Privacy reglement De Jonge Krijger. Inhoud

Transcriptie

1 Privacy reglement De Jonge Krijger Inhoud 1. Begripsbepalingen Doel en werking Beheer Inhoud van de registratie Categorieën van personen Soorten gegevens Verwijdering en vernietiging van gegevens Verstrekking van gegevens (intern en extern) Intern Extern Toegang tot de registratie Rechtstreekse toegang Aantekening Rechten van de geregistreerde Opname en inzageverzoek Correctieverzoek Slotbepaling Bijlage I: procedure privacyreglement Bijlage II: voorbeeld autorisatieformulieren

2 1. Begripsbepalingen In dit reglement wordt verstaan onder: a. de wet: de Wet bescherming persoonsgegevens (Stb. 2000, 302); b. gegeven: een gegeven dat herleidbaar is tot een individuele natuurlijke persoon; c. houder: de directeur van De Jonge Krijger BV; d. organisatie: De Jonge Krijger BV; e. verstrekken van gegevens: het bekendmaken of ter beschikking stellen van persoonsgegevens, voor zover zulks geheel of grotendeels steunt op de gegevens die in de registratie zijn opgenomen, of die door de verwerking daarvan al dan niet in verband met andere gegevens zijn verkregen; f. gegevensbeheer: de verantwoordelijkheid voor de juistheid van de ingevoerde gegevens, alsmede voor het bewaren, verwijderen en verstrekken van gegevens; g. registratie: de persoonsregistratie die gevoerd wordt bij de organisatie. 2

3 2. Doel en werking 1. De registratie heeft tot doel: a. Het inzichtelijk maken van de hoedanigheid, aard, plaats en werkzaamheden van de volgende drie categorieën van personen: 1. personeel van de organisatie, ongeacht de aard van hun dienstverband; 2. cliënten die een arbeids- en/of scholingsintegratietraject volgen bij de organisatie; 3. personeel op overeenkomst werkzaam bij de organisatie. b. Het vastleggen van persoonsgegevens die van belang zijn voor de loopbaan van personeelsleden en voor de ontwikkeling van de trajecten van cliënten. c. Het vastleggen van gegevens die van belang zijn voor de rechtspositie van die personeelsleden en de daaruit voortvloeiende te nemen beslissingen. d. Het vastleggen van gegevens over ziekteverzuim en belasting/ belastbaarheid. e. Het ontwikkelen en implementeren van personeelsbeleid. f. Het verstrekken van gegevens aan derden uit hoofde van wettelijke verplichtingen. 2. Voorts kunnen gegevens uit de registratie worden gebruikt voor het maken van statistische en andere overzichten, ten behoeve van interne bedrijfsstatistiek, de bedrijfsvoering en voor het ontwikkelen van beleid. De registratie wordt deels geautomatiseerd en deels handmatig gevoerd. 3

4 3. Beheer De houder is belast met de zeggenschap over de registratie. Hij draagt zorg voor de naleving van de wet en het reglement. Hij treft daartoe onder meer voorzieningen van technische en organisatorische aard ter beveiliging van de registratie tegen verlies of aantasting van gegevens tegen onbevoegde kennisneming, wijziging of verstrekking daarvan. Tevens treft hij maatregelen ter bevordering van de juistheid, de volledigheid en de tijdigheid van de in de registratie opgenomen gegevens. Tevens draagt hij zorg voor het naleven van de geheimhoudingsplicht. Door de houder worden de functionarissen aangewezen, die belast worden met de dagelijkse leiding aan werkzaamheden voor wat betreft het gegevensbeheer, ten behoeve van de onder hoofdstuk 2 genoemde doelstellingen. Tevens treft de houder voorzieningen als bedoeld in hoofdstuk 7 en treft daarnaast een voorziening voor de behandeling van verzoeken zoals bedoeld in hoofdstuk 8 van dit reglement. In de procedure die als bijlage is opgenomen in dit document staan aanwijzingen voor de praktische uitvoer. 4

5 4. Inhoud van de registratie 4.1 Categorieën van personen In de registratie kunnen slechts gegevens worden opgenomen omtrent de volgende categorieën van personen: a. personeel van de BV, ongeacht de aard van hun dienstverband; b. cliënten die een arbeids- en/of scholingsintegratietraject volgen; c. personeel op overeenkomst werkzaam bij de organisatie (via uitzendbureaus, stages). 4.2 Soorten gegevens Omtrent de genoemde categorieën van personen kunnen ten hoogste de volgende soorten gegevens worden opgenomen: a. Personalia algemeen, bestaande uit de volledige naam, adres, woonplaats, privé telefoonnummer, geboortedatum en plaats, burgerlijke staat, nationaliteit en datum van overlijden. b. Familiegegevens, bestaande uit huwelijksdatum, datum van het samenlevingscontract, volledige naam, geboortedatum en plaats echtgeno(o)te/partner en kinderen, geboorteplaats ouders. c. Opleidingsgegevens, bestaande uit vooropleiding, tijdens het dienstverband c.q. traject gevolgde opleidingen, trainingen en verleende faciliteiten. d. Rechtspositionele en functionele gegevens, bestaande uit gegevens met betrekking tot aanstelling, functietyperingen, detachering, ontslag, sofi-nummer, legitimatie- of andere identiteitsgegevens en verdere gegevens van belang voor operationeel en strategisch beleid. e. Loopbaangegevens c.q. trajectvolggegevens, bestaande uit vastlegging van functioneringsgesprekken, beoordelingen, sollicitaties en andere gegevens van belang voor de loopbaan c.q. het traject. f. Ziekteregistratie, bestaande uit ziek-/ betermeldingen, ongevallen, zwangerschap, belasting/ belastbaarheid. g. Salarisgegevens c.q. uitkeringsgegevens, bruto salarisbedrag, reiskostenvergoeding, persoonlijke inconveniënten vast/ variabel. 5

6 5. Verwijdering en vernietiging van gegevens 1. De in hoofdstuk 4 genoemde gegevens worden uit de registratie verwijderd, wanneer deze niet meer noodzakelijk zijn voor het doel van de registratie. Hiervan is in ieder geval sprake na verloop van tien jaar na de pensioensgerechtigde leeftijd van de in hoofdstuk 4 onder a genoemde personen. 2. Indien noodzakelijk voor het doel van de registratie kan de houder incidenteel schriftelijk gemotiveerd afwijken van het bepaalde in het eerste lid. 3. Onverminderd het bepaalde in het eerste lid vindt verwijdering plaats na een daartoe strekkend besluit. 4. Bij beëindiging van de met een opdrachtgever gesloten overeenkomst van personen vallend onder categorie b van hoofdstuk 4, worden alle tot de persoon van cliënten te herleiden gegevens, data en/of resultaten van de bemiddeling van cliënten ter beschikking van de opdrachtgever gesteld. 6

7 6. Verstrekking van gegevens (intern en extern) 6.1 Intern Binnen de organisatie van de houder worden gegevens uit de registratie slechts verstrekt aan: a. personen die op grond van hoofdstuk 7 van dit reglement rechtstreeks toegang hebben tot de registratie; b. personen die de gegevens noodzakelijkerwijs behoeven voor de uitoefening van hun taak in overeenstemming met de in hoofdstuk 2, eerste lid, omschreven doelstelling. 6.2 Extern a. Onverminderd het bepaalde in de Wet openbaarheid van bestuur en in andere wetten worden uit de registratie aan een derde slechts gegevens verstrekt voor zover: 1. dat voortvloeit uit het doel van de registratie; 2. dat ingevolge een wettelijk voorschrift wordt vereist; 3. dat geschiedt met schriftelijke toestemming van de geregistreerde; 4. dat wordt verzocht ten behoeve van wetenschappelijk onderzoek of statistiek, waarbij de uitkomsten waarvoor deze gegevens worden gebruikt, niet herleidbaar zijn tot individuele personen en de persoonlijke levenssfeer van de geregistreerden daardoor niet onevenredig wordt geschaad; 5. dat wordt verzocht door personen of instanties met een publiekrechtelijke taak, voor zover zij die gegevens behoeven voor de uitvoering van hun taak en de persoonlijke levenssfeer van de geregistreerden daardoor niet onevenredig wordt geschaad. b. Voorts worden gegevens in overeenstemming met het doel van de registratie verstrekt aan personen werkzaam bij het Openbaar Ministerie, voor zover deze gegevens behoeft in verband met een aldaar ingesteld onderzoek inzake eventuele strafbare feiten welke door de geregistreerden in de betreffende klachtsituatie zouden zijn begaan. c. De verstrekking aan personen of instanties die geen rechtstreekse toegang hebben tot de registratie wordt verzorgd door de in hoofdstuk 7 genoemde personen. d. Uit de registratie worden ingevolge artikel 14, eerste lid, van de wet, geen persoonsgegevens aan derden verstrekt. 7

8 7. Toegang tot de registratie 7.1 Rechtstreekse toegang 1. Rechtstreekse toegang tot de registratie, dan wel onderdelen daarvan, voor zover zij deze behoeven voor de uitvoering van hun taak, hebben personen die een schriftelijke autorisatie hebben gekregen van de houder. 2. In de autorisatie is aangegeven voor welk doel de rechtstreekse toegang, daaronder begrepen de bevoegdheid tot raadplegen, invoeren, wijzigen, verwijderen en vernietigen van gegevens, wordt verleend. Hieronder volgt een opsomming van de functionarissen die (gedeeltelijk) toegang tot de persoonsgegevens hebben i.v.m. de uitvoering van hun taak, alsmede een opsomming tot welke gegevens zij toegang hebben: Manager arbeidsintegratie, unitmanagers en arbeidsintegratieconsulenten hebben toegang tot alle onder artikel 4.2 genoemde soorten gegevens van de personen genoemd onder artikel 4.1 categorie b. Medewerker Personeelszaken heeft toegang tot alle soorten gegevens genoemd onder artikel 4.2 voor de categorieën a. en c. van artikel 4.1. De Management Assistent heeft toegang tot de gegevens genoemd onder 4.2 a. en f. van categorie 4.1.a. De manager F&C heeft toegang tot a.b.c. van 4.1 en alle soorten gegevens van 4.2 Administratieve medewerker in dienst van Manager F&C heeft toegang tot alle soorten gegevens van artikel 4.2 betreffende categorie 4.1.b. Al deze functionarissen tekenen hiertoe een autorisatieformulier. 7.2 Aantekening 1. Van iedere verstrekking aan een derde wordt aangetekend de datum van de verstrekking, de identiteit van de verzoeker en een omschrijving van de verstrekte gegevens. 2. Aantekening blijft achterwege in geval van verstrekking aan een derde genoemd in hoofdstuk 6.c, voor zover anderszins in redelijkheid kan worden aangenomen dat de geregistreerde daardoor niet in zijn belangen is geschaad en in geval van verstrekking aan een derde uitsluitend ten behoeve van wetenschappelijk onderzoek of statistiek indien de uitkomst van dat onderzoek of die statistiek geen persoonsgegevens bevat. 3. De aantekening wordt tenminste één jaar bewaard. 8

9 8. Rechten van de geregistreerde 8.1 Opname en inzageverzoek 1. De geregistreerde wordt binnen vier weken na eerste opname in de registratie schriftelijk van deze opname in kennis gesteld, tenzij bekend is of redelijkerwijs bekend kan zijn dat opname heeft plaatsgevonden dan wel een gewichtig belang van betrokkene zich tegen het doen van een schriftelijke mededeling verzet dan wel voor zover dit met het oog op de belangen genoemd in artikel 30 van de wet noodzakelijk is. 2. Een geregistreerde kan de houder ingevolge de artikelen 29 en 32 van de WPR verzoeken hem schriftelijk mede te delen: a. of over hem gegevens in de registratie zijn opgenomen; b. hem een volledig overzicht van de gegevens te verstrekken alsmede de herkomst daarvan; c. of uit de registratie hem betreffende gegevens in het jaar voorafgaande aan het verzoek aan derden zijn verstrekt; 3. Een verzoek als bedoeld in artikel 29, 31 en 32 van de wet, dient schriftelijk gericht te worden aan De Jonge Krijger, Kerklaan 100, 2912 CL Nieuwerkerk a/d IJssel, telefoon: De registratiebeheerder draagt zorg voor een deugdelijke vaststelling van de identiteit van de verzoeker. De behandelend functionaris kan verlangen dat de verzoeker hem bescheiden toont, waaruit zijn identiteit blijkt alsmede die van degene namens wie hij optreedt. 5. Aan een verzoek bedoeld in artikel 29 en 32 van de wet wordt binnen vier weken nadat het verzoek ontvankelijk is voldaan. 6. Een verzoek tot inzage kan, onder overlegging van een bijzondere daartoe strekkende schriftelijke machtiging tot het doen van een dergelijk onderzoek, namens de geregistreerde dan wel de wettelijke vertegenwoordiger eveneens gedaan worden door diens advocaat of procureur. 7. Een verzoek tot inzage kan, onder overlegging van een bijzondere daartoe strekkende schriftelijke machtiging, namens de betrokkene eveneens gedaan worden door een ander. Mededelingen aan een dergelijke gemachtigde vinden niet plaats indien aangenomen kan worden dat deze mede een zelfstandig belang heeft bij de mede te delen gegevens of indien tegen hem ernstige bezwaren bestaan. 9

10 8.2 Correctieverzoek 1. Een geregistreerde aan wie ingevolge artikel 29 van de Wbp inzage is verleend, kan de registratiebeheerder ingevolge artikel 31 van de Wbp verzoeken: a. bepaalde gegevens over hem te verbeteren; b. bepaalde gegevens over hem aan te vullen; c. bepaalde gegevens over hem te verwijderen. 2. Een correctieverzoek dient schriftelijk ingediend te worden bij het management van De Jonge Krijger, Kerklaan 100, 2912 CL Nieuwerkerk a/d IJssel, telefoon: In het verzoek dient de gewenste verbetering, aanvulling of verwijdering aangegeven te worden. 3. Een correctieverzoek kan, onder overlegging van een bijzondere daartoe strekkende schriftelijke machtiging tot het doen van een dergelijk verzoek, namens de geregistreerde dan wel de wettelijke vertegenwoordiger eveneens gedaan worden door diens advocaat of procureur. 4. Een correctieverzoek kan, onder overlegging van een bijzondere daartoe strekkende schriftelijke machtiging, namens de betrokkene eveneens gedaan worden door een ander. Mededelingen aan een dergelijk gemachtigde vinden niet plaats indien aangenomen kan worden dat deze mede een zelfstandig belang heeft bij de mede te delen gegevens of indien tegen hem ernstige bezwaren bestaan. 5. Op een correctieverzoek wordt binnen acht weken nadat het verzoek ontvangen is, schriftelijk beslist. Een weigering wordt gemotiveerd. 10

11 9. Slotbepaling 1. Het reglement wordt voor een ieder ter inzage gelegd op het kantoor van De Jonge Krijger. 2. Het reglement treedt in werking op de dag van publicatie van de terinzagelegging. Nieuwerkerk a/d IJssel Mw. drs. L.A. de Boer directeur 11

12 Bijlage I: Procedure privacyreglement persoonsregistratie Inleiding Sinds 1 september 2001 is de Wet bescherming persoonsgegevens van kracht. In die wet zijn regels vastgelegd voor het registreren en gebruiken van persoonsgegevens door overheidsinstellingen, particuliere organisaties en bedrijven. De Wbp geeft aan wat de rechten zijn van iemand over wie gegevens in een bestand zijn vastgelegd en wat de plichten zijn van de instanties of bedrijven die een dergelijk bestand voeren. De Wbp gaat over registraties waarin persoonsgegevens zijn vastgelegd zoals naam, geboortedatum, nationaliteit, gegevens over gezondheid e.d. Een persoonsregistratie is een verzameling gegevens van meerdere personen, die volgens een bepaald systeem is ingericht. Doel Een persoonsregistratie mag alleen worden aangelegd voor een bepaald doel. Dat doel mag niet in strijd zijn met de wet, de openbare orde of de goede zeden en de houder van de registratie moet er ook een redelijk belang bij hebben. Een organisatie of instelling die voor een bepaald doel een persoonsregistratie bijhoudt, mag alleen gegevens daarin vastleggen die voor dat doel nodig zijn. Gegevens die voor een bepaald doel zijn vastgelegd mogen in principe alleen voor dat doel gebruikt worden. Privacyreglement Organisaties die een privacyreglement voeren, zijn verplicht dat te melden bij het College bescherming persoonsgegevens (vóór 1 september 2001 Registratiekamer ). De registratiehouder moet een afschrift van het aanmeldingsformulier voor iedereen ter inzage leggen. Dit geldt ook voor het privacyreglement. Zowel in het aanmeldingsformulier als in het privacyreglement moet worden aangegeven op welke manier de geregistreerden hun rechten (op inzage, correctie, verwijdering en informatie over verstrekking aan anderen) kunnen uitoefenen. Een privacyreglement heeft logischerwijs consequenties voor de manier waarop binnen de organisatie wordt omgegaan met persoonsgegevens. Deze procedure dient gelezen te worden samen met het privacyreglement en dient waar nodig als handleiding en ondersteuning bij de praktische uitvoering van het reglement. Verantwoordelijkheden en praktische uitvoer De eindverantwoordelijkheid van een juiste uitvoering van het privacyreglement ligt bij de houder van de gegevens, ofwel het management van De Jonge Krijger. Deze kan een aantal van zijn verantwoordelijkheden delegeren aan diverse medewerkers. Hierna volgen de diverse verantwoordelijkheden van de houder en de wijze waarop

13 hij hier uitvoer aangeeft dan wel aan wie hij de verantwoordelijkheden delegeert zover niet duidelijk in het reglement. Verantwoordelijkheden van de houder a. Treft voorzieningen van technische en organisatorische aard ter beveiliging van de registratie tegen verlies of aantasting van gegevens tegen onbevoegde kennisneming, wijziging of verstrekking ervan. b. Treft maatregelen ter bevordering van de juistheid, de volledigheid en de tijdigheid van de in de registratie opgenomen gegevens. c. Wijst de functionarissen aan die belast worden met de dagelijkse leiding aan werkzaamheden voor wat het gegevensbeheer betreft. d. Geeft schriftelijke autorisatie voor rechtstreekse toegang tot de registratie. e. Zorgt voor voorzieningen voor de behandeling van verzoeken van de geregistreerde. Praktische uitvoer/ delegatie van de verantwoordelijkheden Add. a. De gegevens op papier (dossiers) worden bewaard in afsluitbare kasten. De sleutels van deze kasten zijn alleen beschikbaar voor degenen die daartoe door de houder zijn aangewezen en de directe toegang behoeven voor de uitvoering van hun taak. De geautomatiseerde gegevens worden beveiligd door het gebruik van inlogcodes en wachtwoorden. Een ieder die toegang heeft tot de gegevens moet een autorisatieformulier ondertekenen waarop staat wat zijn/ haar rechten zijn met betrekking tot de persoonsgegevens. Dagelijks wordt er een back-up gemaakt van de geautomatiseerde gegevens door de systeembeheerder. Deze back ups worden in de brandveilige kluis bewaard (bij afwezigheid systeembeheerder is de manager ICT verantwoordelijk voor de uitvoer van de back-up). Add. b. Voor de controle hierop zijn dezelfde functionarissen aangewezen als onder punt c. Add. c. De dagelijkse leiding wat betreft de persoonsgegevens van degenen die onder categorie a. vallen van hoofdstuk 4.1 wordt bij de medewerker personeelszaken neergelegd. De dagelijkse leiding van de gegevens van degenen die onder categorie b. van hoofdstuk 4.1 vallen wordt bij de manager arbeidsintegratie gelegd. Verder hebben diegenen toegang tot de persoonsgegevens die dat nodig hebben ter uitoefening van hun taak en daartoe door de houder zijn geautoriseerd middels een autorisatieformulier. Zie ook het reglement hoofdstuk 7.1 Add. d.

14 Voor elke persoon die toegang heeft tot de registratie moet een autorisatieformulier ingevuld en ondertekend worden. Hierin staat het doel van de toegang en in hoeverre de persoon bevoegd is tot raadplegen, invoeren, wijzigen, verwijderen en/of vernietigen van gegevens. Dit formulier wordt bewaard door de medewerker personeelszaken in de persoonlijke file van de medewerker. Add. e. Verzoeken van de geregistreerde worden behandeld zoals omschreven in hoofdstuk 8 van het reglement. Voor verzoeken van degenen die onder categorie a en c van hoofdstuk 4 van het reglement vallen, wordt de medewerker personeelszaken aangewezen. Voor degenen die onder categorie b van hoofdstuk 4 van het reglement vallen, wordt de manager arbeidsintegratie aangewezen. Overige praktische aanwijzingen Verder is het belangrijk dat iedereen met toegang tot de persoonsgegevens beseft dat hij/zij met gevoelige gegevens werkt en hier dus zorgvuldig mee omspringt. Dit betekent: dossiers na gebruik niet op een bureau laten liggen, maar na gebruik direct in de kast opbergen; computerschermen afsluiten zodra het bureau tijdelijk onbemand is; bij het printen van persoonsgegevens, de prints direct uit het apparaat halen; gevoelige informatie die niet bewaard hoeft te worden niet zomaar in de papierbak, maar door de papierversnipperaar halen.

15 Bijlage II: Autorisatie rechtstreekse toegang tot de persoonsregistratie Door middel van dit formulier wordt autorisatie verleend tot rechtstreekse toegang tot de persoonsregistratie van De Jonge Krijger, ten behoeve van de uitvoering van zijn/ haar taak aan: Naam: Functie: De autorisatie wordt verleend voor de volgende in hoofdstuk 4 van het privacyreglement opgenomen categorie personen: personeel op overeenkomst werkzaam bij De Jonge Krijger De geautoriseerde is met betrekking tot de gegevens bevoegd tot 1 : a. raadplegen b. invoeren c. wijzigen d. verwijderen e. vernietigen Tevens verklaart de geautoriseerde hierbij de gegevens vertrouwelijk te behandelen en er zorg voor te dragen dat de informatie niet aan derden bekend wordt. Datum: Handtekening houder: Datum:.. Handtekening geautoriseerde: Omcirkelen wat van toepassing is

16 Autorisatie rechtstreekse toegang tot de persoonsregistratie Door middel van dit formulier wordt autorisatie verleend tot rechtstreekse toegang tot de persoonsregistratie van De Jonge Krijger, ten behoeve van de uitvoering van zijn/ haar taak aan: Naam: Functie: De autorisatie wordt verleend voor de volgende in hoofdstuk 4 van het privacyreglement opgenomen categorie personen: personeel van De Jonge Krijger De geautoriseerde is met betrekking tot de gegevens bevoegd tot 2 : f. raadplegen g. invoeren h. wijzigen i. verwijderen j. vernietigen Tevens verklaart de geautoriseerde hierbij de gegevens vertrouwelijk te behandelen en er zorg voor te dragen dat de informatie niet aan derden bekend wordt. Datum: Handtekening houder: Datum:.. Handtekening geautoriseerde: Omcirkelen wat van toepassing is

17 Autorisatie rechtstreekse toegang tot de persoonsregistratie Door middel van dit formulier wordt autorisatie verleend tot rechtstreekse toegang tot de persoonsregistratie van De Jonge Krijger, ten behoeve van de uitvoering van zijn/haar taak aan: Naam: Functie: De autorisatie wordt verleend voor de volgende in hoofdstuk 4 van het privacyreglement opgenomen categorie personen: Cliënten die een reïntegratietraject volgen De geautoriseerde is met betrekking tot de gegevens in het trajectvolgsysteem bevoegd tot 3 : k. raadplegen l. invoeren m. wijzigen n. verwijderen o. vernietigen De geautoriseerde is met betrekking tot de gegevens in de dossiers (geautomatiseerd en handmatig) bevoegd tot 4 : a. raadplegen b. invoeren c. wijzigen d. verwijderen e. vernietigen Tevens verklaart de geautoriseerde hierbij de gegevens vertrouwelijk te behandelen en er zorg voor te dragen dat de informatie niet aan derden bekend wordt. Datum: Handtekening houder:.. Datum:.. Handtekening geautoriseerde:... 3 Omcirkelen wat van toepassing is 4 Omcirkelen wat van toepassing is