V. Moet iedere voedselbank een Privacystatement en een Verwerkingsregister hebben ?
A. Ja. In de Privacystatement moet o.a. worden geïnformeerd over wat de VB met de persoonsgegevens doet en waarom. Een privacystatement kan het beste op de website worden geplaatst. Het Verwerkingsregister bevat o.a. een overzicht van alle verwerkingsactiviteiten en moet actueel zijn. Deze kan iedere voedselbank zelf maken met behulp van de beschikbare formats.
V. Wat moet de VB met zo’n Privacystatement en Verwerkingsregister doen ?
A. De VB moet zorgen dat beide documenten actueel zijn. Dit betekent dat de namen van de juiste medewerkers hierin moeten zijn opgenomen en dat de processen die erin worden beschreven actueel zijn. Als de werkprocessen veranderen moet het protocol worden aangepast. Daarnaast moet de VB erop toezien dat wat er in de documenten beschreven staat in de praktijk wordt uitgevoerd.
V. Mag je als voedselbank een BSN-nummer gebruiken? En doorgeven, bijvoorbeeld aan de gemeente?
A. Nee, dit mag alleen als dit in een specifieke wet is bepaald.1 Bij de voedselbanken is hiervan geen sprake.
V. Mag ik gegevens van klanten aan derden doorgeven, bijvoorbeeld aan de gemeente? Of aan “jarige Job”, of aan “Kinderen van de voedselbank”?
A. Het doorgeven van dit soort gegevens is niet noodzakelijk voor het werk van een Voedselbank. Dit mag dus alleen als de klant hiervoor toestemming heeft gegeven (zie privacystatement voedselbanken). De Voedselbank moet kunnen laten zien dat er toestemming is gegeven, dus vraag schriftelijk toestemming hiervoor.
V. Mogen gegevens over het googelen e.d. op onze site worden bijgehouden en doorgegeven?
Als die gegevens anoniem zijn: geen probleem. Let op: het is vaak lastig gegevens echt anoniem te krijgen. Vaak zijn de gegevens dus nog wel terug te leiden naar personen. Als de gegevens naar personen te herleiden zijn: naar privacystatement verwijzen (als het kan: op laten poppen en desgewenst laten goedkeuren).
V. Hoe zit het met het toesturen van mailings en nieuwsbrieven, mag dat zo maar?
A. Het toesturen van mailings en nieuwsbrieven naar bestaande klanten is toegestaan. Voedselbanken zullen dat doorgaans alleen maar doen naar emailadressen die ze van de personen in kwestie zelf hebben ontvangen. Je moet aan de ontvangers in de mailings steeds een heel gemakkelijke mogelijkheid bieden om zich onmiddellijk uit te schrijven (via klikken op een button o.i.d.). Wanneer niet-klanten worden benaderd, mag dit alleen wanneer hiervoor toestemming is gegeven door de persoon in kwestie.
V. Moet het Privacystatement, dat wij ontvangen hebben, niet uitgebreider?
A. Op zich staat hier alles kort samengevat in. Wie wil, kan het uitbreiden of aanpassen. Er zijn op internet allerlei tools hiervoor te vinden. U zult dan zelf moeten bekijken of alles voldoet aan de EU-regels.
V. Wij laten onze gegevens door een bureau/bedrijfje/wizzkid in de computer zetten. Is dat OK?
A. Ja, dit bedrijf is dan een verwerker. U moet met dit bedrijf wel een zogeheten “verwerkersovereenkomst” sluiten. Een model-verwerkersovereenkomst vindt u op de privacypagina op de Voedingsbodem. Let wel op dat dit bedrijf alleen de gegevens in opdracht van de Voedselbank verwerkt en niet voor eigen doeleinden aan de slag gaat met de gegevens.
V. Moet ik ook een verwerkersovereenkomst sluiten als ik met voedselbank.nu werk?
A. Voedselbanken Nederland zal organiseren dat alle leden die met dit programma werken, een overeenkomst sluiten met de verwerker. Daar zijn we nog mee bezig.
V. Moet ik een geheimhoudingsovereenkomst sluiten met de medewerkers?
A. Ja. Met medewerkers die werken met c.q. kunnen kijken in de persoonsgegevens van klanten, vrijwilligers, donateurs en leveranciers moet een geheimhoudingsovereenkomst worden gesloten. Meestal zit in de vrijwilligersovereenkomsten al een geheimhoudingsclausule. Dat is voor vrijwilligers voldoende. U kunt bij ons Servicecentrum een modelovereenkomst krijgen.
V. Moet een voedselbank een Data Protection Impact Assesment uitvoeren?
A. Dit hoeft alleen als een verwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Hiervan is bij de Voedselbank geen sprake.
V. Moet de voedselbank een functionaris voor de gegevens verwerking en bescherming hebben (Data Protection Officer) ?
A. Nee
V. Hoe zit het met draagbare computers of gegevensdragers ?
A. Het is belangrijk dat persoonsgegevens goed zijn beveiligd, ook wanneer deze zich op draagbare computers of gegevensdragers bevinden. Deze moeten goed beveiligd zijn en niet onbeheerd worden achtergelaten. Zie het document ‘beveiliging’ op de privacypagina van de Voedingsbodem voor meer informatie over beveiliging.
V. Wat als een computer of een usb stick wordt gestolen of kwijt raakt?
A. Kom direct in actie. In veel gevallen moet een dergelijk datalek binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens. Zie het document ‘Handleiding datalek voedselbanken’ op de privacypagina van de Voedingsbodem voor meer informatie.
Tekst dd 10 april 2022