De kern van de AVG is verantwoording: u moet kunnen laten zien wélke gegevens u verwerkt, waarom, hoe lang en hoe u ze beveiligt. Dat hoeft geen dik dossier te zijn, voor de meeste PI’s past het op een paar pagina’s.
De vier dingen die u nodig hebt
- Verwerkingsregister. Een overzicht van uw gegevensstromen (donateurs, nieuwsbrief, vrijwilligers).
- Privacyverklaring. Publiek leesbaar op uw site, in begrijpelijke taal.
- Verwerkersovereenkomsten. Met partijen die voor u gegevens verwerken (mailtool, boekhoudpakket).
- Beveiliging & bewaartermijnen. Wie heeft toegang, hoe lang bewaart u, wat doet u bij een datalek.
Let op gevoelige gegevens uit het veld
PI’s werken vaak met foto’s en verhalen van kwetsbare mensen: soms kinderen. Dat zijn bijzondere persoonsgegevens met extra eisen: toestemming, minimalisatie en zorgvuldige beeldkeuze. Combineer deze toolkit met Zorg voor kwetsbare kinderen en Verhalen schrijven.
Veelgestelde vragen
Hebben wij een functionaris gegevensbescherming nodig?
Voor de meeste kleine stichtingen niet. Die plicht geldt vooral bij grootschalige of bijzondere verwerkingen.
Mogen we foto’s van projecten delen?
Met toestemming en zorgvuldigheid wel. Bij kinderen en kwetsbare personen geldt extra terughoudendheid.
Wat doen we bij een datalek?
Beoordeel het risico en meld een meldplichtig lek binnen 72 uur bij de Autoriteit Persoonsgegevens. Het protocol in de download leidt u erdoorheen.