Het Koninklijk Nederlands Watersport Verbond (KNWV) heeft gereageerd op de melding van een groot datalek bij de Autoriteit Persoonsgegevens. Volgens het Watersportverbond is er geen sprake van een lek omdat de gekopieerde database met gegevens van 66.000 watersporters “achter een login” staat. Maar privacyexperts en de letter van de wet vertellen een genuanceerder verhaal: de AVG spreekt niet alleen over openbare gegevens, maar ook over “ongeoorloofde verstrekking”, en dat is precies waar de CWO het Verbond van beschuldigt. De Autoriteit Persoonsgegevens zal moeten oordelen wie hier gelijk heeft.
De reactie van het Watersportverbond kwam een dag na de publicatie van het nieuws over de melding bij de Autoriteit Persoonsgegevens. “Er zijn geen gegevens openbaar geworden of vrij toegankelijk geweest voor onbevoegde derden,” aldus het Verbond in een verklaring. De organisatie wijst erop dat de betreffende informatie zich bevindt binnen een beveiligde digitale omgeving met toegangscontrole en dat ook de CWO zelf in haar communicatie vermeldt dat de gegevens achter een inlog staan. “Daarmee vervalt feitelijk direct de kwalificatie van een datalek,” concludeert het KNWV.
Opvallend is dat het Watersportverbond nu zelf vragen stelt bij de manier waarop de situatie aan het licht kwam. Volgens het Verbond heeft een CWO-medewerker toegang verkregen tot een omgeving van het Watersportverbond waarvoor geen toestemming was verleend. “Wij onderzoeken de omstandigheden rondom deze toegang zorgvuldig,” aldus het Verbond, dat aangeeft hierover “waar nodig” in gesprek te gaan met de betrokken partijen.
Twee lezingen van de feiten
De CWO stelde eerder in haar verklaring dat de ontdekking werd gedaan nadat een medewerker door het KNWV was uitgenodigd om in te loggen in het betreffende systeem. Bij vergelijking bleek dat zowel de online omgeving als de data nagenoeg één-op-één overeenkomen met de officiële CWO-database, inclusief de unieke lidnummers die uitsluitend door de CWO worden toegekend. Een extern ICT-expert concludeerde dat sprake is van een datalek volgens de Algemene Verordening Gegevensbescherming (AVG).
Het Watersportverbond spreekt van “een vermeend groot datalek” en benadrukt dat het gaat om een “interne, beveiligde database waarvoor uitgebreide maatregelen zijn genomen om gegevens te anonimiseren.” Het Verbond roept alle betrokken organisaties op tot terughoudende en feitelijke communicatie om “onnodige onrust binnen de sector” te voorkomen.
Directeur Arno van Gerven van het Watersportverbond distantieert zich van de stevige reacties in de media van collega-directeur Geert Dijks van HISWA-RECRON, de brancheorganisatie die samen met de CWO de juridische stappen heeft gezet.
Van Gerven vertelt:
“Helaas hebben CWO en HISWA-RECRON de hele situatie rond de CWO tot een juridisch traject gemaakt en dat moet nu een vervolg krijgen. Dit zien wij met vertrouwen tegemoet na ook de eerste uitspraak van de rechter afgelopen december.”
Juridische kernvraag: wanneer is er sprake van een datalek?
De vraag of hier juridisch sprake is van een datalek hangt af van de interpretatie van de Algemene Verordening Gegevensbescherming. De AVG definieert een datalek als “een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens.”
Het cruciale woord hier is “ongeoorloofde verstrekking.” Volgens de Autoriteit Persoonsgegevens valt onder een datalek niet alleen het openbaar worden van gegevens, maar ook de onrechtmatige verwerking ervan. Als persoonsgegevens zonder toestemming worden gekopieerd naar een ander systeem, kan dit worden beschouwd als een “ongeoorloofde verstrekking” – ongeacht of die gegevens vervolgens achter een inlog staan.
Daarnaast stelt de AVG dat organisaties persoonsgegevens alleen mogen doorgeven aan derden als daar een geldige grondslag voor bestaat. Dit kan toestemming zijn van de betrokkenen, of een andere wettelijke basis. De CWO stelt expliciet dat zij nooit toestemming heeft gegeven voor het kopiëren of overnemen van de database. Als dat klopt, zou het overnemen van de gegevens in strijd kunnen zijn met de AVG, ook als de data beveiligd wordt opgeslagen.
Conflict na einde 30-jarige samenwerking
Het huidige dispuut staat niet op zichzelf, maar vormt het voorlopige dieptepunt van een al maanden slepend conflict tussen de voormalige partners. De spanningen werden voor het eerst publiekelijk zichtbaar in april 2025, toen het Watersportverbond aankondigde de diplomalijn van het Nationaal Watersportdiploma (NWD) te erkennen als nieuwe standaard voor watersportopleidingen.
De HISWA-vaarscholen reageerden destijds verbijsterd. Arjen Bergijk van HISWA vaarscholen verklaarde:
“We waren er bijna uit maar hadden een meningsverschil over 3 of 4 inhoudelijke onderwerpen. Deze onderwerpen horen thuis op de tafel van de Stichting CWO waar de HISWA en het Watersportverbond al 30 jaar samenwerken. Die vergadering moet nog plaatsvinden.”
Hij noemde het “onbegrijpelijk” dat het nieuws zonder afstemming naar buiten kwam.
Directeur Arno van Gerven van het Watersportverbond zag dat anders.
“Het is jammer dat op het allerlaatste moment het ons niet is gelukt om hier met de HISWA-vaarscholen afspraken over te maken. Dit was de kans. Nu moeten we door,” verklaarde hij in april.
Het Watersportverbond had naar eigen zeggen drie jaar ingezet op modernisering van de opleidingen, maar stuitte op weerstand toen het de NWD-diplomalijn als nieuwe standaard wilde invoeren.
In oktober 2025 maakte het Verbond definitief bekend te breken met de CWO en verder te gaan met de Watersport Academy in partnerschap met het NWD. HISWA-RECRON koos ervoor de CWO zelfstandig voort te zetten. Sindsdien beschuldigen beide kampen elkaar van het blokkeren van modernisering en het nastreven van eigenbelang. Het Watersportverbond sprak van “buitenproportionele juridische druk” op vrijwilligers; HISWA-RECRON en de CWO stellen dat het Verbond de CWO-data heeft meegenomen bij het vertrek.
De Autoriteit Persoonsgegevens zal nu moeten beoordelen of het overnemen van de database daadwerkelijk kwalificeert als een datalek in de zin van de AVG. Centrale vragen daarbij zijn: had het Watersportverbond een geldige grondslag om de data te verwerken, en is sprake geweest van een “ongeoorloofde verstrekking” van persoonsgegevens? De uitkomst kan verstrekkende gevolgen hebben voor beide partijen – en mogelijk bepalen wie in de toekomst de watersportopleidingen in Nederland controleert.
Over de CWO en het Watersportverbond
De Stichting Commissie Watersport Opleidingen (CWO) was tot 2025 een samenwerkingsverband tussen het Koninklijk Nederlands Watersport Verbond en brancheorganisatie HISWA-RECRON voor de certificering van watersportopleidingen in Nederland. Het CWO-diploma is het bekendste bewijs van zeil- en vaarvaardigheid in Nederland. Na het vertrek van het Watersportverbond per 1 januari 2026 zet HISWA-RECRON de CWO zelfstandig voort, terwijl het Watersportverbond de Watersport Academy heeft opgericht in samenwerking met het Nationaal Watersportdiploma.
