Privacy in de VvE: de AVG, notulen en de ledenlijst

Kort antwoord

Ook een VvE moet zich aan de AVG houden als ze persoonsgegevens gebruikt. De basis: gebruik alleen gegevens die je echt nodig hebt, voor een duidelijk doel, en bewaar ze niet langer dan nodig. Zet in de notulen dus geen meer persoonlijke informatie dan nodig is. Deel stukken alleen met wie ze moet krijgen. Gaat er iets mis, zoals een ledenlijst naar het verkeerde adres? Dan kan dat een datalek zijn.

Je hebt een grondslag nodig

Je mag persoonsgegevens alleen gebruiken als je daar een goede reden voor hebt. De AVG noemt zes redenen, de ‘grondslagen’: toestemming, een overeenkomst, een wettelijke verplichting, een vitaal belang, een taak van algemeen belang en een gerechtvaardigd belang. De organisatie bepaalt zelf welke grondslag past, en doet dat voordat ze begint. De Autoriteit Persoonsgegevens (AP) geeft daar geen advies over.

Bron: Autoriteit Persoonsgegevens, Grondslagen AVG uitgelegd. Zie autoriteitpersoonsgegevens.nl: Grondslagen AVG uitgelegd.

De AP raadt aan de grondslag te noemen in je privacyverklaring, zodat mensen weten waarom je hun gegevens gebruikt.

Bron: Autoriteit Persoonsgegevens, Grondslagen AVG uitgelegd. Zie autoriteitpersoonsgegevens.nl: Grondslagen AVG uitgelegd.

De basisregels van de AVG

• Doelbinding: verzamel gegevens alleen voor een doel dat je vooraf duidelijk hebt omschreven. Niet ‘omdat het ooit van pas kan komen’.
• Dataminimalisatie: zo min mogelijk. Gebruik niet meer gegevens dan nodig is voor dat doel.
• Juistheid: houd gegevens actueel en verbeter ze als ze niet kloppen.
• Opslagbeperking: verwijder gegevens als je ze niet meer nodig hebt.
• Beveiliging: zorg dat gegevens goed beveiligd zijn.

Bron: Autoriteit Persoonsgegevens, De AVG in het kort. Zie autoriteitpersoonsgegevens.nl: De AVG in het kort.

Wat betekent dit voor de notulen?

Notulen leggen vast wat er is besproken en besloten. Hoe je goede notulen schrijft, lees je in Een goede notulist: notulen die discussie voorkomen en Notulen van de ALV: wat moet erin? Met voorbeeld. Met de regel ‘zo min mogelijk’ in je achterhoofd:

• Schrijf het besluit en de uitslag op. Een persoonlijk verhaal van een eigenaar hoort er meestal niet in.
• Wees extra voorzichtig met gezondheid. Gegevens over iemands gezondheid zijn bijzondere persoonsgegevens. Die mag je alleen verwerken als je aan strenge eisen voldoet.
• Gaat het over een betalingsachterstand of een conflict met één eigenaar? Vraag je af of de naam nodig is voor het besluit.

Bron: Autoriteit Persoonsgegevens, De AVG in het kort en Grondslagen AVG uitgelegd. Zie autoriteitpersoonsgegevens.nl: De AVG in het kort en autoriteitpersoonsgegevens.nl: Grondslagen AVG uitgelegd.

Stukken delen en publiceren

Een document kan meer persoonsgegevens bevatten dan je ziet, bijvoorbeeld in opmerkingen, verborgen kolommen of de eigenschappen van een bestand. Controleer een document daarom voordat je het deelt of online zet. Zet notulen en de ledenlijst niet op een openbare website, maar deel ze alleen met de leden.

Bron: Autoriteit Persoonsgegevens, Datalek voorkomen bij documenten publiceren of delen. Zie autoriteitpersoonsgegevens.nl: Datalek voorkomen bij documenten publiceren of delen.

Een datalek: wat nu?

Persoonsgegevens die naar de verkeerde ontvanger zijn gestuurd, of een verloren USB-stick met onbeveiligde gegevens: dat zijn voorbeelden van een datalek.

Bron: Autoriteit Persoonsgegevens, Wat is een datalek? Zie autoriteitpersoonsgegevens.nl: Wat is een datalek?.

• Of je een datalek moet melden bij de AP, hangt af van het risico voor de mensen om wie het gaat.
• Moet je het melden, dan doe je dat binnen 72 uur nadat je het lek hebt ontdekt.
• De betrokkenen informeer je als het lek waarschijnlijk een hoog risico voor hen geeft.

Bron: Autoriteit Persoonsgegevens, Datalek: wel of niet melden en Zo meldt u een datalek. Zie autoriteitpersoonsgegevens.nl: Datalek: wel of niet melden en autoriteitpersoonsgegevens.nl: Zo meldt u een datalek.

Een eigenaar vraagt om inzage

Iedereen mag een organisatie vragen welke gegevens ze van hem gebruikt en hoe. De organisatie moet binnen 1 maand reageren. Die termijn mag met maximaal 2 maanden worden verlengd, als de organisatie dat binnen de eerste maand laat weten.

Bron: Autoriteit Persoonsgegevens, Recht op inzage. Zie autoriteitpersoonsgegevens.nl: Recht op inzage.

Checklist voor het bestuur

1. Schrijf op welke gegevens de VvE bijhoudt en waarom.
2. Kies per doel een grondslag en zet die in een korte privacyverklaring.
3. Houd de ledenlijst actueel en verwijder gegevens van vertrokken eigenaren als je ze niet meer nodig hebt.
4. Deel stukken alleen met wie ze nodig heeft, en controleer ze vooraf.
5. Spreek af wie wat doet bij een datalek.

Veelgestelde vragen

Geldt de AVG ook voor een kleine VvE?

Ja. Zodra de VvE persoonsgegevens gebruikt, zoals namen, adressen en e-mailadressen van eigenaren, gelden de regels van de AVG. Het gaat dan om een duidelijk doel, zo min mogelijk gegevens en goede beveiliging.

Mogen namen van eigenaren in de notulen?

De AVG verbiedt dat niet zomaar, maar je gebruikt zo min mogelijk persoonsgegevens. Schrijf vooral het besluit en de uitslag op. Persoonlijke verhalen en gezondheidsinformatie horen er meestal niet in.

Mag de VvE de notulen op een website zetten?

Deel notulen liever alleen met de leden. Controleer een document vóór het delen op zichtbare en verborgen persoonsgegevens. Een document met persoonsgegevens op de verkeerde plek kan een datalek zijn.

Wat als ik de ledenlijst naar het verkeerde adres heb gemaild?

Dat is een voorbeeld van een datalek. Beoordeel het risico voor de eigenaren. Moet het gemeld worden, dan doe je dat binnen 72 uur bij de Autoriteit Persoonsgegevens.

Hoe snel moet het bestuur reageren op een inzageverzoek?

Binnen 1 maand. De termijn mag met maximaal 2 maanden worden verlengd, als je dat de vrager binnen de eerste maand laat weten.