Basisprincipes
Elke organisatie moet voorzichtig omgaan met de persoonsgegevens van leden, deelnemers, vrijwilligers, … Juist informeren staat daarom centraal. Welke gegevens gebruik worden bijgehouden en waarom? Volgens welke wettelijke grond? Waar worden de gegevens opgeslagen? Wie krijgt toegang tot de gegevens? Dit gebeurt via een privacyverklaring waar je naar verwijst wanneer iemand zich inschrijft voor een activiteit.
Je moet niet alleen de betrokken personen informeren. Je moet ook bewijzen dat je de privacy van de betrokken personen respecteert. Dat doe je door te documenteren welke stappen je zet om de privacy van je achterban te beschermen. Belangrijk hier is ook dat je dit met iedereen in je organisatie bespreekt die persoonsgegevens kan zien of gebruiken. Neem het op in verslagen van bestuursvergaderingen, zet het in afsprakennota’s met je vrijwilligers …
Het is verplicht om een register bij te houden: dit document geeft een overzicht van alles wat er gebeurt met de persoonsgegevens die je bezit.
Elke organisatie is verantwoordelijk voor de persoonsgegevens die ze beheert. Dat betekent dat je er zorgzaam mee moet omgaan en de gegevens dus moet beveiligen. Wis gegevens die je niet strikt genomen nodig hebt, laat geen lijsten rondslingeren, versleutel discrete gegevens met wachtwoorden, maak goede afspraken met de medewerkers …
Vooral met gegevens van minderjarigen en gevoelige gegevens (vb. medische gegevens, rijksregisternummers) moet extra omzichtig omgesprongen worden. Vraag ook alleen de persoonsgegevens op die je voor de werking nodig hebt. Hoe minder gegevens je opvraagt, hoe minder gegevens je moet beveiligen en behandelen.
>>> Danspunt en Scwitch maakten dit stappenplan voor de implementatie van de GDPR in een organisatie.
Wettelijke grond
Een organisatie mag enkel persoonsgegevens verwerken als ze daar een wettelijke grond voor heeft. Er zijn vier verschillende soorten van wettelijke grond om het verwerken van persoonsgegevens te verantwoorden:
- wettelijke verplichting
- contractuele basis
- gerechtvaardigd belang
- ondubbelzinnige toestemming
1. Wettelijke verplichting
Wettelijke verplichting betekent dat de verwerking noodzakelijk is voor de uitvoering van een wettelijke plicht. De verwerking van deze gegevens is dan bijvoorbeeld opgelegd door een wet of decreet. Voor deze wettelijke grond is er geen expliciete toestemming nodig van de personen in kwestie, maar je moet ze wel informeren, vb. als er gegevens moet doorgegeven worden aan de overheid voor subsidiëring of als er een vrijwilligersregister aangelegd wordt.
2. Contractuele basis
Contractuele basis betekent dat het verwerken van de gegevens noodzakelijk is voor de uitvoering van een overeenkomst. Zo is het bijvoorbeeld nodig om iemands naam te vragen voor hij of zij kan inschrijven voor een activiteit. Ook voor deze grond is geen toestemming nodig, maar moet de personen wel geïnformeerd worden dat die gegevens bijgehouden worden. Een lidmaatschap of inschrijving voor een activiteit kan je zeker beschouwen als een “contract”. De verplichtingen die daar strikt genomen uit voortvloeien, vb. ledenadministratie en verzekering, kunnen dan ook onder “contractuele basis” vallen.
3. Gerechtvaardigd belang
Gerechtvaardigd belang is van kracht wanneer de activiteit die wordt ontplooid anders niet uitvoerbaar is. Deze wettelijke basis mag enkel gebruikt worden wanneer dit belang zwaarder doorweegt dan de rechten en redelijke privacyverwachtingen van de betrokkenen.
Deze wettelijke basis moet goed doordacht en beargumenteerd zijn. Bij twijfel raden we toch aan om voor de wettelijke basis “ondubbelzinnige toestemming” (zie verder) te gaan.
Als je bijvoorbeeld een nieuwsbrief naar je actieve vrijwilligers en bestuurders stuurt, zou je dit kunnen doen op basis van het argument gerechtvaardigd belang.
4. Ondubbelzinnige toestemming
Ondubbelzinnige toestemming is de vrije, actieve en specifieke toestemming van de betrokkenen om specifieke persoonsgegevens te gebruiken voor bepaalde doeleinden. Het vragen van actieve toestemming is de meest duidelijke vorm tegenover de betrokkene.
Let wel: de toestemming moet actief gebeuren via een opt-in (een aanvinkvakje). Het aanbieden van een mogelijkheid tot “uitschrijven” is niet voldoende. Let erop dat gegevens enkel gebruikt worden voor datgene waarvoor duidelijk toestemming is gegeven en dat de betrokkenen altijd het recht hebben hun toestemming in te trekken.
Meer info of advies nodig?
- Wil je in vogelvlucht meer leren over wat GDPR inhoudt? Bekijk dan deze spoedcursus GDPR of dit overzicht van de meest gestelde vragen (en antwoorden) over GDPR.
- Contacteer Danspunt