Bestuurder van een vereniging, wees alert! Denk niet alleen aan de WBTR maar ook aan de AVG!

Als bestuurder moet jij je volgens de Wet Bestuur en Toezicht Rechtspersonen (WBTR) richten naar het belang van de vereniging. Daarbij hoort ook het in acht nemen van de Algemene Verordening Gegevensbescherming (AVG), ofwel: de privacywetgeving. Dit geldt trouwens niet alleen voor verenigingen, maar voor alle organisaties.

Met deze rubriek wil ik in hoofdlijnen ingaan op de AVG. Mogelijk is het een saai onderwerp, maar niettemin wel erg belangrijk. Menig bestuurder die bij mij aan tafel is geweest voor het aanpassen van de statuten in het kader van de WBTR, staat daarbij niet stil bij de verplichtingen die op de vereniging rust krachtens de privacywetgeving.

Als vereniging verwerk je immers gegevens van je leden zoals namen, adressen, telefoonnummers, email-adressen, bankrekeningnummers en dergelijke. Daar dien je zorgvuldig mee om te gaan. Vanaf 2018 is namelijk de AVG van kracht en handhaaft de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder, deze privacywet. Voldoet de vereniging niet aan de AVG, dan staat de vereniging een forse boete te wachten en jou als bestuurder mogelijk een claim vanwege bestuurdersaansprakelijkheid.

Welke documenten moet ik als vereniging hebben vanwege de AVG?
Denk hierbij aan:
1. het hebben van - en heeft de vereniging een website, het daarop plaatsen van - een privacyverklaring. In deze verklaring wordt ten behoeve van de leden aangegeven met welk doel de vereniging de persoonsgegevens verzamelt;
2.de toestemmingsverklaring van het lid. Hiermee geeft het lid expliciet toestemming om zijn gegevens te verwerken en waarvoor hij toestemming geeft, welke persoonsgegevens worden opgeslagen, hoe lang die gegevens worden opgeslagen en wie allemaal toegang hebben tot de persoonsgegevens; óók bijvoorbeeld het verlenen van toestemming om gemaakte foto's van een evenement waarop het lid staat te mogen gebruiken voor de nieuwsbrief of op de website;
3. de geheimhoudingsverklaring. Dit is een verklaring waarbij functionarissen zoals de secretaris, penningmeester, ander bestuurslid of commissielid verklaart dat hij geheimhouding in acht neemt over alle bijzonderheden die hij bij zijn inzet voor de vereniging over haar leden en andere relaties van de vereniging te weten is gekomen, zowel tijdens als na afloop van zijn inzet voor de vereniging. Daarnaast zal hij alle gegevens die hij heeft aan de vereniging teruggeven en, voor zover van toepassing, de gegevens definitief en niet traceerbaar vernietigen. Bij niet naleving staat tevens dat hij schadeplichtig zal zijn.

Rechten van je leden.
1. Een lid kan altijd vragen om inzage in zijn persoonsgegevens, waarvoor die gebruikt worden en aan wie de gegevens verder worden verstrekt (bijvoorbeeld aan de overkoepelende sportbond of de shirtjessponsor).
2. Een lid mag altijd vorderen dat zijn gegevens worden aangepast en, dat bij beëindiging van zijn lidmaatschap, zijn gegevens worden verwijderd.

Wat moet je doen als een nieuw lid zich aanmeldt?
Je zal het lid moeten informeren waarom jouw vereniging zijn gegevens nodig heeft en deze bewaart. Hiervoor zal het nieuwe lid aantoonbaar toestemming moeten gegeven. Deze gegevens mogen daarna niet voor andere doeleinden worden gebruikt.

Een datalek!
Als vereniging ben je verplicht datalekken goed te documenteren in een eigen datalekregister: je omschrijft het lek en de datum van het lek, wat er met de gegevens is gebeurd, van wie de gegevens zijn gelekt, wat de gevolgen of gevaren van het lek zijn (bijvoorbeeld identiteitsfraude of reputatieschade) en wat de vereniging heeft gedaan om schade te beperken danwel te voorkomen?
Daarnaast zal binnen 72 uur na kennisneming van het datalek een melding moeten worden gedaan bij de Autoriteit Persoonsgegevens en in sommige gevallen zal het lid waarvan de gegevens zijn gelekt daarvan op de hoogte gebracht moeten worden. Kortom: zorg dat de vereniging een procedure heeft waar naar gehandeld moet worden ingeval van een datalek.