Protocol Bewaring Persoonsgegevens

PROTOCOL

Omgang met en bescherming van persoonsgegevens binnen De Recreanten Volleybal Club Helmond

Inhoudsopgave

ALGEMEEN DEEL

1 Inleiding en begripsbepalingen

2 Samenvatting Wbp

PROTOCOL

3 De verwerking van persoonsgegevens (verkrijging, gebruik, bewaartermijnen en melding)

4 Beveiliging van persoonsgegevens

5 Informatieverstrekking aan de betrokkene

6 Rechten van de betrokkene

7 Klachten

ALGEMEEN DEEL

1 Inleiding en begripsbepalingen

Binnen de Recreanten Volleybal Club Helmond (hierna: RVC) wordt veel waarde gehecht aan de veiligheid en privacy van (hun) leden, vrijwilligers en begunstigers. RVC wenst in dit verband waarborgen te bieden, onder andere door strikte naleving van de toepasselijke (privacy) wet- en regelgeving. De wijze waarop met persoonlijke gegevens van leden, vrijwilligers en begunstigers van de vereniging wordt omgegaan, alsmede de beveiliging daarvan is van cruciaal belang. Misbruik van deze gegevens kan vergaande gevolgen hebben voor de veiligheid en persoonlijke levenssfeer van de hiervoor bedoelde personen. In het voorliggende protocol “omgang en bescherming persoonsgegevens binnen RVC” is beschreven op welke wijze RVC omgaat met persoonsgegevens en de beveiliging daarvan. Het protocol heeft dus tot doel RVC inzicht te verschaffen in de wijze waarop de gegevensverwerking binnen de Vereniging zou moeten plaatsvinden; het betreft een praktische uitwerking van de bepalingen van de Wet bescherming persoonsgegevens (Wbp). 

De Wbp bevat de regels met betrekking tot de verkrijging/verzameling en verdere verwerking van persoonsgegevens van betrokkenen, zoals aspiranten, aspirant-leden, leden, zieke leden, vrijwilligers, begunstigers en deelnemers aan de door de Vereniging georganiseerde evenementen en/of competities, leden en ex-leden van een Vereniging. Bij het opstellen van dit document is de Wbp dan ook als uitgangspunt genomen en is aangesloten bij de begrippen zoals deze zijn gedefinieerd in de Wbp:

Persoonsgegeven elk gegeven betreffende een geïdentificeerde of een identificeerbare natuurlijke persoon, dus: aspiranten, aspirant-leden, leden, zieke leden, vrijwilligers, begunstigers en deelnemers aan de door de vereniging georganiseerde evenementen en/of competities en ex- leden van een Vereniging. 

Bijzondere Persoonsgegevens de persoonsgegevens die belangrijk zijn met betrekking tot medische beperkingen en of aandachtspunten voor zover van toepassing op het beoefenen van de volleybalsport en persoonsgegevens over onrechtmatig of hinderlijk gedrag.

Verwerken elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.

Verantwoordelijke de natuurlijke persoon, rechtspersoon of ieder ander die alleen of tezamen met anderen het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; in dit geval de Vereniging.

Bewerker degene die ten behoeve van de verantwoordelijke, onder diens instructie en verantwoordelijkheid, persoonsgegevens verwerkt.

Betrokkene degene waarvan de persoonsgegevens worden verwerkt; in dit geval de aspiranten, aspirant-leden, leden, zieke leden, vrijwilligers, begunstigers en deelnemers aan de door de vereniging georganiseerde evenementen en/of competities, leden en ex-leden van de Vereniging.

Derde ieder, niet zijnde de betrokkene, de verantwoordelijke, de bewerker of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of bewerker gemachtigd is om persoonsgegevens te verwerken. 

Verstrekken het bekendmaken of ter beschikking stellen van gegevens.

Verzamelen het verkrijgen van persoonsgegevens.

De volledige wettekst van de Wbp kan worden geraadpleegd op de website van het College bescherming persoonsgegevens (Cbp).  

2 Samenvatting Wbp

De Wbp is op 1 september 2001 in werking getreden. De wet is een uitwerking van de Europese privacyrichtlijn  en beslaat het gehele proces van gegevensverwerking. Dat wil zeggen van het verzamelen tot het vastleggen en het eventueel doorgeven van persoonsgegevens aan derden. Een organisatie kan pas rechtmatig persoonsgegevens verwerken indien is voldaan aan de (strenge) normen die in de Wbp zijn opgenomen. De voor de Vereniging meest belangrijke regels met betrekking tot gegevensbescherming kunnen als volgt worden samengevat: 

1. Wijze van verwerking. 

Persoonsgegevens mogen alleen worden verwerkt indien dat geschiedt in overeenstemming met de wet en op een behoorlijke en zorgvuldige wijze.

2. Doelbinding

Persoonsgegevens mogen alleen worden verzameld voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden en kunnen alleen verder worden verwerkt voor doeleinden die daarmee verenigbaar zijn.

3. Kwaliteit

Persoonsgegevens moeten relevant zijn voor de doeleinden waarvoor zij gebruikt worden. Daarnaast moeten persoonsgegevens nauwkeurig zijn, maar ook compleet en up-to-date.

4. Transparantie

De betrokkene(n), degene van wie persoonsgegevens worden verwerkt, moet ten minste op de hoogte zijn van de identiteit van de verantwoordelijke en van het doel/de doeleinden van de verwerking.

5. Beveiliging

De persoonsgegevens moeten op een passende wijze worden beschermd. De verantwoordelijke dient in dit verband voldoende technische en organisatorische beveiligingsmaatregelen te treffen tegen verlies of ongeautoriseerde toegang, vernietiging, gebruik, wijziging of openbaarmaking van persoonsgegevens.

6. Verantwoordelijkheid

De verantwoordelijke voor de verwerking moet verantwoording afleggen voor het nemen van maatregelen die uitvoering geven aan de (voorgaande) vereisten met betrekking tot de bescherming van persoonsgegevens. Deze vereisten kunnen onder andere worden herzien in het licht van ’veranderende technologieën, markten en het gedrag van gebruikers’.

Het College bescherming persoonsgegevens (Cpb) is door de Wbp aangewezen als de instantie die een Vereniging kan aanspreken op het niet naleven van de wet en kan sancties opleggen. 

Per 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG)  van toepassing. Dat betekent dat er vanaf die datum dezelfde privacywetgeving geldt in de hele Europese Unie (EU). De Wet bescherming persoonsgegevens (Wbp) geldt dan niet meer.

De AVG zorgt onder meer voor:

• versterking en uitbreiding van privacyrechten;

• meer verantwoordelijkheden voor organisaties;

• dezelfde, stevige bevoegdheden voor alle Europese privacytoezichthouders, zoals de bevoegdheid om boetes tot 20 miljoen euro op te leggen.

PROTOCOL

De Vereniging zal de AVG naleven en toezien op naleving van de wet- en regelgeving door haar leden, medewerkers, vrijwilligers en overigens alle derden die persoonsgegevens ten behoeve van de Vereniging verwerken. De Vereniging zal zich houden aan de in dit protocol opgenomen principes en regels. Voorts zal de Vereniging dit protocol intern kenbaar maken, zowel aan haar leden als aan vrijwilligers.

3 De verwerking van persoonsgegevens (verkrijging, gebruik, bewaartermijnen en melding)

De Vereniging verzamelt en verwerkt alleen persoonsgegevens, zoals zij die van de betrokkene(n) door het invullen van het aanmeldingsformulier en de eigen verklaring heeft verkregen, tenzij anders door de Vereniging is vastgesteld.

Doeleinden aanmeldingsformulier

In het kader van de ledenadministratie en andere verenigingsactiviteiten is de Vereniging genoodzaakt door middel van het aanmeldingsformulier (een aantal) algemene persoonsgegevens van haar aspiranten/aspirant-leden/leden, zoals naam, geboortedatum, adres en woonplaats, telefoon, e-mailadres en het soort lidmaatschap te verwerken. Ook worden door de Vereniging (een aantal) bijzondere of gevoelige persoonsgegevens verzameld, zoals de persoonsgegevens die belangrijk zijn met betrekking tot medische beperkingen en of aandachtspunten voor zover van toepassing op het beoefenen van de volleybalsport en persoonsgegevens over onrechtmatig of hinderlijk gedrag.

De Vereniging verwerkt deze algemene en bijzondere persoonsgegevens, die worden in gevuld op het aanmeldingsformulier, alleen voor nauwkeurig omschreven doeleinden. Door RVC zijn de volgende doeleinden geformuleerd:

1. Het voeren van de ledenadministratie van de Verenging in verband met het aanmelden van personen als aspirant/aspirant-lid/lid, de verzending van post, de opgave bij de verzekering en het innen, berekenen van gedifferentieerde contributie en de organisatie van de gebruikelijke verenigingsactiviteiten 

2. Het al naar gelang van het beroep van een lid, een beroep kunnen doen op diens medewerking vanwege de vele werkzaamheden die door vrijwilligers voor de Vereniging moeten worden verricht;

3. De organisatie van wedstrijden, competities en toernooien

Bewaartermijn

De persoonsgegevens worden door de Vereniging niet langer bewaard in een vorm die het mogelijk maakt de betrokkene te identificeren, dan voor zover dit noodzakelijk is voor de verwerking van de doeleinden waarvoor de persoonsgegevens zijn verzameld/verkregen en worden gebruikt:

• De persoonsgegevens die in het kader van de ledenadministratie zijn verzameld en verkregen, worden door de Vereniging in ieder geval uiterlijk twee (2) jaren nadat het lidmaatschap is beëindigd verwijderd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening van een wettelijke bewaarplicht (te denken valt aan fiscale bewaartermijnen en termijnen zoals gesteld in de Archiefwet);

• De persoonsgegevens die in het kader van de financiële administratie zijn verzameld en verkregen, worden door de Vereniging in ieder geval zeven (7) jaren te bewaren;

• De Vereniging stelt zelf vast op welke wijze de persoonsgegevens worden vernietigd (bijvoorbeeld door een erkend bedrijf voor archiefvernietiging), namelijk: Papierrecycling de Vries;

• Voor administratieve doeleinden worden na afloop van de bewaartermijn, indien de betrokkene daartoe zijn toestemming heeft gegeven, alleen de volgende gegevens bewaard: naam, adres, woonplaats en de periode van het lidmaatschap van betrokkene;

• Persoonsgegevens kunnen in geanonimiseerde vorm eventueel langer worden bewaard; de gegevens worden dan zodanig door de Vereniging bewerkt, dat deze niet meer tot identificeerbare personen te herleiden zijn. 

4 Beveiliging van persoonsgegevens

Technische en organisatorische maatregelen

De Vereniging doet er alles aan om de persoonsgegevens van haar aspiranten/aspirant-leden/leden/ex-leden, vrijwilligers en begunstigers op een zorgvuldige wijze te beschermen en te beveiligen. De Vereniging legt dan ook passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beschermen tegen verlies, aantasting, onbevoegde kennisneming, wijziging of verstrekking. 

• . De (leden)administratie wordt vanuit huis van een (bestuurs)lid wordt gevoerd, hierover worden nadere afspraken gemaakt met het betreffende (bestuurs)lid dat de (leden)administratie voert. Het is om veiligheidsreden bijvoorbeeld niet toegestaan persoonsgegevens te kopiëren naar een USB-stick;

• Indien met persoonsgegevens wordt gewerkt, worden deze te allen tijde afgeschermd voor onbevoegde aspirant-leden, leden, bestuursleden, en andere derden;

• Aanmeldingsformulieren, eigen verklaringen en bijzondere persoonsgegevens (hardcopy) zijn zeer beperkt toegankelijk;

Verantwoordelijkheid

De voorzitter/secretaris van het bestuur is verantwoordelijk voor het beheer van zowel de papieren als digitale (leden)administratie en draagt er voor zorg dat de verzameling/verkrijging, de (verdere) verwerking, het beheer en de bewaring van persoonsgegevens wordt uitgevoerd conform de AVG en dit protocol.

Mate van bevoegdheid (intern en extern)

Intern. Vanwege de taken die voortvloeien uit hun functie zijn binnen de Vereniging de volgende personen bevoegd tot het inzien van en belast met de verwerking van persoonsgegevens:

• De voorzitter van het bestuur van de Vereniging ten aanzien van alle binnen de Vereniging te verwerken persoonsgegevens, waaronder mede de Bijzondere persoonsgegevens moeten worden verstaan;

• De secretaris en penningmeester van het bestuur van de Vereniging ten aanzien van de voor hen noodzakelijke persoonsgegevens, zoals de leden- en de financiële administratie, maar in ieder geval met uitzondering van bijzondere persoonsgegevens;

• Leden die deelnemen in een (toernooi)commissie, een en ander beperkt tot de voor hen – in het kader van de commissieactiviteiten - noodzakelijke gegevens, zoals geboortedatum, geslacht en prestatieniveau, maar in ieder geval met uitzondering van bijzondere persoonsgegevens;

Overige leden van de Vereniging hebben slechts toegang tot persoonsgegevens, indien dit noodzakelijk is bij de uitvoering van een bepaalde aan hen toegewezen taak en/of indien zij hiervoor toestemming hebben gekregen van (de voorzitter van) het bestuur van de Vereniging. De leden van de Verenging (waaronder mede verstaan de bestuursleden van de Vereniging) die inzage hebben in persoonsgegevens hebben een geheimhoudingsplicht. Het bestuur van de Vereniging ziet er - voor zover dat mogelijk is - op toe, dat deze geheimhoudingsplicht door de leden wordt nageleefd.

Extern. Buiten de Vereniging kunnen persoonsgegevens worden verstrekt aan personen en organisaties voor zover dit noodzakelijk is voor hun taakuitoefening. Te denken valt aan:

• externe hulpverleners in geval van een incident;

5 Informatieverstrekking aan de betrokkene

De aspiranten, aspirant-leden en leden van de Vereniging worden door middel van de toelichting op het aanmeldingsformulier geïnformeerd over de rechten en de wijze waarop door de Vereniging met persoonsgegevens wordt omgegaan. Door ondertekening van het aanmeldingsformulier komt bovendien een overeenkomst tot stand tussen de betrokkene en de Vereniging op basis waarvan bepaalde op de betrokkene betrekking hebbende persoonsgegevens mogen worden verwerk. In principe heeft de Vereniging hiermee aan haar informatieplicht voldaan. Indien gewenst kan het bestuur van de Vereniging vanzelfsprekend aanvullende informatie verstrekken aan betrokkene(n).

6 Rechten van de betrokkene

De aspiranten, aspirant-leden en leden van de Vereniging hebben ten aanzien van hun persoonsgegevens de volgende rechten:

• Het recht om persoonsgegevens over te dragen.

• Het recht om ‘vergeten’ te worden.

• Het recht van mensen om de persoonsgegevens die u van hen verwerkt in te zien.

• Het recht om de persoonsgegevens die u verwerkt te wijzigen.

• Het recht om minder gegevens te laten verwerken.

• Het recht op een menselijke blik bij besluiten.

• Het recht om bezwaar te maken tegen de gegevensverwerking.

7 Klachten

Het bestuur van de Vereniging streeft ernaar om binnen de Vereniging een klachtenfunctionaris aan te wijzen (bijvoorbeeld een lid van het bestuur of vertrouwenspersoon) en kenbaar te maken, bij wie een betrokkene eventuele klachten kan indien over de wijze waarop door de Vereniging met zijn of haar persoonsgegevens wordt omgegaan dan wel over de wijze waarop de AVG wordt nageleefd.

+++