1. Waarschijnlijk heb je al heel wat mailtjes ontvangen met GDPR als onderwerp. Maar wat is GDPR precies?
GDPR staat voor General Data Protection Regulation, of in het Nederlands: Algemene Verordening Gegevensbescherming. De wet is een herziening van de ‘Data Protection Directive’, de Europese wetgeving uit 1995. Het is dus een vernieuwde Europese wetgeving rond privacy die van start gaat op 25 mei 2018. Deze wetgeving wil de persoonsgegevens van alle EU-burgers beter beschermen. Er bestaat al langer een wetgeving rond privacy, maar die was niet zo uitgebreid en er werd soms nogal slordig mee omgegaan.
De nieuwe GDPR is van toepassing op elk bedrijf, elke organisatie, maar ook op alle vzw’s en feitelijke verenigingen die persoonsgegevens gebruiken, opslaan of verwerken. Zelfs als je organisatie geen enkel winstdoel nastreeft of geen enkele commerciële ingesteldheid heeft. In die zin geldt deze wet voor de parochies, federaties of pastorale eenheden van ons bisdom.
2. Waarover gaat het eigenlijk?
Omdat er in het verleden soms slordig werd omgesprongen met persoonsgegevens, vooral door grote bedrijven en organisaties, heeft men vanuit Europa beslist dat de regels verstrengd moeten worden. Als gevolg mogen bedrijven en organisaties niet zomaar jouw gegevens verwerken. Met verwerken wordt bedoeld: gegevens over jou verzamelen, bijhouden, gebruiken (bv. voor promotie) of verspreiden.
Als federatie of pastorale eenheid verwerken we daarbij ook nog bijzondere gegevens, zoals de religie van onze parochianen. Deze gegevens vereisen een hogere graad van bescherming. De federaties of pastorale eenheden moeten hiervoor aan extra regels beantwoorden. Het bisdom Brugge organiseerde begin dit werkjaar een infosessie voor alle parochies, federaties en pastorale eenheden. Download de presentatie van de infosessie voor verdere uitleg.
3. GDPR bij parochies, federaties of pastorale eenheden
Wat houden we bij??? Maak een inventaris van al jullie lijsten met persoonsgegevens.
Inderdaad, ook alle op zich staande parochies, federaties of pastorale eenheden moeten in regel zijn met de privacywetgeving. Je verzamelt tal van persoonsgegevens (denk maar aan adressen, docmenten ter voorbereiding van de sacramenten, contactgegevens, parochieregisters…). Ga dus eerst en vooral op zoek naar alles wat je bijhoudt. Bekijk de verschillende lijsten van persoonsgegevens die je momenteel bijhoudt. Bekijk deze op relevantie (is het nog nodig dat we dit bijhouden?) en correctheid (zijn de gegevens nog up to date?). Zorg er voor dat je alle lijsten in kaart hebt gebracht.
Jullie weten natuurlijk dat het niet goed is om gegevens van jullie leden zomaar te laten rondslingeren. Jullie geven gegevens ook niet zomaar door. Daarom is het goed om eens stil te staan bij de vraag hoe jullie de gegevens gebruiken.
4. Elke federatie of PE een eigen register
Aan de slag!
Elke lokale groep moet een eigen verwerkingsregister en een eigen privacyverklaring (zie punt 5) hebben. We stellen beiden even aan je voor:
- Een verwerkingsregister is een schematisch overzicht van alle soorten gegevens die je als parochie, federatie of pastorale eenheid verwerkt. Het is een document dat regelmatig moet worden herbekeken om te zien of het nog actueel is. We stellen voor dat je per lijst (bv. lijst van alle lectoren), een reeks van vragen beantwoordt:
Het register kan op papier of in elektronische vorm bestaan en moet de in artikel 30 van de verordening vereiste gegevens bevatten:
- Contactgegevens van de verantwoordelijke en de functionaris voor gegevensbescherming;
- Gedetailleerde beschrijving van de doeleinden van de verwerking – zie voor voorbeelden zie Bijlage 2;
- Categorieën van betrokken personen (man, vrouw, kind enz.);
- Categorieën van persoonsgegevens van betrokkenen (naam, adres telefoonnummer, foto enz.);
- Overdracht van persoonsgegevens (bijv. aan het bisdom);
- Hoe lang moeten de gegevens bewaard worden? (bijvoorbeeld 10 jaar of ad vitam aeternam);
- Een beschrijving van de technische en organisatorische maatregelen die zijn genomen om de veiligheid en vertrouwelijkheid van de verwerking te waarborgen (bijv. Toegangscode);
- Het recht om vergeten te worden – binnen een redelijke termijn (op dit moment kan nog niet gezegd worden hoe dit recht in België in de praktijk vorm krijgt. Deze vraag wordt opnieuw voorgelegd aan de gegevensbeschermingsautoriteit na 25 mei 2018).
Als leiddraad nemen wij het document van de bisschoppenconferentie. Dit document peilt naar de kenmerken van je gegevensverwerking. Indien je al dit document invult per adreslijst en dan bundelt, heb je een eerste versie van je verwerkingsregister.
5. Informeer over uw privacy-beleid
Publiceer uw privacy verklaring!
- De privacyverklaring: als verwerkingsverantwoordelijke moet je alle betrokkenen proactief informeren over de verwerking van persoonsgegevens en hun rechten. Dit moet beknopt, transparant, in een duidelijke eenvoudige taal en in een begrijpelijke en gemakkelijk toegankelijke vorm. Deze privacyverklaring moet raadpleegbaar zijn op de meest aangewezen plaats voor de betrokkenen van wie de persoonsgegevens verwerkt worden (dat kan bv. op je website). In deze privacyverklaring staat dan welke informatie wordt verzameld, wie de informatie verzamelt, hoe ze wordt verzameld, waarom ze wordt verzameld, hoe ze wordt gebruikt, met wie de informatie gedeeld wordt, etc.
- Je kan op deze pagina een (aan te vullen) document downloaden, die u, eens aangevuld, kan publiceren op uw website.
- Eens gepubliceerd, kan u zo veel mogelijk betrokkenen (abonnees nieuwsbrief, vrijwilligers) informeren van uw (gewijzigd) privacy beleid.
6. Nieuwe betrokkene, expliciet toestemming vragen
Zorg voor een document ter ondertekening!
Als je een nieuwe vrijwilliger hebt, die wil meewerken in de federatie of P.E., is het best om deze persoon onmiddellijk te informeren over jullie privacy verklaring. Je kan dit doen door deze persoon actief toestemming te vragen voor het verwerken van de persoonsgegevens. Je kan dit opnieuw doen via een modeldocument. Zo ben je onmiddellijk in orde om ook deze gegevens te verwerken.
Voor de initatiesacramenten is dit geregeld via het nieuw document van de bisschoppenconferentie. Idem voor de gehuwden, in het nieuwe huwelijksdossier. Dit huwelijksdossier is te verkrijgen in de religio winkels in ons bisdom.
7. Informeer de gegevensbeschermingsautoriteit van uw functionaris voor gegevensbescherming
Voor elk van de federaties of pastorale eenheden wordt de secretaris generaal van de bisschoppenconferentie genoemd als functionaris voor de gegevensbescherming. Deze funtionaris moet doorgegeven worden aan de gegevensbeschermingsautoriteit. Je kan dit doen door een digitaal formulier dat gedownload wordt via volgende link. Vooraleer je deze melding maakt, is het nuttig even contact op te nemen met de juridische dienst van het interdiocesaan centrum zodat zij op de hoogte zijn van de vermelding van de secretaris generaal als fucntionaris voor gegevensbescherming. Je kan deze dienst contacteren via 02/507.05.18 of via maurice.van.stiphout@interdio.be.
8. Wat moet de kerkfabriek doen?
Aangezien de kerkfabriek geen bijzondere privacygegevens bijhoudt, zijn ze niet onderhevig aan de strenge voorwaarden. Ze kunnen zich beperken tot:
- Het opmaken van een verwerkingregister (zie punt 4)
- Het publiceren van een privacy verklaring. Dit document bevat geen functionaris voor de gegevensbescherming aangezien er geen bijzondere privacygegevens bijgehouden worden. De privacy verklaring voor de kerkfabrieken kan je hier downloaden.
Dit geldt ook voor de centrale kerkbesturen.
