklaring.
De doelen voor de verwerking van persoonsgegevens
Geef aan voor welke doelen je persoonsgegevens verwerkt. Denk bijvoorbeeld aan: 'het versturen van een nieuwsbrief', 'uitvoeren van de dienst', 'afhandelen van de bestelling' en 'facturatie'.
Grondslagen voor de verwerking
Je moet ook per doel aangeven op welke grondslag je persoonsgegevens verwerkt. Met andere woorden: je moet een goede reden hebben voor de verwerking.
Persoonsgegevens mag je op de volgende grondslagen verwerken:
Toestemming
Uitvoeren van de overeenkomst
Wettelijke verplichting
Vitaal belang
Algemeen belang of uitoefening openbaar gezag
Gerechtvaardigd belang
Bewaartermijnen
Geef aan hoe lang je de gegevens bewaart. De AVG geeft geen concrete bewaartermijn. Je mag persoonsgegevens in ieder geval niet langer bewaren dan noodzakelijk.
De ontvangers van de persoonsgegevens
Geef aan of je gebruik maakt van andere dienstverleners en/of andere partijen met wie je de persoonsgegevens deelt. Het volstaat om categorieën van die ontvangers te noemen. Je hoeft dus niet specifiek aan te geven welke dienstverleners en/of partijen dat zijn.
Doorgifte van persoonsgegevens buiten de EER of aan een internationale organisatie
Je moet aangeven of je persoonsgegevens deelt buiten de EU/EER. Dat kan het geval zijn als je bijvoorbeeld leveranciers hebt die in de Verenigde Staten zijn gevestigd. Je moet in dat geval ook aangeven op welke grondslag je dat doet.
De rechten van de betrokkenen
De AVG geeft verschillende rechten aan betrokkenen. Betrokkenen hebben bijvoorbeeld het recht op inzage van persoonsgegevens en het recht om ze te laten verwijderen. In de privacyverklaring moet je informatie geven over die rechten.
Toestemming intrekken
Het is ook belangrijk om in je privacyverklaring duidelijk te maken dat betrokkenen altijd hun toestemming voor de verwerking van persoonsgegevens kunnen intrekken als zij voor bepaalde verwerkingen toestemming hebben gegeven. Denk bijvoorbeeld aan toestemming voor het ontvangen van een nieuwsbrief.
Geautomatiseerde besluitvorming
Neem jij beslissingen op basis van geautomatiseerde besluitvorming? Dan moet je aangeven dat je dat doet en ook hoe die besluiten worden genomen.
Verplichte verstrekking persoonsgegevens
Als je de betrokkenen verplicht om persoonsgegevens te verstrekken, dan moet je dat aangeven en ook uitleggen waarom.
Persoonsgegevens ontvangen van derden
Als je persoonsgegevens ontvangt van andere organisaties moet je aangeven waar die persoonsgegevens vandaan komen. Daarbij moet je ook aangeven of je die gegevens hebt verkregen via openbare bronnen.
Autoriteit Persoonsgegevens
Je moet in de privacyverklaring vermelden dat de betrokkenen altijd het recht heeft om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Dat is de Nederlandse toezichthouder op het gebied van privacy.
Op een duidelijke manier informeren
De AVG stelt eisen aan de tekst van de privacyverklaring. De informatie die je geeft in een privacyverklaring moet namelijk:
beknopt;
transparant;
begrijpelijk;
makkelijk toegankelijk; én
in duidelijke en eenvoudige taal zijn.
