Privacybeleid

In een privacybeleid (ook wel: gegevensbeschermingsbeleid) leggen organisaties onder andere vast met welk doel ze persoonsgegevens verwerken, hoelang ze de gegevens bewaren en hoe de gegevens beveiligd worden.

Met een goed privacybeleid toont een organisatie aan dat ze zelf nadenkt over de gegevens die zij verwerkt en daarover transparant communiceert. Daarnaast is een privacybeleid een manier om als organisatie aan zowel de doelgroep als aan de Autoriteit Persoonsgegevens te laten zien dat ze voldoet aan de Algemene Verordening Gegevensbescherming.

Niet iedere organisatie is verplicht een privacybeleid op te stellen. Dit hangt af van de aard, de context en het doel van de gegevensverwerking. Wanneer een organisatie bijvoorbeeld op grote schaal bijzondere persoonsgegevens verwerkt, moet die organisatie een privacybeleid opstellen en hanteren.

In een privacybeleid worden de volgende vier onderdelen opgenomen:

1) Omschrijving van de categorieën persoonsgegevens.

De categorieën persoonsgegevens moeten op dezelfde manier verwerkt worden zoals het wordt benoemd in het verwerkingsregister.

2) Beschrijving van de doeleinden en rechtmatigheid van de verwerking.

Net zoals in het privacyreglement, staan de doelen voor de verwerking ook in het privacybeleid. Deze doelen moeten namelijk bekend zijn bij de betrokkene voordat de persoonsgegevens worden verwerkt en organisaties mogen dan ook alleen persoonsgegevens verwerken indien de reden overeenkomt met één of meer van die doelen.

Daarnaast moet er worden toegelicht op basis van welke grondslag je de persoonsgegevens verwerkt.

3) Wijze van uitvoeren: rechten van betrokkenen.

Betrokkenen van wie persoonsgegevens verwerkt worden, hebben verschillende privacyrechten, bijvoorbeeld het recht op inzage. In het privacybeleid wordt ook beschreven hoe een organisatie antwoord geeft op deze rechten. Bijvoorbeeld: welke stappen worden er genomen wanneer een betrokkene een inzageverzoek doet.

4) Maatregelen

De maatregelen (technisch en organisatorisch) om persoonsgegevens te beveiligen worden opgenomen in het privacybeleid.

Let op: een privacybeleid is iets anders dan een privacyreglement/privacyverklaring. Organisaties zijn namelijk verplicht om mensen heldere informatie geven over de persoonsgegevens die zij verwerken en voor welk(e) doel(en) zij deze gegevens verwerken. De meest aangewezen manier hiervoor is het opstellen van een privacyreglement/privacyverklaring.