AVG-checklist voor campings en vakantieparken: gastgegevens, camera, wifi en medewerkers

Je hebt de reservering ontvangen, de kamer klaargezet en de gast vriendelijk ingecheckt. Ergens in dat proces heb je zijn naam, e-mailadres, geboortedatum en een scan van zijn identiteitsbewijs verwerkt. En morgen doe je het weer. En overmorgen ook.

Dat is geen probleem — dat is je werk. Maar de manier waarop je die gegevens verzamelt, bewaart en beveiligt, valt onder de AVG (Algemene Verordening Gegevensbescherming). En daar gaat het bij campings en vakantieparken regelmatig mis. Niet door kwade opzet, maar door onbekendheid. Dit artikel geeft je een praktische checklist langs de vier belangrijkste aandachtsgebieden: gastgegevens, camera, wifi en medewerkers.

Gastgegevens: wat je mag bewaren en hoe lang

De AVG stelt dat je persoonsgegevens alleen mag verzamelen als daar een geldige reden voor is. In de hospitality zijn er drie gebruikelijke grondslagen: een wettelijke verplichting (zoals de identificatieplicht voor logiesaanbieders), de uitvoering van een overeenkomst (de reservering) en een gerechtvaardigd belang (zoals fraudepreventie). Voor elke categorie gegevens die je verzamelt, moet je kunnen zeggen welke grondslag van toepassing is.

Bewaar niet meer dan nodig. Een kopie van een identiteitsbewijs is in veel gevallen niet verplicht — het BSN (burgerservicenummer) op dat bewijs mag je sowieso niet vastleggen. Controleer bij incheck of je echt een kopie nodig hebt, of dat een registratie van naam en geboortedatum volstaat.

Bewaarperiodes zijn een veelgemist punt. Reserveringsgegevens mogen niet eeuwig op de server blijven staan. Een vuistregel: bewaar gegevens niet langer dan nodig voor het doel waarvoor ze zijn verzameld, plus een redelijke termijn voor eventuele klachten of aansprakelijkheid. Voor de meeste gastgegevens is dat maximaal twee jaar na vertrek. Financiële gegevens vallen onder de fiscale bewaarplicht van zeven jaar — die zijn een uitzondering.

Praktische checkpunten:

• Weet je welke persoonsgegevens je verzamelt en met welk doel?
• Heb je een verwerkingsregister bijgehouden?
• Zijn je bewaarperiodes vastgelegd en worden ze ook daadwerkelijk gehanteerd?
• Vraag je niet meer gegevens dan strikt nodig?

Camera: wat je mag filmen en wat je moet regelen

Camerabewaking is in de hospitality gebruikelijk en vaak ook verstandig. Maar de AVG heeft hier duidelijke regels voor, en die worden lang niet altijd gevolgd.

Je mag camera's plaatsen voor beveiliging — maar alleen op plekken waar dat proportioneel is. De ingang van de receptie, de parkeerplaats, de toegangspoort: prima. Sanitaire voorzieningen, kleedkamers of privéterreinen van gasten: absoluut niet. En ook in openbare verblijfsruimtes geldt een afweging: is de camera noodzakelijk, of is er een minder ingrijpende maatregel mogelijk?

Beeldmateriaal is een persoonsgegeven. Dat betekent dat alle AVG-verplichtingen gelden: je moet gasten informeren dat er gefilmd wordt (via duidelijke bordjes), je moet vastleggen wie toegang heeft tot de beelden, en je moet een bewaarperiode hanteren. De standaard in Nederland is maximaal vier weken. Heb je specifieke beveiligingsdoelen die een langere bewaring rechtvaardigen? Leg dat dan schriftelijk vast.

Toegang tot camerabeelden is een gevoelig punt. Niet elke medewerker hoeft bij de opnames te kunnen. Beperk toegang tot een kleine groep — bij voorkeur niet meer dan twee of drie mensen — en leg vast wie dat zijn en wanneer zij toegang hebben gehad.

Praktische checkpunten:

• Zijn alle camera's zichtbaar aangekondigd via bordjes?
• Heb je vastgelegd waarom elke camera op die specifieke locatie hangt?
• Is de bewaarperiode ingesteld op maximaal vier weken?
• Weet je wie er op dit moment bij de beelden kan?

WiFi: de risico's die je misschien niet ziet

Een camping of vakantiepark biedt gasten bijna altijd WiFi aan. Dat is service — maar het brengt ook verantwoordelijkheden mee. Wie een netwerk aanbiedt waarover anderen communiceren, heeft een zorgplicht. Dat geldt ook voor je als accommodatiehouder.

Het belangrijkste principe: scheid het gastnetwerk van het bedrijfsnetwerk. Gasten horen nooit in de buurt te kunnen komen van je reserveringssysteem, kassasoftware of interne bestanden. Op een slecht ingericht netwerk is dat wel mogelijk — en dat is een ernstig beveiligingsrisico. Een goede WiFi-installatie regelt deze scheiding technisch af, zodat je er zelf niet dagelijks over na hoeft te denken.

De AVG verplicht je om passende technische maatregelen te nemen om persoonsgegevens te beveiligen (zie hoe wij je gastnetwerk helpen beveiligen). Een open gastnetwerk zonder enige beveiliging voldoet daar niet aan. Minimale maatregelen zijn een WPA2- of WPA3-beveiliging, een aparte VLAN (een virtueel gescheiden netwerk) voor gasten en logging van netwerkactiviteit voor het geval er een incident is.

Bewaar die logs niet langer dan noodzakelijk. In de meeste gevallen is drie maanden ruim voldoende. Vraagt een opsporingsdienst om gegevens, dan heb je ze beschikbaar. Zo niet, verwijder je ze op tijd.

Praktische checkpunten:

• Zijn het gastnetwerk en het bedrijfsnetwerk technisch van elkaar gescheiden?
• Is je WiFi beveiligd met WPA2 of WPA3?
• Bewaar je netwerklogboeken en hanteer je een bewaarperiode?
• Weten je gasten dat je een netwerk aanbiedt en wat je daarvoor vastlegt?

Medewerkers: toegang, bewustzijn en vertrek

Medewerkers zijn de meest onderschatte risicofactor in AVG-compliance. Niet omdat ze onbetrouwbaar zijn, maar omdat ze toegang hebben tot gegevens en die toegang zelden goed geregeld is.

Zorg dat medewerkers alleen toegang hebben tot gegevens die ze voor hun functie nodig hebben. Een schoonmaker heeft geen toegang nodig tot betalingsgegevens. Een seizoenmedewerker aan de receptie heeft geen toegang nodig tot de volledige gasthistorie van de afgelopen drie jaar. Dit principe heet "minimale toegang" en het is een van de basisvereisten van de AVG.

Leg vast welke systemen welke medewerker kan benaderen. Gebruik aparte accounts per persoon — geen gedeelde inloggegevens. Als iemand vertrekt, deactiveer dan direct zijn toegang. Dat klinkt logisch, maar in de praktijk blijven accounts van vertrokken medewerkers soms maanden actief. Dat is een risico dat je eenvoudig kunt uitsluiten.

Training is verplicht, maar hoeft niet ingewikkeld te zijn. Medewerkers moeten weten wat persoonsgegevens zijn, waarom ze voorzichtig moeten omgaan met gastinformatie en wat ze moeten doen als er iets misgaat. Een korte instructie bij indiensttreding en een jaarlijkse opfrissing zijn vaak al voldoende.

Een verwerkersovereenkomst is verplicht als je externe partijen inschakelt die persoonsgegevens verwerken namens je. Denk je aan je reserveringssoftware, je betalingsverwerker of je IT-beheerder. Zonder verwerkersovereenkomst ben je als verwerkingsverantwoordelijke toch aansprakelijk als er iets misgaat aan hun kant.

Praktische checkpunten:

• Heeft elke medewerker een eigen account voor systemen met persoonsgegevens?
• Worden accounts direct geblokkeerd bij vertrek?
• Heb je verwerkersovereenkomsten met alle externe leveranciers?
• Zijn medewerkers geïnformeerd over hun verantwoordelijkheden rond gastgegevens?

Wat je vandaag kunt doen

AVG-compliance is geen eenmalig project dat je afvinkt. Het is een doorlopend proces dat past bij hoe je je accommodatie runt. Maar je hoeft niet alles tegelijk aan te pakken.

Begin met het verwerkingsregister. Dit is een overzicht van welke persoonsgegevens je verwerkt, met welk doel, op welke grondslag en hoe lang je ze bewaart. De AVG verplicht je dit bij te houden als je meer dan 250 medewerkers hebt — maar ook voor kleinere organisaties is het een nuttig instrument. Het dwingt je na te denken over wat je eigenlijk doet met gastdata.

Controleer daarna je cameralocaties en je bewaarperiodes. Zijn de bordjes zichtbaar? Is de bewaartermijn ingesteld? Dat zijn twee punten die je binnen een dag kunt regelen.

Bekijk vervolgens je WiFi-configuratie. Als je niet zeker weet of je gast- en bedrijfsnetwerk gescheiden zijn, is dat een vraag aan je IT-beheerder die je vandaag nog kunt stellen. Als het antwoord onduidelijk is, is dat op zichzelf al een signaal.

Ga tot slot door je lijst van systemen die gastgegevens verwerken. Heb je voor elk van die leveranciers een verwerkersovereenkomst? Zo niet, vraag er dan één op. De meeste professionele leveranciers hebben die standaard beschikbaar.

De Autoriteit Persoonsgegevens handhaaft actief en legt ook bij kleine organisaties boetes op. Maar de echte reden om dit op orde te hebben, is simpeler: gasten vertrouwen je hun gegevens toe. Dat vertrouwen verdien je met goede beveiliging, niet met een disclaimer onderin je privacyverklaring.