Autoriteit persoonsgegevens
Mevrouw A. Laros
Postbus 18760
5011 BP Tilburg
Telefoon 06-58733870
Email
Atletiekvereniging BVG
Afd. Juridische Diensten
t.a.v. de heer P. van Straten
Mozartlaan 27
5025 PS Tilburg
Tilburg, 15 oktober 2019
Onderwerp: privacy impact assessment
Geachte heer Van Straten,
Naar aanleiding van het Privacy Impact Assessment (PIA) schrijven wij u deze brief. Door middel van
een vragenlijst hebben wij beoordeeld of u de persoonsgegevens binnen uw bedrijf rechtmatig
verwerkt. Middels deze brief willen wij de uitkomst met u delen
In het assessment is naar voren gekomen dat de persoonsgegevens binnen uw bedrijf niet rechtmatig
worden verwerkt, omdat u niet voldoet aan de vereisten die worden gesteld.
In de vragenlijst staan drie beoordelingsaspecten centraal waaraan getoetst wordt, namelijk: de
feitelijke bevindingen, het juridisch kader en de beoordeling. Hieronder zal toegelicht worden aan
welke vereisten u niet voldoet.
Ten eerste zijn er kritische verbeterpunten op het ICT-gedeelte. Uw bedrijf maakt gebruik van een
openbare wifiverbinding. Dit brengt vele gevaren met zich mee. Hackers kunnen door middel van een
openbare wifiverbinding makkelijk binnenkomen op uw bedrijfscomputers. Zij kunnen zo de
persoonsgegevens van uw leden overnemen en voor andere doeleinden gebruiken. Verder kunnen
de persoonsgegevens van de leden op elke computer ingevoerd en bekeken worden. Dit brengt als
gevaar met zich mee dat er makkelijk een virus op een computer kan ontstaan en dat hackers zo via
elke computer in uw systeem kunnen.
Tevens is er gekeken naar het juridisch kader van de gegevensverwerking. De doeleinden van de
gegevensverwerking zijn niet duidelijk en concreet omschreven. Op grond van artikel 5 lid 1 sub b
AVG moet het doel voor de verzameling van persoonsgegevens bepaald zijn, voordat je de gegevens
verzamelt. Twee doelen zijn opgenomen in de algemene voorwaarden, maar dat is niet toegestaan.
Er moet een privacyverklaring worden opgesteld, waarin apart om toestemming wordt gevraagd om
de gegevens te verwerken. De privacyverklaring moet begrijpelijk zijn en een duidelijk taalgebruik
hebben.
Verder worden de gegevens op een onverenigbare wijze verwerkt. Op grond van artikel 6 lid 4 AVG
mogen de persoonsgegevens niet verder worden verwerkt, dan voor het doel dat ze zijn verkregen.
Sportkledingwinkel DAKA maakt gebruik van het geactualiseerde ledenbestand van BVG. Ze
gebruiken deze gegevens, zodat ze de leden gepersonaliseerde advertenties kunnen sturen. Er is niet
naar de leden gecommuniceerd dat de persoonsgegevens voor dit doeleinde zou worden gebruikt.
Ook worden er persoonsgegevens verwerkt die niet toereikend, niet ter zake dienend en bovenmatig
Mevrouw A. Laros
Postbus 18760
5011 BP Tilburg
Telefoon 06-58733870
Atletiekvereniging BVG
Afd. Juridische Diensten
t.a.v. de heer P. van Straten
Mozartlaan 27
5025 PS Tilburg
Tilburg, 15 oktober 2019
Onderwerp: privacy impact assessment
Geachte heer Van Straten,
Naar aanleiding van het Privacy Impact Assessment (PIA) schrijven wij u deze brief. Door middel van
een vragenlijst hebben wij beoordeeld of u de persoonsgegevens binnen uw bedrijf rechtmatig
verwerkt. Middels deze brief willen wij de uitkomst met u delen
In het assessment is naar voren gekomen dat de persoonsgegevens binnen uw bedrijf niet rechtmatig
worden verwerkt, omdat u niet voldoet aan de vereisten die worden gesteld.
In de vragenlijst staan drie beoordelingsaspecten centraal waaraan getoetst wordt, namelijk: de
feitelijke bevindingen, het juridisch kader en de beoordeling. Hieronder zal toegelicht worden aan
welke vereisten u niet voldoet.
Ten eerste zijn er kritische verbeterpunten op het ICT-gedeelte. Uw bedrijf maakt gebruik van een
openbare wifiverbinding. Dit brengt vele gevaren met zich mee. Hackers kunnen door middel van een
openbare wifiverbinding makkelijk binnenkomen op uw bedrijfscomputers. Zij kunnen zo de
persoonsgegevens van uw leden overnemen en voor andere doeleinden gebruiken. Verder kunnen
de persoonsgegevens van de leden op elke computer ingevoerd en bekeken worden. Dit brengt als
gevaar met zich mee dat er makkelijk een virus op een computer kan ontstaan en dat hackers zo via
elke computer in uw systeem kunnen.
Tevens is er gekeken naar het juridisch kader van de gegevensverwerking. De doeleinden van de
gegevensverwerking zijn niet duidelijk en concreet omschreven. Op grond van artikel 5 lid 1 sub b
AVG moet het doel voor de verzameling van persoonsgegevens bepaald zijn, voordat je de gegevens
verzamelt. Twee doelen zijn opgenomen in de algemene voorwaarden, maar dat is niet toegestaan.
Er moet een privacyverklaring worden opgesteld, waarin apart om toestemming wordt gevraagd om
de gegevens te verwerken. De privacyverklaring moet begrijpelijk zijn en een duidelijk taalgebruik
hebben.
Verder worden de gegevens op een onverenigbare wijze verwerkt. Op grond van artikel 6 lid 4 AVG
mogen de persoonsgegevens niet verder worden verwerkt, dan voor het doel dat ze zijn verkregen.
Sportkledingwinkel DAKA maakt gebruik van het geactualiseerde ledenbestand van BVG. Ze
gebruiken deze gegevens, zodat ze de leden gepersonaliseerde advertenties kunnen sturen. Er is niet
naar de leden gecommuniceerd dat de persoonsgegevens voor dit doeleinde zou worden gebruikt.
Ook worden er persoonsgegevens verwerkt die niet toereikend, niet ter zake dienend en bovenmatig
