Wetgeving en regels
Wanneer is een VOG verplicht en wat mag je volgens de AVG van vrijwilligers vastleggen?
Rond vrijwilligers en privacy circuleren veel halve waarheden: dat een VOG altijd verplicht zou zijn, dat je niets meer mag vastleggen, of juist dat de AVG voor vrijwilligersorganisaties niet geldt. Dit artikel zet op een rij wat er werkelijk in de wet staat en wat dat betekent voor de coordinator die morgen weer een koppeling moet maken.
Twee sporen die vaak door elkaar lopen
De vragen die coordinatoren stellen, gaan meestal over twee verschillende dingen tegelijk. Het eerste spoor is screening: mag of moet ik weten of iemand veilig bij kwetsbare mensen over de vloer komt? Het tweede spoor is gegevensbescherming: wat mag ik van die persoon vastleggen en hoe lang?
Die twee sporen hebben een andere herkomst. Screening draait om de Verklaring Omtrent het Gedrag, die door Justis wordt afgegeven. Gegevensbescherming draait om de Algemene verordening gegevensbescherming, die sinds 25 mei 2018 van toepassing is en in Nederland wordt aangevuld door de Uitvoeringswet AVG. Toezichthouder is de Autoriteit Persoonsgegevens.
Het loont om ze uit elkaar te houden, want een organisatie kan haar screeningsbeleid prima op orde hebben en tegelijk de gegevensbescherming volledig laten liggen. Andersom komt ook voor.
De VOG: wanneer je erom vraagt en wat je ermee doet
Er bestaat geen algemene regel die voor elke vrijwilliger in Nederland een Verklaring Omtrent het Gedrag verplicht stelt. In sommige sectoren volgt de eis uit sectorregels, in andere gevallen uit de eisen van een subsidieverstrekker, een verzekeraar of een landelijke koepel. In veel welzijnsorganisaties is het bovendien gewoon eigen beleid.
De praktische vraag is dus niet of het moet, maar voor welke rollen je het wilt. Een bruikbaar onderscheid loopt langs drie situaties.
- Rollen waarin iemand alleen thuiskomt bij mensen in een kwetsbare positie, zoals bezoekvrijwilligers en maatjes.
- Rollen met toegang tot geld, sleutels of gegevens van bewoners, zoals penningmeester of administratief vrijwilliger.
- Rollen met begeleiding van kinderen of jongeren, waar screening vrijwel altijd tot het beleid hoort.
Kies je ervoor om een verklaring te vragen, leg dan vast waarom je dat voor die rol doet. Dat is niet alleen goed voor de uitlegbaarheid richting vrijwilligers, het voorkomt ook willekeur: de een wel en de ander niet, zonder dat iemand nog weet waarom.
Wat je registreert en wat je bewaart
Voor de administratie volstaat vrijwel altijd de vaststelling dat je het document hebt gezien. Noteer de datum waarop je het hebt ingezien, de datum van afgifte door Justis en bij welke rol het hoort. Een kopie bewaren is een zwaardere verwerking en is alleen verdedigbaar als je daar een concrete reden voor hebt.
Beperk daarnaast de kring die erbij kan. In veel organisaties hoeft alleen de coordinator en een bestuurslid dit veld te zien. De rest van het team heeft genoeg aan het signaal dat iemand voor een bepaalde rol inzetbaar is. Welke andere velden er in het dossier horen, staat in de checklist voor een compleet vrijwilligersdossier.
Wat de AVG wel en niet van je vraagt
De AVG maakt geen uitzondering voor vrijwilligersorganisaties. Zodra je namen, adressen, telefoonnummers en aantekeningen over mensen verwerkt, gelden de regels, of dat nu in een systeem gebeurt of in een spreadsheet op een gedeelde schijf.
Dat betekent niet dat je niets mag vastleggen. Het betekent dat je per gegeven moet kunnen uitleggen waarom je het nodig hebt, hoe lang je het houdt en wie erbij kan. Vier verplichtingen zijn voor een welzijnsorganisatie of buurthuis het meest concreet.
| Onderwerp | Grondslag | Wat het van je vraagt |
|---|---|---|
| Verwerkingsregister | Artikel 30 AVG | Een overzicht van je verwerkingen, doelen, ontvangers en bewaartermijnen |
| Verwerkersovereenkomst | Artikel 28 AVG | Schriftelijke afspraken met elke partij die voor jou gegevens verwerkt |
| Bijzondere persoonsgegevens | Artikel 9 AVG | Extra terughoudendheid bij onder meer gezondheidsgegevens |
| Gegevensbeschermingseffectbeoordeling | Artikel 35 AVG | Een voorafgaande beoordeling bij verwerkingen met een hoog risico |
Het verwerkingsregister geldt vrijwel altijd
Veel kleine organisaties denken dat ze geen register hoeven bij te houden omdat ze minder dan 250 medewerkers hebben. Die uitzondering bestaat, maar zij vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft. Een steunpunt dat structureel hulpvragen registreert, voldoet daar in de praktijk aan. De plicht geldt daardoor bijna altijd.
Het register hoeft geen dik document te zijn. Een tabel met per verwerking het doel, de categorieën betrokkenen, de gegevens, de ontvangers en de bewaartermijn is genoeg, mits hij klopt en wordt bijgehouden.
Gezondheidsgegevens van bewoners: de gevoeligste categorie
Bij hulpvragen kom je bijna vanzelf bij gezondheid uit. Iemand is slecht ter been, iemand raakt in de war, iemand herstelt van een behandeling. Zulke gegevens vallen onder artikel 9 AVG en gelden als bijzondere persoonsgegevens, met een strenger regime dan gewone gegevens.
De praktische lijn die in de wijk werkt: leg vast wat de vrijwilliger nodig heeft om zijn werk goed en veilig te doen, en niet meer. Een vrijwilliger die iemand ophaalt, moet weten dat er geen lift is en dat mevrouw langzaam loopt. De onderliggende diagnose helpt hem niet en hoort niet in zijn scherm.
Vraag je bij elk veld af wat een vrijwilliger ermee gaat doen. Kun je die vraag niet beantwoorden, dan hoort het veld er niet.
Zet gevoelige notities in een apart afgeschermd veld met een beperkte kring lezers. Dat is niet alleen een technische maatregel, het dwingt ook tot nadenken op het moment van schrijven. Hoe je dit in een intakeroute inbouwt, staat stap voor stap in het stappenplan van hulpvraag naar match in het steunpunt.
Leveranciers, datalekken en de rechten van mensen
Werk je met software, een mailinglijst of een boekhouder die gegevens voor jou verwerkt, dan heb je een verwerkersovereenkomst nodig volgens artikel 28 AVG. Daarin staan onder meer de afspraken over toegang, beveiliging, bewaartermijnen en teruggave of vernietiging aan het einde van het contract.
Gaat er iets mis, dan geldt een korte termijn. Een datalek moet binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Alle datalekken moeten daarnaast intern worden geregistreerd, ook de kleine. De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Vrijwilligers en bewoners hebben ook zelf rechten: inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. Een verzoek moet je binnen een maand beantwoorden, met een verlenging van maximaal twee maanden. Spreek daarom vooraf af wie zo'n verzoek afhandelt en waar de gegevens staan, want dat is de helft van het werk.
Aangrenzende regels die soms meespelen
Levert je organisatie naast welzijn ook zorg, dan komt de Wet kwaliteit, klachten en geschillen zorg in beeld, die sinds 1 januari 2016 in werking is. Die vraagt om een klachtenregeling met een onafhankelijke klachtenfunctionaris en aansluiting bij een erkende geschilleninstantie; een klacht handel je binnen zes weken af, met een verlenging van maximaal vier weken.
Ben je een vereniging of stichting, dan geldt sinds 1 juli 2021 de Wet bestuur en toezicht rechtspersonen, met regels over tegenstrijdig belang, bestuurdersaansprakelijkheid en een regeling voor belet en ontstentenis. Wat er verder verandert in het werkveld, staat in het overzicht van ontwikkelingen die vrijwilligerscoordinatoren raken.
Van regels naar dagelijkse praktijk
De vertaling naar de werkvloer is uiteindelijk klein en concreet. Vijf gewoonten vangen het grootste deel af.
- Bepaal per rol of je om een Verklaring Omtrent het Gedrag vraagt, en schrijf de reden erbij.
- Registreer alleen de inzage en de datum, niet standaard een kopie van het document.
- Houd een verwerkingsregister bij en actualiseer het als er een systeem of leverancier verandert.
- Scherm gezondheidsgerelateerde notities af en houd de kring lezers klein.
- Leg vast wie een inzageverzoek of een datalek afhandelt, en oefen dat één keer.
Conclusie: uitlegbaar werken kost minder dan je denkt
Wat de wet van een vrijwilligersorganisatie vraagt, komt neer op één ding: kunnen uitleggen waarom een gegeven er staat, wie het ziet en wanneer het weggaat. Dat is haalbaar zonder juridische afdeling, mits je systeem het ondersteunt in plaats van tegenwerkt.
Vrijwilligersinzet is daarop gebouwd: het wijkoverzicht van Vrijwilligersinzet houdt de VOG-status per rol bij, schermt gevoelige velden af, registreert wie waar bij kan en bewaart de gegevens binnen de Europese Unie, met een verwerkersovereenkomst volgens artikel 28 AVG. Wil je nagaan of dat past bij jouw rollen en hulpvragen, vraag dan een demo aan via het contactformulier. Meer over de achtergrond van deze artikelenreeks lees je op de pagina van Jimenez Julien.
