AVG en privacy: wat moet je als vrijwilligersorganisatie regelen?

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens waarmee je een persoon direct of indirect kunt identificeren. Naam, adres, telefoonnummer, e-mailadres — maar ook foto's, lidmaatschapsnummers of medische informatie.

Als je een ledenlijst bijhoudt, aanmeldingen registreert of een nieuwsbrief verstuurt, verwerk je persoonsgegevens.

Wat verwacht de AVG van jou?

Je hoeft geen juridisch expert te zijn, maar je moet kunnen aantonen dat je zorgvuldig omgaat met gegevens. Dat betekent in de praktijk:

Verzamel alleen wat je nodig hebt

Vraag niet meer informatie dan strikt noodzakelijk. Heb je het geboortejaar van een vrijwilliger nodig? Dan vraag je het geboortejaar — niet de volledige geboortedatum.

Leg vast waarvoor je gegevens gebruikt

Gebruik gegevens alleen voor het doel waarvoor ze zijn gegeven. Een e-mailadres voor nieuwsbrieven gebruik je niet voor iets anders zonder toestemming.

Bewaar gegevens niet langer dan nodig

Ruim oude gegevens op. Oud-vrijwilligers van vijf jaar geleden hoeven niet meer in je actieve ledenlijst te staan.

Beveilig gegevens

Gebruik een wachtwoord op je bestanden en apparaten. Deel geen lijsten met persoonsgegevens via onbeveiligde kanalen zoals een gewone e-mailbijlage.

Privacyverklaring

Heb je een website of verstuur je e-mails? Dan ben je verplicht een privacyverklaring te hebben. Daarin leg je uit welke gegevens je verzamelt, waarvoor, hoe lang je ze bewaart en hoe mensen hun gegevens kunnen inzien of laten verwijderen.

Er zijn gratis sjablonen beschikbaar die je kunt aanpassen op je eigen situatie.

Verwerkers en derden

Maak je gebruik van externe tools — een aanmeldsysteem, een e-mailprogramma, een cloudopslag — dan verwerk je gegevens via een derde partij. In dat geval heb je een verwerkersovereenkomst nodig. Veel grote aanbieders (Google, Mailchimp, etc.) bieden deze standaard aan.

Wat als er iets misgaat?

Een datalek — bijvoorbeeld een gestolen laptop of een e-mail die per ongeluk naar de verkeerde persoon is gestuurd — moet je melden bij de Autoriteit Persoonsgegevens als er een risico is voor de betrokkenen. Dat moet binnen 72 uur. Kleine lekken waarbij geen gevoelige gegevens zijn betrokken, hoef je niet te melden maar wel intern te registreren.

Volgende stap

De AVG hoeft geen hoofdpijn te veroorzaken. Begin met de basis: weet welke gegevens je hebt, waarvoor je ze gebruikt en hoe je ze beveiligd hebt. Dat is voor de meeste kleine organisaties al meer dan genoeg.