Het Centraal Interkerkelijk Overleg orgaan, die onder andere namens de GKv en NGK de kerken vertegenwoordigt naar de overheid, deed in januari 2019 de volgende aanbeveling wat betreft jaarboeken:

“In beginsel is het zo dat voor iedere uitgave (van een jaarboek) in beginsel toestemming van het lid nodig is. Bij de beschrijving van functies met contactgegevens (bijvoorbeeld Dominee te Barneveld met de contactgegevens) kan de verspreiding worden gezien als onderdeel van de werkzaamheden.

Aanbevolen wordt ook om het jaarboek enkel in de eigen kring, bij voorkeur digitaal, uit te geven. In dat geval zijn er namelijk directe aanpassingen mogelijk als men geen toestemming wenst te geven of de toestemming intrekt. Ook dient in overweging genomen te worden dat er commercie is ontstaan rondom diverse doelgroepen én nu juist bij persoonsgegevens waarvan de religieuze overtuiging valt af te leiden, hier extra omzichtig mee omgegaan moet worden.

Kort samengevat: een kerkelijk jaarboek met persoonlijke informatie erin, in de boekhandel, is niet toegestaan en onwenselijk. Hierbij speelt ook mee, dat toestemming ingetrokken moet kunnen worden én als het in de handel is verschenen, de regie ook uit handen van de kerk is.”

De Algemene Verordening Gegevensbescherming (AVG), die ingaat per mei 2018, heeft als hoofddoel het beschermen van persoonsgegevens. Aanzienlijkste verandering is dat deze wetgeving een grotere verantwoordelijkheid legt bij de verwerkers van persoonsgegevens.

Kerken zijn verantwoordelijk voor en verwerkers van persoonsgegevens. Met name vanwege NAW gegevens voor kerklidmaatschappen. Daarbij werken zij ook met bijzondere persoonsgegevens, denk aan het opslaan van bij welke kerkgenootschap men hoort. Ook is er veel data van minderjarigen.

Omdat de AVG zich in eerste instantie richt op organisaties bracht het Centraal Interkerkelijk Overleg een notitie uit over de kerk-staat relatie. Meer informatie over de wettelijke kaders die voor kerken gelden vindt u hierin:

Om in te schatten welke acties u dient te ondernemen is het ten eerste van belang dat u een risico inschatting maakt. Met welke binnenkerkelijke gegevens werkt u? Welke gegevens deelt u buiten de kerk en/of beveiligde web/cloud omgeving? Voor welke gegevens vraagt u wel/niet toestemming?

Verantwoordelijkheid voor de bescherming van persoonsgegevens ligt bij de kerkenraad. Het is hun taak stappen in gang te zetten om straks te voldoen aan de nieuwe wetgeving.

Er zijn hiervoor verschillende stappenplannen gepubliceerd. Deze zijn matig toegespitst op beleid en risico voor kerken. In de loop van dit voorjaar volgen toegespitstere publicaties.

Zie hierboven voor een overzicht van de meest recente stappenplannen en documenten.

Een Functionaris Gegevensbescherming (FG) moet u aanstellen als het bij de verwerker tot de kernbezigheden hoort om regelmatig, stelselmatig en grootschalig persoonsgegevens te verwerken. (Bron: Grip op de AVG, 2017)

Of deze richtlijn voor uw kerk geldt is afhankelijk van uw inschatting van deze drie genoemde voorwaarden. Voor kleine kerken geldt waarschijnlijk van niet. In ieder geval is de kerkenraad altijd verantwoordelijk voor de bescherming van persoonsgegevens. Deze zal dus een bewuste keuze moeten maken hoe u als gemeente omgaan met de verwerking en bescherming van persoonsgegevens van uw gemeenteleden.

In ieder geval is het goed om de redenering te documenteren waarom u besluit (nog) niet een FG aan te stellen, mocht de Autoriteit Persoonsgegevens aankloppen.

Iedere kerk wordt geacht een eigen privacyverklaring te maken. Wel kunt u daarbij gebruik maken van een model privacyverklaring dat is opgesteld door de Protestantse Kerk in Nederland. Deze kunt u aanpassen naar uw eigen situatie. Uiteraard betekent dit wel dat u alles wat u vastlegt in deze verklaring ook in de praktijk moet vormgeven in uw gemeente.