Hast elk bedriuw mei in Nederlânsktalige webside publisearret in privacybelied - in privacyferklearring of privacyferklearring. Folle minder bedriuwen publisearje ien dy't in blik fan 'e Autoriteit Persoonsgegevens (de Nederlânske autoriteit foar gegevensbeskerming, de AP) oerlibje soe. It dokumint wurdt behannele as standert dokumint, kopiearre fan in konkurrint en oanrekke litten wylst it bedriuw derûnder feroaret. Dat is no in kostbere gewoante: yn maart 2026 lansearre de Europeeske Ried foar Gegevensbeskerming in koördinearre hanthaveningsaksje yn hiel Europa rjochte op krekt dizze ferplichting.
Wêr't de ferplichting weikomt
Gjin artikel fan 'e AVG hat de titel "privacybelied". De ferklearring is gewoan de gewoane manier om in ferplichting te ferfoljen dy't de AVG oars formulearret - lykas it rjocht fan it yndividu om ynformearre te wurden. Transparânsje is in prinsipe yn art. 5 AVG; art. 12, 13 en 14 AVG meitsje der in konkrete list fan dingen fan dy't jo minsken fertelle moatte, en in standert foar hoe.
De skieding tusken art. 13 en art. 14 is wichtiger as de measte bedriuwen beseffe.
- Art. 13 AVG jildt wêr't jo persoanlike gegevens sammelje fan it yndividu — in kontaktformulier, in kassa, in oanmelding foar in nijsbrief. De ynformaasje moat jûn wurde op 'e tiid de gegevens wurde krigen: foardat it formulier yntsjinne wurdt, net dêrnei.
- Art. 14 AVG jildt as de gegevens fan earne oars komme - in gegevensmakelaar, in iepenbier register, in skrabde boarne, in partner, in wurkjouwer. Jo moatte it yndividu binnen in ridlike perioade ynformearje en op syn lêst binnen ien moanne, of by de earste kommunikaasje mei har, of as de gegevens foar it earst oan in oare ûntfanger iepenbier makke wurde, wat it earst komt.
Art. 14 befettet in lytse set útsûnderings - it yndividu hat de ynformaasje al, it ynformearjen dêrfan is ûnmooglik of soe in ûnevenredige ynspanning fereaskje, it krijen of iepenbier meitsjen is útdruklik by wet fêstlein, of de gegevens binne ûnderwurpen oan beropsgeheim. Dizze binne beheind. "Ûngemaklik" is gjin ûnevenredige ynspanning, en in bedriuw dat kontaktgegevens keapet of skraapt en it noait oan immen fertelt, fertrout op in útsûndering dy't net bestiet.
Art. 12 AVG regelet de wize : bondige, transparante, begryplike, maklik tagonklike, yn dúdlike en ienfâldige taal.
De ferplichte ynhâld, item foar item
Dit is gjin menu. In ferklearring wêryn ien fan dizze items ûntbrekt, is wetlik ûnfolslein.
| Ynformaasje | Art. 13 (ynhelle fan it yndividu) | Art. 14 (earne oars te krijen) |
|---|---|---|
| Identiteit en kontaktgegevens fan 'e ferwurker | Ja | Ja |
| Identiteit en kontaktgegevens fan 'e EU-fertsjintwurdiger, as ien fereaske is | Ja | Ja |
| Kontaktgegevens fan 'e gegevensbeskermingsamtner, as ien beneamd is | Ja | Ja |
| Doelen fan 'e ferwurking | Ja | Ja |
| Juridyske basis foar elk doel | Ja | Ja |
| De legitime belangen dy't neistribbe wurde, wêr't dat de basis is dêr't op fertroud wurdt | Ja | Ja |
| Kategoryen fan persoanlike gegevens yn kwestje | - | Ja |
| Untfangers of kategoryen fan ûntfangers | Ja | Ja |
| Oerdrachten bûten de EER en de beskerming dêr't op ynspile wurdt | Ja | Ja |
| Bewaringsperioade, of de kritearia dy't brûkt wurde om it te bepalen | Ja | Ja |
| Rjochten fan tagong, korreksje, wiskjen, beheining, beswier en portabiliteit | Ja | Ja |
| Rjocht om tastimming yn te lûken, wêr't tastimming de basis is | Ja | Ja |
| Rjocht om in klacht yn te tsjinjen by de Autoriteit Persoonsgegevens | Ja | Ja |
| Oft it leverjen in wetlike of kontraktuele eask is, en de gefolgen fan it net leverjen | Ja | - |
| De boarne fan 'e gegevens, en oft it út iepenbier tagonklike boarnen komt | - | Ja |
| Automatisearre beslútfoarming en profilering, mei betsjuttingsfolle ynformaasje oer de logika en de ferwachte gefolgen | Ja | Ja |
Trije fertsjinje in tichterby besjen, want dêr komt de oandacht fan 'e AP telâne.
Untfangers, en it probleem fan "partners"
Art. 13 en art. 14 AVG tastean ûntfangers of kategoryen fan ûntfangers ta. Dat is in echte kar, mar in kategory moat wat betsjutte. "Us partners" is gjin kategory; it is in wegering om te antwurdzjen. "Us betellingstsjinstferliener, ús hostingprovider yn Dútslân, ús e-postmarketingplatfoarm yn 'e Feriene Steaten, en de reklamenetwurken neamd yn ús cookieferklearring" is. As jo in ûntfanger net sûnder ûndúdlikens kinne beskriuwe, witte jo wierskynlik net wa't de gegevens hat - in grutter probleem.
Bewarjen wêr't gjin fêste perioade mooglik is
De AVG akseptearret dat in oantal dagen net altyd jûn wurde kin, dêrom lit art. 13 de kritearia ta dy't brûkt wurde om de perioade te bepalen. Wat it net talit, is it net beantwurdzjen. Yn har beslút fan 11 desimber 2023 mei in boete fan € 10,000,000 oan Uber Technologies Inc. en Uber BV, fûn de AP krekt dat: de ferklearring sei dat gegevens sa lang as nedich bewarre wurde soene, wat se te algemien fûnen. In wurkber kritearium seit "foar de doer fan it kontrakt en sân jier nei de lêste transaksje, yn oerienstimming mei de Nederlânske belestingwetjouwing".
Ynternasjonale transfers
Sizze dat gegevens "meie wurde oerdroegen bûten de Jeropeeske Ekonomyske Gebiet" seit de lêzer neat. It stânpunt fan 'e AP yn deselde Uber-beslissing wie dat de bestimmingslannen neamd wurde moatte en de beskermingsmaatregels identifisearre wurde moatte - adekwaatheidsbeslissing, standert kontraktuele klausules, bindende bedriuwsregels - mei hoe't jo in kopy krije kinne. Bedriuwen dy't Amerikaanske analytics, CRM of cloudhosting brûke, binne oan it oerdragen; de ienige fraach is oft de ferklearring it talit.
De easken fan it formulier
Art. 12 AVG stelt in standert dy't maklik te stellen is en faak mislearre is:
- Konsistint en transparant — effisjint presintearre en dúdlik skieden fan betingsten en kondysjes. It yn 'e algemiene betingsten begrave is net yn oerienstimming mei de regels.
- Fersteanber — begryplik foar in gemiddelde lid fan it bedoelde publyk. In ferklearring skreaun foar Amerikaanske advokaten is net begryplik foar Nederlânske konsuminten, en in allinnich Ingelsktalige ferklearring op in Nederlânsktalige side ek net.
- Maklik tagonklik — de lêzer moat net hoege te sykjen. Jeropeeske rjochtlinen behannelje it as moatte direkt dúdlik wêze: in direkte keppeling fan elke pagina, in kontekstuele keppeling op it punt fan sammeljen, en yn in app op syn heechst in pear tikken fuort.
- Dúdlike en gewoane taal — konkreet en definityf ynstee fan abstrakt. Jeropeeske rjochtlinen sinjalearje beskermingswurden lykas "mei", "miskien" en "mooglik", en behannelje "wy kinne jo persoanlike gegevens brûke om nije tsjinsten te ûntwikkeljen" of "foar ûndersyksdoelen" as foarbylden fan wat net skreaun wurde moat.
Wêr't in tsjinst rjochte is oan bern, of jo witte dat bern it swier brûke, fereasket art. 12 dat wurdskat, toan en styl oanpast wurde, sadat in bern it begripe kin. Yn Nederlân komt dit al gau: ûnder art. 5 fan 'e Uitvoeringswet AVG is de leeftyd wêrûnder âlderlike tastimming nedich is foar ynformaasjemaatskippijtsjinsten dy't direkt oan in bern oanbean wurde, sechstjin, it heechste dat de AVG talit. In ferklearring skreaun foar folwoeksenen oer in tsjinst dy't brûkt wurdt troch fjirtjinjierrigen falt net ta, en it eigen rjocht fan it bern om ynformearre te wurden wurdt net kwytrekke troch de âlder te ynformearjen.
De laachoanpak, goed dien
Laachfoarming is it oanrikkemandearre antwurd op 'e spanning tusken folsleinens en lêsberens, en sawol de AP as de Jeropeeske rjochtlinen stypje it. As it goed dien wurdt, draacht de earste laach de identiteit fan 'e ferantwurdlike, de doelen, de ferwurking mei de grutste ynfloed of kapasiteit om te ferrassen, en hoe't rjochten útoefene wurde kinne - mei de folsleine tekst ien klik fuort as ien dokumint.
As it net goed dien wurdt, wurdt it in manier om dingen te ferbergjen. Lagen meie inoar net tsjinsprekke, de folsleine ynformaasje moat op ien plak beskikber bliuwe, en neat mei degradearre wurde om't it ferlegen is. As in ferwurkingsoperaasje de lêzer ferrasse soe, is dat in argumint foar de earste laach, net de fjirde.
Wêr't privacyferklearrings mislearje
De weromkommende mislearrings binne seldsum en foarsisber.
- Vage doelen en net iepenbiere dielen. "Om ús tsjinsten te ferbetterjen" beskriuwt neat, en "wy kinne jo gegevens diele mei selektearre partners" is it meast foarkommende gebrek fan allegear - it ferberget meastentiids advertinsjetechnology. De test is oft in lêzer kin fertelle wat der mei har gegevens bart en beslute oft se it slim fine.
- In útspraak dy't yn striid is mei de side. Dit feroaret in papierwurkprobleem yn in hanthaveningsprobleem. De ferklearring seit dat gjin trackingkoekjes sûnder tastimming pleatst wurde wylst de tagmanager aktivearret by it laden fan in side; seit dat gegevens yn 'e EU bliuwe wylst de stipedesk op in Amerikaansk platfoarm wurket. In tafersjochhâlder hoecht de ferklearring net sekuer te lêzen om dit te finen. Hy moat it ljepblêd netwurk iepenje.
- De kopiearre ferklearring. In belied dat fan in konkurrint ôfnommen is, beskriuwt de ferwurking fan 'e konkurrint: it neamt ûntfangers dy't jo net brûke, lit de ûntfangers dy't jo wol brûke wei, en neamt bewarperioaden dy't jo net yn acht nimme. It is in set falske útspraken oer jo bedriuw.
De privacyferklearring is gjin koekjeferklearring
Dit binne twa ferplichtingen ûnder twa ynstruminten, en it gearfoegjen fan harren is in betroubere manier om oan gjin fan beiden te foldwaan.
Koekjes en ferlykbere techniken wurde yn Nederlân regele troch art. 11.7a fan 'e Telekommunikaasjewet, dy't de ePrivacy-rjochtline ymplementearret. Elkenien dy't ynformaasje opslaat op, of tagong hat ta ynformaasje dy't opslein is yn, de terminalapparatuer fan in brûker moat dúdlike en folsleine ynformaasje jaan en tastimming krije, mei beheinde útsûnderings foar wat strikt needsaaklik is om de kommunikaasje oer te dragen of de oanfrege tsjinst te leverjen. Dit regelet it lêzen of skriuwen op it apparaat , oft it no giet om persoanlike gegevens of net. De AVG regelet wat jo dan dogge mei alle resultearjende persoanlike gegevens.
Dus: de banner is dêr't tastimming jûn of wegere wurdt; de koekjeferklearring listet de koekjes, harren doelen en doer op; de privacyferklearring ferklearret de ferwurking fan persoanlike gegevens. In privacyferklearring kin gjin tastimming krije, en in banner kin net foldwaan oan artikels 13 en 14. Ferwize se oan elkoar, en hâld se konsekwint.
De AP is hjir aktyf west. Op 30 april 2025 kundige it strukturele monitoring fan Nederlânske koekjebanners oan en skreau oan in earste fyftich organisaasjes, wêryn't it in programma fan ferskate hûnderten yn 't jier beskreau. Op 11 novimber 2025 melde it dat mear as 200 websiden warskôge wiene, sawat trijekwart oanpast wiene, en it hie ûndersyk iepene nei de rest. Foarôf oankrúste fakjes, ekstra klikken om te wegerjen en ferburgen opsjes binne de patroanen dy't it neamt.
Generearje de ferklearring út it register, net fan in konkurrint
Art. 30 AVG fereasket dat de measte organisaasjes in register fan ferwurkingsaktiviteiten byhâlde - it ferwurkingsregister . Foar elke aktiviteit wurde de doelen, de kategoryen fan betrokkene en fan persoanlike gegevens, de ûntfangers, ynklusyf dy yn tredde lannen, de oerdrachtbefeiligingen en de bewarperioaden registrearre. As in ûntfanger in ferwurker is, moatte deselde feiten al ferskine yn 'e gegevensferwurkingsoerienkomst mei dy partij, wêrtroch't it register en de ferklearring folle makliker op elkoar ôfstimd binne.
Fergelykje dat mei de tabel hjirboppe: de oerlaap is hast folslein. It register is de feitelike ynventarisaasje; de privacyferklearring is de iepenbiere werjefte dêrfan. Yn dy folchoarder boud is de ferklearring akkuraat fan konstruksje en bliuwt se akkuraat, om't it bywurkjen fan it register de boarne bywurket. Oarsom skreaun, driuwe de twa útinoar - en in tafersjochhâlder dy't freget om it register en de webside lêst sjocht de gat.
It aktueel hâlde
In privacyferklearring beskriuwt in libbend systeem, dus it wurdt ferâldere as it systeem feroaret: in nije analytyske ark, in nije CRM, in nije ferwurker yn it bûtenlân, in nij doel foar gegevens dy't al bewarre wurde.
Twa regels folgje. In feroaring fan ferwurking is in feroaring oan 'e ferklearring, en it moat wurde herzien foardat de feroaring fan krêft wurdt. En in wichtige feroaring moat aktyf kommunisearre wurde: Jeropeeske rjochtlinen binne fêst dat it net allinich ûnfoldwaande is, mar ek ûnearlik om yndividuen in wizige belied sels te litten fernimmen. Ynhâldlike feroarings - in nij doel, in feroaring fan ferantwurdlike, in feroaring yn hoe't rjochten wurde útoefene - moatte ûnder de oandacht fan minsken brocht wurde fia e-post of in meidieling op lokaasje, fier genôch fan tefoaren dat se har tastimming ynlûke kinne of beswier meitsje kinne. In typfout hoecht gjin oankundiging te wêzen. In nij doel wol.
Ferzje-datearje de ferklearring en bewarje foarige ferzjes. As jo moatte sjen litte wat jo in klant yn 2024 ferteld hawwe, sil in ûndatearre live pagina dat net dwaan.
Bedriuwen dy't bûten de EU fêstige binne
In bedriuw sûnder EU-fêstiging falt ûnder art. 3 AVG as it guod of tsjinsten oanbiedt oan minsken yn 'e EU of har gedrach dêr kontrolearret. Allinnich tagonklikens fan in webside is net genôch; wat telt is bewiis fan targeting - in Nederlânsktalige ferzje, europrizen, levering nei Nederlân, in .nl-domein, Nederlânske reklame. Gedrachsmonitoring fan EU-besikers is in ûnôfhinklike trigger.
As art. 3 fan tapassing is, fereasket art. 27 AVG oer it algemien in fertsjintwurdiger yn 'e Uny, fêstige yn in lidsteat dêr't de relevante betrokkenen binne, waans identiteit en kontaktgegevens yn 'e privacyferklearring hearre. De útsûndering is smel: ferwurking dy't sporadysk is, gjin grutskalige spesjale kategorygegevens omfettet, en wierskynlik gjin risiko oplevert. In webshop dy't kontinu ferkeapet oan 'e Nederlânske merk is net sporadysk.
De AP hat dit yn isolaasje hanthavene, en Locatefamily.com in boete fan € 525,000 oplein foar it net oanwizen fan in EU-fertsjintwurdiger. De beslissing is datearre 10 desimber 2020 en waard publisearre troch de AP op 12 maaie 2021; neist de boete waard in befel oplein ûnder foarbehâld fan in boete dy't fereasket dat de fertsjintwurdiger oanwiisd wurdt. De oertreding wie fan art. 27 lêzen yn kombinaasje mei art. 3 AVG. De side hie gjin EU-fêstiging en de plak fan fêstiging waard nea definityf identifisearre, wat de boete net foarkaam - in sinjaal foar elke net-EU-operator dy't oannimt dat ôfstân gelyk is oan ymmúniteit.
Hanthôf
Under art. 6 fan 'e Uitvoeringswet AVG is de Autoriteit Persoonsgegevens de Nederlânske tafersjochhâldende autoriteit. Harren foegen komme út art. 58 AVG - warskôgings, berispingen, oarders, beheiningen op ferwurking - en art. 83 AVG pleatst oertredings fan art. 12, 13 en 14 yn it hegere nivo foar in bestjoerlike boete : maksimaal € 20 miljoen of 4% fan 'e totale wrâldwide jierlikse omset, wat it heechste is.
De AP behannelet de ynformaasjeferplichting as in op himsels steande ynbreuk, net as in fuotnoat. De boete fan € 10,000,000 oan Uber fan 11 desimber 2023 rêste op art. 12 en 13 AVG - it bewarjen fan ynformaasje te algemien, oerdrachtbestimmingen net neamd, it rjocht op gegevensportabiliteit net as sadanich neamd. De AP ferklearre it beswier fan Uber tsjin dy boete ûngrûn op 8 maaie 2026, en Uber hat de saak foar de rjochter brocht, dus it beslút bliuwt foarearst stean sûnder definityf besletten te wurden. Dat is in boete foar wat in privacyferklearring net sei. Apart dêrfan hat de AP op 22 july 2024 Uber in boete fan € 290,000,000 oplein foar it oerdragen fan sjauffeursgegevens nei de Feriene Steaten sûnder in jildich oerdrachtynstrumint, oankundige op 26 augustus 2024.
It risiko op koarte termyn is heger as gewoanlik. Op 14 oktober 2025 hat de Europeeske Ried foar Gegevensbeskerming transparânsje en ynformaasjeferplichtingen keazen as it ûnderwerp fan har fyfde koördinearre hanthaveningsaksje, en lansearre dizze op 19 maart 2026 mei fiifentweintich gegevensbeskermingsautoriteiten dy't meidogge, rjochte op artikels 12, 13 en 14 fan 'e AVG. Dy autoriteiten benaderje ferantwurdliken oer ferskate sektoaren, itsij fia hanthaveningsaksje as fia feitenûndersyk, mei follow-up as de befiningen dat rjochtfeardigje; de resultaten wurde yn 'e twadde helte fan 2026 dield en gearfoege yn in rapport foar oannimmen troch de Ried. Dielname is frijwillich en de Ried hat net publisearre hokker autoriteiten meidien hawwe, dus der moat gjin oanname makke wurde oer de Autoriteit Persoonsgegevens. It punt hâldt lykwols stand: transparânsje is it Europeeske hanthaveningstema fan dizze syklus, en in ferklearring dy't sûnt it opsteld is net tsjin it bedriuw ynlêzen is, is krekt it soarte dokumint dat de fraach net oerlibet.
Law & More advisearret Nederlânske en bûtenlânske bedriuwen oer de ynformaasjeferplichtingen yn art. 12 oant en mei 14 AVG: it kontrolearjen fan in besteande privacyferklearring oan 'e hân fan it register fan ferwurkingsaktiviteiten, it opstellen fan ien fanôf it begjin, en it beantwurdzjen fan fragen of ûndersiken fan 'e Autoriteit Persoonsgegevens. As jo wolle dat jo ferklearring kontrolearre wurdt foardat immen oars it kontrolearret, nim dan kontakt op.
Is in privacyferklearring wetlik ferplichte yn Nederlân?
De ferplichting yn art. 12, 13 en 14 AVG is om persoanen te ynformearjen, net spesifyk om in dokumint te publisearjen. Mar as jo persoanlike gegevens ferwurkje fia in webside, is in publisearre privacyferklearring de ienige praktyske manier om dêroan te foldwaan. Sûnder ien kinne jo net oantoane dat jo immen ynformearre hawwe, en de bewiislast om neilibjen te bewizen leit by jo. Beskôgje it as ferplicht.
Moat it yn it Nederlânsk wêze?
De AVG fereasket ynformaasje dy't begryplik is foar it bedoelde publyk. As jo de Nederlânske merk yn it Nederlânsk oansprekke, moat de privacyferklearring yn it Nederlânsk beskikber wêze; in allinnich Ingelsktalige ferklearring op in Nederlânsktalige webshop is lestich te ferdigenjen. In bedriuw-oan-bedriuwstsjinst dy't folslein yn it Ingelsk wurket, kin ridlikerwize yn it Ingelsk publisearje. As jo beide oanbiede, moatte de ferzjes itselde sizze.
Kin ik in generator of in konkurrintbelied brûke?
In generator kin jo in struktuer jaan. It kin jo ferwurkers, jo bewarperioaden, jo oerdrachten of jo juridyske basis net kenne, en it belied fan in konkurrint beskriuwt har ferwurking ynstee fan jo eigen. Beide rûtes produsearje in dokumint dat net akkuraat is oer jo eigen bedriuw, wat slimmer is as in koart krekt dokumint. Bou it op út jo register fan ferwurkingsaktiviteiten.
Is de koekjebanner ûnderdiel fan 'e privacyferklearring?
Nee. De banner krijt tastimming ûnder art. 11.7a fan 'e Telekommunikaasjewet foar it pleatsen en lêzen fan cookies en ferlykbere techniken op it apparaat fan 'e besiker. De privacyferklearring foldocht oan 'e GDPR-plicht om te ynformearjen oer de ferwurking fan persoanlike gegevens. It binne aparte dokuminten mei aparte juridyske basissen, en se moatte mei-inoar oerienkomme en mei wat de side eins docht.
Wat as wy gjin bewarperioade kinne jaan?
Art. 13 AVG lit de kritearia ta dy't brûkt wurde om de perioade te bepalen. De kritearia moatte echt brûkber wêze foar de lêzer: keppele behâld oan 'e rin fan it kontrakt, oan in wettelike ferplichting, of oan in definieare barren plus in definieare termyn. "Salang't nedich" is al troch de Autoriteit Persoonsgegevens as te algemien beskôge om oan 'e ferplichting te foldwaan.
Wy binne in Amerikaansk bedriuw mei in Nederlânske webshop. Hawwe wy in fertsjintwurdiger fan 'e EU nedich?
Wierskynlik wol. As jo jo rjochtsje op Nederlânske klanten - Nederlânske taal, europrizen, levering nei Nederlân - is art. 3 AVG op jo fan tapassing, en art. 27 fereasket dan in fertsjintwurdiger yn 'e Uny, útsein as jo ferwurking echt sa no en dan en leech risiko is. Trochgeande webshop-operaasjes binne net sa no en dan. De gegevens fan 'e fertsjintwurdiger moatte ferskine yn jo privacyferklearring.
