Je hebt een contactformulier ingesteld, een nieuwsbrief actief en Google Analytics draaien op de achtergrond. Maar als iemand je vraagt op welke juridische grondslag je die persoonsgegevens verwerkt, wijs je waarschijnlijk naar de toestemmingsvinkjes in je privacyverklaring. Dat is begrijpelijk, maar in de meeste gevallen niet correct. Een verkeerde grondslag gegevensverwerking is niet alleen een juridisch risico: het maakt je hele privacyverklaring ongeloofwaardig. Deze werkwijze laat je het omgekeerd aanpakken: begin bij wat je systemen concreet doen, en werk dan pas naar de juiste grondslag toe.

Waarom de volgorde ertoe doet

De meeste ondernemers beginnen met de privacyverklaring en vullen daarna in welke grondslagen daarbij passen. Dat is de verkeerde volgorde. Je privacyverklaring moet beschrijven wat er in werkelijkheid gebeurt, niet wat er handig klinkt. Werk je van verklaring naar systeem, dan loop je grote kans dat je tekst en werkelijkheid uit elkaar groeien. Doe je het omgekeerd, dan klopt de verklaring bijna vanzelf.

De AVG kent zes grondslagen. Elke verwerking van persoonsgegevens moet op precies één van die zes steunen. Niet op twee tegelijk, en niet op geen enkele. Kies je de verkeerde, dan handel je zonder geldige rechtvaardiging, ook al heb je de beste bedoelingen.

Stap 1: Zet eerst al je verwerkingen op een rij

Pak een leeg document en schrijf op wat je systemen en processen doen met persoonsgegevens. Nog geen grondslagen, nog geen juridische taal. Gewoon een ruwe lijst. Denk aan: het contactformulier, bestellingen in je webshop, e-mailmarketing, cookiemetingen, facturatie, inloggegevens van klanten, een klantenservice-inbox.

Een ZZP’er met een kleine dienstverlening komt al snel op tien tot vijftien verwerkingen. Een webshop met retourproces, loyaliteitsprogramma en affiliate-tracking telt er al gauw meer dan twintig. Schrijf ze allemaal op voordat je verder gaat. Alleen zo zie je het totaalplaatje.

Stap 2: Omschrijf per verwerking het concrete doel

Vaag omschreven doelen leiden tot verkeerde grondslagen. ‘Marketing’ zegt niets. Schrijf in plaats daarvan zoiets als: ‘Wij sturen bestaande klanten maandelijks een e-mail met aanbiedingen op basis van hun eerdere aankopen.’ Of: ‘Wij slaan IP-adressen op in onze server-logs om technische fouten op te sporen.’

Hoe concreter je het doel omschrijft, hoe makkelijker je straks de juiste grondslag aanwijst. En hoe makkelijker je de keuze later kunt verdedigen als iemand ernaar vraagt.

Stap 3: Loop de grondslagen langs als eliminatieproces

Dit is het hart van de werkwijze. Ga niet op zoek naar de grondslag die het makkelijkst klinkt, maar stel jezelf bij elke verwerking een reeks vragen. Begin niet met toestemming, maar eindig er pas mee als niets anders past.

De volgorde die je aanhoudt

  • Wettelijke verplichting: Schrijft de wet voor dat je deze gegevens bijhoudt? Denk aan de bewaarplicht voor facturen. Als dat zo is, ben je klaar.
  • Uitvoering van een overeenkomst: Verwerk je de gegevens om een contract of bestelling uit te voeren? Het naam- en adresgegevens voor levering van een pakket vallen hier bijna altijd onder.
  • Vitale belangen: Bijna nooit van toepassing in een gewone bedrijfsvoering. Sla deze over tenzij je in de zorgsector werkt.
  • Taak van algemeen belang: Alleen relevant voor overheidsinstanties en bepaalde publieke organisaties.
  • Gerechtvaardigd belang: Dit is de grondslag die ondernemers het vaakst over het hoofd zien. Als jij een belang hebt bij de verwerking én dat belang zwaarder weegt dan de privacybelangen van de betrokkene, kun je hierop steunen. Fraudepreventie, beveiliging van je systemen, of het sturen van een follow-up e-mail aan een klant die twee weken geleden iets heeft gekocht, passen hier vaak bij.
  • Toestemming: Pas als geen van de bovenstaande grondslagen van toepassing is, kies je voor toestemming. Dit betekent ook: als je toestemming gebruikt, moet je die daadwerkelijk kunnen aantonen, en moet de gebruiker die toestemming makkelijk kunnen intrekken.

Toestemming als standaardkeuze is een veelgemaakte fout. Het klinkt veilig, maar het verplicht je tot een aantoonbaar toestemmingsmoment voor elke verwerking. Gebruik je Google Analytics op basis van toestemming? Dan mag je pas meten nadat iemand actief akkoord heeft gegeven, niet daarvoor.

Stap 4: Toets de gekozen grondslag aan twee vragen

Heb je een grondslag gekozen, stel dan twee vragen voordat je verder gaat.

De eerste vraag: klopt de grondslag juridisch? Niet elke verwerking past bij elke grondslag. Profilering voor advertentiedoeleinden kun je bijvoorbeeld niet baseren op gerechtvaardigd belang als de impact op de betrokkene groot is.

De tweede vraag: kun je dit uitleggen als de Autoriteit Persoonsgegevens belt? Dat is geen retorische vraag. Stel je voor dat een toezichthouder vraagt waarom jij van iedere websitebezoeker het gedrag over dertig pagina’s bijhoudt en koppelt aan een advertentieprofiel. Welk gerechtvaardigd belang weegt daartegen op? Als het antwoord je zelf al ongemakkelijk maakt, is de grondslag waarschijnlijk niet sterk genoeg.

Stap 5: Leg de keuze vast in je verwerkingsregister

Een verwerkingsregister is voor bedrijven met meer dan 250 medewerkers verplicht, maar ook voor kleinere organisaties sterk aan te raden. Schrijf per verwerking op: wat je doet, het doel, de gekozen grondslag, de datum waarop je die keuze hebt gemaakt, een korte motivering, en wie de beslissing heeft genomen.

Die laatste twee punten klinken formeel, maar zijn juist voor ZZP’ers en kleine teams nuttig. Als je over anderhalf jaar je website vernieuwt en een medewerker vraagt waarom je destijds voor gerechtvaardigd belang hebt gekozen bij de chatfunctie, heb je het antwoord direct bij de hand. Dat bespaart tijd en voorkomt dat je dezelfde discussie opnieuw moet voeren.

Stap 6: Vertaal de juridische grondslag naar een begrijpelijke zin

Je privacyverklaring is bedoeld voor je bezoekers, niet voor juristen. De juridische term mag erin staan, maar moet vergezeld gaan van een uitleg in gewone taal. Schrijf per verwerking één zin die duidelijk maakt wat er gebeurt en waarom jij het recht hebt om het te doen.

Neem als voorbeeld een webshop die bestelgegevens bewaart. Een goede formulering is: ‘Wij verwerken je naam, adres en bestelhistorie om je bestelling te kunnen verwerken en te bezorgen. De juridische grondslag hiervoor is de uitvoering van de overeenkomst die je met ons sluit.’ Dat is begrijpelijk voor een klant in Rotterdam die even nazoekt waarom je zijn gegevens bewaart, én het klopt met wat er in je systemen daadwerkelijk gebeurt.

Vermijd zinnen als ‘wij verwerken gegevens op basis van onze legitieme belangen voor analytische en marketingdoeleinden’. Dat is een zin die alles zegt en niets verduidelijkt.

Stap 7: Controleer bij elke wijziging opnieuw

Een privacyverklaring is geen document dat je eenmalig opstelt en daarna vergeet. Elke keer dat je een nieuwe tool installeert, een werkproces aanpast of een extra formulier toevoegt, ontstaat er mogelijk een nieuwe verwerking die nog niet in je register staat en dus ook niet in je verklaring.

Bouw een korte controle in bij elke technische of procesmatige wijziging van je website. Voeg je in de zomer een chatwidget toe? Check dan direct welke gegevens die widget verzendt, naar welke server, en op welke grondslag je dat kunt baseren. Zo blijft je privacyverklaring altijd in lijn met de werkelijkheid, en dat is precies waar de AVG op toetst.

Begin bij je systemen, niet bij je verklaring. Omschrijf per verwerking het concrete doel en kies daarna pas een grondslag. Zo voorkom je de meest gemaakte fout in privacyverklaringen. Toestemming is niet de veilige standaardoptie, het is juist de grondslag met de meeste voorwaarden en verplichtingen. Kijk eerst naar de andere vijf grondslagen, leg je keuze vast in je register met een datum en een korte motivering, en vertaal dat pas daarna naar leesbare tekst in je privacyverklaring. Je document wordt dan niet alleen juridisch steviger, het beschrijft ook gewoon eerlijk wat er op jouw website met persoonsgegevens gebeurt.