De privacyverklaring is het ene AVG-document dat elke bezoeker van de website van een softwarebedrijf ziet, en het document dat het vaakst als proza over de zorg voor privacy wordt geschreven. De verordening vraagt geen proza. Artikel 13 somt de informatie op die een verwerkingsverantwoordelijke verstrekt wanneer persoonsgegevens bij de betrokkene worden verzameld, op het moment dat zij worden verkregen; artikel 14 somt de informatie op die wordt verstrekt wanneer de gegevens niet bij de betrokkene zijn verkregen, binnen een maand. Beide zijn lijsten van onderdelen, elk met een eigen punt, en een verklaring is volledig wanneer elk onderdeel dat de verwerking van het bedrijf raakt een antwoord heeft. Dit artikel leest de twee lijsten tegen de catalogus die StandardOS van de verordening bijhoudt en de gratis pagina die de verklaring uit de antwoorden schrijft, één invoer per onderdeel.

Artikel 13: twaalf onderdelen op het punt van verzameling

Artikel 13, lid 1, noemt zes onderdelen die in elk geval worden gegeven: a) de identiteit en de contactgegevens van de verwerkingsverantwoordelijke en, in voorkomend geval, van zijn vertegenwoordiger; b) de contactgegevens van de functionaris voor gegevensbescherming, in voorkomend geval; c) de doeleinden van de verwerking en de rechtsgrond voor elk; d) wanneer de grond de gerechtvaardigde belangen van artikel 6, lid 1, punt f), zijn, de nagestreefde belangen; e) de ontvangers of categorieën van ontvangers; f) in voorkomend geval, dat de verwerkingsverantwoordelijke de gegevens aan een derde land of een internationale organisatie wil doorgeven, met het adequaatheidsbesluit of de waarborgen en waar een kopie ervan te verkrijgen is. Artikel 13, lid 2, noemt zes verdere onderdelen die nodig zijn om een behoorlijke en transparante verwerking te waarborgen: a) de bewaartermijn of de criteria om die te bepalen; b) het bestaan van de rechten op inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid; c) wanneer de grond toestemming is, het recht die in te trekken; d) het recht een klacht in te dienen bij een toezichthoudende autoriteit; e) of het verstrekken van de gegevens een wettelijke of contractuele verplichting is, of een noodzakelijke voorwaarde om een overeenkomst te sluiten, en de gevolgen van niet-verstrekking; f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, met nuttige informatie over de logica en de gevolgen. Artikel 13, lid 3, voegt toe dat een verder doel wordt aangekondigd vóór die verdere verwerking begint, en artikel 13, lid 4, heft de plicht op wanneer de betrokkene al over de informatie beschikt.

Artikel 14: dertien onderdelen, een maand, vier uitzonderingen

Artikel 14, lid 1, noemt zes onderdelen: de verwerkingsverantwoordelijke en zijn vertegenwoordiger, de functionaris voor gegevensbescherming, de doeleinden en de rechtsgrond, de betrokken categorieën van persoonsgegevens, de ontvangers, en de doorgiften met hun waarborgen; artikel 14, lid 2, noemt er zeven verdere: de bewaartermijn, de gerechtvaardigde belangen waar die de grond zijn, de rechten, het recht toestemming in te trekken, het klachtrecht, de bron van de gegevens en of zij uit openbare bronnen komen, en de geautomatiseerde besluitvorming. Het moment is artikel 14, lid 3: binnen een redelijke termijn na het verkrijgen van de gegevens en uiterlijk binnen een maand, of op het moment van de eerste communicatie met de betrokkene als de gegevens worden gebruikt om met hem te communiceren, of wanneer de gegevens voor het eerst aan een andere ontvanger worden verstrekt als een verstrekking wordt overwogen, wat het eerst komt. Artikel 14, lid 5, heft de plicht in vier gevallen op: de betrokkene beschikt al over de informatie; het verstrekken blijkt onmogelijk of zou onevenredige inspanningen vergen, met name voor archivering, onderzoek of statistiek, met de maatregelen die de verwerkingsverantwoordelijke in plaats daarvan neemt; het verkrijgen of verstrekken is uitdrukkelijk bij wet voorgeschreven met passende maatregelen; of de gegevens vallen onder het beroepsgeheim. Een softwarebedrijf dat een aanmelding verrijkt met gegevens gekocht van een leverancier, de gebruikerslijst van een klant ontvangt of een openbaar profiel scrapet, valt voor die gegevens onder artikel 14, en de uitzondering "beschikt al over de informatie" geldt niet voor iemand die nog nooit van het bedrijf heeft gehoord.

Zeven van de onderdelen zijn het verwerkingsregister

Een softwarebedrijf dat zijn verwerkingsregister heeft geschreven, heeft zeven van de onderdelen al beantwoord: de naam en contactgegevens van de verwerkingsverantwoordelijke (artikel 30, lid 1, punt a)), de doeleinden (30, lid 1, punt b)), de categorieën van persoonsgegevens (30, lid 1, punt c)), de ontvangers (30, lid 1, punt d)), de doorgiften en hun waarborgen (30, lid 1, punt e)), de bewaartermijnen (30, lid 1, punt f)), en de vertegenwoordiger en de functionaris waar die bestaan (30, lid 1, punt a)). De rechtsgrond per doel is de kolom die het register niet heeft en de verklaring wel, en het is degene die het vaakst ontbreekt: een verklaring die voor alles "gerechtvaardigde belangen" noemt zonder het belang te noemen, heeft artikel 13, lid 1, punt d), niet beantwoord. De rechten zijn in elke verklaring dezelfde en worden gelezen uit de artikelen 15 tot en met 22; de klacht is artikel 77; het intrekken van toestemming is artikel 7, lid 3. De volgorde die werkt, is eerst het register en de verklaring eruit overgenomen, en daarvoor is de gratis pagina gebouwd: elk onderdeel zoals de verordening het formuleert, een antwoord eronder, en de verklaring geschreven met het onderdeel als kop, zodat niets door stilzwijgen wordt beweerd en een onbeantwoord onderdeel als niet vermeld wordt geschreven.

Vorm, taal en moment

Artikel 12, lid 1, bepaalt de vorm: beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk, in duidelijke en eenvoudige taal, schriftelijk of met andere middelen, ook elektronisch. Een verklaring van vijftien pagina's proza faalt op het eerste woord; een verklaring die een lijst van de twaalf onderdelen is met een zin onder elk, slaagt voor alle. Het moment is het punt van verzameling: het aanmeldformulier verwijst naar de verklaring voordat de knop wordt ingedrukt, de cookiebanner noemt de doeleinden vóór de toestemming, de sollicitatiepagina noemt de bewaartermijn vóór de upload. Voor gegevens van artikel 14 is het moment het eerste bericht aan de persoon of de maand, wat het eerst komt, zodat de gegevens van de verrijkingsleverancier worden aangekondigd in de eerste e-mail die ze gebruikt. De doorgiftetool levert het antwoord op het doorgifteonderdeel voor elke ontvanger buiten de EER, en de bepaling van de verplichtingen zegt of het bedrijf een vertegenwoordiger of een functionaris te noemen heeft.

Wat ermee te doen

Schrijf het register, beantwoord dan de onderdelen daaruit, en zet de verklaring waar de gegevens worden verzameld. Noem voor elk formulier op de site en elk scherm in het product dat persoonsgegevens verzamelt het onderdeel van de verklaring dat het dekt, en controleer of het daarvandaan bereikbaar is. Noem voor elke bron van persoonsgegevens die niet de persoon is het eerste bericht of de maand en stuur de verklaring van artikel 14 tegen die tijd. Bewaar de versie van de verklaring die iemand zag op de dag dat hij die zag, omdat een doelwijziging de plicht opnieuw doet beginnen en de autoriteit vraagt welke versie gold. StandardOS schrijft de verklaring uit het register en bewaart de versies; de gratis pagina schrijft de eerste.