Ledenlijst en de AVG: wat een kleine gemeente écht goed moet doen

Een ledenlijst van een gemeente valt onder de AVG zodra hij namen, contactgegevens of foto's van herkenbare personen bevat, ook als je gemeente klein is, door vrijwilligers wordt gedraaid, en zichzelf nooit als 'een gegevensbedrijf' heeft gezien. In de praktijk betekent dat: een grondslag kiezen om de gegevens te mogen bewaren, alleen verzamelen wat je echt nodig hebt, leden zelf laten bepalen wat zichtbaar is, en een inzage- of verwijderverzoek goed kunnen beantwoorden. Deze gids behandelt elk van die punten in gewone taal.

Ben je de voorganger, de kerkbeheerder, of de ene vrijwilliger die 'de computerdingen doet', dan ben je mogelijk al de persoon die wettelijk verantwoordelijk is voor hoe de gegevens van je gemeente worden behandeld, of dat nu ooit hardop is uitgesproken of niet. Dat is niet bedoeld om je ongerust te maken. Het meeste van wat de AVG van een ledenlijst vraagt, is gezond verstand zodra het is uitgeschreven, en een goed gebouwd ledenlijstsysteem doet het meeste zware werk al voor je. Dit is algemene informatie om je op weg te helpen, geen juridisch advies. Voor alles wat specifiek is voor jouw gemeente is een adviseur gegevensbescherming of de Autoriteit Persoonsgegevens de juiste plek om de details te bevestigen.

Je gemeente is een 'verwerkingsverantwoordelijke', ja, ook een kleine

Onder de AVG is een 'verwerkingsverantwoordelijke' wie beslist waarom en hoe persoonsgegevens worden verzameld en gebruikt. Houdt je gemeente een lijst bij met namen, telefoonnummers, e-mailadressen of foto's van leden, dan is je gemeente, niet een softwareleverancier, niet een vrijwilliger die op eigen houtje handelt, de verwerkingsverantwoordelijke. Omvang ontslaat je daar niet van: een gemeente van veertig mensen, volledig gedraaid door vrijwilligers, draagt dezelfde basisverantwoordelijkheden als een grote organisatie.

Dat legt de verantwoordelijkheid bij de leiding van de gemeente (juridisch vaak de voorganger, de raad van oudsten, of de geregistreerde kerkelijke rechtspersoon), niet bij welke vrijwilliger dan ook die toevallig de spreadsheet bijhoudt. Het is de moeite waard om op papier vast te leggen wie die verantwoordelijkheid draagt, zodat hij niet stilletjes blijft rusten op wie het bestand vijf jaar geleden heeft aangemaakt en inmiddels is verhuisd.

Een grondslag kiezen voor de ledenlijst

De AVG vereist een grondslag om persoonsgegevens te mogen bewaren. Voor een ledenlijst van een gemeente gelden meestal twee grondslagen, en welke past hangt af van hoe de lijst wordt gebruikt.

• Toestemming. De duidelijkste grondslag voor een ledenlijst, zeker als een vermelding dingen bevat die een lid niet per se volledig openbaar wil hebben, zoals een huisadres, een mobiel nummer of een foto. Toestemming moet een echte, vrij gegeven ja zijn, geen vakje dat automatisch wordt aangevinkt bij de aanmelding als lid, en leden moeten haar later gemakkelijk kunnen intrekken.
• Gerechtvaardigd belang. Dit kan gelden voor beperktere, interne toepassingen, bijvoorbeeld een roostersysteem dat het telefoonnummer van een vrijwilliger nodig heeft om een herinnering te sturen, of pastoraal medewerkers die moeten zien wie in een kleine groep zit. Gerechtvaardigd belang vereist nog steeds dat je het belang van de gemeente afweegt tegen de redelijke verwachtingen van het lid, en het dekt geen gebruik waarvan een lid verrast of ongemakkelijk zou zijn als hij het te weten kwam.

Een praktische vuistregel: gebruik toestemming voor alles wat zichtbaar is voor de hele gemeente (een openbare vermelding, een foto, een lijst van een kleine groep die verder wordt gedeeld dan het eigen team), en bewaar gerechtvaardigd belang voor smalle, operationele toepassingen die een lid als normale kerkadministratie zou verwachten. Twijfel je, vraag het dan gewoon: een korte opt-in-vraag bij aanmelding ('Mogen we je naam en telefoonnummer opnemen in de ledenlijst, alleen zichtbaar voor andere leden?') lost het meeste hiervan in één zin op.

Dataminimalisatie: verzamel niet wat je niet nodig hebt

Een van de eenvoudigste en meest praktische principes van de AVG is dataminimalisatie: bewaar alleen de persoonsgegevens die je daadwerkelijk gebruikt. Ledenlijsten van gemeentes verzamelen door de jaren heen vaak steeds meer velden, omdat 'het misschien ooit nog van pas komt': geboortedata, namen van partners, werkgeversgegevens, huisadressen die ooit zijn verzameld voor een mailing die jaren geleden is gestopt. Elk ongebruikt veld is puur risico zonder bijbehorend voordeel.

Een nuttige jaarlijkse oefening: loop de velden van je ledenlijst langs en vraag jezelf bij elk veld af wat je zou doen als dit veld morgen zou verdwijnen. Is het eerlijke antwoord 'niets', verwijder het dan. Dit is vooral belangrijk voor gevoelige gegevens, zoals gezondheidssituaties, gebedspunten met medische of gezinsdetails, of meldingen rond veiligheid, die de AVG als 'bijzondere categorie' beschouwt, met extra zorgvuldigheid en in de meeste gevallen uitdrukkelijke toestemming om ze überhaupt vast te leggen. Legt je gebedspuntensysteem dit soort details vast, dan verdient dat dezelfde kritische blik als de ledenlijst zelf, niet een informele vrijstelling omdat het 'meer pastoraal dan administratief aanvoelt'.

Toestemming voor zichtbaarheid in de ledenlijst en fotogebruik

Bij bijna elke ledenlijst van een gemeente komen twee specifieke keuzes terug: wie een vermelding kan zien, en of er een foto bij staat.

Zichtbaarheid is geen alles-of-niets. Een goed ontworpen ledenlijst laat een lid kiezen om vermeld te staan voor de hele gemeente, alleen voor de eigen kleine groep, of alleen voor leiding en pastoraat, en laat diegene dat zelf bepalen, in plaats van één standaardinstelling te erven die misschien niet bij zijn of haar situatie past. Een lid dat een moeilijke gezinssituatie doormaakt, kan bijvoorbeeld heel redelijk willen dat zijn vermelding zichtbaar is voor de leiding, maar niet voor de bredere gemeente.

Foto's verdienen hun eigen toestemming, los van de basisvermelding. Iemand kan het prima vinden dat naam en telefoonnummer zichtbaar zijn voor medeleden, maar zich ongemakkelijk voelen bij een zichtbare foto, of andersom. Fototoestemming samenvoegen met één schakelaar 'in de ledenlijst: ja/nee' ontneemt leden een keuze die ze individueel zouden moeten kunnen maken.

Inzage- en verwijderverzoeken: waar een spreadsheet stilletjes tekortschiet

Onder de AVG kan elk lid vragen welke persoonsgegevens je gemeente over hem of haar bewaart (een 'inzageverzoek'), of vragen om ze te verwijderen ('recht op vergetelheid'). Beide verzoeken moeten binnen een redelijke termijn worden gehonoreerd, en voor allebei moet je precies weten waar de gegevens van die persoon zich bevinden.

Hier lopen een gedeelde spreadsheet, een stapel papieren formulieren en de persoonlijke notitieboekjes van een paar vrijwilligers écht vast. Vertrekt iemand uit de gemeente en vraagt hij om verwijdering van zijn gegevens, kun je dan met zekerheid zeggen dat ze weg zijn uit de ledenlijst, het roostersysteem, het check-in-logboek, de e-maillijst, en welke back-up dan ook die iemand achttien maanden geleden heeft gemaakt? In de meeste door vrijwilligers gedraaide opzetten weet eerlijk gezegd niemand dat volledig. De gegevens hebben zich verder verspreid dan wie dan ook bedoeld had, en niemand herinnert zich meer waar alle kopieën staan.

Een degelijk kerkbeheersysteem lost dit van huis uit op: één ledenrecord voedt de ledenlijst, het rooster en de check-in-module in plaats van drie losse kopieën, zodat een verwijderverzoek één plek raakt, niet vijf. Zoek software die een volledig overzicht van alles over een lid kan genereren (voor inzageverzoeken) en een complete, verifieerbare verwijdering kan uitvoeren (voor verwijderverzoeken), zonder dat een vrijwilliger met de hand elke hoek van het systeem hoeft na te pluizen.

Waar je op moet letten bij software voor een ledenlijst

Beoordeel je een systeem om de ledengegevens van je gemeente in te bewaren, dan zijn er een paar functies die echte AVG-ondersteunende software onderscheiden van een spreadsheet met een inlogscherm.

• Fijnmazige zichtbaarheidsinstellingen, per lid, per veld, zodat iemand vermeld kan staan zonder dat elk veld openbaar is.
• Aparte toestemmingsregistratie voor opname in de ledenlijst versus fotogebruik, idealiter met een vastlegging van wanneer toestemming is gegeven, en een gemakkelijke manier om haar in te trekken.
• Logboeken die tonen wie het record van een lid heeft bekeken of gewijzigd, zodat je eerlijk kunt antwoorden op de vraag wie hier toegang toe had, mocht die ooit gesteld worden.
• Export- en verwijdertools die met één actie een complete, lidspecifieke export of verwijdering opleveren, in plaats van een handmatige zoektocht door alle modules te vereisen.
• EU-hosting en dataresidentie. Waar de gegevens van je leden fysiek zijn opgeslagen, is belangrijk voor AVG-naleving en voor je eigen gemoedsrust; EU-hosting houdt die gegevens onder Europees recht, in plaats van onder een rechtsgebied met zwakkere waarborgen.

Niets hiervan hoeft ingewikkeld te zijn voor een gemeente van vijftig of honderd mensen. Het moet vanaf het begin in het systeem zijn ingebouwd, zodat de kerkbeheerder niet persoonlijk verantwoordelijk is om elke keer te onthouden wat er moet gebeuren. De software onthoudt het.

De ledenadministratie van Ekkli is hiermee in het achterhoofd gebouwd: gegevens gehost in de EU, een AVG-conforme dubbele-opt-in-toestemmingsengine voor alles waarover de gemeente communiceert, en een privé zelfbedieningsprofiel waarin elk lid zijn of haar eigen toestemming en gegevens rechtstreeks beheert, in plaats van een kerkkantoor dat elk verzoek met de hand afhandelt. Leden kunnen ook zelf hun gegevensexport aanvragen onder het AVG-recht op dataportabiliteit, rechtstreeks gegenereerd vanuit hun eigen record. Om precies te zijn over wat dit is: het is een beheerdersgerichte ledenadministratie met zelfbedieningstoestemming, gekoppeld aan een ledenlijst waarin ieder zelf bepaalt wat anderen kunnen zien, en die helemaal geen veld voor telefoonnummers heeft. Zie onze pagina over ledenadministratie voor het volledige verhaal. Start gratis, geen creditcard nodig. De gratis proefperiode van zes maanden bij Ekkli omvat presentatie en liveweergave, een subdomeinwebsite, de ledenadministratie, rooster en planning, aanmelden voor evenementen, pushmeldingen en preekaudio binnen een gedeeld tegoed van 2 GB, voor tot 50 mensen. Zet het gratis Ekkli-account van je gemeente op en bekijk de toestemmingsinstellingen zelf.

Veelgestelde vragen

Geldt de AVG voor kleine, door vrijwilligers gedraaide gemeentes?

Ja. De AVG geldt op basis van welke gegevens worden bewaard en hoe ze worden gebruikt, niet op basis van de omvang van de organisatie die ze bewaart. Een gemeente van dertig mensen, volledig gedraaid door vrijwilligers, is een verwerkingsverantwoordelijke op precies dezelfde manier als een grote organisatie, zodra ze persoonsgegevens van herkenbare leden bewaart.

Welke grondslag moet een gemeente gebruiken voor haar ledenlijst?

De meeste gemeentes leunen op toestemming voor alles wat zichtbaar is buiten de kernleiding, zoals een openbare vermelding, een foto, of een lijst van een kleine groep, en op gerechtvaardigd belang voor smalle operationele toepassingen zoals een roosterherinnering. Dit is algemene richtlijn; bevestig de details voor de exacte situatie van je gemeente bij een adviseur gegevensbescherming of de Autoriteit Persoonsgegevens.

Kan een lid vragen om uit de ledenlijst verwijderd te worden?

Ja. Onder het AVG-recht op vergetelheid kan een lid vragen om verwijdering van zijn of haar persoonsgegevens, en een gemeente moet dat verzoek binnen een redelijke termijn kunnen honoreren. Software die één ledenrecord aanhoudt over je ledenadministratie en rooster heen, plus een echte zelfbedieningsexport van gegevens, maakt dit veel dichter bij één handeling dan een handmatige zoektocht door meerdere systemen.

Hebben we aparte toestemming nodig voor foto's in de ledenlijst?

Het is goede praktijk om fototoestemming los te behandelen van de basisopname in de ledenlijst. Een lid kan het prima vinden dat naam en contactgegevens zichtbaar zijn, maar de foto liever niet, of andersom. Beide samenvoegen in één ja/nee-keuze ontneemt een beslissing die het lid individueel zou moeten kunnen maken.

Wat geldt als 'gevoelige' gegevens binnen een kerkelijke context?

De AVG behandelt gezondheidsinformatie en vergelijkbare details als 'bijzondere categorie' van gegevens, met extra zorgvuldigheid en over het algemeen uitdrukkelijke toestemming. Gebedspunten of pastorale notities die medische aandoeningen, mentale gezondheid of gezinscrises noemen, vallen hieronder, ook al voelen ze aan als gewoon pastoraat in plaats van formele gegevensverzameling.

Waar kunnen we de eigenlijke AVG-tekst lezen of officiële uitleg vinden?

Het officiële AVG-portaal van de Europese Commissie op ec.europa.eu is een goed neutraal startpunt, en de Autoriteit Persoonsgegevens kan vragen beantwoorden die specifiek zijn voor je land en gemeente.

Klaar om je gemeente een ledenlijst te geven die privacy als functie behandelt, niet als bijzaak? Start gratis, geen creditcard nodig. Maak het gratis Ekkli-account van je gemeente aan en stel vandaag nog je eerste zichtbaarheids- en toestemmingsinstellingen in.