Een zomerkamp organiseren betekent gevoelige gegevens van kinderen verzamelen: namen, geboortedata, medische info, soms zelfs foto's. Onder de GDPR (AVG) en de aanvullende Belgische Kaderwet Gegevensbescherming gelden voor minderjarigen extra regels. De Gegevensbeschermingsautoriteit (GBA) heeft de voorbije jaren meerdere boetes uitgedeeld aan verenigingen die hun zaken niet op orde hadden.

Goed nieuws: voor 95% van de Belgische kamporganisatoren is GDPR-conformiteit een kwestie van enkele duidelijke afspraken en een goed inschrijfsysteem. Deze gids loopt ze één voor één door.

1. Verzamel enkel wat je écht nodig hebt

Het GDPR-principe van dataminimalisatie is hier het belangrijkst. Vraag jezelf bij elk veld: "Wat doe ik concreet met deze info?" Als je geen antwoord hebt, schrap het veld.

  • Nodig: naam kind, geboortedatum, naam + e-mail + gsm ouder, gekozen weken, medische bijzonderheden, noodcontact.
  • Niet nodig: rijksregisternummer (bijna nooit), beroep van de ouders, schoolnaam, godsdienst, huisarts (tenzij echt relevant).

2. Ouderlijke toestemming is verplicht onder 13 jaar

In België ligt de leeftijdsgrens voor "digitale toestemming" op 13 jaar. Onder die leeftijd moet een ouder of voogd toestemming geven voor de verwerking van persoonsgegevens. In de praktijk:

  • De inschrijving wordt steeds gedaan door de ouder, niet door het kind zelf.
  • Vraag uitdrukkelijk om bevestiging dat de invuller de wettelijke verantwoordelijke is.
  • Verzamel geen e-mailadres van het kind. Dat is een veelgemaakte fout. Communiceer altijd via de ouder.

3. Aparte toestemming voor beeldmateriaal

Foto's tijdens het kamp zijn waardevol voor je marketing, maar je hebt voor elk kind uitdrukkelijke, vrije en specifieke toestemming nodig. Niet één algemeen vinkje "Ik ga akkoord met de voorwaarden", maar een aparte keuze:

  • ☐ Ik geef toestemming voor foto's in de besloten ouderapp/WhatsApp-groep.
  • ☐ Ik geef toestemming voor foto's op de website en sociale media van de organisatie.
  • ☐ Ik geef toestemming voor foto's in promotiemateriaal (folders, affiches).

Belangrijk: deze toestemming moet op elk moment intrekbaar zijn. Zorg dat je een eenvoudige procedure hebt om foto's offline te halen op vraag.

4. Medische fiche: aparte categorie

Gegevens over allergieën, medicatie en gezondheid vallen onder de "bijzondere categorieën van persoonsgegevens" (artikel 9 GDPR). Daarvoor gelden strengere regels:

  • Toegang beperken tot animatoren en verantwoordelijken die het concreet nodig hebben (niet alle vrijwilligers).
  • Op papier afgedrukt op locatie in een afgesloten map — niet rondslingerend.
  • Digitaal versleuteld bewaard (geen Excel-bestand in een gedeelde Dropbox zonder paswoord).
  • Vernietigen na het kamp tenzij je wettelijke verplichting hebt om langer te bewaren.

5. Bewaartermijnen vastleggen

Gegevens "voor altijd" bijhouden mag niet. Voor een Belgisch zomerkamp is een redelijke aanpak:

  • Medische fiches: vernietigen binnen 1 maand na het kamp.
  • Inschrijfgegevens (naam, contact, weken): 7 jaar bewaren — verplicht voor fiscale attesten kinderopvang en boekhouding.
  • Betalingsgegevens: 7 jaar (boekhoudwet); volledige kaartnummers nooit zelf bewaren — laat dat over aan Mollie of Stripe.
  • Foto's: maximaal 2–3 jaar online, daarna verwijderen, tenzij hernieuwde toestemming.

Schrijf dit één keer netjes uit in je privacyverklaring; dat is meteen het lastigste deel.

6. Veilig betalen = geen kaartgegevens zelf opslaan

Werk uitsluitend met betalingsproviders die PCI-DSS compliant zijn: Mollie, Stripe, Payconiq. Je krijgt nooit het kaartnummer te zien, en jouw boekhouding bevat enkel het transactiebedrag en een referentie. Dat scheelt je een hoop juridisch gedoe.

Vermijd ouders die hun kaartgegevens mailen of doorbellen. Stuur ze altijd via een veilige betaallink.

7. Verwerkersovereenkomsten met je leveranciers

Elk extern bedrijf dat persoonsgegevens namens jou verwerkt — Google Workspace, Mailchimp, je formulieren-tool, je boekhoudpakket — moet een verwerkersovereenkomst (DPA) met jou hebben. De meeste seriueze SaaS-aanbieders bieden er standaard één aan; je downloadt ze gewoon vanuit je accountinstellingen.

Maak een lijstje van álle tools waar oudergegevens door passeren. Dat is meteen je verwerkingsregister, ook een GDPR-verplichting.

8. Wat te doen bij een datalek

Verloren USB-stick met inschrijvingen? Gehackte mailbox? Per ongeluk een Excel met alle ouders publiek gedeeld?

  1. Binnen 72 uur melden bij de Gegevensbeschermingsautoriteit via hun online formulier.
  2. De betrokken ouders rechtstreeks informeren, in duidelijke taal: wat is er gelekt, welk risico, wat doen jullie eraan.
  3. Documenteer intern wat er gebeurd is en welke maatregelen je hebt genomen.

Niet melden is doorgaans erger dan het lek zelf — boetes vallen vooral op verzwijgen.

9. Wat je vandaag concreet kunt doen

  • Schrap overbodige velden uit je inschrijfformulier.
  • Splits "akkoord met voorwaarden" en "akkoord met beeldgebruik" in aparte vinkjes.
  • Zet een eenvoudige privacyverklaring online (er bestaan goede gratis sjablonen op de site van de GBA).
  • Maak een lijstje van alle tools waar oudergegevens in zitten — en download de DPA's.
  • Plan een moment in september om medische fiches te vernietigen.

Conclusie

GDPR is geen Brussels gedrocht maar gewoon gezond verstand op papier: vraag wat je nodig hebt, bewaar het veilig, gebruik het waarvoor je toestemming hebt, en wis het op tijd. Voor 99% van de Belgische kamporganisatoren is dit in een paar uur in orde te brengen — en het bespaart je veel ongemakkelijke ouder­gesprekken (en mogelijk forse boetes).

Campforms.app is GDPR-by-design opgebouwd: alle data wordt in de EU bewaard, expliciete toestemmingsvinkjes voor beeldgebruik, automatische verwijdering van medische fiches en een verwerkersovereenkomst die je in één klik downloadt.