Een klant stuurt je een e-mail met het verzoek om je privacyreglement. Je stuurt je privacyverklaring op. De klant reageert dat dit niet is wat hij bedoelt. Je staart naar je scherm: zijn dat niet gewoon twee namen voor hetzelfde ding?

Dat is een veelgemaakte vergissing, en een begrijpelijke ook. De termen lijken op elkaar, worden door elkaar gebruikt en duiken allebei op zodra je iets met de AVG te maken hebt. Maar het verschil tussen een privacyreglement en een privacyverklaring is groter dan je denkt. Door ze te verwarren kan je tijd, geld of een tik op de vingers van de Autoriteit Persoonsgegevens kosten.

Twee documenten, twee totaal verschillende functies

Een privacyverklaring is wat mensen zien als ze op jouw website klikken. Het is een extern communicatiemiddel: je vertelt bezoekers, klanten of patiënten welke gegevens je verwerkt, waarom je dat doet en wat hun rechten zijn. De lezer is iemand van buiten jouw organisatie.

Een privacyreglement is iets heel anders. Dat is een intern sturingsdocument, bedoeld voor mensen die binnen jouw organisatie met persoonsgegevens werken. Denk aan medewerkers, vrijwilligers of verwerkers. Het beschrijft hoe zij moeten omgaan met die gegevens: wie heeft toegang, wat doe je bij een datalek, wie is waarvoor verantwoordelijk.

Korter gezegd: de verklaring is voor de buitenwereld, het reglement is voor de binnenkant van je organisatie.

Wat staat er in een privacyverklaring?

De AVG legt precies vast wat een privacyverklaring moet bevatten. Je schrijft dit document voor betrokkenen, mensen van wie je gegevens verwerkt. Dat kunnen websitebezoekers zijn, nieuwsbriefabonnees, klanten van je webshop of gebruikers van je app.

  • Welke persoonsgegevens je verzamelt en verwerkt
  • Voor welke doeleinden je die gegevens gebruikt
  • Op welke juridische grondslag je dat doet (toestemming, gerechtvaardigd belang, wettelijke verplichting, enzovoort)
  • Hoe lang je de gegevens bewaart
  • Of je gegevens deelt met derden en wie dat zijn
  • Welke rechten de betrokkene heeft: inzage, correctie, verwijdering, bezwaar
  • Hoe iemand contact kan opnemen of een klacht kan indienen

Wat er juist niet in thuishoort: interne procedures, wie binnen jouw bedrijf welke toegang heeft, of hoe jij een datalek intern afhandelt. Dat is voor de lezer van de verklaring niet relevant en hoort thuis in het reglement.

Wat staat er in een privacyreglement?

Het privacyreglement is een document voor intern gebruik. Je schrijft het voor je eigen medewerkers, voor vrijwilligers, of om afspraken met verwerkers vast te leggen. Het gaat over processen en verantwoordelijkheden.

Typische onderdelen van een privacyreglement zijn:

  • Wie binnen de organisatie welke persoonsgegevens mag inzien of bewerken
  • Hoe medewerkers moeten omgaan met gegevens op hun werkplek of laptop
  • Welke stappen worden gezet bij een datalek of beveiligingsincident
  • Hoe lang gegevens worden bewaard en wie verantwoordelijk is voor het verwijderen ervan
  • Hoe verwerkers (zoals een boekhoudsoftwareleverancier of e-mailmarketingdienst) zijn aangestuurd
  • Wie eindverantwoordelijk is voor de naleving van de AVG binnen de organisatie

Een goed privacyreglement is eigenlijk je interne handleiding voor correct omgaan met persoonsgegevens. De buitenwereld hoeft dit document nooit te zien, al mag dat uiteraard wel.

Juridische grondslag: wat verplicht de AVG je?

De AVG verplicht je als verwerkingsverantwoordelijke om betrokkenen te informeren over de verwerking van hun gegevens. Die informatieplicht vul je in met een privacyverklaring. Dat is een harde verplichting: heb je een website of verwerk je op een andere manier gegevens van mensen van buiten, dan moet die verklaring er zijn.

Een privacyreglement is niet met zoveel woorden verplicht onder de AVG, maar de wet eist wel dat je als organisatie aantoonbaar voldoet aan de beginselen van de AVG. De AVG spreekt over ‘passende technische en organisatorische maatregelen’. Een intern reglement is een van de meest praktische manieren om dat aan te tonen. Voor grotere organisaties, zorginstanties of bedrijven die gevoelige gegevens verwerken, is het vrijwel onmisbaar.

Welk document heb jij nodig?

Dat hangt af van je situatie. Hier is een handig overzicht om snel te bepalen waar jij staat:

Jouw situatie Privacyverklaring nodig? Privacyreglement nodig?
Website-eigenaar zonder personeel, geen webshop Ja Niet verplicht, maar handig als je meerdere verwerkers gebruikt
ZZP’er met klanten en een boekhouder Ja Aanbevolen, zeker voor afspraken met je boekhouder
Webshop met eigen medewerkers Ja Ja, om intern gedrag te sturen
Organisatie met verwerkers en gevoelige gegevens Ja Sterk aanbevolen, vaak praktisch onmisbaar

Wanneer gebruik je ze naast elkaar?

Als je een organisatie runt met medewerkers én een website, heb je allebei nodig. Dat is geen probleem, zolang ze elkaar niet tegenspreken. En daar gaat het in de praktijk soms mis.

Stel: in je privacyverklaring staat dat je klantgegevens maximaal twee jaar bewaart. Maar in je interne reglement staat dat medewerkers dossiers vijf jaar in het systeem laten staan omdat ‘het makkelijker is voor de service’. Dan klopt het plaatje niet. Als een klant zijn gegevens na twee jaar laat verwijderen en een medewerker weet dat niet, heb je een probleem.

Zorg er dus voor dat de bewaartermijnen, doeleinden en procedures in beide documenten op elkaar aansluiten. Pas je de verklaring aan? Controleer dan ook het reglement, en andersom.

Veelgemaakte verwisselingen in de praktijk

De Autoriteit Persoonsgegevens ziet regelmatig dat organisaties hun privacyverklaring uploaden als antwoord op een interne beleidsvraag, of andersom: een intern reglement openbaar maken terwijl dat nooit de bedoeling was. Soms staan in een openbare verklaring dingen die alleen intern relevant zijn, zoals namen van specifieke medewerkers of technische details over toegangsrechten. Dat is niet alleen onnodig, het kan ook een beveiligingsrisico vormen.

Andersom komt ook voor: een organisatie heeft een prachtig intern reglement, maar geen publieke verklaring op de website. Voor betrokkenen bestaat er dan geen manier om te weten wat er met hun gegevens gebeurt. Dat is een directe overtreding van de AVG-informatieplicht.

Hoe toets je je bestaande documenten snel?

Heb je al documenten liggen en wil je weten of ze kloppen? Doorloop dan deze stappen:

Stap 1: Kijk wie het document leest. Is het bedoeld voor klanten, bezoekers of andere buitenstaanders? Dan is het een verklaring. Is het bedoeld voor medewerkers of interne processen? Dan is het een reglement.

Stap 2: Controleer de inhoud op functie. Staan er in je ‘privacyverklaring’ dingen als ‘medewerker X is verantwoordelijk voor dossier Y’? Dat hoort er niet in. Staan er in je reglement zaken als ‘u heeft het recht uw gegevens in te zien’? Dan ben je aan het mixen.

Stap 3: Vergelijk de bewaartermijnen en doeleinden. Staan ze in beide documenten? Kloppen ze met elkaar? Als je ergens twee jaar noemt en ergens anders vijf jaar voor hetzelfde type gegeven, los dat dan op voordat iemand anders het doet.

Stap 4: Controleer of je verklaring vindbaar is. Een privacyverklaring die niemand kan vinden, werkt niet. Die moet toegankelijk zijn via je website, bij voorkeur in de footer op elke pagina.

Het verschil tussen een privacyreglement en een privacyverklaring zit hem dus niet alleen in de naam, maar in de functie, de lezer en de inhoud. Wie die lijn helder houdt, staat een stuk steviger als de AP eens langsbelt.

Een privacyverklaring en een privacyreglement zijn geen synoniemen. De verklaring legt verantwoording af aan de buitenwereld, het reglement stuurt de binnenkant van je organisatie. Heb je een website? Dan heb je sowieso een verklaring nodig. Heb je ook medewerkers of werk je met meerdere verwerkers? Dan is een reglement voor de meeste organisaties geen luxe, maar gewoon noodzaak.

Gebruik je nog maar één van de twee, of weet je niet zeker of je verklaring volledig is? Op privacypolicygenerator.nl maak je snel een AVG-conforme privacyverklaring afgestemd op jouw specifieke situatie. Zonder juridisch jargon, gewoon stap voor stap.