AVG proof inschrijfformulier voor evenementen: de checklist

Het formulier dat ons in de problemen bracht

Bij Stichting de Baan hadden we jarenlang een aanmeldformulier dat in 2017 was gemaakt, voor de AVG van kracht werd. Toen de AVG in 2018 inging, is dat formulier niet bijgewerkt. Het had geen toestemmingsvinkje voor de nieuwsbrief, geen expliciete koppeling naar de privacyverklaring en vroeg om dieetwensen zonder te vermelden hoe die data werd verwerkt en verwijderd.

We kwamen daar niet in de problemen. Maar het had gekund. En we moesten het formulier volledig herzien toen een nieuwe medewerker de AVG audit uitvoerde. Dat had eerder en makkelijker gekund als we de checklist hieronder hadden gehad.

Verplichte elementen van elk aanmeldformulier

Basisgegevens

• Voornaam en achternaam (verplicht)
• Emailadres (verplicht voor bevestiging en communicatie)
• Link naar privacyverklaring (verplicht, zichtbaar bij het formulier)
• Verklaring over gegevensverwerking: "Uw gegevens worden verwerkt voor de organisatie van dit evenement conform onze privacyverklaring."

Bijzondere persoonsgegevens (optioneel maar AVG-gevoelig)

• Dieetwensen: voeg een toelichting toe: "Uw dieetwensen worden alleen gebruikt voor de catering en worden na het evenement verwijderd."
• Toegankelijkheidsbehoeften: zelfde toelichting vereist
• Gezondheids- of zorginfo: verwerk dit alleen als strikt noodzakelijk, altijd met expliciete toestemming

Toestemmingsvragen (altijd opt-in, nooit opt-out)

• Fotografie toestemming: "Ik geef toestemming voor gebruik van foto- en videomateriaal waarop ik herkenbaar in beeld kom, voor gebruik op de website en sociale media van [organisatienaam]." (optioneel)
• Nieuwsbrief toestemming: "Ik wil de nieuwsbrief van [organisatienaam] ontvangen." (optioneel)
• Partnercomuunicatie: "Ik ga akkoord dat mijn contactgegevens worden gedeeld met [partner]." (optioneel, alleen als relevant)

Wat je niet mag doen

• Toestemmingsvakjes vooraf aanvinken (opt-out is geen vrije toestemming)
• Deelname afhankelijk stellen van toestemming voor nieuwsbrief
• Meer data verzamelen dan noodzakelijk voor het doel (dataminimalisatie)
• Geen link naar de privacyverklaring opnemen
• Bijzondere persoonsgegevens verzamelen zonder expliciete toestemming en toelichting

Technische vereisten van het formulier

• Beveiligde verbinding (HTTPS): altijd verplicht voor formulieren die persoonsgegevens verzamelen
• Data opslag in de EU: persoonsgegevens van EU-burgers mogen niet worden opgeslagen op servers buiten de EU tenzij er adequate beschermingsmaatregelen zijn
• Automatische bevestiging: stuur altijd een bevestigingsmail met een samenvatting van wat er is ingevuld en hoe de deelnemer zijn of haar data kan inzien of verwijderen

Voor een compleet AVG-stappenplan voor je hele organisatie, niet alleen het inschrijfformulier, zie de AVG-checklist van WeAreImpact.

Veelgestelde vragen

Moet ik elk formulier laten controleren door een jurist?

Nee, maar het is verstandig om bij je eerste AVG proof formulier eenmalig juridisch advies te vragen. Daarna kun je het gevalideerde template gebruiken voor alle volgende evenementen. De investering in juridisch advies betaalt zich terug bij één vermeden klacht.

Wat als deelnemers weigeren toestemming te geven voor fotografie?

Dat is hun recht en dat mag geen invloed hebben op hun deelname aan het evenement. Zorg dat je fotografieteam weet wie niet gefotografeerd wil worden en borg dat in je werkwijze. Dit is een operationeel vraagstuk, geen reden om mensen de deelname te weigeren.