Privacyverklaring als ZZP'er: heb je die nodig?

Je slaat namen op, e-mailadressen, adressen van klanten. Misschien ook telefoonnummers, offertes, of aantekeningen over eerdere opdrachten. Allemaal persoonsgegevens.

Zodra je persoonsgegevens verwerkt, ben je gebonden aan de AVG. Dat geldt ook voor ZZP'ers.

Wat is de AVG?

De AVG is de Algemene Verordening Gegevensbescherming. Dit is een Europese wet die bepaalt hoe je persoonsgegevens mag gebruiken en bewaren.

De wet geldt voor iedereen die persoonsgegevens verwerkt van Europese burgers. Dat is ook een ZZP'er met tien klanten.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving. Bij grote overtredingen kan zij boetes opleggen. Voor kleine ZZP'ers is het risico op een boete laag, maar nalatigheid bij een datalek kan wel reputatieschade veroorzaken.

Heb je als ZZP'er een privacyverklaring nodig?

Dat hangt af van hoe je contact hebt met klanten.

Ja, je hebt een privacyverklaring nodig als:

• Je een website hebt waarop klanten gegevens achterlaten (contactformulier, aanmeldformulier)
• Je een nieuwsbrief verstuurt of e-mailmarketing doet
• Je klantgegevens opslaat en bewerkt in een systeem

Minder urgent als:

• Je puur B2B werkt en alleen zakelijke contactgegevens verwerkt (naam bedrijf, functie, zakelijk e-mailadres)
• Je geen website hebt en niet actief klantdata verzamelt

In de praktijk werken de meeste ZZP'ers met persoonsgegevens van particuliere klanten. Dan is een privacyverklaring verstandig.

Wat moet erin staan?

Een privacyverklaring hoeft niet lang te zijn. De AVG schrijft voor dat je mensen informeert over:

• Welke gegevens je verzamelt
• Waarvoor je die gebruikt
• Hoe lang je ze bewaart
• Of je ze deelt met anderen
• Welke rechten mensen hebben (inzage, correctie, verwijdering)
• Wie verantwoordelijk is voor de gegevens (jij dus, met je bedrijfsnaam en contactgegevens)

Een pagina van 300-500 woorden is voor de meeste ZZP'ers meer dan genoeg.

Hoe lang mag je gegevens bewaren?

De AVG zegt: niet langer dan noodzakelijk voor het doel.

Voor klantgegevens in een zakelijke context geldt ook de fiscale bewaarplicht: je moet je administratie zeven jaar bewaren. Klantgegevens die deel uitmaken van je administratie mag je dus zeven jaar houden.

Gegevens die je niet meer nodig hebt (een prospect die niets is geworden, e-mails van jaren geleden), verwijder je zodra ze niet meer relevant zijn.

Mag je klantgegevens doorsturen aan anderen?

Soms werk je samen met onderaannemers of gebruik je tools die je klantdata verwerken. Denk aan je boekhoudprogramma, je e-mailsysteem, of een afsprakentool.

Die partijen zijn zogenoemde verwerkers. Je bent verplicht om met hen een verwerkersovereenkomst te sluiten. Veel grote softwarepartijen bieden die standaard aan in hun gebruiksvoorwaarden.

Controleer de tools die je gebruikt. Zit je klantdata in Google Sheets, een gewone mailbox, of een onbekende tool? Dan is het slim om even te checken of ze AVG-conform werken.

Waar publiceer je de privacyverklaring?

Op je website, op een aparte pagina. Vermeld de link ook in je e-mails, je offerte-footer, of je contactformulier.

Heb je geen website? Dan stuur je de verklaring mee bij je eerste contact met een klant, of je vermeldt haar in je algemene voorwaarden.

Verwerkersregister: ook voor ZZP?

De AVG verplicht bedrijven om een register bij te houden van hun gegevensverwerkingen. Voor kleine organisaties (minder dan 250 medewerkers) geldt een uitzondering, tenzij:

• Je regelmatig gevoelige gegevens verwerkt
• De verwerking een risico vormt voor de rechten van personen

Voor de meeste ZZP'ers is het register niet verplicht. Maar het bijhouden van een eenvoudige lijst (welke data, waarvoor, hoe lang) is een goede gewoonte.

Wat als er een datalek is?

Een datalek is: onbedoeld toegang door iemand die dat niet mag hebben. Een gehackte mailbox, een gestolen laptop, een e-mail naar het verkeerde adres.

Bij een ernstig datalek moet je dit melden bij de AP, binnen 72 uur. Bij kleinere incidenten hoef je dat niet altijd. Maar je moet het wel intern documenteren.

Zorg dat je weet hoe je kunt reageren als er iets misgaat. Weet je hoe je iemands gegevens kunt verwijderen als ze dat vragen?

Een praktische aanpak

Voor de meeste ZZP'ers volstaat dit:

1. Maak een eenvoudige privacyverklaring (één pagina)
2. Publiceer die op je website of stuur hem mee bij je offerte
3. Sluit verwerkersovereenkomsten met je belangrijkste tools
4. Verwijder gegevens die je niet meer nodig hebt

Meer is voor de meeste situaties niet nodig. Heb je twijfels over een specifieke situatie, dan geeft het Juridisch Loket gratis eerste advies.

Checklist: privacy op orde