Veel ondernemers hebben wél een contactformulier, nieuwsbriefinschrijving of analytics op hun site, maar geen heldere privacytekst. Juist dan komt de vraag snel op tafel: is een privacyverklaring website verplicht? In de praktijk is het antwoord vaak ja, maar niet voor iedere website op precies dezelfde manier.

Het draait namelijk niet om het hebben van een website alleen. Het gaat erom of u via die website persoonsgegevens verwerkt. Zodra bezoekers gegevens achterlaten, of zodra uw website tools gebruikt die persoonsgegevens verzamelen, krijgt u te maken met informatieplichten uit de AVG. Een privacyverklaring is dan geen formaliteit voor erbij, maar een onderdeel van goed en zorgvuldig ondernemen.

Wanneer is een privacyverklaring website verplicht?

Een privacyverklaring is verplicht zodra u persoonsgegevens verwerkt en bezoekers daarover moet informeren. Dat begint al sneller dan veel bedrijven denken. Een naam en e-mailadres via een contactformulier zijn persoonsgegevens. Een IP-adres kan dat ook zijn. En als u een offerteformulier, terugbelverzoek, accountomgeving of nieuwsbrief heeft, verwerkt u vrijwel zeker persoonsgegevens.

Ook websites zonder uitgebreid formulier kunnen ermee te maken krijgen. Denk aan analytische tools, chatfuncties, social media pixels of embedded video’s die gegevens van bezoekers registreren. Veel mkb-websites gebruiken meerdere van dit soort onderdelen tegelijk. Dan is een privacyverklaring geen luxe, maar een logische basis.

Er is wel een nuance. Heeft u een eenvoudige onepager zonder formulieren, zonder tracking, zonder cookies behalve strikt noodzakelijke technische cookies, en zonder andere vormen van gegevensverwerking, dan kan de verplichting beperkter zijn. In de praktijk komt dat weinig voor. De meeste zakelijke websites verwerken op zijn minst iets van persoonsgegevens.

Waarom de AVG niet genoeg is zonder duidelijke uitleg

Sommige ondernemers weten dat zij zorgvuldig met gegevens moeten omgaan, maar stellen de uitleg aan bezoekers uit. Dat is precies waar het misgaat. De AVG vraagt niet alleen dat u netjes handelt, maar ook dat u duidelijk communiceert wat u doet.

Een privacyverklaring geeft antwoord op vragen die voor bezoekers relevant zijn. Welke gegevens verzamelt u? Waarom doet u dat? Hoe lang bewaart u die gegevens? Met wie deelt u ze? En hoe kan iemand zijn rechten uitoefenen, zoals inzage of verwijdering aanvragen?

Zonder die uitleg ontbreekt transparantie. En transparantie is een kernonderdeel van de privacywetgeving. Een privacyverklaring is dus niet alleen een juridisch document, maar ook een vertrouwenselement op uw website. Voor bezoekers maakt het verschil tussen een professionele partij en een bedrijf dat privacy erbij doet.

Welke websites hebben deze verklaring bijna altijd nodig?

Voor de meeste mkb-bedrijven is de vraag niet óf, maar hoe uitgebreid de privacyverklaring moet zijn. Heeft uw website een contactformulier, offerteformulier of sollicitatieformulier, dan is een verklaring vrijwel altijd nodig. Hetzelfde geldt als bezoekers zich kunnen aanmelden voor een nieuwsbrief of als u klantaccounts gebruikt.

Bij webshops is het nog duidelijker. Daar verwerkt u doorgaans naam-, adres-, betaal- en ordergegevens. Vaak komen daar ook gegevens van bezorging, retouren en klantenservice bij. Dan moet u helder uitleggen wat u verwerkt en waarom.

Ook organisaties en stichtingen ontkomen hier meestal niet aan. Een donatieformulier, vrijwilligersaanmelding of evenementregistratie betekent al snel dat er persoonsgegevens binnenkomen. De omvang van uw organisatie maakt daarbij niet uit. De verplichting hangt af van de verwerking, niet van het aantal medewerkers.

Wat moet er in een privacyverklaring staan?

Een goede privacyverklaring is concreet. Geen vage standaardtekst die op elk bedrijf past, maar informatie die aansluit op uw website en uw werkwijze. De inhoud hangt af van wat u precies verwerkt, maar een aantal onderdelen komt bijna altijd terug.

U moet in elk geval vermelden wie verantwoordelijk is voor de verwerking van persoonsgegevens. Daarna legt u uit welke gegevens u verzamelt, voor welke doelen dat gebeurt en op welke grondslag u zich baseert. Dat kan bijvoorbeeld toestemming zijn, uitvoering van een overeenkomst of een gerechtvaardigd belang.

Daarnaast hoort u te benoemen hoe lang u gegevens bewaart, of u gegevens deelt met derden zoals hostingpartijen, e-mailproviders of boekhoudsoftware, en of gegevens buiten de EU terechtkomen. Ook de rechten van betrokkenen horen erin te staan, net als de manier waarop iemand contact kan opnemen over privacyvragen.

Wat vaak vergeten wordt, is de koppeling met de echte praktijk. Gebruikt u Google Analytics, een Facebook-pixel, een chatmodule of een externe afsprakenplanner? Dan moet dat ook terugkomen. Een privacyverklaring die alleen algemeenheden noemt, helpt juridisch en praktisch onvoldoende.

Privacyverklaring en cookiebanner zijn niet hetzelfde

Dit wordt regelmatig door elkaar gehaald. Een privacyverklaring en een cookiemelding of cookiebanner zijn twee verschillende onderdelen. Ze hebben wel met elkaar te maken, maar ze vervangen elkaar niet.

De privacyverklaring legt uit hoe u met persoonsgegevens omgaat. Een cookiebanner gaat over toestemming voor bepaalde cookies en trackingtechnieken. Als uw website marketing- of analysecookies gebruikt die niet strikt noodzakelijk zijn, dan heeft u meestal ook een correcte cookietoestemming nodig.

Met alleen een banner bent u er dus niet. En met alleen een privacyverklaring ook niet. Juist die combinatie moet kloppen. Dat vraagt om afstemming tussen tekst, techniek en de tools die op uw website actief zijn. Daar gaat het in de praktijk vaak mis, bijvoorbeeld als een plugin tracking al laadt voordat bezoekers toestemming hebben gegeven.

Veelgemaakte fouten bij een privacyverklaring op de website

De meest voorkomende fout is een standaardtekst kopiëren zonder te controleren of die bij de website past. Dat lijkt snel geregeld, maar zorgt juist voor risico. Als in uw verklaring niets staat over nieuwsbrieven terwijl u wel e-mailmarketing gebruikt, dan klopt de informatie niet. Hetzelfde geldt als u verwerkers inzet die nergens genoemd worden.

Een andere fout is een verouderde verklaring laten staan. Websites groeien. Er komt een nieuwe tool bij, een koppeling met een CRM, een extra formulier of een webshopmodule. Als de privacyverklaring niet meegroeit, ontstaat er een gat tussen wat u zegt en wat u doet.

Ook de vindbaarheid is belangrijk. Een privacyverklaring die ergens onderaan verstopt staat of alleen tijdens een aanvraagproces zichtbaar is, werkt niet goed. Bezoekers moeten de informatie eenvoudig kunnen vinden, juist voordat zij hun gegevens delen.

Hoe pakt u dit praktisch aan?

De beste aanpak begint niet met tekstschrijven, maar met inventariseren. Kijk eerst welke onderdelen op uw website persoonsgegevens verwerken. Dat zijn vaak meer elementen dan u vooraf verwacht. Formulieren, analytics, nieuwsbriefsoftware, chat, embedded content, social pixels, reviewsystemen en hostinglogs spelen allemaal een rol.

Pas daarna kunt u bepalen wat er in de privacyverklaring moet komen. De inhoud moet aansluiten op uw daadwerkelijke processen. Dat betekent ook dat u intern moet weten wat er met aanvragen gebeurt, wie toegang heeft tot gegevens en hoe lang informatie bewaard blijft.

Voor ondernemers is dit vaak precies het punt waarop het onnodig veel tijd gaat kosten. Niet omdat de regels onbegrijpelijk zijn, maar omdat techniek, marketing en compliance samenkomen. Zeker als een website door meerdere partijen is gebouwd of uitgebreid, ontbreekt het overzicht snel.

Een praktische oplossing is om uw website periodiek te laten controleren op privacy- en AVG-onderdelen. Dan kijkt u niet alleen naar de tekst, maar ook naar formulieren, scripts, cookies en koppelingen. Dat voorkomt dat uw privacyverklaring netjes oogt terwijl de techniek erachter iets anders doet.

Is een privacyverklaring website verplicht voor elke ondernemer?

Als u het strikt juridisch bekijkt, hangt het af van de vraag of uw website persoonsgegevens verwerkt. Maar voor de meeste ondernemers in Nederland is dat simpelweg het geval. Daardoor is het antwoord in de praktijk meestal ja: een privacyverklaring website verplicht is voor het overgrote deel van zakelijke websites een terechte conclusie.

Dat betekent niet dat elke verklaring even uitgebreid hoeft te zijn. Een lokale dienstverlener met alleen een contactformulier heeft een andere situatie dan een webshop met remarketing, nieuwsbriefsegmentatie en klantaccounts. Het principe is hetzelfde, de uitwerking verschilt.

Juist daarom loont maatwerk. Niet omdat het ingewikkeld moet zijn, maar omdat een correcte verklaring alleen werkt als die past bij uw website en bedrijfsvoering. Voor veel mkb-bedrijven is dat geen kwestie van juridische theorie, maar van professioneel beheer.

Bij LinQxx zien we regelmatig dat websites technisch goed staan, maar dat privacyteksten en instellingen achterlopen op de praktijk. Dat is zonde, want met een gerichte controle is dit vaak goed te herstellen.

Een privacyverklaring is uiteindelijk geen vinkje voor de footer. Het is een zichtbaar teken dat u zorgvuldig omgaat met gegevens van klanten, prospects en bezoekers. En precies dat verwacht men van een bedrijf dat online professioneel voor de dag wil komen.