Gepubliceerd op 19 oktober 2025 · Laatst bijgewerkt op 7 september 2026
Een privacyverklaring is verplicht zodra uw website persoonsgegevens verwerkt. Die verplichting volgt uit de informatieplicht van artikel 13 van de Algemene verordening gegevensbescherming (AVG), die sinds 25 mei 2018 van toepassing is. U moet bezoekers op het moment van verzamelen vertellen wie u bent, waarom u gegevens verwerkt, op welke grondslag, hoe lang u ze bewaart en welke rechten zij hebben.
Inhoudsopgave
Wanneer is een privacyverklaring verplicht?
De drempel ligt lager dan veel ondernemers denken. Zodra uw website persoonsgegevens verwerkt, geldt de informatieplicht, en persoonsgegevens zijn alle gegevens waarmee een persoon direct of indirect te identificeren is. Een IP-adres hoort daarbij, net als een cookie-identificatie, een e-mailadres in een contactformulier of een klantnummer. Een website die alleen statische informatie toont en niets registreert, verwerkt geen persoonsgegevens; in de praktijk is dat zeldzaam, want vrijwel elke hostingomgeving legt logbestanden aan.
De verplichting hangt niet af van de omvang of de rechtsvorm van uw organisatie. Een eenmanszaak met een contactformulier valt er net zo goed onder als een webshop met tienduizenden klanten. Wat wel verschilt, is de omvang van wat u moet vertellen: hoe meer verwerkingen, hoe uitgebreider de verklaring. Artikel 12 AVG stelt daarbij een vormeis die vaak wordt vergeten. De informatie moet beknopt, gemakkelijk toegankelijk en begrijpelijk zijn, in duidelijke en eenvoudige taal. Een juridisch dichtgetimmerde tekst van vijf schermen die niemand leest, voldoet daar niet aan.
Praktisch betekent dit een permanente, vindbare verwijzing naar de privacyverklaring, doorgaans in de voettekst, en een verwijzing op het punt waar u gegevens verzamelt: bij het contactformulier, bij het aanmeldveld voor de nieuwsbrief en in de bestelroute. De informatie moet er zijn voordat u de gegevens verwerkt, niet erna.
Wat is het verschil tussen een privacyverklaring en een privacybeleid?
De twee begrippen worden door elkaar gebruikt, maar dienen verschillende doelen. Een privacyverklaring, ook wel privacy statement, is een extern document dat u aan betrokkenen richt om aan de informatieplicht van de artikelen 13 en 14 AVG te voldoen. Een privacybeleid is een intern document waarin u vastlegt hoe uw organisatie met persoonsgegevens omgaat: wie waarvoor verantwoordelijk is, welke procedures gelden bij een verzoek om inzage, hoe u een datalek afhandelt. Dat interne stuk dient de verantwoordingsplicht van artikel 24 AVG.
De AVG schrijft de inhoud van dat interne beleid niet dwingend voor, maar u moet wel kunnen aantonen dat u de verordening naleeft. Daar horen twee documenten bij die vaak ontbreken: het register van verwerkingsactiviteiten en, bij risicovolle verwerkingen, een gegevensbeschermingseffectbeoordeling. Artikel 30 lid 5 AVG kent een uitzondering op de registerplicht voor organisaties met minder dan tweehonderdvijftig werknemers, maar die uitzondering vervalt zodra de verwerking niet incidenteel is, een risico oplevert of bijzondere categorieën gegevens betreft. Voor de meeste websites betekent dat: gewoon een register bijhouden. Welke verplichtingen het midden- en kleinbedrijf structureel over het hoofd ziet, zetten wij uiteen in ons artikel over verwerkingsregister, DPIA en datalek.
Welke informatie moet er volgens artikel 13 AVG in staan?
Artikel 13 AVG somt op wat u moet verstrekken wanneer u de gegevens bij de betrokkene zelf verzamelt, wat op een website vrijwel altijd het geval is. Het gaat om een samenhangende reeks, niet om een vinklijst:
- uw identiteit en contactgegevens als verwerkingsverantwoordelijke, en die van uw eventuele vertegenwoordiger in de Europese Unie;
- de contactgegevens van de functionaris voor gegevensbescherming, als u die heeft aangesteld;
- de doeleinden van de verwerking en de rechtsgrondslag per doel, en bij een gerechtvaardigd belang ook welk belang dat is;
- de ontvangers of categorieën ontvangers van de gegevens;
- of u gegevens doorgeeft aan een land buiten de Europese Economische Ruimte en met welke waarborgen;
- de bewaartermijn of de criteria om die termijn te bepalen;
- de rechten van de betrokkene: inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid;
- het recht om gegeven toestemming in te trekken en het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
Twee onderdelen worden structureel te vaag ingevuld. Het eerste is de grondslag: schrijf per verwerking op welke grondslag u gebruikt, niet een algemene zin dat u zich op de AVG baseert. Het tweede is de bewaartermijn. Wie schrijft dat gegevens worden bewaard zolang dat noodzakelijk is, geeft geen informatie maar een tautologie.
Welke grondslag hoort bij welke verwerking op uw website?
Artikel 6 AVG kent zes grondslagen: toestemming, uitvoering van een overeenkomst, een wettelijke verplichting, vitaal belang, algemeen belang en gerechtvaardigd belang. Zonder een van die zes mag u niet verwerken, en u moet per verwerkingsdoel kiezen. Voor een webshop betekent dat: het afhandelen van een bestelling en de levering rusten op de overeenkomst, het bewaren van de factuur op een wettelijke verplichting, het versturen van een commerciële nieuwsbrief op toestemming, en het beveiligen van de website op een gerechtvaardigd belang.
Wisselen van grondslag als het u uitkomt, mag niet. Vraagt u toestemming en trekt de betrokkene die in, dan kunt u de verwerking niet alsnog op een gerechtvaardigd belang baseren. Artikel 7 AVG bepaalt bovendien dat toestemming te allen tijde kan worden ingetrokken en dat intrekken even eenvoudig moet zijn als geven. Een aanmeldknop van één klik tegenover een uitschrijfprocedure van vijf stappen houdt dus geen stand.
Bij een gerechtvaardigd belang hoort een afweging die u moet kunnen laten zien: welk belang dient u, waarom is de verwerking daarvoor noodzakelijk, is er geen minder ingrijpend alternatief, en wegen de belangen van de bezoeker niet zwaarder. Leg die afweging schriftelijk vast voordat u de verwerking start, niet pas wanneer de Autoriteit Persoonsgegevens ernaar vraagt.
Hoe formuleert u bewaartermijnen die standhouden?
De AVG noemt zelf geen termijnen, op een enkele uitzondering na. U leidt ze af uit het doel van de verwerking en uit andere wetgeving. De fiscale bewaarplicht is het duidelijkste voorbeeld: de Belastingdienst verlangt dat u uw administratie zeven jaar bewaart, en tien jaar voor gegevens over onroerende zaken. Voor factuurgegevens is die termijn dus geen keuze maar een verplichting, en dat schrijft u ook zo op.
Voor verwerkingen zonder wettelijke termijn bepaalt u zelf een termijn die aansluit bij het doel, en die legt u vast. Contactformulieren bewaart u zolang de vraag loopt en een redelijke periode daarna; nieuwsbriefgegevens tot de uitschrijving; sollicitatiegegevens niet langer dan voor de procedure nodig is, tenzij de kandidaat toestemming geeft voor langere bewaring. Zet er een concrete termijn bij en zorg dat uw systemen die termijn ook echt uitvoeren. Een bewaartermijn die alleen op papier bestaat, maakt de verklaring onjuist en daarmee zelf een schending van de informatieplicht.
Wat geldt er voor cookies en toestemming?
Cookies vallen onder een eigen regime. Artikel 11.7a van de Telecommunicatiewet verplicht u bezoekers te informeren over het plaatsen en uitlezen van cookies en daarvoor in beginsel toestemming te vragen. Die toestemming moet aan de AVG-eisen voldoen: vrij, specifiek, geïnformeerd en ondubbelzinnig. De Autoriteit Persoonsgegevens formuleert het als een duidelijke keuze tussen ja en nee, waarbij uit het nalaten van een handeling geen toestemming kan worden afgeleid. Vooraf aangevinkte vakjes en doorscrollen als instemming zijn dus geen toestemming.
Er zijn twee uitzonderingen. Technisch noodzakelijke cookies, zoals die voor een winkelwagen of een inlogsessie, mogen zonder toestemming. En sinds 2015 geldt dat ook voor analytische cookies met geringe gevolgen voor de persoonlijke levenssfeer, mits u die uitsluitend gebruikt om bezoekers te tellen. Zodra u analytics koppelt aan advertentieprofielen, deelt met derden of gebruikt voor hertargeting, is die uitzondering weg. Wat dan wel en niet mag, beschrijven wij in ons artikel over tracking cookies, analytics en remarketing en in ons artikel over AVG en cookies.
De informatie in de banner moet in beeld komen voordat er cookies worden geplaatst, en de banner zelf hoort te verwijzen naar uw cookieverklaring. Leg vast wie wanneer waarvoor toestemming gaf; zonder die administratie kunt u niet aantonen dat u toestemming had, en die bewijslast ligt bij u.
Wat als uw website bijzondere persoonsgegevens verwerkt?
Artikel 9 AVG verbiedt in beginsel de verwerking van bijzondere categorieën persoonsgegevens: gegevens over ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische en biometrische gegevens ter unieke identificatie, gezondheidsgegevens en gegevens over seksueel gedrag of seksuele gerichtheid. Gegevens over strafrechtelijke veroordelingen vallen niet onder artikel 9 maar onder artikel 10 AVG, met een eigen, nog strenger regime.
Het verbod kent uitzonderingen: uitdrukkelijke toestemming, een wettelijke grondslag, noodzaak in het kader van arbeidsrecht of sociale zekerheid, of verwerking door bepaalde stichtingen en verenigingen voor hun eigen leden. Voor websites is de praktische les eenvoudig. Vraagt uw formulier naar dieetwensen, medische achtergrond of geloofsovertuiging, dan verwerkt u bijzondere gegevens en heeft u een uitzondering nodig, plus zwaardere beveiliging en een expliciete passage in uw privacyverklaring over welke gegevens dat zijn, waarom u ze verwerkt en hoe u ze beschermt.
Verwerkersovereenkomsten en doorgifte buiten de EER
Vrijwel elke website leunt op externe partijen: een hostingprovider, een mailingdienst, een betaaldienstverlener, een chatfunctie. Verwerken zij persoonsgegevens in uw opdracht, dan zijn zij verwerker en verplicht artikel 28 AVG u tot een schriftelijke verwerkersovereenkomst waarin onderwerp, duur, aard en doel van de verwerking, de soorten gegevens en de beveiligingsmaatregelen staan. Hoe u zo een overeenkomst opstelt, leest u in ons artikel over het opstellen van een verwerkersovereenkomst; welke clausules u niet zomaar hoeft te accepteren, staat in ons artikel over onderhandelen over een verwerkersovereenkomst.
Zit die verwerker buiten de Europese Economische Ruimte, dan komt hoofdstuk V AVG erbij. Doorgifte mag alleen op grond van een adequaatheidsbesluit van de Europese Commissie of met passende waarborgen, in de praktijk meestal de standaardcontractbepalingen, aangevuld met een beoordeling van het recht in het ontvangende land. In uw privacyverklaring vermeldt u naar welke landen u doorgeeft en op welke grondslag. Een enkele zin dat gegevens soms buiten Europa worden verwerkt, voldoet niet.
Wat riskeert u bij een gebrekkige privacyverklaring?
De Autoriteit Persoonsgegevens houdt toezicht en kan handhaven. Artikel 83 lid 5 AVG stelt het boetemaximum voor schendingen van onder meer de informatieplicht en de grondslagen op twintig miljoen euro of, voor ondernemingen, vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Dat maximum is een plafond en geen tarief; de AP kijkt naar aard, ernst en duur van de overtreding, maar het laat zien in welke categorie deze verplichting valt.
Naast een boete kan de AP een verwerkingsverbod of een last onder dwangsom opleggen, wat voor een webshop ingrijpender is dan een geldbedrag. En er is een civiele kant: artikel 82 AVG geeft betrokkenen recht op vergoeding van materiële en immateriële schade. Loopt het mis met de beveiliging, dan geldt bovendien de meldplicht van artikel 33 AVG, met een termijn van tweeënzeventig uur. Wat u dan moet doen, staat in ons artikel over de meldplicht datalek.
Zo brengt u uw website op orde
Begin met een inventarisatie. Loop uw website langs en noteer elk punt waar gegevens binnenkomen of worden uitgelezen: formulieren, accounts, nieuwsbrief, betalingen, chat, analytics, ingesloten video, kaarten en social plug-ins. Noteer per punt het doel, de grondslag, de ontvangers, de bewaartermijn en of er gegevens buiten de EER gaan. Die inventarisatie is meteen de basis van uw register van verwerkingsactiviteiten.
Schrijf daarna de verklaring in gewone taal, niet als vertaling van de verordening. Sluit de ontbrekende verwerkersovereenkomsten, richt de cookiebanner zo in dat weigeren net zo makkelijk is als accepteren, en leg vast hoe u toestemming administreert. Beoordeel ten slotte of u een functionaris voor gegevensbescherming nodig heeft; artikel 37 AVG verplicht dat onder meer wanneer uw kernactiviteit bestaat uit grootschalige, regelmatige en stelselmatige observatie. Ons artikel over de verplichte functionaris gegevensbescherming helpt u die vraag te beantwoorden, en voor de bredere opzet van een online onderneming is ons artikel over de juridische basis van uw webshop een goed vertrekpunt.
Veelgestelde vragen over de privacyverklaring
Mag ik een privacyverklaring van een andere website overnemen?
Juridisch is dat onverstandig en feitelijk vrijwel altijd onjuist. De verklaring moet uw verwerkingen beschrijven: uw doeleinden, uw grondslagen, uw ontvangers en uw bewaartermijnen. Een overgenomen tekst beschrijft die van een ander en voldoet daarmee niet aan artikel 13 AVG. Bovendien rust er auteursrecht op de tekst van een ander.
Heb ik toestemming nodig voor webstatistieken?
Alleen analytische cookies met geringe gevolgen voor de persoonlijke levenssfeer, uitsluitend gebruikt om bezoekers te tellen, zijn vrijgesteld van de toestemmingseis van artikel 11.7a Telecommunicatiewet. Koppelt u de statistieken aan advertentieprofielen, deelt u ze met de aanbieder voor diens eigen doeleinden of gebruikt u ze voor hertargeting, dan heeft u wel toestemming nodig.
Moet mijn privacyverklaring in het Nederlands?
Artikel 12 AVG eist duidelijke en eenvoudige taal, afgestemd op de betrokkene. Richt u zich op Nederlandse bezoekers, dan hoort de verklaring in het Nederlands te staan. Bedient u meerdere markten, dan biedt u de verklaring aan in de talen waarin u uw website aanbiedt.
Hoe vaak moet ik mijn privacyverklaring bijwerken?
Telkens wanneer uw verwerkingen veranderen: een nieuwe tool, een nieuwe leverancier, een nieuw doel of een andere bewaartermijn. Een vaste periodieke controle, bijvoorbeeld jaarlijks, voorkomt dat de verklaring stilzwijgend achterloopt op wat uw website feitelijk doet.
Wat is het verschil tussen een verwerkingsverantwoordelijke en een verwerker?
De verwerkingsverantwoordelijke bepaalt doel en middelen van de verwerking; de verwerker verwerkt uitsluitend in opdracht en volgens instructie. Als website-eigenaar bent u doorgaans verantwoordelijke en zijn uw hosting-, mailing- en analyticspartijen verwerkers, met wie u op grond van artikel 28 AVG een verwerkersovereenkomst sluit.
Waar u de regels zelf kunt nalezen
De volledige tekst van de verordening staat in de Algemene verordening gegevensbescherming. De cookiebepaling vindt u in de Telecommunicatiewet, en de Autoriteit Persoonsgegevens legt haar toezicht op cookies uit op haar eigen site. De fiscale bewaartermijnen staan bij de Belastingdienst.
Twijfelt u of uw verklaring de lading dekt, of verwerkt u bijzondere gegevens of gegevens buiten de EER? Law & More toetst uw verwerkingen, uw verklaring en uw verwerkersovereenkomsten aan de AVG en zegt u waar het risico zit. U bereikt ons kantoor in Eindhoven op +31 40 369 06 80.
