Wanneer moet je betrokkenen informeren en geef je bovenstaande informatie?
Als de betrokkene zelf de gegevens geeft, dan moet je hem/haar daarbij direct informeren. Een soort ‘gelijk oversteken’ dus. Krijg je de persoonsgegevens niet van de betrokkene zelf, dan moet je binnen een maand na het krijgen van de gegevens of bij het eerste contact (zoals via direct marketing) hem/haar informeren. Als je op basis van toestemming de gegevens verwerkt (dus niet op basis van een andere grondslag, zoals een wettelijke verplichting of een overeenkomst), dan zal je, zelfs nog voor je toestemming krijgt, alle informatie moeten verstrekken. Een voorbeeld: je wil graag gegevens verzamelen van geïnteresseerde personen (bijvoorbeeld om ze nieuwsbrieven te kunnen versturen). Dan heb je toestemming nodig voor het verzamelen van namen en adresgegevens. Bij het invulformulier plaats je een link naar de privacyverklaring. Op deze manier is de betrokkene al geïnformeerd voordat hij/zij de persoonsgegevens in het formulier invult.

Zo voldoe je aan de informatieverplichtingen
Voldoe je niet aan deze informatieverplichtingen? Dan riskeert je onderneming een boete van maximaal € 20.000.000,- of 4% van de wereldwijde jaaromzet (als dat een hoger bedrag zou zijn). Het is dus niet (meer) alleen in het belang van de betrokkene dat je duidelijk bent over wat je met de persoonsgegevens doet. Het is ook in het belang van je eigen organisatie. Je moet betrokkenen over bovenstaande punten duidelijk en tijdig informeren. Dat hoeft niet in een privacyverklaring, dat zou ook op een andere manier mogen. Maar je moet wel aan kunnen tonen dat je duidelijk hebt geïnformeerd en dat je dit in een gemakkelijk toegankelijke vorm hebt gedaan.