Voetbalfoto's op de clubwebsite en kerkdiensten met persoonlijke mededelingen op het internet. Mag het nog als de nieuwe Europese privacywet op 25 mei in werking treedt? Veel clubs, kerkgenootschappen en verenigingen tasten in het duister, zo blijkt uit een rondgang van Nieuwsuur.
Ze worstelen er al een tijdje mee: het bestuur van voetbalclub FC Lisse twijfelt hoe het verder moet met de website van de vereniging. Een foto van een voetbalwedstrijd is snel gemaakt, maar mag die ook gepubliceerd worden op de website? Want volgens de nieuwe privacywet, de Algemene Verordening Gegevensbescherming (AVG), moet iedereen op de foto daar persoonlijk toestemming voor geven.
"Niet te doen", zegt de secretaris van het bestuur Ernst-Jan Reinerie. "Ook al zouden we aan ieder lid toestemming vragen, dan nog weten onze fotografen niet wie wel en wie geen toestemming gaf. Dus die foto's blijven we gewoon publiceren."
De voorzitter van de Autoriteit Persoonsgegevens Aleid Wolfsen - die de nieuwe wet moet gaan handhaven en vreest dat er te weinig geld is om alle verzoeken die door de nieuwe wet op de organisatie afkomen adequaat te kunnen behandelen - zegt dat de focus van de autoriteit vooral zal liggen bij de grotere organisaties en organisaties die bijzondere persoonsgegevens verwerken.
Die zijn verplicht een privacy-medewerker in dienst te hebben. "Denk aan gemeenten, ziekenhuizen, politie. Eigenlijk iedereen die bijzondere persoonlijke gegevens verwerkt."
Als daar iets mis is, kan de Autoriteit Persoonsgegevens boetes uitdelen. Maximaal 4 procent van de jaaromzet of twintig miljoen euro, aldus de autoriteit tegen nu.nl. "Maar het is aan de AP om te bepalen hoe hoog die boetes zijn", zegt Wolfsen, die aangeeft dat er nog veel vragen leven over de wet. "De telefoon staat roodgloeiend."
Iemand die gemakzuchtig zegt: 'ik bewaar alles voor altijd', komt daar niet mee weg.
De Hervormde Kerk in Harderwijk heeft ook vragen: mogen ze kerkdiensten via het internet streamen, terwijl in die diensten mededelingen vanaf de preekstoel worden gedaan over kerkleden die bijvoorbeeld ziek zijn, jubileren of zijn overleden? "Het gaat bij de kerk ook om het omzien naar elkaar, dus wij willen die mededelingen over elkaars wel en wee blijven doen", zegt secretaris Aart van der Kamp.
Maar niet alleen bij verenigingen en kerken is er onduidelijkheid, ook in het bedrijfsleven. "Veel van de webshops die bij ons zijn aangesloten, willen weten hoe lang ze de gegevens van klanten mogen bewaren", zegt Wijnand Jongen van de branche-organisatie voor webshops Thuiswinkel.org.
"Je zou bij de aankoop van een tv bijvoorbeeld kunnen denken aan de garantietermijn van twee jaar, maar iedereen weet dat een tv veel langer meegaat. Dus een webshop zou die gegevens graag jarenlang willen bewaren, om contact te kunnen houden met de klant. Maar of dat mag volgens de nieuwe wet?"
Redelijk toezichthouder
Wolfsen: "Je moet je doel van het bewaren goed motiveren. En dan zou een termijn van zeven jaar misschien best kunnen. Maar iemand die gemakzuchtig zegt: 'ik bewaar alles voor altijd', komt er niet mee weg."
Kleine bedrijven of verenigingen wil de Autoriteit Persoonsgegevens niet direct hard aanpakken. "Maar dat wil niet zeggen dat ze op 25 mei niet hoeven voldoen aan de wet. Je zult aan moeten kunnen tonen dat je er serieus mee bezig bent. Als het dan nog niet helemaal aan de voorwaarden voldoet, willen wij ons een 'redelijke toezichthouder' tonen", aldus Wolfsen.
Zijn advies: "Beredeneer waarom je iets doet, leg het vast en zorg dat je gegevens beveiligd zijn zodat er geen kans is op een datalek."
