AVG en je ledenadministratie: wat je écht moet regelen

Het uitgangspunt van de AVG is dataminimalisatie: je legt vast wat je nodig hebt voor een concreet doel, en niet meer. Voor een sportclub is dat doel meestal helder: je moet het lidmaatschap kunnen uitvoeren. Daar heb je een naam, contactgegevens, een geboortedatum, het abonnement en de betaalgegevens voor nodig. Die grondslag heet "uitvoering van de overeenkomst" en die heb je gewoon.

Waar het misgaat, is bij gegevens die je vastlegt omdat ze handig zijn. Een notitie over de werkgever van een lid, een opmerking over waarom iemand is gestopt, een foto die je "misschien nog eens" voor social media wilt gebruiken. Handig is geen grondslag. Wil je iets vastleggen dat niet nodig is voor het lidmaatschap, dan heb je toestemming nodig, en die moet vrij gegeven en intrekbaar zijn.

Wil je beeldmateriaal van leden gebruiken voor je marketing, regel dat dan apart en expliciet. Een vinkje in het inschrijfformulier dat leden niet kunnen weigeren zonder ook het lidmaatschap te weigeren, is geen geldige toestemming.

Hier gaan de meeste clubs de mist in, en meestal met de beste bedoelingen. Een coach noteert bij een lid dat de knie kwetsbaar is, dat iemand zwanger is, of dat er een hartprobleem speelt. Dat is precies het soort informatie dat je nodig hebt om veilig te kunnen trainen.

Het punt is dat dit bijzondere persoonsgegevens zijn. Gezondheidsgegevens vallen onder een strenger regime dan een e-mailadres. Ze mogen niet zomaar worden vastgelegd; daarvoor heb je uitdrukkelijke toestemming van het lid nodig, en dat lid moet weten wat je vastlegt, waarom, en wie het kan zien.

Wat betekent dat praktisch? Vraag bij de intake expliciet toestemming om gezondheidsinformatie vast te leggen, en leg uit dat het bedoeld is om veilig te kunnen trainen. Beperk wie het kan zien tot de mensen die het nodig hebben, dus de coach die met dit lid werkt, niet iedereen met een inlog. Een systeem met rollen en rechten is hier geen luxe maar een AVG-maatregel: het verschil tussen "de balie kan alle medische notities lezen" en "alleen de coach van dit lid" is precies wat een toezichthouder wil zien.

Er is geen enkele bewaartermijn die voor alles geldt, en dat is waar de verwarring vandaan komt. Je hebt met twee verschillende regimes te maken die je uit elkaar moet houden.

Je financiële administratie valt onder de fiscale bewaarplicht: facturen, betalingen en je grootboek bewaar je zeven jaar. Daar heb je geen keuze in, en dat gaat vóór op een verzoek van een lid om alles te wissen. Een oud-lid dat vraagt om verwijdering, kan niet eisen dat je zijn facturen uit je boekhouding haalt.

Je ledendossier is iets anders. Zodra iemand geen lid meer is, verdwijnt de grondslag om zijn gegevens te blijven gebruiken. Bepaal zelf een redelijke termijn, documenteer die, en houd je eraan. Veel clubs kiezen voor een beperkte periode na de opzegging, zodat een terugkerend lid niet opnieuw alles hoeft in te vullen, en verwijderen daarna. Gezondheidsgegevens verwijder je zo snel als redelijk is; die wil je niet jaren na dato nog in je systeem hebben staan.

Het belangrijkste is dat je een keuze maakt en die vastlegt. Een club die "we bewaren alles voor altijd" hanteert, heeft geen beleid maar een risico.

Zodra je software gebruikt waarin ledengegevens staan, verwerkt die leverancier persoonsgegevens namens jou. Jij bent de verwerkingsverantwoordelijke, zij zijn de verwerker. Daar hoort een verwerkersovereenkomst bij, en die is niet optioneel.

Daarin staat wat de leverancier met jouw data mag doen, welke beveiligingsmaatregelen er zijn, waar de gegevens worden opgeslagen en wat er gebeurt als het contract stopt. Let bij het kiezen van een aanbieder op drie dingen: worden de gegevens binnen de EU verwerkt, krijg je een verwerkersovereenkomst zonder erom te hoeven bedelen, en kun je je data er zelf uit exporteren?

Dat laatste is niet alleen een AVG-punt maar ook een praktisch punt: een aanbieder die je data moeilijk teruggeeft, is een aanbieder waar je later niet zonder gedoe weg komt. Onze eigen verwerkersovereenkomst en privacyverklaring staan gewoon online, zodat je ze kunt lezen voordat je met ons praat.

Je leden hebben rechten, en die zijn concreter dan ze klinken. Een lid mag vragen welke gegevens je van hem hebt (inzage), mag een fout laten corrigeren, en mag onder voorwaarden verwijdering vragen. In de praktijk komt dit zelden voor, maar als het gebeurt moet je het binnen een maand afhandelen. Zorg dus dat je een ledendossier hebt waar je die informatie zo uit haalt, in plaats van dat je door vier systemen moet spitten.

Gaat er iets mis, dan heet dat een datalek: een gestolen laptop, een ledenlijst die per ongeluk naar de verkeerde persoon is gemaild, een inbraak bij je leverancier. Je bent verplicht een datalek met risico voor je leden binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, en bij hoog risico ook de leden zelf te informeren. Houd daarnaast een intern register bij van incidenten, ook de kleine.

De praktische kant hiervan is minder eng dan het klinkt: hoe minder gegevens je hebt en hoe strakker je rechten hebt ingericht, hoe kleiner elk lek is. Dataminimalisatie is niet alleen een regel, het is je beste bescherming.