In de not-for-profit sector wordt steen en been geklaagd over de AVG, terwijl die sector enorme gegevensbeschermingsrisico’s voor burgers oplevert. Dat komt omdat de vaak veel te uitgebreide ledenlijsten en donateurslijsten interessant zijn voor criminelen en andere ongure types en omdat de cybersecurity bij dat soort organisaties vaak niet op orde is.

In gisteren besproken beantwoording van vragen over regeldruk bij not-for-profit organisaties komt dat thema ook aan bod. De staatssecretaris geeft aan dat gegevensbeschermingsregels ook voor vrijwilligersorganisaties gelden:

Vraag 8
Bent u bereid om met de Autoriteit Persoonsgegevens in gesprek te gaan over de mogelijkheden om AVG-verplichtingen voor kleine vrijwilligersorganisaties te verminderen en over het beter ondersteunen van vrijwilligersorganisaties bij het voldoen aan de AVG?



Antwoord op vraag 8:
De Algemene Verordening Gegevensbescherming (AVG) is een Europese verordening die vrijwilligers meer rechten en organisaties meer verantwoordelijkheid geeft om zorgvuldig met (digitale) persoonsgegevens om te gaan. De AVG heeft als doel om de gegevens van vrijwilligers en andere bij de organisaties betrokkenen te beschermen. Het verminderen van de AVG-verplichtingen staat niet ter discussie en is evenmin een onderwerp dat de Nederlandse regering ter discussie wil stellen. We zien daarom nu geen aanleiding om in gesprek te gaan met de Autoriteit Persoonsgegevens. Uit artikel 8 van het Handvest van de grondrechten van de Europese Unie wordt de bescherming van persoonsgegevens erkend als grondrecht. De AVG heeft tot doel kaders te stellen voor inbreuken op dat grondrecht. Vooral in een toenemend datagestuurde samenleving met toenemende digitalisering is een duidelijk en consistent wettelijk kader essentieel. Daarbij gelden voor organisaties die minder dan 250 personen in dienst hebben soepelere regels voor het bijhouden van een verwerkingsregister. Daarnaast biedt de Autoriteit Persoonsgegevens (AP) een stappenplan voor het Midden- en Kleinbedrijf om te helpen bij het voldoen aan de AVG.

Bij vrijwilligersorganisaties is het naar mijn idee simpel:

1. Verzamel zo weinig mogelijk (dataminimalisatie), want wat je niet hebt kan ook niet gestolen worden. Dus geen adressen, geboortedata en telefoonnummers als er geen reden voor is.
2. Gooi gegevens die je niet meer nodig hebt zo snel mogelijk (definitief) weg, want wat je niet meer hebt kan ook niet gestolen worden.
3. Zorg er voor dat niet iedereen bij alle persoonsgegevens kan. Zijn er veel persoonsgegevens, zorg dan voor screening van de mensen die er toegang toe hebben, bijvoorbeeld een VOG.
4. Kies je IT-leveranciers zorgvuldig, want ook zij kunnen met andermans persoonsgegevens aan de haal als het technisch niet goed geregeld is.