Ook stichtingen moeten voldoen aan de AVG, de Algemene Verordening Gegevensbescherming. Verwerkt uw stichting persoonsgegevens van bijvoorbeeld donateurs, leden, vrijwilligers of bestuursleden? Dan bent u verplicht zorgvuldig met deze gegevens om te gaan en passende maatregelen te nemen om ze te beschermen. Op deze pagina leest u welke AVG-verplichtingen voor uw stichting gelden en wat u daarvoor moet regelen.
Geldt de AVG ook voor stichtingen?
Ja. De AVG geldt voor iedere organisatie die persoonsgegevens verwerkt, dus ook voor stichtingen en verenigingen. De grootte van de stichting maakt daarbij geen verschil. Een kleine vrijwilligersstichting valt net zo goed onder de AVG als een grote goededoelenorganisatie.
Verwerken betekent alles wat u met persoonsgegevens doet, zoals verzamelen, opslaan, bewaren, delen of verwijderen. Houdt u een ledenlijst bij, verstuurt u een nieuwsbrief, int u contributie of beheert u een donateursbestand? Dan verwerkt u persoonsgegevens en geldt de AVG ook voor uw stichting.
Welke persoonsgegevens verwerkt een stichting?
Persoonsgegevens zijn gegevens die direct of indirect naar een persoon verwijzen. Een stichting verwerkt bijvoorbeeld gegevens van:
- Donateurs en begunstigden.
- Leden en deelnemers.
- Vrijwilligers en medewerkers.
- Bestuursleden en toezichthouders.
Het gaat onder meer om namen, adresgegevens, e-mailadressen, telefoonnummers, bankrekeningnummers en geboortedata.
De AVG merkt sommige gegevens aan als bijzondere persoonsgegevens. Voorbeelden zijn gezondheidsgegevens en gegevens over het lidmaatschap van een vakbond. Voor deze gegevens gelden strengere regels. Een stichting verwerkt ze alleen wanneer een uitzondering uit de AVG van toepassing is.
Wat moet uw stichting regelen voor de AVG?
Uw stichting moet aantonen dat zij persoonsgegevens volgens de AVG verwerkt. Controleer daarom de volgende onderdelen en houd de informatie actueel.
Verwerkingsregister
Leg vast:
- Welke categorieën persoonsgegevens uw stichting verwerkt.
- Van welke groepen personen uw stichting gegevens verwerkt.
- Voor welke doelen en op welke grondslagen de verwerking plaatsvindt.
- Met welke partijen uw stichting gegevens deelt.
- Hoelang uw stichting de gegevens bewaart.
- Welke beveiligingsmaatregelen uw stichting neemt.
Voor organisaties met minder dan 250 medewerkers geldt een beperkte uitzondering. Die uitzondering vervalt onder meer bij structurele verwerking, bijzondere persoonsgegevens of verwerkingen met een privacyrisico. Veel stichtingen moeten daarom een verwerkingsregister bijhouden.
Privacyverklaring
Informeer leden, donateurs, vrijwilligers, medewerkers en andere betrokkenen duidelijk over de verwerking van hun persoonsgegevens.
Vermeld onder meer:
- Welke gegevens uw stichting verzamelt.
- Voor welke doelen en op welke grondslagen dat gebeurt.
- Met wie uw stichting de gegevens deelt.
- Hoelang uw stichting de gegevens bewaart.
- Welke privacyrechten betrokkenen hebben.
- Hoe zij contact opnemen met uw stichting.
Publiceer de privacyverklaring op een goed vindbare plaats, bijvoorbeeld op de website.
Verwerkersovereenkomsten
Verwerkt een dienstverlener persoonsgegevens uitsluitend in opdracht van uw stichting? Sluit dan een verwerkersovereenkomst. Dit geldt bijvoorbeeld bij sommige leveranciers van ledenadministratie, nieuwsbrieven, boekhoudsoftware of hosting.
Leg daarin afspraken vast over onder meer beveiliging, geheimhouding, subverwerkers, datalekken en het verwijderen of teruggeven van gegevens na afloop van de dienstverlening.
Grondslag en toestemming
Koppel iedere verwerking aan een grondslag uit de AVG. Toestemming is een van de mogelijke grondslagen, maar niet altijd de juiste.
Vraagt uw stichting toestemming? Zorg dan dat iemand die toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig geeft. Leg vast wanneer en waarvoor de persoon toestemming gaf. Intrekken moet even eenvoudig zijn als toestemming geven.
Beveiliging en datalekken
Bescherm persoonsgegevens tegen verlies, wijziging, misbruik en onbevoegde toegang. Gebruik bijvoorbeeld:
- Sterke, unieke wachtwoorden.
- Tweestapsverificatie.
- Beperkte toegangsrechten.
- Actuele software en beveiligingsupdates.
- Veilige back-ups.
Registreer ieder datalek intern. Meld een datalek binnen 72 uur na kennisname bij de Autoriteit Persoonsgegevens wanneer het waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Informeer de betrokken personen bij een hoog risico.
Rechten van betrokkenen
Mensen hebben onder meer recht op inzage, correctie, verwijdering, beperking, bezwaar en gegevensoverdraagbaarheid. Niet ieder recht geldt in elke situatie.
Leg vast wie deze verzoeken ontvangt, hoe uw stichting de identiteit van de aanvrager controleert en wie het verzoek afhandelt. Reageer in beginsel binnen één maand.
Verantwoordelijkheid van het bestuur
De stichting is meestal de verwerkingsverantwoordelijke onder de AVG. Het bestuur zorgt ervoor dat persoonsgegevens rechtmatig en veilig worden verwerkt en dat dit aantoonbaar is. Het stelt het privacybeleid vast, verdeelt taken en controleert of medewerkers, vrijwilligers en dienstverleners de regels naleven. Bij een overtreding treedt de Autoriteit Persoonsgegevens op tegen de stichting, bijvoorbeeld met een waarschuwing, dwangsom of boete.
Een AVG-overtreding leidt niet automatisch tot persoonlijke aansprakelijkheid van bestuurders. Dat speelt pas bij ernstig verwijtbaar handelen, zoals het structureel negeren van duidelijke privacyrisico’s.
Toestemming voor gegevens van minderjarigen
Richt uw stichting zich op kinderen onder de 16 jaar? Dan gelden er extra regels. Voor het verwerken van persoonsgegevens van een kind jonger dan 16 jaar heeft u toestemming van de ouders of de wettelijke voogd nodig. Legt u bijvoorbeeld gegevens vast van kinderen die aan uw activiteiten deelnemen, dan vraagt u die toestemming aan de ouder of voogd en legt u vast dat u die heeft gekregen. Bij jongeren van 16 jaar of ouder mag u de toestemming in veel gevallen rechtstreeks aan hen vragen.
De AVG regelen bij de oprichting van uw stichting
Leg bij de oprichting vast hoe uw stichting met persoonsgegevens omgaat. Bepaal welke gegevens u verzamelt, voor welke doelen, wie toegang heeft en hoelang u gegevens bewaart. Regel ook de beveiliging, privacyverklaring en eventuele verwerkersovereenkomsten. Bij Stichtingoprichten.nl vraagt u uw stichting online aan. Het invullen van het formulier duurt ongeveer tien minuten en u ontvangt doorgaans binnen tien werkdagen een conceptakte.
Heeft u vragen over de oprichting van uw stichting? Neem contact op via 320 – 24 73 94 of info@stichtingoprichten.nl.
Veelgestelde vragen over de AVG voor stichtingen
Kan Stichtingoprichten.nl mij adviseren over de AVG?
Nee. Wij helpen u bij het oprichten van uw stichting, maar geven geen advies over de toepassing van de AVG binnen uw stichting. De informatie op deze pagina is algemeen van aard. Wilt u weten wat de AVG voor uw situatie betekent? Raadpleeg dan een privacyspecialist of kijk op de website van de Autoriteit Persoonsgegevens.
Kan Stichtingoprichten.nl mij adviseren over subsidies?
Nee, ook over subsidies geven wij geen advies. Wij kunnen u niet vertellen voor welke subsidies uw stichting in aanmerking komt of hoe u een subsidieaanvraag indient. Voor vragen over subsidies kunt u terecht bij de subsidieverstrekker, zoals uw gemeente of een fonds, of bij een subsidieadviseur.
Hoelang mag mijn stichting persoonsgegevens bewaren?
De AVG noemt geen vaste bewaartermijn. U bewaart persoonsgegevens niet langer dan nodig is voor het doel waarvoor u ze heeft verzameld. Stopt een vrijwilliger of zegt een lid op? Dan verwijdert u in principe de gegevens die u niet meer nodig heeft. Soms verplicht een andere wet u om gegevens langer te bewaren. Zo moet uw stichting de financiële administratie, zoals gegevens over donaties en betalingen, zeven jaar bewaren vanwege de fiscale bewaarplicht. Leg de bewaartermijnen vast in uw verwerkingsregister en uw privacyverklaring.