Hockeyclub bewaart gegevens oud-leden jarenlang, nu liggen ze op straat

In dit artikel:

Een voormalig lid van de Tilburgse sportvereniging Were Di ontdekte deze week dat zijn persoonsgegevens waren buitgemaakt bij het grote datalek bij AllUnited, de organisatie die de ledenadministratie van ongeveer 1.500 Nederlandse sportverenigingen verzorgt. Hij was twaalf jaar geleden gestopt als lid, maar zijn gegevens stonden nog altijd in de administratie, evenals die van andere oud-leden uit zijn gezin.

Were Di erkent in een e-mail dat de vereniging de gegevens veel te lang heeft bewaard. Volgens de eigen privacyverklaring hadden persoonsgegevens uiterlijk twee jaar na het einde van het lidmaatschap verwijderd moeten worden. Het datalek kan onder meer namen, geboortedata, adressen, e-mailadressen, telefoonnummers en IBAN’s hebben blootgesteld. De club waarschuwt dat criminelen deze informatie kunnen gebruiken voor phishing, valse betaalverzoeken of telefonische fraude.

Het oud-lid waardeert de excuses, maar verwijt Were Di dat er weinig concrete hulp wordt geboden en vreest dat organisaties onvoldoende gevolgen ondervinden van slordig privacybeleid. De vereniging zegt uiterlijk woensdag 18 november alle gegevens te verwijderen die niet langer bewaard mochten worden. Ook komen er regelmatige controles op de administratie, al erkent Were Di dat deze maatregelen het datalek niet ongedaan maken.

De Autoriteit Persoonsgegevens benadrukt dat organisaties persoonsgegevens niet langer mogen bewaren dan noodzakelijk en zich aan hun eigen privacyverklaring moeten houden. (Voormalige) leden kunnen bij hun sportvereniging opvragen welke gegevens nog worden bewaard en om verwijdering vragen. Ook kunnen zij een klacht indienen bij de toezichthouder.