Koninklijke Wandelbond Nederland verwerkt persoonsgegevens van bijvoorbeeld leden, sporters, vrijwilligers, evenement- en actiedeelnemers, medewerkers en andere betrokkenen. Wij vinden het belangrijk om zorgvuldig met deze gegevens om te gaan. Hier lees je onze uitgangspunten als het gaat om ons privacy beleid, wie waarvoor verantwoordelijk is en hoe we omgaan met persoonsgegevens in de praktijk.
De bescherming van persoonsgegevens is in toenemende mate een belangrijk thema. Dit betekent dat leden, medewerkers, partners, sporters, fans etc. het vertrouwen willen hebben dat Koninklijke Wandelbond Nederland zorgvuldig omgaat met hun persoonsgegevens. Vanzelfsprekend houden we ons aan de geldende privacywetgeving in Nederland. Echter, biedt die wetgeving alleen een kader en moet Koninklijke Wandelbond Nederland dat kader voor haar eigen organisatie invullen (het privacybeleid). Overigens is het ook van belang dat we dat beleid op een begrijpelijke wijze kunnen uit te leggen aan onze medewerkers, zodat zij op een zorgvuldige manier omgaan met persoonsgegevens en het vertrouwen van betrokkenen niet schaden. Het beleid helpt medewerkers om op een zorgvuldige en consistente manier met persoonsgegevens te werken. Voor vragen over privacy of dit beleid kan contact worden opgenomen via info@kwbn.nl.
Persoonsgegeven
Een persoonsgegeven is elk gegeven over een natuurlijke persoon dat direct over iemand gaat en naar die persoon te herleiden is. Voorbeelden van persoonsgegevens zijn voor- en achternaam, adres, telefoonnummer, e-mailadres, geboortedatum en geslacht.
Bijzondere persoonsgegevens
Bijzondere categorieën van persoonsgegevens, die door hun aard bijzonder gevoelig zijn, als bedoeld in art. 9 AVG. Voorbeelden zijn gegevens die iets zeggen over iemands gezondheid, ras, godsdienst of seksuele leven, maar ook een lidmaatschap van een vakvereniging.
Strafrechtelijke persoonsgegevens
Persoonsgegevens die betrekking hebben op strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen, zoals bedoeld in artikel 10 AVG en artikel 1 UAVG, waaronder gegevens die zodanig concrete feiten en omstandigheden bevatten dat zij een bewezenverklaring van een strafbaar feit in de zin van artikel 350 Sv kunnen dragen. Er gelden speciale regels voor het verwerken van strafrechtelijke persoonsgegevens.
Gevoelige persoonsgegevens
In de AVG staat expliciet benoemd dat bijzondere persoonsgegevens en strafrechtelijke gegevens zó gevoelig zijn dat daarvoor speciale regels nodig zijn. Er zijn ook gegevens die niet expliciet in de AVG zijn benoemd als gevoelig, maar die wel een grotere impact hebben op iemands privacy dan gewone persoonsgegevens. Persoonsgegevens die als privacygevoelig worden beschouwd, zijn bijvoorbeeld locatiegegevens, financiële gegevens en het Burgerservicenummer (BSN).
Verwerken
Omvat alle handelingen die kunnen worden verricht met persoonsgegevens. Dit kan zijn het verzamelen, vastleggen, bewaren, wijzigen, lezen, printen, doorsturen, combineren, afschermen, (uit)wissen en vernietigen van gegevens. Praten over persoonsgegevens is op zichzelf nog geen verwerking, maar het vastleggen van een gesprek in een notitie of het opnemen van een gesprek is dat wel.
Betrokkene
Een betrokkene is de natuurlijke persoon waarvan de persoonsgegevens worden verwerkt.
Verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke is de organisatie die beslist waarom en waarvoor persoonsgegevens moeten worden verwerkt.
Verwerker
De verwerker is de organisatie die persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke verwerkt.
Datalekken
Een datalek is het ongeoorloofd beschikbaar stellen, wijzigen, vernietigen of kwijtraken van persoonsgegevens, evenals het ongepland verliezen van toegang tot persoonsgegevens.
Privacy
Naleven artikel 10 van de Grondwet ‘Eerbiediging persoonlijke levenssfeer’, het in overeenstemming met de AVG verwerken van persoonsgegevens, het verantwoord omgaan met overige vertrouwelijke gegevens.
Governance
Besturen en de wijze waarop dit gebeurt, tevens toezicht op dit ‘besturen’, verdere belangrijke termen: bedrijfsvoering, afspraken, werkwijzen, koers in de gaten houden, bewaken.
Het doel van dit privacybeleid is om:
2.1 Toepassingsgebied
Dit privacybeleid geldt voor alle werkzaamheden van Koninklijke Wandelbond Nederland waarbij persoonsgegevens worden verwerkt, zowel digitaal als op papier. Dit betekent dat het beleid van toepassing is op:
2.2 Wet- en regelgeving
Koninklijke Wandelbond Nederland houdt zich bij de verwerking van persoonsgegevens aan de Algemene Verordening Gegevensbescherming (AVG) en de bijbehorende Nederlandse wetgeving (zoals de UAVG). Voor specifieke verwerkingen van gevoelige gegevens, zoals het verwerken van strafrechtelijke persoonsgegevens in het kader van meldingen, gelden aanvullende eisen, bijvoorbeeld het Protocol CMSS.
2.3 Aanvullende afspraken en documenten
Dit privacybeleid bevat de belangrijkste uitgangspunten voor het omgaan met persoonsgegevens binnen Koninklijke Wandelbond Nederland. Indien nodig kunnen aanvullende afspraken of werkinstructies worden opgesteld, bijvoorbeeld over datalekken of informatiebeveiliging. Als deze aanwezig zijn, sluiten zij aan op dit beleid.
2.4 Inwerkingtreding en evaluatie
Dit privacy beleid treedt in werking na vaststelling door directie. Het beleid wordt periodiek geëvalueerd en aangepast wanneer dat nodig is, bijvoorbeeld bij wijzigingen in wetgeving of in de werkzaamheden van de organisatie.
Binnen Koninklijke Wandelbond Nederland gaan wij zorgvuldig om met persoonsgegevens. Daarbij hanteren wij de volgende praktische uitgangspunten:
Extra zorg bij gevoelige persoonsgegevens
Binnen Koninklijke Wandelbond Nederland kunnen in sommige gevallen gevoelige persoonsgegevens worden verwerkt, bijvoorbeeld gezondheidsgegevens van sporters of gevoelige gegevens van melders van integriteitsschendingen. Met deze gegevens gaan wij extra zorgvuldig om. De toegang tot deze gegevens is strikt beperkt tot personen die uit hoofde van hun functie bevoegd zijn om kennis te nemen van deze gegevens en wij zijn terughoudend in het delen hiervan. Ook zorgen wij ervoor dat deze gegevens adequaat worden beveiligd en niet langer worden bewaard dan noodzakelijk.
Tot slot
Bij twijfel over het gebruik van persoonsgegevens geldt binnen Koninklijke Wandelbond Nederland altijd het volgende uitgangspunt: ga zorgvuldig om met gegevens, deel niet meer dan nodig is en vraag advies als je het niet zeker weet.
Wij verwachten van alle medewerkers en betrokkenen dat zij hier bewust mee omgaan en elkaar hierop aanspreken.
Binnen Koninklijke Wandelbond Nederland is iedereen verantwoordelijk voor een zorgvuldige omgang met persoonsgegevens. Om dit goed te organiseren zijn de volgende rollen en verantwoordelijkheden afgesproken.
4.1 Directie
De directie is eindverantwoordelijk voor de verwerking van persoonsgegevens binnen de organisatie. Zij zorgen ervoor dat:
4.2 Verantwoordelijke voor privacy
Binnen Koninklijke Wandelbond Nederland is Luuk van Bergen, Teamlead Service & Support aangewezen als aanspreekpunt voor privacy.
Deze persoon:
4.3 Medewerkers en vrijwilligers
Iedereen die werkt voor Koninklijke Wandelbond Nederland is verantwoordelijk voor een zorgvuldige omgang met persoonsgegevens. Dit betekent dat zij:
4.4 Gebruik van externe partijen
Als Koninklijke Wandelbond Nederland samenwerkt met externe partijen die persoonsgegevens verwerken, maakt zij hierover duidelijke afspraken. Waar nodig worden deze afspraken vastgelegd in een verwerkersovereenkomst.
Binnen Koninklijke Wandelbond Nederland verwerken wij persoonsgegevens om onze activiteiten te organiseren, zoals lidmaatschap, competities, opleidingen en evenementen.
Wij gaan hier zorgvuldig mee om en gebruiken persoonsgegevens alleen wanneer dat nodig is.
5.1 Wanneer mogen wij persoonsgegevens gebruiken?
Koninklijke Wandelbond Nederland verwerkt persoonsgegevens alleen wanneer daar een geldige reden voor is, zoals bedoeld in de Algemene Verordening Gegevensbescherming (AVG). Dit betekent dat er altijd een wettelijke grondslag moet zijn.
De AVG kent de volgende grondslagen voor het verwerken van persoonsgegevens:
Binnen Koninklijke Wandelbond Nederland worden persoonsgegevens in de praktijk vooral verwerkt omdat dit nodig is voor het lidmaatschap of deelname aan sportactiviteiten, zoals competities, opleidingen en evenementen (uitvoering overeenkomst). Ook kan het nodig zijn om gegevens te verwerken om te voldoen aan wettelijke verplichtingen, of omdat iemand hiervoor toestemming heeft gegeven, bijvoorbeeld voor het gebruik van foto’s of het ontvangen van nieuwsbrieven.
Daarnaast kan Koninklijke Wandelbond Nederland persoonsgegevens verwerken wanneer dit nodig is voor het goed functioneren van de organisatie, bijvoorbeeld voor het organiseren van wedstrijden of het waarborgen van een veilige sportomgeving (gerechtvaardigd belang). Wanneer Koninklijke Wandelbond Nederland persoonsgegevens verwerkt op basis van een gerechtvaardigd belang, wordt altijd vooraf een korte afweging gemaakt. De verantwoordelijke voor privacy (onder verantwoordelijkheid van de directie of het bestuur) beoordeelt daarbij in ieder geval:
De uitkomst van deze afweging wordt schriftelijk vastgelegd, bijvoorbeeld in een kort document of notitie.
Koninklijke Wandelbond Nederland verwerkt nooit meer persoonsgegevens dan noodzakelijk voor het doel waarvoor ze worden gebruikt.
5.2 Informeren van betrokkenen (privacyverklaring)
Koninklijke Wandelbond Nederland vindt het belangrijk dat betrokkenen weten hoe wij met hun persoonsgegevens omgaan. Daarom informeren wij hen op een duidelijke en toegankelijke manier, bijvoorbeeld via een privacyverklaring op de website, bij inschrijfformulieren of bij deelname aan activiteiten.
In de privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom wij dit doen en hoe wij hiermee omgaan. Ook geven wij aan hoe lang wij gegevens bewaren, met wie wij gegevens delen en welke rechten betrokkenen hebben.
Koninklijke Wandelbond Nederland zorgt ervoor dat deze informatie begrijpelijk en gemakkelijk te vinden is. Zo kunnen betrokkenen zelf nagaan wat er met hun gegevens gebeurt en waar zij terecht kunnen met vragen.
In sommige gevallen werken wij samen met andere partijen, zoals NOC*NSF of organisatoren van evenementen. Wanneer daarbij persoonsgegevens worden gedeeld of gezamenlijk worden verwerkt, maken wij afspraken over wie welke informatie verstrekt. Waar mogelijk stemmen wij privacyverklaringen op elkaar af, zodat betrokkenen een duidelijk en consistent beeld krijgen.
5.3 Rechten van betrokkenen
Betrokkenen van wie wij gegevens verwerken hebben rechten, zoals:
Verzoeken van betrokkenen kunnen via verschillende kanalen bij Koninklijke Wandelbond Nederland binnenkomen, bijvoorbeeld per e-mail, telefonisch of via andere contactmomenten.
Wij zorgen ervoor dat dergelijke verzoeken binnen de organisatie worden herkend en op de juiste manier worden opgepakt. Medewerkers die een verzoek ontvangen, zorgen ervoor dat dit wordt doorgegeven aan de verantwoordelijke voor privacy.
Hoewel verzoeken via verschillende kanalen kunnen worden ingediend, kan Koninklijke Wandelbond Nederland betrokkenen vragen om het verzoek via een vast contactpunt (bijvoorbeeld e-mail) te bevestigen. Dit helpt om het verzoek zorgvuldig en volledig te kunnen afhandelen.
Wij controleren daarbij of het verzoek van de juiste persoon komt, zodat gegevens niet aan onbevoegden worden verstrekt. De manier waarop wij de identiteit controleren, stemmen wij af op de gevoeligheid van de gegevens. Bij minder gevoelige gegevens, zoals gegevens in de ledenadministratie, kan verificatie bijvoorbeeld plaatsvinden aan de hand van bekende gegevens zoals een lidmaatschapsnummer of contactgegevens. Bij meer gevoelige persoonsgegevens voeren wij een strengere controle uit. Dit kan bijvoorbeeld betekenen dat wij aanvullende informatie opvragen of vragen om een identiteitsbewijs.
Bij de afhandeling van verzoeken houdt Koninklijke Wandelbond Nederland rekening met wettelijke verplichtingen en de belangen van anderen. Dit kan betekenen dat wij niet altijd volledig aan een verzoek kunnen voldoen.
Binnen de organisatie zorgen wij ervoor dat verzoeken op een zorgvuldige en consistente manier worden behandeld. De termijn voor het behandelen van een verzoek start op het moment dat het verzoek bij Koninklijke Wandelbond Nederland is binnengekomen. Wij bewaken deze termijn en reageren zo snel mogelijk, uiterlijk binnen één maand.
Vragen en/of klachten
Indien betrokkenen vragen of klachten hebben over de manier waarop Koninklijke Wandelbond Nederland met persoonsgegevens omgaat, kunnen zij contact opnemen met Koninklijke Wandelbond Nederland.
Koninklijke Wandelbond Nederland neemt dergelijke signalen serieus en zorgt ervoor dat deze zorgvuldig worden opgepakt, via de reguliere klachtenregeling van de organisatie.
Daarnaast hebben betrokkenen altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.
5.4 Delen van persoonsgegevens en externe partijen
Soms werkt Koninklijke Wandelbond Nederland samen met externe partijen, zoals IT-leveranciers of organisatoren. Als dat nodig is voor de uitvoering van onze activiteiten, kunnen wij persoonsgegevens met deze partijen delen. Met deze partijen maken wij altijd afspraken over het zorgvuldig omgaan met persoonsgegevens en de beveiliging daarvan. Waar nodig sluiten wij een verwerkersovereenkomst.
Wij proberen persoonsgegevens zoveel mogelijk binnen de Europese Economische Ruimte (EER) te verwerken. In sommige gevallen kan het toch nodig zijn om gegevens buiten de EER te verwerken, bijvoorbeeld omdat een leverancier daar gevestigd is.
Als dit aan de orde is, beoordelen wij eerst of dit echt noodzakelijk is en of er geen passend alternatief binnen de EER beschikbaar is. Alleen als dit niet mogelijk is, kan doorgifte plaatsvinden.
Wanneer persoonsgegevens worden doorgegeven buiten de EER, zorgen wij ervoor dat dit gebeurt volgens de regels van de AVG. Dit betekent dat wij controleren of:
Als binnen de organisatie onvoldoende kennis aanwezig is om deze beoordeling goed uit te voeren, schakelt Koninklijke Wandelbond Nederland hiervoor externe expertise in. Dit kan bijvoorbeeld via NOC*NSF of een gespecialiseerde adviseur.
5.5 Overzicht van gegevensverwerkingen (verwerkingsregister)
Koninklijke Wandelbond Nederland houdt overzicht over welke persoonsgegevens worden verwerkt en waarom.
In de praktijk betekent dit dat wij in een verwerkingsregister vastleggen welke (categorieën van) persoonsgegevens wij verwerken, van welke betrokkenen en voor welke doeleinden. Daarnaast worden ook de categorieën van ontvangers en de bewaartermijn vermeld.
5.6 Nieuwe activiteiten en risico’s
Wanneer Koninklijke Wandelbond Nederland nieuwe activiteiten start of bestaande werkwijzen aanpast, wordt vooraf nagedacht over het gebruik van persoonsgegevens. Wij beoordelen daarbij welke gegevens nodig zijn, wat het doel is van de verwerking en of er risico’s zijn voor betrokkenen. Waar nodig nemen wij maatregelen om deze risico’s te beperken.
Wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, voert Koninklijke Wandelbond Nederland vooraf een nadere risicoanalyse uit (DPIA – Data Protection Impact Assessment).
Bij deze analyse wordt gekeken naar de aard van de verwerking, de risico’s voor betrokkenen en welke maatregelen nodig zijn om deze risico’s te beperken.
Koninklijke Wandelbond Nederland maakt hiervoor gebruik van een passend format. Indien de organisatie niet over een eigen DPIA-template beschikt, kan gebruik worden gemaakt van een beschikbaar format, bijvoorbeeld via NOC*NSF.
5.7 Bewaren en verwijderen van gegevens
Koninklijke Wandelbond Nederland bewaart persoonsgegevens niet langer dan nodig is voor het doel waarvoor deze zijn verzameld. Daarna worden gegevens verwijderd of, waar mogelijk, geanonimiseerd.
Bij het bepalen van de bewaartermijn wordt rekening gehouden met verschillende factoren. In de eerste plaats kijken wij naar het doel van de verwerking. Zo worden gegevens van leden bewaard zolang het lidmaatschap loopt en voor een beperkte periode daarna, bijvoorbeeld voor administratieve afhandeling.
Daarnaast gelden in sommige gevallen wettelijke bewaartermijnen. Zo moeten financiële en administratieve gegevens in het kader van fiscale verplichtingen in de regel 7 jaar worden bewaard. Voor gegevens die verband houden met subsidieverantwoording kan een langere bewaartermijn gelden, bijvoorbeeld tot 10 jaar.
Voor bepaalde verwerkingen gelden specifieke afspraken over bewaartermijnen. Dit is bijvoorbeeld het geval bij het verwerken van gegevens in CMSS het kader van meldingen. In die gevallen houdt Koninklijke Wandelbond Nederland zich aan de bewaartermijnen zoals vastgelegd in het protocol dat ten grondslag ligt aan de door de Autoriteit Persoonsgegevens verleende vergunning.
Koninklijke Wandelbond Nederland zorgt ervoor dat persoonsgegevens niet onnodig worden bewaard en dat periodiek wordt beoordeeld of gegevens nog nodig zijn. Gegevens die niet meer nodig zijn, worden zorgvuldig verwijderd. Onder verwijderen wordt verstaan dat persoonsgegevens niet meer beschikbaar en niet meer te herstellen zijn binnen de systemen van de organisatie. Dit betekent dat gegevens niet alleen uit actieve systemen worden verwijderd, maar – voor zover mogelijk – ook bij externe partijen die gegevens namens ons verwerken.
Indien gegevens tijdelijk zijn opgeslagen in back-ups, zorgen wij ervoor dat deze niet opnieuw in gebruik worden genomen en dat zij volgens de geldende bewaartermijnen automatisch worden overschreven of verwijderd.
5.8 Beveiliging van persoonsgegevens
Koninklijke Wandelbond Nederland neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, misbruik of onbevoegde toegang. Daarbij wordt rekening gehouden met de aard, omvang en gevoeligheid van de gegevens en de risico’s voor betrokkenen.
In de praktijk zorgt Koninklijke Wandelbond Nederland onder andere voor het beperken van toegang tot persoonsgegevens tot personen die deze nodig hebben voor hun werk, het gebruik van veilige systemen, sterke wachtwoorden en waar mogelijk extra beveiliging zoals tweestapsverificatie, het zorgvuldig omgaan met e-mail, documenten en gegevensdragers en het regelmatig actualiseren van systemen en software.
Koninklijke Wandelbond Nederland is zich ervan bewust dat digitale dreigingen toenemen en dat goede beveiliging steeds belangrijker wordt. Daarom wordt beveiliging gezien als een doorlopend aandachtspunt binnen de organisatie.
De uitgangspunten en maatregelen rondom informatiebeveiliging zijn, voor zover aanwezig, nader uitgewerkt in het Informatiebeveiligingsbeleid van de organisatie.
Waar nodig maakt Koninklijke Wandelbond Nederland gebruik van deskundige ondersteuning, bijvoorbeeld op het gebied van ICT of informatiebeveiliging. Indien de organisatie zelf niet over voldoende kennis beschikt, wordt advies ingewonnen bij externe partijen. NOC*NSF kan hierin ondersteunen.
Ook bij samenwerking met leveranciers en andere partijen worden afspraken gemaakt over de beveiliging van persoonsgegevens.
5.9 Datalekken
Binnen Koninklijke Wandelbond Nederland kunnen zich incidenten voordoen waarbij persoonsgegevens verloren raken, onbedoeld worden verstrekt of toegankelijk zijn voor onbevoegden. Dit kan zich onder meer voordoen bij het verzenden van gegevens naar een onjuiste ontvanger, het verlies van apparatuur of gegevensdragers, of ongeautoriseerde toegang tot systemen, bijvoorbeeld als gevolg van phishing.
Dergelijke incidenten kunnen kwalificeren als een datalek.
Koninklijke Wandelbond Nederland is voorbereid op datalekken en beschikt over duidelijke afspraken of een datalekkenbeleid. Hierdoor kan bij een incident snel en zorgvuldig worden gehandeld. Het datalekkenbeleid is makkelijk vindbaar op intranet.
Medewerkers melden een (vermoeden van een) datalek zo snel mogelijk bij Luuk van Bergen, Teamlead Service & Support, zodat snel kan worden beoordeeld wat er is gebeurd en welke acties nodig zijn.
Koninklijke Wandelbond Nederland beoordeelt bij een datalek:
Alle datalekken worden vastgelegd in een intern datalekkenregister, ook wanneer het datalek niet gemeld hoeft te worden. Hiermee kan Koninklijke Wandelbond Nederland aantonen dat zorgvuldig wordt omgegaan met incidenten en kan herhaling worden voorkomen.
Wanneer het datalek betrekking heeft op systemen of verwerkingen waarbij wordt samengewerkt met andere partijen, zoals NOC*NSF, wordt het incident ook gemeld bij deze partijen. Dit is belangrijk om gezamenlijk passende maatregelen te kunnen nemen en de impact te beperken.
Waar nodig worden maatregelen genomen om herhaling van soortgelijke incidenten te voorkomen.
5.10 Bewustwording en afspraken binnen de organisatie
Binnen Koninklijke Wandelbond Nederland is het belangrijk dat iedereen die met persoonsgegevens werkt, zich bewust is van het belang van privacy en hier zorgvuldig mee omgaat.
Koninklijke Wandelbond Nederland zorgt ervoor dat medewerkers op een passende manier worden geïnformeerd over hoe zij met persoonsgegevens moeten omgaan. Dit kan bijvoorbeeld door het delen van dit privacybeleid, het bespreken van privacy in overleggen of het geven van gerichte instructies bij specifieke werkzaamheden en het aanbieden van trainingen.
Wanneer gebruik wordt gemaakt van systemen of voorzieningen die door of via NOC*NSF beschikbaar worden gesteld, zorgt Koninklijke Wandelbond Nederland ervoor dat de medewerkers en vrijwilligers die hiermee werken deelnemen aan relevante instructies of trainingen. Hiermee wordt geborgd dat deze systemen op een juiste en zorgvuldige manier worden gebruikt.
