Veel verenigingen en stichtingen verwerken dagelijks persoonsgegevens. Denk aan namen, adressen, telefoonnummers, e-mailadressen, geboortedata, ledenlijsten, contributiegegevens, vrijwilligersinformatie, foto’s, video’s en soms gegevens van kinderen of jongeren. Dat geldt niet alleen voor sportverenigingen. Ook muziekverenigingen, toneelverenigingen, koren, dansgroepen, scoutinggroepen, buurtverenigingen, culturele stichtingen en andere vrijwilligersorganisaties werken met persoonlijke gegevens. Vaak gebeurt dat met de beste bedoelingen, maar niet altijd met voldoende overzicht. Zodra persoonsgegevens kwijtraken, per ongeluk worden gedeeld of toegankelijk worden voor mensen die er niet bij mogen, kan er sprake zijn van een datalek.
- Gegevens van 90.000 KNWU-leden zijn gestolen bij datalek (Koninklijke Nederlandse Wielren Unie)
- Datalek bij de NKBV (Koninklijke Nederlandse Klim- en Bergsport Vereniging)
- Ajax: gegevens van meer dan 300.000 fans gelekt
Wat is een datalek?
Bij een datalek denken veel mensen meteen aan hackers. Maar een datalek is breder dan dat. Het gaat om een beveiligingsincident waarbij persoonsgegevens verloren gaan, onbedoeld worden aangepast, door onbevoegden worden ingezien of op een verkeerde plek terechtkomen. Voor een vereniging kan dat heel herkenbaar zijn. Een ledenlijst wordt per ongeluk naar de verkeerde groep gemaild. Een oud bestuurslid heeft nog toegang tot de administratie. Een laptop met persoonsgegevens raakt kwijt. Een gedeelde cloudmap staat te open. Een websiteformulier slaat gegevens op zonder dat iemand dat weet. Of een mailbox van een vrijwilliger wordt gehackt. Ook foto’s en video’s kunnen hierbij een rol spelen. Denk aan opnames van een toneelvoorstelling, foto’s van jeugdleden tijdens een concert, filmpjes van een sportwedstrijd, repetitiebeelden, backstagefoto’s of video’s van een uitvoering. Als mensen herkenbaar in beeld zijn, gaat het om persoonsgegevens.
Verenigingen werken vaak met kinderen en jongeren
Veel verenigingen hebben jeugdleden. Dat maakt privacy extra belangrijk. Kinderen en jongeren kunnen zelf vaak niet goed overzien waar hun gegevens, foto’s of filmpjes terechtkomen en hoelang die online blijven staan. Een teamfoto, groepsfoto, repetitiefilmpje of opname van een optreden lijkt misschien onschuldig. Toch kunnen ouders of verzorgers goede redenen hebben waarom zij niet willen dat hun kind herkenbaar op de website, social media of in promotiemateriaal verschijnt. Daarom is het belangrijk om duidelijke afspraken te maken over beeldmateriaal. Waarvoor wordt toestemming gevraagd? Gaat het om de website, social media, nieuwsbrieven, flyers of video’s? En wie mag beeldmateriaal plaatsen?
Veel verenigingen zijn kwetsbaar door losse systemen
Bij verenigingen ontstaat digitale kwetsbaarheid vaak vanzelf. Een bestuurslid maakt een Excelbestand. De penningmeester heeft een eigen administratie. De secretaris beheert de mailbox. Een vrijwilliger plaatst foto’s op social media. Een regisseur of trainer heeft een WhatsApp-groep. De website wordt beheerd door iemand die handig is met computers. Zolang alles werkt, lijkt er niets aan de hand. Maar bij een bestuurswisseling, een gehackte mailbox of een verkeerd gedeelde map wordt pas duidelijk hoe kwetsbaar de organisatie is. Wie heeft toegang tot de ledenadministratie? Wie kan foto’s uploaden naar de website? Waar staan video-opnames van uitvoeringen? Welke cloudmappen worden gebruikt? Zijn oude accounts verwijderd? Worden back-ups gemaakt? En weet iedereen wat wel en niet gedeeld mag worden?
Beeldmateriaal verdient extra aandacht
Voor sport-, muziek- en toneelverenigingen is beeldmateriaal vaak belangrijk. Je wilt laten zien hoe mooi een voorstelling was, hoe gezellig een repetitie verliep of hoe succesvol een toernooi of concert is geweest. Dat helpt bij zichtbaarheid, ledenwerving en trots binnen de vereniging. Maar beeldmateriaal moet zorgvuldig worden beheerd. Niet iedereen hoeft toegang te hebben tot alle foto’s en video’s. Niet alles hoeft online te blijven staan. En niet elke opname is geschikt voor publicatie. Maak daarom duidelijke afspraken. Vraag toestemming waar dat nodig is, zeker bij kinderen. Spreek af wie foto’s en video’s mag plaatsen.
Controleer regelmatig oude fotoalbums, nieuwsberichten en socialmediakanalen. En zorg dat leden of ouders weten waar zij bezwaar kunnen maken.
Een datalek moet je serieus nemen
Als er iets misgaat, is snel handelen belangrijk. Niet ieder incident hoeft direct gemeld te worden bij de Autoriteit Persoonsgegevens, maar je moet wel kunnen beoordelen wat er is gebeurd en welke risico’s er zijn. Daarom is het verstandig om als vereniging een eenvoudige procedure te hebben. Wie wordt gebeld als er iets misgaat? Wie beoordeelt of er sprake is van een datalek? Wie neemt contact op met de websitebeheerder, hostingpartij of softwareleverancier? En wie informeert leden, ouders of vrijwilligers als dat nodig is? Ook als je besluit dat melden niet nodig is, moet je een datalek intern registreren. Zo kun je later uitleggen wat er is gebeurd en welke maatregelen zijn genomen.
Voorkomen begint met basismaatregelen
Je hoeft als vereniging geen grote IT-afdeling te hebben om veel risico’s te verkleinen. Begin met overzicht. Welke persoonsgegevens verwerken we? Waar staan ze? Wie heeft toegang? Welke foto’s en video’s bewaren we? Welke accounts zijn nog actief? Gebruik sterke wachtwoorden en zet multifactorauthenticatie aan op belangrijke accounts, zoals e-mail, websitebeheer, ledenadministratie, cloudopslag en social media. Verwijder accounts van oud-bestuursleden, oud-trainers, oud-regisseurs, oud-dirigenten en vrijwilligers die geen rol meer hebben. Controleer ook wie toegang heeft tot gedeelde mappen, fotoalbums, websitebeheer en socialmediakanalen. Maak back-ups en test of gegevens teruggezet kunnen worden. En leg afspraken vast over het delen van ledenlijsten, foto’s, video’s en contactgegevens.
Wat kan BeenThere DoneThat betekenen?
BeenThere DoneThat helpt kleine organisaties, verenigingen en stichtingen om hun digitale basis veiliger en overzichtelijker te maken. Niet met ingewikkelde IT-taal, maar met praktische ondersteuning die past bij vrijwilligersorganisaties en kleine besturen. We kunnen meekijken naar de website, hosting, formulieren, privacyverklaring, cookiebeleid, back-ups, toegangsrechten, gebruikersaccounts, cloudopslag, social media en online beheer. Ook kunnen we helpen met bewustwording voor bestuurders, vrijwilligers en beheerders: wat mag je delen, wat moet je beschermen en wat doe je als er iets misgaat? Voor verenigingen is dat belangrijk. Je wilt zichtbaar zijn, leden informeren, activiteiten delen en nieuwe mensen aantrekken. Maar wel op een manier die zorgvuldig omgaat met ledengegevens, jeugdleden, vrijwilligers, foto’s en video’s.
De belangrijkste les
Een datalek is niet alleen iets voor grote bedrijven. Ook een sportvereniging, muziekvereniging, toneelvereniging, stichting of lokale vereniging kan ermee te maken krijgen. De meeste risico’s ontstaan niet door kwade wil, maar door gebrek aan overzicht. Oude accounts, gedeelde bestanden, losse Excelbestanden, onbeheerde foto’s, oude video’s en onduidelijke rechten maken een organisatie kwetsbaar. Zorg daarom voor overzicht, duidelijke afspraken en goed beheer. Dat voorkomt niet ieder incident, maar het verkleint wel de kans én de schade als er toch iets misgaat.
Bronnen
- De Atletiekunie legt uit dat ook sportverenigingen persoonsgegevens verwerken onder de AVG. Bij een ernstig datalek moet dit direct worden gemeld bij de Autoriteit Persoonsgegevens. De pagina geeft ook praktische voorbeelden van datalekken, zoals een kwijtgeraakte USB-stick, een gestolen laptop of een inbraak in een databestand.
Link: https://www.atletiekunie.nl/kenniscentrum/ondersteuning-bestuur/privacywetgeving/datalek/ - De Autoriteit Persoonsgegevens legt uit wanneer een datalek wel of niet gemeld moet worden. Een datalek moet gemeld worden, tenzij het niet waarschijnlijk is dat het risico oplevert voor de rechten en vrijheden van betrokkenen.
Link: https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/datalek-wel-of-niet-melden - Het NCSC geeft aan dat een datalek binnen 72 uur na constatering gemeld moet worden bij de Autoriteit Persoonsgegevens. Ook kan het nodig zijn om betrokken personen te informeren wanneer hun gegevens zijn gelekt.
Link: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek - De Autoriteit Persoonsgegevens legt uit dat foto’s en filmpjes waarop mensen herkenbaar in beeld zijn persoonsgegevens kunnen zijn. Dit is relevant voor verenigingen die foto’s of video’s publiceren van leden, vrijwilligers, optredens, wedstrijden, repetities of jeugdactiviteiten.
Link: https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/beeldmateriaal
