TL;DR voor de FG
De privacyverklaring is het document dat iedereen heeft en dat vrijwel niemand herleest. In 2026 is het het document waar alle Europese toezichthouders tegelijk naar kijken. Wie een klantenportefeuille beheert, leest ze dit jaar allemaal na - en niet pas in september.
Hoe de gecoördineerde actie werkt
Sinds 2022 kiest de EDPB jaarlijks één thema dat de nationale toezichthouders parallel onderzoeken: de een stuurt vragenlijsten, de ander opent formele inspecties, weer een ander start procedures. De bevindingen komen samen in een Europees rapport dat het interpretatiekader voor de jaren erna wordt. Eerdere edities gingen over de rol van de FG, het inzagerecht en het wissen van gegevens. 2026 is transparantie.
Het praktische gevolg: u hoeft niet in de schijnwerpers te staan om in de steekproef te belanden. Toezichthouders kiezen verwerkingsverantwoordelijken van elke omvang, en voor velen komt het eerste bericht in de vorm van een vragenlijst met een termijn.
Waar ze werkelijk naar kijken
Art. 12 vereist niet dat de verklaring bestaat: het vereist dat ze beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk is en in duidelijke en eenvoudige taal is opgesteld. Dat zijn vijf eigenschappen, en elk daarvan is een mogelijke bevinding. Een volledige maar onleesbare verklaring schendt art. 12 net zo goed als een onvolledige art. 13 schendt.
Art. 14 is de echte zwakke plek
Komen de gegevens niet van de betrokkene maar uit een andere bron - een gekochte lijst, een bestand dat met een overname is meegekomen, een leverancier die ze doorgeeft - dan is de informatie nog steeds verschuldigd, moet ze binnen een maand worden gegeven en moet ze vermelden WAAR de gegevens vandaan komen. In de praktijk is dit de meest verwaarloosde verplichting, omdat niemand een proces heeft dat aanslaat wanneer gegevens via een indirect kanaal binnenkomen.
De vragen bij elke klant
- Sluit de verklaring aan op wat de klant VANDAAG doet, of beschrijft ze het bedrijf van drie jaar geleden?
- Komen de doeleinden en rechtsgronden overeen met die in het verwerkingsregister van art. 30? Ze lopen vaker uiteen dan men denkt, en de toezichthouder legt ze naast elkaar.
- Bestaat er, waar gegevens van derden komen, een verklaring op grond van art. 14, en verstuurt iemand die ook echt binnen de maand?
- Zijn de bewaartermijnen met een criterium aangegeven, of met «zolang als nodig», wat niemand informeert?
- Is de verklaring in minder dan twee klikken bereikbaar vanaf het punt waar de gegevens worden verzameld?
Wat u nu doet, in de praktijk
1) Maak een inventaris van de verklaringen van al uw klanten met de datum van de laatste herziening: alles ouder dan twee jaar is de werkvoorraad die u het eerst wegwerkt. 2) Leg per klant de doeleinden uit de verklaring naast die uit het register van art. 30 en noteer de verschillen - dat is de eerste controle van de toezichthouder, want ze kost niets. 3) Zoek de indirecte gegevensstromen: lijsten, partners, overnames, leveranciers die bestanden doorgeven. Elk daarvan vraagt een verklaring op grond van art. 14 met vermelding van de bron. 4) Zet de herziening met een datum in het jaarplan, niet als doorlopende activiteit: doorlopende activiteiten gebeuren nooit.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
