Wat moet er in een privacyverklaring staan?

Wie namen, contactgegevens, aankopen of gegevens van mogelijke klanten gebruikt, krijgt die informatie niet altijd via dezelfde weg. De vraag wat moet in een privacyverklaring staan begint daarom niet bij een standaardtekst, maar bij de herkomst van de gegevens. Rechtstreekse verkrijging leidt naar artikel 13, indirecte verkrijging naar artikel 14 en artikel 12 bepaalt voor beide routes hoe begrijpelijk en toegankelijk de informatie moet zijn.

Op 19 maart 2026 startte de EDPB zijn vijfde gecoördineerde handhavingsactie. Vijfentwintig toezichthoudende autoriteiten namen deel aan controles van transparantie en informatieplichten; de bevindingen werden in de tweede helft van 2026 verwacht. De start is reden om uw werkwijze te onderzoeken, maar zegt nog niets over een uitkomst ^1,2.

Snel antwoord: In een privacyverklaring moet staan wie verantwoordelijk is, welke gegevens voor welk doel en op welke rechtsgrond worden gebruikt, met wie ze worden gedeeld, hoelang ze blijven en welke rechten iemand heeft. Vermeld ook bron en categorieën bij indirecte verkrijging, en geef de informatie helder, op tijd en aantoonbaar ³.

Laatst bijgewerkt: 22 september 2026

Begin bij de herkomst, niet bij het document

Kies eerst één echte verwerkingsactiviteit. Schrijf op om welke persoonsgegevens het gaat, waar ze vandaan komen, voor welk specifiek doel u ze gebruikt en welke ontvangers erbij betrokken zijn. Daarmee voorkomt u dat een juridisch correcte lijst los komt te staan van de handeling die een klant, bezoeker of contactpersoon werkelijk raakt. Artikel 13 geldt bij rechtstreekse verkrijging, artikel 14 bij indirecte verkrijging en artikel 12 bij beide ³.

Een algemene activiteitstitel zoals marketing is niet nauwkeurig genoeg. Een vrijwillige nieuwsbriefinschrijving heeft een andere bron en verwachting dan een evenementenlijst die later voor gerichte benadering wordt verrijkt. Als beide routes in één verklaring staan, moet de lezer toch kunnen zien welke feiten bij zijn gegevens horen. De verklaring volgt dus de verwerking; de verwerking wordt niet achteraf passend gemaakt voor één brede tekst.

Die werkwijze maakt ook lacunes zichtbaar. Mogelijk kent u het doel en de ontvanger al, maar niet de precieze bron van een geïmporteerde lijst. Dan is de verwerking nog niet klaar voor een publiceerbare uitleg. Houd de route vast totdat bron, categorie, doel en levering samen een controleerbaar geheel vormen.

Artikel 12 bepaalt hoe de informatie aankomt

Volledigheid alleen is onvoldoende. De informatie moet beknopt, transparant, begrijpelijk, gemakkelijk toegankelijk en in duidelijke, eenvoudige taal worden aangeboden. Zij wordt normaal schriftelijk verstrekt, ook langs elektronische weg ³. Dat vraagt niet om zo weinig mogelijk woorden, maar om een opbouw waarin een lezer de informatie voor zijn situatie kan vinden en begrijpen.

Test de tekst vanuit het perspectief van iemand die uw interne systemen niet kent. Labels als dienstverlening verbeteren of gegevens beheren klinken vriendelijk, maar zeggen niet welke handeling plaatsvindt. Noem bijvoorbeeld dat aankoopgegevens worden gebruikt om een bestelling af te handelen, dat een betaalprovider ze ontvangt en dat de gegevens volgens een bepaald criterium worden bewaard. Concrete taal kan nog steeds compact zijn.

Koppel vervolgens vier onderdelen: inhoud, kanaal, versie en activerende gebeurtenis. De juiste tekst op een verborgen pagina bewijst niet dat een formuliergebruiker hem op het juiste moment zag. Andersom bewijst een vinkje niet welke versie erachter stond. Controleer de live route op telefoon en computer, probeer de contactmogelijkheid en bewaar een reproduceerbaar spoor van de aangeboden versie. Een algemene link in de voettekst is geen veilige vervanging als de context, het doel of een belangrijk gevolg daar niet onmiddellijk uit blijkt.

Gestandaardiseerde pictogrammen kunnen een laag sneller scanbaar maken, maar vervangen de informatie niet. Een pictogram zonder toelichting kan voor de maker vanzelfsprekend zijn en voor de lezer dubbelzinnig. Gebruik het als ingang naar duidelijke tekst, niet als verkorting van een juridische verplichting.

Rechtstreekse verkrijging vraagt de informatie meteen

Wanneer iemand de gegevens zelf verstrekt, is de informatie verschuldigd op het moment van verkrijging ³. Voor een formulier betekent dit dat de relevante uitleg beschikbaar is voordat of terwijl de persoon de gegevens verzendt.

Neem voor de gekozen activiteit precies de volgende onderdelen op:

• de identiteit en contactgegevens van de verwerkingsverantwoordelijke en, waar van toepassing, diens vertegenwoordiger;
• de contactgegevens van de functionaris voor gegevensbescherming, als die functie van toepassing is;
• de concrete verwerkingsdoeleinden en de rechtsgrond voor ieder doel;
• de gerechtvaardigde belangen wanneer de verwerking daarop berust;
• de ontvangers of categorieën van ontvangers van de persoonsgegevens;
• eventuele doorgiften buiten de toepasselijke ruimte en de bijbehorende waarborgen;
• de bewaartermijn of, als een vaste termijn niet mogelijk is, de criteria waarmee die wordt bepaald;
• de rechten op inzage, rectificatie, wissing, beperking, bezwaar en gegevensoverdraagbaarheid waar toepasselijk;
• het recht om toestemming op ieder moment in te trekken zonder de eerdere rechtmatigheid aan te tasten;
• het recht een klacht in te dienen bij de bevoegde nationale toezichthoudende autoriteit;
• of verstrekking wettelijk of contractueel verplicht is, of nodig is voor een overeenkomst, plus de mogelijke gevolgen van niet verstrekken;
• het bestaan en de wezenlijke logica en gevolgen van geautomatiseerde besluitvorming, waaronder profilering, waar toepasselijk.

Niet elk onderdeel geldt voor iedere activiteit. Maak van niet van toepassing echter een vastgelegde conclusie, geen lege plek. Voor bewaring is een toetsbaar criterium, zoals het einde van een overeenkomst plus een onderbouwde wettelijke behoefte, nuttiger dan zolang als nodig. Als u de gegevens later voor een nieuw doel wilt gebruiken, verstrekt u vóór die verdere verwerking informatie over dat doel en de overige relevante feiten ³.

De uitzondering in artikel 13 is smal: informatie hoeft alleen niet opnieuw te worden gegeven voor zover de persoon haar al heeft. Leg vast welke informatie dat is en waarop u die conclusie baseert. U kunt de ruimere uitzonderingen van artikel 14 niet naar een rechtstreeks formulier overbrengen.

Maak de controle praktisch door ieder onderdeel aan een systeemveld of besluit te koppelen. De ontvangers komen bijvoorbeeld uit de werkelijke leveranciersroute, niet uit een oude modeltekst; een bewaartermijn komt uit het vastgestelde criterium, niet uit een algemene belofte. Als een eigenaar een toepasselijk onderdeel niet kan herleiden tot een feit, blijft dat onderdeel open. Zo wordt de verklaring het leesbare uiteinde van een beheerste activiteit en niet een los juridisch document.

Indirecte gegevens vereisen bron en categorie

Bij indirecte verkrijging blijft de gedeelde kern bestaan: verantwoordelijke, contact, doelen, rechtsgronden, belangen, ontvangers, doorgiften, bewaring en rechten. Daar komen de categorieën van persoonsgegevens en de werkelijke bron bij, met vermelding of die bron openbaar toegankelijk was ³. De woorden derde partijen zijn niet concreet genoeg om iemand te laten begrijpen hoe zijn gegevens bij u belandden.

Stel dat een evenementenaanbieder een deelnemerslijst levert. Schrijf dan niet alleen dat de gegevens van een partner komen. Noem de aanbieder of het evenement als bron, beschrijf de ontvangen velden, leg uit welke aanvullende gegevens u eraan koppelt en formuleer het doel van die matching. Het verschil tussen een zakelijk e-mailadres ontvangen en een profiel verrijken is relevant voor de persoon én voor uw eigen toets.

De informatie moet de echte keten weerspiegelen: herkomst en categorie leiden naar het doel; het doel bepaalt welke feiten relevant zijn; het eerste gebruik bepaalt mede de timing; het kanaal toont hoe de uitleg de persoon bereikte. Als één schakel alleen uit een vage systeemnaam bestaat, is de verklaring nog niet klaar.

Een later doel vraagt opnieuw aandacht. Voordat u de indirect verkregen gegevens voor dat andere doel verwerkt, geeft u de betrokkene de relevante aanvullende informatie ³. Een oud versienummer mag niet de indruk wekken dat een nieuwe toepassing al was uitgelegd.

Controleer ook wat bron in de praktijk betekent. Een database-export kan alleen het laatste systeem noemen, terwijl de gegevens oorspronkelijk bij een beurs, uit een openbare lijst of via een tussenpersoon zijn verkregen. Volg de keten terug tot de bron die voor de betrokkene betekenis heeft. Bewaar daarbij welke velden zijn geleverd, welke velden later zijn toegevoegd en op welk moment het doel is gekozen. Anders beschrijft de verklaring een technische overdracht in plaats van de werkelijke herkomst.

Timing volgt de eerste relevante gebeurtenis

Bij rechtstreekse verkrijging is het moment eenvoudig: geef de informatie wanneer u de gegevens ontvangt. Bij indirecte verkrijging geldt een redelijke termijn van uiterlijk één maand, tenzij de eerste communicatie of eerste bekendmaking eerder plaatsvindt. In dat geval geldt die eerdere gebeurtenis ³.

Daarom zijn innamegegevens en eerste-gebruiksgebeurtenissen geen technische details. Een batch kan op verschillende dagen zijn ontvangen, terwijl een deel al eerder wordt benaderd. Eén geplande datum voor de hele lijst kan dan te laat zijn. Koppel de personen of batchdelen aan een betrouwbare ontvangstdatum en leg vast welke versie bij welke gebeurtenis is gebruikt.

Gemengde gegevens vragen dezelfde discipline. Iemand kan eerst rechtstreeks inschrijven en later met externe gegevens worden verrijkt. De eerste verklaring dekt niet automatisch feiten die toen nog niet bestonden. Het overzicht moet laten zien welke informatie al is gegeven en welk aanvullend bericht bij de nieuwe bron, categorie of toepassing hoort.

Een eenvoudige tijdlijn per stroom voorkomt veel vergissingen. Noteer ontvangst, eerste geplande gebruik, eerste werkelijke communicatie, eerste bekendmaking en de informatieversie die vóór of bij die stap beschikbaar was. Bij een wijziging van de campagneplanning verschuift dan niet ongemerkt alleen de verzenddatum; ook het uiterste informatiemoment wordt opnieuw beoordeeld. Voor batches met meerdere innamedagen bewaart u die dagen afzonderlijk, zodat de oudste records niet onder de termijn van de nieuwste vallen.

Uitzonderingen zijn smalle, vastgelegde routes

Voor rechtstreeks verkregen gegevens kent artikel 13 slechts de uitzondering dat de betrokkene de informatie al heeft, en alleen voor zover dat werkelijk zo is. Artikel 14 bevat precies vier routes: de persoon is al geïnformeerd; verstrekking blijkt in de omschreven context onmogelijk of vraagt onevenredige inspanning met passende waarborgen; het verkrijgen of bekendmaken is uitdrukkelijk geregeld in Unierecht of lidstatelijk recht met beschermende maatregelen; of een gereglementeerde beroeps- of wettelijke geheimhoudingsplicht geldt ³.

Een groot volume is op zichzelf geen uitzondering. Ook algemene nalevingstaal en een niet-onderbouwd beroep op vertrouwelijkheid leveren geen geldige verkorting op. Bij een beroep op onevenredige inspanning moet de concrete context aantonen waarom gewone verstrekking niet haalbaar is, welke belangen van betrokkenen spelen en welke maatregelen, zoals openbare informatie, hun bescherming ondersteunen.

Leg de analyse per activiteit vast. Benoem de toepasselijke tak, de feiten, het bereik van de uitzondering en de waarborgen. Een uitzondering voor één veld of één groep trekt niet vanzelf de hele activiteit buiten de informatieplicht. De gewone verstrekking blijft het uitgangspunt ³.

Een toetsbare vastlegging voorkomt dat een tijdelijke moeilijkheid een permanente status wordt. Herbeoordeel de conclusie wanneer een contactroute, databron of technisch middel verandert. Wat ooit onmogelijk was, kan na een systeemwijziging een normale levering zijn geworden.

Schrijf bovendien op welk deel van de informatie door de uitzondering wordt geraakt. Misschien kan de bron voor een beperkte historische verzameling niet individueel worden meegedeeld, terwijl doelen, rechten en contactroute wel gewoon kunnen worden verstrekt. Een nauw begrensde beslissing houdt alle overige informatieplichten zichtbaar. Vermeld wie de afweging goedkeurde, welk bewijs is bekeken en wanneer herbeoordeling plaatsvindt; een enkel vinkje uitzondering kan die redenering niet dragen.

Breng één activiteit terug tot controleerbare feiten

Een audit is bruikbaar wanneer iedere rij een persoongerichte verklaring met intern bewijs verbindt. Neem gerichte benadering na een evenement als één activiteit en controleer de hele route.

De tabel levert één besluit op, niet zes losse rapportcijfers. De eerste vijf rijen houden de activiteit tegen totdat het genoemde feit en de uitleg zijn hersteld. Alleen de werkende rechten- en klachtenroute kan met het bijbehorende bewijs doorgaan. Zo voorkomt u dat een voldoende gemiddelde een ontbrekende bron of een te late eerste e-mail verhult.

Na de reparaties begint de controle opnieuw bij de persoon. Open de eerste boodschap zoals een ontvanger die ziet, volg iedere link, zoek de bron en het doel terug, dien via de vermelde route een rechtenverzoek in en vergelijk ontvangers en bewaartermijnen met de werkelijke systemen ³. Pas wanneer die hele route werkt, is de activiteit gereed; de audit beoordeelt dus niet hoe verzorgd de tekst klinkt, maar of verwerking, uitleg en levering hetzelfde verhaal vertellen.

Een gelaagde verklaring houdt de eerste laag bruikbaar

Een gelaagde verklaring kan veel informatie hanteerbaar maken. De eerste laag noemt de verwerkingsverantwoordelijke, het specifieke doel, de herkomst wanneer die voor de persoon niet vanzelfsprekend is, belangrijke gevolgen en een duidelijke route naar verdieping. De volgende laag bevat rechtsgronden, belangen, ontvangers, doorgiften, bewaring, rechten en de feiten van de activiteit ³.

Gelaagd betekent niet dat belangrijke informatie mag verdwijnen. Op een rechtstreeks formulier horen feiten die de keuze beïnvloeden bij het formulier zelf. Bij het eerste indirecte contact moet de ontvanger meteen begrijpen waarom hij wordt benaderd en waar zijn gegevens vandaan komen. Een link met meer informatie ondersteunt dat antwoord, maar mag het niet vervangen.

Gebruik één versie-eigenaar voor alle lagen. Anders kan een korte laag een nieuw doel noemen terwijl de verdiepende laag nog een oude ontvanger of bewaartermijn toont. De eigenaar houdt de wijziging, goedkeuring en publicatie bij en controleert of alle routes naar dezelfde actuele versie leiden ³.

Laat ten slotte iemand testen die de tekst niet heeft geschreven. Vraag die persoon voor één scenario de verantwoordelijke, bron, doel, ontvanger, bewaartermijn en rechtenroute terug te vinden. Waar de reviewer moet gokken, is de verklaring niet duidelijk genoeg, ook al staat het antwoord ergens op de pagina.

Bewijs en inhoud moeten samen actueel blijven

Een wijziging in doel, bron, categorie, ontvanger, doorgifte, bewaring, automatisering of leveringsroute activeert een herbeoordeling. Wacht niet op een jaarlijkse kalendercontrole als het systeem vandaag verandert. De verklaring is een weergave van de verwerking en moet dezelfde wijzigingsdiscipline volgen ³.

Voor een kleine organisatie volstaat een beheerde map of eenvoudig register, mits dat de activiteit koppelt aan de goedgekeurde tekst, versie, leveringsbewijs, eventuele uitzondering en aftekening. Test ook de contact- en rechtenroutes. Een e-mailadres dat niet wordt bewaakt maakt een inhoudelijk juiste verklaring in de praktijk onbruikbaar.

Wijs voor iedere activiteit een inhoudseigenaar en een operationele eigenaar aan. De eerste bewaakt of de woorden juridisch en feitelijk aansluiten; de tweede ziet wijzigingen in formulieren, leveranciers en gegevensstromen. Hun korte gezamenlijke controle voorkomt dat een nieuwe ontvanger wel in het systeem verschijnt maar pas maanden later in de verklaring. Leg de datum, wijziging en testuitkomst bij dezelfde versie vast, zodat een latere controle niet uit losse e-mails hoeft te reconstrueren wat er zichtbaar was.

Maak de uitkomst expliciet:

• Publiceren: de activiteit, informatie, timing, route en bewijs sluiten op elkaar aan;
• Aanhouden: een grond, bron, uitzondering of operationeel feit is nog niet bevestigd;
• Herstellen en opnieuw testen: pas tekst of verwerking aan en loop daarna de volledige persoongerichte route opnieuw.

De beste privacyverklaring is geen universele alinea. Zij is activiteitsspecifiek, kiest de informatie aan de hand van de herkomst en bereikt de persoon helder en op tijd. Het bewijs laat vervolgens zien dat precies die actuele uitleg via de bedoelde route beschikbaar was ³.