10 Elementen die elk AVG-compatibel privacybeleid zou moeten hebben

De dagen dat het privacybeleid zo vaag was dat alleen advocaten het konden begrijpen zijn voorbij. In Europa zijn we het aan AVG verschuldigd.

Een van de redenen waarom de EU AVG introduceerde, was om mensen beter te informeren en hen de controle te geven over hoe bedrijven hun persoonlijke gegevens verzamelen, gebruiken, delen, beveiligen en verwerken. Het privacybeleid duidelijk en volledig maken, werd een van de belangrijkste vereisten van de nieuwe wet. Het niet naleven van deze bepaling kan resulteren in forse boetes of zelfs vervolging.

Als u het nog niet heeft gedaan, is het hoog tijd voor u om de inhoud van uw privacybeleid te bekijken. In dit bericht laten we u zien hoe u er een schrijft die voldoet aan de AVG-vereisten..

AVG privacybeleid goede praktijken

In AVG is artikel 12 de belangrijkste bron van informatie over privacybeleid. Het vertelt ons onder andere dat communicatie over gegevensverwerking:

• beknopt
• transparant
• in duidelijke en eenvoudige taal
• begrijpelijk
• gemakkelijk toegankelijk
• kosteloos moet zijn

Met andere woorden, om aan deze bepalingen te voldoen, moet u ervoor zorgen dat uw privacybeleid:

• geschreven is in eenvoudige taal en gepresenteerd in een toegankelijke vorm – zodat uw gebruikers het gemakkelijk kunnen begrijpen
• uitgebreid is – zodat het alle aspecten van uw activiteiten voor de verwerking van persoonsgegevens bestrijkt, en
• gemakkelijk toegankelijk is – het is dus goed om een ​​link naar het privacybeleid te geven, zowel in het toestemmingsformulier (als u er een gebruikt) als ergens op uw hoofdpagina

Privacybeleid: de 10 belangrijkste dingen om aan te pakken

Nu u weet hoe het document moet worden geschreven, laten we eens kijken wat het moet bevatten om aan de wettelijke vereisten te voldoen. We zullen u ook enkele voorbeelden geven uit ons eigen privacybeleid om de zaken nog duidelijker te maken. Laten we beginnen!

1) Wie verwerkt de gegevens

Het eerste belangrijke ding om vast te stellen is wie daadwerkelijk bezoekersgegevens verzamelt en verwerkt.

Artikel 13(1)(a) van AVG vereist dat u uw gebruikers voorziet van:
“de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke”

Dat kan de naam van uw bedrijf, locatie en contactinformatie zijn. We hebben besloten om aan deze eis te voldoen door de volgende gegevens vrij te geven:

Zoals u ziet, moesten we een onderscheid maken tussen de verzamelde gegevens voor marketing- en verkoopdoeleinden en informatie die werd gebruikt in wervingsprocessen. Als de structuur van uw bedrijf net zo complex is als de onze, moet u de details verstrekken van elke entiteit die toegang heeft tot dergelijke gegevens.

Een goede vuistregel is ook om details op te nemen voor het contacteren van uw DPO (als u er een hebt aangewezen). In ons privacybeleid ziet het er als volgt uit:

2) Volgens welke rechtsgrond kunt u gebruikersgegevens verzamelen

Artikel 13(1)(c) van AVG vereist dat u informatie verstrekt over:

“de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking”.

Er zijn zes verschillende wettelijke grondslagen voor de verwerking van persoonsgegevens. Twee ervan zijn vooral belangrijk voor bedrijven – instemming en legitiem belang.

In uw privacybeleid dient u duidelijk de gekozen grond(en) voor de verwerking van persoonsgegevens te vermelden en de redenering achter elke grond toe te lichten. Ook moet u gebruikers informeren over hun rechten om bezwaar te maken tegen een bepaald type verwerking en hen een manier geven om dit te doen (we zullen dit later bespreken).

Wat betreft onze gegevensverwerking, hebben we besloten dat toestemming de beste pasvorm zou zijn. Zo presenteren we het aan bezoekers:

Raadpleeg dit uiterst nuttige document van het Information Commissioner’s Office (ICO) voor gedegen advies over legitiem belang.

3) Wat zijn de doelen van het verzamelen van de persoonlijke gegevens

Een andere vereiste die voortvloeit uit artikel 13(1)(c) van AVG, iz de doeleinden voor te stellen waarvoor persoonsgegevens worden verwerkt.

Informatie over elk aspect van de verwerking moet volledig, gedetailleerd en gemakkelijk te begrijpen zijn. Daarom hebben we besloten onze doelen te verdelen in twee hoofdgroepen: marketing en verkoop, en werving.

Voor elk van hen hebben we een algemene beschrijving gegeven. Dit is wat we schreven over onze marketing- en verkoopactiviteiten:

Daarna zijn we er dieper op ingegaan. We hebben elke reden onderverdeeld in kleinere redenen en hebben een praktische toepassing gepresenteerd van elk type gegevens dat door onze tools is verzameld. Het ziet er zo uit:

Op die manier krijgen onze bezoekers grondig inzicht in hoe we de gegevens gebruiken die we over hen verzamelen. Natuurlijk wordt dezelfde reeks informatie aan hen getoond als we eerst om toestemming vragen. Op dit moment ziet ons toestemmingsverzoek er als volgt uit:

In het verleden hebben we onze gebruikers ook toestemming gevraagd om gegevens te verwerken voor A/B-tests en marketingautomatisering. Om deze reden worden beide doeleinden nog steeds vermeld in ons privacybeleid.

4) Welke soorten persoonlijke gegevens verzamelt u

De loutere verklaring dat u persoonlijke gegevens verzamelt, is niet genoeg – u moet er dieper op ingaan. Een ander belangrijk ding om op te nemen in uw privacybeleid is het exacte type persoonlijke gegevens dat u verzamelt en verwerkt.

We presenteren deze informatie op twee verschillende manieren. De eerste keer schrijven we dat:

Vervolgens bieden we onze gebruikers de volledige lijst met persoonlijke gegevens die voor elk doel zijn verzameld:

Als dat nog niet genoeg was, presenteren we onze bezoekers ook afzonderlijke documenten waarin onze traceergegevensscope en de lijst met verzamelde gegevenscookies worden beschreven.

5) Hoelang gaat u de gegevens opslaana

Een andere belangrijke vereiste komt uit artikel 12(2)(a). Het verplicht u om uw bezoekers te informeren over:

“de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen”.

Dit is hoe we erover schreven in ons eigen privacybeleid, in een sectie gewijd aan de gegevens verzameld tijdens het rekruteringsproces:

6) U draagt de gegevens internationaal over

Artikel 13(1)(f), van AVG vereist dat u informatie verstrekt over:

“[…] dat de verwerkingsverantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, in het geval van in artikel 46, artikel 47 of artikel 49, lid 1, tweede alinea, bedoelde doorgiften, welke de passende of geschikte waarborgen zijn, hoe er een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.”

We hebben ook informatie toegevoegd over de locatie van servers die worden gebruikt door elke derde partij waarmee we bezoekersgegevens delen (we zullen daar verderop nog wat meer over zeggen).

7) U gebruikt de gegevens in geautomatiseerde besluitvorming

Als u geautomatiseerde besluitvorming (bijvoorbeeld bij credit scoring of gebruikersprofilering) gebruikt om diensten of producten aan uw gebruikers te leveren, moet u dit bekendmaken. Artikel 13(2)(f) van AVG zegt:

“het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”

Als bedrijf gebruiken we geen profilering of geautomatiseerde besluitvorming, dus hebben we deze vermelding niet opgenomen in ons privacybeleid. Maar dit is hoe Phaidon International deze eis aanpakt:

8) Met welke derde partijen deelt u de gegevens

Artikel 13(1)(e) vereist dat u informatie verstrekt over: “in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens”.

Om aan de wet te voldoen, hebben we een lijst gemaakt met hulpmiddelen die we gebruiken in onze marketing- en verkoopactiviteiten:

Naar onze mening volstaat het echter niet om alleen alle namen van derden die betrokken zijn bij de verwerking van persoonsgegevens te vermelden. Daarom heeft ons privacybeleid een andere sectie met de naam “Onze partners – hulpmiddelen die we gebruiken voor marketing en waarvoor we ze gebruiken”. In dit deel presenteren we:

• een beschrijving van elke derde partij
• hun beleid ten aanzien van gegevensbewaring, locatie en opslag
• doeleinden van gegevensverwerking en rechtsgrond waaronder we gegevens verwerken met behulp van een bepaald hulpmiddel

Dit is hoe we VWO beschrijven:

Om de zaken nog duidelijker te maken, hebben we de volgende opmerking toegevoegd:

In dit deel is het ook goed om externe links op uw website te bespreken en uit te leggen wat er gebeurt nadat bezoekers erop klikken. Dit is hoe we het hebben gedaan:

9) Wat zijn de rechten van de betrokkene

In artikel 13(2)(b), kunnen we lezen dat uw privacybeleid ook informatie moet bevatten over:

“dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid.”

AVG vereist dat u uw gebruikers vertelt over hun zeven rechten, namelijk:

• het recht op informatie
• het recht op inzage
• het recht op verbetering
• het recht om vergeten te worden
• het recht op de beperking van verwerking
• het recht op overdraagbaarheid van persoonsgegevens
• het recht van bezwaar

Naast de lijst met rechten moet u uw bezoekers ook een manier bieden om ze uit te oefenen. In het geval van ons eigen privacybeleid hebben we widgets van onze Piwik PRO AVG Consent Manager opgenomen.

Eén voor verzoeken van betrokkenen:

En nog een voor het beheren van privacy-instellingen:

Hierdoor kunnen onze bezoekers niet alleen kennismaken met hun rechten, maar ze kunnen ze ook actief uitoefenen zonder onze privacypagina te verlaten. Daarnaast bieden we een e-mailadres waarnaar bezoekers hun verzoeken kunnen verzenden:

AVG vereist ook dat u informatie opneemt over het recht van bezoekers om een ​​klacht in te dienen bij een toezichthoudende instantie als zij niet tevreden zijn met de inhoud van uw privacybeleid of de manier waarop u hun gegevens verwerkt. In het geval van ons privacybeleid ziet de informatie er als volgt uit:

10) Hoe laat u gebruikers weten dat uw beleid is gewijzigd

Het laatste dat u moet opnemen, is een beschrijving van het proces om gebruikers en bezoekers op de hoogte te brengen van wijzigingen of updates van het privacybeleid. Gebruikers moeten immers weten of het document is gewijzigd sinds de laatste keer dat ze het hebben gelezen.

Om onze gebruikers op de hoogte te houden, hebben we het volgende bericht opgenomen in ons privacybeleid:

Zoals u kunt zien, zijn de meest recente updates van ons privacybeleid in februari van dit jaar toegevoegd.

Beste praktijken van het AVG-privacybeleid – enkele conclusies

Het schrijven van een duidelijk en begrijpelijk privacybeleid vereist de juiste aanpak. U wilt dat bezoekers het lezen en begrijpen zonder enige moeite. Uiteraard zullen dergelijke beleidsmaatregelen variëren tussen verschillende organisaties. Naast onze richtlijnen, moet u rekening houden met de specifieke behoeften en vereisten van uw organisatie.

We hopen dat dit bericht van pas komt en het gemakkelijker voor u maakt om uw privacybeleid op te stellen. Als u nog vragen hebt of meer advies wilt, neem dan gerust contact op met ons team en wij helpen u graag verder.