Checklist Privacyverklaring

Transcriptie

1 Let op! De AVG trad in werking op 25 mei U heeft tot 25 mei 2018 om alle voorbereidingen te treffen. De Autoriteit Persoonsgegevens gaat hier op toezien! Checklist Privacyverklaring Als bezoekers op uw website persoonsgegevens invoeren heeft u te maken met privacy wetgeving. Zo bent u bijvoorbeeld verplicht om uw bezoekers te vertellen welke persoonsgegevens u verzamelt en met welk doel. Omdat u de bezoekers van uw website niet altijd kent is de privacyverklaring een handige manier om die bezoekers hierover te informeren. Een stukje tekst waarin u uitlegt welke gegevens u verzamelt, waarom u dat doet, wat u er mee van plan bent en hoe u er voor zorgt dat er niet meer mee gebeurt dan u heeft beloofd. In de privacyverklaring kunt u eventueel ook de andere persoonsgegevens beschrijven die uw kantoor verwerkt, zodat alles eenvoudig op één plek is terug te vinden. Richtlijnen Autoriteit Persoonsgegevens Volgens de richtlijnen 1 van de Autoriteit Persoonsgegevens (AP) moet de privacyverklaring in duidelijke en begrijpelijke taal zijn geschreven, eenvoudig te vinden zijn en bij voorkeur benaderd kunnen worden op ieder onderdeel van de website. Om aan dat laatste te voldoen

2 kunt u bijvoorbeeld een link naar de privacyverklaring opnemen onder elke pagina. Bij veel websites vind u daarom onder aan de site een "privacy" knopje. 1 pag 27. Hou het simpel De richtlijnen van de toezichthouder (AP) benadrukken dat de privacyverklaring in eenvoudige en duidelijke taal geschreven moet zijn. Het is daarom aan te raden de verklaring niet onnodig te 'juridiseren'. Hou het simpel en zie de privacyverklaring als een gelegenheid om het vertrouwen van uw bezoekers te winnen. Beschrijf hoe u zorgt dat er zorgvuldig met hun gegevens wordt omgegaan en zorg dat u het zelf ook begrijpt. De wet is immers duidelijk, u en niemand anders, blijft verantwoordelijk voor de bescherming van de u toevertrouwde persoonsgegevens. Er is geen voorschrift voor de structuur van een privacyverklaring, anders dan dat deze duidelijk en in begrijpelijke taal geschreven moet zijn. Vaak is het handig om de verklaring te beginnen met een algemene samenvatting en vervolgens te voorzien in meer detail voor geïnteresseerden. Bijvoorbeeld iets in de volgende vorm: In deze verklaring laten we u weten welke persoonsgegevens we verzamelen, waarom we deze gegevens verzamelen en wat we ermee doen. Wij vinden het belangrijk dat er zorgvuldig met uw gegevens wordt omgegaan en zorgen ervoor dat de persoonlijke informatie die u ons verstrekt vertrouwelijk wordt behandeld. In het kort komt onze privacyverklaring er op neer dat we uw persoonsgegevens: alleen gebruiken voor doelen die met u zijn overeengekomen niet met anderen zullen delen zorgvuldig beveiligen Wanneer u vragen heeft die niet in deze privacyverklaring zijn beantwoord, wanneer u suggesties of opmerkingen heeft over de inhoud daarvan of wanneer u klachten heeft over de manier waarop wij met uw persoonsgegevens omgaan, dan komen we graag met u in contact. U kunt hiervoor een sturen of gebruik maken van de contactgegevens onder aan deze pagina. [Vervolg tekst met meer gedetailleerde uitwerking]

3 Om u een eindje op weg te helpen kunt u gebruik maken van een privacyverklaring generator. Bijvoorbeeld op: Let er wel op dat u de tekst aanpast aan de specifieke omstandigheden van uw kantoor en rekening houdt met de onderwerpen die verder in dit document worden beschreven. Onderwerpen in de privacy verklaring Een privacyverklaring dient minimaal de onderwerpen uit de onderstaande tabel te bevatten. Onderdeel Vindbaarheid Identiteit Doeleinden Ontvangers Rechten betrokkenen Privacy vragen Cookies Automatische verzameling Beveiliging Bewaartermijn Uitsluiting Meldingsnummer Vereiste Identiteit De privacyverklaring dient de identiteit van de voor de verwerking verantwoordelijke te bevatten, inclusief fysieke en elektronische adresgegevens van uw kantoor. Doeleinden Een duidelijke uitleg waarom u de persoonsgegevens verzamelt en of bezoekers verplicht zijn deze gegevens te verstrekken. Bij doelen kunt u bijvoorbeeld denken aan: de levering van een

4 dienst, het beantwoorden van vragen van bezoekers, het versturen van nieuwsbrieven of het verzamelen van gegevens voor de analyse van de website. Vermeld ook op basis van welke rechtsgrond de gegevens worden verwerkt. De meest voorkomende rechtsgronden zijn: toestemming, wettelijke verplichting, uitvoeren overeenkomst of gerechtvaardigd belang. Bij die laatste dient het betreffende gerechtvaardigde belang beschreven te worden. Een voorbeeld van een gerechtvaardigd (bedrijfs)belang is het gebruiken van contactgegevens van bestaande klanten voor het onder de aandacht brengen en aanbieden van nieuwe diensten. Ontvangers Als u persoonsgegevens van uw bezoekers ter beschikking stelt, of verkoopt, aan andere partijen, vermeld dat dan duidelijk. Neem in de tekst altijd op dat u gegevens ter beschikking kunt stellen aan derden indien u daartoe op grond van een wettelijk voorschrift verplicht wordt gesteld. Rechten betrokkenen Wijs betrokkenen er in de verklaring op dat ze het recht hebben : om inzage, correctie of verwijdering te verzoeken van hun gegevens bezwaar te maken tegen, of beperking te verzoeken van de verwerking van hun gegevens toestemming in te trekken hun gegevens over te dragen een klacht in te dienen bij een toezichthoudende autoriteit Vermeld tot wie betrokkenen zich kunnen wenden om deze rechten uit te oefenen. Privacy vragen Neem de contactgegevens (fysiek en elektronisch) van de dienst of persoon op die voor uw website verantwoordelijk is voor het beantwoorden van vragen over de bescherming van persoonsgegevens.

5 Cookies Maakt de website gebruik van cookies, dan bent u verplicht uit te leggen welke cookies u gebruikt en wat u daarmee doet. Let er op dat u uw bezoekers om toestemming moet vragen voordat er cookies worden gebruikt, hierop zijn slechts enkele uitzonderingen. Overleg eventueel met de website leverancier om te achterhalen welke cookies (en vergelijkbare technieken) er worden gebruikt. Maak contractuele afspraken met de website leverancier over de levering van een website die voldoet aan de E-privacy verordening (Cookie wet). Als onderdeel van deze afspraken kun je ook eisen dat de leverancier uitsluitend gebruik maakt van cookies en vergelijkbare technieken nadat jij hiervan op de hoogte bent gebracht en toestemming hebt gegeven. Verder zou je met de website leverancier afspraken kunnen maken over het samenstellen van de cookieverklaring. Maakt u gebruik van Google Analytics, dan dient u dat in de privacyverklaring te vermelden, zoals beschreven in het document handleiding_privacyvriendelijk_instellen_google_analytics.pdf van de Autoriteit Persoonsgegevens. Deze handleiding vind u ook in deze toolkit Automatische verzameling en besluitvorming Indien van toepassing dient te worden toegelicht welke persoonsgegevens de website automatisch verzamelt. Denk hierbij bijvoorbeeld aan het vastleggen van IP-adressen van bezoekers in webserver logfiles voor analyse. Maak contractuele afspraken met de website leverancier of hosting provider over automatische verzameling van persoonsgegevens. Ook hier zou u kunnen afspreken dat dit slechts kan nadat u hierover bent geïnformeerd en toestemming hebt gegeven.

6 Indien gebruik wordt gemaakt van automatische besluitvorming (waaronder profilering) dient dat vermeld te worden inclusief informatie over de onderliggende logica en de mogelijke gevolgen voor de betrokkenen. Profiling houdt in dat kantoren een profiel van mensen(bezoekers) opstellen door allerlei gegevens van hen te verzamelen, te analyseren en te combineren. De AP legt in 2017 de focus op transparantie bij toezicht op profiling en vindt het van groot belang dat organisaties hierover transparant zijn en mensen goed informeren. Beveiliging Informatie over de technische en organisatorische maatregelen die zijn getroffen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze omschrijving mag zeer globaal, de AP zelf hanteert bijvoorbeeld de volgende tekst over beveiliging op hun eigen website: De Autoriteit Persoonsgegevens zorgt voor passende beveiliging van de persoonsgegevens die zij onder zich heeft, in lijn met de daarvoor geldende wettelijke eisen en richtlijnen. Zorg dat er duidelijke, afdoende en voldoende gedetailleerde afspraken over de getroffen technische en organisatorische maatregelen zijn vastgelegd in de verwerkersovereenkomst met de hosting provider.

7 Bewaartermijn Vermeld hoelang u de verschillende persoonsgegevens gaat bewaren. Hou er rekening mee dat gegevens niet langer bewaard mogen worden dan nodig is voor de doeleinden waarvoor u ze hebt verzameld. Voor onbepaalde tijd bewaren mag niet zonder goede reden. Veel bewaartermijnen volgen bijvoorbeeld uit de fiscale bewaarplicht (7 jaar). De omschrijving kan globaal zijn, de AP volstaat in haar eigen privacyverklaring bijvoorbeeld met: De Autoriteit Persoonsgegevens bewaart persoonsgegevens die zij verwerkt niet langer dan noodzakelijk is voor het doel van de gegevensverwerking dan wel op grond van de Archiefwet is vereist Uitsluiting Licht, indien van toepassing, toe welke spelregels u hanteert voor het weigeren van toegang tot de website. Denk hierbij bijvoorbeeld aan het weigeren van bezoekers bij constatering van misbruik of oneigenlijk gebruik. Meldingsnummer AP Vermeld, indien van toepassing, het meldingsnummer waarmee de verwerking is aangemeld bij de AP. De verwerkingen door administratiekantoren vallen doorgaans onder het vrijstellingenbesluit en hoeven niet apart aan de AP gemeld te worden.