ondersteuning beheer van je organisatie vzw-wetgeving GDPR dagelijkse organisatie en beleid

Transcriptie

1 ondersteuning beheer van je organisatie vzw-wetgeving GDPR dagelijkse organisatie en beleid

2 Wat is GDPR Wat betekent dit voor mijn organisatie Hoe pak ik dit aan

3 GDPR General Data Protection Regulation Algemene Verordening Gegevensbescherming Europese verordening!

4 bescherming en verwerking persoonsgegevens verwerking: van het verzamelen, raadplegen, verspreiden, koppelen, registreren tot het vernietigen van gegevens. persoonsgegevens: gegevens over een natuurlijke persoon. Naam, adres, leeftijd, geslacht, lichamelijke kenmerken, psychische kenmerken, financiële situatie, kenmerken gezin, geaardheid, vrijetijdsbesteding, lidmaatschappen, gerechtelijke gegevens, opleiding, beroep, beeldopname, geluidsopname, gevoelige gegevens vragen extra beveiliging: (geaardheid, religie, politiek lidmaatschap, ) betrokkene: persoon wiens gegevens je verwerkt ( leden, deelnemers,klanten, )

5 rollen en verantwoordelijkheden verwerkingsverantwoordelijke feitelijke persoon, rechtspersoon, bepaalt middelen en doeleinden verwerking verantwoordelijk (overeenkomsten met verwerkers, organisatorische en technische maatregelen nemen) verwerker personen die de verwerking uitvoeren intern (personeel, vrijwilligers, ) extern (verzekering, soc.secretariaat, cloud) betrokkene persoon wiens gegevens je verwerkt verkregen via hem/haar of via derden rechten

6 GDPR privacycommissie organisatie afdelingen leden, deelnemers, sympthisanten toezicht verordening grote verantwoordingsplicht: proportionaliteit legaliteit transparantie & beveiliging verwerker of verantwoordelijke? planlast rechten betrokkenen registratie leden, deelnemers, nieuwsbrieven

7 verantwoordelijkheid organisatie proportionaliteit - legaliteit - transparantie beveiliging rechten van betrokkenen

8 proportionaliteit Is het echt noodzakelijk in functie van onze doelstelling om: deze gegevens te verzamelen en verder te verwerken? zijn er misschien andere manieren? deze gegevens zo lang te bewaren? (deelnemer cursus zit jarenlang in bestanden) al deze personen toegang te geven tot de gegevens? deze gegevens aan een specifieke persoon te blijven koppelen, of kunnen we ze pseudonimiseren? (probleem koppeling persoonsgegevens aan boekhouding)

9 legaliteit = basis waarop je toch persoonsgegevens mag verwerken contractuele basis (noodzakelijk voor uitvoering van overeenkomst, bv arbeidsovereenkomst) wettelijke verplichting (noodzakelijk voor uitvoering wettelijke plicht, bv opgelegd in decreet) algemeen belang of openbaar gezag ( door de wet opgedragen, bv. aan de politie) vitaal belang (bv om dringende medische reden) gerechtvaardigd belang (activiteit is anders niet uitvoerbaar), enkel als dit zwaarder doorweegt dan het belang, de rechten en de redelijke privacyverwachtingen van de betrokkenen ondubbelzinnige toestemming (vrije, actieve en specifieke toestemming van betrokkenen)

10 transparantie De betrokkenen (leden, werknemers, doelgroep, deelnemers, je vrijwilligers, ) moeten duidelijk geïnformeerd worden in een heldere taal. De transparantie- of informatieplicht geldt ongeacht de wettelijke doelstelling die je beoogt. Je organisatie moet dus altijd actief informeren over de verwerking van de persoonsgegevens en de rechten van de betrokkenen. Dat moet proactief gebeuren. De verantwoordelijke mag dus niet wachten met het geven van de informatie totdat een betrokkene ernaar vraagt. verplicht via privacyverklaring

11 beveiliging organisatorische maatregelen afspraken in het team rond verwerking, rondslingeren deelnemerslijsten, beperking info op deelnemerslijsten, afspraken vernietiging cv na sollicitatieronde, technische maatregelen ict beveiliging computers wachtwoorden, back up, > juridische maatregelen werkgeversaspect sociare contracten met verwerkers documenten

12 rechten betrokkenen De rechten van de betrokkenen recht op informatie recht op inzage en kopie recht op aanpassing (rectification) recht op bezwaar recht op vergetelheid (verwijderen van gegevens) recht op intrekken toestemming recht op overdraagbaarheid recht op weigering geautomatiseerde individuele besluitvorming, profilering recht op beperking van verwerking

13 wanneer is mijn organisatie in orde? je hebt GDPR besproken op je bestuur, groepsraad, binnen je organisatie is er iemand verantwoordelijk/aanspreekpunt rond gdpr je organisatie heeft een register per verwerkingsactiviteit (ledenregistratie, registratie activiteiten, ) je organisatie beveiligt (de verwerking van) persoonsgegevens je organisatie werkt enkel met de noodzakelijke gegevens voor de uitvoering van haar doeleinden je organisatie vraagt actief toestemming voor gebruik gegevens als dit nodig blijkt (wetsgronden) je organisatie houdt de persoonsgegevens maar bij tot zolang dit nodig blijkt je organisatie informeert duidelijk over het gebruik van gegevens (oa via een goede privacyverklaring) je organisatie kan snel reageren bij vragen van leden, deelnemers rond het gebruik van hun gegevens je organisatie kan direct reageren bij verlies van persoonsgegevens (een datalek)

14 stappenplan stap 1 stap 2 stap 3 stap 4 stap 5 stap 6 stap 7 bewustmaking inventaris analyse en maatregelen gegevensverwerkingregister privacyverklaring procedures rechten betrokkenen aanpak datalek

15 stap 1: bewustmaking bestuur, team en vrijwilligers Informeer de medewerkers in je organisatie die met gegevens werken over: het belang van privacy van uw leden, deelnemers, de noodzakelijke voorwaarden (legaliteit / proportionaliteit / transparantie) stappen om je organisatie in regel te brengen beveiliging van persoonsgegevens belangrijk om iedereen die persoonsgegevens verwerkt te informeren en te betrekken > agenderen en verslagen bijhouden

16 stap 2: opmaak inventaris Welke gegevens bewaart je organisatie (naam, adres, leeftijd, )? Waar bewaart je organisatie de gegevens? Hoe lang worden ze bewaard? Wie heeft er toegang toe? Worden de gegevens beschermd of beveiligd? Waarvoor gebruiken jullie de gegevens?(uitnodigingen, nieuwsbrief, bevestigingen deelname, )

17 stap 3 analyse (1/2) Op basis van de inventaris bekijk je of je de leden, deelnemers, partners duidelijk informeert (privacyverklaring) je een wettelijke grond hebt om gegevens te verwerken je niet te veel gegevens opvraagt en deze niet te lang bewaart leden, deelnemers,de mogelijkheid hebben om hun gegevens in te zien, te corrigeren, te laten verwijderen,

18 stap 3 analyse (2/2) Lijst op hoe je papieren documenten, gegevens in bestanden of (online) beeldmateriaal technisch (vb paswoorden, foto s enkel in beveiligde omgeving) en organisatorisch (vb medische fiches in gesloten kistje) beveiligt. Ga voor de gegevens die je verwerkt na of er risico is op verlies, diefstal of ongeoorloofde toegang. Bekijk welke verbeterstappen je kan / moet zetten. Lijst op wie welke maatregelen hoe gaat nemen binnen welke timing interessante site:

19 stap 4 opmaak register verplicht document! overzicht van de soorten verwerking van gegevens, gekoppeld aan de doeleinden (vb ledenregistratie, registratie van activiteiten en deelnemers, ) verplicht instrument om bij controle te voldoen aan je verantwoordingsplicht als verwerkingsverantwoordelijke wordt continu geactualiseerd en aangevuld. (In tegenstelling tot de inventaris en analyse) de informatie uit de inventaris en analyse zijn goede basis voor een verdere uitwerking in een register online template scwitch als basis template en checklist register:

20 verplichte velden register Algemeen: gegevens organisatie (zetel,adres contact, ) soorten activiteiten: (vb ledenregistratie, activiteitenregistratie, vrijwilligersregistratie) per soort activiteiten maak je een oplijsting van volgende gegevens van wie hou je voor deze activiteit gegevens bij(leden, vrijwilligers, ) aan wie geef je voor deze activiteit gegevens door (overheid, partnerorganisatie, ) van wie ontvang je voor deze activiteit gegevens (lokale overheid, andere organisaties, ) waarom worden de gegevens gebruikt (bv administratie deelnemers, communicatie met deelnemers, ) welk soort gegevens houdt je voor deze activiteit bij ( persoonsgegevens, financiële situatie, gezinssituatie, ) type verwerking ( registreren, doorgeven, raadplegen, van de gegevens) hoe lang hou je de gegevens bij hoe beveilig je de gegevens

21 SCWITCH ontwerp register DEEL 1 DEEL 2 activiteit: ledenregistratie Doeleinde. De gegevens worden gebruikt voor: Welke soort gegevens gebruikt je organisatie: Type verwerking wettelijke grond (optioneel) Bewaartermijn gegevens Beveiligingsmaatregelen De administratie van leden, vrijwilligers en sympathisanten van de verenigingen. verzekering leden communicatie met leden (nieuwsbrief, boekje, activiteiten) leveren van voordelen aan deelnemers Persoonlijke identificatiegegevens: naam, titel, adres (privé, werk), vroegere adressen, telefoonnummer (privé, werk), identificatiegegevens toegekend door verantwoordelijke. gegevens betreffende lichamelijke gezondheid (medische fiches, medisch dossier, dieet, beperking,... andere bijzondere vereisten ivm gezondheid Rijksregisternummer fysieke beschrijving: grootte, gewicht onderscheidende fysieke kenmerken raadplegen registreren doorgeven, niet zelf gebruiken raadplegen gerechtvaardigd belang contractuele basis wettelijke grond wordt direct verwijderd als het werd doorgegeve n ondubbelzinnige toestemming / / / / / 3 jaar standaardmaatregelen 2 jaar organisatorische maatregel: paswoordbeleid organisatorische maatregel: enkel secretaris kan in bestand 1 jaar organisatorische maatregel: paswoordbeleid

22 Stap 5 duidelijk informeren: privacyverklaring (1/2) verplicht document! De betrokkenen (leden, werknemers, doelgroep, deelnemers, je vrijwilligers, ) moeten duidelijk geïnformeerd worden over wat er met zijn gegevens gebeurt. Je organisatie moet dus altijd actief informeren over de verwerking van de persoonsgegevens en de rechten van de betrokkenen. Dit moet beknopt, in een duidelijke eenvoudige taal en in een gemakkelijk toegankelijke vorm. Dat moet proactief gebeuren. Je doet dit best via een privacyverklaring. De verantwoordelijke mag dus niet wachten met het geven van de informatie totdat een betrokkene ernaar vraagt. Opgelet: Het is een verklaring, mededeling van de organisatie naar het lid, deelnemer, / De betrokkenen moet de verklaring niet goedkeuren.

23 Stap 6 procedures rechten betrokkenen De voornaamste rechten van de betrokkenen voor lokale organisaties: recht op inzage en kopie recht op aanpassing (rectification) recht op vergetelheid (verwijderen van gegevens) recht op intrekken toestemming (bij toestemming als rechtsgrond)

24 stap 7 datalek Meldplicht voor datalekken die de betrokkene(n) schade kunnen berokkenen ( bv financieel verlies, schending geheimhoudingsplicht, identiteitsdiefstal). Elk incident dat impact kan hebben op de veiligheid van je gegevens (zoals diefstal van een laptop of verlies van een usb-stick) en enige vorm van schade kan veroorzaken aan de betrokkenen(n), moet binnen 72 uur gemeld worden aan de privacycommissie. Bij een hoog risico voor zijn rechten en vrijheden moet dit ook aan de betrokkene zelf gemeld worden zodat deze de nodige voorzorgsmaatregelen kan nemen. Bij probleem: contacteer scwitch

25 zakelijk organisatiemanagement gratis GDPR logboek, templates: do it yourself >toolbox actieve groepssessies met expert 1op1 begeleiding door expert

26 DPO De Data Protection Officer is een deskundige inzake gegevensbescherming die je organisatie bijstaat in het toezicht op de interne naleving van de GDPR. DE TAKEN VAN DE DPO toezicht op de naleving van de GDPR en van het interne beleid daaromtrent de organisatie en haar medewerkers informeren en adviseren omtrent hun verplichtingen ivm GDPR advies over nieuwe software, gebruik van database, etc monitoring van het al dan niet voldoen aan de regels van de GDPR contactpunt voor en samenwerking met privacycommissie brengt jaarlijks verslag uit van zijn/haar werkzaamheden en bevindingen aan de hoogste leidinggevende in de organisatie kan door de betrokkene gecontacteerd worden over GDPR-aangelegenheden

27 Wanneer ben je verplicht een DPO (intern of extern ) aan te duiden? Je hebt een DPO nodig in volgende gevallen: Je organisatie is een overheidsinstantie of een overheidsorgaan Je organisatie is hoofdzakelijk belast met verwerkingen die regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen (wegens aard, omvang en doeleinden) Je verwerkt op grote schaal bijzondere categorieën van gevoelige gegevens zoals ras, politieke voorkeur, religie, medische of strafrechtelijke gegevens Conclusie: De verwerking op grote schaal en bijzondere categorieën geldt ons inziens enkel als je organisatie van bepaalde groepen heel regelmatig individuele voorkeuren gaat onderzoeken, profileren. We nemen aan dat de meeste van de vzw s in de socioculturele sector geen externe DPO hoeven aan te stellen en dat een register plus maatregelen en privacyverklaring volstaat. Tenzij er later nog nationale wetgeving komt die deze verplichting zal opleggen of de commissie of rechtspraak een ander standpunt inneemt.

28 logboek tools & templates actieve sessies met expert 1op1 begeleiding door expert