Inleiding
De Algemene Verordening Gegevensbescherming (AVG) heeft sinds 25 mei 2018 een centrale rol gespeeld in de verwerking van persoonsgegevens binnen organisaties en verenigingen in Nederland. Voor Verenigingen van Eigenaren (VvE’s) zijn de regels van de AVG van belang, aangezien zij verantwoordelijk zijn voor de beheeractiviteiten van woningcorporaties en woningbouwmaatschappijen. De AVG stelt eisen aan de verwerking van persoonsgegevens, inclusief toestemming, beveiliging en transparantie.
Een specifieke aandachtspunt binnen de AVG is de toestemmingsverklaring. In sommige gevallen zijn VvE’s aangewezen op expliciete toestemming van betrokken personen om persoonsgegevens te verwerken. In dit artikel wordt ingegaan op de rol van de toestemmingsverklaring binnen de AVG, met een focus op de praktijk van VvE’s. Aan de hand van voorbeelden uit de werking van K&C Eigendom Management B.V. en algemene AVG-regels, worden de doelen, juridische basis, toepassing en praktische implicaties van toestemmingsverklaringen besproken.
Toestemmingsverklaring onder de AVG
Juridische basis van de toestemmingsverklaring
Volgens de AVG is toestemming van een persoon een wettelijke grondslag voor de verwerking van persoonsgegevens. Dit betekent dat wanneer een VvE persoonsgegevens wil verwerken waarvoor geen andere wettelijke grondslag bestaat (zoals een contract of een wettelijke plicht), zij expliciete toestemming van de betrokkene nodig hebben.
De toestemming dient te zijn vrijwillig, informatief en specifiek. Dit wil zeggen dat de betrokkene niet gedwongen is om toestemming te geven, moet weten welke gegevens precies worden verwerkt en welk doel de verwerking heeft. Verder dient de toestemming op elk moment te kunnen worden ingetrokken.
De AVG legt ook bepaalde verplichtingen op aan de verwerkingsverantwoordelijke (in dit geval meestal de VvE of haar beheerder zoals K&C Eigendom Management B.V.). Deze partij is verplicht om:
- De toestemming duidelijk en begrijpelijk te formuleren;
- De betrokkene in staat te stellen om de toestemming op elk moment in te trekken;
- De toestemming goed te documenteren;
- De toestemming niet langer te gebruiken zodra deze is ingetrokken.
Toepassing binnen VvE's
Binnen VvE's is toestemming vaak nodig voor de verwerking van persoonsgegevens die niet noodzakelijk zijn voor het beheer van de VVE. Voorbeelden hiervan zijn:
- Verwerking van contactgegevens voor nieuwsbrieven of communicatie met betrekking tot woningbouwmaatschappijactiviteiten;
- Verwerking van persoonsgegevens voor marketingdoeleinden;
- Verwerking van foto’s of beeldmateriaal in de context van evenementen of publicaties;
- Verwerking van gegevens voor externe onderzoeken of evaluaties.
K&C Eigendom Management B.V., zoals aangegeven in hun privacyverklaring, verwerkt bepaalde persoonsgegevens met toestemming van de betrokkenen. In hun beleid staat dat toestemming voor de verwerking van deze gegevens kan worden ingetrokken. Voorbeelden van gegevens die hieronder vallen zijn telefoonnummers, e-mailadressen en bankgegevens. Deze gegevens worden verwerkt voor doeleinden zoals bereikbaarheid, betaling van VVE-bijdragen, en communicatie via digitale kanaalen.
Belang van duidelijke communicatie
Het belang van heldere communicatie bij de toestemmingsverklaring is van groot belang. De AVG maakt duidelijk dat de toestemming niet mag worden opgevat als een bijvergoeding bij het aangaan van een contract of een beheerovereenkomst. Dit betekent dat toestemming apart moet worden gegeven en niet mag worden verward met andere juridische verplichtingen.
Binnen een VvE kan dit bijvoorbeeld betekenen dat bij het inwonen van een nieuwe huurder of eigenaar, aparte toestemming moet worden gevraagd voor bepaalde vormen van communicatie of gegevensverwerking. Dit kan via een aparte toestemmingsvraag of formulier gebeuren.
Retractie en herziening van toestemming
De AVG geeft de betrokkene het recht om toestemming op elk moment in te trekken. Dit is belangrijk omdat de verwerking van persoonsgegevens niet langer kan voortduren zodra de toestemming is ingetrokken. De verwerkingsverantwoordelijke is daarna verplicht om de gegevens te wissen of de verwerking te beëindigen.
K&C Eigendom Management B.V. stelt in hun privacyverklaring dat betrokkenen hun toestemming kunnen intrekken door contact op te nemen via e-mail of post. De VVE of beheerder dient binnen vier weken een beslissing te nemen op het verzoek.
Het is dus belangrijk dat VvE’s en hun beheerders een duidelijke procedure hebben om de intrekking van toestemming af te handelen. Dit omvat:
- Het bijwerken van de gegevensbestanden;
- Het verwijderen van gegevens waarvoor geen andere wettelijke grondslag bestaat;
- Het informeren van eventuele derden die de gegevens eerder hebben ontvangen.
Praktijkuitvoering en verantwoordelijkheden
Beheerder als verwerkingsverantwoordelijke
In veel gevallen is de beheerder van de VvE (zoals K&C Eigendom Management B.V.) de verwerkingsverantwoordelijke. Dit houdt in dat zij beslist over welke persoonsgegevens worden verwerkt, voor welk doel en op welke manier. De beheerder is verder verantwoordelijk voor het naleven van de AVG-regels, inclusief het opstellen van een duidelijke privacyverklaring en het afhandelen van toestemmingsverklaringen.
De beheerder moet ook zorgen dat de verwerking van persoonsgegevens gebeurt op een veilige en transparante manier. Dit omvat het gebruik van technische en organisatorische maatregelen, zoals beveiligde servers, beperkte toegang tot gegevensbestanden en training van personeel.
Verwerking door derden
In sommige gevallen kan een VvE of haar beheerder besluiten om de verwerking van persoonsgegevens aan een derde partij te laten uitvoeren. Dit kan bijvoorbeeld betreffen opdrachtnemers voor onderhoudsactiviteiten, verzekeringsmaatschappijen of andere externe partijen.
In dat geval moet er een verwerkersovereenkomst worden afgesloten tussen de verwerkingsverantwoordelijke en de verwerker. Deze overeenkomst bevat onder andere:
- Het doel van de verwerking;
- De categorieën persoonsgegevens die worden verwerkt;
- De wettelijke grondslag voor de verwerking;
- De verplichtingen van de verwerker om de gegevens veilig te behandelen;
- De verplichting van de verwerker om bij inbreuken melding te maken aan de verwerkingsverantwoordelijke.
In bijlage 2 van een voorbeeldverwerkersovereenkomst, zoals voorgelegd door de Rijksoverheid, worden deze aspecten gedetailleerd uitgewerkt. De overeenkomst is bedoeld om te zorgen dat de verwerking door derden volledig in lijn is met de AVG-regels.
Communicatie met betrokkenen
Het is essentieel dat betrokkenen (zoals eigenaren of huurders van woningen binnen een VvE) goed zijn geïnformeerd over de verwerking van hun persoonsgegevens. Dit omvat het verstrekken van informatie over:
- Welke gegevens worden verwerkt;
- Waarvoor deze gegevens worden gebruikt;
- Hoe lang de gegevens worden bewaard;
- Wie de verwerkingsverantwoordelijke is;
- Hoe men contact kan opnemen in het geval van vragen of klachten.
De AVG stelt dat de betrokkene ook het recht heeft om een kopie van de verwerkte persoonsgegevens te ontvangen. Dit is de zogenaamde dataportabiliteit. De VvE of beheerder is verplicht om dit verzoek te beantwoorden binnen vier weken.
Juridische en praktische risico's
Risico's bij onjuiste toepassing van toestemming
Een onjuiste toepassing van de toestemmingsverklaring kan leiden tot juridische en financiële risico's voor de VvE of beheerder. Indien de verwerking van persoonsgegevens zonder geldige toestemming of zonder voldoende transparantie plaatsvindt, kan de Autoriteit Persoonsgegevens klachten behandelen of boetes opleggen.
De AVG bepaalt dat boetes kunnen gaan tot maximaal 4% van de wereldwijde omzet of 20 miljoen euro, wat het hoogste bedrag is. Hoewel zulke boetes in de praktijk meestal lager zijn, kunnen ze toch ernstige gevolgen hebben voor een organisatie of vereniging.
Verantwoordelijkheden van de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke (meestal de VvE of haar beheerder) draagt de hoofdverantwoordelijkheid voor het naleven van de AVG. Dit omvat niet alleen het opstellen van een duidelijke privacyverklaring, maar ook het zorgen voor:
- Een juiste toepassing van toestemmingsverklaringen;
- Het afhandelen van klachten en verzoeken van betrokkenen;
- Het bijwerken van gegevensbestanden bij wijzigingen;
- Het trainen van personeel op AVG-onderwerpen.
In geval van een klacht bij de Autoriteit Persoonsgegevens is het belangrijk dat de verwerkingsverantwoordelijke in staat is om te tonen dat alle regels zijn nageleefd. Dit kan bijvoorbeeld door het aanbieden van documentatie, zoals toestemmingsvragen, privacyverklaringen en interne beleidsregels.
Conclusie
De toestemmingsverklaring onder de AVG speelt een centrale rol in de verwerking van persoonsgegevens binnen Verenigingen van Eigenaren. Het is essentieel dat VvE’s en hun beheerders goed begrijpen wat hun verantwoordelijkheden zijn en hoe zij deze praktisch uitvoeren.
De AVG legt duidelijke regels op voor de toestemming, waaronder de eisen dat toestemming vrijwillig, informatief en specifiek moet zijn. Binnen een VvE kan dit betreffen de verwerking van contactgegevens, bankgegevens of beeldmateriaal. Het is belangrijk dat de toestemming apart wordt gegeven en niet mag worden verward met andere juridische verplichtingen.
In de praktijk moet een VvE of beheerder ervoor zorgen dat er heldere communicatie is met betrokkenen en dat er een goed proces is voor het opvragen, bewaren en afhandelen van toestemmingsverklaringen. Dit omvat ook het afhandelen van intrekkingen en klachten.
De AVG versterkt de rechten van betrokkenen en zorgt voor transparantie in de verwerking van persoonsgegevens. Voor VvE’s betekent dit dat het belangrijk is om dit beleid actief in te zetten in hun dagelijkse werking, met het oog op zowel juridische als praktische verantwoordelijkheden.