De betekenis van de AVG voor Schola Cantorum Karolus Magnus

Transcriptie

1 De betekenis van de AVG voor Schola Cantorum Karolus Magnus Notitie van J. Verhagen bestuur SCKM d.d Wie niet het hele document tot zich wil nemen kan zich beperken tot het lezen van de rood gemaakte tekst van de paragrafen 8 en 12, want die twee onderdelen staan op de agenda van de jaarvergadering op 19 februari 2019 Inhoud 1. Woord vooraf 2. Algemeen 3. Welke persoonsgegevens verwerken wij? 4. Verwerkingsregister 5. Datalekken 6. Internationale component 7. Aan de omschrijving van een privacybeleid te stellen eisen 8. (Link op website naar) privacybeleid Schola Cantorum Karolus Magnus 9. Geheimhoudingsverklaring secretaris 10. Bericht aan personen die wij per plegen te benaderen 11 Tekst voor een bericht aan de eigen leden 12 Tekst voor een door de leden te tekenen toestemmingsverklaring

2 1. Woord vooraf AVG is een afkorting van Algemene Verordening Gegevensbescherming. De AVG is de Nederlandse uitwerking van de nieuwe Europese privacywet GDPR (General Data Protection Regulation), die in de hele EU geldig is. De Uitvoeringswet AVG voorziet in de nationale regelgeving die nodig is om de Europese wet te kunnen uitvoeren. De AVG trad 25 mei 2018 in werking en vervangt de Wet Bescherming Persoonsgegevens (WBP) die in 2001 inging. Alle verwerkers van persoonsgegevens, moeten nu dus voldoen aan de eisen van de AVG, alle bedrijven, maar ook alle stichtingen, verenigingen, groot en klein: kortom iedere organisatie die persoonsgegevens verwerkt. Dat doet de schola ook. Dus ook wij moeten ons houden aan de AVG.. Uitgangspunt van de AVG is dat persoonsgegevens met zorg behandeld moeten worden en geheim dienen te blijven. Wie zonder toestemming persoonsgegevens openbaar maakt, kan een boete krijgen. De Autoriteit Persoonsgegevens is met het toezicht belast en kan bij elk overheidsinstantie, bedrijf en vereniging komen binnenvallen om te kijken of alles op orde is. Dat wil zeggen dat dan moet kunnen worden aangetoond dat men de juiste organisatorische en technische maatregelen heeft getroffen om aan de AVG te kunnen voldoen. Ook moet kunnen worden bewezen dat men geldige toestemming heeft gekregen voor het verwerken van persoonsgegevens. Dat geldt zowel voor het bewaren van deze gegevens in digitale bestanden als voor gegevens die in mappen die ergens op een plank staan. Ook die moeten dus voortaan veilig worden opgeborgen zonder dat vreemden erbij kunnen. Uit berichtgeving op Internet maak ik op de Autoriteit Persoonsgegevens de controletaak weliswaar niet onmiddellijk ter hand zal gaan nemen, maar dit laat natuurlijk onverlet dat ook wij ons aan wet en regelgeving zullen moeten (gaan) houden. Als wij nu, d.w.z. medio 2018, controle zouden krijgen, moeten we kunnen aantonen dat we bezig zijn om zaken op te pakken. Die eerste aanzet is dan op dit moment voldoende. In het onderstaande werk ik een en ander uit voor de schola. Voor de opstelling van deze notitie heb ik gebruik gemaakt van adviezen van de Kamer van Koophandel en van de Nederlandse Korenbond (waarbij de schola niet is aangesloten, maar) die op haar website openbaar toegankelijke adviezen heeft staan voor koren die hun AVGzaken voor elkaar willen maken. 2. Algemeen Iedere instelling die persoonsgegevens verwerkt moet, zoals bepaald in de AVG, een privacy beleid hebben. In dat privacybeleid moet heel precies de gang van zaken rond de gegevensverwerking beschreven. Wie mag de gegevens inzien en bewerken? Hoe worden ze vernietigd als ze niet meer nodig zijn? Hoe is de computer beveiligd zodat gewaarborgd is dat anderen geen toegang tot de gegevens kunnen krijgen? Daarnaast eist de AVG dat iedere instelling die persoonsgegevens verwerkt ook een Privacy-Reglement vastlegt waarin wordt omschreven welke gegevens worden vastgelegd en wat ermee wordt gedaan. Instellingen die, zoals wij, een website hebben moeten dit privacy-reglement op die website publiceren. Overheden en organisaties die bijzondere persoonsgegevens registreren, zoals gezondheidsgegevens, ras of geloofsovertuiging, moeten een functionaris gegevensbescherming aanstellen. Voor de schola is dat niet nodig, want we leggen geen gevoelige gegevens vast. Ook het sluiten van overeenkomsten met derden is voor de schola niet nodig. Dat zou wel nodig zijn, wanneer wij persoonsgegevens ter beschikking stellen van andere organisaties

3 die voor ons diensten verlenen, zoals bij voorbeeld klantenbeheer of personeelsadministratie. Dat doen we echter allemaal zelf. 3. Welke persoonsgegevens verwerken wij? Allereerst verwerkt de schola persoonsgegevens van de leden. Vervolgens verwerken wij ook persoonsgegevens van mensen die wij aanschrijven om hen een vriendencontactblad te sturen of om hen te attenderen op een van onze uitvoeringen. En ook via de website verwerken wij persoonsgegevens, want bezoekers van die website laten op de website een IP-adres achter. Ook dat is een persoonsgegeven. Dat IP-adres moeten wij verwijderen als we er niets mee doen. En als we er wel wat mee doen, moet dat zijn beschreven in ons privacybeleid. Persoonsgegevens mogen alleen worden verwerkt als de verwerking rechtmatig en transparant is. Een verwerking is rechtmatig als er toestemming is van de betrokkene of als de verwerking noodzakelijk is voor een wettelijke taak (een vraag van de belastingdienst bij voorbeeld). Er moet ook transparantie zijn: iedereen die toestemming geeft moet weten welke persoonsgegevens van hem of haar worden verwerkt, wat er met die gegevens gebeurt en wat zijn rechten zijn 1. De koorleden die op de ledenlijst staan, dienen daartoe vooraf, vrijelijk, specifiek, geïnformeerd, en ondubbelzinnig toestemming te (hebben ge)geven bij voorkeur door een schriftelijke verklaring. (Ook aan nieuwe leden zal later dus moeten worden gevraagd een dergelijke verklaring te tekenen). Stilzwijgende toestemming is niet voldoende. De ledenlijst mag aan de leden beschikbaar worden gesteld, nadat de ledenvergadering heeft ingestemd met een door het bestuur aan de ALV gericht daartoe strekkend verzoek. Openbaar maken van de ledenlijst wat wij bij voorbeeld doen op de website, maar ook in het colofon van programmaboekjes - is toegestaan, maar mag ook alleen op basis van toestemming van betrokkenen. Die behouden altijd het recht om de persoonsgegevens te laten verwijderen. Wij mogen alleen die persoonsgegevens verzamelen en vastleggen wanneer die noodzakelijk zijn voor het uitvoeren van de taken. Zo mogen wij IP- adressen van bezoekers aan onze website dus als gezegd - niet opslaan als dat niet noodzakelijk is. Ook iemands geboortedatum mogen we niet vragen als we die niet hoeven te weten. Als dat wel nodig zou zijn voor bij voorbeeld ons aannamebeleid of voor een Lief en Leed commissie, mag het wel, maar dan moet het expliciet in het privacybeleid beschreven staan. 4. Verwerkingsregister De AVG kan organisaties verplichten een verwerkingsregister bij te houden waarin alle verwerkingen van persoonsgegevens worden bijgehouden. Het aanleggen van een dergelijk register is de grootste klus. Iedere verwerking, ieder bestand en elk formulier moet worden beschreven en gedocumenteerd. Het aanleggen en bijhouden van een dergelijk register is verplicht in geval 1 In eenvoudige en duidelijke taal moet gewezen worden op het recht op inzage, het recht op rectificatie, het recht om te worden vergeten, het recht op beperking van de verwerking, op kennisgevingsplicht, recht op overdraagbaarheid van gegevens).

4 persoonsgegevens worden verwerkt waarvan de verwerking niet incidenteel is (het komt dus vaker voor), risicovolle persoonsgegevens worden verwerkt, zoals gegevens over gezondheid of politieke opvattingen, men meer dan 250 medewerkers heeft. Dat alles geldt niet voor ons, meen ik. Ik stel dus voor om geen verwerkingsregister te gaan bijhouden. 5. Datalekken In de wet wordt gesproken over datalekken 2. Daarvan is sprake wanneer persoonsgegevens in handen vallen van derden die geen toegang tot die gegevens zouden mogen hebben. Ook een gestolen laptop of zoekgeraakte usb-stick is een datalek. Het onrechtmatig verwerken van gegevens valt eveneens hieronder. Datalekken dienen allereerst te worden voorkomen door afdoende beveiliging van gegevens, het zorgvuldig bewaren van papieren lijsten, het zo min mogelijk verzamelen van persoonsgegevens en het verwijderen van gegevens, als die niet meer nodig zijn. Als iemand een klacht indient bij de Autoriteit Persoonsgegevens over een datalek moet de Autoriteit Persoonsgegevens die klacht onderzoeken en dan moet de betreffende organisatie aantonen dat de nodige maatregelen werden genomen om datalekken te voorkomen. 6. Internationale component Er is een landenlijst, waarop staat welke landen een passend beschermingsniveau bieden. Voor de VS geldt dit alleen als dit gebeurt op grond van een akkoord (een zogenaamde EU- VS privacy shield) waarbij de bedrijven op deze lijst verklaren dat zij geen persoonsgegevens van Europese burgers delen met de Amerikaanse geheime dienst. Google en Microsoft staan op deze lijst, maar Apple staat daar niet op. Dit betekent dat wij als schola persoonsgegevens mogen opslaan op Google Drive en One Drive, maar bijvoorbeeld niet in icloud van Apple. Gmail en Outlook mogen worden gebruikt om persoonsgegevens te versturen. Het versturen van s naar koorleden dient op basis van een BCC adresgroep te gebeuren, zodat vreemden het adresbestand niet kunnen kopiëren. 7. Aan de omschrijving van het privacybeleid te stellen eisen In de AVG wordt uiteengezet wat de formulering van een privacybeleid allemaal moet omvatten. In het privacybeleid van een organisatie of instelling dienen te worden genoemd: de bedrijfsgegevens, het doel van de gegevensvastlegging, welke gegevens worden verzameld, aan wie gegevens eventueel worden doorgegeven, hoe lang de gegevens worden bewaard, uitleg over eventueel gebruikte cookies en de reden van het gebruik van die cookies, de toegepaste beveiliging van de vastgelegde persoonsgegevens, het recht op 2 Een datalek kan ontstaan door uitgelekte computerbestanden, maar een gestolen geprinte lijst met persoonsgegevens kan dat ook zijn. Een datalek is het gevolg van een beveiligingsprobleem. In de meeste gevallen gaat het om uitgelekte computerbestanden. Andere voorbeelden zijn cyberaanvallen, verkeerd verzonden ,gestolen laptops, afgedankte niet-schoongemaakte computers en verloren usb-sticks of verzonden naar verkeerde adressen, gestolen of verloren laptops, afgedankte niet-schoongemaakte computers en verloren usb-sticks. Het verspreid staan van persoonsgegevens over verschillende computers kan ook worden uitgelegd als een datalek. Een zoekgeraakte privételefoon valt niet onder een datalek. Een besloten website met persoonsgegevens die per ongeluk openstaat is wel een datalek.

5 inzage, correctie, verwijdering en het meenemen van eigen gegevens (dataportabiliteit), het recht op intrekking van verleende toestemming en ten slotte het recht om een klacht in te dienen. 8. (Link op website naar) Privacybeleid Schola Cantorum Karolus Magnus Ons privacybeleid moeten we op onze website publiceren. Ik stel voor dat wij op de subsite OVER ONS als afsluitende zin formuleren: De schola respecteert de privacy van al diegenen wier persoonsgegevens bij de schola bekend worden. Daartoe heeft de schola een privacybeleid geformuleerd. Klik hier ). En door te klikken kan men dan onderstaande verklaring lezen, waarin het privacybeleid van de schola wordt verwoord. Privacybeleid Schola Cantorum Karolus Magnus Het bestuur van Schola Cantorum Karolus Magnus hecht veel waarde aan de bescherming van persoonsgegevens en houdt zich in alle gevallen aan de toepasselijke wet- en regelgeving, waaronder de Algemene Verordening Gegevensbescherming (AVG) die op 25 mei 2018 in werking is getreden en die van toepassing is op alle organisaties die gegevens van personen (persoonsgegevens) bewaren. Het bestuur waarborgt en respecteert de privacy en stelde een verklaring op die van toepassing op persoonsgegevens die de schola verwerkt van de eigen leden, van de vrienden en donateurs en van andere in de activiteiten van de schola geïnteresseerde personen. Deze verklaring geeft een overzicht van de doeleinden van de gegevensverwerking en beschrijft hoe wordt omgegaan met aan de schola verstrekte persoonsgegevens. Ook wordt in deze verklaring vastgelegd hoe rechten ten aanzien van persoonsgegevens kunnen worden uitgeoefend. Het bestuur van de vereniging Schola Cantorum Karolus Magnus (hierna te noemen het bestuur) bestaat uit leden die door de Algemene Ledenvergadering van de schola zijn gekozen en als zodanig staan ingeschreven bij de Kamer van Koophandel. Het bestuur is verantwoordelijk voor de verwerking van persoonsgegevens. Met het beheer van de persoonsgegevens is de secretaris belast. Hij heeft daartoe een geheimhoudingsverklaring afgelegd. Het bestuur stelt zich ten doel: Persoonsgegevens te verwerken in overeenstemming met het doel waarvoor deze zijn verstrekt; Verwerking van persoonsgegevens te beperken tot enkel die gegevens die minimaal nodig zijn voor de doeleinden waarvoor ze worden verwerkt; Verwerking van persoonsgegevens van de eigen leden uitsluitend te doen plaatsvinden op basis van verkregen toestemming; Verwerking van persoonsgegevens van anderen uitsluitend te doen plaatsvinden nadat betrokkenen in de gelegenheid zijn gesteld bezwaar te maken tegen registratie van hun adresgegevens en van het maken van bezwaar hiertegen hebben afgezien. (Het betreft hier berichtgeving over optredens en uitvoeringen van de schola of andere activiteiten van de vereniging); Passende technische en/of organisatorische maatregelen te nemen om een verantwoorde verwerking van persoonsgegevens te waarborgen (zie hieronder); Geen persoonsgegevens door te geven aan andere partijen, tenzij dit voor de uitvoering van een wettelijke opdracht nodig is; De leden te wijzen op hun rechten in deze en hen te verzoeken de rechten van andere leden te willen respecteren. Persoonsgegevens die door de schola worden verwerkt zijn: achternaam, voornaam, geboortedatum, adres, adres, (mobiele) telefoonnummer, datum toetreding, beeldmateriaal, bankrekeningnummer en coachingsverslagen.

6 Bovenstaande gegevens worden verwerkt ten behoeve van de volgende doeleinden: Adresgegevens: het versturen van nieuwsbrieven, uitnodigingen en verslagen door de secretaris het bijhouden van de ledenadministratie door de secretaris; het versturen van nieuwsbrieven en andere berichten, gericht aan vrienden van de schola en aan andere belangstellenden; Het programmeren van repetitieavonden door de dirigent; Bankrekeningnummer: het afhandelen van declaraties en financiële administratie door de penningmeester; Geboortedatum en datum toetreding: Het maken van een algemeen overzicht van de leeftijdsopbouw binnen de vereniging en het kunnen berekenen van jubilea; Foto- en filmateriaal: het op de eigen website aan de hand van beeldmateriaal aankondigen van komende uitvoeringen en het terugblikken op gerealiseerde uitvoeringen; Coachingsverslagen Het zorg dragen voor de persoonlijke ontwikkeling van de zangers. De schola heeft een website ( waarop met toestemming van de leden foto- en filmmateriaal van optredens wordt geplaatst. Op een beveiligde pagina, alleen toegankelijk voor koorleden en oud-koorleden die na toestemming van het bestuur het reilen en zeilen van de schola willen kunnen blijven volgen, staan NAW-gegevens van de leden die op basis daarvan contact met elkaar kunnen hebben en informatie kunnen uitwisselen. Leden van de schola hebben recht op inzage, rectificatie of verwijdering van alle persoonsgegevens die van het lid bekend zijn. Mocht een lid van de schola een klacht hebben over de verwerking van zijn persoonsgegevens of gegevens willen rectificeren dan wel verwijderen, dan richt deze zich in eerste instantie tot de secretaris die met de uitvoering van de AVG-bepalingen is belast en die daartoe een geheimhoudingsverklaring heeft afgelegd. Leden behouden daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens die de toezichthouder is op het gebied van privacy. Het bestuur geeft geen persoonsgegevens door aan andere partijen tenzij dit wettelijk verplicht is. Het bestuur kan persoonsgegevens van leden delen met derden indien de leden het bestuur hier uitdrukkelijk schriftelijk toestemming voor hebben gegeven. Het bestuur bewaart persoonsgegevens van de leden niet langer dan noodzakelijk voor het doel waarvoor deze zijn verstrekt. Bij opzegging van het lidmaatschap worden de gegevens na één jaar verwijderd uit de systemen, tenzij het lid aangeeft op een andere manier verbonden te willen blijven met de schola. Het bestuur bewaart persoonsgegevens van anderen dan leden tijdens het bestaan van de relatie met de vereniging tot maximaal een jaar na beëindiging van die relatie tenzij er zwaarwegende redenen zijn om de gegevens langer te bewaren. Aansluitend worden de persoonsgegevens vernietigd. Eerdere vernietiging op verzoek is mogelijk door een verzoek daartoe te zenden aan de secretaris Indien er geen redenen zijn om de gegevens langer te bewaren, zal het bestuur onverwijld aan een dergelijk verzoek voldoen en de verzoeker daarover informeren.

7 Het bestuur heeft maatregelen genomen om persoonsgegevens te beschermen tegen onrechtmatige verwerking: Op alle systemen wordt een gebruikersnaam en wachtwoordenbeleid gehanteerd; Persoonsgegevens worden door de secretaris op een eigen stand-alone computer beheerd die is voorzien van een gebruikersnaam en een wachtwoord. Er worden geen prints gemaakt. Wel wordt regelmatig een back-up gemaakt van de digitale informatie die wordt opgeslagen op een externe HD. Deze externe HD wordt op momenten dat hij niet in gebruik is, goed opgeborgen; De secretaris heeft een geheimhoudingsverklaring afgelegd; Bij aftreden van secretaris worden de bestanden op diens computer verwijderd; Er worden geen NAW gegevens bewaard op een USB stick; Het bestuur bespreekt éénmaal per jaar dit privacyreglement en onderneemt waar nodig actie; Alle leden zijn geïnformeerd over het belang van de bescherming van persoonsgegevens. Hen is verzocht berichtgeving omtrent diverse zaken aan mede koorleden te verspreiden via de secretaris en geen berichten van koorleden door te sturen naar derden die geen lid zijn van het koor. De secretaris stuurt berichten naar (individuele) koorleden door in BCC en aan de leden is verzocht ditzelfde te doen. Het bestuur is zich bewust van haar verantwoordelijkheid in de omgang met NAW-gegevens en ziet erop toe dat ook de leden zorgvuldig omgaan met elkanders privacygegevens. Het lekken van data dient te worden voorkomen. Bij een eventueel datalek zullen de leden hiervan in kennis worden gesteld. Indien blijkt dat gegevens zijn gelekt die kans geven op schending van rechten van betrokkenen, zal binnen 72 uur na constatering ook de Autoriteit Persoonsgegevens in kennis worden gesteld. Vragen, opmerkingen of klachten over dit privacybeleid kunnen worden gericht aan de secretaris Dit privacybeleid is vastgesteld in de Algemene Ledenvergadering van 19 februari Geheimhoudingsverklaring secretaris Schola Cantorum Karolus Magnus gaat zorgvuldig om met (persoons)gegevens. De bestuurssecretaris is verantwoordelijk voor de verwerking en het beheer van persoonsgegevens. De secretaris heeft onderstaande geheimhoudingsverklaring afgelegd. Met het ondertekenen van deze verklaring verklaar ik, Jos. J.L.M. Verhagen: 1. dat ik erken dat mij geheimhouding is opgelegd betreffende de (persoons)gegevens van de leden van de schola en van haar relaties. Ik zal strikte geheimhouding betrachten ten aanzien daarvan en ten aanzien van andere informatie waarvan ik het vertrouwelijke karakter ken of redelijkerwijs kan vermoeden. Ik zal deze informatie niet met derden delen, niet direct of indirect, op welke manier dan ook; 2. dat deze geheimhoudingsplicht ook geldt na afloop van mijn werkzaamheden als secretaris; 3. dat ik, aan het einde gekomen van mijn werkzaamheden als secretaris, alle eigendommen, correspondentie, aantekeningen. optische en/of elektronisch leesbare informatiedragers en andere zaken die betrekking hebben op de activiteiten van de vereniging zal inleveren bij het bestuur. Ik verwijder deze gegevens definitief uit mijn PC.

8 4. dat de vereniging mijn functioneren als secretaris met onmiddellijke ingang mag beëindigen bij overtreding van bepalingen die in deze verklaring zijn genoemd. Daarnaast heeft de schola het recht om van mij schadevergoeding te vorderen. Datum: 23 augustus 2018 JJLM Verhagen 10. Tekst voor een bericht aan de personen die wij per plegen te benaderen Onderstaand bericht is opgenomen in de tweede aflevering van het vriendencontact van de jaargang Het adressenbestand dat wij hanteren bij de verzending dienen we te documenteren om het zonodig te kunnen overleggen. `` Mogen wij u blijven informeren? Vanaf 25 mei 2018 moeten alle organisaties zich houden aan de nieuwe Europese privacywetgeving: de Algemene Verordening Gegevensbescherming (AVG/GDPR). Deze wet vervangt de huidige wet 'bescherming persoonsgegevens' en stelt strengere eisen aan de manier waarop persoonsgegevens worden verwerkt. De Stichting Vrienden van de Schola Cantorum Karolus Magnus heeft de bescherming van uw persoonlijke gegevens, die we bewaren, hoog in het vaandel staan. Daarom willen we graag verifiëren of u nog het nieuwe Schola Vrienden Contact wilt ontvangen. Iedere keer als wij dit Contact aan u sturen, beschikt u over de mogelijkheid om u uit te schrijven als Vriend/ Vriendin van de Schola. Een mailtje naar de redactie is voldoende. Als u niets doet, dan handhaven wij uw eerdere toestemming/inschrijving. (Einde mededeling in Vriendencontact) 11 Tekst voor een door alle leden te tekenen toestemmingsverklaring Toestemmingsverklaring van de leden van de schola Cantorum Karolus Magnus Als lid van de schola Cantorum Karolus Magnus geef ik toestemming mijn adres-, - en telefoon-gegevens te plaatsen op een algemene ledenlijst ten behoeve van de andere leden van de schola. Het is mij bekend dat deze lijst ook onderdeel is van een alleen voor de leden van de schola toegankelijk deel van de website; Ik geef toestemming voor het op de website publiceren en in het verenigingsarchief bewaren van foto-, video en audiomateriaal over uitvoeringen waarvan (ook) mijn beeltenis geel uitmaakt; Ik geef toestemming voor het via mijn adres ontvangen van berichten van de zijde van het bestuur en van de dirigent; Bij het versturen van berichten zal ik gebruik maken van de BBC modis van verzending; Ik geef toestemming voor een met een wachtwoord beveiligde centrale opslag van de coachingsverslagen; Ik heb het Privacy Reglement, met de daarbij gevoegde algemene informatie en de uiteenzetting over het Privacybeleid, gelezen en ga daarmee akkoord;

9 Indien ik vanuit het besloten deel van de website partituren download, zal ik deze uitsluitend aanwenden ten behoeve van eigen gebruik. Ik ga ermee akkoord dat mijn naam-, adres-, telefoon- en gegevens op de website worden gepubliceerd, indien ik de functie van secretaris van de schola bekleed. Frans de Bont Jan Ermers Edo Fennema Stef Geurts Stan Hollaardt Sjef Jongen Koos Leemker Sander Ram Wil Robben Piet Ronnes Arno Theune Jos Verhagen André Weel Peter Zandvliet Gerard Pieters Nijmegen, 19 februari 2019