AVG voor KLA-gebruikers

Algemene verordening gegevensbescherming (AVG)

Als het goed is, dan gaat u al netjes om met de gegevens van de leden. U houdt alleen bij wat van belang is en u verstrekt de gegevens niet aan derden. De computer waarop de administratie draait is goed beveiligd en u gebruikt wachtwoorden om bij de administratie te komen. Eigenlijk is de nieuwe wetgeving dan voor u niet nodig.

Toch is het goed om nog eens stil te staan bij alle aspecten van het gebruik van de ledenadministratie. Deze verordening is met name een checklist om na te gaan of de beveiliging van en de omgang met de gegevens wel optimaal geregeld is. Daarnaast is in deze verordening ook vastgelegd wat er moet gebeuren als het een keer niet goed gaat.

De verordening heeft alleen betrekking op de verwerking van gegevens van natuurlijke personen. Bedrijven, maar ook overledenen, vallen dus niet onder deze verordening. Wanneer je gegevens bijhoudt, die niet te herleiden zijn naar een persoon, dan vallen deze gegevens ook niet onder de verordening.

Dit document is niet bedoeld als een complete handleiding voor de AVG. Er staat veel meer in dan hetgeen hier besproken wordt.  Hier beperken we ons tot hetgeen voor KLA gebruikers van belang is. Wilt u meer weten, kijk dan op Internet. Daar staat de volledige tekst van de verordening, alsmede diverse toelichtingen daarop.

Lees ook onze Privacyverklaring. Daarin kunt u lezen hoe wij met persoonsgegevens en met uw privacy omgaan.

Begrippen

Algemene regels

Als verwerkingsverantwoordelijke (ledenadministrateur) moet je je houden aan een aantal zaken:

1. De verwerking moet rechtmatig, behoorlijk en transparant zijn. Er moet dus een goede reden zijn, waarom je deze gegevens bijhoudt. Het bijhouden moet netjes gebeuren en er moet openheid zijn naar alle betrokkenen.
2. Je moet een goede reden hebben om een bestand bij te houden. Dus niet zomaar gegevens van mensen verzamelen, omdat ze misschien ooit nog eens van pas komen.
3. Je mag niet meer gegevens van iemand bijhouden dan je nodig hebt. Het is dus bijvoorbeeld niet toegestaan om iemands haarkleur bij te houden, wanneer je de administratie alleen maar gebruikt voor het versturen van een tijdschrift. Maar voor een kapper zou hetzelfde gegeven wel van belang kunnen zijn.
4. De gegevens moeten juist zijn. De mutaties dus goed bijhouden. Als iemand verhuist, verwerk dit dan meteen in de administratie.
5. Bewaar de gegevens niet langer dan nodig. Wanneer iemand zijn lidmaatschap opzegt, dan dienen de gegevens gewist te worden. Dit is niet altijd meteen mogelijk, vanwege andere verplichtingen. In de boekhouding moet je juist wel bijhouden wie betaald heeft. Dat kun je niet zomaar verwijderen, omdat dan de boekhouding oncontroleerbaar wordt. In het ledenbestand kun je iemand wel wissen of in ieder geval onherkenbaar maken.
6. De gegevens moeten goed beveiligd zijn en vertrouwelijk blijven. Zorg dus voor goede beveiligingssoftware op de computer, zodat onbevoegden niet mee kunnen kijken. Beveilig de administratie altijd met een niet te simpel wachtwoord. Als meerdere gebruikers met de administratie werken, dan krijgt iedere gebruiker eigen inloggegevens.

Gevoelige gegevens

Wanneer je werkt met gevoelige gegevens, dan zijn er extra regels. Gevoelige gegevens zijn bijvoorbeeld gegevens met betrekking tot religieuze overtuigingen of gegevens met betrekking tot gezondheid.

Wanneer met zulke gegevens gewerkt wordt, dan moet extra voorzichtig met de gegevens omgegaan worden. Hoe ver de (extra) beveiliging en bescherming van deze gegevens moet gaan hangt af van de gevoeligheid van de gegevens en van het risico voor de betrokkene wanneer deze gegevens openbaar worden.

In de meeste gevallen mogen deze “bijzondere categorieën van persoonsgegevens” niet verwerkt worden. Er zijn echter enkele uitzonderingen. De belangrijkste is: “de verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is”. Een vereniging of kerk mag deze gegevens dus wel vastleggen. Maar wel voor zover deze gegevens van belang zijn voor de organisatie. Een kerk zal dus bijvoorbeeld een kerkelijke gezindte of doopgegevens vastleggen, maar mag geen medische gegevens van de leden opnemen in de administratie. Deze laatste categorie is namelijk niet van belang voor de kerk. Bij een patiëntenvereniging kan het juist andersom liggen.

Financiële gegevens worden vreemd genoeg nergens expliciet als gevoelige gegevens genoemd; zelfs niet als persoonsgegevens. Dat betekent natuurlijk niet dat die gegevens vrij verspreid kunnen worden. Ook hier dient zorgvuldig mee omgegaan te worden. Bij het melden van een datalek worden financiële gegevens weer wel genoemd.

Moet de betrokkenen toestemming geven?

Of een betrokkene toestemming moet geven voor het opnemen van zijn gegevens in de administratie hangt van een aantal dingen af. Toestemming is niet nodig in de volgende gevallen:

• De persoon heeft zichzelf aangemeld als lid of belangstellende en heeft daarbij zelf de benodigde gegevens verstrekt.
• De gegevens zijn noodzakelijk om de “gerechtvaardigde belangen” van de organisatie te kunnen behartigen. Zo zullen non-profit instellingen fondsen willen werven. Dat kan niet zonder een goede leden- of donateursadministratie.

Als niet aan deze voorwaarden voldaan is, dan dient de betrokkene toestemming te verlenen.

Leden hoeven dus over het algemeen geen toestemming te verlenen om de gegevens op te nemen in de administratie. Maar er kunnen ook niet-leden in de administratie opgenomen worden. Bijvoorbeeld mensen die men af en toe een mailing wil sturen of partners van leden. Deze mensen moeten hier wel in toestemmen. Deze toestemming moet schriftelijk zijn, omdat er anders geen controle mogelijk zou zijn in geval van onenigheid hierover.

Een betrokkene moet ten allen tijde de toestemming ook weer in kunnen trekken. Als de toestemming ingetrokken wordt, dan mogen de gegevens niet meer worden verwerkt. Voor leden ligt het intrekken van de toestemming wat ingewikkelder. Je kunt namelijk niet aan je verplichtingen als kerk of vereniging voldoen, wanneer je de gegevens van de leden niet bijhoudt. Een lid kan natuurlijk altijd zijn lidmaatschap beëindigen. Daarna dienen dan de gegevens verwijderd te worden.

Register van verwerkingsactiviteiten

Het is verplicht om een register van verwerkingsactiviteiten bij te houden. In dit register staan de volgende gegevens:

• Naam en contactgegevens van de vereniging, stichting of kerk.
• De reden waarom een gegevensbestand bijgehouden wordt.
• Een beschrijving van de gegevens die bijgehouden worden.
• De categorieën van ontvangers van de persoonsgegevens.
• Een beschrijving van de procedure van verwijderen van gegevens (na hoeveel tijd).
• Een beschrijving van de technische en organisatorische beveiligingsmaatregelen (beveiligingssoftware, maar ook fysieke beveiliging).

Functionaris Gegevensbescherming (FG)

In een aantal situaties is een Functionaris Gegevensbescherming verplicht:

• Bij grootschalige verwerking
• Voor grote organisaties
• Bij verwerking van gevoelige gegevens, zoals godsdienstige voorkeuren of medische gegevens.

Voor kerken en verenigingen zal alleen dit laatste punt van belang kunnen zijn. Veel kerkgenootschappen hebben landelijk een FG aangesteld, die dan werkt voor alle plaatselijke kerken of gemeentes.

De FG dient goed op de hoogte te zijn met betrekking tot de wetgeving en is aanspreekpunt voor zowel betrokkenen als de Autoriteit Persoonsgegevens. De FP dient dan ook bij laatstgenoemde instantie geregistreerd te staan.

Beveiliging

Bij beveiliging wordt natuurlijk als eerste gedacht aan beveiligingssoftware op de computer; bijvoorbeeld:

• Een wachtwoord bij het opstarten van de computer.
• Een firewall om inbrekers buiten de computer te houden.
• Een virusscanner.
• Een niet eenvoudig te raden wachtwoord op de software, die gebruikt wordt voor de ledenadministratie.

Daarnaast is het ook van belang aan de fysieke beveiliging te denken:

• Hoe gemakkelijk kan een inbreker bij de computer komen? Hoe lang heeft hij nodig om bij de computer te komen en hoe gemakkelijk is deze dan mee te nemen?
• De computer met een kabel en een slot aan de muur vastmaken.
• Installatie van een alarmsysteem in de computerruimte.

Hoe ver gegaan wordt bij de beveiliging is een zaak van de organisatie zelf. De kosten en moeite moeten daarbij afgewogen worden tegen het risico. Hoe erg is het voor de betrokkenen wanneer de gegevens in verkeerde handen komen? En wat kost het om de beveiliging (nog) beter te regelen?

Goede naleving moet aangetoond kunnen worden.

Mochten er ooit vragen gesteld worden door de Autoriteit Persoonsgegevens, dan is het noodzakelijk om aan te kunnen tonen dat de verplichtingen met betrekking tot de AVG nageleefd zijn. Daarom is het belangrijk om hier steeds aandacht aan te schenken. De volgende zaken kunnen hierbij helpen:

• Maak een inventarisatie van de gebruikte automatiseringssystemen (waarvoor, wat voor gegevens, wie heeft toegang, waar staan de gegevens, zijn ze echt nodig, hoe zit het met de beveiliging).
• Maak een overzicht van wat periodiek met de gegevens gedaan wordt. (Bijvoorbeeld maandelijks etiketten maken voor een informatieblad, eenmaal per jaar een contributiebrief, etc.).
• Stel een plan op, waarin zwakke punten aangepakt worden.
• Houd een logboek bij, waarin belangrijke zaken aangetekend worden (wie hebben toegang, wat worden er voor overzichten uitgeprint, wat voor mailings worden verzonden en aan wie, etc.).
• Stel voor de leden een verklaring op, waarin duidelijk aangegeven wordt wat met de gegevens gedaan wordt. Hierin staat ook dat een lid het recht heeft op inzage en op verwijdering van gegevens (onder zekere voorwaarden). Zet deze verklaring op je website, als die er is.
• Documenteer eventuele datalekken (wat, wanneer, ondernomen actie).

Datalekken

Ondanks alle inspanningen kan het toch een keer misgaan. Al dan niet door een eigen fout vallen de gegevens in handen van onbevoegden. Als dit gebeurt, dan dient hier op de juiste wijze op gereageerd te worden.

Enkele voorbeelden van een datalek:

• Een hacker is binnengekomen op de computer en heeft (mogelijk) de database benaderd.
• Een computer met daarop persoonsgegevens is gestolen of anderszins verloren gegaan.
• Een memorystick met daarop persoonsgegevens is zoekgeraakt of gestolen.
• Een elektronische ledenlijst is naar het verkeerde e-mailadres verzonden.
• Een papieren uitdraai is in verkeerde handen gevallen.

Bij ieder datalek dient men zich af te vragen hoe groot het risico voor de betrokkenen is. Als er geen risico is, of wanneer dit risico erg klein is, dan hoeft een datalek niet gemeld te worden. Dat kan bijvoorbeeld het geval zijn, wanneer een versleuteld bestand in handen van derden is gevallen. In alle andere gevallen dient een datalek gemeld te worden bij de Autoriteit Persoonsgegevens.

Daarnaast dienen ook de betrokkenen geïnformeerd te worden. Als het niet mogelijk is om iedereen persoonlijk te benaderen, of wanneer dit onevenredig hoge kosten met zich mee zou brengen, dan kan ook volstaan worden met een algemene mededeling, bijvoorbeeld op de eigen website.

Een datalek dient binnen 72 uur gemeld te worden bij de Autoriteit Persoonsgegevens. Je meldt dan de aard en omvang van de inbreuk, om welke gegevens het gaat, (ongeveer) het aantal betrokkenen, contactpersoon, de waarschijnlijke gevolgen en de maatregelen die zijn genomen om zo’n datalek in het vervolg te voorkomen.

Er dient een overzicht met datalekken bijgehouden te worden binnen de organisatie, met daarbij de maatregelen die zijn genomen om een dergelijk probleem in de toekomst te voorkomen.

Verwerkersovereenkomst

Voor de KLA gebruikers die met de Online versie werken dient er een contract tussen de KLA gebruiker en TopSoft te zijn met daarin de volgende zaken:

• Het onderwerp (ledenadministratie en eventueel boekhouding voor kerk of vereniging) en de duur (meestal onbepaalde tijd).
• Aard en doel: opslag van gegevens betreffende de leden, met als doel deze te kunnen benaderen voor de verzending van een blad, uitnodiging voor bijeenkomsten en het bijhouden van een financiële administratie betreffende contributie en/of giften.
• Soort persoonsgegevens en categorieën van betrokkenen (leden/donateurs).
• De rechten en verplichtingen van de verwerkingsverantwoordelijke (de KLA gebruiker).
• TopSoft verwerkt de persoonsgegevens door middel van de KLA software in opdracht van de cliënt en zal deze gegevens niet doorgeven aan een derde.
• Alleen gemachtigde medewerkers van TopSoft hebben toegang tot de gegevens.
• TopSoft zorgt voor een goede beveiliging van de gegevens.
• Eventuele datalekken worden over en weer meteen doorgegeven.
• Bij beëindiging van de overeenkomst worden de persoonsgegevens zo spoedig mogelijk verwijderd van de TopSoft computers.
• Wanneer TopSoft derden inschakelt, bijvoorbeeld voor clouddiensten, dan wordt hier ook een overeenkomst voor opgesteld, met dezelfde soort informatie als hierboven beschreven. De cliënt moet ervan in kennis gesteld worden, wanneer derden ingeschakeld worden.

Plichten voor de verwerker (TopSoft)

TopSoft handelt in opdracht van de gebruiker van KLA. Deze bepaalt wat wel en niet toegestaan is. TopSoft dient zich hier dan aan te houden. TopSoft dient net zo zorgvuldig met de gegevens om te gaan als de cliënt.

Verder dient er altijd een getekende verwerkersovereenkomst te zijn, waarin een en ander beschreven is.

TopSoft houdt een register van verwerkingsactiviteiten bij. Het betreft hier verwerkingen die door de cliënt aan TopSoft uitbesteed worden of die noodzakelijk zijn voor een goede werking van de systemen. Hiernaast zal TopSoft niet op eigen initiatief verwerkingen uitvoeren.

Rechten van betrokkenen

Een betrokkene (lid/donateur) heeft onder andere de volgende rechten:

• Recht op inzage van zijn gegevens. De gegevens mogen dan schriftelijk, elektronisch (bestand) of mondeling verstrekt worden. Dat laatste alleen als de betrokkene het daarmee eens is.
• Recht op correctie van de gegevens, als deze niet kloppen. Aan een verzoek om wijziging dient dan gehoor gegeven te worden.
• Recht op verwijdering. Iemand mag vragen zijn gegevens definitief te wissen. Er mag dan ook geen kopie op papier of in een back-up achterblijven. Dit wordt ook wel het “recht om vergeten te worden” genoemd. Bij een vereniging of kerk kan dit alleen samengaan met beëindiging van het lidmaatschap.
• Recht op beperking van de gegevensverwerking.
• Recht op verzet tegen de gegevensverwerking.

In het algemeen geldt dat binnen een maand gereageerd moet worden op een verzoek van een betrokkene. Als het niet lukt om binnen een maand aan de wensen van betrokkene te voldoen, dan dient in ieder geval gemeld te worden waarom dat niet lukt.

Vraag altijd om een legitimatie en bewaar hier (indien mogelijk) een kopie van. Wanneer informatie aan een ander dan de rechthebbende verstrekt wordt, dan creëer je juist een datalek. Bij mondeling verstrekken van informatie (via de telefoon bijvoorbeeld), altijd controleren of de persoon is wie hij beweert te zijn. Oppassen dus met het verstrekken van informatie.

Voor het verstrekken van informatie, op welke wijze dan ook, mogen geen kosten in rekening worden gebracht.

KLA op de eigen computer versus KLA Online

Wanneer KLA draait op de eigen computer, dan is de gebruiker van het pakket zelf verantwoordelijk voor de juiste beveiliging van de gegevens. KLA voorziet in een of meer gebruikersnamen en bijbehorende wachtwoorden. Deze gegevens kan de gebruiker zelf bewerken. Deze maatregelen zorgen er samen voor dat een onbevoegde niet bij de gegevens kan komen. TopSoft is in dit geval dus geen verwerker en er hoeft dan ook geen Verwerkersovereenkomst te zijn.

Bij gebruik van KLA Online ligt het anders. Hier draait de software niet op de eigen computer, maar op een server van TopSoft. In dit geval is TopSoft verwerker in de zin van de wet. Er moet een verwerkersovereenkomst zijn tussen de KLA Online gebruiker en TopSoft. TopSoft zorgt in dit geval voor beveiliging van de server en neemt maatregelen om toegang tot deze gegevens door onbevoegden te voorkomen.

TopSoft kan weer (een deel van) het werk uitbesteden. Bijvoorbeeld de hosting van KLA Online. Hiertoe sluit TopSoft dan een Subverwerkersovereenkomst, waarin vastgelegd wordt wat de rechten en plichten zijn van de Subverwerker (degene die de hosting uitvoert dus)

Wat doet TopSoft om te zorgen dat de persoonsgegevens uit handen van onbevoegden blijven?

• Inloggen in KLA via een gebruikersnaam en wachtwoord is noodzakelijk. Bij de online versie van KLA wordt zelfs tweemaal ingelogd: eerst op de server en daarna in KLA.
• Wanneer meerdere gebruikers toegang hebben tot dezelfde administratie, dan gebruiken deze allemaal een eigen inlogcode. Iedere inlogcode is gekoppeld aan bepaalde bevoegdheden. Hierdoor kan de toegang ook weer eenvoudig ingetrokken worden, wanneer een medewerker vertrekt of anderszins geen toegang meer heeft tot de ledenadministratie.
• In het geval men werkt met KLA Online, dan worden alle gegevens versleuteld verzonden via de online verbinding.
• De computers van TopSoft zijn voorzien van wachtwoorden bij het opstarten. De computer kan dus niet opgestart worden zonder dit wachtwoord.
• De computers van TopSoft zijn voorzien van de benodigde beveiligingssoftware, zoals een goede virusscanner en een firewall. Inbraak via Internet wordt zo voorkomen. Deze software wordt regelmatig vernieuwd om aan te sluiten bij de nieuwste stand van de techniek.
• KLA maakt gebruik van de “Native database van DataFlex”. Dit is een vrij onbekend systeem, waardoor kwaadwillenden niet gemakkelijk bij de gegevens kunnen komen.

Wat kan de gebruiker zelf doen om zich aan de regels te houden en een datalek te voorkomen?

• Plaats de computer in een af te sluiten en goed beveiligde ruimte.
• Houd de inlogcodes en wachtwoorden geheim. Dus geen geel briefje op de monitor bijvoorbeeld.
• Laat geprinte uitvoer niet slingeren. Vernietig een afdruk als deze niet meer nodig is.
• Gebruik rapporten waar de naam van de organisatie niet op staat.
• Verstuur geen informatie via de (onbeveiligde) e-mail. Als toch een rapport met persoonsgegevens verzonden wordt via de e-mail, versleutel dit dan, zodat het niet onderschept en door onbevoegden gelezen kan worden. Dit zorgt er meteen ook voor dat het rapport niet gelezen kan worden door iemand die het per ongeluk ontvangt door een verkeerde adressering.
• Werk niet met open postvakjes waar iedereen bij kan. Zorg dat deze afgesloten kunnen worden, zodat alleen degene die over de sleutel beschikt de geprinte informatie kan inzien.
• Houd niet meer gegevens bij dan nodig is. Bedenk bij ieder gegeven of het nodig is voor een bepaald doel. “Je weet maar nooit of je er nog eens iets aan hebt” is hierbij geen legaal doel.