Je bent secretaris van een voetbalvereniging, handbalclub of tennisvereniging en iemand vraagt je: “Hebben jullie eigenlijk een privacyverklaring?” Je wijst trots naar een PDF op de website die drie jaar geleden is gekopieerd van een andere club. Daarin staat niets over wedstrijdfoto’s, niets over de sportbond, en bewaartermijnen ontbreken volledig. De Autoriteit Persoonsgegevens ziet dit patroon bij vrijwel elke sportvereniging die ze onder de loep neemt. Een privacyverklaring voor een sportvereniging is geen invuloefening van twee regels: een gemiddelde club verwerkt gegevens in minstens zeven verschillende categorieën, elk met een eigen grondslag en eigen risico’s. Dit artikel loopt ze stuk voor stuk langs.

Wat de AP van een sportvereniging verwacht

Een geldige privacyverklaring moet concreet zijn. De AP hanteert als norm dat een betrokkene, dus een lid, ouder of vrijwilliger, na het lezen van de verklaring precies weet waarvoor zijn gegevens worden gebruikt, hoe lang ze worden bewaard, wie ze ontvangt en hoe hij zijn rechten uitoefent. Vaag taalgebruik zoals “wij kunnen uw gegevens delen met partners” voldoet niet. Elke verwerking heeft een omschrijving van het doel, de grondslag, de bewaartermijn en de categorieën ontvangers nodig.

De zeven verwerkingscategorieën op een rij

De tabel hieronder geeft een overzicht van de verwerkingen die in vrijwel elke privacyverklaring van een sportvereniging thuishoren. De juiste grondslag bewaartermijn en ontvangers zijn per categorie uitgewerkt in de secties daarna.

Verwerking Grondslag Bewaartermijn Ontvangers
Ledenadministratie en contributie Uitvoering overeenkomst 7 jaar na uitschrijving (fiscaal) Sportbond, penningmeester, ledenadministrateur
Teamindelingen en wedstrijdopgaven Gerechtvaardigd belang of toestemming Duur lidmaatschap + 1 seizoen Sportbond, tegenstanders (naam/speeldatum)
Wedstrijdfoto’s en video’s Toestemming (minderjarigen: ouder/voogd) Zolang toestemming geldt Website, sociale media, clubmagazine
Medische informatie en blessures Uitdrukkelijke toestemming (bijzondere gegevens) Duur lidmaatschap Trainer, EHBO-coördinator
Vrijwilligers en trainers Uitvoering overeenkomst of gerechtvaardigd belang 7 jaar na beëindiging (fiscaal) Bestuur, sportbond (indien verplicht)
Communicatie en nieuwsbrieven Toestemming of gerechtvaardigd belang Tot afmelding E-mailprovider, communicatieplatform
Cameratoezicht en toegangsregistratie Gerechtvaardigd belang (veiligheid) Maximaal 4 weken (beeldmateriaal) Beveiligingsdienst, politie bij incident

Categorie 1: Ledenadministratie en contributiebetaling

De grondslag hier is uitvoering van de overeenkomst: iemand wordt lid, en daarvoor moet de club naam, adres, geboortedatum en betaalgegevens verwerken. Wat veel clubs fout doen, is kritiekloos alles doorgeven aan de sportbond. Controleer wat de bond werkelijk nodig heeft. Een naam en geboortedatum voor een licentie: prima. Een IBAN-nummer of medische informatie: bijna nooit nodig. Vermeld in je privacyverklaring expliciet welke gegevens je aan de bond doorgeeft en waarom.

Categorie 2: Teamindelingen en wedstrijdopgaven

Voor interne teamlijsten kun je gerechtvaardigd belang inroepen: de club heeft een legitiem doel (competitie organiseren) en het belang van de speler weegt daar in redelijkheid niet tegen op. Maar zodra namen en andere gegevens publiek op een website komen te staan of worden gedeeld met externe partijen buiten de bond, moet je toestemming hebben. Een digitaal wedstrijdformulier met naam en spelerslicentie dat naar een externe scheidsrechtersapp gaat, valt ook onder deze categorie.

Categorie 3: Wedstrijdfoto’s en verenigingsvideo’s

Dit is de categorie waar de meeste fouten ontstaan. Foto’s van herkenbare personen zijn persoonsgegevens. Voor volwassenen in een publieke wedstrijdomgeving kun je in bepaalde gevallen gerechtvaardigd belang inroepen, maar zodra je die foto’s op sociale media plaatst of gebruikt voor promotie, is toestemming de veiligste grondslag. Voor minderjarigen geldt altijd toestemming van ouder of voogd, ongeacht de omgeving. Besloten omgevingen zoals een kleedkamer of trainingsruimte vereisen altijd expliciete toestemming.

Praktisch: vraag bij inschrijving een eenmalige toestemming voor publicatie van foto’s, met een duidelijke opt-outmogelijkheid. Leg dit vast en vermeld in de privacyverklaring hoe iemand toestemming kan intrekken en wat er dan met al gepubliceerde foto’s gebeurt.

Categorie 4: Medische informatie en blessureregistratie

Medische gegevens zijn bijzondere persoonsgegevens. Een registratieformulier waarop ouders aangeven dat hun kind astma heeft of een ernstige allergie, valt hier volledig onder. De grondslag is uitdrukkelijke toestemming, apart gevraagd en apart gedocumenteerd. Dit betekent concreet: een apart vakje op het inschrijfformulier, niet verborgen in algemene voorwaarden. Vermeld in de privacyverklaring wie toegang heeft tot deze gegevens (alleen de trainer en de EHBO-coördinator, niet het hele bestuur), hoe ze worden opgeslagen (beveiligd, niet in een gedeeld spreadsheet) en wanneer ze worden verwijderd.

Categorie 5: Vrijwilligers en trainers

Een veelgemaakte fout: clubs vermelden hun ledenverwerking keurig maar vergeten dat vrijwilligers en trainers een aparte categorie zijn. Ook als een vrijwilliger toevallig ook lid is, gelden voor zijn vrijwilligersgegevens (denk aan bankgegevens voor een kleine vergoeding, VOG-documenten, of contactgegevens voor roostering) andere doelen en mogelijk andere grondslagen. Vermeld ze apart in de privacyverklaring.

Categorie 6: Communicatie en nieuwsbrieven

Voor een nieuwsbrief over clubnieuws naar eigen leden kun je gerechtvaardigd belang inroepen, mits er een eenvoudige afmeldmogelijkheid is. Voor commerciële berichten of berichten aan oud-leden is opt-in toestemming nodig. In de privacyverklaring moet staan: via welk platform de nieuwsbrief wordt verstuurd (bijvoorbeeld Mailchimp, dat gegevens buiten de EU verwerkt), hoe iemand zich afmeldt, en of afmeldgedrag wordt bijgehouden.

Categorie 7: Cameratoezicht en toegangsregistratie

Heeft de club camera’s bij de ingang van het sportcomplex of in de kantine? Dan is een vermelding in de privacyverklaring verplicht. Daarnaast moet er een zichtbaar pictogram hangen bij de camera. Beeldmateriaal mag in principe niet langer dan vier weken worden bewaard, tenzij er een incident is dat langere bewaring rechtvaardigt. Leg in de verklaring vast wie toegang heeft tot de beelden en onder welke omstandigheden ze worden gedeeld met bijvoorbeeld de politie.

De vier structurele fouten die de AP terugziet

  • Te vage doelomschrijvingen. “Wij gebruiken uw gegevens voor onze dienstverlening” is geen doel. Schrijf: “Wij gebruiken uw naam en e-mailadres om u de wekelijkse nieuwsbrief te sturen over trainingstijden en clubnieuws.”
  • Ontbrekende bewaartermijnen. Elke verwerking heeft een concrete termijn nodig, of op zijn minst de criteria om die termijn te bepalen.
  • Geen vermelding van doorgifte aan de sportbond. De bond is een derde partij. Vermeld altijd welke gegevens je deelt, op welke grondslag en of de bond als verwerker of als zelfstandig verwerkingsverantwoordelijke optreedt.
  • Toestemming als grondslag voor verplichte verwerkingen. Als een lid contributiebetaling weigert, kan het geen lid blijven. Toestemming voor die verwerking is dan niet vrijwillig en dus ongeldig. Gebruik de juiste grondslag: uitvoering overeenkomst.

Checklist voor bestuurders en secretarissen

Loop de volgende twaalf punten langs om een bestaande privacyverklaring te beoordelen:

  • 1. Zijn alle zeven verwerkingscategorieën beschreven?
  • 2. Is per categorie een concrete grondslag vermeld?
  • 3. Staan er bewaartermijnen of criteria daarvoor bij elke verwerking?
  • 4. Is de doorgifte aan de sportbond beschreven, inclusief welke gegevens?
  • 5. Staat er een aparte passage over bijzondere persoonsgegevens (medisch)?
  • 6. Is de toestemmingsprocedure voor foto’s en video’s beschreven?
  • 7. Is er een aparte passage voor minderjarigen?
  • 8. Staan vrijwilligers en trainers apart vermeld?
  • 9. Is cameratoezicht beschreven als dat van toepassing is?
  • 10. Zijn de rechten van betrokkenen (inzage, correctie, verwijdering) uitgelegd?
  • 11. Staat er een contactadres of functionaris gegevensbescherming vermeld?
  • 12. Is er een versiedatum op de verklaring?

Vindplaats, taal en versiedatum

Een privacyverklaring die alleen vindbaar is via een link in de footer van de mobiele versie van de website voldoet niet aan de eis van transparantie. De verklaring moet bereikbaar zijn via de homepage, bij elk inschrijfformulier en bij elk communicatieformulier. Schrijf in begrijpelijke taal, zonder juridisch jargon. Voeg altijd een versiedatum toe zodat leden weten of de verklaring actueel is. Bij een wijziging in de verwerkingen informeer je betrokkenen actief, bijvoorbeeld via de nieuwsbrief.

Een privacyverklaring voor een sportvereniging is meer werk dan één pagina tekst, maar het is goed te doen zonder juridische achtergrond. Beschrijf eerlijk wat je doet met gegevens, waarom, hoe lang en wie ze ziet. Gebruik de checklist hierboven om een bestaande verklaring te beoordelen, of begin opnieuw met de gratis generator op deze site. Dan hoef je de volgende keer als iemand vraagt naar jullie privacyverklaring niet meer te improviseren.