Privacy

Het recht op privacy kun je eenvoudig omschrijven als iemands recht om met rust te worden gelaten. Dit betekent ook dat je niet zomaar iemands persoonlijke informatie mag gebruiken. Dit laatste noemen we het recht op de bescherming van persoonsgegevens.

Als tennisvereniging ben je wettelijk verplicht tot het beschermen van de persoonsgegevens van leden, vrijwilligers, en alle andere personen van wie je persoonsgegevens verwerkt. Privacywetgeving stelt daarvoor een aantal concrete regels. Om te begrijpen hoe je die regels naleeft, is het handig om enkele basisbegrippen te kennen. De belangrijkste begrippen lichten we hierna toe.

Een persoonsgegeven is ieder gegeven over een levende en identificeerbare persoon. Het gaat dus om álle informatie over een persoon. Het maakt daarbij niet uit of informatie ‘privé’, publiek bekend, oud of nieuw, relevant of juist volstrekt onbelangrijk is. Een paar voorbeelden van persoonsgegevens zijn iemands voor- en achternaam, woonplaats en adres, telefoonnummer, lidmaatschapsnummer, leeftijd, lichaamslengte, dieet, geslacht, seksuele voorkeur, e-mailadres en de herkenbare afbeelding in een foto of video.

Ook gegevens over iemands gedrag en voorspellingen daarvan kunnen persoonsgegevens zijn. Denk bijvoorbeeld aan iemands locatiegegeven of een analyse van iemands fysieke inspanning via populaire wearables en apps. Zulke gegevens zijn natuurlijk privacygevoelig.

We spreken van een persoonsgegeven als een gegeven herleidbaar is tot een persoon. Vaak is informatie eenvoudig gekoppeld aan een naam of aan een uniek nummer, zodat je een persoon direct kunt identificeren. Stel dat de secretaris van een vereniging Jan de Vries heet en gebruikmaakt van het e-mailadres jan.devries@sportvereniging.nl. Dan is dat e-mailadres een persoonsgegeven. Soms is identificatie weliswaar niet direct, maar wel indirect mogelijk. Denk bijvoorbeeld aan een teamfoto. Hoewel er misschien geen namen onder de teamfoto staan, kom je daar met een eenvoudige zoekopdracht via internet soms toch achter. De foto is in dat geval een persoonsgegeven.

Valt er écht niet te achterhalen op wie informatie betrekking heeft, dan is sprake van ‘anonimiteit’. In theorie is de privacywetgeving dan niet van toepassing, omdat er geen sprake is van een persoonsgegeven. De ervaring leert echter dat het vaak lastig is om te voorkomen dat informatie alsnog kan wordt gekoppeld aan een individu. Ga er dus nooit zomaar vanuit dat je privacywetgeving eenvoudig buitenspel zet.

Ter illustratie: een bekend misverstand is het ‘anonimiseren’ door informatie (zoals een deelnemerslijst of wedstrijduitslagen) te koppelen aan een lidnummer in plaats van een naam. Dat nummer leidt immers eenvoudig terug naar een achternaam, zodat ook het lidnummer en de daaraan gekoppelde informatie kwalificeren als persoonsgegevens. Dat slechts de vereniging in staat is tot het leggen van die koppeling, maakt daarbij niet uit.

Samenvattend: we raden aan om alle gegevens waarvan je vermoedt dat die herleidbaar zijn tot een persoon te behandelen alsof het persoonsgegevens zijn.

Om te weten in welke gevallen je rekening moet houden met privacywetgeving, moet je steeds nagaan of er sprake is van een verwerking van persoonsgegevens. Het begrip ‘verwerken’ is zeer breed. In feite is iedere handeling met een persoonsgegeven een verwerking. Denk dus aan het verzamelen, opslaan, bewaren, verplaatsen, wissen, doorsturen of aanpassen, maar ook aan het kwijtraken van persoonsgegevens. In dat laatste geval spreek je van een ‘datalek’.

Een belangrijke figuur in het privacyrecht is de betrokkene. Dit is de persoon op wie een persoonsgegeven betrekking heeft. Hij of zij is dus degene die door het privacyrecht wordt beschermd.

Naast de vraag of privacywetgeving een rol speelt, wil je natuurlijk ook weten wie zich vervolgens aan die regels moet houden bij een bepaalde verwerking. Dat is hoofdzakelijk één partij, namelijk degene die beslist over het doel van en de middelen voor die verwerking. We noemen deze partij de verwerkingsverantwoordelijke (of korter: verantwoordelijke). Je kunt de verantwoordelijke eigenlijk zien als de baas van een verwerking van persoonsgegevens: de verantwoordelijke bepaalt waarom en hoe bepaalde gegevens wel of juist niet worden gebruikt.

Voorbeeld van een verantwoordelijke

De tennisvereniging is in de praktijk verantwoordelijk voor vrijwel alle verwerkingen die zij uitvoert met de persoonsgegevens van haar leden. De vereniging bepaalt immers hoe en waarom bepaalde verwerkingen plaatsvinden (zoals ledenbeheer, facturatie en nieuwsvoorziening van leden, online publicaties door de vereniging, of de doorgifte van persoonsgegevens aan een sportbond of een sponsor).

Vaak worden dezelfde persoonsgegevens van een betrokkene door meerdere partijen verwerkt voor verschillende doeleinden. Deze partijen zijn doorgaans ieder zelfstandig verantwoordelijke voor wat zij zélf met die persoonsgegevens doen.

Voorbeeld

De persoonsgegevens van een lid (zoals een e-mailadres) zijn vaak niet alleen bekend bij de tennisvereniging, maar ook bij een sportbond of een koepelorganisatie. Deze organisaties streven vaak een eigen doel na bij het gebruik van die persoonsgegevens. Iedere partij blijft dan zelfstandig verantwoordelijk voor de naleving van privacywetgeving.

Let op: een sportbond is niet automatisch verantwoordelijk voor verwerkingen die plaatsvinden door derde partijen die dat doen voor hun eigen doeleinden, ook al heeft deze derde de persoonsgegevens wellicht verkregen via de sportbond.

Meestal kun je eenvoudig vaststellen wie verantwoordelijke is, maar er zijn ook complexere gevallen. Soms zijn er bijvoorbeeld meerdere organisaties betrokken bij dezelfde verwerking. Je bent dan ‘gezamenlijk verantwoordelijk’. Doet zo’n situatie zich voor en kun je niet vaststellen wat de rechten en plichten zijn van de vereniging, vraag dan om deskundig advies.

Tennisverenigingen maken tegenwoordig veel gebruik van bijvoorbeeld online ledenadministratie en marketingmailing-diensten. Daarbij worden vrijwel altijd persoonsgegevens verwerkt. De vereniging bepaalt in dat geval weliswaar het doel van de verwerking van die persoonsgegevens, maar de dienstverlener verzorgt de feitelijke uitvoering, zoals het ‘hosten’ van de gegevens. Een dienstverlener, zoals LISA en AllUnited, is in dat geval als een ‘verwerker’. Als verantwoordelijke ben je wettelijk verplicht tot het aangaan van een zogeheten verwerkersovereenkomst met deze verwerker. Je maakt daarin afspraken om ervoor te zorgen dat de verwerker zorgvuldig omgaat met de persoonsgegevens.

Voorbeeld verwerker

De tennisvereniging neemt de persoonsgegevens van haar leden op in een online ledenbeheersysteem. Dit systeem wordt aangeboden en gehost door een ICT-dienstverlener. De hosting gebeurt ten behoeve van de vereniging (en niet voor eigen doeleinden van de ICT-dienstverlener). De ICT-dienstverlener is dus verwerker, en de vereniging is verantwoordelijke voor de verwerkingen die plaatsvinden met het ledenbeheersysteem. De vereniging moet een verwerkersovereenkomst sluiten met de ICT-dienstverlener.

Als je vragen hebt over hoe LISA of AllUnited omgaat met gegevens dan kan je contact opnemen met LISA: support@knltb.club 085-0013364 en AllUnited: info@allunited.nl of 071-3641170. 

Neem ook een kijkje op onze pagina met de meestgestelde vragen.

Voor een vereniging is het (achter een inlog) publiceren van een ledenlijst in principe toegestaan, maar het is verstandig om de algemene ledenvergadering daarmee vooraf te laten instemmen. Wil je behalve namen ook contactgegevens (dus e-mailadres, telefoonnummers) in de lijst opnemen, kaart dit dan expliciet aan gedurende de ledenvergadering. Geef leden bovendien, net zoals bij het verstrekken van adresgegevens aan sponsoren, vooraf gelegenheid om zich tegen publicatie van contactgegevens (e-mailadres, telefoonnummer) te verzetten. Let er dus op dat uitsluitend leden toegang hebben tot de gepubliceerde ledenlijst.

Op deze pagina hebben we de belangrijkste vragen omtrent de informatieplicht op een rij gezet.

Een van die grondslagen is het verkrijgen van toestemming. Dat betekent dat vóór het maken en publiceren van de foto’s en/of video’s toestemming moet worden gevraagd van de gefotografeerde. Het vragen van toestemming is praktisch vaak niet werkbaar. Aan leden kun je weliswaar op het moment dat een lid zich aanmeldt bij de vereniging (eenmalig) toestemming vragen via een toestemmingsverklaring of via het inschrijfformulier, maar het vragen van toestemming aan niet-leden (zoals bezoekers/gasten/toeschouwers) is vaak ondoenlijk. Een tweede nadeel van de grondslag toestemming is dat deze weer kan worden ingetrokken door de gefotografeerde.

Het maken en publiceren van beeldmateriaal van herkenbaar in beeld gebrachte personen vindt door een vereniging dan ook in veel gevallen plaats onder de grondslag gerechtvaardigd belang. Het gerechtvaardigd belang is naast toestemming een grondslag om foto’s te maken en te publiceren. Daarbij moet je het belang van de vereniging (zoals promotie van de vereniging of wedstrijdverslaglegging/nieuwswaarde) afwegen tegen het privacybelang van de gefotografeerde. Wees erop bedacht dat bij de grondslag gerechtvaardigd belang de gefotografeerde een recht van bezwaar heeft. Geeft de gefotografeerde aan dat hij/zij niet meer wil dat de foto’s en/of video’s waarop diegene herkenbaar is gepubliceerd blijven, dan dien je dit verzoek serieus te nemen. Het is dan raadzaam om de desbetreffende foto's en/of video's te verwijderen. 
Verder nog een aantal tips:  

1. Leg de grondslag van het maken en publiceren van beeldmateriaal vast in de privacyverklaring;

2. Informeer bezoekers van de vereniging dat er (mogelijk) beeldopnamen worden gemaakt. Dat kan bijvoorbeeld door middel van het ophangen van een bordje bij de ingang van het park;

3. Houd rekening met de privacybelangen van de gefotografeerde door maatregelen te treffen (publiceer geen gênante en/of niet-relevante foto’s en plaats de foto’s – indien mogelijk – achter een login).’

Bij het plaatsen van webcams moet je de belangen van partijen altijd tegen elkaar afwegen. Weegt bijvoorbeeld de bespeelbaarheid van de banen zwaarder dan de privacy van de spelers? Met andere woorden: er moet een gerechtvaardigd belang zijn (over het algemeen de grondslag voor het plaatsen van webcams). Daarnaast moet je je ook altijd afvragen of het plaatsen van webcams noodzakelijk is of dat je het doel niet ook op een andere manier kunt bereiken, die minder ingrijpend is voor de privacy van de spelers.

Het is niet zwart-wit te zeggen in welke situaties het wel en niet geoorloofd is om een webcam op te hangen. Dit hangt af onder andere af van:

1. Het doel van de webcam (kijken of de banen bespeelbaar zijn)
2. De plek waar de webcam hangt (bijvoorbeeld: in een afgesloten of openbare ruimte)
3. De herkenbaarheid van de mensen op het beeld (bijvoorbeeld: geblurd of niet)
4. De toegankelijkheid van de beelden (bijvoorbeeld: via een openbare website of via een inlogcode)
5. De communicatie rondom het plaatsen van de webcam (bijvoorbeeld: is wel/niet duidelijk aangegeven)
6. De bewaartermijn van de beelden.

Belangrijkste is om je grondslag voor de verwerking te bepalen, een belangen afweging te maken, te kijken of er minder vergaande maatregelen mogelijk zijn om hetzelfde doel te bereiken en te voldoen aan je informatieplicht.

Nee, er moet geen verwerkersovereenkomst gesloten worden tussen de vereniging en de KNLTB. De KNLTB verwerkt namelijk geen persoonsgegevens in opdracht van de vereniging. De KNLTB en de verenigingen verwerken persoonsgegevens ieder voor een eigen doel en daarmee zijn zij gezamenlijk verantwoordelijke voor de verwerking van persoonsgegevens. De KNLTB verwerkt geen gegevens voor jullie doel, maar voor een eigen doel voor al onze eigen individuele leden. Dat wij gegevens aangeleverd krijgen via de verenigingen doet daar niets aan af. De KNLTB heeft dus een eigen verantwoordelijkheid om zich te houden aan de AVG voor zijn ledenbestand en de tennisverenigingen voor jullie eigen ledenbestand. Net als jullie vereniging sluit de KNLTB verwerkersovereenkomsten met organisaties die in opdracht van de KNLTB persoonsgegevens verwerken, zal de KNLTB een verwerkingsregister opstellen en beschikt de KNLTB over een privacyverklaring.

Hier vind je de belangrijkste juridische informatie over het versturen van e-mails en nieuwsbrieven aan leden.

Je vindt hier meer informatie over over de beveiliging van persoonsgegevens.

Persoonsgegevens van een uitgetreden lid bewaar je in principe niet langer dan twee jaren na het einde van het lidmaatschap. Voor informatie die valt onder de fiscale bewaarplicht geldt een langere bewaartermijn, namelijk zeven jaren. Overleg dus met de penningmeester binnen de vereniging welke gegevens daaronder vallen. Sommige informatie zal je wellicht voor statistische, wetenschappelijke of historische doeleinden langer willen bewaren. Dat mag, maar zorg wel dat deze langer bewaarde gegevens niet alsnog voor andere doeleinden worden gebruikt, en onderzoek in hoeverre je de gegevens kunt anonimiseren.

Bekijk deze pagina om te zien hoe de KNLTB omgaat met persoonsgegevens.