Verwerkersovereenkomst

Transcriptie

1 Verwerkersovereenkomst Contractpartijen: 1. Verwerkingsverantwoordelijke, te weten Woonstichting Groninger Huis, statutair gevestigd te Zuidbroek, vertegenwoordigd door mevrouw H. van Ree directeur bestuurder (hierna: Woonstichting Groninger Huis ). en 2. Verwerker te weten [verwerker], statutair gevestigd te [plaats], vertegenwoordigd door: Naam organisatie:.. (hierna: Verwerker ). Overwegende dat: Verwerker heeft op [datum] een overeenkomst gesloten (hierna: de Overeenkomst ) met betrekking tot [omschrijving van werkzaamheden van de Overeenkomst]. Deze documenten bevatten mogelijk ook Persoonsgegevens. Woonstichting Groninger Huis hecht grote waarde aan het beschermen van deze Persoonsgegevens. Woonstichting Groninger Huis is verantwoordelijk voor de gegevens die verwerker gaat verwerken en de afspraken omtrent de verwerking van de Persoonsgegevens worden vastgelegd in deze Verwerkersovereenkomst, en de daarbij behorende bijlagen. Verwerkingsdoelen:. Verwerkingsverantwoordelijke: Woonstichting Groninger Huis. Locatie verwerkingen:... Sub verwerkers:.. Toestemming Groninger Huis voor de inzet van sub verwerkers ontvangen op:. Aldus door ons overeengekomen en ondertekend: Ondertekend voor en namens: Woonstichting Groninger Huis Naam: Functie: Datum en plaats: Handtekening: Hilde van Ree Directeur/bestuurder.... Ondertekend voor en namens Verwerker Naam: Functie: Datum en plaats: Handtekening:.. Bijlagen: Bijlage 1. Bepalingen van de verwerkersovereenkomst Bijlage 2. Werkwijze in geval van datalek Bijlage 3. Protocol datalekken en meldingsformulier datalekken 1

2 2

3 Bijlage 1. Bepalingen verwerkersovereenkomst Woonstichting Groninger Huis 1. Definities: De hierna en hiervoor gebruikte begrippen volgen uit de Algemene Verordening Gegevensbescherming (hierna: de AVG ) en hebben de volgende betekenis: 1.1 Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ( de betrokkene ); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificateur zoals een naam, een identificatienummer, beeldmateriaal, locatiegegevens, een online identificateur of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon, alsook de definitie zoals vermeld in de AVG ; 1.2 Verwerking: een bewerking of een geheel van verwerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens, alsook de definitie zoals vermeld in de AVG; 1.3 Verwerkingsverantwoordelijke: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen, alsook de definitie zoals vermeld in de AVG; 1.4 Verwerker: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, ten behoeve van de verwerkingsverantwoordelijke, persoonsgegevens verwerkt, alsook de definitie zoals vermeld in de AVG; 1.5 Betrokkene: geïdentificeerde of identificeerbaar natuurlijk persoon op wie de verwerkte persoonsgegeven betrekking hebben, alsook de definitie zoals vermeld in de AVG; 1.6 Verwerkersovereenkomst: deze overeenkomst inclusief de bijlagen; 1.7 Overeenkomst: de hoofdovereenkomst waar deze Verwerkersovereenkomst uit voortvloeit; 1.8 Inbreuk in verband met persoonsgegevens: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens ( Datalek ), alsook de definitie zoals vermeld in de AVG; 1.9 Toezichthoudende autoriteit: een onafhankelijke overheidsinstantie verantwoordelijk voor het toezicht op de naleving van de wet in verband met de verwerking van Persoonsgegevens. In Nederland is dit de Autoriteit Persoonsgegevens; 2. Totstandkoming, duur en beëindiging van deze Verwerkersovereenkomst 2.1 Deze Verwerkersovereenkomst treedt in werking op de datum waarop Verwerker deze ondertekent. 2.2 Deze Verwerkersovereenkomst is onderdeel van de Overeenkomst en zal gelden voor zolang de Overeenkomst duurt, tenzij deze Verwerkersovereenkomst bepalingen met een duurkarakter bevat. 2.3 Indien de Overeenkomst eindigt, eindigt deze Verwerkersovereenkomst automatisch, behoudens het bepaalde in artikel De Verwerkersovereenkomst kan niet apart worden opgezegd. 2.4 Na beëindiging van deze Verwerkersovereenkomst zullen de lopende verplichtingen voor Verwerker, zoals onder meer maar niet uitsluitend het melden van Datalekken, waarbij de Persoonsgegevens van Woonstichting Groninger Huis betrokken zijn, en de plicht tot geheimhouding blijven voortduren. 2.5 Verwerker zal bij beëindiging van de Overeenkomst op eerste verzoek van Woningstichting Groninger Huis de Persoonsgegevens in een gangbaar formaat ter beschikking stellen aan Woningstichting Groninger Huis of aan een door Woningstichting Groninger Huis aangewezen derde. 2.6 Niettegenstaande enige bepaling in de Overeenkomst als gevolg van faillissement of surseance van betaling blijft deze Verwerkersovereenkomst onverminderd van kracht ten aanzien van de Persoonsgegevens die in het kader van de uitvoering van de Overeenkomst en/of deze Verwerkersovereenkomst zijn verstrekt. 3

4 De Verwerkersovereenkomst kan in dat geval eenzijdig door middel van een schriftelijke verklaring door Woningstichting Groninger Huis worden ontbonden, zonder dat Woningstichting Groninger Huis enige vergoeding is verschuldigd. 3. Verwerken Persoonsgegevens 3.1 Verwerker zal alleen Persoonsgegevens verwerken in opdracht van en op basis van de schriftelijke instructies van Woonstichting Groninger Huis in het kader van de Overeenkomst en heeft geen zeggenschap over de Persoonsgegevens. Verwerker volgt instructies van Woonstichting Groninger Huis hierover op en Verwerker mag de Persoonsgegevens niet op een andere manier verwerken, tenzij Woonstichting Groninger Huis daar van te voren schriftelijke toestemming of opdracht voor geeft. 3.2 In Bijlage 1 is opgenomen welke Persoonsgegevens Verwerker precies zal verwerken en voor welke verwerkingsdoeleinden. 3.3 Verwerker houdt zich aan de wet en verwerkt de gegevens op een behoorlijke, zorgvuldige en transparante wijze. 3.4 Verwerker mag zonder voorafgaande schriftelijke toestemming van Woonstichting Groninger Huis geen andere personen of organisaties inschakelen bij het verwerken van de Persoonsgegevens. 3.5 Wanneer Verwerker na schriftelijke verkregen toestemming van Woonstichting Groninger Huis andere organisaties (subverwerkers) inschakelt, moeten zij minimaal voldoen aan de eisen die zijn opgenomen in deze Verwerkersovereenkomst. Verwerker garandeert dat zij, Verwerker, met iedere subverwerker zal overeenkomen dat deze laatste zich jegens Woningstichting Groninger Huis rechtstreeks verbindt tot nakoming van de bepalingen uit deze Verwerkersovereenkomst, als betrof het een eigen verplichting van subverwerker jegens Woningstichting Groninger Huis. 3.6 Wanneer Woonstichting Groninger Huis een verzoek krijgt van een Betrokkene die zijn of haar privacy rechten wil uitoefenen, werkt Verwerker daar zo spoedig mogelijk en uiterlijk binnen een termijn van 7 dagen aan mee. Deze rechten bestaan uit een verzoek om inzage, verbetering, aanvulling, verwijdering of afscherming, bezwaar maken tegen de verwerking van de persoonsgegevens en een verzoek tot overdraagbaarheid van de eigen Persoonsgegevens. 4. Beveiligen van Persoonsgegevens 4.1 Verwerker garandeert dat zij de Persoonsgegevens in overeenstemming met de wet- en regelgeving voldoende beveiligt. Om verlies en onrechtmatige verwerkingen te voorkomen neemt Verwerker passende technische en organisatorische maatregelen. 4.2 Deze maatregelen zijn afgestemd op het risico van de verwerking. Een overzicht van deze maatregelen en het beleid daarover neemt Verwerker op in Bijlage Ter controle zal Verwerker aan Woonstichting Groninger Huis ieder jaar een rapportage sturen waarin de genomen maatregelen staan en de eventuele aandachts- en/of verbeterpunten. Hiervoor zal Verwerker aan Woonstichting Groninger Huis geen kosten in rekening brengen. 4.4 Woonstichting Groninger Huis mag een inspectie of audit bij Verwerker laten uitvoeren om te bepalen of het verwerken van de Persoonsgegevens aan de wet- en regelgeving en de afspraken uit deze Verwerkersovereenkomst voldoet. Hierbij zal Verwerker haar medewerking verlenen, waaronder het toegang verlenen tot gebouwen en databases en het ter beschikking stellen van alle relevante informatie. 4.5 De kosten voor de uitvoering van deze audit zullen voor rekening van Verwerker komen wanneer blijkt dat Verwerker zich niet aan de verplichtingen in deze Verwerkersovereenkomst houdt. 4.6 De controle op de algehele verwerking van Persoonsgegevens door Verwerker kan, naast de audit mogelijkheid, ook gebeuren via zelfevaluatie, een en ander ter keuze van Woningstichting Groninger Huis. Verwerker zal hierbij aan Woonstichting Groninger Huis een rapport verstrekken waarin Verwerker aantoont dat zij voldoet aan de wet- en regelgeving en de afspraken uit deze Verwerkersovereenkomst. Deze rapportage dient te worden ondertekend door een directielid binnen de organisatie van Verwerker. 4.7 Wanneer een van in deze Overeenkomst genoemde partijen vindt dat een wijziging in de te nemen beveiligingsmaatregelen noodzakelijk is, treden zij in overleg over de wijziging daarvan. De kosten voor het wijzigen van de beveiligingsmaatregelen komen voor de rekening van degene die de kosten maakt. 4

5 5. Exporteren Persoonsgegevens 5.1 Verwerker garandeert dat zij geen Persoonsgegevens laat verwerken door andere personen of organisaties buiten de Europese Economische Ruimte (EER), zonder daarvoor voorafgaande schriftelijke toestemming te hebben verkregen van Woonstichting Groninger Huis. 6. Geheimhouding 6.1 Verwerker garandeert de aan haar verstrekte Persoonsgegevens te allen tijde geheim te houden, tenzij dit op grond van een wettelijke verplichting niet mogelijk is. 6.2 Verwerker garandeert dat ook haar personeel en ingeschakelde (hulp)personen zich aan deze geheimhouding houden, door een geheimhoudingsplicht in (arbeids)contracten op te nemen. 7. Datalekken 7.1 In geval van een ontdekking van een mogelijk Datalek garandeert Verwerker Woonstichting Groninger Huis hierover te informeren binnen 24 uur via de Security Officer in persoon van de heer R. Knapper (contactgegevens: telefoon ) en alle informatie te verstrekken die is aangegeven in Bijlage 3 en Verwerker garandeert alle medewerking te verlenen, zodat Woonstichting Groninger Huis, indien nodig, een melding bij de Toezichthouder kan doen. 7.2 Na de melding van een Datalek aan Woonstichting Groninger Huis, zal Verwerker Woonstichting Groninger Huis op de hoogte houden van alle (nieuwe) ontwikkelingen rondom het Datalek en de maatregelen die Verwerker heeft getroffen om de omvang van het Datalek te beperken en te beëindigen en een soortgelijk incident in de toekomst te kunnen voorkomen. 7.4 Eventuele kosten die gemaakt worden om het Datalek op te lossen en in de toekomst te kunnen voorkomen, komen voor rekening van degene die de kosten maakt. 7.5 Verwerker zal alle Datalekken bijhouden in een register en dit register op eerste verzoek van Woningstichting Groninger Huis aan laatstgenoemde ter beschikking stellen. 8. Aansprakelijkheid 8.1 Indien Verwerker tekortschiet in de nakoming van de Verwerkersovereenkomst en/of in strijd handelt met de geldende wet- en regelgeving, is Verwerker aansprakelijk voor alle schade en buitengerechtelijke en gerechtelijke kosten die Woonstichting Groninger Huis daardoor lijdt of heeft geleden. 8.2 Verwerker stelt Woonstichting Groninger Huis schadeloos voor alle claims, acties, aanspraken van Derden en voor verliezen, schade of kosten die aan de zijde van Woonstichting Groninger Huis vallen en die rechtstreeks of indirect voortvloeien uit of tot stand komen in verband met een tekortkoming van deze Verwerkersovereenkomst door Verwerker en/of het niet-naleven van de geldende wet- en regelgeving door Verwerker. 8.3 Verwerker vrijwaart Woonstichting Groninger Huis, en tot de groep van Woonstichting Groninger Huis behorende ondernemingen, voor schades en/of boetes en/of dwangsommen van of namens de Autoriteit Persoonsgegevens (hierna: AP ) en/of andere autoriteiten die aan Woonstichting Groninger Huis worden opgelegd en welke zijn toe te schrijven aan overtredingen van de geldende wet- en regelgeving door Verwerker en/of een tekortkoming door Verwerker in de nakoming van deze Verwerkersovereenkomst. 8.4 In geval van overtreding en/of niet-naleving door Verwerker van hetgeen in deze Verwerkersovereenkomst of in de geldende wet- en regelgeving is bepaald, en indien als gevolg hiervan Woonstichting Groninger Huis een boete van de AP of een andere autoriteit opgelegd krijgt, dient een bedrag gelijk aan het boetebedrag door Verwerker aan Woonstichting Groninger Huis te worden voldaan, vermeerderd met alle rentes en buitengerechtelijke en gerechtelijke kosten die Woonstichting Groninger Huis als gevolg van de overtreding en/of de niet-naleving heeft gemaakt. Deze vordering is onmiddellijk opeisbaar en is niet voor verrekening vatbaar. Het voorgaande laat het recht van Woonstichting Groninger Huis onverlet om van Verwerker naast betaling van de boete nakoming en/of volledige schadevergoeding te vorderen. 8.5 Verwerker is verplicht om zich adequaat tegen aansprakelijkheid te verzekeren en zich verzekerd te houden uit hoofde van deze Verwerkersovereenkomst. Op eerste verzoek van Woonstichting Groninger Huis verstrekt Verwerker aan Woonstichting Groninger Huis een afschrift van een polis blad, waaruit blijkt dat Verwerker zich conform deze bepaling heeft verzekerd 5

6 09. Verzoeken Betrokkenen en Slotbepalingen 9.1 Indien Verwerker een verzoek of bezwaar van een Betrokkene ontvangt, zoals een verzoek om informatie, inzage, rectificatie, gegevenswissing, verwerkingsbeperking, overdracht van de Persoonsgegevens dan wel indien een Betrokkene enig ander recht inroept, stuurt Verwerker dat verzoek onmiddellijk door naar Woningstichting Groninger Huis. 9.2 Verwerker garandeert dat zij Woningstichting Groninger Huis alle medewerking zal verlenen om ervoor te zorgen dat Woningstichting Groninger Huis binnen de wettelijke termijnen kan voldoen aan de verplichtingen op grond van de geldende wet- en regelgeving. 9.3 Deze Verwerkersovereenkomst maakt onderdeel uit van de Overeenkomst. Alle rechten en verplichtingen uit de Overeenkomst zijn daarom ook van toepassing op de Verwerkersovereenkomst. 9.4 Bij eventuele tegenstrijdigheden tussen de bepalingen in de Verwerkersovereenkomst en de overeenkomst, gelden de bepalingen uit deze Verwerkersovereenkomst. 9.5 Afwijkingen van deze Verwerkersovereenkomst zijn slechts geldig wanneer beide partijen dit samen schriftelijk overeenkomen. 6

7 Bijlage 2 Meldingsprocedure bij datalekken Security Officer Ook wanneer u twijfelt, neem het zekere voor het onzekere en neem altijd contact op met de Security Officer van Woonstichting Groninger Huis, de heer Ronald Knapper. Contactgegevens: r.knapper@groningerhuis.nl, telefoon: Waar meldt u een beveiligingsincident? Als u een beveiligingsincident hebt ontdekt, neemt u direct contact op met de FG (Functionaris Gegevensbescherming) van Groninger Huis, de heer Harold Bosboom. Meer informatie vindt u in het Protocol Datalekken in bijlage 3. Via het meldingsformulier meldt u het incident bij de FG. Beantwoordt u schriftelijk de volgende vragen na een incident Woonstichting Groninger Huis wil graag dat u aantal vragen beantwoordt. Deze vragen zijn gelijk aan de informatie die aan de Autoriteit Persoonsgegevens moet worden verstrekt. Wij verzoeken u deze vragen zo volledig mogelijk en schriftelijk te beantwoorden in het meldingsformulier datalekken. Toelichting Meldingsformulier Via onze website vult u het meldingsformulier in. In de tabel worden een aantal vragen ter beantwoording aan u voorgelegd, zoals: 1. Geef een samenvatting van het beveiligingslek / beveiligingsincident / datalek: wat is er gebeurd? Vermeld hier ook de naam van het betrokken systeem. 2. Welke typen persoonsgegevens zijn betrokken bij het beveiligingsincident? Zoals, maar niet beperkt tot, naam, adres, adres, IP-nummer, Burgerservicenummer, pasfoto en ieder ander tot een persoon te herleiden gegeven. 3. Van hoeveel personen zijn de persoonsgegevens betrokken bij het beveiligingsincident? Geef a.u.b. een minimum en maximum aantal personen. 4. Omschrijving groep personen om wiens gegevens het gaat. Geef aan of het gaat om medewerkersgegevens, gegevens van internetgebruikers. Bijzondere aandacht verdienen gegevens van een kwetsbare groepen personen, zoals kinderen. 5. Zijn de contactgegevens van de betrokken personen bekend? Het kan zijn dat betrokkenen geïnformeerd moeten worden over het datalek, kunnen we deze personen in dat geval bereiken? 6. Wat is de oorzaak (root cause) van het beveiligingsincident? Heeft u een idee hoe het beveiligingsincident heeft kunnen ontstaan? 7. Op welke datum of in welke periode heeft het beveiligingsincident plaats kunnen vinden? Geef dit a.u.b. zo specifiek mogelijk aan. 7

8 8

9 Bijlage 3 Protocol Datalekken Standaard clausules datalekken 1. Waarom een protocol datalekken? Groninger Huis legt persoonsgegevens van woningzoekenden, huurders en medewerkers vast in het kader van haar dienstverlening en bedrijfsvoering. Deze persoonsgegevens worden soms ook gedeeld met verwerkers die bepaalde diensten in opdracht van Groninger Huis uitvoeren, zoals o.a. (onder)aannemers en de Arbodienst, e.d. Wij gaan zorgvuldig om met het vastleggen en de beveiliging van deze persoonsgegevens. Dit verwachten wij ook van onze verwerkers. Toch kan het gebeuren dat er iets misgaat waardoor er sprake kan zijn van een datalek. Dit protocol beschrijft de werkwijze in geval er sprake is van een (mogelijk) datalek. 2. Wat is een datalek Een datalek is een inbreuk op de beveiliging, bedoeld in artikel 33 lid 1 van de AVG, die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van Persoonsgegevens. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens. Voorbeelden van datalekken zijn bijvoorbeeld een onjuist geadresseerde mail met persoonsgegevens, een kwijtgeraakte USB-stick met persoonsgegevens, een gestolen laptop of tablet of een inbraak in een databestand door een hacker. 3. Meldplicht Niet alle datalekken hoeven echter gemeld te worden. Dit geldt alleen als er sprake is van ernstige nadelige gevolgen voor de betrokkenen of er een aanzienlijke kans bestaat dat dit gebeurt. De Autoriteit Persoonsgegevens (AP) heeft hiervoor richtlijnen 1 opgesteld. Deze zijn nu nog gebaseerd op de WBP. De definitieve richtlijnen voor de AVG zijn nog in bewerking op basis van internationale guidelines (oktober 2017) 2 Digitaal Meldloket AP De Functionaris Gegevensbescherming (FG) beoordeelt gemelde incidenten op de meldingsplicht in het door de AP in 2015 opgestelde beleid 3 en meldt indien nodig het datalek digitaal via het online Meldingsloket van de AP. Na melding wordt een meldingsnummer aan het dossier gehecht voor verdere verwerking en afhandeling. Registratie datalekken Groninger Huis registreert alle incidenten in het eigen register datalekken wanneer persoonsgegevens onbedoeld zijn gedeeld, bijvoorbeeld door een onjuiste adressering van een brief of mail. De betrokkenen worden hiervan door ons schriftelijk op de hoogte gesteld. Meldingsformulier datalekken In geval persoonsgegevens die door Groninger Huis zijn vastgelegd ten onrechte worden gedeeld, dient hiervan binnen 24 uur melding gedaan te worden bij de FG van Groninger Huis. Dit geldt voor (sub)verwerkers en medewerkers die mogelijk een datalek hebben veroorzaakt

10 Audit 4. Controle en aansprakelijkheid Indien de omstandigheden daartoe aanleiding geven, verleent [ bedrijfsnaam bewerker] Woonstichting Groninger Huis toegang tot het systeem van [ bedrijfsnaam bewerker] en/of van door [ bedrijfsnaam bewerker] ingeschakelde derden. Wanneer het datalek is ontstaan door het niet-nakomen van [ bedrijfsnaam bewerker] van de bewerkersovereenkomst, zijn alle kosten en schade ten gevolge van het datalek voor rekening en risico van [ bedrijfsnaam bewerker]. Dit zonder afbreuk van de mogelijkheid voor Woonstichting Groninger Huis voor het inschakelen van rechtsmiddelen. Afstemming naleving beveiliging Woonstichting Groninger Huis en [ bedrijfsnaam bewerker] bespreken minimaal een maal per jaar de naleving van de overeengekomen technische en organisatorische beveiligingsmaatregelen van [ bedrijfsnaam bewerker], dan wel die van door [ bedrijfsnaam bewerker] ingeschakelde derden. Op verzoek van Woonstichting Groninger Huis kan dit overleg frequenter plaatsvinden als daar aanleiding tot is op grond van artikel 2.1. Controle [ bedrijfsnaam bewerker] zal alle redelijkerwijs benodigde medewerking verlenen aan de controle en er voor zorg dragen ook de door hem ingeschakelde derden hiertoe de redelijkerwijs benodigde medewerking zullen verlenen. Het uitvoeren van een controle zal niet tot een vertraging van de door Woonstichting Groninger Huis in het kader van de overeenkomst en de bewerkersovereenkomst te verrichten werkzaamheden mogen leiden. Indien dat onverhoopt toch het geval is, zullen Partijen in overleg treden teneinde daarvoor zo snel mogelijk een oplossing te vinden. Bijlage: formulier datalekken 10

11 Meldingsformulier datalekken U bent medewerker en/of verwerker van Groninger Huis. U heeft persoonsgegevens die u van Groninger Huis heeft ontvangen voor het verrichten van uw werkzaamheden (mogelijk) onbedoeld gedeeld met onbevoegde ontvangers. Hierdoor is er mogelijk sprake van een datalek. 1. Melding en informatie in geval van datalek [ bedrijfsnaam bewerker] dient uiterlijk binnen 24 uur nadat een datalek is geconstateerd bij [ bedrijfsnaam bewerker] of door haar aangestelde Sub-bewerker(s), Woonstichting Groninger Huis op de hoogte te stellen van ieder datalek. Deze verplichting geldt gedurende 24 uur per dag en 7 dagen in de week. Het informeren van de verantwoordelijke hierover gebeurt op een wijze die gepast is, gelet op de omstandigheden van het geval Contactpersonen Voor Groninger Huis Functionaris Gegevensbescherming h.bosboom@groningerhuis.nl Voor [ bedrijfsnaam bewerker]: Naam: Mailadres: Informatieverstrekking [ bedrijfsnaam bewerker] dient Woonstichting Groninger Huis bij een Datalek binnen de termijn genoemd in 10.1, voor zover redelijkerwijs bekend, de volgende informatie te verstrekken: [tabel ditaal invullen via onze website een samenvatting van de gebeurtenissen aangaande het datalek de datum waarop, of de periode waarin het datalek heeft plaatsgevonden; de (vermeende) oorzaak van het datalek; een beschrijving van de soort groep en het aantal personen waarvan de gegevens bij het datalek (mogelijk) betrokken zijn en, indien bekend, de identiteit van deze Betrokkenen; de categorieën persoonsgegevens die (mogelijk) zijn getroffen door het datalek; een beschrijving of de getroffen persoonsgegevens op enige wijze zijn versleuteld, geanonimiseerd, gepseudonimiseerd of op afstand kunnen worden gewist; de getroffen of te nemen maatregelen om de gevolgen van het lek te beperken en herhaling te voorkomen. 11

12 1.4. Voortgang na melding datalek [ bedrijfsnaam bewerker] dient Woonstichting Groninger Huis uit eigen beweging op de hoogte houden van alle relevante ontwikkelingen met betrekking tot het datalek die zich voordoen na het moment van het verstrekken van de informatie genoemd in 1.3. [ bedrijfsnaam bewerker] dient binnen redelijke termijn te reageren op aanvullende vragen van Woonstichting Groninger Huis met betrekking tot het Datalek. [ bedrijfsnaam bewerker] dient, zodra een datalek is geconstateerd, zo spoedig mogelijk en voor eigen rekening en risico alle maatregelen te treffen die redelijkerwijs noodzakelijk zijn om de schadelijke gevolgen van het datalek te beperken en om herhaling te voorkomen. [ bedrijfsnaam bewerker] zal Woonstichting Groninger Huis alle medewerking en informatie verlenen die redelijkerwijs nodig is om de Autoriteit Persoonsgegevens, onderscheidenlijk de betrokkene adequaat in te lichten over de oorzaak en omvang het datalek. Het is [ bedrijfsnaam bewerker] niet toegestaan het datalek zelfstandig te melden bij de Autoriteit Persoonsgegevens en de betrokkenen. Voor akkoord ondertekend namens: Plaats en datum ondertekening: Naam contactpersoon [ bedrijfsnaam bewerker] [Plaats en datum] [naam contactpersoon] Handtekening:.. Het formulier is een bijlage van het protocol datalekken In te vullen ingeval van een datalek, aan te leveren bij 1.2. genoemde contactpersoon 12