Veel verenigingen, stichtingen en kleine bedrijven verwerken meer persoonsgegevens dan ze zelf denken. Denk aan ledenlijsten, klantgegevens, donateursgegevens, vrijwilligerslijsten, personeelsgegevens, contactformulieren, foto’s, video’s, betaalgegevens, geboortedata, gezondheidsinformatie of gegevens van kinderen. Zolang alles goed gaat, lijkt dat misschien onschuldig. Maar zodra gegevens kwijtraken, verkeerd worden gedeeld of in verkeerde handen vallen, kan de impact groot zijn. Niet alleen juridisch, maar vooral voor het vertrouwen van leden, klanten, ouders, vrijwilligers en deelnemers. De AVG is daarom geen lastig formulier of verplicht stukje tekst op de website. De AVG gaat over zorgvuldig omgaan met gegevens van mensen.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn gegevens die iets zeggen over een persoon of waarmee iemand direct of indirect herkenbaar is. Dat kan een naam, adres, telefoonnummer of e-mailadres zijn, maar ook een foto, video, IP-adres, lidnummer, betaalgegeven of combinatie van gegevens. Voor verenigingen en kleine organisaties betekent dit dat bijna iedere ledenadministratie, klantenlijst, vrijwilligerslijst of aanmelding onder de AVG valt. Ook gegevens die via een websiteformulier binnenkomen, zijn persoonsgegevens. Een muziekvereniging, toneelvereniging of sportclub verwerkt bijvoorbeeld namen, adressen, e-mailadressen, geboortedata, contributiegegevens, foto’s, video’s en informatie over jeugdleden. Een kapper, aannemer, fysiopraktijk, snackbar, restaurant of stichting verwerkt weer andere gegevens, maar de verantwoordelijkheid blijft hetzelfde: je moet er zorgvuldig mee omgaan.
Bijzondere persoonsgegevens vragen extra aandacht
Sommige gegevens zijn extra gevoelig. De AVG noemt dit bijzondere persoonsgegevens. Denk aan gegevens over gezondheid, religie, politieke voorkeur, seksuele gerichtheid, biometrische gegevens of gegevens waaruit afkomst kan blijken. Voor verenigingen en bedrijven kan dit sneller spelen dan je denkt. Een sportvereniging kan medische informatie ontvangen over blessures, allergieën of medicijngebruik. Een stichting kan werken met kwetsbare doelgroepen. Een toneel- of muziekvereniging kan gegevens van kinderen verwerken. Een bedrijf kan personeelsgegevens, ziektegegevens of kopieën van identiteitsdocumenten bewaren. Bijzondere persoonsgegevens mag je niet zomaar verwerken. Daarvoor gelden strengere regels. De belangrijkste vraag is: heb je deze gegevens echt nodig? En zo ja, zijn ze goed beschermd?
Het grootste risico is gebrek aan overzicht
Bij kleine organisaties ontstaat privacyrisico vaak niet door kwade wil, maar door gebrek aan overzicht. Gegevens staan verspreid over mailboxen, Excelbestanden, cloudmappen, telefoons, formulieren, websites, oude laptops en accounts van oud-bestuursleden of oud-medewerkers. Een bestuurslid heeft een ledenlijst op de privécomputer. Een vrijwilliger beheert foto’s in een gedeelde map. Een oud-medewerker heeft nog toegang tot de mailbox. Een contactformulier slaat berichten op in WordPress zonder dat iemand dat weet. Een oude ledenpagina is beschermd met één algemeen wachtwoord. Een cloudmap staat open voor te veel mensen. Zolang niemand kijkt, lijkt het goed te gaan. Maar bij een hack, verkeerd gedeelde link, gestolen laptop of vertrekkende vrijwilliger wordt duidelijk hoe kwetsbaar zo’n inrichting is.
Bewaar niet meer dan nodig
Een belangrijk AVG-principe is dat je niet meer gegevens verzamelt en bewaart dan nodig is. Dit heet dataminimalisatie. Vraag dus niet om gegevens “voor de zekerheid” als je ze niet echt nodig hebt. Een contactformulier hoeft meestal geen geboortedatum te vragen. Een vereniging hoeft oude ledenlijsten niet onbeperkt te bewaren. Foto’s en video’s van jeugdleden hoeven niet eindeloos online te blijven staan. Oude aanmeldingen, formulieren en bestanden moeten periodiek worden opgeschoond.
Wat je niet bewaart, kan ook niet lekken.
Toegang moet goed geregeld zijn
Niet iedereen hoeft overal bij te kunnen. Een trainer, dirigent, regisseur, vrijwilliger, penningmeester, beheerder of medewerker heeft vaak verschillende informatie nodig. Geef mensen daarom alleen toegang tot wat zij echt nodig hebben. Gebruik persoonlijke accounts in plaats van gedeelde wachtwoorden. Zet multifactorauthenticatie aan waar dat kan. Verwijder accounts van mensen die geen functie meer hebben. Controleer regelmatig wie toegang heeft tot de website, e-mail, cloudopslag, ledenadministratie en socialmediakanalen. Een algemeen wachtwoord op een ledenpagina lijkt handig, maar is geen sterk toegangsbeheer. Zodra het wachtwoord wordt gedeeld of bij oud-leden blijft hangen, weet je niet meer wie toegang heeft.
Foto’s en video’s zijn ook persoonsgegevens
Verenigingen en stichtingen maken vaak foto’s en video’s van activiteiten, uitvoeringen, trainingen, voorstellingen, repetities en evenementen. Dat hoort bij zichtbaarheid en beleving. Maar zodra mensen herkenbaar in beeld zijn, gaat het om persoonsgegevens. Bij kinderen en jongeren moet je extra voorzichtig zijn. Vraag duidelijke toestemming, leg uit waarvoor het beeldmateriaal wordt gebruikt en respecteer het als ouders of leden geen toestemming geven. Denk ook aan oude fotoalbums, social media, nieuwsbrieven en videoarchieven. Online zetten is makkelijk. Controle houden op wat er daarna mee gebeurt, is veel moeilijker.
Wat als het misgaat?
Een datalek hoeft geen grote hack te zijn. Een verkeerd verzonden e-mail, verloren laptop, open cloudmap, gehackte mailbox of onbeveiligde website kan ook een datalek zijn. Als persoonsgegevens toegankelijk zijn geweest voor mensen die daar geen recht op hadden, moet je beoordelen of het datalek gemeld moet worden bij de Autoriteit Persoonsgegevens. Soms moeten ook de betrokken personen worden geïnformeerd. Daarom is het belangrijk om vooraf af te spreken wat je doet bij een incident. Wie beoordeelt het? Wie neemt contact op met de beheerder of leverancier? Wie informeert bestuur, medewerkers, leden of klanten? En waar wordt het incident vastgelegd?
Wat kan BeenThere DoneThat betekenen?
BeenThere DoneThat helpt kleine bedrijven, verenigingen en stichtingen om hun digitale basis veiliger en overzichtelijker te maken. Niet met ingewikkelde juridische taal, maar met praktische ondersteuning die past bij kleinere organisaties. We kunnen meekijken naar je website, hosting, formulieren, privacyverklaring, cookiebeleid, back-ups, toegangsrechten, leden- of klantomgevingen, cloudopslag, e-mail en technisch beheer. Ook kunnen we helpen met bewustwording voor bestuurders, vrijwilligers, medewerkers en beheerders.
Het doel is niet om alles ingewikkeld te maken. Het doel is juist om overzicht, veiligheid en vertrouwen te creëren.
De belangrijkste les
De AVG draait niet alleen om regels, maar om verantwoordelijkheid. Als organisatie werk je met gegevens van mensen. Daar moet je zorgvuldig mee omgaan. Voor verenigingen, stichtingen en kleine bedrijven begint dat met simpele vragen: welke gegevens hebben we, waarom hebben we ze, waar staan ze, wie kan erbij en hoelang bewaren we ze? Als je die vragen niet goed kunt beantwoorden, is dat het beste moment om te beginnen.
Bronnen
- De Autoriteit Persoonsgegevens legt uit dat persoonsgegevens alle informatie zijn over een geïdentificeerde of identificeerbare natuurlijke persoon. Ook gegevens die indirect naar iemand verwijzen, kunnen persoonsgegevens zijn.
- Volgens de AP zijn bijzondere persoonsgegevens extra privacygevoelig, bijvoorbeeld gegevens over iemands gezondheid of politieke voorkeur. Voor het verwerken van bijzondere persoonsgegevens gelden strengere regels.
- De AP legt uit dat bij een datalek sprake is van toegang tot persoonsgegevens zonder dat dit mag of de bedoeling is. Goede beveiliging van persoonsgegevens is volgens de AP één van de basisbeginselen van de AVG.
- De Kamer van Koophandel beschrijft specifiek dat verenigingen via ledenadministraties persoonsgegevens verwerken, zoals namen, adressen, e-mailadressen en betaalgegevens. Ook stichtingen kunnen onder de AVG vallen, bijvoorbeeld bij donateurslijsten of vrijwilligers.
- De AP geeft aan dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is voor het doel waarvoor ze zijn verzameld.
