CVO maart Bemiddelingsovereenkomst voor verzekeringsmakelaars

Transcriptie

1 1 CVO maart 2019 Bemiddelingsvereenkmst vr verzekeringsmakelaars Sectrale instructies vr de verwerking van persnsgegevens ten beheve van een verwerkingsverantwrdelijke Inleiding De Eurpese Algemene Verrdening Gegevensbescherming 2016/679 (GDPR) bepaalt dat een verwerker alleen p gedcumenteerde instructie van de verwerkingsverantwrdelijke persnsgegevens mag verwerken. De instructies in dit dcument zijn van tepassing p gegevensverwerking in het kader van een relatie tussen een verwerkingsverantwrdelijke en een verwerker die is geregeld dr een specifieke vereenkmst, ndertekend dr de partijen (zie art GDPR). Het gaat hierbij m twee te nderscheiden situaties: - enerzijds de relatie tussen de verzekeraar die verwerkingsverantwrdelijke is en de makelaar die verwerker is (Deel I); - anderzijds de relatie tussen de makelaar die verwerkingsverantwrdelijke is en de verzekeraar die verwerker is (Deel II). Deze instructies kaderen in de implementatie van de sectrale bemiddelingsvereenkmst vr verzekeringsmakelaars, afgeslten tussen de verzekeringsndernemingen en hun makelaars, en meer bepaald van artikel 9.2 van die vereenkmst. Dat artikel betreft de verwerking van persnsgegevens en situaties waarin een berep wrdt gedaan p een verwerker. Artikel 9.2 verwijst meermaals naar de te verstrekken instructies. De instructies in dit dcument willen verder k de inhud van artikel 9.2 verduidelijken met betrekking tt de nieuwe verplichtingen die de GDPR met zich meebrengt. Bijgevlg kan men ze beschuwen als een integraal nderdeel van de sectrale bemiddelingsvereenkmst. De vlgende zaken meten daarentegen wel wrden pgenmen in een specifieke vereenkmst, ndertekend dr de partijen: het vrwerp en de aard van de verwerking, de deleinden van de verwerking, de categrieën van betrkken persnen, de categrieën van verwerkte persnsgegevens en de bewaringstermijn van de gegevens in het kader van de relatie verwerker/verwerkingsverantwrdelijke. Z ndig kunnen er, in het kader van die specifieke vereenkmst, k ng specifieke instructies wrden gefrmuleerd. Deze vervangen evenwel de

2 2 sectrale instructies niet die dit dcument telicht. Specifieke instructies variëren van nderneming tt nderneming en kunnen bijvrbeeld betrekking hebben p het gebruik van een tl die dr de ene aan de andere partij ter beschikking wrdt gesteld. DEEL I DE MAKELAAR DIE ALS VERWERKER HANDELT VOOR REKENING VAN EEN VERZEKERAAR DIE VERWERKINGSVERANTWOORDELIJKE IS I. BEGRIPPEN Onder verwerker wrdt begrepen de makelaar die ten beheve van de verzekeraar verwerkingsverantwrdelijke persnsgegevens verwerkt in het kader van de aan hem tegekende deleinden (in het kader van een specifieke vereenkmst, waarvan sprake hierbven). Onder makelaar wrdt begrepen de verzekeringsmakelaar zelf, zijn persneelsleden, medewerkers en subagenten. Onder andere verwerker wrdt begrepen iedere andere persn dan de verwerker die vr de verwerker persnsgegevens verwerkt vr de deleinden die dr de verzekeraar aan de verwerker zijn tegekend. Dit begrip mvat dus niet de verwerker die handelt - vr rekening van de makelaar-verwerkingsverantwrdelijke, f - als verwerker van de makelaar in het kader van andere deleinden dan degene die de verzekeraar aan de makelaar heeft tegekend. II. INSTRUCTIES 1. Vertruwelijkheid De makelaar-verwerker zal p discrete wijze gebruikmaken van de ver de betrkken persn verkregen infrmatie. De makelaar-verwerker waarbrgt dat de verwerkingsgemachtigde persneelsleden, inclusief de subagenten waarmee de makelaar samenwerkt, verbnden zijn dr een vertruwelijkheidsverplichting in hun arbeidsvereenkmst f samenwerkingsvereenkmst, f dat zij een vertruwelijkheidsverplichting hebben ndertekend.

3 3 2. Passende technische en rganisatrische maatregelen Algemeen De lijst hiernder bevat vrbeelden van rganisatrische maatregelen die de makelaar-verwerker kan treffen m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van persnsgegevens te vrkmen. - prcedures uitwerken met betrekking tt de aankmst en het vertrek van gebruikers; - een algemene gedragscde verspreiden vr het ICT-gebruik; - regelmatig veiligheidsaudits rganiseren en deze nauwgezet uitveren; - een tegangsbeleid uitwerken waarbij de tegang tt persnsgegevens exclusief wrdt tegekend p een need-t-knw basis (de ndzaak m er kennis van te nemen); - interne prcedures pstellen m klachten te behandelen en m gepast te reageren p incidenten (bijv. gegevenslekken). Technische beveiligingsmaatregelen - Indien binnen een ASWeb-mgeving: De beveiligingsrichtlijnen van de ASWeb-prvider meten gerespecteerd wrden. - Indien elektrnisch buiten ASWeb (bv. pc, clud, ): tegangsbeleid, back-ups, maatregelen beveiliging clud De lijst hiernder bevat vrbeelden van technische maatregelen die de makelaar-verwerker kan treffen m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van persnsgegevens te vrkmen: antivirussftware gebruiken en deze systematisch en tijdig updaten; systematisch back-ups maken m zich te beschermen tegen verlies van persnsgegevens ; alle sftware systematisch en autmatisch updaten; een beveiligde https-verbinding gebruiken vr websites; een firewall installeren (zwel vr de hardware als vr de sftware); de fysieke beveiliging van de servers garanderen dr er alleen bevegd persneel bij te te laten (bijv. met behulp van badges); een tegangensysteem implementeren met een unieke gebruikersnaam (lgin) vr elke gebruiker en een authenticatiesysteem. - Indien papieren dcumenten: tegangsbeleid, afgeslten f afsluitbare archieven Tegangsbeleid

4 4 De makelaar-verwerker met de tegang tt de verwerkte persnsgegevens beperken tt die persneelsleden werknemers f zelfstandigen die de persnsgegevens ndig hebben m de taken uit te efenen die de makelaar-verwerker hun heeft tegewezen. - Indien één tegang per makelaar-verwerker: De makelaar-verwerker met een lijst ter beschikking huden van de verzekeraar met de identiteit van de persneelsleden werknemers f zelfstandigen die de persnsgegevens verwerken in het kader van het aan de verwerker tegekende deleinde. De tegangsmiddelen (bijv. gebruikersidentificatie en tegangscde) die de verzekeraar aan de makelaar-verwerker meedeelt en die gebruikt wrden dr de betrkken persneelsleden, zijn uitsluitend bestemd vr een strikt persnlijk gebruik dr de betrkkenen. Die dienen, als huder van hun tegangsmiddel, alle redelijke vrzrgsmaatregelen te nemen met het g p de veiligheid ervan (bijv. geheimhuding van de persnlijke tegangscde). In geval van verlies f diefstal van een tegangsmiddel, f enige andere mstandigheid waarin de betrkkene er redelijkerwijze van p de hgte dient te zijn dat een derde gebruik kan maken van zijn tegangsmiddel, met de verzekeraar daarvan z snel mgelijk p de hgte wrden gebracht. De makelaar-verwerker ziet z veel mgelijk te p de eerbiediging van deze verplichtingen dr de persneelsleden. - Indien een tegang per betrkkene: De makelaar-verwerker met de verzekeraar p de hgte brengen van de identiteit van de persneelsleden werknemers f zelfstandigen die de persnsgegevens verwerken in het kader van het aan de verwerker tegekende deleinde, evenals van iedere latere wijziging betreffende deze tekenning. De tegangsmiddelen (bijvrbeeld gebruikersidentificatie en tegangscde) die de verzekeraar meedeelt aan de makelaar-verwerker en die gebruikt wrden dr de betrkken persneelsleden, zijn uitsluitend bestemd vr een strikt persnlijk gebruik dr de betrkkenen. Die dienen, als huder van hun tegangsmiddel, alle redelijke vrzrgsmaatregelen te nemen met het g p de veiligheid ervan (bijv. geheimhuding van de persnlijke tegangscde). In geval van verlies f diefstal van een tegangsmiddel, f enige andere mstandigheid waarin de betrkkene er redelijkerwijze van p de hgte dient te zijn dat een derde gebruik kan maken van zijn tegangsmiddel, met de verzekeraar daarvan z snel mgelijk p de hgte wrden gebracht. De makelaar-verwerker ziet zveel mgelijk te p de eerbiediging van deze verplichtingen dr de persneelsleden. 3. Werken met een andere verwerker f subverwerker De makelaar-verwerker det, in het kader van zijn werkzaamheden als verwerker van de verzekeraar, geen berep p een andere verwerker, tenzij mits testemming van de verzekeraar en mits de makelaar met de andere verwerker vldende waarbrgen inzake gegevensbescherming schriftelijk vereenkmt. Deze testemming mag algemeen zijn, naargelang wat er in de specifieke vereenkmst gepreciseerd staat. De makelaar-verwerker infrmeert in dat geval de verzekeraar-verwerkingsverantwrdelijke z snel mgelijk ver elke vrgenmen wijziging in verband met de teveging f vervanging van een verwerker. De verzekeraar-verwerkingsverantwrdelijke kan bezwaar maken tegen dergelijke wijzigingen binnen een redelijke termijn die is vastgelegd in de specifieke vereenkmst. De testemming kan alleen wrden geweigerd p basis van legitieme en bjectieve redenen.

5 5 Deze bepaling betreft alleen de activiteiten die dr de verzekeraar-verwerkingsverantwrdelijke zijn uitbesteed aan de verwerker. 4. Bijstand uitefening rechten betrkkenen In de mate van het mgelijke helpt de makelaar-verwerker, dr het treffen van passende technische en rganisatrische maatregelen, de verzekeraar-verwerkingsverantwrdelijke m zijn verplichting na te kmen wat de pvlging betreft van verzeken die betrkken persnen tt hem richten m hun rechten uit te efenen, zals bepaald in hfdstuk III van de GDPR (tegang, rechtzetting, ). In de praktijk det de makelaar-verwerker het vlgende: - hij verwijst de betrkken persn dr naar (de website van) de verzekeraar, f - hij stuurt de vraag van de betrkken persn dr naar de DPO f het privacy-aanspreekpunt van de verzekeraar. De makelaar-verwerker met de verzekeraar indien ndig bijstaan m alle infrmatie aan de betrkken persn te geven. Let p: wanneer een betrkken persn zich tt de makelaar richt in diens hedanigheid van verwerkingsverantwrdelijke vr zijn eigen gegevensverwerking, geeft de makelaar zelf een antwrd aan de betrkken persn. 5. Bijstand persnsgegevensbeveiliging Beveiliging van de verwerking: zie hger, punt 2. Melding van een inbreuk p de bescherming van persnsgegevens : infrmatieverstrekking dr de verwerker aan de DPO van de verzekeraar f het privacy-aanspreekpunt van de verzekeraar. Wanneer de makelaar-verwerker kennisneemt van een inbreuk in verband met persnsgegevens, brengt deze de verzekeraar-verwerkingsverantwrdelijke hiervan meteen p de hgte via diens DPO f privacy-aanspreekpunt. Vóór de verzekeraar-verwerkingsverantwrdelijke de inbreuk meldt aan de Gegevensbeschermingsautriteit en, indien ndig, aan de betrkken persnen, verlegt deze met de makelaar-verwerker m na te gaan f de vrwaarden vr een melding effectief vervuld zijn. Vrbeelden van mgelijke inbreuken in verband met persnsgegevens: verlies f fute verzending vervaldagberichten, ngerlfde tegang tt systemen f persnsgegevens, verlies van archieven f dcumenten, 6. Maatregelen na aflp verwerkingsdiensten

6 6 De makelaar-verwerker verbindt zich erte m de persnsgegevens die hij verwerkt in het kader van zijn verwerkingsactiviteiten vr rekening van de verzekeraar, niet langer te verwerken dan ndzakelijk. Indien de samenwerking met de verzekeraar beëindigd wrdt, verbindt de makelaar-verwerker zich erte m alle persnsgegevens met betrekking tt de uitvering van werkzaamheden ten beheve van de verzekeraar, evenals de archieven en dcumenten van de verzekeraar, p vraag van deze laatste terug te zenden en de aanwezige kpieën te vernietigen, behalve indien de makelaarverwerker wettelijk verplicht is deze gegevens gedurende een bepaalde termijn bij te huden. Deze bepaling geldt alleen vr gegevens die exclusief wrden verwerkt in het kader van de relatie tussen de verwerkingsverantwrdelijke en de verwerker, met uitsluiting van de persnsgegevens die de makelaar k verwerkt in zijn hedanigheid van verwerkingsverantwrdelijke vr zijn eigen gegevensverwerkingen. 7. Audit De verzekeraar heeft het recht m de naleving van de instructies in dit dcument te cntrleren. De makelaar-verwerker is verplicht m, p eenvudig verzek van de verzekeraar, alle belangrijke infrmatie in het kader van de uitvering van deze instructies aan de verzekeraar mee te delen. Als deze maatregel ntereikend lijkt, heeft de verzekeraar het recht m zich te begeven naar de lkalen f ruimten waar de makelaar-verwerker de gegevensverwerking uitvert, na het vastleggen van een afspraak p zeer krte termijn. De verzekeraar mag k p elk mment cntrleren f de verzekeringsmakelaar-verwerker de persnsgegevens in het infrmaticasysteem van de verzekeraar heeft ingeverd vlgens de vrwaarden die beschreven staan in deze instructies f in de eventuele specifieke instructies, en f de vastgelegde prcedures zijn nageleefd. Deze cntrles mgen alleen plaatsvinden vr gegevensverwerking die gebeurt in het kader van een relatie verwerkingsverantwrdelijke/verwerker tussen de verantwrdelijke verzekeraar en de makelaar. Dit recht kan slechts eenmaal per jaar wrden uitgeefend, tenzij in de vlgende gevallen: - wanneer een cntrle tekrtkmingen aan het licht heeft gebracht, mag de verzekeraarverwerkingsverantwrdelijke nagaan f de ndige crrigerende maatregelen zijn getrffen en f de instructies pnieuw wrden nageleefd dr de makelaar-verwerker; hij heft dan geen jaar te wachten; - wanneer de cntrle gebeurt p uitdrukkelijk verzek van een bevegde autriteit. 8. Aansprakelijkheid Aansprakelijkheid beveiligingsmaatregelen verzekeraar De verzekeraar verbindt zich erte m passende technische en rganisatrische maatregelen te treffen m de persnsgegevens van het cliënteel te beveiligen. In dit kader kan de makelaarverwerker in geen enkel geval aansprakelijk wrden gesteld vr schade die vrtvleit uit het nietrespecteren van deze maatregelen dr de verzekeraar.

7 7 Aansprakelijkheid beveiligingsmaatregelen makelaar-verwerker De passende technische en rganisatrische beveiligingsmaatregelen waarver de makelaarverwerker met waken m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van gegevens te vrkmen, staan beschreven in de instructies in dit dcument (zie hger, punt 2) en in de eventuele specifieke instructies die zijn meegedeeld dr de verzekeringsnderneming. De makelaar-verwerker is verantwrdelijk vr de gede uitvering van deze instructies. Algemene aansprakelijkheid GDPR De makelaar-verwerker is aansprakelijk vr de schade die vrtvleit uit een inbreuk p de verplichtingen die hij als verwerker heeft ingevlge artikel 9 van de bemiddelingsvereenkmst en deze instructies, en vrijwaart daarte de verzekeraar. De verzekeraar zal de makelaar-verwerker vrijwaren vr iedere schade die vr hem zu vrtvleien uit het niet-respecteren van zijn wettelijke verplichtingen als verwerkingsverantwrdelijke p grnd van de GDPR en zijn verplichtingen uit hfde van artikel 9 van de bemiddelingsvereenkmst. 9. Verwerkingsregister De makelaar-verwerker maakt een register p van verwerkingsactiviteiten. Dit register bevat: - de naam en de cntactgegevens van de verwerker en van iedere verwerkingsverantwrdelijke waarvr de verwerker handelt; - de categrieën van verwerkingen ten beheve van iedere verwerkingsverantwrdelijke; - indien mgelijk een algemene beschrijving van de technische en rganisatrische beveiligingsmaatregelen (bijv. dr een verwijzing naar de maatregelen die de makelaar genmen heeft als verwerkingsverantwrdelijke en naar de instructies). 10. Medewerking tezichthuder De makelaar-verwerker is verplicht m, p eenvudig verzek van de verzekeraarverwerkingsverantwrdelijke, alle belangrijke infrmatie in het kader van de uitvering van deze instructies aan de verzekeraar mee te delen. Dat geldt in het bijznder wanneer de verzekeraar hierver wrdt ndervraagd dr de cntrleautriteit.

8 8 DEEL II DE VERZEKERAAR DIE ALS VERWERKER HANDELT VOOR REKENING VAN EEN MAKELAAR DIE VERZEKERINGSVERANTWOORDELIJKE IS I. BEGRIPPEN Onder verwerker wrdt begrepen de verzekeraar die ten beheve van de makelaar verwerkingsverantwrdelijke persnsgegevens verwerkt in het kader van de aan hem tegekende deleinden (in het kader van een specifieke vereenkmst, waarvan sprake hierbven). Onder verzekeraar wrdt begrepen de verzekeringsnderneming zelf, haar persneelsleden en medewerkers. Onder andere verwerker wrdt begrepen iedere andere persn dan de verwerker f diens persneelsleden die vr de verwerker persnsgegevens verwerkt vr de deleinden die dr de makelaar aan de verwerker zijn tegekend. Dit begrip mvat dus niet de verwerker die handelt - vr rekening van de verzekeraar-verwerkingsverantwrdelijke, f - als verwerker van de verzekeraar in het kader van andere deleinden dan degene die dr de makelaar aan de verzekeraar zijn tegekend. II. INSTRUCTIES 1. Vertruwelijkheid De verzekeraar-verwerker zal p discrete wijze gebruikmaken van de ver de betrkken persn verkregen infrmatie. De verzekeraar-verwerker waarbrgt dat de verwerkingsgemachtigde persneelsleden gebnden zijn aan een vertruwelijkheidsverplichting in hun arbeidsvereenkmst f samenwerkingsvereenkmst, f dat zij een vertruwelijkheidsverplichting hebben ndertekend. 2. Passende technische en rganisatrische maatregelen Algemeen

9 9 De lijst hiernder bevat vrbeelden van rganisatrische maatregelen die de verzekeraarverwerker kan treffen m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van persnsgegevens te vrkmen: - prcedures uitwerken met betrekking tt de aankmst en het vertrek van gebruikers; - een algemene gedragscde verspreiden vr het ICT-gebruik; - regelmatig veiligheidsaudits rganiseren en deze nauwgezet uitveren; - een tegangsbeleid uitwerken waarbij de tegang tt persnsgegevens exclusief wrdt tegekend p een need-t-knw basis (de ndzaak m er kennis van te nemen); - interne prcedures pstellen m klachten te behandelen en m gepast te reageren p incidenten (bijv. gegevenslekken). Technisch Beveiligingsmaatregelen - Indien binnen een ASWeb-mgeving: De security-richtlijnen van de ASWeb-prvider meten geëerbiedigd wrden. - Indien elektrnisch buiten ASWeb (bv. pc, clud, ): tegangsbeleid, back-ups, maatregelen beveiliging clud De lijst hiernder bevat vrbeelden van technische maatregelen die de verzekeraarverwerker kan treffen m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van persnsgegevens te vrkmen: antivirussftware gebruiken en deze systematisch en tijdig updaten; systematisch back-ups maken m zich te beschermen tegen verlies van persnsgegevens; alle sftware systematisch en autmatisch updaten; een beveiligde https-verbinding gebruiken vr websites; een firewall installeren (zwel vr de hardware als vr de sftware); de fysieke beveiliging van de servers garanderen dr er alleen bevegd persneel bij te te laten (bijv. met behulp van badges); een tegangensysteem implementeren met een unieke gebruikersnaam (lgin) vr elke gebruiker en een authenticatiesysteem. - Indien papieren dcumenten: tegangsbeleid, afgeslten f afsluitbare archieven Tegangsbeleid De verzekeraar-verwerker met de tegang tt de verwerkte persnsgegevens beperken tt die persneelsleden werknemers f zelfstandigen die de gegevens ndig hebben m de taken uit te efenen die de verzekeraar-verwerker hun heeft tegewezen. De verzekeraar-verwerker met de makelaar p de hgte brengen van de identiteit van de persneelsleden werknemers f zelfstandigen die de persnsgegevens verwerken in het kader

10 10 van het aan de verwerker tegekende deleinde, evenals van iedere latere wijziging betreffende deze tekenning. De tegangsmiddelen (bijv. gebruikersidentificatie en tegangscde) die de makelaar aan de verzekeraar-verwerker meedeelt en die gebruikt wrden dr de betrkken persneelsleden, zijn uitsluitend bestemd vr een strikt persnlijk gebruik dr de betrkkenen. Die dienen, als huder van hun tegangsmiddel, alle redelijke vrzrgsmaatregelen te nemen met het g p de veiligheid ervan (bijv. geheimhuding van de persnlijke tegangscde). In geval van verlies f diefstal van een tegangsmiddel, f enige andere mstandigheid waarin de betrkkene er redelijkerwijze van p de hgte dient te zijn dat een derde gebruik kan maken van zijn tegangsmiddel, met de makelaar daarvan z snel mgelijk p de hgte wrden gebracht. De verzekeraar-verwerker ziet z veel mgelijk te p de eerbiediging van deze verplichtingen dr de persneelsleden. 3. Werken met een andere verwerker f sub-verwerker De verzekeraar-verwerker det, in het kader van zijn werkzaamheden als verwerker van de makelaar, geen berep p een andere verwerker, tenzij mits testemming van de makelaar en mits de verzekeraar met de andere verwerker vldende waarbrgen inzake gegevensbescherming schriftelijk vereenkmt. Deze testemming mag algemeen zijn, naargelang wat er in de specifieke vereenkmst gepreciseerd staat. De verzekeraar-verwerker infrmeert in dat geval de makelaarverwerkingsverantwrdelijke z snel mgelijk ver elke vrgenmen wijziging in verband met de teveging f vervanging van een verwerker. De makelaar-verwerkingsverantwrdelijke kan bezwaar maken tegen deze wijzigingen binnen een redelijke termijn die is vastgelegd in de specifieke vereenkmst. De testemming kan alleen wrden geweigerd p basis van legitieme en bjectieve redenen. Deze bepaling betreft alleen de activiteiten die dr de makelaar-verwerkingsverantwrdelijke zijn uitbesteed aan de verwerker. 4. Bijstand uitefening rechten betrkkenen In de mate van het mgelijke helpt de verzekeraar-verwerker, dr het treffen van passende technische en rganisatrische maatregelen, de makelaar-verwerkingsverantwrdelijke m zijn verplichting na te kmen wat de pvlging betreft van verzeken die betrkken persnen tt hem richten m hun rechten uit te efenen, zals bepaald in hfdstuk III van de GDPR (tegang, rechtzetting ). In de praktijk det de verzekeraar-verwerker het vlgende: - hij verwijst de betrkken persn dr naar (de website van) de makelaar, f - hij stuurt de vraag van de betrkken persn dr naar de DPO, de privacyverantwrdelijke f het privacy-aanspreekpunt van de makelaar. De verzekeraar-verwerker met de makelaar indien ndig bijstaan m alle infrmatie aan de betrkken persn te geven. Let p: wanneer een betrkken persn zich tt de verzekeraar richt in diens hedanigheid van verwerkingsverantwrdelijke vr zijn eigen gegevensverwerking, geeft de verzekeraar zelf een antwrd aan de betrkken persn.

11 11 5. Bijstand persnsgegevensbeveiliging Beveiliging van de verwerking: zie hger, punt 2. Melding van een inbreuk p de bescherming van persnsgegevens: infrmatieverstrekking dr de verwerker aan de makelaar f, in vrkmend geval, de DPO, de privacyverantwrdelijke f het privacy-aanspreekpunt van de makelaar. Wanneer de verzekeraar-verwerker kennisneemt van een inbreuk in verband met persnsgegevens brengt deze de makelaar-verwerkingsverantwrdelijke hiervan meteen p de hgte f, in vrkmend geval, diens DPO, privacyverantwrdelijke f privacy-aanspreekpunt. Vóór de makelaar-verwerkingsverantwrdelijke de inbreuk meldt aan de gegevensbeschermingsautriteit en, indien ndig, aan de betrkken persnen, verlegt deze met de verzekeraar-verwerker m na te gaan f de vrwaarden vr een melding effectief vervuld zijn. Vrbeelden mgelijke inbreuk p de bescherming van persnsgegevens: verlies f fute verzending vervaldagberichten, ngerlfde tegang systemen f persnsgegevens, verlies van archieven f dcumenten, 6. Maatregelen na aflp verwerkingsdiensten De verzekeraar-verwerker verbindt zich erte m de persnsgegevens die hij verwerkt in het kader van zijn verwerkingsactiviteiten vr rekening van de makelaar, niet langer te verwerken dan ndzakelijk. Indien de samenwerking met de makelaar beëindigd wrdt, verbindt de verzekeraar-verwerker zich erte m alle persnsgegevens met betrekking tt de uitvering van werkzaamheden vr rekening van de makelaar, evenals de archieven en dcumenten van de makelaar, p vraag van deze laatste terug te zenden en de aanwezige kpieën te vernietigen, behalve indien de verzekeraar-verwerker wettelijk verplicht is deze gegevens gedurende een bepaalde termijn bij te huden.. Deze bepaling geldt alleen vr persnsgegevens die exclusief wrden verwerkt in het kader van de relatie tussen de verwerkingsverantwrdelijke en de verwerker, met uitsluiting van de persnsgegevens die de verzekeraar k verwerkt in zijn hedanigheid van verwerkingsverantwrdelijke vr zijn eigen gegevensverwerkingen. 7. Audit De makelaar heeft het recht m de naleving van deze instructies te cntrleren. De verzekeraarverwerker is verplicht m, p eenvudig verzek van de makelaar, alle belangrijke infrmatie in het kader van de uitvering van deze instructies aan de makelaar mee te delen. Als deze maatregel ntereikend lijkt, heeft de makelaar het recht m zich te begeven naar de lkalen f ruimten waar de verzekeraar-verwerker de gegevensverwerking uitvert, na het vastleggen van een afspraak p zeer krte termijn.

12 12 De makelaar mag k p elk mment cntrleren f de verzekeraar-verwerker de persnsgegevens in het infrmaticasysteem van de makelaar heeft ingeverd vlgens de vrwaarden die beschreven staan in deze instructies f in de eventuele specifieke instructies, en f de vastgelegde prcedures zijn nageleefd. Deze cntrles mgen alleen plaatsvinden vr gegevensverwerking die gebeurt in het kader van een relatie verwerkingsverantwrdelijke/verwerker tussen de verantwrdelijke makelaar en de verzekeraar. Dit recht kan slechts eenmaal per jaar wrden uitgeefend, tenzij in de vlgende gevallen: - wanneer een cntrle tekrtkmingen aan het licht heeft gebracht, mag de makelaarverwerkingsverantwrdelijke nagaan f de ndige crrigerende maatregelen zijn getrffen en f de instructies pnieuw dr de verzekeraar-verwerker wrden nageleefd; hij heft dan geen jaar te wachten; - wanneer de cntrle gebeurt p uitdrukkelijk verzek van een bevegde autriteit. 8. Aansprakelijkheid Aansprakelijkheid beveiligingsmaatregelen makelaar De makelaar verbindt zich erte m passende technische en rganisatrische maatregelen te treffen m de persnsgegevens van het cliënteel te beveiligen; in dit kader kan de verzekeraar-verwerker in geen enkel geval aansprakelijk wrden gesteld vr schade die vrtvleit uit het nietrespecteren van deze maatregelen dr de makelaar. Aansprakelijkheid beveiligingsmaatregelen verzekeraar-verwerker De minimale technische maatregelen waarver de verzekeraar-verwerker met waken m de vernietiging, het verlies, de vervalsing en de ngerlfde raadpleging f verspreiding van persnsgegevens te vrkmen, staan beschreven in deze instructies (zie hger, punt 2) en in de eventuele specifieke instructies die zijn meegedeeld dr de makelaar. De verzekeraar-verwerker is verantwrdelijk vr de gede uitvering van deze instructies. Algemene aansprakelijkheid GDPR De verzekeraar-verwerker is aansprakelijk vr de schade die vrtvleit uit een inbreuk p de verplichtingen die hij als verwerker heeft ingevlge art. 9 van de bemiddelingsvereenkmst en deze instructies, en vrijwaart daarte de makelaar. De makelaar zal de verzekeraar-verwerker vrijwaren vr iedere schade die vr hem zu vrtvleien uit het niet-respecteren van zijn wettelijke verplichtingen als verwerkingsverantwrdelijke p grnd van de GDPR en zijn verplichtingen uit hfde van art. 9 van de bemiddelingsvereenkmst. 9. Verwerkingsregister De verzekeraar-verwerker maakt een register p van de verwerkingsactiviteiten vr rekening van de makelaar. Dit register bevat:

13 13 - de naam en de cntactgegevens van de verwerker en van iedere verwerkingsverantwrdelijke waarvr de verwerker handelt; - de categrieën van verwerkingen vr rekening van iedere verwerkingsverantwrdelijke; - indien mgelijk een algemene beschrijving van de technische en rganisatrische beveiligingsmaatregelen (bijv. dr verwijzing naar de maatregelen die de verzekeraar genmen heeft als verantwrdelijke van de verwerking en naar de instructies). 10. Medewerking tezichthuder De verzekeraar-verwerker is verplicht m, p eenvudig verzek van de makelaarverwerkingsverantwrdelijke, alle belangrijke infrmatie in het kader van de uitvering van deze instructies aan de makelaar mee te delen. Dat geldt in het bijznder wanneer de makelaar hierver wrdt ndervraagd dr de cntrleautriteit.