Een goed privacybeleid is veel meer dan een standaardtekst onderaan een website. Het moet duidelijk maken welke persoonsgegevens een organisatie verwerkt, waarom dat gebeurt en welke rechten klanten, werknemers, sollicitanten, leveranciers en andere betrokkenen hebben. Onder Belgisch recht vormt de GDPR het belangrijkste kader, aangevuld door de Belgische gegevensbeschermingswetgeving.
Wat moet een privacybeleid duidelijk maken?
Een correct privacybeleid moet in begrijpelijke taal uitleggen welke persoonsgegevens worden verzameld, voor welke doeleinden ze worden gebruikt en op welke rechtsgrond de verwerking steunt. Daarnaast moet duidelijk zijn hoe lang de gegevens worden bewaard, aan wie ze eventueel worden doorgegeven en of gegevens buiten de Europese Economische Ruimte worden verwerkt. Ook de identiteit en contactgegevens van de verwerkingsverantwoordelijke moeten worden vermeld. Indien een functionaris voor gegevensbescherming is aangesteld, moeten ook diens contactgegevens beschikbaar zijn.
Welke rechten hebben betrokkenen?
De GDPR geeft betrokkenen verschillende rechten. Een privacybeleid moet hen daar duidelijk over informeren. Afhankelijk van de situatie gaat het onder meer om het recht op inzage, verbetering, gegevenswissing, beperking van de verwerking, overdraagbaarheid en bezwaar.
Wanneer de verwerking gebaseerd is op toestemming, moet ook worden uitgelegd dat die toestemming opnieuw kan worden ingetrokken. Daarnaast moet worden vermeld dat betrokkenen een klacht kunnen indienen bij de Gegevensbeschermingsautoriteit.
Hoe lang mogen persoonsgegevens worden bewaard?
Persoonsgegevens mogen niet onbeperkt worden bewaard. Een organisatie moet daarom in haar privacybeleid aangeven welke bewaartermijnen gelden, of minstens volgens welke criteria die termijnen worden bepaald. Die termijnen moeten aansluiten bij het doel waarvoor de gegevens worden verwerkt, wettelijke verplichtingen en de reële behoeften van de organisatie.
Het privacybeleid moet overeenkomen met de praktijk
Een tekst kan juridisch goed klinken, maar dat volstaat niet. Het privacybeleid moet aansluiten bij de werkelijke gegevensverwerking binnen de organisatie. Wat extern wordt meegedeeld, moet overeenstemmen met interne processen, bewaartermijnen, beveiligingsmaatregelen en procedures. Daarom moet het beleid ook sporen met interne compliance en, waar relevant, met een DPA of verwerkersovereenkomst.
Extra aandacht voor bepaalde organisaties
Een gemeente, ziekenhuis of organisatie binnen de overheid verwerkt vaak grote hoeveelheden persoonsgegevens of gevoelige gegevens. Dat kan bijkomende verplichtingen met zich meebrengen, zoals de aanstelling van een functionaris voor gegevensbescherming, strengere beveiligingsmaatregelen of een gegevensbeschermingseffectbeoordeling voor verwerkingen met een hoog risico. Vooral bij gezondheidsgegevens, grootschalige verwerking of publieke dienstverlening is een standaardprivacyverklaring daarom vaak onvoldoende.
Een goed privacybeleid beperkt juridische risico’s
Een correct privacybeleid helpt organisaties niet alleen om aan hun informatieplicht te voldoen. Het maakt ook duidelijk welke keuzes intern zijn gemaakt en verkleint het risico op klachten, discussies en sancties. Het belangrijkste blijft dat het beleid niet alleen juridisch correct is opgesteld, maar ook overeenkomt met wat de organisatie werkelijk doet met persoonsgegevens.
