Inleiding
Een Vereniging van Eigenaren (VvE) heeft sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) duidelijke verplichtingen op het gebied van privacy. Deze verplichtingen omvatten het opstellen van een privacyverklaring, waarin duidelijk wordt gemaakt hoe persoonsgegevens van VvE-leden worden verwerkt. De privacyverklaring moet transparant zijn, zodat VvE-leden weten wat er met hun persoonlijke informatie gebeurt.
Deze artikel biedt een overzicht van de essentiële elementen van een privacyverklaring van een VvE, op basis van voorbeelden en richtlijnen die in meerdere bronnen worden genoemd. Het artikel richt zich op de inhoud van zo’n privacyverklaring, het doel van de verwerking van persoonsgegevens, de beveiliging van deze gegevens en de rechten van VvE-leden. Aan de hand van voorbeelden uit verschillende VvE’s wordt getoond hoe dergelijke privacyverklaringen worden opgesteld en waar let op moet worden bij het schrijven van een dergelijke verklaring.
Verplichtingen van een VvE volgens de AVG
De AVG stelt duidelijke verplichtingen op voor organisaties die persoonsgegevens verwerken. Voor een VvE betekent dit dat er een privacyverklaring moet worden opgesteld, waarin wordt uitgelegd hoe persoonsgegevens van leden worden verzameld, verwerkt en opgeslagen. Deze verklaring moet aan de eisen van de AVG voldoen, zoals transparantie, rechtsgrond voor verwerking en het respecteren van het rechtsgebied van de betrokkene.
De AVG bepaalt dat VvE-leden moeten weten:
- Wie verantwoordelijk is voor de verwerking van hun persoonsgegevens.
- Welke persoonsgegevens worden verzameld.
- Voor welk doel de gegevens worden verwerkt.
- Hoe lang de gegevens worden bewaard.
- Wat de rechten zijn van de betrokkene.
Deze eisen zijn in de meeste voorbeelden van privacyverklaringen van VvE’s terug te vinden. Zo wordt in het voorbeeld van VvE Advies expliciet vermeld dat persoonsgegevens worden verwerkt voor doeleinden zoals het afhandelen van contactverzoeken, het adviseren bij verzekeringen en het voldoen aan wettelijke verplichtingen.
Voorbeeld van een privacyverklaring van een VvE
Een typische privacyverklaring van een VvE bevat de volgende onderdelen:
Identiteit van de VvE
In de privacyverklaring moet duidelijk worden gesteld wie verantwoordelijk is voor de verwerking van persoonsgegevens. Dit betreft de naam van de VvE, de locatie en de identificatiegegevens zoals het KvK-nummer. Bijvoorbeeld:
De Vereniging van Eigenaren [naam] is gevestigd op [adres, plaats] en geregistreerd bij de Kamer van Koophandel onder nummer: [KvKnummer].
Doel van de verwerking
Het doel van de verwerking van persoonsgegevens moet duidelijk worden aangegeven. In veel gevallen gaat het om het uitvoeren van het lidmaatschap, het afhandelen van contactverzoeken, het adviseren bij verzekeringen of het voldoen aan wettelijke verplichtingen. Bijvoorbeeld:
VvE Bergsingel verwerkt uw persoonsgegevens in het kader van het uitvoeren (verplicht) lidmaatschap van de Vereniging van Eigenaars.
Verwerkte persoonsgegevens
Hier wordt vermeld welke soorten gegevens worden verzameld en verwerkt. Dit omvat vaak naam, adres, e-mailadres, telefoonnummer, bankrekeningnummer en andere gegevens die relevant zijn voor het doel van de verwerking. In een voorbeeld van VvE Advies wordt aangegeven:
VvE Advies verwerkt de volgende gegevens: voor- en achternaam, e-mailadres, telefoonnummer, adres, vestigings- en postadres, social media accountnamen, rekeningnummer, klant-, opdracht-, offerte- en factuurnummer, en KvK-nummer.
Bewaartermijn
De bewaartermijn geeft aan hoe lang persoonsgegevens worden opgeslagen. Dit kan variëren afhankelijk van het doel van de verwerking. In het voorbeeld van VvE Bergsingel wordt aangegeven:
VvE Bergsingel verwerkt en bewaart uw persoonsgegevens gedurende de duur van je (verplicht) lidmaatschap tot maximaal een jaar na afloop van dit lidmaatschap, tenzij wettelijk anders is geregeld.
Beveiliging
De beveiliging van persoonsgegevens is een essentieel onderdeel van een privacyverklaring. Hierin moet worden uitgelegd welke maatregelen worden genomen om misbruik, verlies of onbevoegde toegang te voorkomen. In het voorbeeld van VvE Advies wordt vermeld:
VvE Advies gaat zorgvuldig om met uw persoonsgegevens. Zo zorgen we voor goede beveiliging en hebben alleen geautoriseerde personen binnen VvE Advies toegang tot uw gegevens.
Rechten van VvE-leden
Een privacyverklaring moet ook de rechten van VvE-leden vermelden. Dit omvat het recht op inzage, correctie, verwijdering, beperking van verwerking, overdraagbaarheid van gegevens en het recht van bezwaar. In het voorbeeld van VvE Bergsingel wordt vermeld:
U heeft het recht om uw persoonsgegevens in te zien, te corrigeren of te verwijderen. U kunt een verzoek tot inzage, correctie of verwijdering sturen naar [email protected].
Melding van datalekken
Een VvE is verplicht om datalekken aan de Autoriteit Persoonsgegevens te melden, maar ook aan de VvE-leden. Dit is bijvoorbeeld relevant wanneer een laptop van een bestuurslid wordt gestolen met daarin persoonsgegevens van leden. In een voorbeeld van eigenhuis.nl wordt vermeld:
Is er sprake van een datalek, waardoor persoonsgegevens van leden potentieel gevaar lopen? Dan moet dit datalek als VvE worden vastgelegd en aan de Autoriteit Persoonsgegevens worden gemeld, maar ook aan de VvE-leden.
Rechtsgrond voor verwerking
Een VvE dient een rechtsgrond op te geven voor de verwerking van persoonsgegevens. Dit is verplicht onder de AVG. De rechtsgrond kan variëren afhankelijk van het doel van de verwerking. In het voorbeeld van VvE Bergsingel is de rechtsgrond het uitvoeren van het verplichte lidmaatschap van de VvE.
Toestemming
In sommige gevallen is toestemming nodig van VvE-leden om persoonsgegevens te verwerken. Dit is bijvoorbeeld het geval als de VvE extra gegevens wil verzamelen, zoals voor enquêtes of voor het sturen van nieuwsbrieven. In het voorbeeld van VvE Advies wordt vermeld:
Wij raden u aan uw eigen naam te gebruiken, omdat de VvE dan weet wie u bent.
Gebruik van externe partijen
Wanneer een VvE externe partijen gebruikt voor de verwerking van persoonsgegevens, dient dit te worden vermeld in de privacyverklaring. Externe verwerkers mogen alleen gegevens verwerken als ze een bewerkingsovereenkomst hebben met de VvE. In het voorbeeld van VvE Advies wordt vermeld:
Al onze verwerkers worden verplicht om uw persoonsgegevens te beschermen.
Inzage en correctie van gegevens
VvE-leden hebben het recht om inzage te krijgen in de persoonsgegevens die over hen worden verwerkt. Ze kunnen ook verzoeken om correctie of verwijdering van de gegevens. In het voorbeeld van VvE Bergsingel wordt vermeld:
U kunt een verzoek tot inzage, correctie of verwijdering sturen naar [email protected].
Verwijdering van gegevens
Het recht op verwijdering is alleen geldig als de persoonsgegevens niet meer nodig zijn voor de oorspronkelijke doeleinden van de verwerking. In het voorbeeld van VvE Bergsingel wordt vermeld:
Het recht om vergeten te worden geldt bij een VvE alleen wanneer het VvE-lid geen eigenaar meer is.
Beveiliging van persoonsgegevens
Een VvE dient passende technische en organisatorische maatregelen te nemen om de beveiliging van persoonsgegevens te waarborgen. In het voorbeeld van VvE Bergsingel wordt vermeld:
VvE Bergsingel neemt passende maatregelen om misbruik, verlies, onbevoegde toegang, ongewenste openbaarmaking en ongeoorloofde wijziging tegen te gaan. De website van VvE Bergsingel maakt gebruik van een betrouwbare SSL Certificaat.
Communicatie met VvE-leden
Een VvE dient zorgvuldig om te gaan met de communicatie met VvE-leden. Dit omvat het versturen van e-mails en andere berichten. In het voorbeeld van eigenhuis.nl wordt vermeld:
Verstuur een e-mail altijd met e-mailadressen in de BCC.
Juridische verantwoordelijkheid
Een VvE is verantwoordelijk voor de verwerking van persoonsgegevens. Dit betreft zowel de inhoud van de privacyverklaring als de naleving van de AVG. In het voorbeeld van VvE Advies wordt vermeld:
VvE Advies houdt zich aan de Algemene Verordening Gegevensbescherming (de nieuwe privacywet).
Conclusie
Een privacyverklaring van een VvE is een essentieel onderdeel van de naleving van de AVG. Deze verklaring moet duidelijk en transparant zijn, zodat VvE-leden weten wat er met hun persoonsgegevens gebeurt. De verklaring moet de identiteit van de VvE, het doel van de verwerking, de verwerkte persoonsgegevens, de bewaartermijn, de beveiliging van de gegevens en de rechten van VvE-leden bevatten.
In veel voorbeelden uit verschillende bronnen wordt duidelijk gemaakt hoe zo’n privacyverklaring is opgebouwd. Aan de hand van deze voorbeelden is te zien dat het opstellen van een privacyverklaring voor een VvE een systematische aanpak vereist, waarin rekening wordt gehouden met de eisen van de AVG en de wensen van de VvE-leden.
Een goed opgestelde privacyverklaring draagt bij aan het vertrouwen van VvE-leden in de vereniging. Het is daarom belangrijk dat een VvE regelmatig zijn privacyverklaring controleert en eventueel aanpast, zodat deze altijd up-to-date is en aan de wettelijke eisen voldoet.