Hockeyclub bewaart gegevens oud-leden jarenlang, nu liggen ze op straat
Hockeyclub Were Di uit Tilburg heeft jarenlang persoonsgegevens van oud-leden bewaard, terwijl die allang verwijderd hadden moeten worden. Door het grote datalek bij softwarebedrijf AllUnited zijn deze gegevens ook in verkeerde handen gevallen. De club erkent de fout en biedt excuses aan, maar een van de getroffen oud-leden is kritisch. "Ik neem het ze kwalijk dat ze onze gegevens zo lang hebben bewaard."
De man was twaalf jaar geleden lid van de Tilburgse vereniging, net als andere leden van zijn gezin. Tot hun verbazing kregen ze deze week bericht dat hun persoonsgegevens waren buitgemaakt bij het grote datalek bij AllUnited. Dat bedrijf verzorgt de ledenadministratie van zo'n 1500 sportverenigingen in Nederland.
In een uitgebreide e-mail aan oud-leden geeft Were Di toe dat de club hun gegevens veel te lang heeft bewaard. Volgens de eigen privacyverklaring moeten persoonsgegevens uiterlijk twee jaar na beëindiging van het lidmaatschap worden verwijderd.
"Daar willen wij geen excuses voor zoeken. Wij zijn hierin onvoldoende zorgvuldig geweest en nemen daarvoor als vereniging de verantwoordelijkheid", schrijft de club. Het gaat onder meer om namen, geboortedata, adressen, e-mailadressen, telefoonnummers en bankrekeningnummers (IBAN).
'Ik neem het ze kwalijk'
In dezelfde mail waarschuwt Were Di oud-leden dat hun persoonsgegevens kunnen worden misbruikt door oplichters. Zo kunnen ze verdachte e-mails, betaalverzoeken of telefoontjes krijgen van kwaadwillende voor fraude of misleiding.
"Ik snap ook wel dat ik niet op verdachte mailtjes moet klikken. Ik ben geen oude man van tachtig, daar gaat het mij niet om. Maar ik neem het ze wel kwalijk dat ze zo lang mijn gegevens hebben bewaard", vertelt het oud-lid. Hij waardeert dat de vereniging uitgebreid excuses heeft aangeboden, maar vindt dat de club weinig concrete oplossingen biedt aan de getroffen oud-leden.
De man maakt zich bovendien zorgen dat zoiets opnieuw kan gebeuren. "Nu zijn het sportverenigingen die getroffen zijn, maar morgen kan het net zo goed bij een ander bedrijf gebeuren. Wat mij vooral dwarszit, is dat ik het gevoel heb dat er geen consequenties zijn als bedrijven zo onzorgvuldig met persoonsgegevens omgaan."
Grote schoonmaak
Were Di belooft de administratie nu op te schonen. Uiterlijk woensdag 18 november wil de vereniging alle persoonsgegevens verwijderen die volgens het eigen bewaarbeleid niet meer bewaard hadden mogen worden.
Ook gaat de club voortaan regelmatig controleren welke gegevens uit de administratie verwijderd moeten worden, zodat dit niet opnieuw gebeurt. Al herkent de vereniging dat die maatregelen voor de getroffen oud-leden te laat komen. "Wij realiseren ons dat het verwijderen van gegevens uit onze administratie het inmiddels ontstane datalek niet ongedaan maakt."
Niet de bedoeling
"Ik kan niet rechtstreeks op de casus ingaan, maar in zijn algemeenheid geldt dat persoonsgegevens niet langer mogen worden bewaard dan strikt noodzakelijk is", vertelt de woordvoerder van Autoriteit Persoonsgegevens (AP). Hij legt uit dat het bewaartermijn waar voor gekozen is, moet worden vermeld in hun eigen privacyverklaring. "Houdt een organisatie zich niet aan de eigen privacyverklaring, dan is dat natuurlijk niet goed."
Het AP laat weten dat mensen bij hun (voormalige) sportvereniging kunnen navragen welke persoonsgegevens nog van hen worden bewaard en verzoeken om die te verwijderen. De vereniging is verplicht daarop te reageren.
Ook kunnen gedupeerden een klacht indienen bij de Autoriteit Persoonsgegevens. Die is als toezichthouder verplicht om klachten in passende mate te onderzoeken. Of ook andere sportverenigingen gegevens van oud-leden langer bewaren dan toegestaan, is niet duidelijk. Volgens de AP komt het wel vaker voor dat organisaties persoonsgegevens langer bewaren dan nodig is, om verschillende redenen.
