Privacybeleid Stichting Pensioenfonds Tandartsen en Tandarts-specialisten

Transcriptie

1 Privacybeleid Stichting Pensienfnds Tandartsen en Tandarts-specialisten Inhud 1. Inleiding Inleiding Wetgeving en definities Scpe Rllen en verantwrdelijkheden Uitgangspunten vr verwerking Rechtmatigheid, behrlijkheid en transparantie Deleinden Rechtmatige grndslag Bijzndere gegevens Wijze van verwerking Transparantie & Cmmunicatie Rechten van betrkkenen Verplichtingen verantwrdelijke Register van verwerkingen Gegevensbeschermingseffectberdeling (PIA) Geautmatiseerde verwerkingen Privacy by design & default Datalekken Verwerkers Uitbesteding aan een verwerker Eisen verwerkersvereenkmst Nn-Cmpliance & Klachten Nn-Cmpliance Klachten & Schadevergeding Inwerkingtreding /11

2 1. Inleiding 1.1 Inleiding De Stichting Pensienfnds Tandartsen en Tandarts-specialisten (het Fnds) verwerkt persnsgegevens van nder andere aanspraak- en pensiengerechtigden, (ex-)leden van fndsgremia, gezamenlijk vrtaan aangeduid met betrkkenen. Deze betrkkenen meten erp kunnen vertruwen dat het Fnds, binnen de kaders van de geldende wet- en regelgeving, p een veilige en zrgvuldige manier mgaat met de persnsgegevens van zijn betrkkenen. In dit beleid wrdt vastgelegd p welke wijze het Fnds mgaat met persnsgegevens en privacy. 1.2 Wetgeving en definities Op dit mment heeft elke lidstaat van de Eurpese Unie een eigen privacywet, gebaseerd p de Eurpese richtlijn van De Wet bescherming persnsgegevens (Wbp) regelt het juridische kader vr de mgang met persnsgegevens in Nederland. Op 25 mei 2018 vervalt de Wbp en treedt de Eurpese Verrdening; de Algemene Verrdening Gegevensbescherming (AVG), in werking, samen met de uitveringswet. De AVG zrgt nder andere vr versterking en uitbreiding van de privacyrechten met meer verantwrdelijkheden vr rganisaties. De vlgende begrippen wrden in de AVG gebruikt: Betrkkene: De persn p wie de persnsgegevens betrekking hebben. De betrkkene is degene van wie de gegevens wrden verwerkt. Vr het Fnds zijn de belangrijkste betrkkenen de aanspraak- en pensiengerechtigden, (ex)-leden van fndsgremia, natuurlijke persnen. Verwerker: De persn f rganisatie die de persnsgegevens verwerkt in pdracht van een andere persn f rganisatie. De belangrijkste verwerkers vr het Fnds zijn pensienuitveringsrganisatie, adviserend actuaris en dergelijke derden, mits zij persnsgegevens verwerken. Persnsgegevens: Alle gegevens die gaan ver natuurlijke persnen en waaraan je een natuurlijk persn als individu kunt herkennen. Het gaat hierbij m ieder gegeven dat te herleiden is tt een bepaald persn (bijvrbeeld; naam, adres, gebrtedatum). Naast gewne persnsgegevens kent de wet k bijzndere categrieën van persnsgegevens. Het gaat specifiek m: gegevens waaruit ras f etnische afkmst blijkt, plitieke pvattingen, religieuze f levensbeschuwelijke vertuigingen, het lidmaatschap van een vakbnd, genetische gegevens, bimetrische gegevens met het g p de unieke identificatie van een persn, gegevens ver gezndheid en gegevens met betrekking tt iemands seksueel gedrag f seksuele gerichtheid. Gegevensbeschermingseffectberdeling: Met een gegevensbeschermingseffectberdeling wrden de effecten en risic s van de nieuwe f bestaande verwerkingen berdeeld p de bescherming van de privacy. Dit heet k wel een Privacy Impact Assessment. Verwerkingsverantwrdelijke: Een persn f rganisatie die alleen, f samen met een ander, het del en de middelen vr de verwerking van persnsgegevens vaststelt. Het Fnds is gewnlijk de verwerkingsverantwrdelijke en bepaalt in ieder geval het del van de verwerking en heeft k de zeggenschap ver de wijze van verwerken. In dit beleid wrdt vrtaan de term verantwrdelijke gebruikt. Verwerking: Een verwerking is alles wat met een persnsgegeven gedaan wrdt, zals: vastleggen, bewaren, verzamelen, bij elkaar vegen, verstrekken aan een ander, en vernietigen. 2/11

3 1.3 Scpe Dit beleid is van tepassing p alle verwerkingen van persnsgegevens die dr f namens het Fnds plaatsvinden. 1.4 Rllen en verantwrdelijkheden Verantwrdelijke Het bestuur van het Fnds is verantwrdelijke vr de verwerkingen van persnsgegevens die dr f namens het Fnds plaatsvinden. Daarbij dient k de privacyregelgeving in acht te wrden genmen bij de uitvering in de praktijk, alsk vr de adequate inrichting van de Privacy Cmpliance Functie. Het bestuur is accuntable, dat wil zeggen dat het aanspreekbaar is p een veilige en zrgvuldige gegevensverwerking en bewijs met kunnen prduceren dat het bestuur vldet aan de eisen van de wet- en regelgeving. Dat leidt tt dcumentatie, zals dit beleid, crrecte verwerkersvereenkmsten, adequate beveiligingsmaatregelen en implementatie. Alsk mnitring p de crrecte naleving, zals testen, audits, evaluatie en registratie. Vrts indien ndzakelijk actualisatie van dit beleid en de uitvering daarvan. Dit vraagt m een practieve huding van zwel het bestuur als de uitveringsrganisatie, bij wie veelal de daadwerkelijk verwerking van de persnsgegevens van betrkkene plaatsvindt. Privacy Functie Het bestuur heeft beslten m vralsng geen aparte privacy functinaris te benemen, maar wel een bestuurder aan te wijzen, die dit nderwerp in zijn prtefeuille heeft. 2. Uitgangspunten vr verwerking Het Fnds respecteert de privacy van betrkkenen en hudt bij de verwerking van hun persnsgegevens de vlgende uitgangspunten in acht: 2.1 Rechtmatigheid, behrlijkheid en transparantie De hfdregel van de verwerking van persnsgegevens is dat het alleen tegestaan is in vereenstemming met de wet, en p een zrgvuldige wijze. Vr betrkkenen met inzichtelijk zijn waarm en p welke manier persnsgegevens wrden verwerkt. Het Fnds met hier helder en tegankelijk ver cmmuniceren in een zgenemd privacy statement en in de eerste cmmunicatie met betrkkenen, zals bij het verzenden van de Pensien Deleinden Vlgens de AVG mgen persnsgegevens alleen verzameld wrden als daarvr een del is vastgesteld. Het del met uitdrukkelijk mschreven en gerechtvaardigd zijn. De gegevens mgen niet vr andere delen verwerkt wrden. Het Fnds met die deleinden cncreet vaststellen en beschrijven vrdat de verwerking begint. Het Fnds verwerkt de persnsgegevens van betrkkenen vr de vlgende delen: - Om de dienstverlening van het Fnds richting betrkkenen cnfrm de vastgestelde pensienreglementen te kunnen uitveren, bijvrbeeld m de pensienrechten f -aanspraken f (aanvullende) inkmensverzekeringen zrgvuldig en juist te berekenen, betrkkenen daarver tijdig en crrect te infrmeren en de uitkering stipt uit te betalen, m ALM studies te den en premies te berekenen. - Om cntractuele afspraken f wettelijke f internatinale verplichtingen na te kmen. - Om de gebruiksvriendelijkheid van de website te verbeteren. - Vr interne (kwaliteits)analyes en prductntwikkeling. Hiermee kunnen de regelingen en dienstverlening naar betrkkenen verbeterd wrden. - Om cmmunicatie ver de pensienzaken van betrkkenen en daarmee samenhangende nderwerpen via verschillende cmmunicatiekanalen z relevant en persnlijk mgelijk te maken. Om dat mgelijk te maken, kppelt, cmbineert en analyseert het Fnds beschikbare (persns)ge- 3/11

4 gevens m z de meest relevante delgrepen en segmenten, inhud, infrmatie, mmenten en kanalen te bepalen, p elkaar af te stemmen en het aantal cntactmmenten te beperken. Verdere verwerking vr een ander del dan waarvr de gegevens rsprnkelijk werden verzameld, met separaat gerechtvaardigd kunnen wrden als de verwerking niet berust p testemming f wettelijke verplichting. De verwerking met in ieder geval ndzakelijk zijn vr het del dat wrdt nagestreefd. He het Fnds hierver cmmuniceert aan betrkkenen, wrdt uitgewerkt in de paragraaf transparantie en de rechten van betrkkenen. 2.3 Rechtmatige grndslag De wet bepaalt dat er vr elke verwerking van persnsgegevens een rechtmatige grndslag, zals vastgelegd in de AVG, van tepassing met zijn. Dat betekent dat de verwerking alleen mag plaatsvinden, indien: a) de aanspraak- f pensiengerechtigde testemming heeft gegeven vr de verwerking van zijn persnsgegevens; een vrbeeld hiervan is testemming vr het gebruik van tracking ckies p de website van het Fnds. b) de verwerking ndzakelijk is vr de uitvering van een vereenkmst waarbij de betrkkene partij is (inclusief precntractuele maatregelen), zals de pensienvereenkmst tussen de werkgever en de werknemers; c) het Fnds wettelijk verplicht is de verwerking uit te veren; denk hierbij aan alle vrschriften uit de Pensienwet f fiscaal verplichte administratieve taken, d) de verwerking ndzakelijk is m de vitale belangen (lees: het leven) van de aanspraak- en pensiengerechtigden f andere persnen te beschermen; deze grndslag zal bij het Fnds niet snel vrkmen; e) de verwerking ndzakelijk is vr een taak van algemeen belang f een publieke taak; deze grndslag zal bij het Fnds niet snel vrkmen; f) een eigen gerechtvaardigd belang van het Fnds f een derde, dat zwaarder weegt dan de grndrechten van de aanspraak- en pensiengerechtigden, zals bijvrbeeld fraudepreventie; er met sprake zijn van een belangenafweging p basis van alle mstandigheden van het geval. Een berep p de grnden genemd nder c en e met terug te veren zijn tt een specifieke wettelijke regeling in het Unierecht f het recht van een lidstaat dat p het Fnds van tepassing is. 2.4 Bijzndere gegevens In principe verwerkt het Fnds geen bijzndere categrieën van persnsgegevens, behalve infrmatie ver iemands gezndheid (denk aan een arbeidsngeschiktheidspercentage in geval van premievrijstelling), waarvr een grndslag zals vermeld in de AVG en/f Uitveringswet Algemene Verrdening gegevensbescherming is bendigd m deze gegevens te mgen verwerken. Denk bijvrbeeld aan uitdrukkelijke testemming van betrkkene f een wettelijke regeling die dat mgelijk maakt. Hetgeen k geldt vr strafrechtelijke gegevens en het Burgerservicenummer (BSN), waarvan de verwerking alleen geschiedt vr zver dat is tegestaan p basis van een specifiek wettelijke grndslag. Daarnaast kennen we ng een categrie gevelige gegevens, zals bijvrbeeld financiële f lcatiegegevens. Indien er bijvrbeeld een datalek plaatsvindt, waarbij gevelige gegevens zijn gelekt, dan dient er in ieder geval melding bij de AP plaats te vinden en mgelijk k aan betrkkenen. 2.5 Wijze van verwerking Er met sprake zijn van minimale gegevensverwerking. Het beginsel van dataminimalisatie betekent dat verwerking met wrden beperkt tt wat ndzakelijk is m de vastgestelde deleinden te bereiken. Wanneer met geen, f minder (belastende), persnsgegevens hetzelfde del bereikt kan wrden met daar altijd vr gekzen wrden. Hiermee hangt samen dat persnsgegevens k z snel mgelijk meten wrden geaggregeerd (als daarmee k het del kan wrden gerealiseerd), geannimiseerd f 4/11

5 gewist. De AVG gaat k uit van subsidiariteit. Dit betekent dat verwerking alleen is tegestaan wanneer het del niet p een andere manier kan wrden bereikt. Het Fnds met er actief vr zrgen dat de verwerkte gegevens juist en actueel zijn en neemt daar alle redelijke maatregelen vr. Het is nvldende als een pensienfnds een afwachtende huding aanneemt, waarbij futieve gegevens alleen wrden gecrrigeerd na klachten van deelnemers. Het Fnds bewaart de persnsgegevens niet langer dan ndig is vr de uitvering van zijn taken en neemt daarbij k de wettelijke verplichting uit hfde van bijvrbeeld het Burgerlijk Wetbek, de Pensienwet, f fiscale wetgeving in acht. Het uitgangspunt vr de gehanteerde bewaartermijn is het Servicedcument Bewaartermijnen van de Pensienfederatie. Het Fnds zrgt dat dr middel van passende technische en rganisatrische beveiligingsmaatregelen ngerlfde tegang tt c.q. ngerlfd gebruik van persnsgegevens wrdt vrkmen en heeft daarte een infrmatiebeveligingsbeleid vastgesteld en stelt aan uitbestede partijen stringente eisen p het gebied van IT-security. Zie hiervr de paragraaf uitbesteding. De persnsgegevens wrden alleen verwerkt dr persnen f bedrijven met een geheimhudingsplicht. 3. Transparantie & Cmmunicatie Het Fnds infrmeert betrkkenen ver het verwerken van hun persnsgegevens. Met de AVG wrdt als gevlg van versterking en vernieuwing van de rechten van betrkkenen het transparantiebeginsel in de wet geïntrduceerd. Dit beginsel hudt in dat deelnemers duidelijk geïnfrmeerd meten wrden ver dat en he hun persnsgegevens verzameld, gebruikt, geraadpleegd f p een andere manier verwerkt wrden, waarm en dr wie. Vrts dient dat in een beknpte, transparante, begrijpelijke en gemakkelijk tegankelijke vrm te geschieden, desgewenst met gebruikmaking van gestandaardiseerde icnen. Onderwerpen waarver naar betrkkene dient te wrden gecmmuniceerd zijn de navlgende: - cntactgegevens m.b.t. het Fnds en he betrkkenen cntact kunnen pnemen met het pensienfnds - waarm persnsgegevens wrden verzameld en waarm dat mag (del en rechtsgrnd van de verwerking van de persnsgegevens); - wat zijn de gerechtvaardigde belangen van het Fnds vr de gegevensverwerking, indien dat de rechtsgrnd van de verwerking is; - aan wie de persnsgegevens verder ng wrden verstrekt (ntvangers f categrieën van ntvangers); - zijn betrkkenen verplicht m de gevraagde persnsgegevens te verstrekken f niet? En wat zijn de gevlgen als een betrkkene de persnsgegevens niet verstrekt (ndzaak)?; - waar en he kan de betrkkene vragen m inzage, rectificatie, wissen f verdracht van persnsgegevens, klachten indienen, bezwaar maken f een verwerking beperken?; - he kan een betrkkene een verleende testemming intrekken?; - he lang verwacht het Fnds de persnsgegevens te gaan bewaren?; - als persnsgegevens buiten de EU verwerkt gaan wrden, welke waarbrgen zijn er getrffen dat de persnsgegevens in dat derde land cnfrm de AVG wrden verwerkt en passend beveiligd zijn; - det het Fnds aan geautmatiseerde besluitvrming (cmputergestuurde verwerking van persnsgegevens znder menselijke tussenkmst, bijvrbeeld prfilering)? En z ja, welke lgica wrdt daarvr gebruikt?; - maakt het Fnds gebruik van zgenemde ckies, welke persnsgegevens wrden dan verzameld, waarm en p welke wijze? Wanneer betrkkenen gegevens aan het Fnds aanleveren, dan dienen zij van vrengenemde infrmatie p de hgte gesteld te wrden. Dit kan bijvrbeeld via standaardfrmulieren, de zgenaamde Pensien cmmunicatie. Wanneer de gegevens via een andere weg verkregen wrden, bijvrbeeld via de werkgever dus buiten de betrkkene m, wrdt de betrkkene geïnfrmeerd p het mment dat deze gegevens vr de eerste keer wrden verwerkt. Dit kan uiterlijk p het mment van 5/11

6 eerste cntact met betrkkenen, indien deze niet te laat wrdt verstuurd, p zijn vregst binnen een maand na ntvangst gegevens van de werkgever. Infrmatie die gedurende de lptijd aan de betrkkene met wrden verstrekt kan k via een internetprtal van het Fnds geschieden. Van belang is k dat betrkkenen daarbij verwezen wrden naar de website van het landelijk pensienregister, De betrkkene wrdt niet ngmaals geïnfrmeerd als hij/zij al weet dat het Fnds persnsgegevens van hem/haar verzamelt en verwerkt, en weet waarm en vr welk del dat gebeurt. De standaardteksten m.b.t. de persnlijke cmmunicatie aan betrkkenen zullen nader wrden uitgewerkt dr de cmmunicatie-cmmissie. Privacy statement Daarnaast beschikt het Fnds ver een privacy statement, indien persnsgegevens wrden verzameld via de website. Ok dit statement dient aan de bvenvermelde eisen te vlden. 4. Rechten van betrkkenen De AVG geeft betrkkenen meer rechten dan nder de Wbp en het Fnds faciliteert het uitefenen van deze rechten, indien een betrkkene daarp een berep det. Hiernder wrdt krt tegelicht wat deze rechten inhuden en vrts wrden deze rechten nader uitgewerkt in de prcedure rechten betrkkenen. De AVG kent betrkkenen de navlgende rechten te: - Inzage: Betrkkenen hebben het recht m aan het Fnds te vragen f zijn/haar persnsgegevens wrden verwerkt. Als zijn persnsgegevens wrden verwerkt dan heeft hij recht m te weten welke gegevens dat zijn en heeft hij het recht een kpie van deze persnsgegevens p te vragen. - Rectificatie: Als duidelijk wrdt dat de gegevens niet klppen, kan de betrkkene een verzek indienen bij het Fnds m deze te wijzigen f aan te vullen. Als de betrkkene terecht een berep det p dit recht dan met het Fnds vlgens de AVG iedere ntvanger van de gegevens, zals bijvrbeeld de belastingdienst, het UWV en subverwerkers, hiervan p de hgte stellen. - Wissen (recht p vergetelheid): De betrkkene heeft het recht m de gegevens te laten wissen indien bijvrbeeld de persnsgegevens niet meer ndig zijn vr het deleinde van verwerking, bij intrekking testemming terwijl er geen andere grndslag aanwezig is f als terecht bezwaar aangetekend is tegen de verwerking. Vrts in geval van nrechtmatige verwerking. Overigens is dit geen absluut recht en bestaat hierp bijvrbeeld geen recht indien het Fnds vldet aan een wettelijke verplichting en bijvrbeeld in geval van een nderbuwing van een rechtsvrdering. Het wissen met kstels geschieden en z spedig mgelijk, in ieder geval binnen een maand. Ok de wissing met het Fnds drgeven aan de ntvangers. - Beperking: De betrkkene heeft het recht de verwerking te beperken in vier situaties: als de juistheid van de gegevens wrdt betwist en het Fnds met dat cntrleren; als de verwerking nrechtmatig is en de betrkkene zich verzet tegen wissen, maar een beperking wenst. als het Fnds de gegevens niet meer ndig heeft, maar de betrkkene wel, bijvrbeeld vr het veren van een rechtszaak tegen het pensienfnds f derden; als de betrkkene bezwaar heeft gemaakt tegen een verwerking waarp het Fnds niet meteen beslist, dan kan de betrkkene een beperking verlangen. Overigens k dit is geen absluut recht en verwerking kan tch plaatsvinden bijvrbeeld in geval van luter pslag, instellen rechtsvrdering en ter bescherming van rechten van anderen. - Dataprtabiliteit: De betrkkene heeft het recht p verdraagbaarheid van gegevens, hetgeen inhudt dat de betrkkene het recht heeft m zijn persnsgegevens in een gestructureerde, gangbare en machineleesbare vrm te ntvangen en deze ngehinderd aan een andere verantwrdelijke ver te dragen. Het del van dit nieuwe recht is m betrkkenen meer cntrle ver hun gegevens te geven en het vr hen gemakkelijker te maken van dienstverlener te wisselen. Het recht p dataprtabiliteit is alleen van tepassing p verwerkingen die p basis van 6/11

7 geautmatiseerde prcedés wrden verricht. Bvendien met het gaan m persnsgegevens die met testemming van de betrkkene f p basis van een vereenkmst met de betrkkene wrden verwerkt. - Bezwaar: Betrkkenen hebben het recht m bezwaar te maken tegen de verwerking van zijn/haar persnsgegevens. Het Fnds zal hieraan vlden, tenzij er gerechtvaardigde grnden zijn vr de verwerking. - Indienen van verzek: Om gebruik te maken van zijn/haar rechten kan de betrkkene een verzek indienen. Dit verzek kan zwel schriftelijk als via de ingediend wrden. Het Fnds heeft in beginsel vier weken de tijd, vanaf de ntvangst van het verzek, m te berdelen f het verzek gerechtvaardigd is. Indien dat niet lukt, dan met in ieder geval binnen een maand wrden gemeld waarm het niet lukt en kan de termijn met maximaal twee maanden wrden verlengd. Als het verzek niet wrdt pgevlgd, dan wrdt dit binnen een maand meegedeeld met de reden van weigering en infrmatie ver de mgelijkheid m een klacht in te dienen bij de AP en berep in te stellen bij de rechter. Er zal meten wrden vastgesteld dat de betrkkene zelf het recht inrept, ftewel identificatie. Het inrepen van alle rechten is in beginsel kstels, echter indien het verzek kennelijk ngegrnd f buitensprig is mag het Fnds hetzij redelijke ksten vragen vr het inwilligen van het verzek f het verzek weigeren. Met de verwerker AZL zijn afspraken he de verzeken van betrkkenen dienen te wrden behandeld en dat is k uitgewerkt in een prcedure AVG rechten van betrkkenen. 5. Verplichtingen verantwrdelijke 5.1 Register van verwerkingen Het Fnds is verantwrdelijk vr het aanleggen van een register van alle verwerkingen waarvan het Fnds de verantwrdelijke is. Elk register bevat een beschrijving van wat er tijdens een verwerking plaatsvindt, en welke gegevens daarvr wrden gebruikt, namelijk: - De naam en cntactgegevens van de verantwrdelijke en, mgelijk, de gezamenlijke verantwrdelijke; - De delen van de verwerking; - Een beschrijving van het srt persnsgegevens en de daarbij hrende betrkkenen; - Een beschrijving van de ntvangers van de persnsgegevens; - Een beschrijving van het delen van persnsgegevens aan een derde land f internatinale rganisatie; - De termijnen waarin de verschillende persnsgegevens meten wrden gewist; - Een algemene beschrijving van de beveiligingsmaatregelen. Ok verwerkers meten een srtgelijk register aanhuden, waarin per pensienfnds inzichtelijk is welke categrieën verwerkingen vr het pensienfnds wrden uitgeverd. De registers meten p verzek aan de AP wrden verstrekt. De registers dienen als bewijs dat het Fnds en de verwerkers de AVG naleven. Om die reden meten de registers schriftelijk wrden vastgelegd. Dat kan k in elektrnische vrm (database). 5.2 Gegevensbeschermingseffectberdeling (PIA) Met een gegevensbeschermingseffectberdeling, k wel aangeduid met Privacy Impact Assessment (PIA), wrden de effecten en risic s van nieuwe f bestaande verwerkingen berdeeld p de bescherming van de privacy. Het Fnds vert deze uit indien een gegevensverwerking een hg privacyrisic plevert vr betrkkenen. Vlgens de AVG is hiervan sprake indien het Fnds: - systematisch en uitverig persnlijke aspecten evalueert (gebaseerd p geautmatiseerde verwerking), waarnder prfilering en waarp besluiten wrden gebaseerd waaraan rechtsgevlgen vr betrkkenen zijn verbnden; - p grte schaal bijzndere persnsgegevens f strafrechtelijke gegevens verwerkt; 7/11

8 - p grte schaal en systematisch mensen vlgt in een publiek tegankelijk gebied (bijvrbeeld met cameratezicht). Buiten deze drie situaties geeft de AVG geen verzicht van verwerkingen met een hg risic. Vralsng gaat het Fnds ervan uit, dat het niet ndzakelijk is m een PIA uit te veren. 5.3 Geautmatiseerde verwerkingen Betrkkene heeft het recht niet te wrden nderwrpen aan een uitsluitend p geautmatiseerde verwerking, waarnder prfilering, gebaseerd besluit waaraan vr hem rechtsgevlgen zijn verbnden f dat hem anderszins in aanmerkelijke mate treft. Prfilering kmt bijvrbeeld vr indien betrkkene een vereenkmst wenst af te sluiten en vrdat de vereenkmst tt stand kmt eerst een creditscre van betrkkene wrdt pgevraagd m na te gaan f betrkkene vldende kredietwaardig is. Dit is veelal een geheel geautmatiseerd prces, waarbij geen menselijke tussenkmst plaatsvindt. Het Fnds maakt vralsng geen gebruik van geautmatiseerde beslissingen nch van prfilering. Indien daarvan sprake zal zijn, dan zullen daar specifieke eisen aan wrden gesteld. 5.4 Privacy by design & default Privacy by design beginsel hudt in dat de bij de verwerking gehanteerde mechanismen en systemen z zijn ntwrpen dat zveel als mgelijk rekening wrdt gehuden met de privacy van betrkkenen. Wanneer een dataset wrdt samengesteld, dient bijvrbeeld het beginsel van dataminimalisatie te wrden tegepast. Daarnaast kunnen persnsgegevens wrden gepseudnimiseerd, zdat zij niet direct herleidbaar zijn tt een persn. Z wrden de direct herleidbare naw-gegevens van betrkkene gesplitst van de verige gegevens, en bijvrbeeld met een encrypte sleutel pgeslagen. Vrstelbaar is dat in het systeem een dergelijk ntwerp wrdt geïmplementeerd, indien met name bijzndere en/f gevelige persnsgegevens wrden verwerkt. Vrts dat de standaard instelling bijvrbeeld van de website van het Fnds is ingeschakeld p de privacy-vriendelijke instelling. Indien het Fnds bijvrbeeld tracking ckies wenst te gebruiken, dan is deze standaard uitgeschakeld (default), dus daarvan wrdt geen gebruik gemaakt, tenzij betrkkene daarvr zijn uitdrukkelijke testemming heeft gegeven. 5.5 Datalekken Bij een datalek gaat het m in handen kmen van persnsgegevens bij ngeautriseerde persnen, als gevlg van een inbreuk p de beveiliging. Bij een datalek zijn persnsgegevens bltgesteld aan verlies f nrechtmatige verwerking, hetgeen dus niet de bedeling is van het Fnds. Vrbeelden van datalekken zijn: een kwijtgeraakte USB-stick met persnsgegevens, een gestlen laptp f een inbraak in een databestand dr een hacker. De nu al bestaande meldplicht datalekken blijft nder de artikelen AVG grtendeels hetzelfde. De verantwrdelijke, dus het Fnds, met een gecnstateerd datalek meteen dch in ieder geval binnen 72 uur melden aan de AP. Als dat niet tijdig lukt, dan met het pensienfnds hiervr een verklaring kunnen geven. Als er wel een hg risic is en het Fnds geen maatregelen meer kan nemen m het risic te mitigeren, dan meten naast de AP k de deelnemers zelf wrden geïnfrmeerd, zdat die eventueel vrzrgsmaatregelen kunnen treffen. De AP kan het Fnds k verplichten tt melding aan de deelnemers. Zie vr de uitwerking van de melding de prcedure datalekken van het Fnds. 6. Verwerkers 6.1 Uitbesteding aan een verwerker De verantwrdelijke is de entiteit die het del van en de middelen vr de verwerking van persnsgegevens bepaalt. De verwerker is de partij die ten beheve van de verantwrdelijke persnsgegevens verwerkt. De verwerker heeft een uitverende taak en heeft geen zeggenschap ver de wijze van 8/11

9 verwerken. Essentieel is dat de gegevens alleen in pdracht van de verantwrdelijke mgen wrden verwerkt en niet vr eigen deleinden dr de verwerker. Het gaat m uitbestede / gedelegeerde verwerkingsactiviteiten, die een verantwrdelijke k zelf had kunnen verrichten. Vrbeeld: het verwerken van de pensienadministratie van het Fnds dr een pensienuitveringsrganisatie. In de praktijk wrdt wel gedacht dat met iedere derde partij waarmee persnsgegevens wrden uitgewisseld een verwerkersvereenkmst met wrden geslten. Dat is niet het geval. Bijvrbeeld indien persnsgegevens dienen te wrden aangeleverd aan het CBS, de belastingdienst en het UWV. Al deze instanties f derden verwerken de gegevens p grnd van hun eigen (wettelijke) taken en zijn zelf verantwrdelijke vr de gegevensverwerking. Een verwerkersvereenkmst is alleen ndig vr zver de betreffende derde partij (deels) zich kwalificeert als verwerker. Indien het Fnds persnsgegevens laat verwerken dr een verwerker, wrdt de uitvering van de verwerkingen geregeld in een schriftelijke vereenkmst tussen het Fnds als de verantwrdelijke en de verwerker. Daarin wrden in ieder geval de in 6.2 genemde eisen pgenmen. 6.2 Eisen verwerkersvereenkmst Algemene beschrijving Een mschrijving van het nderwerp, de duur, de aard en het del van de verwerking, het srt persnsgegevens, de categrieën van betrkkenen en de rechten en verplichtingen als verwerkingsverantwrdelijke, dit kan het best in een bijlage wrden vastgelegd. Instructies verwerking & geheimhuding De verwerking vindt uitsluitend plaats p basis van schriftelijke instructies van het Fnds. De verwerker mag de persnsgegevens niet vr eigen (cmmerciële) deleinden gebruiken. Als een instructie een inbreuk plevert p de AVG stelt de verwerker het Fnds hier nmiddellijk van p de hgte. Persnen in dienst van f werkzaam vr verwerker hebben een geheimhudingsplicht. Beveiliging De verwerker garandeert passende technische en rganisatrische maatregelen m de verwerking te beveiligen; daarbij gelden de navlgende eisen: de verwerker werkt cnfrm de maatregelen genemd in de meest recente ISO27001 nrm f srtgelijke standaarden; het vermgen m p permanente basis de vertruwelijkheid, de integriteit, de beschikbaarheid en de veerkracht van de verwerkingssystemen en diensten te garanderen; het vermgen m bij een fysiek f technisch incident de beschikbaarheid en de tegang tt de persnsgegevens tijdig te herstellen; Een prcedure vr het jaarlijks testen, berdelen en evalueren van de deltreffendheid van de technische maatregelen ter beveiliging van de verwerking en bij gecnstateerde manc s zal de verwerker z spedig mgelijk vr eigen rekening aanvullende beveiligingsmaatregelen treffen; lgische tegangscntrle, gebruik makend van wachtwrden; fysieke maatregelen vr tegangsbeveiliging; autmatische lgging van alle handelingen rnd de persnsgegevens; pseudnimisering en encryptie (versleuteling) van digitale bestanden met persnsgegevens; rganisatrische maatregelen vr tegangsbeveiliging; beveiliging van netwerkverbindingen via Secure Scket Layer (SSL) technlgie; delgebnden tegangsbeperkingen; cntrle p tegekende bevegdheden; maatregelen ter preventie van tp 10 bedreigingen zals gefrmuleerd dr OWASP; Een prcedure m.b.t. melden van datalekken. 9/11

10 Gegevens verwijderen Na aflp van de pdracht verwijdert de verwerker de persnsgegevens f geeft de persnsgegevens terug aan het Fnds. Ok verwijdert de verwerker alle kpieën, tenzij er een wettelijke verplichting is m de gegevens te bewaren. Sub-verwerkers De verwerker schakelt geen sub-verwerker(s) in znder vrafgaande schriftelijke testemming van het Fnds. De verwerker legt aan een sub-verwerker in een verwerkersvereenkmst dezelfde verplichtingen p als het Fnds aan de verwerker. Andere verplichtingen De verwerker faciliteert het Fnds m te vlden aan zijn plichten zals privacyrechten van aanspraaken pensiengerechtigden en k m de verige verplichtingen na te kmen, zals het melden van datalekken, het uitveren van een privacy impact assessment (PIA) en het vrafgaand raadplegen van de AP in geval van een hg risicvlle PIA. De verwerker hanteert k ISAE3402 als raamwerk m incntrl te zijn aantnbaar te maken. Vrts draagt de verwerker zrg vr vldende kwaliteit van de persnsgegevens. Audits & Mnitring De verwerker werkt mee aan peridieke audits die dr f namens het Fnds wrden uitgeverd. De verwerker stelt alle relevante infrmatie beschikbaar m te kunnen cntrleren f hij zich als verwerker hudt aan de aan hem als verwerker pgelegde verplichtingen. Het Fnds zrgt ervr dat de verwerkersvereenkmsten minimaal vlden m.b.t. bvengenemde aspecten en ziet k te p de naleving daarvan. Daarte wrdt een mnitringsprces ingericht en jaarlijks wrdt daarver gerapprteerd. Verwerkingen buiten de EU/EER De AVG is van tepassing p pensienfndsen die persnsgegevens (den) verwerken van betrkkenen in de Eurpese Unie, ngeacht f de verwerking plaatsvindt in de Eurpese Unie. Het Fnds en zijn verwerkers passen de nieuwe privacyregels dus k te als gegevens wrden verwerkt buiten de Eurpese Unie, bijvrbeeld via clud cmputing. Cntracten met IT-dienstverleners die niet in de Eurpese Unie gevestigd zijn, zullen dus waar ndig meten wrden aangepast aan de AVG. Het is belangrijk m de afspraken hierver ged vast te leggen in de verwerkersvereenkmst. Bij drgifte buiten de EU wrdt dr het Fnds nagegaan f drgifte is tegestaan. Er zijn enkele mgelijkheden, zals bijvrbeeld het Privacy Shield tussen de EU en de VS, en de Eurpese mdelcntracten (Standard Cntractual Clauses). In principe is het beleid van het Fnds dat er geen verwerking van persnsgegevens plaatsvindt buiten de EU/EER. 7. Nn-Cmpliance & Klachten 7.1 Nn-Cmpliance De Autriteit Persnsgegevens (AP) heeft tt taak de naleving van de verplichtingen ingevlge de AVG te mnitren en te handhaven. De AP beschikt daarte ver verschillende bevegdheden, zals het den van nderzeken, het verkrijgen van tegang tt alle bedrijfsruimten en middelen van gegevensverwerkingen. In geval van een nderzek dr het AP, zal het Fnds daaraan zijn medewerking verlenen. Vrts heeft de AP de bevegdheid tt het pleggen van crrigerende maatregelen, plpend van een 10/11

11 waarschuwing, last m betrkkenen te infrmeren, tt een verwerking te beperken, tijdelijk dan wel definitief. Tensltte afhankelijk van de aard, ernst en duur van de vertreding, kan de AP frse betes pleggen plpend tt 20 miljen Eur. Het is derhalve van belang dat het Fnds, betrkken gremia, de uitverders en alle anderen de AVG naleven. 7.2 Klachten & Schadevergeding Elke betrkkene heeft het recht m een klacht bij de AP in te dienen, indien hij van mening is dat de verwerking van hem betreffende persnsgegevens inbreuk maakt p de AVG. De Autriteit stelt een nderzek in en stelt de klager in kennis van de vrtgang en het resultaat van de klacht, alsmede van de mgelijkheid tt vrziening in rechte, k tegen de AP. De AP faciliteert de indiening kstels en bijvrbeeld middels een klachtenfrmulier. Een betrkkene die materiele f immateriële schade heeft geleden als gevlg van een inbreuk p de AVG, heeft het recht m van de verantwrdelijke f de verwerker een schadevergeding te ntvangen vr de geleden schade. Betrkkene kan daarbij een rgaan, rganisatie f vereniging, znder winstgmerk, inschakelen m de klacht in te dienen dan wel de schadeclaim in te stellen. 8. Inwerkingtreding Dit Privacybeleid treedt in werking na gedkeuring dr het Bestuur van het Fnds p 9 april 2018 en wrdt minimaal elke twee jaar dr het Fnds geëvalueerd. 11/11