Privacybeleid en GDPR: wat moet de VME regelen voor correcte gegevensverwerking?

Een VME verwerkt eigenaars-, bewoners-, leveranciers- en betalingsgegevens. De AVG-rol van VME en syndicus moet per verwerking worden bepaald: wie doel en essentiële middelen bepaalt, is verantwoordelijke; wie alleen in opdracht handelt, is verwerker.

De AVG geldt ook voor een VME

Een vereniging van mede-eigenaars verwerkt persoonsgegevens zodra zij gegevens over identificeerbare personen verzamelt, raadpleegt, deelt of bewaart. Denk aan namen en adressen van eigenaars, aandelen in de gemeenschappelijke delen, volmachten, aanwezigheidslijsten, bankgegevens, betalingsachterstanden, toegangsbadges, klachten, verzekeringsdossiers en contactgegevens van bewoners of leveranciers. Dat een VME geen klassiek bedrijf is, maakt deze dagelijkse administratie niet privaat of buiten de Algemene Verordening Gegevensbescherming.

De AVG vraagt geen glanzende privacybrochure als doel op zich. Ze vraagt aantoonbare rechtmatigheid, doelbinding, minimale gegevens, juistheid, passende bewaartermijnen en beveiliging. Een online privacyverklaring zonder intern register, toegangsbeheer of verwijderprocedure is dus onvoldoende. Omgekeerd hoeft een klein gebouw geen onnodig zwaar systeem te kopen. Een duidelijke tabel, vaste dossierstructuur en gedocumenteerde afspraken kunnen al veel risico wegnemen.

VME en syndicus: bepaal de rol per verwerking

De Europese Gegevensbeschermingsraad legt uit dat de verwerkingsverantwoordelijke het doel en de essentiële middelen van een verwerking bepaalt. Een verwerker handelt alleen namens en volgens gedocumenteerde instructies van de verantwoordelijke. Bepalen VME en professionele syndicus samen doel en middelen, dan kan gezamenlijke verantwoordelijkheid spelen. Gebruikt de syndicus gegevens voor eigen wettelijke, beroepsmatige of commerciële doeleinden, dan kan hij voor dat deel een afzonderlijke verantwoordelijke zijn. Het contractlabel alleen beslist dit niet.

Maak daarom per activiteit een roltoets. Voor de wettelijke administratie van mede-eigendom bepaalt het toepasselijke recht een belangrijk deel van het doel, terwijl de VME besluiten neemt en de syndicus uitvoert. Voor personeelsbeheer door de syndicus, eigen geschillen, klantenbeheer of fraudepreventie kunnen andere rollen gelden. Noteer wie betrokkenen informeert, rechten behandelt, beveiliging beslist, een datalek beoordeelt en leveranciers aanstelt. Eén algemene zin dat de syndicus altijd verwerker is, kan de werkelijkheid verkeerd weergeven.

Inventariseer gegevens, doelen en rechtsgronden

Begin met een verwerkingsregister. De Belgische Gegevensbeschermingsautoriteit noemt daarin onder meer de categorieën betrokkenen en gegevens, precieze doeleinden, ontvangers, eventuele doorgiften buiten de Europese Economische Ruimte, bewaartermijnen en een algemene beschrijving van beveiligingsmaatregelen. Voor een VME zijn logische rubrieken: eigenaarsadministratie, oproeping en notulen, boekhouding, invordering, schadegevallen, onderhoud, toegangsbeheer, personeel en eventueel cameratoezicht.

Koppel ieder doel aan een rechtsgrond uit artikel 6 AVG. Wettelijke verplichting en uitvoering van de wettelijke organisatie van mede-eigendom kunnen vaak relevant zijn; uitvoering van een overeenkomst of gerechtvaardigd belang kan in andere gevallen passen. Toestemming is geen universele noodoplossing en moet vrij, specifiek, geïnformeerd en intrekbaar zijn. Verzamel geen rijksregisternummer, gezondheidsgegevens of kopie van een identiteitskaart omdat dat administratief handig lijkt. Documenteer eerst waarom precies die gegevens nodig en toegestaan zijn.

Informeer eigenaars en bewoners begrijpelijk

Een privacybericht vermeldt wie verantwoordelijk is, welke gegevens voor welke doelen worden verwerkt, de rechtsgronden, ontvangers, bewaartermijnen of criteria, rechten en het klachtrecht bij de toezichthouder. Vermeld ook de contactweg voor privacyvragen en eventuele doorgiften. Geef de informatie wanneer gegevens worden verzameld en zorg dat bewoners ze gemakkelijk terugvinden. Verstop ze niet uitsluitend in een lang beheercontract dat een huurder nooit ontvangt.

De VME beheert gemeenschappelijke delen zoals inkom, trappenhal, lift, dak, gevel, stookplaats en collectieve leidingen. Een melding over een lek of liftstoring kan daarom ook gegevens van een huurder bevatten. De syndicus selecteert nooit huurders, maar kan contactgegevens ontvangen om toegang of veiligheid te organiseren. Informeer de bewoner over dit beperkte gebruik en stuur geen volledige eigenaars- of bewonerslijst mee naar elke aannemer.

Beperk wat in notulen en e-mails staat

Notulen moeten genomen besluiten en stemresultaten correct vastleggen, maar hoeven geen medisch dossier, familiaal conflict of uitvoerige beschuldiging te worden. Schrijf bijvoorbeeld dat de vergadering een gemotiveerd invorderingsmandaat verleent, in plaats van overbodige persoonlijke omstandigheden van de schuldenaar te verspreiden. Een bijlage met offertes of technisch verslag kan aan bevoegde mede-eigenaars worden verstrekt zonder mobiele nummers, handtekeningen of bankgegevens zichtbaar te laten die voor de beslissing niet nodig zijn.

Gebruik bij groepsmail bij voorkeur een beveiligd portaal of blind carbon copy als ontvangers elkaars adres niet hoeven te kennen. Controleer ontvangers vóór verzending en vermijd privécloudmappen met een openbare link. Het inzagerecht van een mede-eigenaar in VME-documenten betekent niet dat elk document onbewerkt aan iedereen moet worden doorgestuurd. Weeg het concrete recht op informatie af tegen gegevensminimalisatie en rechten van andere personen, en motiveer noodzakelijke afscherming.

Afspraken met software- en andere dienstverleners

Verwerkt een boekhouder, cloudleverancier, mailingdienst of technisch platform persoonsgegevens uitsluitend in opdracht, dan vereist artikel 28 AVG een bindende verwerkersregeling met onder meer instructies, vertrouwelijkheid, beveiliging, hulp bij rechten en datalekken, subverwerkers en wissen of terugbezorgen na afloop. Vraag waar gegevens worden gehost, wie toegang heeft en hoe export mogelijk is. Een populair softwarepakket is niet automatisch AVG-conform voor het concrete VME-gebruik.

Bij een syndicuswissel moet de VME haar archief bruikbaar terugkrijgen en moeten achterblijvende kopieën volgens rol, wettelijke bewaarplicht en geschillennoodzaak worden beoordeeld. Spreek formaten, termijn, toegangsoverdracht en afsluiting van accounts vooraf af. Verander beheerderswachtwoorden, trek oude gebruikersrechten en gedeelde links in en controleer of automatische doorsturingen stoppen. Een doos papier overdragen terwijl de mailbox en cloudomgeving bij de vorige beheerder blijven, is geen volledige overdracht.

Beveiliging en datalekken vragen een procedure

Pas de beveiliging aan het risico aan. Gebruik unieke accounts, multifactorauthenticatie, beperkte rollen, versleutelde toestellen, actuele software, betrouwbare back-ups en een hersteltest. Laat conciërge, raad van mede-eigendom en aannemer alleen zien wat zij nodig hebben. Bankrekeningwijzigingen verdienen een controle via een eerder bekend kanaal. Een mailbox met duizenden identiteits-, bank- en schadedocumenten is een aantrekkelijk doelwit, ook bij een kleine VME.

Leg vast wie een incident ontvangt, de omvang onderzoekt, verdere toegang blokkeert en de rolverdeling activeert. De verantwoordelijke documenteert ieder persoonsgegevenslek. Als het lek waarschijnlijk een risico inhoudt voor rechten en vrijheden, moet het waar mogelijk binnen 72 uur aan de bevoegde toezichthouder worden gemeld; bij een hoog risico kan ook communicatie aan betrokkenen nodig zijn. Niet elk verkeerd geadresseerd bericht vereist dezelfde externe melding, maar elk incident vereist een tijdige, aantoonbare beoordeling.

Jaarlijkse privacycontrole voor de VME

• Actualiseer register, privacybericht, rechtsgronden en verantwoordelijke contactpunten.
• Controleer gebruikersrechten van syndicus, medewerkers, raad van mede-eigendom en leveranciers.
• Verwijder of archiveer dossiers volgens vastgelegde termijnen en blokkeer gegevens die voor een geschil nodig blijven.
• Test export, back-up, datalekmelding en behandeling van een inzage- of verbeteringsverzoek.
• Herbekijk camera-, badge- en bewonersgegevens zodra doel, techniek of dienstverlener wijzigt.

Leg de uitkomst beknopt voor aan het bevoegde VME-orgaan en plan concrete herstelacties. Een eigenaar heeft rechten op zijn eigen persoonsgegevens, maar dat is niet hetzelfde als een onbeperkt recht op gegevens van buren, huurders of personeel. Beantwoord verzoeken binnen de AVG-termijnen, verifieer de identiteit proportioneel en documenteer weigering of beperking. Vraag gespecialiseerd advies bij cameratoezicht, biometrische toegang, omvangrijke geschillenbestanden of een onduidelijke verdeling van verantwoordelijkheden.