Je leest dat de Autoriteit Persoonsgegevens vorige week een boete heeft uitgedeeld aan een bedrijf dat een cookiewall gebruikte, en je vraagt je af of jouw eigen cookiewall nu ook een probleem is. Of een collega stuurt je een link naar een arrest van het Europees Hof en schrijft erbij: “Hier moet je wat mee.” Maar wat precies? Niet elke juridische ontwikkeling verplicht jou tot actie, en dat onderscheid is precies waar het mis gaat: sommige ondernemers herschrijven hun privacyverklaring bij ieder bericht, anderen negeren alles. Dit artikel geeft je een concrete beslisstroom zodat je weet wanneer je in beweging moet komen en wanneer afwachten verstandiger is.

De vier typen juridische ontwikkelingen die je privacyverklaring kunnen raken

Voordat je kunt beslissen of je actie moet ondernemen, moet je begrijpen wat voor soort juridische ontwikkeling je voor je hebt. Ze zijn niet allemaal even zwaar.

Wettekst. Een wijziging in de AVG zelf, in de Uitvoeringswet AVG of in een sectorspecifieke wet (zoals de Telecommunicatiewet voor cookies) heeft bindende kracht. Dit is de zwaarste categorie. Als de wet verandert, veranderen je verplichtingen direct mee.

EDPB-richtsnoer. De Europese Privacyraad (EDPB) publiceert richtlijnen over hoe de AVG uitgelegd moet worden. Ze zijn geen wet, maar toezichthouders zoals de AP gebruiken ze wel als maatstaf bij handhaving. Een definitief richtsnoer neem je serieus; een concept dat nog in consultatie is, kun je voorlopig monitoren.

AP-handhavingsbesluit. De Nederlandse toezichthouder legt een boete op of geeft een bindende aanwijzing. Zo’n besluit is geen nieuwe wet, maar het maakt wel glashelder hoe de AP bepaalde praktijken beoordeelt. Als jouw situatie sterk lijkt op de situatie in het besluit, is dat een direct signaal.

Rechterlijke uitspraak. Een uitspraak van een Nederlandse rechter of het Europees Hof van Justitie kan verstrekkende gevolgen hebben. Denk aan het Schrems II-arrest. Buitenlandse uitspraken, van een rechtbank in Duitsland of Zweden, hebben geen bindende werking in Nederland, maar kunnen wel richting geven aan hoe rechters hier later redeneren.

Wanneer een wijziging wél directe aanpassing vereist

Je hoeft niet bij elke nieuwe publicatie meteen je verklaring open te trekken. Maar in drie situaties is actie echt noodzakelijk bij het privacyverklaring bijwerken na een wetswijziging of uitspraak.

Criterium 1: Er is een nieuwe verwerkingsgrondslag vereist. Als blijkt dat de grondslag waarop jij gegevens verwerkt niet langer geldig is, of dat je een andere grondslag moet vermelden, dan klopt je verklaring feitelijk niet meer. Dat is geen cosmetisch probleem, dat is een inhoudelijk probleem.

Criterium 2: De transparantieverplichting verandert. De AVG schrijft voor wat je verplicht moet vermelden. Als er nieuwe informatieplichten bijkomen, bijvoorbeeld over de doorgifte van gegevens naar derde landen, dan moet je dat ook in je verklaring opnemen.

Criterium 3: Jouw sector, tool of praktijk wordt expliciet benoemd. Wordt in een handhavingsbesluit of richtsnoer specifiek gesproken over webshops, nieuwsbrieftools, of het gebruik van Google Analytics? Dan is de kans groot dat het jou raakt, ook als de uitspraak niet over jouw bedrijf gaat.

Wanneer je kunt afwachten

Er zijn ook ontwikkelingen waarbij afwachten verstandiger is dan overhaast aanpassen.

  • Conceptrichtsnoeren van de EDPB die nog in openbare consultatie zijn. De uiteindelijke tekst kan nog flink afwijken.
  • Buitenlandse uitspraken zonder precedentwerking in Nederland. Lees ze, maar pas niet meteen aan op basis van een Deense rechtbankuitspraak.
  • Lopende procedures bij de AP waarbij nog geen besluit is gevallen. Monitoren is genoeg.
  • Interpretaties van vakblogs of juridische opiniestukken. Waardevolle context, maar geen juridische verplichting.

Signalen die je in de gaten houdt

Je hoeft hier geen fulltime jurist voor te zijn, maar een beetje structuur helpt. Controleer de volgende bronnen eens per kwartaal, of stel een Google Alert in op relevante zoektermen.

  • De nieuwspagina van de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) voor boetes en richtsnoeren.
  • Het EDPB-register op edpb.europa.eu voor nieuwe en conceptrichtlijnen.
  • Enforcement Tracker van CMS (cmsregscan.com) voor een overzicht van Europese handhavingsbesluiten in het Engels.
  • Nederlandse vakblogs zoals Privacyweb of de nieuwsbrief van Privacy Company voor vertaling naar de praktijk.

Drie praktijkgevallen die laten zien hoe dit werkt

Praktijkgeval 1: AP-boetes rondom cookiewalls

Toen de AP boetes oplegde aan websites die toegang blokkeerden tenzij bezoekers toestemming gaven voor tracking, was dat een duidelijk signaal voor iedere website met een vergelijkbare cookiewall. Wat veel eigenaren nalieiten: ze pasten hun cookiebanner aan, maar vergaten hun privacyverklaring. Terwijl juist in de verklaring moet staan op welke grondslag je gegevens verwerkt via cookies. Toestemming die niet vrij gegeven kan worden, is geen geldige toestemming. En als je grondslag niet klopt, klopt je verklaring niet.

Praktijkgeval 2: Schrems II en de doorgifte-paragraaf

Na het Schrems II-arrest van het Europees Hof in 2020 werd de doorgifte van persoonsgegevens naar de VS veel complexer. Toch liepen privacyverklaringen van Nederlandse website-eigenaren soms nog jaren achterop. Veel verklaringen vermeldden simpelweg dat gegevens werden doorgegeven op basis van het Privacy Shield, terwijl dat al ongeldig was verklaard. De les: na een grootschalige uitspraak moet je je doorgifte-paragraaf direct controleren. Gebruik je tools zoals Mailchimp, Google Analytics of AWS? Dan is dit direct relevant voor jou.

Praktijkgeval 3: EDPB-richtsnoeren over donkere patronen

De EDPB publiceerde richtsnoeren over zogenaamde ‘dark patterns’, manipulatieve ontwerpen in toestemmingsschermen. Een van de conclusies: een toestemmingszin als ‘Ik ga akkoord met de verwerking van mijn gegevens voor een betere gebruikerservaring’ is te vaag. Je moet concreet benoemen waarvoor toestemming gevraagd wordt. Veel privacyverklaringen bevatten nog dit soort vage formuleringen. Pas je dat aan, dan moet de taalkundige aanpassing ook in je verklaring doorklinken, niet alleen in je cookiebanner.

Vier diagnostische vragen om te bepalen of jij geraakt wordt

Stel jezelf deze vragen als je een nieuwe juridische ontwikkeling tegenkomt.

Vraag 1: Verwerk ik gegevens op de manier die in de uitspraak of het richtsnoer beschreven wordt? Een besluit over een specifieke branche of technologie raakt je alleen als jij die technologie ook gebruikt.

Vraag 2: Gebruik ik de tools of platforms die expliciet worden genoemd? Wordt Google Analytics, Meta Pixel of een bepaalde e-mailmarketingtool aangehaald? Controleer dan je verklaring op die specifieke verwerking.

Vraag 3: Verwerk ik gegevens van kwetsbare groepen of specifieke categorieën? Verklaringen over gezondheidsgegevens, gegevens van kinderen of bijzondere persoonsgegevens raken je alleen als jij zulke gegevens verwerkt.

Vraag 4: Geef ik gegevens door aan partijen buiten de EER? Ontwikkelingen rond internationale doorgiften zijn voor jou relevant als je cloudtools of internationale software gebruikt.

De aanpak als actie wél nodig is

Heb je vastgesteld dat je verklaring aangepast moet worden? Doe het dan goed en gestructureerd.

Pas alleen aan wat daadwerkelijk geraakt wordt. Herschrijf niet je hele verklaring op basis van één uitspraak; dat vergroot de kans op nieuwe fouten.

Voeg een versiedatum toe aan je privacyverklaring, zodat je altijd kunt aantonen wanneer je de laatste wijziging hebt gemaakt. Dat is ook handig als de AP vragen stelt.

Vraag je af of je gebruikers actief moet informeren. Dat is verplicht als de wijziging gevolgen heeft voor hoe je hun gegevens verwerkt, of als je nieuwe verwerkingen toevoegt. Een kleine tekstuele verduidelijking hoef je niet actief te communiceren, een nieuwe verwerkingsdoeleinde wel.

De veelgemaakte fout: kopiëren van een concurrent

Na een opvallende uitspraak of boete zoeken veel ondernemers houvast bij wat anderen doen. Ze kijken op de website van een concullega of een branchegenoot en kopiëren diens privacyverklaring. Dat is begrijpelijk, maar het is een slecht idee. Want die concurrent verwerkt andere gegevens, gebruikt andere tools en heeft een andere doelgroep. Een gekopieerde verklaring beschrijft jouw situatie niet, en een verklaring die jouw verwerkingen niet juist weergeeft is per definitie niet AVG-conform, hoe goed de bron ook lijkt. Bovendien neem je ook eventuele fouten van die concurrent mee over.

Het komt neer op drie stappen: herken het type juridische ontwikkeling, check of het van toepassing is op jouw verwerkingen, en documenteer wat je daarna doet, of dat nu aanpassen is of bewust afwachten. Is aanpassen nodig, doe het dan precies en leg de reden vast. Is afwachten de juiste keuze, sla de bron op en zet een herinnering om het over een paar maanden opnieuw te bekijken. Zo blijft je privacyverklaring actueel zonder dat je bij ieder bericht opnieuw je teksten overhoop gooit.