AVG wat moet je ermee?

Stap 1: Mag je persoonsgegevens verwerken?

Als initiatiefnemer mag je persoonsgegevens verwerken als dat noodzakelijk is voor het uitvoeren van je initiatief. Je moet er wel een goede reden voor hebben. Dit kan je aantonen door minimaal één van de AVG-benoemde ‘grondslagen’ te kiezen. De zes grondslagen worden uitvoerig beschreven op de site van de Autoriteit persoonsgegevens. Maar voor de meeste culturele ondernemers is de eerste grondslag het makkelijkst toepasbaar; toestemming vragen van de persoon om wie het gaat.

Als je één van de grondslagen gekozen hebt, is het verstandig om dat te vermelden in een privacyverklaring en privacybeleid, dat je bijvoorbeeld op je website zet. Voor meer informatie en veel gestelde vragen over de grondslagen, kijk je op de site van de Autoriteit persoonsgegevens.

Stap 2: Verantwoordingsplicht

Je moet kunnen aantonen welke maatregelen je hebt genomen om de persoonsgegevens te beschermen. De AVG heeft hier vijf verplichte maatregelen voor opgesteld.

1. Bijhouden van een verwerkingsregister
   In een verwerkingsregister hou je bij welke informatie je over personen verwerkt. Denk aan de contactgegevens, met welke bedrijven je deze gegevens deelt of hoe lang je de gegevens bewaart. Welk type gegevens je moet verwerken hangt af van de grootte van je organisatie. Vragen over het verwerkingsregister worden op de website van de Autoriteit persoonsgegevens beantwoord.
2. Data Protection impact assessment (DPIA) uitvoeren
   Dit is een moeilijk woord dat eigenlijk betekent dat je je als organisatie bewust moet zijn van de risico’s van het behouden van privacygevoelige informatie. Niet iedere organisatie hoeft een DPIA uit te voeren. Kijk op deze checklist of dit nodig is voor jouw organisatie. Als blijkt dat je een DPIA moet uitvoeren, kijk op de website van Autoriteit persoonsgegevens hoe je dit handig aanpakt.
3. Lijst met datalekken
   Als er iets mis gaat met de privacy van gegevens, moet je dit bijhouden. Denk aan een USB stick met belangrijke informatie dat is kwijtgeraakt of een privacygevoelig bestand dat naar een verkeerd adres is gestuurd. Noteer dat voor als je door de Autoriteit persoonsgegevens gecontroleerd wordt.
4. Toestemming
   Je moet kunnen aantonen dat je toestemming hebt van iemand, om hun gegevens bij te houden. Zorg dus dat je bij het eerste contact met iemand, hier direct naar vraagt.
5. Functionaris Gegevensbescherming (FG) aanstellen
   Dit is iemand binnen de organisatie die toezicht houdt op het naleven van de AVG regels.

Kijk hier voor meer informatie, extra maatregelen die je kan treffen en veel gestelde vragen over de verantwoordingsplicht.

Stap 3: Recht van betrokkenen

Wanneer mensen willen controleren of jij hun gegevens netjes bewaard, moet je de volgende informatie kunnen geven;

• Een kopie van de betreffende persoonsgegevens
• Een beschrijving over wat je met die informatie doet

Verder heeft iedereen altijd het recht om uit jouw administratie gehaald te worden. Om te leren hoe je een kopie van persoonsgegevens opstelt, klik op deze link. Hier vind je ook een voorbeeldoverzicht.

Als je het goed wilt doen, kost de AVG behoorlijk wat tijd. Toch is het belangrijk én verplicht om deze regels op te volgen. Wil je testen of jouw organisatie aan de belangrijkste verplichtingen voldoet, gebruik dan de AVG-Regelhulp.

Cultuur Concreet publieksonderzoek

Het Culturele Doelgroepenmodel, dat wordt in Rotterdam wordt gebruikt om publieksonderzoek te duiden, heeft postcode plus huisnummer (en toevoeging) nodig om betrouwbare en representatieve data te kunnen genereren. Goed om te weten: Cultuur Concreet voert dit onderzoek volledig volgens de geldende privacy wetgeving uit. We vragen uitsluitend wat nodig is en zorgen ervoor dat de privacy van bezoekers gewaarborgd blijft. Een aantal concrete voorbeelden wat binnen de huidige regelgeving wel en niet mag:

✔ Wél toegestaan: Postcode + huisnummer vragen om te zien wie we bereiken en of we een breed publiek aantrekken.

❌ Niet toegestaan: Postcode + huisnummer vragen om bepaalde groepen uit te sluiten.

✔ Wél toegestaan: Vragen wat mensen missen in de buurt om het aanbod te verbeteren.

❌ Niet toegestaan: Deze vraag stellen om alleen voor specifieke groepen activiteiten te ontwikkelen en anderen buiten te sluiten.

✔ Wél toegestaan: Vragen in welke leeftijdscategorie iemand valt om te checken of er voor iedereen genoeg aanbod is.

❌ Niet toegestaan: Exacte geboortedata vragen zonder reden.

✔ Wél toegestaan: Vragen of iemand uit de buurt, de stad of van verder weg komt om te zien hoe ver het publiek reist.

❌ Niet toegestaan: Deze vraag stellen om mensen van buiten de stad te ontmoedigen.

✔ Wél toegestaan: Vragen of iemand de activiteit leuk vond om te leren wat beter kan.

❌ Niet toegestaan: De antwoorden gebruiken om mensen die iets niet leuk vonden uit te sluiten.

Als je concrete vragen hebt over hoe de gegevens worden gebruikt, stel je vraag dan onderaan dit artikel. Als het meer om bredere twijfels gaat, dan begrijpen we dat. Financiële steun met LCP komt echter wel met de verantwoordelijkheid om inzicht te geven in wie we bereiken.