De club is verantwoordelijk, niet haar tool
Dat is het vertrekpunt, en het verrast vaak: de vzw is verwerkingsverantwoordelijke. Zij beslist welke gegevens ze verzamelt en waarom. De software die ze gebruikt is slechts verwerker: die verwerkt die gegevens voor haar rekening, volgens haar instructies.
Die verhouding wordt op papier gezet. Een verwerkersovereenkomst zegt wat de dienstverlener met de gegevens mag doen, waar ze gehost worden, en wat ermee gebeurt als de club vertrekt. Een leverancier die u dat niet kan tonen, zou u moeten verontrusten: de aansprakelijkheid blijft namelijk bij u.
Op welke grond verzamelt u?
Elk verzameld gegeven heeft een reden nodig, en die reden kiest u per gebruik, niet één keer voor het hele bestand. In een club komen er drie terug.
Wat de aansluiting vereist. Naam, adres, geboortedatum, contactgegevens: zonder die gegevens kunt u de persoon niet aansluiten, niet verzekeren en niet factureren. Voor wat noodzakelijk is voor de aansluiting, hoeft u geen toestemming te vragen. Een deel legt de wet u zelfs op: het ledenregister, de boekhoudkundige stukken.
Wat de club dient zonder iemand te verrassen. Uw eigen leden over het clubleven schrijven, weten wie toegang heeft tot het bestand: dat valt onder gerechtvaardigd belang. Het wordt afgewogen — uw reden tegenover wat de persoon redelijkerwijs mocht verwachten — en het kan worden betwist: het recht van bezwaar bestaat.
Wat niemand hoeft te aanvaarden. Foto's op de clubpagina, contactgegevens doorgeven aan een sponsor: dat vraagt toestemming — vrij, apart, en weigerbaar zonder gevolgen voor het lidmaatschap.
De vraag per veld is dus: waarvoor dient het, en wat geeft mij het recht het te gebruiken? Een veld waarop u geen antwoord hebt, is een veld dat u niet vraagt.
Verzamel alleen wat u gebruikt
Dat heet minimalisatie, en het is het eenvoudigst toe te passen: een gegeven waarmee u niets doet, is een gegeven dat u niet moet vragen.
Het schoolvoorbeeld in een sportclub is het rijksregisternummer. Ziekenfondsformulieren vragen het, dus verzamelen clubs het „voor het geval dat”. Ze doen er niets mee: het staat op de helft die het lid zelf invult, en het passeert nooit langs de club. Erger nog: het gebruiken is onderworpen aan een ministeriële machtiging die een club moet bezitten. Zie het ziekenfondsformulier.
Dezelfde redenering geldt voor beroep, gezondheid, gezinssamenstelling. Een veld dat nergens toe dient, maakt een databank niet beter: het voegt alleen risico toe.
Het verwerkingsregister
De GDPR verplicht een register van de verwerkingsactiviteiten: welke gegevens, waarvoor, aan wie doorgegeven, hoe lang bewaard.
Er bestaat een vrijstelling voor organisaties met minder dan 250 personen — maar ze vervalt zodra de verwerking niet occasioneel is. Een ledenbestand het hele jaar door beheren is precies het tegendeel van occasioneel. In de praktijk houdt een club dat register dus bij.
Het goede nieuws: voor een club past het op twee bladzijden. Het ledenbestand, de boekhouding, de mailings, eventueel de foto's. Het is geen document om te laten opstellen; het is een lijst die u één keer schrijft en herleest wanneer er iets verandert.
Hoe lang bewaren
„Voor altijd” is geen termijn. Elke categorie gegevens heeft de hare, en die volgt uit waarvoor ze dient.
Boekhoudstukken bewaart men lang omdat de wet het oplegt — geïnde lidgelden horen daarbij. De contactgegevens van een vertrokken lid hebben daarentegen geen reden om eeuwig te blijven: na een redelijke termijn verdwijnen ze.
Eén nuance die telt: een lid wissen mag nooit zijn betaalde lidgeld wissen. Die twee hebben verschillende termijnen omdat ze verschillende dingen dienen.
Wat een lid mag vragen
- Inzien wat de club over hem bijhoudt
- Laten verbeteren wat fout is
- Laten wissen wat geen reden meer heeft om bewaard te blijven
- Zich verzetten tegen een gebruik dat niet noodzakelijk was, zoals de nieuwsbrief
Het recht op wissing is niet absoluut. Een lid kan een geïnd lidgeld niet laten verdwijnen: dat hoort bij de boekhouding, die de vereniging moet bewaren. Een club mag hem dat uitleggen.
De fout van het veld „Aan”
Het is het meest voorkomende gegevenslek in het verenigingsleven, en het hangt aan één invulveld.
Een bericht naar veertig leden sturen met iedereen in het veld „Aan” geeft ieders adres aan alle anderen. Niemand heeft daarmee ingestemd. Is het bericht een herinnering, dan toont het er meteen bij wie niet betaald heeft.
Dat kan een gegevenslek zijn dat u binnen de 72 uur bij de Gegevensbeschermingsautoriteit moet melden. Het middel is banaal: blinde kopie, of een tool die één bericht per persoon maakt.
Ze beschrijft wat terugkomt in een club van dertig tot honderdvijftig leden, zodat u weet wat u moet nakijken. Een club die haar wedstrijden filmt, foto's van minderjarigen publiceert of gezondheidsgegevens verwerkt, heeft bijkomende vragen die echt advies verdienen.
Wat de tool u garandeert
Drie dingen die bij de verwerker horen, en die een club niet zou moeten bewaken.
Veelgestelde vragen
- Hebben we een functionaris voor gegevensbescherming nodig?
- Een club van enkele tientallen leden is daartoe niet verplicht: ze is geen overheidsinstantie, en ze doet op grote schaal geen opvolging van personen en geen verwerking van gevoelige gegevens. Eén aanspreekpunt in het bestuur aanduiden blijft nuttig, zodat een vraag van een lid niet verloren loopt.
- Mogen we foto's van een tornooi publiceren?
- Een groepsfoto op een publiek evenement en een foto waarop iemand herkenbaar wordt uitgelicht, zijn niet hetzelfde. Vraag voor het tweede akkoord; voor een minderjarige dat van de ouders. En voorzie hoe u een foto weghaalt als men het vraagt.
- Onze lijst staat in een gedeeld rekenblad, is dat erg?
- Niet de vorm telt, wel de toegang. Een rekenblad dat gedeeld is via een link, ligt open voor iedereen die de link heeft, ook voor oud-bestuursleden. De vraag is: wie heeft er vandaag toegang, en wie zou er toegang mogen hebben?
- Wat bij een lek?
- Noteer wat er gebeurd is, welke gegevens en hoeveel personen het betreft. Bestaat er een risico voor die personen, dan meldt u het binnen de 72 uur bij de Gegevensbeschermingsautoriteit. Een verkeerd geadresseerde groepsmail telt mee: het is het meest voorkomende geval.