AVG in de sportschool: ledendata, biometrie en cameratoezicht

Een sportschool verzamelt veel meer persoonsgegevens dan een exploitant meestal beseft, en de meest voorkomende overtreding zit in de biometrische toegangscontrole. Namen, adressen, bankgegevens, gezondheidsverklaringen, badge- en toegangsregistraties, camerabeelden en prestatiegegevens van connected apparatuur vallen allemaal onder de Algemene Verordening Gegevensbescherming (AVG), Verordening (EU) 2016/679. Boetes kunnen oplopen tot 4% van de wereldwijde jaaromzet of 20 miljoen euro, wat het hoogste is. Deze gids loopt de praktische verplichtingen van een sportschoolexploitant langs, met bijzondere aandacht voor de valkuilen van biometrie en connected apparatuur.

De AVG geldt rechtstreeks in de hele Europese Unie. Elke lidstaat heeft daarnaast zijn eigen toezichthoudende autoriteit en nationale uitvoeringswetgeving die punten zoals cameratoezicht of bewaartermijnen voor administratie verder invult xE2x80x94 in Nederland is dat de Autoriteit Persoonsgegevens (AP). Toets die specifieke punten daarom aan de regelgeving die in uw land geldt.

De kernverplichtingen

Voor een sportschool zijn de belangrijkste verplichtingen: een register van verwerkingsactiviteiten conform artikel 30; een vastgestelde rechtsgrondslag per verwerking (overeenkomst, toestemming, gerechtvaardigd belang of wettelijke verplichting); heldere informatie op het moment van verzameling; respect voor de rechten van het lid xE2x80x94 inzage, rectificatie, verwijdering, overdraagbaarheid, bezwaar en beperking; beveiligingsmaatregelen die in verhouding staan tot het risico; melding van datalekken aan de toezichthouder binnen 72 uur; en schriftelijke verwerkersovereenkomsten met alle verwerkers.

De vijf categoriexC3xABn gegevens die een sportschool verwerkt

Gegevens van een bijzondere categorie vereisen uitdrukkelijke toestemming of een van de nauw omschreven uitzonderingen van artikel 9 lid 2, plus de zwaarste beschikbare beveiligingsmaatregelen.

Biometrische toegangscontrole: waar de meeste clubs de fout in gaan

Veel clubs gebruiken vingerafdruk-, gezichts- of handpalmherkenning voor de toegang van leden, met het comfortargument: geen pasje meer om kwijt te raken. In de overgrote meerderheid van de gevallen is die praktijk niet conform.

De redenering volgt het proportionaliteitsbeginsel van artikel 5. Biometrie is niet gerechtvaardigd voor eenvoudige toegangscontrole tot een sportschool, omdat een pasje, een lidmaatschapskaart of een gebruikersnaam met wachtwoord dezelfde functie vervult zonder biometrische gegevens te verwerken. Toestemming alleen redt de situatie niet als biometrie de enige aangeboden toegangsmethode is: er moet altijd een niet-biometrisch alternatief beschikbaar zijn op verzoek, zonder meerkosten en zonder beperking van de dienstverlening. Wanneer biometrie echt gerechtvaardigd is, hoort de opslag idealiter lokaal te zijn, op een drager die het lid zelf bewaart, en niet gecentraliseerd op een server xE2x80x94 een centrale database met biometrische templates vergroot de schade bij een datalek aanzienlijk. Een gegevensbeschermingseffectbeoordeling (DPIA) volgens artikel 35 is verplicht vxC3xB3xC3xB3r elke systematische biometrische verwerking.

In de praktijk: een club die de vingerafdruk als enige toegangsmethode gebruikt, zonder alternatief, zonder gedocumenteerde DPIA en zonder geformaliseerde uitdrukkelijke toestemming, is niet conform. De gevolgen lopen van een formele waarschuwing, die openbaar kan worden gemaakt, tot een bestuurlijke boete. Overstappen op een RFID-pasje of een gebruikersnaam lost het probleem bij de wortel op.

Software voor ledenbeheer en verwerkersovereenkomsten

De meeste clubs gebruiken een beheerplatform voor reserveringen, facturatie en toegang. Die leveranciers zijn verwerkers in de zin van artikel 28, en de exploitant blijft de verwerkingsverantwoordelijke. Een ontbrekende of onvolledige verwerkersovereenkomst is een van de overtredingen die bij controles in de sportsector het vaakst worden aangetroffen.

De overeenkomst moet schriftelijk zijn en de duur, het doel, de beveiligingsmaatregelen en de bestemming van de gegevens bij het einde van de relatie vastleggen. Controleer waar de servers staan: verlaten gegevens de Europese Economische Ruimte, dan zijn aanvullende waarborgen vereist, meestal standaardcontractbepalingen. Houd een toegangsregister bij van welk personeel van de verwerker bij de gegevens kan, beperkt tot wat strikt noodzakelijk is. Tot slot moet de overeenkomst de verwerker verplichten u snel genoeg over een datalek te informeren zodat u zelf binnen 72 uur kunt melden.

Cameratoezicht in een sportschool

Cameratoezicht valt onder een dubbel kader: de AVG voor de vastgelegde persoonsgegevens, en de nationale regelgeving voor cameratoezicht op voor het publiek toegankelijke plaatsen. In verschillende lidstaten is voor cameraxE2x80x99s in publiek toegankelijke zones xE2x80x94 zoals een receptie die zonder lidmaatschap toegankelijk is xE2x80x94 bovendien een voorafgaande vergunning of melding vereist: controleer het geldende regime voordat u installeert.

De overige regels zijn streng en snel overtreden. De bewegwijzering bij de ingang moet vermelden dat er cameratoezicht is, met welk doel, hoe lang beelden worden bewaard, wie verantwoordelijk is en hoe rechten kunnen worden uitgeoefend. De bewaartermijn moet kort zijn xE2x80x94 in verschillende nationale regimes vastgesteld op 30 dagen xE2x80x94 tenzij een concreet incident bewaring rechtvaardigt voor een lopende procedure. Kleedkamers, toiletten en douches mogen nooit worden gefilmd, zonder uitzondering. Permanente opname van de werkplekken van personeel, inclusief receptie en instructeurs, is verboden, zowel volgens arbeidsrecht als volgens de AVG. Houd een register bij van wie welke beelden heeft bekeken, wanneer en waarom.

Gezondheidsgegevens en connected apparatuur

Gezondheidsgegevens vallen onder de bijzondere categorie, of ze nu afkomstig zijn van een medische verklaring, een zelfevaluatievragenlijst of een hartslagband. De rechtsgrondslag moet stevig zijn, de toegang beperkt tot bevoegd personeel via een gescheiden softwaregedeelte, de bewaartermijn proportioneel (doorgaans de duur van het lidmaatschap plus de wettelijke bewaartermijn voor contracten die in uw land geldt), en de database versleuteld, zowel in rust als tijdens verzending.

Connected apparatuur is het nieuwste terrein. Loopbanden, fietsen en krachtmachines met touchscreen en smart resistance verzamelen tegenwoordig aanzienlijke hoeveelheden individuele prestatiegegevens. Voordat u een connected park aanschaft, bepalen drie vragen uw blootstelling.

De eenvoudigste conformiteitsbeslissing is vaak een specificatiebeslissing. Een robuust mechanisch park met lokale consoles verzamelt niets, en in veel clubs gebruikt slechts een minderheid van de leden de connected functies. Onze professionele cardioapparatuur en professionele krachttrainingsmachines zijn beschikbaar in zowel connected als niet-connected uitvoering.

Veelgestelde vragen

Hebben we een functionaris voor gegevensbescherming (FG) nodig?

Een zelfstandige club voldoet zelden aan de criteria voor verplichte aanstelling, die draaien om grootschalige observatie of grootschalige verwerking van bijzondere gegevens. Een meerlocatieketen die biometrie, gezondheidsvragenlijsten en connected prestatietracking combineert, kan die drempel wel overschrijden. Vrijwillig aanstellen mag altijd en is vaak de goedkoopste manier om het verwerkingsregister actueel te houden.

Hoe lang mogen we het dossier van een oud-lid bewaren?

Zolang de relatie loopt, plus de wettelijke bewaartermijn die in uw land voor contracten en boekhoudkundige gegevens geldt. Verwijder de gegevens daarna, of breng ze over naar een beveiligd archief met beperkte toegang. Een volledig, actief dossier onbeperkt bewaren voor commercixC3xABle doeleinden is niet verdedigbaar.

Mogen we fotoxE2x80x99s van leden op sociale media plaatsen?

Alleen met specifieke, gexC3xAFnformeerde en vrij gegeven toestemming voor dat doel, apart verkregen van het lidmaatschapscontract en herroepelijk. Een clausule verstopt in de algemene voorwaarden is geen geldige toestemming. Bewaar de toestemmingsregistraties: precies dat wordt bij controle gevraagd.

Lost overstappen van biometrie naar pasjes alles op?

Het neemt het moeilijkste probleem weg. Pasjesregistraties blijven persoonsgegevens en vereisen nog steeds een rechtsgrondslag, informatie aan de betrokkene, een bewaartermijn en toegangsbeperkingen, maar het zijn gewone gegevens en geen bijzondere categorie, en er is geen voorafgaande DPIA nodig voor eenvoudige toegangscontrole.

Specificeer een park dat past bij uw compliance-positie