Wetgeving en regels
Wanneer geldt de AVG voor uw collectie en wat moet u dan vastleggen?
Een collectie gaat over voorwerpen, maar een collectieadministratie gaat vrijwel altijd ook over mensen. Schenkers, bruikleengevers, vrijwilligers en de personen die op de foto's staan brengen persoonsgegevens mee, en daarmee geldt de AVG ook in een depot met vijf vrijwilligers. Dit artikel zet op een rij welke verplichtingen dat concreet oplevert en hoe u ze in het register verwerkt.
Waarom de AVG ook voor een klein museum geldt
De Algemene verordening gegevensbescherming is van toepassing sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. Er staat geen ondergrens in: een stichting met drie bestuursleden valt er net zo goed onder als een instelling met personeel. Toezichthouder is de Autoriteit Persoonsgegevens.
Dat betekent niet dat u een afdeling juridische zaken nodig heeft. Het betekent dat u van uw eigen administratie moet kunnen uitleggen welke gegevens erin staan, waarom u ze bewaart, hoe lang, en wie erbij kan. Voor een erfgoedorganisatie is dat goed te doen, omdat de verwerkingen overzichtelijk en vrij stabiel zijn.
De AVG beschermt levende personen. Gegevens over overleden personen vallen er niet onder, wat voor historisch materiaal veel ruimte geeft. Zorgvuldigheid blijft geboden: nabestaanden herkennen namen, en een collectie die het vertrouwen van de omgeving verliest, krijgt geen schenkingen meer.
Welke persoonsgegevens een collectie raakt
De meeste kleine erfgoedorganisaties onderschatten hoeveel persoonsgegevens hun administratie bevat. Het gaat zelden om één bestand; het zit verspreid over formulieren, mappen en het register zelf.
- Schenkers en bruikleengevers: naam, adres, telefoonnummer, e-mailadres en de afspraken die met hen zijn gemaakt.
- Herkomstgegevens: namen van eerdere eigenaren en families, vaak met adressen en jaartallen.
- Afgebeelde personen: mensen op foto's, films en in geluidsopnamen die nog in leven kunnen zijn.
- Documenten in de collectie: brieven, ledenlijsten, dagboeken en personeelsadministratie van bedrijven of verenigingen.
- Eigen organisatie: vrijwilligers, donateurs, leden en bezoekers die zich hebben aangemeld.
Die vijf groepen vragen om verschillende antwoorden. Een schenkersadministratie regelt u met een duidelijke afspraak; een dagboek uit een nalatenschap vraagt om een afweging voordat u het publiek raadpleegbaar maakt. Hoe u de gegevens van een schenker aan de balie vastlegt zonder later te moeten navragen, staat in de checklist voor het vastleggen van herkomst.
De grondslag: waarom mag u deze gegevens bewaren
Elke verwerking heeft een grondslag nodig. Voor erfgoedorganisaties zijn er in de praktijk drie die er toe doen, en het is verstandig per verwerking te kiezen in plaats van er één op alles te plakken.
Toestemming
Toestemming is bruikbaar voor een nieuwsbrief of voor het tonen van een naam bij een object ("schenking van de familie Jansen"). Toestemming moet vrij gegeven zijn en intrekbaar. Leg daarom vast wanneer en waarvoor iemand toestemming gaf, anders kunt u het later niet aantonen.
Uitvoering van een overeenkomst
De gegevens van een bruikleengever of een schenker heeft u nodig om de afspraak uit te voeren en na te komen. Dat is een stevige grondslag, maar hij reikt niet verder dan die afspraak: hij dekt de nieuwsbrief niet.
Gerechtvaardigd belang en het algemeen belang
Het beheren en toegankelijk maken van een collectie is een reëel belang van uw organisatie. De AVG erkent archivering in het algemeen belang en historisch onderzoek als serieuze doelen, mits u passende waarborgen treft: niet meer publiceren dan nodig, gevoelige stukken beperkt raadpleegbaar houden en bezwaren serieus behandelen.
Het verwerkingsregister uit artikel 30 AVG
Artikel 30 AVG verplicht organisaties een register van verwerkingsactiviteiten bij te houden. De uitzondering voor organisaties met minder dan 250 medewerkers vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft. Voor een collectiebeherende organisatie is de verwerking structureel, dus in de praktijk geldt de plicht bijna altijd.
Dat register is geen dik document. Het is een overzicht dat u in een uur kunt maken en dat u bij een vraag van de Autoriteit Persoonsgegevens laat zien. Onderstaand model is een startpunt dat u aanpast aan uw eigen situatie.
| Verwerking | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|
| Schenkingsadministratie | Eigendom en afspraken aantoonbaar houden | Overeenkomst | Zolang het object in de collectie is |
| Bruikleendossier | Uitvoering en teruggave van bruikleen | Overeenkomst | Looptijd plus de afgesproken naloop |
| Herkomstgegevens bij objecten | Collectie beschrijven en onderzoekbaar maken | Algemeen belang | Onbepaald, hoort bij het object |
| Vrijwilligersadministratie | Rooster, contact en rechten in het register | Overeenkomst | Tot afscheid plus een korte naloop |
| Donateurs en leden | Contributie, verantwoording, contact | Overeenkomst | Financiele stukken 7 jaar |
| Nieuwsbrief | Informeren van belangstellenden | Toestemming | Tot intrekking |
De bewaartermijn van zeven jaar voor financiele stukken volgt uit de fiscale bewaarplicht voor de administratie. Voor gegevens over onroerende zaken geldt tien jaar, wat relevant is als uw organisatie een pand bezit.
Bijzondere persoonsgegevens in historisch materiaal
Artikel 9 AVG gaat over bijzondere persoonsgegevens, waaronder gezondheidsgegevens. In collecties duiken die vaker op dan verwacht: patientenregisters van een oud gasthuis, een gedenkboek van een gesticht, foto's uit een sanatorium, ledenlijsten van een kerkgenootschap of stukken die iemands politieke voorkeur tonen.
Zolang het materiaal uitsluitend over overleden personen gaat, valt het buiten de AVG. Twijfelt u, dan is de veilige route: het stuk wel beschrijven en registreren, maar de raadpleging beperken tot de studiezaal en niet publiceren op internet. Zo blijft het materiaal vindbaar zonder dat u het onbedoeld openbaar maakt.
Voor grootschalige verwerking van bijzondere gegevens of systematische monitoring vraagt artikel 35 AVG om een gegevensbeschermingseffectbeoordeling, ook wel DPIA genoemd. Voor de meeste kleine collecties is die drempel niet in zicht, maar het is goed te weten waar hij ligt voordat u een omvangrijk persoonsgebonden archief online zet.
Rechten van betrokkenen en wat u doet als iemand belt
Betrokkenen hebben recht op inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar. Een verzoek moet binnen een maand worden beantwoord, met een verlenging van maximaal twee maanden als het verzoek complex is. Laat u die termijn lopen zonder bericht, dan is dat op zichzelf al een tekortkoming.
Regel daarom drie dingen vooraf. Ten eerste: één adres waar zulke verzoeken binnenkomen, zodat een e-mail aan een vrijwilliger niet blijft liggen. Ten tweede: de mogelijkheid om per persoon terug te vinden waar zijn gegevens staan. Ten derde: een vaste manier om een verzoek en uw antwoord vast te leggen.
Wissing is niet altijd verplicht. Bij archivering in het algemeen belang kan het belang van de collectie zwaarder wegen, zeker als het stuk zelf de bron is. Leg uw afweging dan schriftelijk vast, met de datum en de argumenten, zodat een opvolger begrijpt waarom een naam is blijven staan.
Verwerkers, hosting en datalekken
Zodra u software van derden gebruikt, verwerkt een andere partij uw gegevens. Artikel 28 AVG vraagt dan om een verwerkersovereenkomst waarin staat wat die partij mag doen, welke beveiliging geldt en wat er bij beëindiging met de gegevens gebeurt. Vraag die overeenkomst op en bewaar hem bij uw verwerkingsregister.
Gaat het toch mis, dan moet een datalek binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens worden gemeld, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Alle datalekken, ook de gemelde en de niet-gemelde, moeten intern worden geregistreerd. De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
Die boetebedragen zijn niet geschreven voor een dorpsmuseum, maar de meldplicht wel. Een laptop met de complete schenkersadministratie die uit een auto verdwijnt, is een datalek. Een gedeeld bestand dat per ongeluk in de nieuwsbrief belandt ook.
Publiek raadpleegbaar maken zonder overhaast te publiceren
De aantrekkelijke kant van een digitaal register is dat u de collectie kunt tonen. Doe dat gelaagd: publiceer de objectbeschrijving, houd persoonsgegevens van schenkers intern en zet gevoelig materiaal achter een aanvraagknop. Publiceren is een keuze per veld, niet per collectie.
Praktisch betekent dit dat uw register onderscheid moet maken tussen een intern en een publiek veld. Daarom scheidt het collectieregister van Collectieregister de schenkergegevens standaard van de publieke objectbeschrijving, met een zichtbaarheidsinstelling per veld en rechten per medewerker of vrijwilliger.
Let ook op de bruikleenkant: contactgegevens van bruikleengevers en verzekeringswaarden horen niet in een openbaar overzicht. Hoe u die dossiers ordent, staat in het stappenplan voor een sluitende bruikleenadministratie.
Conclusie: privacy is beheersbaar als u het in het register vastlegt
De AVG vraagt van een erfgoedorganisatie geen juridische afdeling, maar wel een administratie die uitlegbaar is: welke gegevens, met welk doel, op welke grondslag, hoe lang en voor wie zichtbaar. Wie dat één keer inricht, hoeft er daarna alleen op te letten bij nieuwe verwerkingen. Verwaarloost u het, dan wordt elk verzoek en elk incident een zoektocht door mappen.
Collectieregister is gebouwd om die keuzes zichtbaar te maken: gescheiden interne en publieke velden, rechten per gebruiker, een export die van uw organisatie blijft en gegevens op servers binnen de Europese Unie. Wilt u weten hoe uw verwerkingen in het register komen te staan, vraag dan een demo aan via het contactformulier. Waarom deze onderwerpen ook over continuiteit gaan, leest u in het artikel over collectiekennis na het vertrek van de oprichter; de achtergrond van de auteur staat op de pagina over Jimenez Julien.
