Onze vereniging wil de persoonlijke gegevens van haar leden zo goed mogelijk beschermen. Om die reden willen wij voldoen aan de Algemene Verordening Gegevensbescherming (AVG) die op 15 mei 2018 van kracht is geworden.
Met deze notitie willen wij onze leden informeren over de maatregelen die de vereniging heeft genomen om te voldoen aan de AVG. Tevens is deze notitie bestemd voor de Autoriteit Persoonsgegevens (AP) die er op toeziet dat onze vereniging inderdaad voldoet aan de AVG.
Huidige maatregelen
De vereniging hanteert en archiveert geen enkel gegeven op papier. Alle gegevens worden opgeslagen op onze website www.bijvoet.org. Deze website is vervaardigd in eigen beheer en eigendom van onze vereniging. Hierdoor zijn en blijven de persoonsgegevens van de leden altijd in eigen hand.
Persoonlijke gegevens van onze leden worden opgeslagen in de ledenlijst op onze website. Deze gegevens zijn uitsluitend toegankelijk voor de leden na inloggen. De gegevens worden uitsluitend gebruikt voor de communicatie tussen de leden onderling en de bedrijfsvoering van vereniging zoals bijvoorbeeld de financiële administratie. Als het lidmaatschap wordt beëindigd dan worden zijn/haar persoonsgegevens automatisch gelijktijdig verwijderd.
Op onze website is tevens het genealogische programma The Next Generation (TNG) geïnstalleerd. Voor zover dit programma gegevens van nog levende familieleden bevat, dan kunnen uitsluitend leden na inloggen meer gegevens zien dan naam en relatie van die familieleden.
Gedurende de {tip content="Als de vereniging of een lid de website www.bijvoet.org bezoekt worden er gegevens uitgewisseld via een digitaal kanaal. Op dat moment kunnen kwaadwilligen de gegevens onderscheppen en misbruiken. Door versleuteling van de gegevens is dit niet meer mogelijk."}interactie{/tip} tussen de leden en de website worden de persoonlijke gegevens van de leden beschermd door een CSS certificaat (HTTPS).
Men schrikt vaak van de zeer hoge boetes die genoemd worden als niet voldaan wordt aan de AVG. De Autoriteit Persoonsgegevens (AP) kan namelijk als maximum een boete opleggen van 20 Miljoen of 4% van de wereldwijde omzet. Deze hoge boetes zijn vooral bedoeld om multinationals af te schrikken die zich niet houden aan de AVG. Bovendien is de boete sterk afhankelijk van de ernst van de overtreding (zoals bijvoorbeeld het verkopen van medische dossiers).
Onze vereniging kent volgens de AVG slechts zogenaamde "gewone” persoonsgegevens en wat boetes betreft kan de toezichthouder ook volstaan met een berisping. Verder is onze vereniging weinig privacygevoelig en dan is de boete in ons geval slechts 2% van de omzet, ofwel circa 30 euro.
(Bron: https://ictrecht.nl)
Maatregelen waaraan onze vereniging moet voldoen volgens de AVG
Om na te gaan of onze vereniging voldoet aan de AVG is gebruik gemaakt van de website: https://autoriteitpersoonsgegevens.nl, met name de daarin opgenomen AVG-regelhulp. De regelhulp is te vinden via het pad Dossier AVG / Voorbereiding op de AVG.
Door onze vereniging is de AVG-regelhulp bestudeerd en is nagegaan of onze vereniging alle verplichte maatregelen genomen heeft om de privacy van onze leden te waarborgen.
De volgende punten uit de regelhulp bleken voor ons van belang:
- Het feit dat onze vereniging ‘gewone’ persoonsgegevens verwerkt betekent dat wij moeten voldoen aan de AVG. De aan ons gestelde eisen zijn niet hoog, omdat wij geen zogenaamde bijzondere of strafrechtelijke persoonsgegevens verwerken.
- De persoonsgegevens mag de vereniging verwerken vanwege verkregen toestemming van de leden en het feit dat deze gegevens nodig zijn voor communicatie naar de leden.
- Toestemming wordt verkregen via het aanmeldformulier als lid.
- Leden kunnen hun gegevens in de ledenlijst aanpassen of verwijderen
- Bij beëindiging lidmaatschap worden de gegevens verwijderd.
- Volgens de criteria in de AVG hebben onze leden geen hoog privacyrisico. De noodzaak om een Functionaris Gegevensbescherming (FG) aan te stellen is daarom niet aanwezig.
- De vereniging benut persoonlijke gegevens van de leden voor onderling contact en contact met de vereniging. Verwerking van de gegevens door de vereniging betreft alleen de financiële administratie. Door dit lage privacyrisico is een Data Protection Impact Assessment ({tip content="DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen."}DPIA{/tip}) niet noodzakelijk.
- Onze website is het enige communicatiemiddel van de vereniging en is privacyvriendelijk ontworpen en ingericht en worden uitsluitend bewaard op de website gedurende de periode dat ze lid zijn van de vereniging.
- We zijn verplicht een register bij te houden van onze verwerkingsactiviteiten. Het register bevat informatie over de persoonsgegevens die wij verwerken. Het register moet als de Autoriteit Persoonsgegevens (AP) daar om vraagt direct getoond kunnen worden. Zie: Register van verwerkingsaktiviteiten.
- Het beleid voor onze informatiebeveiliging wordt gevormd door de inhoud van deze notitie. Hieraan kan worden toegevoegd:
- Continu wordt door de websitehost VERIO een back-up gemaakt van de gehele website www.bijvoet.org.
- Onze website beschikt over een CSS certificaat (HTTPS).
- Omdat onze vereniging geen externe partijen kent die onze persoonsgegevens verwerken is het niet nodig om een 'verwerkersovereenkomst' op te stellen.
- De rechten van onze leden voor hun persoonsbeveiliging zijn onder meer:
- De leden kunnen na inloggen op de ledenlijst hun persoonlijke gegevens inzien en zelf inzien, rectificeren en aanvullen of verwijderen.
- Het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP) en het recht op inzage, wijzigen, wissen en het ontvangen van alle geregistreerde gegevens is opgenomen in de paragraaf ‘Disclaimer’ in de rubriek ‘Alles over onze vereniging’ van onze website.
- Het bestuur is verantwoordelijk voor de informatiebeveiliging en kent geen medewerkers of externe partijen om die verantwoordelijkheid te delegeren.
- Eenmaal per jaar wordt de informatiebeveiliging door een bestuurslid gecontroleerd en zo nodig bijgesteld aan de hand van de regelhulp behorend bij de AVG en deze notitie.
- De enige informatiedrager van onze vereniging is de website, die gebaseerd is op het CMS Joomla en het genealogisch programma TNG. Webhosting is uitbesteed aan VERIO Orem, Utah, U.S.A..
- De beveiliging van informatie op de website is als volgt geregeld:
- Alleen de bestuursleden van de vereniging bezitten inloggegevens voor het CMS en de informatie bij de webhost.
- Elke nieuwe versie van ons CMS Joomla en genealogisch programma TNG wordt zoveel mogelijk geïnstalleerd.
- Backups van de gehele website worden continu verzorgd door VERIO.
- Backups van de database behorend bij het CMS en het genealogisch programma TNG worden in eigen beheer gemaakt.
- Deze notitie is gepubliceerd op onze website in de rubriek ‘Alles over onze vereniging’. Alle maatregelen in verband met de persoonsbeveiliging zijn in deze notitie opgenomen. Derhalve is een separate privacyverklaring niet nodig.
- De gegevens die de leden verstrekken om lid te worden van de vereniging worden niet verder verwerkt en zijn dus altijd zichtbaar voor de leden in de ledenlijst. {tip content="Dataportabiliteit of gegevensoverdraagbaarheid betekent voor onze vereniging bijvoorbeeld dat de de persoonlijke gegevens van onze leden verkocht zouden worden aan een hierin geinteresseerde partij."}Dataportabiliteit{/tip} is derhalve niet aan de orde.
Opgesteld 18-5-2018 door het bestuur van de Bijvoet & Byvoet Familie v.z.w.