Waarom de AVG relevant is voor tuinverenigingen
Zodra een vereniging persoonsgegevens vastlegt, digitaal of op papier, is de AVG van toepassing. Denk hierbij aan ledenadministratie, vrijwilligerslijsten, financiële administratie, communicatie via nieuwsbrieven en het organiseren van activiteiten.
Sinds de invoering van de AVG in 2018 hebben organisaties meer verantwoordelijkheden gekregen. Tegelijkertijd hebben leden meer rechten gekregen, waaronder het recht op inzage. Toezicht op de naleving ligt bij de Autoriteit Persoonsgegevens (AP), die bij overtredingen ook boetes kan opleggen. Hoewel kleine verenigingen niet de primaire focus zijn van de AP, blijft het risico wel degelijk aanwezig.
De AVG is gebaseerd op fundamentele privacyrechten, vastgelegd in zowel de Nederlandse Grondwet als Europese regelgeving.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn alle gegevens die herleidbaar zijn tot een identificeerbare persoon, direct of indirect. Dit begrip is breed en omvat onder meer:
- Naam, adres en woonplaats
- Geboortedatum en e-mailadres
- Bankrekeningnummers
- Foto’s en video’s
- IP-adressen en online gedrag (zoals cookies)
Daarnaast bestaan er bijzondere persoonsgegevens, zoals medische gegevens, religieuze overtuiging of strafrechtelijke gegevens. Voor het verwerken van deze gegevens gelden strengere regels en is in principe altijd expliciete toestemming vereist.
Basisverplichtingen onder de AVG
Voor verenigingen gelden een aantal kernverplichtingen:
- Transparantie en informatieplicht
Leden moeten duidelijk geïnformeerd worden over:
- Welke persoonsgegevens worden verzameld
- Voor welk doel
- Hoe lang deze worden bewaard
- Met wie ze worden gedeeld
- Hoe de gegevens worden beveiligd
Dit gebeurt via een privacyverklaring. Deze moet actueel zijn en bijvoorbeeld ook de bewaartermijnen expliciet vermelden.
- Register van verwerkingen
Het bijhouden van een register van verwerkingen is een belangrijke basis. Hierin staat welke persoonsgegevens de vereniging verwerkt, wie daar toegang toe heeft, met welk doel, en hoe lang de gegevens worden bewaard. Dit register helpt om overzicht en controle te houden.
- Grondslag voor verwerking
Gegevens mogen alleen worden verwerkt als daar een geldige grondslag voor is, zoals:
- De lidmaatschapsovereenkomst
- Toestemming van de betrokkene
- Een wettelijke verplichting (bijvoorbeeld voor financiële administratie)
- Een gerechtvaardigd belang
Bij gebruik van ‘gerechtvaardigd belang’ moet altijd rekening gehouden worden met het recht van bezwaar van leden.
Nieuwsbrieven en communicatie
Een nieuwsbrief kan onderdeel zijn van het lidmaatschap, mits dit vooraf duidelijk wordt gecommuniceerd, bijvoorbeeld bij inschrijving. In dat geval is geen aparte toestemming nodig. Gaat het om een vrijblijvende of niet-officiële nieuwsbrief, dan moeten leden zich eenvoudig kunnen afmelden.
Foto’s en publicatie
Het maken en publiceren van foto’s tijdens verenigingsactiviteiten vraagt om zorgvuldigheid:
- Toestemming is de veiligste optie, vooral bij herkenbare foto’s.
- Publicatie op een afgeschermd ledengedeelte van de website kan soms op basis van gerechtvaardigd belang.
- Publicatie op openbare kanalen (zoals sociale media) is privacygevoeliger.
Rechten van leden
Leden hebben onder andere recht op:
- Inzage in hun persoonsgegevens
- Correctie van onjuiste gegevens
- Verwijdering van gegevens wanneer deze niet meer noodzakelijk zijn
Een inzageverzoek moet binnen één maand worden afgehandeld en is in principe kosteloos.
Bewaartermijnen
Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk:
- Ledenadministratie: als vuistregel maximaal twee jaar na beëindiging van het lidmaatschap
- Financiële gegevens: zeven jaar, op basis van fiscale wetgeving
- Gegevens mogen langer worden bewaard als een oud-lid daar expliciet toestemming voor geeft (bijvoorbeeld voor jubileumdoeleinden)
‘Nuttig’ is géén geldige reden; alleen noodzakelijkheid telt.
Delen van gegevens en externe partijen
Gegevens mogen alleen worden gedeeld:
- Als dat noodzakelijk is voor het doel
- Of als er een wettelijke verplichting bestaat
Bij gebruik van externe systemen (zoals ledenadministratie of boekhoudsoftware) moet vaak een verwerkersovereenkomst worden gesloten.
Bij gegevensuitwisseling tussen een lokale vereniging en een landelijke organisatie (zoals AVVN) kan sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid, mits dit voortvloeit uit de overeenkomst en transparant is richting leden.
Doorverkoop van gegevens is niet toegestaan.
Datalekken
Bij verlies van persoonsgegevens of onbevoegde toegang kan sprake zijn van een datalek. Als dit ernstige gevolgen kan hebben voor de privacy van betrokkenen, moet dit binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens.
Verslagen en bijzondere persoonsgegevens
In gespreksverslagen mogen alleen gegevens worden opgenomen die noodzakelijk zijn. Bijzondere persoonsgegevens, zoals medische informatie, mogen uitsluitend worden vastgelegd met uitdrukkelijke toestemming van de betrokkene. Zonder toestemming moet deze informatie worden weggelaten of geanonimiseerd.
Bewustwording en organisatie
AVG-naleving vraagt niet alleen om documenten, maar ook om bewustwording binnen het bestuur:
- Wijs een verantwoordelijke aan
- Bespreek privacy regelmatig in bestuursvergaderingen
- Houd privacyverklaring en register actueel
- Behandel inzageverzoeken zorgvuldig
AVVN biedt verenigingen ondersteuning met formats en voorbeelddocumenten voor onder andere privacyverklaringen en registers. Deze kun je vinden op het AVVN ledennet.
De AVG vraagt van tuinverenigingen een zorgvuldige en bewuste omgang met persoonsgegevens. Door inzicht te hebben in wat er wordt verwerkt, waarom dat gebeurt en hoe gegevens worden beschermd, kan een bestuur voldoen aan de wettelijke eisen en het vertrouwen van leden behouden. Met duidelijke afspraken, goede documentatie en ondersteuning is AVG-naleving goed uitvoerbaar voor verenigingen.
Dit verhaal is gebaseerd op het webinar ‘Alles over de AVG-wetgeving voor tuinverenigingen’ van AVVN Samen Natuurlijk Tuinieren, met Arthur van der Hoeff als spreker. Bekijk hier het webinar terug.