De ledenregistratie
14.1 Doel van de registratie
Al van oudsher houdt de gemeente bij wie gedoopt zijn en wie door belijdenis ‘lidmaat’ (we zeggen nu: belijdend lid) van de gemeente is. Ook in dorpen waar iedereen elkaar kende en men het van elkaar wist, werd dit schriftelijk vastgelegd. Belijdende leden kregen bij verhuizing een attestatie mee om zich in de nieuwe gemeente als lid te laten inschrijven.
De huidige registratie heeft nog steeds hetzelfde doel: om te weten wie tot de kring behoren en om bij verhuizing de nieuwe gemeente op de hoogte te stellen (zie hieronder, § 14.7). Of iets ruimer geformuleerd: om te kunnen beschikken over persoonsgegevens ten behoeve van het kerkelijk leven en werken in de ruimste zin van het woord (ord. 2-3-1).
Om samen kerk te zijn, wordt bijgehouden wie tot de kring van de gemeente behoort, maar geregistreerd zijn is geen voorwaarde om mee te doen
Die ruime formulering is tegelijkertijd ook een beperking. Gegevens mogen alleen voor dat doel worden gebruikt (GR 2-7). De kerkenraad mag die gegevens dan ook niet geven aan buitenstaanders (bijv. goede doelen die onder gemeenteleden een actie willen houden). Ook intern moet daarop worden gelet. Om een simpel voorbeeld te noemen: iemand die uit hoofde van zijn functie e-mailadressen heeft van gemeenteleden, mag deze niet gebruiken voor privémails.
14.2 Ledenregisters
In de kerk zijn er drie samenhangende registers:
- het lokale ledenregister
- het landelijke ledenregister
- het register van evangelisch-lutherse leden (ord. 2-3).
De basis is het lokale ledenregister. ‘Leden’ wordt daarbij in ruime zin gebruikt voor iedereen die tot de kring van de gemeente behoort. Iemand die dooplid of belijdend lid is, wordt vanzelfsprekend geregistreerd, net als degenen die gevraagd hebben (als gastlid of als vriend) in de gemeente te worden opgenomen, en de ongedoopte kinderen van gemeenteleden die door de ouders zijn aangemeld. Registratie van die ruimere kring is belangrijk met het oog op het leven en werken van de kerk, maar dat betekent niet dat alleen geregistreerden kunnen meedoen aan activiteiten van de gemeente zoals gespreksgroepen, enz. De kring van de gemeente wordt gevormd door hen die bij de gemeente betrokken zijn. Opname in het ledenregister is daarvoor geen voorwaarde, al zal er altijd wel een vorm van registratie zijn (bijv. een lijst van deelnemers aan een kring of een lijst met e-mailadressen van wie een nieuwsbrief willen ontvangen).
Het landelijke ledenregister is afgeleid van het lokale register: het is de verzameling van alle lokale ledenregisters. Daarnaast heeft dit register ook eigen gegevens.
Uiteraard zijn dat de gegevens van alle (wijk)gemeenten (GR 2-8-3), en verder
- gegevens van naar het buitenland vertrokken leden die zelf verzoeken geregistreerd te blijven (bijv. met het oog op hun terugkeer),
- gegevens van leden van opgeheven gemeenten, zolang zij nog niet in een andere gemeente zijn opgenomen.
Ook kunnen afspraken worden gemaakt met geassocieerde kerken dat hun leden in het landelijke register worden geregistreerd (GR 2-8-4).
Het register van evangelisch-lutherse leden bevat de verzameling van leden (in de enge zin) van evangelisch-lutherse gemeenten en van hen die op hun verzoek door de evangelisch-lutherse synode als evangelisch-luthers lid zijn aangemerkt (ord. 2-3-4). Het gaat daarbij bijvoorbeeld om leden van evangelisch-lutherse gemeenten die na verhuizing in een protestantse gemeente worden opgenomen.
Het lokale register is de basis. Nadrukkelijk is vastgelegd dat de kerk geen gebruik mag maken van de gegevens in het landelijke register om personen te benaderen. Dat mag alleen als de kerkenraad op de hoogte is gesteld en geen bezwaar maakt.
Hetzelfde geldt voor de evangelisch-lutherse synode. Deze mag alleen evangelisch-lutherse leden benaderen in het kader van de verkiezing van leden van de evangelisch-lutherse synode, of nadat de kerkenraad op de hoogte is gesteld en geen bezwaar maakt (ord. 2-3-6).
14.3 Doop-, trouw- en belijdenisboeken
Naast het lokale register kent de plaatselijke gemeente ook een doopboek, belijdenisboek en trouwboek. Hierin worden de namen opgetekend van hen die in de gemeente gedoopt worden, belijdenis doen of trouwen. Het college van kerkrentmeesters is hiervoor verantwoordelijk (ord. 3-10-2; 11-2-7). Deze boeken zijn geen ledenregistratie, maar registratie van feiten. Daarbij is met name het doopboek van belang. Dat iemand gedoopt is, staat ook in de ledenregisters, maar als iemand niet langer in de registers staat (bijv. door vertrek naar het buitenland), kan aan de hand van dit boek altijd achterhaald worden of iemand gedoopt is. Een digitaal doopboek of trouwboek ligt misschien voor de hand, maar omdat er nog te veel onzekerheden zijn met betrekking tot de houdbaarheid, is daarnaast een ‘echt’ boek aan te bevelen.
De doop kan niet ongedaan worden gemaakt
Het feit dat iemand gedoopt is, belijdenis heeft gedaan of kerkelijk is getrouwd, is niet ongedaan te maken. Ook als iemand zich aan de kerk onttrekt en zijn of haar gegevens dan ook uit de ledenregisters worden verwijderd, blijft de vermelding in de genoemde boeken bestaan. De kerkenraad kan een verzoek om verwijdering uit het doopboek (of een van de andere boeken) alleen maar weigeren (GR 2-5-3). Hooguit kan bij de doop worden aangetekend dat de dopeling zich aan de gemeenschap van de kerk onttrokken heeft.
14.4 Algemene Verordening Gegevensbescherming (AVG)
Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze is ook op de kerkelijke ledenregistratie van toepassing. Kenmerkend voor de AVG is de nadruk op vier speerpunten:
- persoonsgegevens mogen alleen worden verwerkt als de persoon toestemming geeft of als er een gerechtvaardigd belang is,
- ieder moet kunnen weten wat er met zijn of haar gegevens gebeurt,
- persoonsgegevens moeten goed worden beschermd zodat alleen gemachtigden toegang hebben tot de gegevens, en
- iedere geregistreerde heeft recht op inzage en aanpassing van zijn gegevens.
Verwerking van persoonsgegevens is een ruim begrip. Het gaat niet alleen om het opnemen in het ledenregister, maar ook om het publiceren van een herkenbare foto, het publiceren van verjaardaglijstjes, enz. Ook lijsten van deelnemers aan kringen (al of niet opgenomen in het ledenregister) vallen hieronder.
Het eerste speerpunt betreft het verwerken van persoonsgegevens ten behoeve van het kerkelijk leven en werken in de ruimste zin van het woord. De AVG schrijft voor dat alleen geregistreerd mag worden als betrokkene toestemming heeft gegeven, of als er een gerechtvaardigd belang is. De ledenregistratie is een gerechtvaardigd belang, zodat voor registratie van degenen die door de doop, door verhuizing of op hun verzoek of dat van hun ouders in de gemeente zijn opgenomen, geen toestemming hoeft te worden gevraagd. Wel zal de kerkenraad (de verwerkingsverantwoordelijke in de zin van de AVG) moeten afwegen of een bepaalde verwerking past binnen het gerechtvaardigd belang dan wel of toestemming van betrokkene vereist is. De landelijke kerk stelt een model-privacyverklaring beschikbaar aan de hand waarvan de kerkenraad zich kan bezinnen op de keuzen waarvoor hij staat.
We komen daarmee aan een tweede speerpunt van de AVG: transparantie. Ieder moet kunnen weten wat er met zijn of haar gegevens gebeurt en de kerkenraad moet kunnen aantonen dat maatregelen genomen zijn om de gegevens te beschermen. Dat geldt voor het register maar ook voor alle lijsten enz. die vanuit het register worden gemaakt. Kerkordelijk ligt vast dat ambtsdragers en anderen in de gemeente die namens de gemeente een taak verrichten, tot geheimhouding verplicht zijn (ord. 4-2). Met anderen (zoals de drukker die kerkbladen verzendt) moet een schriftelijke overeenkomst worden gesloten waarin dit wordt vastgelegd.
Wie persoonsgegevens opslaat buiten het LRP om, moet zelf maatregelen voor de beveiliging nemen
Bescherming van gegevens – het derde speerpunt van de AVG – betekent dat de kerkenraad verantwoordelijk is voor een zodanige opslag van de gegevens dat alleen gemachtigden toegang hebben. De meeste gemeenten hebben hun gegevens opgeslagen in het LRP (Leden Registratiesysteem Protestantse Kerk in Nederland). Daarmee wordt aan de eisen van beveiliging voldaan. Een systeem van authenticatie zorgt ervoor dat alleen degenen die daartoe namens de kerkenraad gemachtigd zijn, (een deel van) de gegevens kunnen inzien en eventueel kunnen invoeren of wijzigen.
Wie de gegevens op een andere wijze opslaat (op papier of digitaal), moet zelf maatregelen voor de beveiliging nemen.
In alle gevallen geldt dat de kerkenraad afspraken moet maken dat lijsten die worden uitgedraaid uit het register, niet méér gegevens bevatten dan voor het doel nodig is, en alleen voor dat doel gebruikt mogen worden. Na afloop moeten ze dan ook worden vernietigd. Wanneer gegevens uit het LRP worden gedownload, wordt hierop met nadruk gewezen. Op de website van de Protestantse Kerk in Nederland wordt nader ingegaan op de vragen rond privacy.
Als er onverhoopt toch een datalek is, moeten zowel de Autoriteit Persoonsgegevens als de betrokkenen worden geïnformeerd. Te denken valt daarbij aan een computer die wordt gehackt of het verliezen van een lijst met persoonsgegevens. Ook hiervoor is op de website van de kerk een Stappenplan te vinden. Plaatselijk zijn het college van kerkrentmeesters en de kerkenraad daar samen voor verantwoordelijk.
Het vierde speerpunt van de AVG betreft het inzagerecht. Geregistreerden (of hun wettelijke vertegenwoordigers) kunnen altijd bij de kerkenraad navragen welke gegevens geregistreerd zijn en zo nodig om correctie van de gegevens vragen. Ook kunnen deze personen navragen welke gegevens aan anderen zijn verstrekt (zoals bijv. aan de drukker van het kerkblad). De termijnen die de kerkenraad in acht moet nemen bij zijn reactie zijn vastgelegd in GR 2-7. Degenen van wie de gegevens alleen in het landelijke register zijn opgenomen, kunnen hun verzoek richten aan de generale synode.
14.5 Verantwoordelijken en verwerkers
Voor het lokale register is de (algemene) kerkenraad de verwerkingsverantwoordelijke, voor het landelijke register de generale synode, en voor het register van evangelisch-lutherse leden de evangelisch-lutherse synode. Voor het register van een zelfstandige huisgemeente is dat de ambtelijke vergadering die de huisgemeente heeft ingesteld.
De kerkenraad moet transparant zijn en aangeven om welk belang publicatie plaatsvindt
De verwerkingsverantwoordelijke is aanspreekbaar op alles wat met de gegevensverwerking samenhangt. De kerkenraad stelt dan ook de lokale privacyverklaring op. In deze verklaring wordt vastgelegd wie aanspreekpunt is met betrekking tot vragen rond het gebruik van gegevens, welke gegevens worden gepubliceerd in nieuwsbrieven en op de website, of welke namen worden genoemd in kerkdiensten die openbaar worden uitgezonden enzovoorts. De AVG verbiedt dergelijke publicaties niet, maar wel moet een kerkenraad daarin transparant zijn en aangeven om welk belang publicatie plaatsvindt.
De verwerking zelf gebeurt door de verwerker. Voor het lokale register is dat het college van kerkrentmeesters, voor een huisgemeente de commissie die leiding geeft aan de huisgemeente, en voor het landelijke register en het register van evangelisch-lutherse leden een daartoe afgezonderd deel van de dienstenorganisatie (kortweg de afdeling LRP) (GR 2-2-1,2).
Het uitvoerend werk voor de lokale ledenregistratie gebeurt door een ledenadministrateur. Deze werkt onder rechtstreekse verantwoordelijkheid van het college van kerkrentmeesters. Met een ledenadministrateur wordt dan ook geen verwerkingsovereenkomst gesloten. Met derden (bijv. de drukker die het kerkblad verzendt) wordt wel een verwerkingsovereenkomst gesloten. De verwerkingsovereenkomst wordt namens de gemeente getekend door de voorzitter en de secretaris van het college van kerkrentmeesters.
14.6 Gegevens
Van degenen die tot de kring van de gemeente behoren, wordt een aantal burgerlijke en kerkelijke gegevens vastgelegd. Een precieze opsomming is te vinden in GR 2-3-1,2. De leden worden niet alleen als losse personen geregistreerd, maar ook wordt de samenstelling van het gezin, gezinsverband of andere samenlevingsvorm geregistreerd (de zogeheten pastorale eenheid). Hierbij kunnen ook gegevens van gezinsleden die niet bij de kerk horen worden geregistreerd, in dat geval veelal aangeduid als ‘meegeregistreerden’. Dit heeft een pastoraal belang. Uiteraard kunnen deze personen alleen geregistreerd worden als betrokkenen zelf deze gegevens verstrekken (GR 2-3-3) en daarmee instemmen met registratie.
Naast de ‘formele’ gegevens kunnen degenen die toegang tot het LRP hebben als pastoraal werker, ook persoonlijke aantekeningen kwijt in het LRP. Dit zijn privéaantekeningen die voor niemand anders zichtbaar zijn. Hierin hoeft dan ook geen inzage te worden gegeven. Anders is het als de aantekeningen met anderen gedeeld worden (publieke notities). Deze vallen, net als andere ‘dossiers’ met gegevens over leden die niet alleen voor privégebruik zijn, onder de geregistreerde gegevens die bij de vraag om inzage aan betrokkenen moeten worden verstrekt.
14.7 Uitwisseling van gegevens
De Protestantse Kerk in Nederland is aangesloten bij de Stichting Interkerkelijke Ledenadministratie (SILA). De SILA registreert van alle leden van de aangesloten kerkgemeenschappen, voor zover zij daartegen geen bezwaar hebben gemaakt, tot welke kerkgemeenschap zij behoren. In de Basisregistratie Personen, de registratie van de overheid, is aangetekend of iemand behoort tot een van de bij de SILA aangesloten kerkgemeenschappen. Bij wijziging in de persoonsgegevens (verhuizing, overlijden, wijziging burgerlijke staat) wordt de SILA op de hoogte gesteld, die vervolgens de betreffende (landelijke) kerkgemeenschap op de hoogte stelt (GR 2-11-2). De afdeling LRP zorgt ervoor dat de wijzigingen worden doorgevoerd in het landelijke register en daarmee ook in (de kopie van) het lokale register. Gemeenten die het lokale register hebben opgeslagen bij het LRP zien de wijzigingen via de SILA automatisch in het lokale register. Gemeenten die hun register elders – bijvoorbeeld in een kaartenbak of een eigen database – hebben opgeslagen, worden door de afdeling LRP van de wijziging op de hoogte gesteld.
Omgekeerd is de plaatselijke gemeente verplicht om wijzigingen die haar ter kennis komen, door te geven aan de afdeling LRP. Het gaat daarbij om kerkelijke gegevens (bijv. doop) maar ook om burgerlijke gegevens – zoals verhuizing of overlijden – van leden die bezwaar hebben gemaakt tegen registratie door de SILA.
Gemeenten die het lokale register hebben opgeslagen bij het LRP kunnen de lokale wijzigingen online invoeren in het lokale register en daarmee in het landelijke register. Andere gemeenten moeten hun wijzigingen ten minste eenmaal per maand doorgeven aan de afdeling LRP (GR 2-9).
Gastleden en vrienden blijven bij verhuizing in het lokale ledenregister
Bij verhuizing van leden stuurt de afdeling LRP de gegevens van het lokale ledenregister (uiteraard zonder plaatselijke aantekeningen) door naar de nieuwe gemeente (GR 2-10-1). Gegevens van hun ongedoopte kinderen en van de gezinssamenstelling worden daarbij meegezonden. Gastleden en vrienden blijven ook bij verhuizing in het lokale ledenregister. Er is geen automatische overschrijving naar de gemeente van de nieuwe plaats van vestiging. Gastleden en vrienden zijn ook niet bij de SILA geregistreerd als behorend tot de Protestantse Kerk in Nederland, zodat de kerk en de gemeente niet automatisch van een verhuizing op de hoogte zijn.
14.8 Verwijdering van gegevens
Degenen die tot de kring van de gemeente behoren, kunnen geen bezwaar maken tegen de registratie. Uiteraard kan een lid zich wel onttrekken aan de gemeente (GR 2-5-2). Een verklaring van een lid aan de kerkenraad dat hij of zij niet (langer) tot de kerk behoort, volstaat. Bij voorkeur dient deze verklaring schriftelijk te worden gegeven, maar als betrokkene blijft bij een mondelinge verklaring aan de kerkenraad (of een vertegenwoordiger namens de kerkenraad), volstaat dat ook. De kerkenraad besluit dan het lidmaatschap te beëindigen. De landelijke kerk stuurt bericht van de voorgenomen beëindiging van het lidmaatschap aan de betrokkene met de vraag of dit inderdaad de bedoeling is. Als die niet reageert, volgt de beëindiging van het lidmaatschap. Als betrokkene aangeeft dat hij of zij betrokken wil blijven, blijft de beëindiging achterwege.
Gastleden, niet gedoopte kinderen van gemeenteleden en vrienden worden op hun verzoek van de gemeente losgemaakt. Hierbij is de landelijke kerk niet betrokken.
De gegevens van degenen die niet langer tot de gemeente behoren, worden uit het lokale ledenregister verwijderd (GR 2-5-1). Daarmee worden de gegevens ook verwijderd uit het landelijke register, en – indien van toepassing – uit het register van de evangelisch-lutherse leden. De feitelijke vermelding van doop, belijdenis en kerkelijk huwelijk in de plaatselijke doop-, belijdenis- en trouwboeken blijft wel in stand (GR 2-5-3). Ook als daarom gevraagd wordt, kan men zich niet laten ‘ontdopen’.
14.9 Samenvattend
Ieder die in de gemeente is opgenomen, wordt in het lokale ledenregister opgenomen. Deze gegevens mogen alleen voor het doel (het kerkelijk leven en werken in de ruimste zin van het woord) worden gebruikt. De kerkenraad moet erop toezien dat deze gegevens voldoende worden beschermd en niet oneigenlijk worden gebruikt.
