CLUBINFO 2018/04 B (GDPR) Voor clubbestuurders

Transcriptie

1 CLUBINFO 2018/04 B (GDPR) Vr clubbestuurders 26 april 2018 Beste lezer, De nieuwe Eurpese regelgeving rnd privacy f afgekrt de GDPR, is niet in enkele zinnen uit te leggen. Tch prberen we in deze clubinf een aantal zaken te te lichten. Via kan je invuldcumenten f sjablnen dwnladen. Je met wel eerst je club registreren en dan is een grt deel van de inf gratis. Ok via de website van Scwitch ( ) vind je gratis vrbeelden van dcumenten. De regelgeving met je tepassen p je eigen clubwerking; dus één standaard dcument maken dat alle clubs kunnen gebruiken, kan helaas niet. Kreeg je inf f vrbeelden dr via de gemeentelijke sprtraad dan kan je deze uiteraard k gebruiken. Hiernder vind je belangrijke zaken uit de wet en enkele verduidelijkingen in het kader van nze werking als wandelsprtclub/wandelsprtfederatie. Wie ng de kans ziet m een bijschling hierrnd te vlgen, zeker den. Het WANDELSPORT VLAANDEREN team Wat is de GDPR? Het is niet z dat je plts geen gegevens meer mag bijhuden, maar je met wel enkele wettelijke afspraken vlgen die in de GDPR zijn pgesmd. GDPR is de afkrting van General Data Prtectin Regulatin. In het Nederlands spreken we k ver AVG: Algemene Verrdening Gegevensbescherming. Het is Eurpese regelgeving waaraan iedereen tegen 25 mei 2018 met vlden. De kernprincipes zijn prprtinaliteit, legaliteit en transparantie. Prprtinaliteit hudt in dat je kan aantnen waarm je bepaalde gegevens pvraagt. Niet zmaar gegevens pvragen mdat je die misschien it wel eens ndig zu kunnen hebben. Legaliteit wil zeggen dat je aan de wettelijke vereisten met vlden als je gegevens verzamelt. (zie verder) Transparantie: je infrmeert de mensen waarvr je hun gegevens zal gebruiken. Er wrdt heel vaak gesprken ver de privacycmmissie. Vanaf 25 mei zal dit rgaan k veranderen van naam en wrdt de Gegevensbeschermingsautriteit (GBA). Telt dit k vr mijn wandelclub? Elke vereniging, f het nu een vzw f feitelijke vereniging is, met zich in regel stellen met de GDPR. Dus k de wandelclubs, andere sprtclubs, sciaal-culturele verenigingen, Ok de federatie zelf met zich hiermee in regel stellen. Ng een taak bij vr de secretaris? Dit is niet de taak van één bestuurslid. Iedereen binnen het bestuur met hiervan p de hgte zijn en weten dat er afspraken p te vlgen zijn. Uiteraard wrdt er best één f twee persnen aangeduid die de ndzakelijke frmulieren in rde brengen en blijven pvlgen. Dit met niet persé de secretaris zijn, dit kan een ander bestuurslid zijn. Overlp p een bestuursvergadering waarvan en vr wat je allemaal persnsgegevens bijhudt. En denk aan het prprtinaliteitsprincipe: meten we al die gegevens ng bij huden, gebruiken we die gegevens ng f den we daar nu niets meer mee? Wat zijn persnsgegevens?

2 Persnsgegevens wrdt ruim geïnterpreteerd. Dit is alles waardr je een fysieke persn kan identificeren. Dit is.a. naam, adres, telefn, mailadres, ft, bankrekeningnummer, Persnsgegevens gebruiken met je k ruim interpreteren: verzamelen, registreren, raadplegen, drgeven, Welke dcumenten meten we allemaal hebben pgemaakt? Elke vereniging met een register van gegevensverwerking fwel een dataregister pmaken, een privacyverklaring hebben, een vereenkmst hebben met partners die gegevens vr uw club verwerken, een frmulier hebben m een datalek te melden Deze dcumenten met je niet psturen maar ter beschikking hebben, mcht er een cntrle dr de privacycmmissie kmen. Wat is een register van gegevensverwerking f dataregister? Je bent verplicht een register gegevensverwerking f een dataregister p te maken. Dit zijn niet de gegevens zelf, maar wat je verzamelt en bijhudt. Iedere club verzamelt ledengegevens. Welke gegevens je pvraagt, waarm je ze ndig hebt, he lang je ze bewaart, hud je bij in een schema. Er is geen fficieel schema pgelegd dr de privacycmmissie. Via de website van Dynamprject en van Scwitch kan je een vrbeeld van gegevensverwerkingsregister vinden. Op basis van de template van Scwitch/Dynamprject hebben wij een gegevensverwerkingsregister gemaakt i.v.m. de ledenregistratie, de inschrijving p tchten, de clubactiviteitenregistratie en prmtie & cmmunicatie. De frmulieren zijn grtendeels al ingevuld, maar met je vr je eigen club wel nazien en aanpassen. En misschien met je ng extra gegevensverwerkingsregisters maken. (zie bijlage, excel dc) Wat is een privacyverklaring? Hierbven spraken we van het principe van transparantie. Het is belangrijk dat je leden, spnsers, partners, nietleden, van wie je persnsgegevens gebruikt, ged infrmeert wat je met deze gegevens zal den. Hiervr is een privacyverklaring ndzakelijk en verplicht. Op de website van Dynamprject vind je een vrbeeld. Deze privacyverklaring met je niet laten gedkeuren dr de privacycmmissie f een andere rganisatie. De privacyverklaring zet je p de website van de club. Je kan deze k eens pnemen in het clubblad. En de beveiliging van de gegevens? Je met de gegevens ged beveiligen en de manier van beveiligen in het register gegevensverwerking nteren. Dit gaat ver paswrden m in te lggen p bestanden, alleen enkele persnen tegang geven tt de ledendatabase, antivirussftware, maar k heel cncrete zaken zals geen ledenlijsten afdrukken en zmaar drgeven, geen adressen, gebrtedata, van (nieuwe) leden in het clubblad vermelden. Er wrdt verwacht dat je bijhudt als er een datalek is. Een datalek kan als er een cmputer met persnsgegevens p gehackt is, als een laptp met gegevens p gestlen wrdt, Je met een datalek melden als er een mgelijkheid is dat er persnsgegevens gelekt zijn die een risic inhuden vr de rechten en vrijheden van natuurlijke persnen. Een vereenkmst met partners die gegevens vr uw club verwerken Je met een vereenkmst hebben waarin staat dat rganisaties f partners die vr ju gegevens verwerken, k vlgens de GDPR regelgeving werken. De federatie is een partner vr de clubs en de clubs zijn een partner vr de federatie. Dus een vereenkmst kan hier duidelijkheid geven. Dit wrdt ng gemaakt. De federatie werkt met verschillende externe partners waarmee we een vereenkmst zullen maken. Dit is ndermeer Crnlive (in het kader van het scannen); de firma die het clubprtaal prgrammeert; de drukker van het tijdschrift die de ledenadressen krijgt m het tijdschrift p te sturen; Zijn er vragen van leden hierver dan mag je hen drverwijzen naar de federatie ver die zaken. Welke gegevens mgen we eigenlijk ng bijhuden?

3 Het is niet dat we geen gegevens meer mgen verzamelen, maar er met een wettelijke grnd vr zijn m die persnsgegevens te gebruiken (principe van de legaliteit). Vier van deze wettelijke grnden kunnen van tepassing zijn p nze werkwijze binnen Wandelsprt Vlaanderen. De wettelijke verplichting Cntractuele basis Gerechtvaardigd belang Ondubbelzinnige testemming In het register gegevensverwerking (f een dataregister) met je vermelden waarm je bepaalde gegevens verzamelt. Hierbij kan je naar deze vier redenen verwijzen m aan te geven waarm je die gegevens verzamelt. De club met bepaalde gegevens bijhuden mdat dit in de wet vermeld is; je met bepaalde gegevens bijhuden vlgens cntractuele basis Hiernder vlgt een verduidelijking. De wettelijke verplichting Als er een wet, decreet, zegt dat je deze gegevens mag verzamelen f drgeven, dan hef je geen testemming te vragen aan de persn. Je met de persn wel infrmeren (.a. via de privacyverklaring) dat je die bepaalde gegevens verzamelt met het g p de wettelijke vereisten. Er is het Sprtdecreet waarbij vermeld is dat we naam, adres, gebrtedatum, natinaliteit, van de leden meten bijhuden. In de subsidiereglementen van gemeente/stad staat dat je bepaalde ledengegevens met drgeven m recht te hebben p subsidies. De steden en gemeenten meten k de GDPR-regelgeving vlgen. Je mag aan de gemeente/stad vragen waarm ze deze gegevens ndig hebben. Ze zijn verplicht u hierver te infrmeren. Wellicht zullen ze verwijzen naar het subsidiereglement f gemeentelijke regelgeving. Vlgens de vzw-wetgeving met je drgeven aan het Belgisch Staatsblad wie in de raad van bestuur van de vzw zetelt. De cntractuele basis Als je met iemand een vereenkmst hebt geslten, mag je de persnsgegevens verwerken, vr zver dat ndzakelijk is m de vereenkmst te kunnen uit veren. Het lidmaatschap van de club is een srt vereenkmst. Het lid betaalt een bedrag en in ruil krijgt het bepaalde vrdelen. Uit het lidmaatschap vleit vrt dat de club en de federatie het adres gebruiken m het clubtijdschrift f federatietijdschrift p te sturen. Als je als club een reis rganiseert, is het ndig dat je ver bepaalde gegevens van de deelnemers beschikt m alle reisfrmaliteiten te kunnen pmaken. Deze cntractuele basis kunnen we k tepassen p niet-leden die deelnemen aan nze tchten. Een niet-lid betaalt vr de deelname, hij kan dus aanzien wrden als een klant. Een klant mag je nadien ng cntacteren met inf ver de vlgende wandeltcht. Smmige clubs huden de namen en adressen bij van niet-leden die deelnemen. Dit kan, zlang je deze adressen vr een krte peride bijhudt en alleen gebruikt m inf te sturen rnd wandeltchten f inf ver de club. Advies is m die adressen maar een jaar te gebruiken en daarna te verwijderen. Het is belangrijk m deze werkwijze vraf in je register gegevensverwerking te nteren. Het is een andere situatie als je met de club p een beurs, braderie, kermis, staat en adressen verzamelt met de bedeling prijzen weg te geven en m z k adressen van mgelijke geïnteresseerden te verzamelen. Dit zijn geen klanten, dus kan je geen cntractuele basis inrepen als rechtsgrnd. Je mag p die manier adressen, mailadressen, verzamelen maar p het kaartje waar mensen hun adres meten invullen met je hen de vraag stellen f ze testemming geven m hun gegevens te gebruiken. Dit kan dr een aanvink mgelijkheid mijn gegevens mgen gebruikt wrden m mij inf ver de wandelingen en de club te sturen. En dan kan de persn dit aanduiden als hij dat wil. Is het niet aangekruist, dan mag je die gegevens niet gebruiken vr mailings en dergelijke. Dan kan je de gegevens alleen gebruiken vr de actie p de dag zelf. Gerechtvaardigd belang Als men de activiteiten niet kan uitefenen znder het verwerken van de persnsgegevens, dan is er een gerechtvaardigd belang. (tenzij wanneer de grndrechten f individuele vrijheden van de betrkkene zwaarder drwegen). Deze wettelijk grnd is meest van tepassing in het kader van de gegevens van de leden. Het is aanvaard dat je het mailadres f adres van het lid gebruikt m de mensen inf ver de club f wandelingen te kunnen geven.

4 Als federatie is het gerechtvaardigd dat wij de bestuurders van de clubs mailen met de Clubinf. In het clubblad vermeld je de namen en gegevens van de bestuursleden, zdat de leden weten wie ze mgen cntacteren. Smmige clubs vermelden in hun clubblad de nieuwe leden, vermelden wie in het ziekenhuis ligt, als er gebrtes f verlijdens zijn bij de clubleden, Hier kunnen we niet z maar het gerechtvaardigd belang in repen. Advies is m in het clubblad te vermelden dat familienieuws enkel wrdt pgenmen als de leden dit zelf drgeven. Dus niet meer nieuws pnemen die je niet zelf van de leden drkreeg. Inzake het al f niet vermelden van nieuwe leden is het niet z duidelijk. Je kan gewn het aantal nieuwe leden vermelden, f eventueel met hun naam er bij. In smmige clubbladen kan je naam, adres, gebrtedatum van de nieuwe leden lezen. Dit kan niet meer! Ok een vlledige ledenlijst afdrukken in het clubblad kan niet. Bij twijfel stel je de vraag: heeft dit met nze hfddelstelling wandelen te maken? Na het clubfeest een verzicht van wie x aantal tchten heeft gedaan f x aantal km wandelde zu bijvrbeeld kunnen. Dit gaat ver het wandelen zelf. Ondubbelzinnige testemming Hierbij heeft betrkkene testemming m zijn/haar gegevens te gebruiken. Dit gebeurt best schriftelijk via de aanduiding f het aanvinken van een akkrd verklaring. Deze verklaring met duidelijk zijn en je mag de gegevens dan alleen gebruiken vr de zaken waarvr je testemming hebt. Helang mgen we gegevens bijhuden? In een aantal gevallen is er wetgeving ver. Bijvrbeeld: alles rnd facturen (waar k persnsgegevens kunnen pstaan zals rekeningnummers, adressen, ) meten bekhudkundig minstens 6 jaar bijgehuden wrden. Vr smmige facturen is er een andere termijn bepaald. In het sprtdecreet is gemeld dat we de gegevens van leden 1 jaar na einde lidmaatschap meten bijhuden. Intern hebben wij binnen Wandelsprt Vlaanderen vzw afgesprken m de gegevens van ex-leden 3 jaar bij te huden in het clubprtaal; dit vanuit het feit dat we ex-leden ng eens kunnen aanschrijven m terug lid te wrden. De ledenlijsten die we drsturen naar Sprt Vlaanderen huden we langer bij. Elke club is vrij in m een termijn van bewaren te bepalen. Zrg wel dat je kan verantwrden waarm je de gegevens z lang bijhudt. In het vrbeeld van gegevensverwerkingsregister dat we hierbij mee sturen, is nergens de bewaartermijn ingevuld. Gegevens van niet-leden die je verzamelt hud je k beperkt bij. Spreek zelf af binnen de club helang je de gegevens bijhudt en meld dit k in je privacyverklaring. Wij adviseren m die maar 1 à 2 jaar bij te huden. En wat met statistieken? Statistieken zijn annieme gegevens. Bv. x aantal deelnemers van club Y; x aantal deelnemers uit Hasselt, x aantal leden jnger dan 20 jaar, Via deze cijfer gegevens kan je geen directe link leggen met een uniek persn. Dit mag je dus znder prbleem gebruiken. En wat met nze nieuwsbrief f clubblad? Het clubblad f de nieuwsbrief wrdt gestuurd naar de leden van de club. Hier kan je de cntractuele basis en het gerechtvaardigd belang inrepen m te verantwrden waarm je het adres en mailadres van je leden gebruikt. Mgelijks bezrg je de nieuwsbrief k aan sympathisanten, spnsers van de club. Eigenlijk met je hen mailen met de vraag f ze verder jullie nieuwsbrief wensen te krijgen. Daarnaast is het belangrijk dat er steeds de mgelijkheid is dat mensen zich uitschrijven p de nline nieuwsbrief. Mgen we ng ft s publiceren? Een ft waarp iemand herkenbaar is, wrdt gezien als een persnsgegeven. Er is een nderscheid tussen gerichte ft s en sfeerbeelden. Sfeerbeelden, waarbij de persnen niet herkenbaar zijn, mag je zeker gebruiken. Bij gerichte ft s zijn betrkkenen duidelijk herkenbaar en vraag je vraf testemming m de ft te nemen en testemming m deze ft te publiceren p jullie website f in het clubblad.

5 Wat als iemand een vraag heeft f een klacht indient? Persnen die m inf vragen, geef je best een duidelijk antwrd. Mensen hebben recht m te vragen welke inf je van hen bijhudt. Ze kunnen k vragen m een aanpassing bv. een nieuw mailadres, een ander adres, Ze kunnen een klacht frmuleren naar de club maar k naar de privacycmmissie. In dat geval zal de cmmissie vragen welke stappen de club gezet heeft m zich in rde te stellen. Het is dus van belang dat je een privacyverklaring kan vrleggen, een dataregister, Naargelang de ernst van de zaak zal men een verwittiging krijgen, een deadline pgelegd krijgen m zich in rde te stellen en/f een bete. Ik hrde p een bijschling iets ver een DPO? Een DPO is een Data Prtectin Officer. Dit is een persn die inf en advies geeft mtrent de GDPR-verplichtingen, die de pvlging ervan pvlgt en hierver centrale aanspreekpunt is. Onze federatie en k nze clubs meten geen DPO aanstellen. Dit is een functie specifiek vr bedrijven die p grte schaal gevelige gegevens verwerken f vr verheidsinstanties. Wat met het rijksregisternummer? In artikel 4 van het sprtdecreet staat dat de federatie en de sprtclubs het rijksregisternummer van de aangeslten leden mgen pvragen en bewaren. Elk jaar meten de federaties bewijzen heveel leden ze hebben dr middel van het drgeven van de ledenlijst. Het was de bedeling dat het rijksregister k zu drgegeven meten wrden. Er is daarnaast regelgeving dat men een veiligheidscnsulent met aanstellen als men rijksregisternummers bijhudt. Sprt Vlaanderen was dit eigenlijk uit het g verlren. Op aandringen van de Vlaamse Sprtfederatie wrdt nu nagegaan f er een gezamelijke veiligheidscnsulent vr alle federaties en clubs kan aangesteld wrden. We hebben de clubs gevraagd m rijksregisternummers van de leden p te vragen, maar tt nu te is dit geen verplichting. We blijven vrlpig deze werkwijze hanteren. Willen leden hun rijksregisternummer niet drgeven, dan kan dit. Er is lang gedacht dat het rijksregister k mest pgenmen wrden in het vrijwilligersregister. (= een verzicht van welke vrijwilligers helpen p een wandeling f activiteit). Dit blijkt niet (meer) ndig te zijn. Dus hier adviseren we m het rijksregisternummer dan k niet meer te gebruiken hiervr.

6 Uitleg ivm het vrbeeld van dataregister De bijlage in excel is een aanzet van een dataregister. Er zijn tal van zaken al vrbereid. Deze dingen met de club nazien en aanpassen/aanvullen indien ndig. Smmige zaken den jullie niet, andere zaken zal je meten tevegen. Bijna nergens is de bewaringstermijn ingevuld mdat dit de keuze van de club is. Het tabblad handleiding: zeker nalezen! Dit is de uitleg he het dcument pgemaakt is en he je kan aanpassen. Het tabblad gegevens sprtclub vul je in. Het tabblad categrieën is een belangrijk tabblad. Hierin staan de verschillende keuzemgelijkheden vr in de klmmen in de vlgende tabbladen. Tal van keuzemgelijkheden hebben wij niet ndig. Deze kan je vervangen dr een ander item die jullie club wel gebruikt. Laat vr de rest de gegevens staan, k deze die je niet gebruikt. Het tabblad ledenadministratie is pgemaakt vanuit de redenering wat de club zelf verzamelt van gegevens van de leden en vr wat ze dit gebruiken. Dit is dus vr de ledenlijst, eventueel vr de verzekering en vr het sturen van de nieuwsbrief f clubblad naar de leden. Een aantal gegevens wrden in de ledenfiche in het clubprtaal ingeverd dr de federatie en zijn luter zichtbaar vr de club, maar niet aanpasbaar. Deze zaken zijn niet in dit gegevensregister pgenmen. Kmen hierver vragen dan mag je verwijzen naar de federatie. Het tabblad inschrijving tchten gaat ver de inschrijving p de wandelingen en ver wat met die inschrijvingen gebeurd. Eerst wrdt mschreven welke inf de club verzamelt via de inschrijfkaart. (Omdat de gebrtedatum geen verder belang heeft in het kader van de inschrijving, zal deze verwijderd wrden p de inschrijvingsetiketten die je uit het clubprtaal kan printen. In de tekmst zal dat k niet meer staan p de gedrukte startkaarten.) Daarna mschrijven we welke inf de club verzamelt via het scannen. Via dit scannen zijn het mment zelf de naam en lidnr en club zichtbaar. Bij een vlgende scanning verdwijnen die gegevens en zijn ze niet meer zichtbaar. De club kan k geen lijst pvragen van wie welk uur is ingeschreven. De club ziet een lijst met alleen lidnummers. Van de lidnummers van leden van andere clubs kunnen ze niet achterhalen wie dit is. Van de eigen leden kunnen ze dit pzeken via het lidnummer. Bij het scannen van een niet-lid weten ze alleen dat het een nietlid is; geen andere persnsgegevens. De gegevens van de niet-leden wrden dr smmige clubs k gebruikt m die mensen te infrmeren ver kmende tchten en de werking van de club. Dit is k in dit tabblad pgenmen. Het tabblad activiteiten administratie gaat ver het inschrijven van leden f niet-leden p een clubfeest, clubtcht, en ver de clubreis. Bij het clubfeest gaan we ervan uit dat er geen namen en dergelijke drgegeven wrden aan derden. Bij een clubreis zal je wellicht wel gegevens van de deelnemers drgeven aan de reisrganisatie (een partner) en eventueel aan de verzekering. Het tabblad Prmtie en cmmunicatie gaat ver ft s en pmaak clubblad en/f website. Het dataregister gaat ver een plijsting van welke persnsgegevens je verzamelt en gebruikt. Dus in het clubblad f de website schrijf je tcht verslagen, maar dit zijn geen persnsgegevens, dus deze zaken met je niet pnemen in het dataregister. Een uitslag van een tcht is geen persnsgegeven. Een klassement van de eigen leden met de namen van wie het meest km gewandeld heeft, is wel een persnsgegeven. Dus dit meld je wel in het dataregister.