Zodra je namen en e-mailadressen verzamelt voor een activiteit, verwerk je persoonsgegevens. Dat klinkt zwaarder dan het is: de AVG verbiedt dat niet, hij stelt er voorwaarden aan. En die voorwaarden zijn voor een gemiddelde vereniging goed te doen.
Wat hieronder staat is de praktische versie: wat je mag vragen, hoe lang je het mag houden en wat je moet doen als iemand ernaar vraagt. Het is geen juridisch advies — bij twijfel, en zeker bij gezondheidsgegevens, is het verstandig om iemand mee te laten kijken die daar wél voor is opgeleid.
Vraag alleen wat je nodig hebt
Dit is de belangrijkste regel en meteen de makkelijkste om na te leven: je mag gegevens verzamelen die je nodig hebt voor het doel, en niet meer. “Handig om te hebben” is geen doel.
Voor een gewone activiteit heb je vrijwel altijd genoeg aan een naam en een e-mailadres. Een telefoonnummer is te verdedigen als je mensen op de dag zelf moet kunnen bereiken. Een geboortedatum alleen als er leeftijdsgrenzen of leeftijdscategorieën zijn.
Wat je vrijwel nooit nodig hebt: een volledig adres, een geslacht, of een burgerservicenummer. Dat laatste mag je als vereniging sowieso niet vragen. Loop je formulier langs en schrap elk veld waarvan je niet kunt uitleggen wat je ermee doet.
Bijzondere gegevens: extra voorzichtig
Sommige gegevens vallen in een zwaardere categorie. Gezondheid is daarvan de belangrijkste voor verenigingen — denk aan een allergie, een blessure of medicatiegebruik.
Voor dit soort gegevens gelden strengere regels. Je mag ze in de praktijk alleen verwerken met uitdrukkelijke toestemming, en je moet er zorgvuldiger mee omgaan dan met een e-mailadres: niet in een gedeeld bestand, niet in de groepsapp, alleen zichtbaar voor wie het echt moet weten.
Vraag je naar allergieën omdat je eten regelt, zeg dan ook precies dat: “vul dit alleen in als het voor de catering van belang is”. Dat scheelt je een berg informatie die je niet wilde hebben en die je wel moet beschermen.
Hoe lang mag je het bewaren?
De AVG noemt geen concreet aantal maanden. De regel is: zolang als nodig voor het doel waarvoor je het verzamelde. Zodra dat doel weg is, moeten de gegevens weg.
Voor een eenmalige activiteit is het doel na afloop op. Een praktische lijn die veel verenigingen aanhouden is: deelnemerslijsten opruimen binnen een paar maanden na het evenement, tenzij er een reden is om ze langer te houden.
Zo’n reden bestaat wel degelijk. Betaalde je deelnemers iets, dan hoort de administratie daarvan bij je boekhouding, en daarvoor geldt een fiscale bewaarplicht van zeven jaar. Dat gaat om de financiële administratie — niet om het complete inschrijfformulier met allergieën erbij.
Wat mensen van je mogen vragen
Deelnemers hebben een aantal rechten, en in de praktijk krijg je er drie:
- Inzage: iemand mag vragen welke gegevens je van hem hebt. Je moet daar binnen een maand op reageren.
- Rectificatie: kloppen de gegevens niet, dan pas je ze aan.
- Verwijdering: is er geen reden meer om ze te bewaren, dan moeten ze weg — ook uit je back-ups en uit dat bestand in je mailbox.
De drie plekken waar het in de praktijk misgaat
Bij verenigingen gaat het zelden mis in de software. Het gaat mis in de gewoonten eromheen.
Ten eerste: de mailbijlage. Iemand exporteert een deelnemerslijst en mailt hem naar drie bestuursleden. Die lijst staat nu in vier mailboxen, blijft daar jaren staan, en gaat mee als iemand zijn mail naar een nieuwe telefoon zet. Deel liever toegang tot één lijst dan kopieën van die lijst.
Ten tweede: de groepsapp. “Wie heeft er ook alweer een notenallergie?” in een app met veertig leden is een verwerking van gezondheidsgegevens waar veertig mensen bij kunnen. Doe dat één-op-één.
Ten derde: het bestuurslid dat vertrekt. Als de penningmeester van vorig jaar nog steeds alle deelnemerslijsten op zijn laptop heeft, klopt er iets niet. Toegang hoort te stoppen als de rol stopt — dat is een van de redenen om met accounts te werken in plaats van met bestanden.
En de foto’s van de dag zelf?
Bijna elke club maakt foto’s tijdens een activiteit en zet ze daarna op de website of in de nieuwsbrief. Ook dat zijn persoonsgegevens, en het is het onderwerp waar in de praktijk de meeste klachten over binnenkomen.
De veiligste route is toestemming vragen, en dat kan gewoon in je inschrijfformulier: één vinkje waarmee iemand aangeeft of hij op foto’s mag. Dat is één regel werk en het scheelt je een vervelend gesprek achteraf. Belangrijk daarbij: toestemming moet echt een keuze zijn. Een vinkje dat verplicht is om je te kunnen inschrijven, is geen toestemming.
Wees extra voorzichtig bij kinderen. Bij deelnemers onder de zestien geeft een ouder of verzorger de toestemming, niet het kind zelf.
En regel wat er gebeurt als iemand er later op terugkomt. Toestemming mag altijd worden ingetrokken, en dan moet de foto weg — ook van je socialmediakanalen. Zorg dus dat je weet wie waar op staat, of houd het bij overzichtsfoto’s waarop niemand herkenbaar op de voorgrond staat.
Wat je minimaal geregeld moet hebben
Je hoeft geen functionaris voor gegevensbescherming aan te stellen en geen dik beleidsdocument te schrijven. Dit is het minimum dat je wel wilt hebben.
Zet ergens op je inschrijfpagina of in je privacyverklaring welke gegevens je vraagt, waarvoor je ze gebruikt, hoe lang je ze bewaart en bij wie iemand terechtkan. Dat mag in gewone taal, en het mag kort.
Zorg dat er één plek is waar de gegevens staan, met toegang voor de mensen die het nodig hebben en voor niemand anders. En spreek af wie er na afloop opruimt — want dat is de stap die iedereen vergeet.