Under art. 12, 13 en 14 fan 'e AVG moatte jo minsken fertelle wa't jo binne, wêrom en op hokker juridyske basis jo harren gegevens ferwurkje, wa't se ûntfangt, hoe lang jo se bewarje en hokker rjochten se hawwe; op in webside is in privacyferklearring ( privacyferklearring ) de praktyske manier om dat te dwaan. In ferklearring dy't kopiearre is fan in konkurrint of in generator mislearret meastentiids, en yn 2026 keas de Europeeske Ried foar Gegevensbeskerming dizze transparânsjeferplichtingen as it tema fan in koördinearre hanthaveningsaksje troch nasjonale tafersjochhâlders. Yn Nederlân is dy tafersjochhâlder de Autoriteit Persoonsgegevens (AP).
Wêr komt de plicht om in privacyferklearring te publisearjen wei?
Gjin artikel fan 'e AVG hat de titel "privacybelied". De ferklearring is gewoan de gewoane manier om in ferplichting te ferfoljen dy't de AVG oars formulearret - lykas it rjocht fan it yndividu om ynformearre te wurden. Transparânsje is in prinsipe yn art. 5 AVG; art. 12, 13 en 14 AVG meitsje der in konkrete list fan dingen fan dy't jo minsken fertelle moatte, en in standert foar hoe.
De skieding tusken art. 13 en art. 14 is wichtiger as de measte bedriuwen beseffe.
- Art. 13 AVG jildt wêr't jo persoanlike gegevens sammelje fan it yndividu — in kontaktformulier, in kassa, in oanmelding foar in nijsbrief. De ynformaasje moat jûn wurde op 'e tiid de gegevens wurde krigen: foardat it formulier yntsjinne wurdt, net dêrnei.
- Art. 14 AVG jildt as de gegevens fan earne oars komme - in gegevensmakelaar, in iepenbier register, in skrabde boarne, in partner, in wurkjouwer. Jo moatte it yndividu binnen in ridlike perioade ynformearje en op syn lêst binnen ien moanne, of by de earste kommunikaasje mei har, of as de gegevens foar it earst oan in oare ûntfanger iepenbier makke wurde, wat it earst komt.
Art. 14 befettet in lytse set útsûnderings - it yndividu hat de ynformaasje al, it ynformearjen dêrfan is ûnmooglik of soe in ûnevenredige ynspanning fereaskje, it krijen of iepenbier meitsjen is útdruklik by wet fêstlein, of de gegevens binne ûnderwurpen oan beropsgeheim. Dizze binne beheind. "Ûngemaklik" is gjin ûnevenredige ynspanning, en in bedriuw dat kontaktgegevens keapet of skraapt en it noait oan immen fertelt, fertrout op in útsûndering dy't net bestiet.
Art. 12 AVG regelet de wize : bondige, transparante, begryplike, maklik tagonklike, yn dúdlike en ienfâldige taal.
Wat moat in privacyferklearring befetsje?
Dit is gjin menu. In ferklearring wêryn ien fan dizze items ûntbrekt, is wetlik ûnfolslein.
| Ynformaasje | Art. 13 (ynhelle fan it yndividu) | Art. 14 (earne oars te krijen) |
|---|---|---|
| Identiteit en kontaktgegevens fan 'e ferwurker | Ja | Ja |
| Identiteit en kontaktgegevens fan 'e EU-fertsjintwurdiger, as ien fereaske is | Ja | Ja |
| Kontaktgegevens fan 'e gegevensbeskermingsamtner, as ien beneamd is | Ja | Ja |
| Doelen fan 'e ferwurking | Ja | Ja |
| Juridyske basis foar elk doel | Ja | Ja |
| De legitime belangen dy't neistribbe wurde, wêr't dat de basis is dêr't op fertroud wurdt | Ja | Ja |
| Kategoryen fan persoanlike gegevens yn kwestje | - | Ja |
| Untfangers of kategoryen fan ûntfangers | Ja | Ja |
| Oerdrachten bûten de EER en de beskerming dêr't op ynspile wurdt | Ja | Ja |
| Bewaringsperioade, of de kritearia dy't brûkt wurde om it te bepalen | Ja | Ja |
| Rjochten fan tagong, korreksje, wiskjen, beheining, beswier en portabiliteit | Ja | Ja |
| Rjocht om tastimming yn te lûken, wêr't tastimming de basis is | Ja | Ja |
| Rjocht om in klacht yn te tsjinjen by de Autoriteit Persoonsgegevens | Ja | Ja |
| Oft it leverjen in wetlike of kontraktuele eask is, en de gefolgen fan it net leverjen | Ja | - |
| De boarne fan 'e gegevens, en oft it út iepenbier tagonklike boarnen komt | - | Ja |
| Automatisearre beslútfoarming en profilering, mei betsjuttingsfolle ynformaasje oer de logika en de ferwachte gefolgen | Ja | Ja |
Trije items fertsjinje in tichterby besjen, want dêr lânet de oandacht fan 'e AP.
Wêrom is "ús partners" net in goed genôch antwurd op ûntfangers?
Art. 13 en art. 14 AVG tastean ûntfangers of kategoryen fan ûntfangers ta. Dat is in echte kar, mar in kategory moat wat betsjutte. "Us partners" is gjin kategory; it is in wegering om te antwurdzjen. "Us betellingstsjinstferliener, ús hostingprovider yn Dútslân, ús e-postmarketingplatfoarm yn 'e Feriene Steaten, en de reklamenetwurken neamd yn ús cookieferklearring" is. As jo in ûntfanger net sûnder ûndúdlikens kinne beskriuwe, witte jo wierskynlik net wa't de gegevens hat - in grutter probleem.
Wat as jo gjin fêste bewarperioade kinne jaan?
De AVG akseptearret dat in oantal dagen net altyd jûn wurde kin, dêrom lit art. 13 de kritearia ta dy't brûkt wurde om de perioade te bepalen. Wat it net talit, is it net beantwurdzjen. Yn in beslút út 2023 dat Uber Technologies Inc. en Uber BV in boete fan € 10,000,000 joech, fûn de AP krekt dat: de ferklearring sei dat gegevens sa lang as nedich bewarre wurde soene, wat it te algemien fûn. In wurkber kritearium seit "foar de doer fan it kontrakt en sân jier nei de lêste transaksje, yn oerienstimming mei de Nederlânske belestingwetjouwing".
Wat moat sein wurde oer oerdrachten bûten de EER?
Sizze dat gegevens "meie wurde oerdroegen bûten de Jeropeeske Ekonomyske Gebiet" seit de lêzer neat. Yn deselde Uber-saak wie it stânpunt fan 'e AP dat de bestimmingslannen neamd wurde moasten en de beskermingsmaatregels identifisearre wurde moasten - adekwaatheidsbeslút, standert kontraktuele klausules, bindende bedriuwsregels - mei hoe't in kopy te krijen wie. Bedriuwen dy't Amerikaanske analyses, CRM of cloudhosting brûke, binne oan it oerdragen; de ienige fraach is oft de ferklearring it talit.
Hokker foarm moat de ferklearring oannimme?
Art. 12 AVG stelt in standert dy't maklik te stellen is en faak mislearre is:
- Konsistint en transparant — effisjint presintearre en dúdlik skieden fan betingsten en kondysjes. It yn 'e algemiene betingsten begrave is net yn oerienstimming mei de regels.
- Fersteanber — begryplik foar in gemiddelde lid fan it bedoelde publyk. In ferklearring skreaun foar Amerikaanske advokaten is net begryplik foar Nederlânske konsuminten, en in allinnich Ingelsktalige ferklearring op in Nederlânsktalige side ek net.
- Maklik tagonklik — de lêzer moat net hoege te sykjen. Jeropeeske rjochtlinen behannelje it as moatte direkt dúdlik wêze: in direkte keppeling fan elke pagina, in kontekstuele keppeling op it punt fan sammeljen, en yn in app op syn heechst in pear tikken fuort.
- Dúdlike en gewoane taal — konkreet en definityf ynstee fan abstrakt. Jeropeeske rjochtlinen ûnderskiede wurden dy't bedoeld binne om te beskermjen tsjin oertredings lykas "mei", "miskien" en "mooglik", en behannelje útdrukkings lykas "wy kinne jo persoanlike gegevens brûke om nije tsjinsten te ûntwikkeljen" of "foar ûndersyksdoelen" as foarbylden fan wat jo net skriuwe moatte.
As in tsjinst rjochte is oan bern, of jo witte dat bern it swier brûke, fereasket art. 12 dat wurdskat, toan en styl oanpast wurde, sadat in bern it begripe kin. Yn Nederlân komt dit al gau: ûnder art. 5 fan 'e Uitvoeringswet AVG (de Nederlânske AVG-ymplemintaasjewet) is de leeftyd wêrûnder âlderlike tastimming nedich is foar ynformaasjemaatskippijtsjinsten dy't direkt oan in bern oanbean wurde, sechstjin, it heechste dat de AVG talit. In ferklearring skreaun foar folwoeksenen oer in tsjinst dy't brûkt wurdt troch fjirtjinjierrigen falt net ta, en it eigen rjocht fan it bern om ynformearre te wurden wurdt net kwytrekke troch de âlder te ynformearjen.
Hoe wurket in lagen privacyferklearring?
Laachfoarming is it oanrikkemandearre antwurd op 'e spanning tusken folsleinens en lêsberens, en sawol de AP as de Jeropeeske rjochtlinen stypje it. As it goed dien wurdt, draacht de earste laach de identiteit fan 'e ferantwurdlike, de doelen, de ferwurking mei de grutste ynfloed of kapasiteit om te ferrassen, en hoe't rjochten útoefene wurde kinne - mei de folsleine tekst ien klik fuort as ien dokumint.
As it net goed dien wurdt, wurdt it in manier om dingen te ferbergjen. Lagen meie inoar net tsjinsprekke, de folsleine ynformaasje moat op ien plak beskikber bliuwe, en neat mei degradearre wurde om't it ferlegen is. As in ferwurkingsoperaasje de lêzer ferrasse soe, is dat in argumint foar de earste laach, net de fjirde.
Wêr geane privacyferklearrings ferkeard?
De weromkommende mislearrings binne seldsum en foarsisber.
- Vage doelen en net iepenbiere dielen. "Om ús tsjinsten te ferbetterjen" beskriuwt neat, en "wy kinne jo gegevens diele mei selektearre partners" is it meast foarkommende gebrek fan allegear - it ferberget meastentiids advertinsjetechnology. De test is oft in lêzer kin fertelle wat der mei har gegevens bart en beslute oft se it slim fine.
- In útspraak dy't yn striid is mei de side. Dit feroaret in papierwurkprobleem yn in hanthaveningsprobleem. De ferklearring seit dat gjin trackingkoekjes sûnder tastimming pleatst wurde wylst de tagmanager aktivearret by it laden fan in side; it seit dat gegevens yn 'e EU bliuwe wylst de stipedesk op in Amerikaansk platfoarm wurket. In tafersjochhâlder hoecht de ferklearring net sekuer te lêzen om dit te finen. Hy moat it ljepblêd netwurk iepenje.
- De kopiearre ferklearring. In belied dat fan in konkurrint ôfnommen is, beskriuwt de ferwurking fan 'e konkurrint: it neamt ûntfangers dy't jo net brûke, lit de ûntfangers dy't jo wol brûke wei, en neamt bewarperioaden dy't jo net yn acht nimme. It is in set falske útspraken oer jo eigen bedriuw.
Is in privacyferklearring itselde as in koekjeferklearring?
Nee. Dit binne twa ferplichtingen ûnder twa ynstruminten, en it gearfoegjen fan harren is in betroubere manier om oan gjin fan beiden te foldwaan.
Koekjes en ferlykbere techniken wurde yn Nederlân regele troch art. 11.7a fan 'e Telekommunikaasjewet, dy't de ePrivacy-rjochtline ymplementearret. Elkenien dy't ynformaasje opslaat op, of tagong hat ta ynformaasje dy't opslein is yn, de terminalapparatuer fan in brûker moat dúdlike en folsleine ynformaasje jaan en tastimming krije, mei beheinde útsûnderings foar wat strikt needsaaklik is om de kommunikaasje oer te dragen of de oanfrege tsjinst te leverjen. Dit regelet it lêzen of skriuwen op it apparaat , oft it no giet om persoanlike gegevens of net. De AVG regelet wat jo dan dogge mei alle resultearjende persoanlike gegevens.
Dus: de banner is dêr't tastimming jûn of wegere wurdt; de koekjeferklearring listet de koekjes, harren doelen en doer op; de privacyferklearring ferklearret de ferwurking fan persoanlike gegevens. In privacyferklearring kin gjin tastimming krije, en in banner kin net foldwaan oan artikels 13 en 14. Ferwize se oan elkoar, en hâld se konsekwint.
De AP hat sûnt 2025 har kontrôle op Nederlânske koekjebanners opskerpe, en skriuwt nei organisaasjes waans banners foarôf oankrúste fakjes brûke, in maklikere rûte om te akseptearjen as te wegerjen, of opsjes dy't lestich te finen binne. De measte organisaasjes dy't benadere binne, hawwe har banners sûnt oanpast; de AP hat ûndersiken iepene nei dyjingen dy't dat net dien hawwe.
Hoe bouwe jo in krekte útspraak op, ynstee fan ien te kopiearjen?
Art. 30 AVG fereasket dat de measte organisaasjes in register fan ferwurkingsaktiviteiten byhâlde - it ferwurkingsregister . Foar elke aktiviteit wurde de doelen, de kategoryen fan betrokkene en fan persoanlike gegevens, de ûntfangers, ynklusyf dy yn tredde lannen, de oerdrachtbefeiligingen en de bewarperioaden registrearre. As in ûntfanger in ferwurker is, moatte deselde feiten al ferskine yn 'e gegevensferwurkingsoerienkomst mei dy partij, wêrtroch't it register en de ferklearring folle makliker op elkoar ôfstimd binne.
Fergelykje dat mei de tabel hjirboppe: de oerlaap is hast folslein. It register is de feitelike ynventarisaasje; de privacyferklearring is de iepenbiere werjefte dêrfan. Yn dy folchoarder boud, is de ferklearring akkuraat fan konstruksje en bliuwt se akkuraat, om't it bywurkjen fan it register de boarne bywurket. Oarsom skreaun, driuwe de twa útinoar - en in tafersjochhâlder dy't freget om it register en de webside lêst sjocht de gat.
Hoe hâlde jo de útspraak aktueel?
In privacyferklearring beskriuwt in libbend systeem, dus it wurdt ferâldere as it systeem feroaret: in nije analytyske ark, in nije CRM, in nije ferwurker yn it bûtenlân, in nij doel foar gegevens dy't al bewarre wurde.
Twa regels folgje. In feroaring fan ferwurking is in feroaring oan 'e ferklearring, en it moat wurde herzien foardat de feroaring fan krêft wurdt. En in wichtige feroaring moat aktyf kommunisearre wurde: Jeropeeske rjochtlinen binne fêst dat it net genôch is om yndividuen sels in wizige belied te litten fernimmen. Ynhâldlike feroarings - in nij doel, in feroaring fan ferantwurdlike, in feroaring yn hoe't rjochten wurde útoefene - moatte ûnder de oandacht fan minsken brocht wurde fia e-post of in meidieling op lokaasje, fier genôch fan tefoaren dat se har tastimming ynlûke kinne of beswier meitsje kinne. In typfout hoecht gjin oankundiging te wêzen. In nij doel wol.
Ferzje-datearje de ferklearring en bewarje foarige ferzjes. As jo moatte sjen litte wat jo in klant yn 2024 ferteld hawwe, sil in ûndatearre live pagina dat net dwaan.
Jildt de ferplichting foar bedriuwen dy't bûten de EU fêstige binne?
In bedriuw sûnder EU-fêstiging falt ûnder art. 3 AVG as it guod of tsjinsten oanbiedt oan minsken yn 'e EU of har gedrach dêr kontrolearret. Allinnich tagonklikens fan in webside is net genôch; wat telt is bewiis fan targeting - in Nederlânsktalige ferzje, europrizen, levering nei Nederlân, in .nl-domein, Nederlânske reklame. Gedrachsmonitoring fan EU-besikers is in ûnôfhinklike trigger.
As art. 3 fan tapassing is, fereasket art. 27 AVG oer it algemien in fertsjintwurdiger yn 'e Uny, fêstige yn in lidsteat dêr't de relevante betrokkenen binne, waans identiteit en kontaktgegevens yn 'e privacyferklearring hearre. De útsûndering is smel: ferwurking dy't sporadysk is, gjin grutskalige spesjale kategorygegevens omfettet, en wierskynlik gjin risiko oplevert. In webshop dy't kontinu ferkeapet oan 'e Nederlânske merk is net sporadysk.
De AP hat dit yn isolaasje hanthavene, en Locatefamily.com in boete fan € 525,000 oplein foar it net oanwizen fan in EU-fertsjintwurdiger. De oertreding wie fan art. 27 yn kombinaasje mei art. 3 AVG. De side hie gjin EU-fêstiging en de plak fan fêstiging waard nea definityf identifisearre, wat de boete net foarkaam - in sinjaal foar elke net-EU-operator dy't oannimt dat ôfstân gelyk is oan ymmúniteit.
Hoe hanthavenet de AP dizze regels?
Under art. 6 fan 'e Uitvoeringswet AVG is de Autoriteit Persoonsgegevens de Nederlânske tafersjochhâldende autoriteit. Harren foegen komme út art. 58 AVG - warskôgings, berispingen, oarders, beheiningen op ferwurking - en art. 83 AVG pleatst oertredings fan art. 12, 13 en 14 yn it hegere nivo foar in bestjoerlike boete : maksimaal € 20 miljoen of 4% fan 'e totale wrâldwide jierlikse omset, wat it heechste is.
De AP behannelet de ynformaasjeferplichting as in op himsels steande oertreding, net as in fuotnoat. De boete fan € 10,000,000 oan Uber rêste op artikels 12 en 13 AVG - it behâld fan ynformaasje te algemien, oerdrachtbestimmingen net neamd, it rjocht op gegevensportabiliteit net as sadanich neamd. Dat is in boete foar wat in privacyferklearring net sei. Apart dêrfan hat de AP Uber yn 2024 in boete fan € 290,000,000 oplein foar it oerdragen fan sjauffeursgegevens nei de Feriene Steaten sûnder in jildich oerdrachtynstrumint.
It risiko op koarte termyn is heger as gewoanlik. De koördinearre hanthaveningsaksje fan 'e Europeeske Ried foar Gegevensbeskerming yn 2026 is direkt rjochte op artikels 12, 13 en 14 fan 'e AVG: dielnimmende autoriteiten benaderje ferantwurdliken yn ferskate sektoaren fia ûndersiken of feitenûndersyk, mei opfolging as de befiningen dat rjochtfeardigje.
Wat moatte jo as bedriuw kontrolearje?
Fergelykje jo útspraak mei wat jo webside en systemen eins dogge; sa test de AP it.
- Kontrolearje dat elk doel in oanjûne juridyske basis hat ûnder art. 6 AVG, en dat legitime belangen neamd wurde wêr't jo jo derop fertrouwe.
- Neam ûntfangers of betsjuttingsfolle kategoryen, net "ús partners", en fergelykje se mei jo ferwurkingsoerienkomsten.
- Jou in bewarperioade of in brûkber kritearium foar elke kategory gegevens.
- Neam de lannen bûten de EER wêr't jo nei oermeitsje en de beskermingsmaatregel dy't foar elk brûkt wurdt.
- Kontrolearje oft de ferklearring oerienkomt mei jo koekjebanner en de tags dy't eins aktivearre wurde ûnder art. 11.7a Telekommunikaasjewet.
- Ferzje-datearje de ferklearring en bywurkje it foardat in nij ark of doel live giet.
Wat kinne wy foar jo dwaan mei jo privacyferklearring?
Us IT-advokaten advisearje Nederlânske en bûtenlânske bedriuwen oer de ynformaasjeplicht fan 'e AVG.
- Wy kontrolearje jo hjoeddeistige privacyferklearring oan 'e hân fan artikels 12, 13 en 14 AVG en listje de tekoartkommingen op.
- Wy stelle in ferklearring op op basis fan jo register fan ferwurkingsaktiviteiten (art. 30 AVG).
- Wy kontrolearje jo cookiebanner en cookieferklearring op konsistinsje mei de privacyferklearring.
- Wy beoardielje oft jo in EU-fertsjintwurdiger nedich binne ûnder art. 27 AVG.
- Wy helpe jo as de AP fragen stjoert of in ûndersyk iepenet.
Gearfetting
- De AVG brûkt de wurden "privacybelied" net, mar artikels 12, 13 en 14 meitsje publisearjen ien fan 'e ienige praktyske manieren om te foldwaan oan 'e ynformaasjeplicht.
- Art. 13 is fan tapassing op gegevens dy't fan it yndividu sammele binne; art. 14 op gegevens dy't earne oars krigen binne, mei eigen timingregels en in beheinde set útsûnderings.
- De ferklearring moat bondig, begryplik, maklik tagonklik en yn gewoane taal wêze - ûndúdlike formulearring oer ûntfangers, behâld en oerdrachten is wêr't hanthavening telâne komt.
- Bou de ferklearring op út jo register fan ferwurkingsaktiviteiten (art. 30 AVG), net út it belied fan in konkurrint of in generator, en wizigje it as de ûnderlizzende ferwurking feroaret.
- As jo gjin EU-fêstiging hawwe, mar jo rjochtsje jo op 'e Nederlânske merk, kontrolearje dan oft jo in EU-fertsjintwurdiger nedich binne ûnder art. 27 AVG.
Faak Stelde Fragen
Is in privacyferklearring wetlik ferplichte yn Nederlân?
De ferplichting yn art. 12, 13 en 14 AVG is om persoanen te ynformearjen, net spesifyk om in dokumint te publisearjen. Mar as jo persoanlike gegevens ferwurkje fia in webside, is in publisearre privacyferklearring de ienige praktyske manier om dêroan te foldwaan. Sûnder ien kinne jo net oantoane dat jo immen ynformearre hawwe, en de bewiislast om neilibjen te bewizen leit by jo. Beskôgje it as ferplicht.
Moat it yn it Nederlânsk wêze?
De AVG fereasket ynformaasje dy't begryplik is foar it bedoelde publyk. As jo de Nederlânske merk yn it Nederlânsk oansprekke, moat de privacyferklearring yn it Nederlânsk beskikber wêze; in allinnich Ingelsktalige ferklearring op in Nederlânsktalige webshop is lestich te ferdigenjen. In bedriuw-oan-bedriuwstsjinst dy't folslein yn it Ingelsk wurket, kin ridlikerwize yn it Ingelsk publisearje. As jo beide oanbiede, moatte de ferzjes itselde sizze.
Kin ik in generator of in konkurrintbelied brûke?
In generator kin jo in struktuer jaan. It kin jo ferwurkers, jo bewarperioaden, jo oerdrachten of jo juridyske basis net kenne, en it belied fan in konkurrint beskriuwt har ferwurking ynstee fan jo eigen. Beide rûtes produsearje in dokumint dat net akkuraat is oer jo eigen bedriuw, wat slimmer is as in koart krekt dokumint. Bou it op út jo register fan ferwurkingsaktiviteiten.
Wy binne in Amerikaansk bedriuw mei in Nederlânske webshop. Hawwe wy in fertsjintwurdiger fan 'e EU nedich?
Wierskynlik wol. As jo jo rjochtsje op Nederlânske klanten - Nederlânske taal, europrizen, levering nei Nederlân - is art. 3 AVG op jo fan tapassing, en art. 27 fereasket dan in fertsjintwurdiger yn 'e Uny, útsein as jo ferwurking echt sa no en dan en leech risiko is. Trochgeande webshop-operaasjes binne net sa no en dan. De gegevens fan 'e fertsjintwurdiger moatte ferskine yn jo privacyferklearring.
