Hoe SLICKS zorgvuldig met persoonsgegevens omgaat

Stichting Landelijk Info Centrum Kansspel Spelers (SLICKS) wil voorkomen dat mensen door gokken in nood raken en wil de positie verbeteren van mensen die met gokschade te maken hebben. Daarvoor biedt SLICKS onder meer informatie, onafhankelijke ondersteuning, belangenbehartiging, ervaringskennis, trainingen, projecten, onderzoek en samenwerking met professionals en organisaties.

Dit beleid geldt voor alle activiteiten en platforms van SLICKS, waaronder Steunpunt Gokschade, SETG en GokCast. Het geldt voor bestuurders, medewerkers, vrijwilligers, opdrachtnemers en anderen die namens SLICKS met persoonsgegevens werken.

Wij hanteren de volgende uitgangspunten:

• wij leggen duidelijk uit waarom gegevens nodig zijn en wat ermee gebeurt;
• wij verzamelen niet meer gegevens dan noodzakelijk;
• wij gebruiken gegevens alleen voor het doel waarvoor ze zijn verkregen;
• wij beveiligen gegevens passend bij hun gevoeligheid;
• wij delen gegevens alleen wanneer dat nodig en toegestaan is;
• wij bewaren gegevens niet langer dan nodig;
• mensen houden zoveel mogelijk regie over hun eigen gegevens.

Stichting Landelijk Info Centrum Kansspel Spelers (SLICKS) is in beginsel de verwerkingsverantwoordelijke voor de persoonsgegevens die zij voor haar eigen activiteiten verwerkt.

Bij gezamenlijke projecten wordt vooraf vastgelegd welke organisatie voor welke verwerking verantwoordelijk is. Partijen die uitsluitend in opdracht van SLICKS persoonsgegevens verwerken, worden als verwerker ingeschakeld. Met zulke partijen maakt SLICKS passende privacy- en beveiligingsafspraken en, waar vereist, een verwerkersovereenkomst.

Privacyvragen en verzoeken kunnen worden gestuurd naar secretariaatslicks@gmail.com.

Welke gegevens SLICKS verwerkt, hangt af van het contact en de activiteit. Het kan gaan om:

• naam, contactgegevens en contactvoorkeur;
• de inhoud van een vraag, melding of ondersteuningsverzoek;
• informatie over gokschade en de gevolgen daarvan, voor zover iemand die zelf verstrekt en die nodig is voor passende ondersteuning;
• gegevens over betrokken professionals of organisaties, wanneer samenwerking gewenst is;
• afspraken, voortgang en noodzakelijke ondersteuningsgegevens in Cliendo;
• gegevens van deelnemers aan bijeenkomsten, trainingen, panels, onderzoeken of projecten;
• zakelijke gegevens van partners, leveranciers, vrijwilligers en opdrachtnemers;
• financiële en administratieve gegevens;
• technische websitegegevens die noodzakelijk zijn voor beveiliging en goede werking.

SLICKS vraagt via openbare formulieren niet om onnodige medische gegevens, burgerservicenummers, kopieën van identiteitsbewijzen of uitgebreide financiële dossiers. Bezoekers wordt gevraagd terughoudend te zijn met zeer gevoelige informatie in het vrije tekstveld.

Informatie over gezondheid, verslaving, psychische problemen of andere zeer persoonlijke omstandigheden kan onder de AVG extra beschermd zijn. SLICKS verwerkt zulke informatie alleen als dit noodzakelijk is voor de gevraagde ondersteuning en daarvoor een geldige wettelijke uitzondering bestaat. Wanneer uitdrukkelijke toestemming de basis is, moet die toestemming vrij, specifiek, geïnformeerd en aantoonbaar zijn en kan zij worden ingetrokken.

Een algemene toestemming voor contact betekent niet automatisch toestemming om gegevens met andere organisaties te delen. Voor overdracht of inhoudelijke afstemming met een professional of organisatie vraagt SLICKS afzonderlijk toestemming, tenzij een wettelijke verplichting of een acute noodsituatie anders vereist.

SLICKS verwerkt persoonsgegevens voor de volgende doelen:

• reageren op vragen en contactverzoeken;
• bieden, organiseren en vastleggen van ondersteuning;
• met toestemming afstemmen of doorverwijzen naar passende lokale ondersteuning, schuldhulpverlening, zorg of andere hulp;
• organiseren van trainingen, bijeenkomsten, panels, podcasts en andere activiteiten;
• uitvoeren en evalueren van projecten, pilots en onderzoek;
• behartigen van belangen en inbrengen van ervaringskennis, bij voorkeur geanonimiseerd;
• nakomen van overeenkomsten en wettelijke verplichtingen;
• voeren van een verantwoorde financiële en organisatorische administratie;
• beveiligen en goed laten functioneren van websites en systemen.

Per verwerking bepaalt SLICKS vooraf welke AVG-grondslag van toepassing is. Dat kan zijn:

• toestemming, bijvoorbeeld voor een gekozen contactwijze of deelname aan een onderzoek;
• uitvoering van een overeenkomst of het nemen van stappen op verzoek van de betrokkene;
• een wettelijke verplichting, bijvoorbeeld voor de financiële administratie;
• een gerechtvaardigd belang, bijvoorbeeld voor noodzakelijke beveiliging of zorgvuldig relatiebeheer, na afweging van de belangen en privacyrisico's;
• bescherming van vitale belangen in een uitzonderlijke acute noodsituatie.

Voor bijzondere persoonsgegevens is daarnaast altijd een afzonderlijke uitzondering uit de AVG nodig. SLICKS legt die keuze vast en gebruikt toestemming niet wanneer mensen feitelijk geen vrije keuze hebben.

Via het contactformulier kan een bezoeker zelf aangeven hoe SLICKS contact mag opnemen. De ingevulde gegevens worden per e-mail naar het secretariaat van SLICKS gestuurd. Het formulier is niet bedoeld om inzendingen blijvend in WordPress op te slaan.

Contactmails en de daarin opgenomen ondersteuningsgegevens blijven maximaal twee weken in de contactmailbox nadat het bericht is afgehandeld of de noodzakelijke informatie in Cliendo is opgenomen. Daarna worden zij verwijderd, tenzij bewaren tijdelijk noodzakelijk is vanwege een klacht, geschil, veiligheidsincident of wettelijke verplichting.

Alleen de gegevens die nodig zijn voor verdere ondersteuning worden in Cliendo vastgelegd. Reclame of nieuwsbrieven worden niet verstuurd op basis van een contactverzoek.

Cliendo is het cliëntsysteem dat SLICKS gebruikt voor noodzakelijke ondersteuningsgegevens. Toegang is beperkt tot personen die deze gegevens voor hun werkzaamheden nodig hebben. In het dossier wordt zo feitelijk en terughoudend mogelijk vastgelegd wat nodig is voor continuïteit, afspraken en verantwoording.

Ondersteuningsdossiers worden maximaal twee jaar na het laatste inhoudelijke contact bewaard, tenzij een langere termijn aantoonbaar nodig of wettelijk verplicht is. Gegevens die eerder niet meer nodig zijn, worden eerder verwijderd. Deze termijn wordt bij de jaarlijkse evaluatie van dit beleid opnieuw beoordeeld.

SLICKS controleert of met de leverancier van Cliendo actuele afspraken bestaan over beveiliging, toegang, back-ups, datalekken, subverwerkers, bewaartermijnen en verwijdering.

Bij onderzoek, referentenpanels, evaluaties, trainingen en pilots ontvangt een deelnemer vooraf begrijpelijke informatie over doel, deelname, gebruik, bewaartermijn en eventuele publicatie. Deelname is vrijwillig wanneer toestemming de grondslag is.

SLICKS gebruikt voor rapportages, beleidsadvies en belangenbehartiging bij voorkeur geanonimiseerde of samengevoegde informatie. Persoonlijke verhalen, foto's, audio- of video-opnamen worden alleen openbaar gemaakt met een duidelijke, afzonderlijke afspraak over het beoogde gebruik. Als volledige anonimiteit niet kan worden gegarandeerd, wordt dat vooraf eerlijk uitgelegd.

SLICKS verkoopt geen persoonsgegevens. Gegevens worden alleen gedeeld:

• met personen binnen SLICKS die de gegevens nodig hebben voor hun taak;
• met een door de betrokkene gekozen professional of organisatie, na afzonderlijke toestemming;
• met leveranciers die in opdracht van SLICKS noodzakelijke diensten leveren, zoals Cliendo, e-mail, hosting, IT-beheer of administratie;
• met samenwerkingspartners wanneer dit voor een project noodzakelijk is en verantwoordelijkheden vooraf zijn vastgelegd;
• als SLICKS daartoe wettelijk verplicht is;
• in een uitzonderlijke acute noodsituatie, wanneer dit noodzakelijk is om ernstige schade te voorkomen.

SLICKS streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte te verwerken. Als een dienstverlener gegevens buiten de EER verwerkt, controleert SLICKS of daarvoor een geldige overdrachtsgrondslag en passende waarborgen bestaan.

SLICKS bewaart persoonsgegevens niet langer dan noodzakelijk. De belangrijkste uitgangspunten zijn:

SLICKS neemt technische en organisatorische maatregelen die passen bij de gevoeligheid en omvang van de gegevens. Daaronder vallen waar passend:

• persoonlijke accounts, sterke wachtwoorden en waar mogelijk tweestapsverificatie;
• toegang op basis van taak en noodzaak;
• tijdige intrekking van toegang wanneer iemand stopt of van rol verandert;
• beveiligde verbindingen, actuele software, back-ups en herstelmogelijkheden;
• afspraken over veilig e-mailen, delen, opslaan en verwijderen;
• periodieke controle van leveranciers, rechten en bewaartermijnen;
• geheimhouding en privacy-instructies voor iedereen die namens SLICKS werkt.

Een mogelijk datalek wordt direct intern gemeld en onderzocht. SLICKS registreert het incident, beperkt de gevolgen en beoordeelt of melding aan de Autoriteit Persoonsgegevens en/of de betrokken personen verplicht is. Een meldplichtig datalek wordt waar mogelijk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens gemeld.

Mensen kunnen, voor zover de AVG dat recht geeft, verzoeken om:

• informatie en inzage;
• correctie of aanvulling;
• verwijdering;
• beperking van de verwerking;
• overdracht van gegevens;
• bezwaar tegen een verwerking;
• intrekking van toestemming.

Een verzoek kan naar secretariaatslicks@gmail.com. SLICKS reageert in beginsel binnen één maand. Alleen wanneer nodig mag SLICKS aanvullende informatie vragen om de identiteit te controleren. SLICKS vraagt daarbij niet méér persoonsgegevens dan noodzakelijk.

Wie niet tevreden is over de behandeling van een privacyvraag, kan een klacht indienen bij de Autoriteit Persoonsgegevens.

Iedere SLICKS-website publiceert een korte, begrijpelijke privacy-uitleg die aansluit bij de feitelijke formulieren, cookies en technische diensten op die website en verwijst naar dit volledige beleid.

Niet-noodzakelijke cookies of tracking worden alleen gebruikt als daarvoor vooraf geldige toestemming is verkregen. SLICKS neemt geen uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare grote gevolgen voor personen.

Het bestuur van SLICKS is eindverantwoordelijk voor dit beleid. Het bestuur zorgt ten minste voor:

• een actueel verwerkingsregister;
• een overzicht van verwerkers en samenwerkingsafspraken;
• een bewaartermijnen- en verwijderingsschema;
• een procedure voor privacyverzoeken en datalekken;
• periodieke controle van toegangsrechten en beveiliging;
• een privacyrisicobeoordeling bij nieuwe activiteiten of systemen en, waar nodig, een gegevensbeschermingseffectbeoordeling (DPIA).

Dit beleid wordt ten minste jaarlijks en bij belangrijke wijzigingen in werkzaamheden, systemen of wetgeving beoordeeld. Wijzigingen worden door het bestuur vastgesteld. De actuele openbare versie wordt gepubliceerd via www.slicks.info. Korte privacyteksten op de andere SLICKS-platforms moeten hiermee in overeenstemming blijven.