AVG en Cannabis Social Clubs: wat uw club moet weten over gegevensbescherming

Een Cannabis Social Club verwerkt bijzondere categorieën persoonsgegevens in de zin van de AVG (GDPR). Cannabis-consumptiegegevens vallen onder gezondheidsgerelateerde informatie — artikel 9 AVG. Dat betekent strengere regels dan voor een gewone sportvereniging of hobbyclub. Dit is wat uw club concreet moet doen.

Waarom cannabis-consumptiegegevens bijzondere gegevens zijn

Artikel 9 AVG verbiedt in principe de verwerking van gezondheidsgegevens. Hoeveelheden cannabis per lid, bezoekfrequentie en zelfs het lidmaatschap zelf kunnen onder deze definitie vallen. De toepasselijke uitzondering is artikel 9 §2 d): non-profitverenigingen met een gezondheids- of welzijnsdoelstelling. Maar die uitzondering komt met strikte voorwaarden.

De 6 AVG-verplichtingen voor uw club

1. Verwerkingsregister (art. 30 AVG)

U bent verplicht een register bij te houden van alle verwerkingsactiviteiten: ledenbeheer, distributielogboek, communicatie, financiële administratie. Dit register moet op verzoek beschikbaar zijn voor de Autoriteit Persoonsgegevens (AP).

2. Informatieplicht jegens leden (art. 13 AVG)

Elk lid moet bij aanmelding een privacyverklaring ontvangen die uitlegt: welke gegevens worden verzameld, met welk doel, op welke wettelijke basis, hoe lang ze worden bewaard, en welke rechten het lid heeft. De uitreiking moet worden gedocumenteerd — bij voorkeur via een ondertekende bevestiging.

3. Rechten van leden

Elk lid heeft recht op inzage (art. 15), rectificatie (art. 16), verwijdering (art. 17), beperking (art. 18), gegevensoverdraagbaarheid (art. 20) en bezwaar (art. 21). Uw systeem moet u in staat stellen deze verzoeken binnen één maand te beantwoorden — dus gegevens snel exporteren of verwijderen.

4. Dataminimalisatie

Verzamel alleen de gegevens die u werkelijk nodig hebt. Een pasfoto is voor quotumcontrole niet vereist — een QR-lidkaart volstaat. De vuistregel: als u het doel van de gegevensverzameling niet duidelijk kunt benoemen, verzamel de data dan niet.

5. Technische en organisatorische maatregelen (art. 32 AVG)

Verplicht zijn: versleuteling van de database en datatransport, rolgebaseerde toegangscontrole (niet elk personeelslid hoeft alles te zien), pseudonimisering waar mogelijk, regelmatige back-ups en een verwijderingsbeleid na het verstrijken van de bewaartermijn.

6. Verwerkersovereenkomst

Gebruikt u beheersoftware van een externe aanbieder? Dan is die aanbieder een verwerker in de zin van artikel 28 AVG. U heeft een verwerkersovereenkomst (DPA) nodig. Serieuze aanbieders stellen die standaard beschikbaar.

THC Gestión en AVG-conformiteit

THC Gestión integreert de vereiste AVG-mechanismen: rolgebaseerde toegang, versleutelde opslag, exportfunctie voor inzageverzoeken en verwijderingsfunctie voor het recht op vergetelheid. Een verwerkersovereenkomst is beschikbaar voor alle EU-klanten.