Zwembad Klarenbeek
Hommelseweg 536
6821 LZ Arnhem
Protocol inzake de toepassing van de Algemene Verordening Gegevensbescherming (AVG) bij Openluchtzwembad Klarenbeek te Arnhem
Vanaf 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Deze vervangt de Wet bescherming persoonsgegevens (Wbp).
Wat is anders?
De AVG versterkt de positie van de mensen van wie gegevens worden verwerkt. Zij hebben nieuwe privacyrechten en hun bestaande rechten worden sterker. Organisaties die persoonsgegevens verwerken krijgen meer verplichtingen. De nadruk ligt - meer dan onder de Wbp - op de verantwoordelijkheid van organisaties om te kunnen aantonen dat zij zich aan de wet houden.
1: Bewustwording
Het bestuur van Openluchtzwembad Klarenbeek zorgt er bij voortduring voor dat haar gegevensverwerker(s) en de bezoekers op de hoogte kunnen zijn van de onder de AVG vallende privacyregels. Dit protocol wordt ter kennis gebracht van de bezoekers d.m.v. plaatsing op de website. Bij wijziging van de notitie of de regels zal de meest recente versie op de website worden gepubliceerd.
Het bestuur onderzoekt permanent wat de impact van de AVG is op huidige en nieuwe processen en diensten die binnen Openluchtzwembad Klarenbeek aan de orde zijn en welke aanpassingen nodig zijn om aan de AVG te voldoen.
2: Rechten van betrokkenen
Onder de AVG hebben de bezoekers van wie persoonsgegevens worden verwerkt privacyrechten. Deze personen (abonnementhouders, meerbadenkaarthouders) kunnen te allen tijde hun privacyrechten uitoefenen. Onder meer hebben zij het recht op inzage en het recht op correctie en verwijdering. Voorts hebben zij recht op dataportabiliteit, hetgeen betekent dat zij hun gegevens makkelijk kunnen krijgen en vervolgens kunnen doorgeven aan een andere organisatie als ze dat willen. Ook kunnen leden bij de Autoriteit Persoonsgegevens (AP) klachten indienen over de manier waarop de vereniging met hun gegevens omgaat.
3: Overzicht verwerkingen
De gegevens van de bezoekers zoals beschreven onder lid 2 worden als volgt verwerkt:
In het interne 'vaste-klantensysteem' worden persoonsgegevens verwerkt. Deze gegevens zijn door de bezoeker zelf opgegeven bij aanmelding. De gegevens zijn alleen toegankelijk voor de manager en/of diens plaatsvervanger na het invoeren van een gebruikersnaam (het e-mailadres) en wachtwoord
De gegevens die worden vastgelegd (kunnen) zijn:
- Geslacht
- Titulatuur
- Voorletters
- Roepnaam
- Tussenvoegsel
- Achternaam
- Wachtwoord
- Geboortedatum
- Naam partner
- Adres, Postcode, Woonplaats
- Telefoonnummers (vast en/of mobiel)
- E-mailadres
- Pasfoto van betrokkene
- Datum aanschaf eerste abonnement
- Voor oud-bezoekers: datum en reden einde 'vaste-bezoeker'
De gegevens worden gebruikt om een deugdelijke ledenadministratie te kunnen voeren, om eventueel verschillende overzichten samen te stellen (zoals een lijst met verjaardagen), en voor statistische bewerkingen (gemiddelde leeftijd etc.).
De gegevens van oud-bezoekers worden alleen bewaard om historische overzichten samen te stellen of hen uit te nodigen voor activiteiten van Openluchtzwembad Klarenbeek.
- Via een gegevensbestand bij de secretaris, ontleend aan de gegevens zoals beschreven onder 1). Vastgelegd worden de NAW gegevens, e-mailadres, geboortedatum en datum toetreding. De gegevens zijn nodig om per mail of per brief de bezoekers informatie te sturen. De gegevens worden niet met derden gedeeld.
- Via een gegevensbestand bij de penningmeester, ontleend aan de gegevens zoals beschreven onder 1). Vastgelegd worden de gegevens zoals vastgelegd bij de secretaris. Verder kan het bankrekeningnummer worden vastgelegd ten behoeve van de incasso van de abonnementsgelden. en andere bijdragen. De gegevens worden niet met derden gedeeld.
4: Data protection impact assessment
Het bestuur van Openluchtzwembad Klarenbeek heeft vastgesteld dat de wijze waarop de gegevensverwerking wordt uitgevoerd geen hoog privacyrisico met zich meebrengt. Derhalve is besloten geen data protection impact assessment (DPIA) uit te voeren.
5: Privacy by design & privacy by default
Privacy by design houdt in dat er al bij het ontwerpen van procedures en diensten voor wordt gezorgd dat persoonsgegevens goed worden beschermd. Het bestuur spreekt uit dat zij dit principe steeds voor ogen zal houden zodra nieuwe procedures of processen binnen Openluchtzwembad Klarenbeek in beeld zouden komen.
Privacy by default houdt in dat technische en organisatorische maatregelen genomen moeten worden om ervoor te zorgen dat alléén persoonsgegevens verwerkt worden die noodzakelijk zijn voor het specifieke doel dat beoogd wordt. Ook in dit opzicht zal het bestuur bij voortduring zich afvragen of vastlegging van persoonsgegevens noodzakelijk is en, indien geconstateerd wordt dat dit onvermijdelijk is, zorgvuldigheid betrachten bij de wijze van vastlegging en beheer van deze gegevens.
6: Functionaris voor de gegevensbescherming
Het bestuur heeft besloten op vrijwillige basis een functionaris voor de gegevensbescherming (FG) aan te stellen. Deze taak wordt neergelegd bij de secretaris van Openluchtzwembad Klarenbeek en de penningmeester als vaste plaatsvervanger.
7: Meldplicht datalekken
Op grond van de meldplicht datalekken is het bestuur gehouden de noodzakelijke registratie te voeren van datalekken die zich bij Openluchtzwembad Klarenbeek hebben voorgedaan. Alle datalekken dienen uitvoerig te worden gedocumenteerd. Desgevraagd zal de registratie beschikbaar worden gesteld aan de AP.
8: Bewerkersovereenkomsten
De gegevensverwerking van de ledenadministratie is niet uitbesteed aan een bewerker.
9: Leidende toezichthouder
Openluchtzwembad Klarenbeek heeft geen vestigingen in meerdere EU-lidstaten. Dit betekent dat het bestuur (i.c. de secretaris) de leidende toezichthouder is.
10: Toestemming
Op de website van Openluchtzwembad Klarenbeek komt een expliciete bepaling dat de bezoeker bekend is met en instemt met de wijze waarop de verwerking van persoonsgegevens binnen Openluchtzwembad Klarenbeek plaatsvindt. Die bekendheid wordt aanwezig geacht d.m.v. de publicatie op de website.
