Kennisbank

Wat moet de VvE doen om te voldoen aan de Algemene verordening gegevensbescherming (AVG)?

De Autoriteit Persoonsgegevens geeft op haar website informatie over de Algemene verordening gegevensbescherming (AVG). Hieronder staat wat belangrijk is voor een Vereniging van Eigenaars (VvE).

Houd een register van verwerkingsactiviteiten bij

Een VvE heeft een verantwoordingsplicht. De VvE moet kunnen aantonen, dat zij in overeenstemming met de AVG handelt. Hiervoor moet de VvE een register van verwerkingsactiviteiten bijhouden. In het register staat informatie over de persoonsgegevens die de VvE verwerkt. Hoe dat register eruit ziet (digitaal, op papier, een Excel-bestand of een Word-document) is niet aan regels gebonden.  

De VvE moet het volgende vastleggen in dit register:

• Welke persoonsgegevens de VvE verwerkt
• Met welk doel zij dit doet
• Waar deze gegevens vandaan komen
• Met wie de VvE de gegevens deelt.

Doel en grondslag gegevensverwerking

De VvE is verantwoordelijk voor het beheer van het complex op grond van de splitsingsakte. Registratie van persoonsgegevens is noodzakelijk voor het heffen van de maandelijkse bijdragen en het houden van de vergaderingen. De gegevens worden dan ook verwerkt op grond van de akte van splitsing en de wet.

Vraag expliciet toestemming aan de leden wanneer er geen wettelijke grondslag is

De VvE moet van haar leden toestemming hebben om persoonsgegevens te verwerken als dit niet berust op de splitsingsakte en/of wet. Op welke manier dat moet, schrijft de AVG niet voor. Wel is het aan de VvE om aan te tonen dat ze een geldige toestemming heeft verkregen.

Een geldige toestemming is:

1. Vrijelijk gegeven
De VvE mag een lid niet onder druk zetten om toestemming te geven.

2. Ondubbelzinnig
Het moet duidelijk zijn dat er toestemming verleend is. Bijvoorbeeld door een mondelinge of schriftelijke verklaring. De VvE mag dus niet uitgaan van het ‘wie zwijgt stemt toe-principe’.

3. Specifiek
Een gegeven toestemming geldt steeds voor een specifieke verwerking en een specifiek doel. Zo mag de lijst van e-mailadressen van de VvE-leden voor de vergadering niet gebruikt worden voor de uitnodiging van een buurtbarbecue.

4. Geïnformeerd gegeven
De VvE moet haar leden informeren over:

• De identiteit van de VvE als organisatie
• Het doel van elke verwerking waarvoor de VvE toestemming vraagt
• Welke persoonsgegevens de VvE verzamelt en gebruikt
• Het recht dat leden van de VvE hebben om de toestemming weer in te trekken.

Stel een privacyverklaring op

De VvE heeft onder de AVG een informatieplicht. Dit betekent dat de VvE verplicht is om de leden duidelijk te informeren over wat de VvE met de persoonsgegevens doet. Regel dit met een privacyverklaring. Bedrijven zetten zo’n privacyverklaring vaak op hun website. Een VvE heeft meestal geen eigen website. Zorg er dan voor dat de VvE leden bijvoorbeeld een papieren versie van de privacyverklaring krijgen. Of vermeld de privacyverklaring in Twinq, een online systeem voor administratie bij de VvE.

Wat staat er in zo’n privacyverklaring?
In de privacyverklaring staat welke gegevens er worden verwerkt, voor hoe lang en voor welk doel. Verder staan in de privacyverklaring de rechten van de VvE-leden. Denk hierbij bijvoorbeeld aan het recht op inzage en het recht op correctie van gegevens, maar ook het recht op overdraagbaarheid van gegevens en recht van bezwaar.
Het recht om vergeten te worden geldt bij de VvE alleen wanneer het VvE-lid geen eigenaar meer is.

Meld een datalek altijd

Is er sprake van een datalek, waardoor persoonsgegevens van leden potentieel gevaar lopen? Dan moet de VvE dat datalek vastleggen en hiervan melding doen bij de Autoriteit Persoonsgegevens. Ook moet de VvE een datalek melden bij de leden van de VvE.
Voorbeeld van een datalek: de laptop van de voorzitter is gestolen met daarop de persoonsgegevens van de VvE-leden.

Achtergrond

Sinds 25 mei 2018 is de nieuwe privacywetgeving, de Algemene verordening gegevensbescherming (AVG), van kracht. De VvE heeft hier ook mee te maken. De VvE verwerkt tenslotte persoonsgegevens van haar leden, bijvoorbeeld voor het sturen van uitnodigingen voor vergaderingen, de maandelijkse incasso van de VvE-bijdrage of als er gebruik gemaakt wordt van kentekenregistratie.

Tip: verstuur een mail altijd met de mailadressen in de BCC.

Rechten van betrokkenen

Op de website van de Autoriteit Persoonsgegevens zijn de rechten van betrokkenen duidelijk uitgelegd. 

Op basis van de wet en de splitsingsreglementen van de VvE kunnen aan deze rechten voorwaarden zijn verbonden. Bijvoorbeeld: het bestuur kan niet voldoen aan het verzoek van een betrokkene tot verwijderen van zijn NAW-gegevens uit het register van het bestuur. Dit kan niet, omdat deze persoonsgegevens juist noodzakelijk zijn voor het uitvoeren van de taken en plichten van het bestuur.

Een ander voorbeeld is het verzoek tot verwijdering van persoonsgegevens die in de notulen van de vergadering van eigenaars zijn verwerkt. Deze gegevens zijn juist noodzakelijk voor de uitvoering van de besluiten van de vergadering van eigenaars en/of nodig om achteraf te weten waar en op wie dat besluit betrekking had, en waarom dat besluit is genomen.

Hoe nu verder

• Meer informatie over de AVG (Autoriteit Persoonsgegevens)
• Lees meer over de privacyverklaring (Autoriteit Persoonsgegevens)