Het jaar waarin de toezichthouders de privacyverklaring lezen: CEF 2026 over transparantie

De reden waarom deze actie ongemakkelijker is dan de voorgaande heeft niets te maken met de strengheid van de toezichthouders. Zij heeft te maken met het feit dat transparantie de enige verplichting van de verordening is die men beoordeelt door te lezen, van de kant van de lezer. Een verwerkingsregister wordt beoordeeld op de volledigheid van zijn velden; een beveiligingsmaatregel op wat zij verhindert; een privacyverklaring op de vraag of een gewoon mens, na lezing, weet wat met zijn gegevens gebeurt. Dat is een controle die geen bezoek ter plaatse vraagt: de tekst is al openbaar, en dat is hij al jaren.

Het is goed de drie artikelen apart te houden, want ze worden samen aangehaald en als één behandeld. Artikel 12 gaat over de vorm: beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke informatie in duidelijke en eenvoudige taal. Artikel 13 gaat over de inhoud wanneer de gegevens bij de persoon worden verzameld. Artikel 14 gaat over de inhoud wanneer de gegevens van iemand anders komen. In de praktijk bestaan de eerste twee bijna altijd in enige vorm; de derde bestaat in de grote meerderheid van de gevallen helemaal niet.

• «Zolang nodig voor de aangegeven doeleinden» is geen bewaartermijn: het is de vraag, herhaald in de vorm van een antwoord. Artikel 13, lid 2, onder a), vraagt de termijn, of de criteria om die te bepalen.
• «Onze partners», «geselecteerde leveranciers», «vennootschappen van de groep» zijn geen categorieën van ontvangers. Een categorie herkent men doordat de lezer begrijpt wie bedoeld wordt.
• De rechtsgrond moet per doeleinde worden vermeld, niet één keer onderaan voor alle. Bij vijf doeleinden en drie grondslagen moet de koppeling leesbaar zijn.
• De doorgifte buiten de Unie moet worden verklaard met het instrument dat haar schraagt, en met de vermelding waar een kopie kan worden verkregen.
• De informatie van artikel 14 moet worden verstrekt binnen één maand na het verkrijgen van de gegevens, of bij de eerste mededeling aan de betrokkene als die eerder valt.

Hoe voorbereiden, zonder op het rapport te wachten. De eerste oefening is de eigen verklaring te lezen zoals een klant ze zou lezen, dat is één keer en met tegenzin. De tweede is ze naast het verwerkingsregister te leggen en regel voor regel te vergelijken: doeleinden, grondslagen, ontvangers, termijnen, doorgiften. Verklaart de verklaring vier doeleinden en somt het register er negen op, dan is een van beide onwaar, en het doet niet ter zake welke — de tegenstrijdigheid tussen de twee documenten is zelf de bevinding, want ze bewijst dat een van beide de werkelijkheid niet beschrijft.

Over de vragenlijst, als die komt, een methodische waarschuwing. De verleiding is te antwoorden door de organisatie te beschrijven zoals wij haar zouden willen. Het is een fout die twee keer kost: de toezichthouder vergelijkt de antwoorden met de documenten, en het verschil tussen wat u in de vragenlijst schreef en wat in het register staat is een zelfstandige bevinding, bovenop de oorspronkelijke. Het nuttige antwoord zegt wat er is, wat ontbreekt en met welke datum het wordt gedicht. Dat tweede deel is geen zwakte: artikel 24 vraagt passende en bijgehouden maatregelen, niet bereikte volmaaktheid.

Een noot over de kalender, want die bepaalt wat nu redelijk is. De samenvoeging van de nationale resultaten is voorzien voor de tweede helft van 2026 en het samenvattend rapport komt daarna. Erop wachten om te bewegen is de minst zinnige keuze van alle: het rapport zal zeggen welke gebreken de toezichthouders aantroffen in al gepubliceerde verklaringen, dus ook in de uwe. Ze vooraf herlezen kost een namiddag; ze herlezen na een vragenlijst kost hetzelfde, met een termijn erbovenop.