Algemene Verordening Gegevensbescherming (AVG)

Privacy en bescherming van persoonsgegevens

Voetbalvereniging DSC’65 verwerkt persoonsgegevens. Wij willen je hierover graag informeren.

Privacywetgeving en de AVG

Vanaf 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Deze nieuwe privacywet, internationaal de General Data Protection Regulation(GDPR) genoemd, geldt in de hele Europese Unie en gaat onder andereover het bewaren en beschermen van persoonsgegevens. De nieuwe Europese privacywetgeving heeft ook impact op DSC 65. Welke gevolgenheeft de wetgeving voor gebruik van persoonsgegevens?

Privacy statement en privacybeleid

In deze privacy verklaring geven wij antwoord op de belangrijkste vragen over de verwerking van persoonsgegevens door DSC’65. Wij leggen hierin uit welke rechten u heeft en hoe wij met uw persoonsgegevens omgaan. Heeft u vragen? Stel deze dan gerust per e-mail aan: info@dsc65.nl

Wat zijn persoonsgegevens?

Wanneer (een combinatie van) gegevens naar een persoon herleid kunnen worden spreken we van persoonsgegevens. Dat geldt voor bijvoorbeeld naam, (e-mail)adres en leeftijd. Maar ook voor bijvoorbeeld een combinatie van voornaam en geboortedatum. En ook foto’s en video’s worden gezien als persoonsgegevens. Wanneer anderen die persoonsgegevens hebben, moeten ze daar zorgvuldig mee omgaan.

Van wie verwerkt DSC’65 persoonsgegevens?

DSC’65 verwerkt persoonsgegevens van mensen met wie de vereniging direct of indirect een relatie heeft,wil krijgen of heeft gehad. Dat zijn bijvoorbeeld gegevens van:

• Leden en oud-leden van de voetbalvereniging.

• Donateurs en oud-donateurs van de voetbalvereniging.
• Personen die in dienst van de voetbalvereniging (vrijwilligers)taken vervullen, willen vervullen of hebben vervult.
• Personen die aan een bedrijf of organisatie verbonden zijn, waar de voetbalvereniging een relatie mee heeft, wil krijgen of heeft gehad.

Wie is verantwoordelijk voor de verwerking van persoonsgegevens?

DSC’65 is verantwoordelijk voor vrij wel alle verwerkingen die zij uitvoert met de persoonsgegevens van de leden. De vereniging bepaalt immers hoe en waarom bepaalde verwerkingen plaatsvinden (zoals ledenbeheer, innen van decontributie en nieuwsvoorziening van leden, online publicaties door de vereniging, of de doorgifte van persoonsgegevens aan een sportbond).

Vaak worden dezelfde persoonsgegevens van een betrokkene door meerdere partijen verwerkt voor verschillende doeleinden. Deze partijen zijn doorgaans ieder zelfstandig verantwoordelijk voor wat zij zélf met die persoonsgegevens doen.

DSC’65 deelt veel persoonsgegevens met de sportbond KNVB (via Sportlink). De KNVB is echter niet automatisch verantwoordelijke voor verwerkingen die plaatsvinden door derde partijen die dat doen voor hun eigen doeleinden, ook al heeft deze derde de persoonsgegevens wellicht verkregen bij de KNVB.

Wie is verantwoordelijk bij gebruikmaken van externe dienstverleners?

DSC’65 neemt de persoonsgegevens van de leden op in een ledenadministratie. Ook worden in Sportlink persoonsgegevens uitgewisseld, dit wordt aangeboden en gehost door een ICT-dienstverlener. De hosting gebeurt ten behoeve van de DSC’65(en niet voor eigen doeleinden van de ICT-dienstverlener). De ICT-dienstverlener is dus verwerker, en DSC’65 is verantwoordelijk voor de verwerkingen die plaats vinden binnen de ledenadministratie.Om te voorkomen dat DSC’65 verantwoordelijk is voor zaken waar geen invloed op kan worden uitgeoefend, moet DSC’65 een verwerkersovereenkomst sluiten met deze ICT-dienstverlener. Ook worden er gegevens gedeeld met v.v.Dalen ten aanzien van de SJO Dalen-DSC ook hiervoor zullen we een verwerkers overeenkomst sluiten.

Op weg naar overzicht

DSC’65 is verplicht zorgvuldig om tegaan met persoonsgegevens. De wet stelt daarvoor een aantal concrete eisen. Om de gevolgen daarvan te achterhalen heeft DSC’65 eerst vastgesteld hoe de vereniging persoonsgegevens zoal gebruikt. Die informatie is vastgelegd in een verwerkingsregister, zodat we per verwerking eenvoudig kunnen controleren of een gebruik van persoonsgegevens wel of niet is toegestaan en of de gebruikte gegevens niet te lang worden bewaard. Het bijhouden van een verwerkingsregister is vanaf 25 mei 2018 wettelijk verplicht.

Welke informatie wordt opgenomen in het verwerkingsregister?

Het register is een schematisch overzicht met essentiële informatie over de verwerkingen van persoonsgegevens binnen de vereniging. Het register geeft antwoord op de volgende vragen:

• Wat zijn de verschillende doeleinden waarvoor de vereniging persoonsgegevens verwerkt?

• Om welke persoonsgegevens gaat het?
• Wie zijn binnen de vereniging belast met deze verwerking?
• Op welke categorie personen hebben de gegevens betrekking (wie zijn de betrokkenen)?
• Hoe zijn betrokkenen geïnformeerd over deze verwerking?
• Welke IT-systemen worden gebruikt bij deze verwerking?
• Hoe lang worden de betreffende persoonsgegevens bewaard?
• Wat zijn in algemene bewoordingen de getroffen beveiligingsmaatregelen ter bescherming van de betrokken persoonsgegevens?

Informatiebeveiliging

Voetbalvereniging DSC’65 is zelfstandig verplicht om persoonsgegevens veilig te behandelen. Als gegevens bijvoorbeeld worden gestolen of ergens rondslingeren, kan dit vervelende gevolgen hebben voor betrokkenen.

Welke beveiligingsplicht is van toepassing?

DSC’65 moet passende maatregelen treffen om te voorkomen dat persoonsgegevens worden blootgesteld aan onrechtmatige verwerking. Informatie beveiliging is echter meer dan het beschermen tegen diefstal en virussen. De praktijk leert dat de meeste beveiligings-incidenten het gevolg zijn van niet-opzettelijk en nalatigheid, zoals bijvoorbeeld het rondslingeren van USB-sticks met leden- en deelnemerslijsten, of een computercrash waarbij persoonsgegevens definitief verloren gaan. Persoonsgegevens moeten worden beschermt tegen iedere vorm van verlies van beschikbaarheid,integriteit dan wel vertrouwelijkheid.

Welke maatregelen moeten worden getroffen?

Informatiebeveiliging draait om eenjuiste combinatie van zowel technische als organisatorische maatregelen, waarbij uiteindelijk de zwakste schakel telt.

Voorbeelden van technische maatregelen zijn:

• Het regelmatig doen wijzigen van wachtwoorden.
• Het regelmatig maken van back-ups.

Voorbeelden van organisatorische maatregelen zijn:

• Het invoeren van een geheimhoudingsplicht aan vrijwilligers/bestuurders.

Bij de te nemen maatregelen houdt DSC’65 rekening met de risico’s die met de verwerking van persoonsgegevens zijn verbonden. Bijzondere risicogebieden zijn bijvoorbeeld:

• De vertrouwelijkheid en beschikbaarheid van de verenigings administratie, met name de ledenadministratie.

• Communicatie met vertrouwenspersonen.
• Gegevens van (jeugd)leden.

Mogen persoonsgegevens op privé apparatuur worden geplaatst?

Het is niet ongebruikelijk dat bestuurders/vrijwilligers bij de vervulling van verenigingstaken gebruik maken van privé apparatuur. Dat is in principe mogelijk, maar DSC’65 blijft verantwoordelijk voor het veilige verloop van dit gebruik. Bij plaatsing van persoonsgegevens op privé apparatuur zijn de volgende regels van toepassing:

• De gebruiker moet antivirus software installeren en deze regelmatig updaten.

• De gebruiker moet deugdelijke toegangscodes instellen.
• Vermijd opslag op lokale harde schijven indien gebruik kan worden gemaakt van web-omgevingen (bijv. Google Apps, Office 365, online verenigingsadministratie etc.).
• Zorg dat te allen tijde een deugdelijke back-up beschikbaar blijft van de gegevens die op de privé apparatuur worden verwerkt.
• Beëindigt iemand zijn of haar verenigingstaken, dan dient ervoor gezorgd te worden dat deze persoon niet langer toegang heeft tot de gegevens.

Wat moet de vereniging doen in geval van een data-lek ?

Leidt een beveiligingsincident tot de vernietiging, verlies, wijziging of ongeoorloofde verstrekking/toegang, dan is mogelijk sprake van een datalek. Tenzij het data-lek waarschijnlijk geen nadelige gevolgen heeft voor de betrokken personen, moet het lek tijdig worden gemeld bij de Autoriteit Persoonsgegevens. Heeft het lek bovendien een hoog risico op nadelige gevolgen voor de personen wiens gegevens het betreft, dan moet het incident ook aan deze personen worden gemeld. Blijkt een data-lek achteraf ten onrechte niet tijdig te zijn gemeld, dan kan dit leiden tot oplegging van een fikse boete.

De privacyverklaring en het vragen van toestemming

DSC’65 is verplicht om betrokkenen teinformeren over de manier waarop wordt omgegaan met hun persoonsgegevens. Deze informatie kan beschikbaar worden gesteld viaeen zogeheten privacyverklaring. De informatieplicht geldt inprincipe voor alle verwerkingen binnen de vereniging, die zijn vastgelegd in het verwerkingsregister van de vereniging.

Wat wordt opgenomen in de privacyverklaring?

In de privacyverklaring wordt, in duidelijke bewoordingen, onder meer de volgende informatie opgenomen:

• De doeleinden waarvoor DSC’65 persoonsgegevens verwerkt.

• Hoe lang persoonsgegevens worden bewaard (of de criteria die DSC’65 hanteert voor het vaststellen van de bewaartermijn).
• Aan welke (categorieën) derden persoonsgegevens eventueel worden doorgegeven.
• De vermelding dat de betrokkene een gegeven toestemming voor een verwerking op ieder moment mag intrekken.
• De vermelding dat de betrokkene een verzoek kan indienen tot inzage, correctie, verwijdering van persoonsgegevens, en het recht heeft om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Indien de persoonsgegevens via een derde worden verkregen in plaats van rechtstreeks via de betrokkene,wordt tevens meegedeeld van welke bron de gegevens afkomstig zijn, enwelke categorieën persoonsgegevens het betreft.

Hoe wordt de privacyverklaring beschikbaar gesteld?

De betrokkene wordt voorafgaand aan het vastleggen van zijn of haar persoonsgegevens geïnformeerd. Wanneer iemand zich bijvoorbeeld online aanmeldt als verenigingslid wordt deze op het formulier duidelijk naar de privacyverklaring verwezen met een hyperlink, als volgt: “DSC’65 verwerkt uw persoonsgegevensconform de privacyverklaring”. Gebeurt de aanmelding niet onlinemaar ter plaatse, dan wordt op het papier verwezen naar de privacyverklaring welke dan tevens (online)beschikbaar is.

Wanneer is toestemming nodig voor de verwerking van persoonsgegevens?

Persoonsgegevens mogen slechts inbepaalde gevallen worden verwerkt. Eén van deze gevallen is dat de betrokkene uitdrukkelijk toestemming geeft. Toestemming is echter niet nodig voor iedere verwerking. Denk bijvoorbeeld aan verwerkingen die voor DSC’65 noodzakelijk zijn om uitvoering te geven aan de lidmaatschapsovereenkomst met leden.

Voorbeelden waarvoor DSC’65 toestemming nodig heeft zijn:

• De verzending van reclame per e-mail aan leden door verenigingssponsoren.

• Het analyseren van iemands online gedrag (bijvoorbeeld door het gebruik van cookies of locatiegegevens).
• De plaatsing van foto’s van jeugdspelers op een publiek toegankelijke website.

Waarop moet worden gelet bij het gebruik van toestemming?

Wanneer DSC’65 persoonsgegevens verwerkt op basis van toestemming, moet met het volgende rekening worden gehouden:

• Stilzwijgende toestemming is niet voldoende. Een checkbox bijvoorbeeld die automatisch staat aangevinkt moet worden vermeden; actieve instemming van de betrokkene is vereist.

• Toestemming is slechts geldig als deze uit vrije wil door de betrokkene is gegeven. Heeft de betrokkene dus feitelijk geen keus, dan is van geldige toestemming geen sprake.
• Toestemming voor de verwerking van gegevens van een persoon die nog geen 16 jaar oud is, moet worden gevraagd aan de ouder/voogd.
• Een verkregen toestemming moet worden vastgelegd. DSC’65 moet achteraf kunnen aantonen dat een zekere toestemming daadwerkelijk is verleend.
• Een betrokkene heeft het recht om een gegeven toestemming op ieder moment in te trekken.

Marketing en online publicatie

Ook ten aanzien van marketing en online publicatie zijn privacyregels van toepassing.

Het SPAM-verbod

Het SPAM-verbod houdt in dat DSC’65 iemand geen ongevraagde elektronische berichten mag sturen, tenzij deontvanger daar vooraf mee instemt. Hieronder vallen bijvoorbeeld niet enkel typische reclame boodschappen, maar ook nieuwsbrieven.

Hoe zit het met het sturen van gewone nieuwsbrieven aan eigen leden?

Op het versturen van reguliere nieuwsbrieven aan leden is het SPAM-verbod niet van toepassing.DSC’65 moet leden immers regelmatig kunnen informeren (bijvoorbeeld vanwege uitnodiging Algemene Leden Vergadering). Maar, voorcommerciële boodschappen is wél toestemming nodig van de ontvanger,lid of niet.

Hoe zit het met het sturen van gemengde nieuwsbrieven aan leden?

DSC’65 stuurt geen berichten aan leden met daarin zowel verenigingsinformatie als commerciële boodschappen(zoals bijvoorbeeld een kortingsactie van een sponsor). Mocht dat in de toekomst wel gebeuren, dan zal daartoe vooraf toestemming worden gevraagd.

Moet in iedere nieuwsbrief een uitschrijflink zijn opgenomen?

Ja, iedere ontvanger moet zich eenvoudig kunnen afmelden voor het ontvangen van ongevraagde elektronische berichten.

Contactgegevens delen met sponsoren

Mochten sponsoren DSC’65 verzoeken om adresgegevens van verenigingsleden te verstrekken, omdat zij deze verenigingsleden individueel willen kunnen benaderen met commerciële mededelingen, dan is het de DSC’65 onder bepaalde omstandigheden toegestaan om adresgegevens (naam, adres, woonplaats) met hen tedelen.

Moeten leden instemmen met het doorgeven van adresgegevens aan sponsoren?

Ja, maar individuele toestemming is niet noodzakelijk. DSC’65 kan de doorgifte van adresgegevens namelijk ook in algemene zin laten goedkeuren door de algemeneledenvergadering. Na een dergelijke instemming is individuele toestemming van ieder lid niet langer nodig. Wel moet DSC’65 haarleden op voorhand duidelijk meedelen dat ieder lid gedurende een bepaalde periode eenvoudig bezwaar kan maken tegen de verstrekking van zijn of haar eigen adresgegevens. DSC’65 kan leden daarover informeren via bijvoorbeeld mail of de eigen website. In een voorkomend geval zal DSC’65 leden vier weken de kans bieden voor het kenbaar maken van hun eventuele bezwaren.

Mag de vereniging ook e-mailadressen van leden verstrekken aan sponsoren?

Voor het verzenden van ongevraagde elektronische berichten is uitdrukkelijke toestemming nodig van de ontvanger. Beschikt een sponsor niet over dergelijke individueletoestemming, dan mag DSC’65 geen e-mailadressen van deze ontvangers verstrekken aan deze sponsor.

Online publicaties

Wat zijn de regels omtrent het maken en publiceren van foto’s en video’s?

Foto’s en video’s met een herkenbaar in beeld gebrachte betrokkene zijn meestal persoons-gegevens. Voor het maken en publiceren ervan heeft DSC’65 daarom vaak toestemming nodig van de betrokkene, zeker als het gaat om een minderjarig persoon. Toestemming ten aanzien van iemand die nog geen 16 jaar oud is, moet worden gevraagd aan de ouder/voogd.

Let op: iemand die toestemming geeft voor het maken van een foto, geeft daarmee niet per definitie toestemming voor de publicatie ervan. Een herkenbaar in beeldgebrachte persoon heeft in sommige gevallen het recht om zich te verzetten tegen publicatie van dergelijke beelden. In de regel zal DSC’65 gehoor geven aan een dergelijk verzoek.

DSC’65 zorgt ervoor dat leden en toeschouwers zijn geïnformeerd over eventuele beeldopnamen.

Gelden dit soort regels ook op sociale media?

Ook op sociale media is DSC’65 verantwoordelijk voor het publiceren van persoons- gegevens (zoals foto’s). DSC’65 zal derhalve goed overwegen welke publicaties wel/niet wenselijk zijn, en dit indien van toepassing onderwerp van discussie maken in de leden- vergadering. De kern is uiteindelijk dat de privacy is geborgd van leden/personen die dergelijke publiciteit liever mijden, en dat DSC’65 adequaat omgaat met eventuele klachten en verzoeken.

Links naar andere websites

De website kan links naar andere websites bevatten. Deze Privacyverklaring is alleen van toepassing op de websites van DSC 65. Andere websites kunnen hun eigen privacybeleid hanteren. DSC ’65 raadt u aan om voor het gebruik van andere websites altijd de betreffende privacyverklaring van die websites te raadplegen.

Wijzigingen in het privacy beleid

DSC’65 past haar privacybeleid van tijd tot tijd aan om deze up-to-date te houden. Op de websites zal steeds de meest recente versie van onze privacyverklaring worden opgenomen. DSC ’65 raadt u dan ook aan de privacyverklaring regelmatig te raadplegen. Bij belangrijkewijzigingen zal DSC ’65 er alles aan doen u per e-mail en via de websites te informeren.

Klacht over de verwerking van uw Persoonsgegevens

Natuurlijkhelpen wij u ook graag verder als u een klacht heeft over deverwerking van uw persoonsgegevens. Op grond van de AVG heeft u bovendien het recht om een klacht in te dienen bij de AutoriteitPersoonsgegevens over onze verwerkingen van uw persoonsgegevens. U kunt hiervoor contact opnemen met de Autoriteit Persoonsgegevens.

Heeft u nog vragen, mail gerust: info@dsc65.nl

versie 1, 20 november 2018,Dalerveen