Wanneer heeft u een ‘privacyverklaring’ nodig?

Iedereen die zich op het internet begeeft zal met enige regelmaat een zogeheten ‘privacyverklaring', of in het Engels ‘privacy statement’ tegenkomen. Niet iedereen weet echter waar de privacyverklaring vandaan komt en wanneer zijn bedrijf of organisatie nu wel of niet een privacyverklaring nodig kan hebben.

In dit artikel wordt globaal uiteengezet wat de achtergrond van de privacyverklaring is en wanneer het hanteren van een privacyverklaring wel of niet noodzakelijk of nuttig kan zijn voor een bedrijf of organisatie.

Wat is een privacyverklaring?

Een privacyverklaring is een verklaring die meestal, maar niet altijd, online is gepubliceerd waarin een bedrijf of organisatie op één plek publiekelijk informatie verstrekt over diens verwerking van persoonsgegevens in de zin van de EU Algemene Verordening Gegevensbescherming 2016/679 (hierna: “AVG”).

Een privacyverklaring kan betrekking hebben op de verwerking van persoonsgegevens in het kader van één specifieke digitale dienst, hetgeen kan betekenen dat bedrijven of organisaties die meerdere digitale diensten aanbieden of exploiteren meerdere privacyverklaringen hanteren, maar kan ook algemeen zijn opgezet om betrekking te hebben op het informeren over alle verwerkingsactiviteiten van een bepaalde entiteit.

Eenzijdige verklaring

Een privacyverklaring is een eenzijdige verklaring vanuit een bepaalde entiteit ter informatie.

Een privacyverklaring is dus geen contract en heeft ook geen betrekking op het vragen van toestemming voor de verwerking van persoonsgegevens. Het vragen of geven van ‘akkoord’ op een privacyverklaring is derhalve juridisch gezien onjuist, hoewel in de praktijk vaker voorkomt dat de vergissing wordt gemaakt om een wederpartij te vragen akkoord te geven op een privacyverklaring. Hoewel juridisch gezien onjuist en absurd is de kans echter niet heel groot dat het maken van deze vergissing significant juridisch risico met zich meebrengt, desalniettemin is het raadzaam om de privacyverklaring op de juiste wijze te hanteren en aan te sluiten op het wettelijke kader achter het instrument van de privacyverklaring.

Wat is de juridische achtergrond van de privacyverklaring?

Een privacyverklaring is een middel om te voldoen aan de informatieplicht voor de Verantwoordelijke in de zin van de AVG.

Eén van de beginselen inzake de verwerking van persoonsgegevens is dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de persoon op wie de persoonsgegevens betrekking hebben (hierna: “het data subject”) rechtmatig, behoorlijk en transparant is. Uit hoofde van artikel 5 lid 2 AVG draagt de Verantwoordelijke de verantwoordingsplicht voor de naleving van het transparantiebeginsel dat in artikel 5 lid 1 AVG is neergelegd.

Het transparantiebeginsel wordt verder uitgewerkt in de AVG, in het bijzonder in de verplichtingen uit artikel 12, 13 en 14 AVG uit het derde hoofdstuk van de AVG. Een hoofdstuk dat betrekking heeft op de rechten van het data subject onder de AVG.

Wat hoort er in een privacyverklaring te staan?

De AVG schrijft voor welke informatie aan het data-subject dient te worden verstrekt. In de privacyverklaring behoren derhalve een aantal elementen voor te komen.

Artikel 12 AVG bepaalt dat de Verantwoordelijke passende maatregelen neemt opdat het data subject de bedoelde informatie en de bedoelde communicatie in verband met de verwerking van zijn of haar persoonsgegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is.

Informatie voor data subject

In een beknopte transparante toegankelijke vorm en in duidelijke en eenvoudige taal dient het data subject te worden geïnformeerd ten aanzien van:

• de identiteit en de contactgegevens van de Verantwoordelijke en van de vertegenwoordiger van de Verantwoordelijke;
• de contactgegevens van de functionaris voor gegevensbescherming;
  de doeleinden waarvoor de persoonsgegevens zijn bestemd;
• de rechtsgrond voor de verwerking;
• de gerechtvaardigde belangen van de Verantwoordelijke of van een derde, indien de verwerking op deze rechtsgrond is gebaseerd;
  de ontvangers of categorieën van ontvangers van de persoonsgegevens;
• Of de Verantwoordelijke het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie; of er al dan niet een adequaatheidsbesluit van de Commissie bestaat; of, bij doorgifte buiten de EU/EER op andere gronden, welke passende of geschikte waarborgen er zijn, hoe daar een kopie van kan worden verkregen of waar ze kunnen worden geraadpleegd.
• de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die bewaartermijn;
• dat het data subject het recht heeft de Verantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem of haar betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid;
• wanneer de verwerking op toestemming is gebaseerd, dat het data subject het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan;
• dat het data subject het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit, in Nederland is dit de Autoriteit Persoonsgegevens;
• of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of het data subject verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
• het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor het data subject.

Wanneer persoonsgegevens niet van het data subject zelf zijn verkregen, verstrekt de Verantwoordelijke het data subject ook de volgende informatie:

• de betrokken categorieën van persoonsgegevens;
• de ontvangers of categorieën van ontvangers van de persoonsgegevens;
• de bron waar de persoonsgegevens vandaan komen en of zij afkomstig zijn van openbare bronnen;

Wat ontbreekt vaak?

In de praktijk valt op dat met name een omschrijving van de doeleinden, de rechtsgrond en de precieze ‘gerechtvaardigde belangen’, indien ‘gerechtvaardigde belangen’ één van de grondslagen voor verwerking is, nog wel eens ontbreken.

Risico hyperlinks

Een ander potentieel aandachtspunt is het gebruik van ‘hyperlinks’ in een privacyverklaring naar andere webpagina’s met meer gedetailleerde informatie, soms gepubliceerd door derden. Met name bij links naar informatie gepubliceerd door derden ontstaat na verloop van tijd het risico dat de link niet meer ‘in de lucht’ is. Het is derhalve verstandig om voorzichtig te zijn met het gebruik van links, regelmatig te controleren of de link nog ‘in de lucht’ is en om in ieder geval de wettelijk verplichte informatie te raadplegen via de link ook in de tekst van de privacyverklaring zelf te kopiëren.

Wie heeft een privacyverklaring nodig?

De privacyverklaring is met name nuttig wanneer de Verantwoordelijke geen of weinig direct contact heeft met data subjecten en de verplicht te verstrekken informatie niet langs een andere weg toegankelijk kan maken.

De aanbieder van een publiek beschikbare digitale dienst die volledig op afstand wordt aangeboden aan in theorie duizenden, honderdduizenden, miljoenen, of zelfs miljarden deels anonieme mensen is een voorbeeld van een partij voor wie het niet snel mogelijk zal zijn om de benodigde informatie aan iedere persoon persoonlijk te verstrekken.

Eén privacyverklaring online op een website die voor eenieder zichtbaar en gemakkelijk toegankelijk is biedt in een dergelijke situatie uitkomst.

Wanneer heb ik geen privacyverklaring nodig?

Verantwoordelijke is verplicht

De Verantwoordelijke is verplicht actief bepaalde informatie te verstrekken onder de AVG. Toch komt het in de praktijk vaak voor dat ook Verwerkers, of partijen die in de meeste gevallen Verwerker zullen zijn, zoals ICT-leveranciers en de ontwikkelaars van digitale diensten ten behoeve van een andere partij, ook een privacyverklaring publiceren.

Voor een Verwerker wenselijk?

Er zijn verschillende redenen waarom het ook voor een Verwerker wenselijk kan zijn om een privacyverklaring te hanteren. Bijvoorbeeld uit praktische overwegingen, uit piëteit jegens de data subjecten, of om de Verantwoordelijke bij te staan. Het is in een dergelijke situatie wel van belang om in de privacyverklaring niet ten onrechte de indruk te wekken dat de Verwerker een Verantwoordelijke is.

Privacyverklaring niet nodig

Een privacyverklaring is ook niet nodig indien de informatie op een andere manier aan het data subject kan worden verstrekt. Artikel 12 lid 1 AVG bepaalt dat de informatie schriftelijk of met andere middelen, met inbegrip van elektronische middelen, wordt verstrekt. Indien het data subject daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van het data subject met andere middelen bewezen is.

De informatieverplichting is verder helemaal niet van toepassing wanneer en voor zover het data subject reeds over de informatie beschikt. Daarnaast is de informatieverplichting niet van toepassing, indien het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen. In het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, of voor zover de verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen.

De informatieverplichting is ook niet van toepassing wanneer het verkrijgen of verstrekken van de gegevens aan de Verantwoordelijke uitdrukkelijk wettelijk is voorgeschreven en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van het data subject te beschermen, of de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim.

Heb ik een privacyverklaring nodig voor mijn werknemers?

De werkgever die het doel en de middelen waarmee persoonsgegevens over een werknemer worden verwerkt bepaalt, doorgaans in het kader van de uitvoering van een arbeidsovereenkomst of vergelijkbare rechtsverhouding, is een Verantwoordelijke in de zin van de AVG. Ook op de werkgever rusten derhalve de informatieverplichtingen uit de AVG, zoals deze voor iedere Verantwoordelijke in de zin van de AVG gelden.

Ongelijke machtsverhouding

Overigens is het zo dat de inhoud of de interpretatie van verplichtingen uit de AVG voor een werkgever in de rol van Verantwoordelijke soms afwijkend zijn, met name in verband met het vermoeden van het bestaan van een ongelijke machtsverhouding tussen werkgever en werknemer. De informatieverplichting uitgewerkt in artikel 12, 13 en 14 AVG is echter niet in het bijzonder afwijkend voor een werkgever in de rol van Verantwoordelijke.

Het is niet verplicht om de privacyverklaring te gebruiken als middel om de werknemers te informeren. Sterker nog, een privacyverklaring voor werknemers zal minder snel voor de hand liggen als middel om te voldoen aan de informatieverplichting. Een van de verschillen tussen een werkgever en andere Verantwoordelijken is namelijk dat werkgever en werknemer doorgaans veel meer mogelijkheden hebben tot persoonlijk contact en voor het overbrengen van de verplicht te verstrekken informatie.

Het is doorgaans wel verstandig om privacygerelateerde vraagstukken expliciet te adresseren in bestaande arbeidsgerelateerde documentatie, zoals arbeidsovereenkomsten, personeelshandboeken, (ICT-, Sociale Media, of Camera- ) Protocollen, interne beleidsstukken etc.. In ieder geval voor zover de activiteiten in en rondom het werk een impact kunnen hebben op de persoonlijke levenssfeer van de werknemer. Al naar gelang het type activiteiten, de inrichting van de locatie waar en de middelen waarmee de activiteiten worden verricht en overige omstandigheden zal meer of minder risico bestaan voor de privacy van de werknemer.

Wat gebeurt er als ik geen of een onvolledige privacyverklaring heb?

Indien u Verantwoordelijke bent en het data subject de informatie verstrekt zoals voorgeschreven in artikel 12, 13 en 14 AVG maakt in principe niet uit langs welke weg en in welke vorm de informatie is verstrekt. Al naar gelang de omstandigheden en feiten van het geval hoeft het niet hebben van een privacyverklaring geen inbreuk op de AVG op te leveren.

Is de verplicht te verstrekken informatie echter niet aantoonbaar langs een andere meer voor de hand liggende weg, niet op een beknopte transparante toegankelijke vorm in duidelijke en eenvoudige taal, of überhaupt niet verstrekt dan kan sprake zijn van een inbreuk op de AVG waar gevolgen aan verbonden kunnen zijn.

Inbreuk op de AVG; boete

Uit hoofde van artikel 83 lid 5 sub b AVG bedraagt de maximale boete wegens niet voldoen aan de informatieverplichting jegens het data subject die een toezichthouder mag opleggen een administratieve boete van tot 20 000 000 euro of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is. In Nederland is de nationale toezichthouder de Autoriteit Persoonsgegevens.

Schadevergoeding

Ook mag op grond van de aansprakelijkheidsgrond uit artikel 82 AVG eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op de AVG van de Verantwoordelijke of de Verwerker schadevergoeding vorderen voor de geleden schade.

Wat is het verschil tussen een privacyverklaring en een cookieverklaring?

De privacyverklaring verschijnt vaak tegelijk met een cookieverklaring (Engels: cookie statement), soms staan beide verklaringen zelfs in dezelfde tekst. De cookieverklaring en de privacyverklaring hebben veel gemeen. De cookieverklaring is eveneens een eenzijdige verklaring die gebruikt wordt als nuttig middel om te voldoen aan een actieve informatieverplichting uit de wet, met name wanneer deze informatie niet op een andere manier kan worden verstrekt omdat er weinig direct contact is of in potentie zeer veel individuele gebruikers van een openbare elektronische communicatiedienst in de zin van de Telecommunicatiewet kunnen zijn.

Het voornaamste verschil is echter dat de informatieplicht waar men met de cookieverklaring aan poogt te voldoen, de zogeheten ‘Cookiewet’, een bepaling uit de Telecommunicatiewet is en niet uit de AVG.

Het betreffende hoofdstuk uit de Nederlandse Telecommunicatiewet getiteld “Hoofdstuk 11 Bescherming van persoonsgegevens en de persoonlijke levenssfeer” is wel afgestemd op en in lijn gebracht met de AVG.

Echter mede omdat hier sprake is van twee verschillende informatieplichten uit twee onderling zeer verschillende wettelijke kaders is het in de praktijk doorgaans verstandig de cookieverklaring en de privacyverklaring uit elkaar te houden en scherp te blijven onderscheiden ook al gaan beide verklaringen vaak samen op.

Conclusie

Een Verantwoordelijke heeft een privacyverklaring nodig indien dit instrument het enige middel is waarmee de Verantwoordelijke kan voldoen aan de actieve informatieverplichtingen jegens het data subject die uit hoofde van de AVG op de Verantwoordelijke rusten. Bijvoorbeeld omdat de Verantwoordelijke een digitale dienst aanbiedt met weinig tot geen persoonlijk contact met data subjecten. Voldoet de Verantwoordelijke niet aan deze informatieverplichting dan riskeert de Verantwoordelijke boetes of aansprakelijkheid op grond van de AVG.

De AVG schrijft voor welke informatie dient te worden verstrekt en dat deze dient te worden verstrekt in een beknopte transparante toegankelijke vorm en in duidelijke en eenvoudige taal. De informatie mag schriftelijk of met andere middelen, met inbegrip van elektronische middelen, worden verstrekt. Indien het data subject daarom verzoekt kan de informatie ook mondeling worden verstrekt.

Een privacyverklaring is een eenzijdige verklaring waarin een bedrijf of organisatie op één centrale plek wettelijk verplicht te verstrekken informatie verstrekt over de verwerking van persoonsgegevens in de zin van de AVG. De privacyverklaring is een ‘vorm’ waarin informatie kan worden verstrekt. Een privacyverklaring is geen contract of verzoek om toestemming en dus niet vatbaar voor ‘akkoord’ van een andere partij. Een privacyverklaring kan ook een nuttig middel zijn indien andere manieren wel voor handen zijn, bijvoorbeeld omdat het praktisch het meest voor de hand ligt de informatie in deze vorm te verstrekken.

Een werkgever in de rol van Verantwoordelijke zal doorgaans juist wel contact hebben met werknemers en in staat zijn de benodigde informatie te verstrekken zonder privacyverklaring. Bestaande arbeidsrechtelijke documentatie, zoals arbeidsovereenkomsten of personeelshandboeken kunnen hiervoor geschikt zijn. In kleinere organisaties zal mondeling verstrekken van informatie eveneens minder snel te moeilijk zijn.

De cookieverklaring is vergelijkbaar met de privacyverklaring en wordt vaak samen met de privacyverklaring gepubliceerd. De wettelijke informatieverplichting achter de informatie in een cookieverklaring stamt echter uit de Telecommunicatiewet, specifiek de daarin opgenomen zogeheten “Cookiewet”. Beide wettelijk regelingen zijn onderling op elkaar afgestemd, maar het is doorgaans verstandig beide verklaringen uit elkaar te houden vanwege de verschillende oorsprong van de wettelijke informatieverplichtingen. Desalniettemin is het wel toegestaan om de informatie in één verklaring op te nemen en komt een combinatie van beide verklaringen tot één verklaring in de praktijk vaker voor.

Ook Verwerkers kunnen aan het data subject, al dan niet ten behoeve van de Verantwoordelijke informatie verstrekken via een privacyverklaring. In de praktijk komt het vaak voor dat Verwerkers, bijvoorbeeld app- of websiteontwikkelaars, ook de privacyverklaring verzorgen. In het laatste geval is wel van belang dat de Verwerker niet ten onrechte de indruk wekt zelf de Verantwoordelijke te zijn, maar duidelijk aangeeft de Verantwoordelijke bij te staan met het informeren van het data subject of uit piëteit zelf het data subject te wensen te informeren.

Advies

Hanteert uw bedrijf of organisatie een privacyverklaring en/of andere privacy-gerelateerde documentatie? Laat u privacy-gerelateerde documentatie opstellen of controleren.

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!