Algemene Verrdening Gegevensbescherming (AVG) Telichting, tips en stappenplan 7-5-2018 Geen uitstel meer Op 25 mei 2018 zal de nieuwe Algemene Verrdening Gegevensbescherming (AVG) in werking treden. Het Eurpees Parlement heeft dit al in 2016 gedgekeurd en nu wrdt het ingeverd vr de gehele Eurpese Unie, zelfs znder dat er natinale wetgeving vr ndig is. Elke gemeente krijgt hiermee te maken, maar k stichtingen, verenigingen, bedrijven en verheidsdiensten, iedereen dus. Deze nieuwe privacywetgeving van de Eurpese Unie vervangt de huidige Wet Bescherming Persnsgegevens (WBP) die daarmee kmt te vervallen. Er zal geen uitstel zijn, maar laat je niet gek maken, want de Autriteit Persnsgegevens (AP) zal niet bij de kerken beginnen met cntrleren. Wel heeft het direct gevlgen als er een datalek f een klacht binnenkmt bij de AP. Vr nu is het vldende als men kan aantnen dat men bezig is de AVG te implementeren. Tijd en geld en meite Het gaat iedereen tijd en geld en meite ksten. Met nderstaand stappenplan heeft u een handvat vr de implementatie. De AVG heeft invled p de manier van mgaan, registreren en bewaren van gegevens. Er zullen geautmatiseerde systemen en websites aangepast meten wrden, en er met bekeken wrden welke gegevens bewaard mgen wrden en welke niet, he er mgegaan wrdt met een mgelijk datalek, en ng veel meer. Het heeft invled p: e-mail, telefngebruik, datapslag, website, sciale media, nieuwsbrieven, kerkblad, en meer. Gebruikte afkrtingen Afkrting vlledige naam met telichting AP Autriteit Persnsgegevens Overheidsinstelling die in Nederland belast is met tezicht p de AVG AVG Algemene Verrdening Gegevensbescherming Dr de Eurpese Unie ingeverde privacywetgeving CIO Interkerkelijk Cntact In Overheidszaken Organisatie die bij de Rijksverheid de belangen behartigt van de kerken. Er zijn dertig landelijke kerkgentschappen aangeslten bij CIO. FG Functinaris Gegevensbescherming GDPR General Data Prtectin Regulatin Dit is de Engelse benaming van de AVG, die k geregeld gebruikt wrdt MN Missie Nederland VWO Verwerkersvereenkmst Advies Dit dcument is een advies, een behulpzaam vrstel, maar geen cmpleet verzicht. Het is tegespitst p kerken, en er zijn dingen weggelaten die meestal niet van tepassing zijn p kerken. Een zendingsrganisatie zal te maken hebben met buitenlandse persnen en wellicht zijn er kantren buiten de EU. Zulke specifieke zaken wrden hier niet beschreven. De stappen in het stappenplan kunnen k in andere vlgrde drlpen wrden, maar het is wel ged m te beginnen met stap 1, 2 en 3. Heeft u vragen f wilt u reageren: ABC-gemeenten kunnen reageren naar: kantr@abcgemeenten.nl UNIE-gemeenten kunnen reageren naar: inf@baptisten.nl 1
STAPPENPLAN Stap 1: Omarm de AVG en maak dat bekend (cmmunicatie) Het is ged als de hgste leiding van de gemeente hier achter gaat staan, en de AVG marmt. Het is vr nze eigen bescherming, dus k al zu de verheid ns dit niet pleggen, dan ng is het ged m vrzichtig, veilig en zrgvuldig m te gaan met persnsgegevens. De AVG sprt ns aan m er nu ernst mee te maken. Denk niet dat het z n vaart niet zal lpen. Het is een wettelijke verplichting m ns te huden aan de AVG. Maak het bekend in de gemeente dat je met de AVG bezig bent. Dan zal niemand vreemd pkijken als er daarna maatregelen genmen wrden. Want de invled van de AVG reikt ver en heeft invled p veel terreinen. Het gaat elke gemeente tijd en geld en meite ksten. Maak hier ruimte vr, en maak budget vrij. Leg uit waarm je dit det, en blijf herhalen. Vertel wat je det. Wees transparant in wat je als kerk det met persnsgegevens. Maak een AVG-pagina p de website, zals er k een ANBI-pagina is. Zet het geldende privacy statement daarp. Stap 2: Wijs iemand aan Maak één persn binnen de gemeente verantwrdelijk en geef die persn de taak m de AVG in te veren, uiteraard in verleg met de leiding van de gemeente. Dit mvat het pstellen en uitveren van privacybeleid. Het is misschien wel veel werk maar je kunt dit ng zelf regelen znder inhuur van dure experts. De meeste kerken zijn te klein m een Functinaris Gegevensbescherming (FG) aan te stellen, maar het mag wel. Wellicht bestaat de mgelijkheid dat Missie Nederland (MN) één FG vr alle deelnemers aan MN gaat aanstellen. Dat wrdt ng nderzcht. Tch is het ged m één persn in de gemeente aan te wijzen die de implementatie gaat den. Alle vragen kmen bij die persn terecht. Zrg vr mandaat en budget. Leg het beleid vast in een privacy statement. Gebruik daarbij geen jargn maar Jip en Janneke-taal. Zrg vr een gede verslaglegging naar de gemeente. Laat je niet gek maken, maar neem het wel serieus. Keep it simple, de het stap vr stap. Benem de risic s. Stap 3: Inventariseer Stel jezelf deze vragen: Op welke plaatsen wrden persnsgegevens gebruikt, bewaard, verwerkt? Wie heeft recht m gegevens aan te passen? Wie kan gegevens inzien znder te kunnen aanpassen? Raadplegen is k verwerken van gegevens. He is de tegang geregeld? Welke maatregelen zijn ndig als de tegang beëindigd wrdt? Welk gebruik wrdt er gemaakt van de gegevens? Waarvr registreer je bepaalde gegevens? Wat wil je ermee? Welke sftware wrdt gebruikt? Wrden er gegevens bewaard waar niets mee gedaan wrdt? Kan dat weg? 2
Wat hebben mensen thuis? Denk aan: ICT, website, Excel-bestanden, cluddiensten, nieuwsbrief, e-mail, telefn, cmputer, tablet, sciale media, bestanden p papier. Let p: deze stap kst tijd. Stap 4: Durf iets weg te gien Tt ng te gingen we uit van het principe wie bewaart die heeft wat, maar dat kan echt niet meer. Er zal nagegaan meten wrden waarm bepaalde gegevens bewaard wrden, welk gebruik ervan gemaakt wrdt, en wie daarbij betrkken zijn. Wrden gegevens niet meer gebruikt, dan beter weggien. Echter, er zijn k gegevens die niet verwijderd kunnen wrden, zals een dpregister, want de dp is eenmalig en nmkeerbaar. Het kan k zijn dat er fiscale wetgeving is m iets te bewaren. Dan gaat dat bven de AVG, en bven het recht m vergeten te wrden. Bewaar je gegevens die niet meer gebruikt wrden, dan nagaan f het weggedaan kan wrden. Zet een papierversnipperaar neer in de gemeente en bied aan dat mensen daar hun gelezen nieuwsbrief kunnen vernietigen. He minder gegevens, he beter. Stap 5: Vraag testemming Het is niet meer vanzelfsprekend dat een ft geplaatst wrdt. Wrden er gegevens bewaard die niet meer gebruikt wrden, dan kan dat weggehaald wrden. Men heft geen testemming te vragen indien het een gerechtvaardigd belang is m bepaalde gegevens vast te leggen. Omschrijf wat het gerechtvaardigd belang is en welke gegevens daar wel/niet te behren. Hiermee wrdt bepaald wanneer testemming gevraagd met wrden en wanneer dit niet ndig is. Registreer alleen wat strikt ndzakelijk is, niet meer en niet minder. Persnsgegevens mgen alleen gebruikt wrden vr het del waarvr de gegevens verstrekt zijn. Omschrijf he de testemming ingetrkken kan wrden en welke acties dan uitgeverd wrden. De AVG stelt dat dit simpel met kunnen. Keep it simple: Maak een mededeling in het kerkblad dat je met AVG bezig bent, dan hef je niet per persn m testemming te vragen. Als iemand bezwaar maakt, dan verwijder je de ft f film waarin die persn vrkmt. Als er gefilmd wrdt tijdens een kerkdienst, maak dan duidelijk welk deel van de zaal wel en welk deel niet in beeld zal kmen. Als je gebruik maakt van machtigingen/incass s, vermeld dan vr welk del de gegevens gebruikt wrden. En hud je daaraan. Persnsgegevens wrden niet aan derden gegeven, tenzij met uitdrukkelijke testemming. Laat het privacy statement gedkeuren dr de gemeentevergadering Stap 6: Derde partijen, externen Allemaal hebben we te maken met derde partijen die nze gegevens bewaren f bewerken, zals een database, cluddiensten, het hsten van een website, een administratiekantr f accuntant. Het is iets nieuws van de AVG dat er een Verwerkersvereenkmst (VWO) pgesteld met wrden met elke externe partij. 3
Ga zrgvuldig na welke gegevens gedeeld wrden met externe partijen en vr welk del. De kerk blijft verantwrdelijk vr de gegevens die gedeeld wrden met externen. Gebruik niet zmaar de VWO van een leverancier, want die is er vaak p gericht de aansprakelijkheid vr de leverancier te beperken. Dan staat er bijvrbeeld bij de vrwaarden dat een vergeding niet hger kan zijn dan het factuurbedrag. Trap daar niet in. Maak de leverancier medeverantwrdelijk. Neem zelf het initiatief naar leveranciers. Een VWO is vr een beperkte peride, daarna herzien, verlengen f pzeggen. Zrg dat je begrijpt wat in de VWO staat, k het technisch jargn. Schakel z ndig een deskundige in. Beperk het aantal leveranciers. Gebruik geen leveranciers van buiten de Eurpese Unie want die heven zich niet te huden aan de AVG, k al belven smmigen (zals Facebk) dat wel te den. Zek Eurpese alternatieven, zals LaPsta in plaats van MailChimp. Kerken werken veel met vrijwilligers. Met hen sluit je geen VWO, maar neem enkele vrwaarden p in een vrijwilligersvereenkmst. Medewerkers in dienst hebben een arbeidsvereenkmst. Hierin kunnen privacyvrwaarden pgenmen wrden. Een VWO hef je niet af te sluiten met een bank f een pensienfnds want die zijn zelf verwerkingsverantwrdelijk vlgens AVG-regels. Maak geen gebruik van cluddiensten van Ggle (Ggle Drive), want Ggle claimt eigenaar van de gegevens te zijn. Stap 7: Omgaan met e-mail, telefn, sciale media, ICT Wat tips: Persnsgegevens zijn niet alleen tekstueel maar k ft, film f geluid. Hiervr geld de AVG k. Maak regelmatig een back up. Zend geen e-mail aan grepen mensen maar zet de mailadressen in BCC, zdat niemand alle mailadressen ziet. Wees bewust van wat er mis kan gaan. Gebruik geen papier meer. Als de website gebruik maakt van ckies, dan behrt een ckie statement nderdeel te zijn van het privacy statement. Maak bekend welke beveiligingsprcedures er zijn. Iedere vrm van verlies, misbruik f diefstal van persnsgegevens kan een datalek zijn. Bijvrbeeld: gestlen f verlren laptp, usb-stick f telefn, inbraak p website. Maar k een ude cmputer die je wegdet znder de harde schijf te wissen. Leg vraf vast wat met er gebeuren bij een datalek (prtcl datalekken). Als er een datalek pgetreden is, dan met dit gedcumenteerd wrden. Als het ernstig is, dan met het gemeld wrden bij de autriteit (AP). Als het gevlgen heeft vr de betrkken persnen dan met het k aan hen gemeld wrden. Het niet melden van een ernstig datalek bij AP kan hge betes tt gevlg hebben. Melden datalek: https://datalekken.autriteitpersnsgegevens.nl/actinpage?0 4
Stap 8: Frmulieren en dcumenten Zwel frmulieren p papier als webfrmulieren zullen aangepast meten wrden aan de AVG, mdat er vermeld met wrden vr welk del de gegevens gebruikt wrden. Men geeft specifiek testemming daarvr. Het gaat m alle frmulieren waar persnsgegevens gevraagd wrden, zals: Inschrijffrmulier Aanvraagfrmulier Machtiging / incass Vraag alleen gegevens die ndig zijn. Enkele vrbeeld-dcumenten die je (na aanpassing) kunt gebruiken: Vrbeeld Privacy Statement Vrbeeld vrijwilligersvereenkmst Vrbeeld Verwerkersvereenkmst Vrbeeld prtcl databeveiliging Op internet zijn zulke vrbeelden te vinden. Ok staan vrbeelden p de website van ABC Gemeenten: https://www.abcgemeenten.nl/ver-abc/rganisatie/privacywetgeving-avg/ Hier zijn ng meer dcumenten te vinden waarnder de cmplete wetstekst. He sta ik geregistreerd? Een verzek m infrmatie he sta ik geregistreerd met te allen tijde gehnreerd wrden. Er met p eenvudige en eenduidige wijze een uitdraai van de gegevens van de betreffende persn gegeven kunnen wrden. Dit kan men gebruiken m zich elders in te schrijven. Recht m vergeten te wrden Mensen kunnen verzeken m hun gegevens te verwijderen uit de administratie. Dit verzek met p simpele wijze gedaan kunnen wrden. Vr kerken is dit lastig, mdat bepaalde gegevens niet verlren mgen gaan. Denk hierbij bijvrbeeld aan dpregisters. De dp is nmkeerbaar, en je wilt vrkmen dat iemand ngmaals gedpt wrdt. Bij een verzek m gegevens te wissen kunnen bepaalde gegevens tch bewaard blijven, maar die mgen niet meer zichtbaar zijn. Alleen enkele bevegde persnen kunnen ng inzage krijgen. Maak bekend welke gegevens nimmer verwijderd kunnen wrden. Kinderen Ouders geven testemming m hun kinderen tt 16 jaar te registreren. Bijzndere persnsgegevens Gegevens ver religie behren tt de bijzndere persnsgegevens. In principe is het niet tegestaan dit te registreren, behalve wanneer je zelf een religieuze instelling bent, want dan mag het wel. Dit is een uitzndering die expliciet in artikel 9 van de AVG genemd wrdt. Ok gegevens ver dp en huwelijk behren tt de bijzndere persnsgegevens, waarvr bvendien geldt dat deze gegevens niet verwijderd kunnen wrden, k als daarm verzcht wrdt. De dp is immers eenmalig en 5
nmkeerbaar. Kerken zijn verplicht de fundamentele privacyrechten te eerbiedigen. Kerken richten zich vanuit hun reping tt mensen aan de rand van de samenleving, want vr de barmhartige Samaritaan maakt het niet uit wie hij helpt. Ok hier met zrgvuldig mgegaan wrden met persnsgegevens. FAQ (vaak gestelde vragen) vraag en antwrd He hard is de inverdatum van 25-5-2018? Het is nwaarschijnlijk dat iedereen de AVG p tijd kan inveren, maar er is geen uitstel. De AVG zal meteen tegepast wrden, bijvrbeeld als er een klacht binnenkmt bij de AP. Wanneer met een FG aangesteld wrden? Bij een grte rganisatie f wanneer grte heveelheden gegevens verwerkt wrden. Op dit mment is ng nduidelijk waar precies de grens ligt. Ben ik verplicht een datalek te melden? Nee, alleen als het ernstig is. Het met gemeld wrden bij de AP, die daarver een nderzek zal starten. Dit kan het geval zijn bijvrbeeld als er een USB-stick met persnsgegevens verlren raakt f als er een hacker binnendringt in een systeem met persnsgegevens. Geldt de AVG alleen vr geautmatiseerde systemen? Nee, het geldt vr alle persnsgegevens, dus k een papieren registratie (kaartenbak), p Facebk, een website, f in een kerkblad. Met iedereen die reeds geregistreerd is nu pnieuw testemming geven? Nee, het is vldende m te melden dat u bezig bent de AVG in te veren, en dat men kan vragen he men geregistreerd staat, en dat men kan verzeken vergeten te wrden. Mgen namen en preken van gastsprekers p de website geplaatst wrden? Als de website penbaar is dan zu u testemming kunnen vragen aan de betreffende spreker. Als de preken achter een inlg staan, dan heft het niet, want dan is het intern vr de gemeente. Wat u k kunt den: meteen bij het uitndigen van een spreker aangeven dat zijn naam en preek p de website kmen, tenzij hij bezwaar maakt. Dan ligt het initiatief bij de spreker. Hetzelfde kunt u den bij ude preken die al p de website staan. Als iemand bezwaar maakt, dan wrdt het meteen weggehaald. 6