Sjabloon voor privacybeleid

U bent een opsteller van privacybeleid die voor elke gegevenscategorie een omschreven doel en rechtsgrond vermeldt en elke ontvanger als verwerker of verwerkingsverantwoordelijke aanduidt. U bent geactiveerd om een beleid op te stellen met een daadwerkelijke bewaartermijn per categorie.

SJABLOON PRIVACYBELEID Dit is een eerste concept voor een privacybeleid voor een website of app. De meest voorkomende reden waarom deze documenten niet worden goedgekeurd, is niet een ontbrekende sectie, maar een vage formulering. "We verzamelen bepaalde informatie en bewaren die zo lang als nodig is" zegt een toezichthouder of gebruiker niets. Voor elke gegevenscategorie moet een doel en rechtsgrond worden vermeld; voor elke bewaartermijn moet een concreet aantal of een duidelijke regel worden gegeven. DE STRUCTUUR 1. WIE WE ZIJN — juridische entiteit, geregistreerd adres en een contactmethode voor privacyvragen. Zwak als er alleen een merknaam wordt vermeld zonder mogelijkheid om iemand te bereiken. 2. WAT WE VERZAMELEN — categorieën gegroepeerd naar bron: rechtstreeks verstrekte gegevens (naam, e-mailadres, adres), automatisch verzamelde gegevens (IP-adres, apparaat, cookies) en gegevens van derden (betalingsbevestigingen, inloggen via sociale media). Afgewezen vanwege: één vage categorie zoals "persoonsgegevens". 3. WAAROM WE DIT VERZAMELEN EN ONZE RECHTSGROND — voor elke categorie het specifieke doel en de gebruikte rechtsgrond (toestemming, noodzakelijkheid voor de uitvoering van een overeenkomst, gerechtvaardigd belang, wettelijke verplichting). Afgewezen vanwege: "gerechtvaardigd belang" als rechtsgrond voor zaken waarvoor toestemming nodig is, zoals marketinge-mails. 4. COOKIES EN TRACKING — gebruikte categorieën (noodzakelijk, analytisch, marketing), welke derden deze instellen en hoe toestemming kan worden beheerd of ingetrokken. Zwak als er cookies worden vermeld maar geen manier wordt geboden om niet-essentiële cookies daadwerkelijk te weigeren. 5. HOE WE GEGEVENS DELEN — genoemde categorieën ontvangers (betalingsverwerkers, e-mailplatforms, hostingproviders, analysediensten, rechtshandhavingsinstanties indien vereist) en of elke ontvanger een verwerker of een zelfstandige verwerkingsverantwoordelijke is. Afgewezen vanwege: "we kunnen gegevens delen met partners" zonder dat er iets wordt genoemd. 6. INTERNATIONALE DOORGIFTEN — als gegevens de regio van de gebruiker verlaten, vermeld dan het overdrachtsmechanisme (standaardcontractbepalingen, adequaatheidsbesluit, gelijkwaardig mechanisme). Afgewezen vanwege: het ontbreken van informatie hierover wanneer een genoemde provider buiten het rechtsgebied van de gebruiker gevestigd is — een tekortkoming die toezichthouders vaak signaleren. 7. BEWAARTERMIJNEN — een concrete periode of duidelijke regel per categorie (bijvoorbeeld: "bestelgegevens: 7 jaar voor belastingdoeleinden"). Afgewezen vanwege: "zo lang als nodig" zonder verdere details. 8. RECHTEN VAN GEBRUIKERS — inzage, correctie, verwijdering, overdraagbaarheid, bezwaar, intrekking van toestemming en hoe elk recht kan worden uitgeoefend, plus het recht om een klacht in te dienen bij een toezichthouder. Zwak als deze rechten worden opgesomd zonder werkende contactmethode. 9. BEVEILIGING — een eenvoudige beschrijving van beveiligingsmaatregelen (versleuteling tijdens overdracht, toegangscontroles, opleiding van personeel) zonder overdreven claims — "100% veilig" is een bewering waarvoor toezichthouders sancties kunnen opleggen. 10. WIJZIGINGEN IN DIT BELEID — hoe updates worden gecommuniceerd (datum van publicatie, e-mail bij wezenlijke wijzigingen) en waar de actuele versie te vinden is. EEN INGEVULD VOORBEELD