REGLEMENT BESCHERMING PERSOONSGEGEVENS. Wageningen University & Research. I Algemene bepalingen II Verwerking van persoonsgegevens...

Transcriptie

1 REGLEMENT BESCHERMING PERSOONSGEGEVENS Wageningen University & Research Inhoud I Algemene bepalingen... 2 II Verwerking van persoonsgegevens... 2 III Beveiliging en bewaring van persoonsgegevens... 3 IV Verstrekking van persoonsgegevens... 4 V Rechten van betrokkenen... 4 VI Rechtsbescherming... 6 VII Slotbepalingen

2 I Algemene bepalingen Artikel 1. Begripsbepaling / definities In dit reglement wordt in aansluiting bij en in aanvulling op de Wet bescherming persoonsgegevens (Staatsblad 2000,302) verstaan onder: De wet: de Wet Bescherming Persoonsgegevens; Het reglement: dit reglement, inclusief de bijlagen; Persoonsgegeven: elk gegeven betreffende een identificeerbare natuurlijke persoon (de betrokkene); Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens; Bestand: elk gestructureerd geheel van persoonsgegevens dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen; Verantwoordelijke: de raad van bestuur van Wageningen University & Research, zijnde college van bestuur van Wageningen University en Stichting Wageningen Research al naar gelang de afzonderlijke verwerking gebeurt door Wageningen University resp. Stichting Wageningen Research; Bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen; Betrokkene: degene op wie een persoonsgegeven betrekking heeft; Beheerder: degene die onder verantwoordelijkheid en ten behoeve van de verantwoordelijke is belast met de dagelijkse zorg voor de verwerking van persoonsgegevens, voor de juistheid van de ingevoerde gegevens, alsmede voor het bewaren, verwijderen en verstrekken van gegevens; Toestemming van de betrokkene: elke vrije, specifieke op basis van informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat op hem betrekking hebbende persoonsgegevens worden verwerkt; Verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens; Wageningen University & Research (hierna ook: WUR): Wageningen University en Stichting Wageningen Research. Artikel 2. Reikwijdte Dit reglement is van toepassing binnen WUR op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens die plaatsvindt onder verantwoordelijkheid van WUR, alsmede op de daaraan ten grondslag liggende documenten die in een bestand zijn opgenomen. Eveneens is het reglement van toepassing op niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. De afzonderlijke verwerkingen dan wel samenhangende verwerkingen zijn in de bijlagen beschreven. Deze bijlagen maken deel uit van dit reglement. II Verwerking van persoonsgegevens Artikel 3. Binnen WUR vinden diverse afzonderlijke verwerkingen van persoonsgegevens plaats. Per afzonderlijke verwerking is in de bijlagen bij dit reglement aangegeven: 2

3 - wie de verantwoordelijke is, wie de beheerder is en wie de bewerker is; - welke doeleinden de verwerking heeft; - van welke categorieën van personen persoonsgegevens worden verwerkt; - welke soorten van persoonsgegevens ten hoogste worden verwerkt en op welke wijze deze gegevens worden verkregen; - aan welke personen binnen en buiten de organisatie welke persoonsgegevens kunnen worden verstrekt, gelet op het doel en de grondslag van de verwerking Persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld Persoonsgegevens worden slechts verwerkt voor zover zij met het oog op de doeleinden van verwerking toereikend, ter zake dienend en niet overmatig zijn De verantwoordelijke treft maatregelen om zoveel mogelijk te waarborgen dat de te verwerken persoonsgegevens juist en nauwkeurig zijn. Artikel 5. Persoonsgegevens mogen slechts worden verwerkt indien een van de genoemde grondslagen geldt: a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; b. de gegevensverwerking noodzakelijk is voor de totstandkoming en uitvoering van een overeenkomst met de betrokkene; c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke voor de gegevensverwerking is onderworpen; d. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene; e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak van Wageningen University of het bestuursorgaan waaraan de gegevens worden verstrekt; f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke voor de gegevensverwerking of van een derde aan wie de gegevens worden verstrekt, en geen strijdigheid ontstaat met het belang of de fundamentele rechten en vrijheden van de betrokkene. Artikel Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Bij de beoordeling of een verwerking onverenigbaar is als hier bedoeld, wordt in ieder geval rekening gehouden met: a. De verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen; b. De aard van de betreffende gegevens; c. De gevolgen van de beoogde verwerking voor de betrokkene; d. De wijze waarop de gegevens zijn verkregen; e. De mate waarin jegens de betrokkene wordt voorzien in passende waarborgen Verdere verwerking van de gegevens voor de historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de nodige voorzieningen zijn getroffen teneinde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden. III Beveiliging en bewaring van persoonsgegevens 3

4 Artikel De verantwoordelijke treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking, waaronder mede wordt verstaan maatregelen tegen onnodige (verdere) verwerking van persoonsgegevens De personen die binnen WUR of krachtens opdracht van WUR belast zijn met de verwerking van persoonsgegevens zijn verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennis nemen, tenzij enig wettelijk voorschrift hen tot mededeling verplicht. De verantwoordelijke treft de nodige maatregelen om naleving van deze geheimhoudingsverplichting te waarborgen Persoonsgegevens worden niet langer bewaard in een vorm die het mogelijk maakt de betrokkene te identificeren, dan noodzakelijk is voor de doeleinden waarvoor ze zijn verwerkt Persoonsgegevens mogen langer worden bewaard dan hierboven bedoeld voor zover dit gebeurt voor historische, statistische of wetenschappelijke doeleinden en er de nodige voorzieningen zijn getroffen om te waarborgen dat de gegevens uitsluitend voor deze specifieke doeleinden worden gebruikt De beheerder zorgt ervoor dat de persoonsgegevens worden vernietigd indien en voor zover zij zoals hierboven bepaald niet meer mogen worden bewaard. IV Verstrekking van persoonsgegevens Artikel 8. Per afzonderlijke verwerking is in de bijlagen bij dit reglement aangegeven aan welke personen binnen en buiten WUR welke persoonsgegevens kunnen worden verstrekt, gelet op het doel en de grondslag van de verwerking. Artikel 9. De verantwoordelijke geeft geen persoonsgegevens door naar een bedrijf of vestiging in een land buiten de Europese Unie, dat geen passend beschermingsniveau heeft, tenzij voldaan is aan de in artikel 77 van de wet genoemde voorwaarden. V Rechten van betrokkenen Artikel Iedere betrokkene heeft recht op inzage (artikel 11) respectievelijk verbetering, aanvulling, verwijdering of afscherming (artikel 12) van de in de afzonderlijke verwerkingen hem betreffende persoonsgegevens, en heeft het recht van verzet (artikel 13), zoals geformuleerd in dit reglement Bij het uitoefenen van zijn rechten zorgt betrokkene ervoor dat verantwoordelijke de identiteit van betrokkene kan vaststellen en toont daartoe een geldig wettelijk identiteitsbewijs resp. zendt als bijlage bij een in te dienen verzoek/verzet/klaagschrift een kopie mee van het geldig wettelijk identiteitsbewijs van betrokkene, die altijd het schriftelijk stuk (mede)ondertekent. Artikel 11. Recht van inzage 4

5 11.1. Iedere betrokkene kan met redelijke tussenpozen een schriftelijk verzoek om inzage in hem betreffende persoonsgegevens indienen bij: a. de beheerder van het verzoek betreffende de afzonderlijke verwerking; b. Student Service Centre (SSC), indien betrokkene student is; c. de verantwoordelijke De geadresseerde van het hierboven bedoelde verzoek verstrekt betrokkene binnen vier weken na ontvangst schriftelijk de verzochte informatie Een betrokkene heeft op verzoek en tegen vergoeding van administratieve kosten van maximaal 5,- die bij vooruitbetaling dienen te worden voldaan recht op een kopie van de over hem opgenomen persoonsgegevens. Artikel 12. Recht van verbetering, aanvulling, verwijdering of afscherming Op verzoek van betrokkene zal verantwoordelijke zorg dragen voor verbetering, aanvulling, verwijdering of afscherming van betrokkene betreffende persoonsgegevens indien en voor zover deze feitelijk onjuist, voor het doel van de verwerking onvolledig, niet ter zake dienend of bovenmatig zijn, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt Betrokkene kan zijn hierboven bedoelde verzoek schriftelijk indienen bij: a. de beheerder van de het verzoek betreffende afzonderlijke verwerking; b. Student Service Centre (SSC); c. de verantwoordelijke. In het verzoek geeft betrokkene specifiek aan welke wijzigingen hij wenst De geadresseerde van het hierboven bedoelde verzoek bericht betrokkene binnen vier weken na ontvangst van het verzoek schriftelijk in hoeverre en op welke wijze hij hieraan zal voldoen. Een weigering is altijd gemotiveerd De geadresseerde van het hierboven bedoelde verzoek ziet erop toe dat een beslissing tot wijziging zo spoedig mogelijk wordt uitgevoerd. Indien dit mogelijk is of geen onevenredige inspanning kost, stelt geadresseerde derden, waaraan voorheen foutieve gegevens zijn verstrekt, zo spoedig mogelijk hiervan op de hoogte. De betrokkene wordt hierover geïnformeerd. Artikel 13. Recht van verzet Indien gegevens worden verwerkt op grond van artikel 5 onder e en f van dit reglement (artikel 8 onder e en f van de wet), kan de betrokkene bij de verantwoordelijke daartegen verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden Betrokkene kan zijn verzet schriftelijk indienen bij: a. de verantwoordelijke; b. Student Service Centre (SSC), die het onverwijld doorstuurt naar de verantwoordelijke De verantwoordelijke beoordeelt binnen vier weken na ontvangst van het verzet of dit gerechtvaardigd is. Verzet tegen de verwerking voor commerciële of charitatieve doelen wordt altijd gegrond verklaard. Indien de verantwoordelijke het verzet gegrond verklaart treft de 5

6 verantwoordelijke onverwijld maatregelen om de verwerking waartegen het verzet was gericht te beëindigen en de gevolgen daarvan zoveel mogelijk weg te nemen. De verantwoordelijke stelt de indiener van het verzet schriftelijk op de hoogte van zijn besluit en eventueel getroffen maatregelen. Een afwijzing is altijd gemotiveerd. Artikel Indien een betrokkene niet in staat is zelf de in deze paragraaf beschreven rechten uit te oefenen, kan hij een ander hiertoe schriftelijk machtigen Indien een gewichtig belang van betrokkene dit eist, kan behandeling van een verzoek in de zin van artikel 11 of 12 vertrouwelijk en mondeling worden behandeld in de zin van artikel 37 van de wet. VI Rechtsbescherming Artikel Betrokkenen kunnen een schriftelijke klacht bij de verantwoordelijke indienen wanneer zij van mening zijn dat de verantwoordelijke de wettelijke bepalingen inzake privacybescherming of de bepalingen van dit reglement niet naleeft. De verantwoordelijke reageert binnen vier weken na ontvangst op het klaagschrift en verhelpt de klacht zo adequaat mogelijk.een beslissing op een verzoek zoals bedoeld in paragraaf V van dit reglement alsmede naar aanleiding van aangetekend verzet, gelden als besluit in de zin van de Algemene wet bestuursrecht wanneer Wageningen University verantwoordelijke is Indien een dergelijke beslissing is genomen door Stichting Wageningen Research kan de belanghebbende zich binnen zes weken na ontvangst van de gewraakte beslissing met een verzoekschrift tot de rechtbank wenden zoals omschreven in artikel 46 van de wet Onverminderd hetgeen is bepaald in artikel 15.2 kan belanghebbende zich binnen zes weken na ontvangst van de gewraakte beslissing van de verantwoordelijke (onverschillig of dit Wageningen University of Stichting Wageningen Research is) wenden tot de Autoriteit Persoonsgegevens met een verzoek om bemiddeling of advisering. VII Slotbepalingen Artikel 16. In gevallen waarin dit reglement niet voorziet beslist verantwoordelijke. Artikel 17. Dit reglement kan worden aangehaald als Reglement Bescherming Persoonsgegevens WUR. Dit reglement is met instemming van de COR vastgesteld door de Raad van Bestuur van Wageningen University & Research en treedt in werking op: 2 februari 2009 De verantwoordelijke is bevoegd dit reglement te wijzigen of aan te vullen na verkregen instemming van de COR. Eveneens zullen de bijlagen van tijd tot tijd gewijzigd of aangevuld kunnen worden. Wijzigingen zijn van kracht zodra deze zijn gepubliceerd. 6

7 De verantwoordelijke stelt betrokkenen op de hoogte van het bestaan van dit reglement en van eventuele wijzigingen. 7