~ ARS I Traffic & Transport Technology

Transcriptie

1 ~ ARS I Traffic & Transprt Technlgy Van: Datum: Onderwerp: De I: 1. lnleiding 1.1 Bereik van het dcument Privacy- en beveiligingsbeleid ARS T& TT inzake rittenregistratie Met dit dcument wil ARS T&TT graag aantnen dat zij betrkken is bij de bescherming van de privacy van de deelnemers aan haar prjecten en hier de ndige maatregelen vr treft. Dit dcument mschrijft de uitgangspunten rnd privacy en beveiliging die ARS T& TT hanteert bij prjecten die gebruik maken van ritregistratie waarbij persnen (van wie ARS T&TT de persnsgegevens heeft) wrden gevlgd via kentekenherkenningscamera's en/f OBU's in de vertuigen van deze persnen. Aan de hand van deze richtlijnen zijn enkele rganisatrische en technische maatregelen getrffen m de te verwerken persnsgegevens te beschermen tegen nrechtmatig gebruik. 1.2 Del van het dcument Met dit dcument wil ARS T&TT graag aantnen dat zij betrkken is bij de bescherming van de privacy van de deelnemers aan haar prjecten en hier de ndige maatregelen vr treft. 2. Wettelijke richtlijnen Privacy en beveiliging van persnlijke gegevens zijn twee zaken die niet aileen technisch van belang zijn, maar k plitiek en publiekelijk erg gevelig liggen. Dit dcument beschrijft he in nze prjecten met deze zaken wrdt mgegaan. Binnen deze prjecten bestaat de vrnaamste verwerking van persnsgegevens uit 2 brnnen: in bulk verzamelde NAW gegevens, verkregen via het kentekenregister van RDW, en persnen die zichzelf als (ptentiele) deelnemer bij het prject aanmelden. De navlgende tekst mtrent privacy gaat primair uit van de eerste grep daar in dat geval ndzakelijkerwijs een gedeelte van de verwerking van persnsgegevens gebeurt vrdat de persnen hier expliciet van p de hgte zijn. De verwerkings- en vrzrgsmaatregelen ter bescherming van de privacy en gegevens (beveiliging) van persnen nadat zij kunnen weten dat de gegevens wrden verwerkt zijn natuurlijk vr beide grepen van tepassing. Smmige prjecten kennen een herhaling van verscheidene subprjecten ("belningsmaatregelen", "tranches", etc) die gelijkelijk van pzet zijn. Deze subprjecten behelsen elk een cyclus van verzamelen, verwerken, vernietigen van persnsgegevens. Onderstaande tekst beschrijft vrnamelijk de prcedure zals deze vr een (en elke) dergelijke cyclus werkt. 2.1 Privacy Gebruik persnsgegevens binnen mbiliteitsprjecten In de mbiliteitsprjecten wrden persnsgegevens verzameld, beheerd en verwerkt ten beheve van het werven, meten en analyseren van het mbiliteitsgedrag van de deelnemers. De deelnemers aan het prject meten erp kunnen vertruwen dat er zrgvuldig met de verzamelde persnsen meetgegevens zal wrden mgegaan. Dr te werken vlgens de richtlijnen van het Cllege Bescherming Persnsgegevens (CBP) wrdt gebrgd dat k daadwerkelijk p een juiste, zrgvuldige wijze met de privacygevelige gegevens wrdt mgesprngen. Bij een geschil kan dat wrden aangetnd, dr middel van de richtlijnen en maatregelen die in dit dcument wrden beschreven Wet bescherming persnsgegevens De belangrijkste regels vr het vastleggen en gebruiken van persnsgegevens zijn vastgelegd in de Wet bescherming persnsgegevens (Wbp). Deze wet is p 1 september 2001 van kracht gewrden. De Wbp heeft betrekking p aile gebruik- 'verwerkingen'- van persnsgegevens, van het verzamelen ervan tt en met het vernietigen van persnsgegevens. Aile verwerkingen van persnsgegevens meten wrden gemeld bij de tezichtpagina 1 van 6

2 Memrandum ARS I Traffic & Transprt Technlgy huder, het Cllege Bescherming Persnsgegevens (CBP). Het CBP hudt een penbaar register van deze meldingen bij. Een grt aantal maatschappelijk ged bekende en geaccepteerde veiwerkingen zijn echter vrijgesteld van melding. Uitqanqspunten van de Wet bescherminq persnsqeqevens: 1. Persnsgegevens mgen aileen in vereenstemming met de Wet bescherming persnsgegevens en p een behrlijke en zrgvuldige manier wrden ve!werkt. 2. Persnsgegevens mgen aileen vr welbepaalde, vraf uitdrukkelijk mschreven en gerechtvaardigde deleinden wrden verzameld en vervlgens aileen verder wrden ve!werkt vr deleinden die daarmee verenigbaar zijn. 3. Degene ver wie gegevens wrden ve!werkt met ten minste p de hgte zijn van de identiteit van de verantwrdelijke en van het del van de ve!werking waarvr de gegevens zijn bestemd. 4. De gegevensverwerking meten p een passende manier wrden beveiligd. 5. Vr bijzndere gegevens, zeals ver ras, gezndheid en gelfsvertuiging, gelden extra strenge regels. 3. Kern werkwijze mbiliteitsprjecten 3.1 Algemeen Rijkswaterstaat en de RDW hebben bij het Cllege Bescherming Persnsgegevens (CBP) een algemene gecmbineerde melding gedaan (nder nr ) dat zij kentekenregistraties en gegevensuitwisseling Iaten plaatsvinden vr verkeersnderzeken. Dit uiteraard nder strikte v!waarden zeals die bij dit type nderzek gelden. Gecntrleerd wrdt f partijen hier daadwerkelijk aan vlden. Pas na akkrd van de aangewezen crdinerende cntactpersnen bij Rijkswaterstaat en de RDW mgen kentekens vr dit prject wrden geregistreerd en gegevens via de RDW wrden verstrekt. 3.2 Deelnemerswerving Ptentiele deelnemers wrden binnen de mbiliteitsprjecten van ARS T& TT geselecteerd aan de hand van de cameraregistraties in het delgebied.. Vrafgaand aan de metingen wrden deze aangekndigd middels een persbericht dat aan aile landelijke pers wrdt aangebden. Degenen van wie het kenteken gemiddeld een minimaal aantal keer per peride p het traject wrdt geftgrafeerd, behren tt de delgrep en zullen wrden uitgendigd m deel te nemen. De NAW-gegevens behrend bij de betreffende kentekens wrden via Rijkswaterstaat (RWS) pgevraagd bij de RDW. De cntactpersn bij Rijkswaterstaat tetst de aanvraag. Nadat de NAW-gegevens van de RDW zijn ntvangen zullen de ptentiele deelnemers een dr RWS getetste wervingsbrief ntvangen. In de brief wrdt vermeld: dat men zich kan aanmelden p een website dat men p die website k kan aangeven dat men niet meer benaderd wil wrden (pt-ut) dat als men niet reageert (en k via de website niet aangeeft dat men niet meer benaderd wil wrden) men mgelijk binnen enkele maanden ngmaals benaderd kan wrden m kennis te nemen van zaken aangaande het mbiliteitsprject danwel te nderzeken waarm men niet heeft willen/kunnen deelnemen. Deelnemers die zich (vervlgens) aanmelden p de prject website, dienen in eerste instantie uitsluitend een e mailadres en kenteken p te gegeven ten beheve van verdere cmmunicatie. Uit deze aanmeldingen wrdt een selectie gemaakt m tt de deelnemersgrep te kmen. Deelnemers die wrden geselecteerd vr deelname dienen in een vlgende fase een uitgebreide set aan persnsgegevens p te geven. Het gaat hierbij nder andere m de vlgende gegevens: pagina 2 van 6

3 Memrandum ARS I Traffic & Transprt Technlgy NAW gegevens Gebrtedatum Werkadres(sen) Telefnnummer prive Telefnnummer zakelijk Telefnnummer mbiel Kentekens van aile persnenaut's geregistreerd p het wnadres Bank/girrekeningnr. De adressen van degenen die niet reageren wrden bewaard gedurende de lptijd van het prject m in een later stadium van het prject ng te kunnen benaderen m redenen van niet-deelname te achterhalen (maximale bewaartermijn, en daarmee maximale termijn dat herinnering kan wrden verznden, is zes (6) maanden). De adressen van aile bij ROW pgevraagde kentekens wrden in eerste instantie aileen gebruikt vr de brieven (uitndigingen). Aanmelders dienen zelf hun adres p te geven bij activering van hun aanmelding. De eerder bij de ROW pgevraagde gegevens wrden niet via de website aan persn en verstrekt. De kentekens van degenen die via de pt-ut mgelijkheid p de website hebben aangegeven niet benaderd te willen wrden, wrden bewaard gedurende de lptijd van het prject. Dit juist m te zrgen dat duidelijk is welke persnen niet meer mgen wrden aangeschreven. Deze kentekens wrden ten allen tijde te wrden verwijderd uit mailingbestanden behrende bij de pref. Deelnemers kunnen te allen tijde de bij het prject geregistreerde persnsgegevens pvragen via de persnlijke inlgcdes die zij bij de aanvang van het prject ntvangen. Bij deze inzage staat k vermeldt via welke stappen de deelnemer deze gegevens kan Iaten actualiseren. Afmelden is vr gendigden, aanmelders en deelnemers te aile tijde mgelijk bij de helpdesk via /telefn. Cntactgegevens van de helpdesk wrden vermeld p de website en in aile cmmunicatie. Afmeldingen wrden binnen enkele dagen verwerkt. Bij afmelding krijgen de persnen de mededeling dat de persnsgegevens wrden bewaard tt het einde van het prject m ngmaals aanschrijven te vrkmen. Deze gegevens wrden vanaf de afmelddatum niet meer meegenmen in verdere (resultaat)analyses. 3.3 Metingen Om de belningsmaatregelen ged te kunnen uitveren is het analyzeren van reisgedrag per deelnemer ndzakelijk. Om te vrkmen dat meetgegevens nndig gekppeld zijn aan persnsgegevens wrdt enkele maatregelen in acht genmen: Meetgegevens wrden p andere systemen verzameld dan daar waar de persnsgegevens p staan pgeslagen. Slechts een samenvatting van de resultaten bij de persnsgegevens bewaard. Het aantal medewerkers en tegangsmgelijkheden die een kppeling tussen de systemen kunnen rnaken is zeer beperkt. 4. Organisatrische maatregelen Met name vr de cmmunicatie met de deelnemers is het ndzakelijk dat persnlijk identificerende gegevens wrden vastgelegd en geraadpleegd. De vlgende cncrete maatregelen wrden genmen dr ARS T& TT met betrekking tt de registratie van en mgang met privacygevelige persnsgegevens binnen de administratieve mgeving van de mbiliteitsprjecten. 4.1 Geheimhuding Aile medewerkers van ARS T&TT die uitverend bij prjecten zijn betrkken hebben een geheimhudingsverklaring getekend bij hun aanstelling. Aanvullend hebben diegenen die uitverend zijn betrkken bij mbiliteitsprjecten expliciet de inhud van dit dcument nderschreven. pagina 3 van 6

4 Memrandum ARS I Traffic & Transprt Technlgy Van nieuwe (tijdelijke) werknemers die enige interactie met meet- f persnsgegeens zullen krijgen wrdt eveneens vereist dat zij een geheimhudingsverklaring tekenen en de richtlijnen van dit dcument naleven. Het niet naleven van de beveiligings f privacy richtlijnen kan wrden bestraft met ntslag p staande vet. 4.2 Verwerking van persnsgegevens De helpdesk heeft.a. in haar primaire takenpakket het nderhuden van de persnsgegevens p aanwijzen van deelnemers. Zij wrdt daarm uitgebreid geinstrueerd in de prcedures die bij deze verwerkingen ndig zijn. Deze prcedures zijn gericht p het crrect naleven van privacy regels en het juist verwerken t.b.v. de prjectdelstellingen. De beheerders zijn verder de enigen met tegang tt persnsgegevens van de deelnemers. Zij stemmen nderling de prcedures af die wrden gebruikt vr analyses en nderhud met daarbij privacy en gegevensbescherming in het achterhfd. 4.3 lnzage in gegevens De deelnemers kunnen te aile tijde de bij ns geregistreerde gegevens inzien via de website van het prject. Zij krijgen daarte bij aanvang van het prject een persnlijke inlgcde. Deze tegang is via SSL beveiligd (zie Technische maatregelen) tegen meelezen dr derden. De pdrachtgever is tegestaan de (persns )gegevens in te zien ten beheve van een financiele audit. Dit kan tt 6 maanden na afsluiting van een belningsmaatregel, aileen bij het kantr van ARS T& TT. De pdrachtgever krijgt geen kpie van de persnsgegevens. lndien ndig wrden slechts geannimiseerde betalings- en belningsgegevens verstrekt. 4.4 Cmputers en randapparatuur Aile PC's, laptps en andere middelen die rechtstreeks tegang kunnen krijgen tt de persnsgegevens meten hebben schermbeveiliging met wachtwrd dat intreed wanneer een systeem nbeheerd wrdt achtergelaten. Lsse gegevensdragers mgen nit en te nimmer persnsgegevens bevatten, anders dan expliciet aangegeven in de Technische maatregelen (bijv. vr backup). 4.5 Vernietiging van gegevens Wanneer, na het aflpen van elke belningsmaatregel, de gegevens niet meer mdig zijn vr resultaat berekeningen, betalingen en cntrles, wrden deze verwijderd uit de systemen. De betreffende databases wrden pgeschnd en er zullen geen persnsgegevens van deelnemers meer in zijn pgeslagen. Ndzakelijkerwijs wrden de gegevens van afgemelde persnen Ianger bewaard zdat deze bij een vlgende fase/tranche/inzet niet pnieuw zullen wrden aangeschreven. De gegevens die p backup medium zijn pgeslagen blijven maximaal een half jaar na het afsluiten van een fase/tranche/inzet pgeslagen, waarna deze eveneens vernietigd wrden. 5. Technische maatregelen Cncrete (technische) beveiligingsmaatregelen ten beheve van eerdergenemde richtlijnen Er zijn 4 gebruikerssrten die met nze technische systemen in aanmerking kmen: anniem, deelnemer, helpdesk, beheerder. Deze zijn als vlgt gedefinieerd: Anniem. Hiernder vallen aile bezekers van de website die niet zijn ingelgd, en medewerkers van betrkken rganisaties (ARS, UB, RWS, etc) die niet nder de andere rllen vallen. Deelnemer. Hiernder vallen aile mensen die gendigd zijn f die zich spntaan hebben aangemeld en vervlgens hebben ingelgd p de website. Helpdesk. Hiernder vallen de medewerkers van de helpdesk die nder verantwrdelijkheid van ARS T& TT de deelnemersvragen beantwrden. Expliciet hierbij uitgeslten zijn helpdeskmedewerkers van andere rganisaties zals de pdrachtgever, RWS, etc. Beheerder. Hiernder vallen de 4 persnen die de verantwrdelijkheid dragen vr de werking van de systemen. pagina 4 van 6

5 Memrandum ARS I Traffic & Transprt Technlgy Er zijn glbaal 5 systemen die gegevens van het prject verwerken: Kentekenmeetsysteem, "in het veld", verzamelt kentekenmetingen langs de weg OBU systeem, "in het veld", verzamelt ritgegevens vanuit het deelnemende vertuig Verzamelsysteem, in een cmmercieel datacentrum, cnslideert meetgegevens van verschillende meetsystemen. Dit systeem wrdt nder auspicien van ARS T&TT beheerd. Analysesysteem, in een cmmercieel datacentrum, verwerkt de meetgegevens tt (tussen)resultaten van het prject Publieksysteem, in een cmmercieel datacentrum, beheert de persnsgegevens en stelt deze met belningsgegevens beschikbaar aan de deelnemer. Dit systeem wrdt dr ARS T&TT beheerd. Het kentekenmeetsysteem bevat aileen lijsten van geregistreerde kentekens met tijd/datum. Deze gegevens wrden niet-versleuteld verzameld en naar het centrale verzamelsysteem verstuurd. Na verzending (gewnlijk m de 30 minuten) wrden de gegevens in het meetsysteem vernietigd. Het OBU systeem verzamelt elke secnde de psitie, rijrichting en snelheid van het vertuig. Deze gegevens wrden eens per minuut, versleuteld, verstuurd naar het verzamelsysteem. Het verzamelsysteem is een set niet-publiekelijk tegankelijke systemen dat de gegevens verzamelt en nderscheid van gegevens bij andere prjecten en stelt deze beschikbaar aan het analysesysteem van het prject. In de servers van het verzamelsysteem wrden geen gegevens gecmbineerd (kentekenmetingen en OBU metingen wrden niet p dezelfde servers ntvangen). Vanaf het analyse systeem wrdt het cmbineren van gegevens mgelijk. Het analysesysteem is een verzameling servers dat de meetgegevens, in cmbinatie met een beperkte set persnsgegevens tt prjectresultaten verwerkt. De publiekelijk tegankelijke systemen (webservers) bevatten aileen de strikt ndzakelijke gegevens die n dig zijn vr deelnemers m het prject te kunnen uitveren. Hiernder vall en: NAW en aanvullende persnsgegevens (hiermee wrdt 'recht p inzage' geregeld) Kentekens die dr de deelnemer zijn pgegeven adres en telefnnummers Belningstussenstand Rittenregistratie samenvatting en details (glbale verzichten en details van individuele ritten) Authenticatiegegevens van deelnemers tbv hun tegang tt de website Tegang tt de publieke servers dr annieme gebruikers, deelnemers en de helpdesk gebeurt via het SSL beveiligde HTTPS prtcl met een certificaat p naam van ARS T& TT en certificeringstraject tt aan een algemeen geaccepteerde Certificatin Authrity. Tegang tt de publieke servers dr beheerders verlpt via SSL-beveiligct~ VPN verbinding. De helpdesk heeft aileen tegang tt de gegevens p de publieke servers via een beperkte interface (CRM). Deze interface is dr de beheerders pgesteld (en wrdt indien ndig uitgebreid) m beheer van de persnsgegevens gerganiseerd en gemnitrd te Iaten plaatsvinden. Rechtstreekse tegang tt de brndata ("de database" is vrbehuden aan de beheerders). Aileen de beheerders hebben ttale tegang tt aile systemen, inclusief de mgelijkheid tt kppelen van persnlijke gegevens aan ruwe meetgegevens. De website heeft ndzakelijkerwijs tegang ndig tt de database met persnsgegevens. Echter de mate van tegang verschilt sterk van het srt gebruiker. "annieme" bezekers hebben aileen tegang ndig tt de algmene infrmatiepagina's en de mgelijkheid tt inlggen, terwijl de helpdesk via het CRM persnsgegevens met kunnen wijzigen. Daarm kent de website 3 rechtenniveau's die aflpend het systeem als vlgt beschermen: Een 'annieme' gebruiker, niet aangemeld, heeft aileen beperkte rechten tt de database zdat wei de HTML webpagina's kunnen wrden pgevraagd en aile gebruik kan wrden gelgd, maar pagina 5 van 6

6 Memrandum ARS J Traffic & Transprt Technlgy geen persnsgegevens kunnen wrden bekeken. Wanneer men inlgt wrdt dit via een interne prcedure geregeld zdat lees-tegang tt de authenticatie gegevens niet ndig is. Wanneer een gebruiker als deelnemer inlgt verzekt de website via een interne database prcedure m een verhgd tegangsniveau. De algemene lees-tegang tt de persnsgegevens wrdt hiermee ntslten. Wanneer een helpdeskmedewerker inlgt wrdt een ng hger tegangsniveau gevraagd via dezelfde interne database prcedure. Hiermee verkrijgt de gebruiker tegang tt het aanpassen van persnsgegevens. Algemene tegang (als zgn 'rt') kan niet aan een web-gebruiker wrden verleend. Deze manier van rechtenbeheer biedt een extra beveiliging tegen hackers (m.n. SQL Injectin) drdat de website zelf niet meer tegang heeft dan dat p dat mment ndig is. Waar rechten een rl spelen wrdt z mgelijk een interne (database) prcedure gebruikt die de tegang verder afschermt. Wachtwrden zijn aileen bekend aan die persnen die deze regelmatig ndig hebben bij uitvering van hun functie binnen dit prject. Uitzndering hierp zijn de beheerwachtwrden die eveneens bekend zijn bij de 2 reservebeheerders. Opslag van wachtwrden tbv authenticatie gebeurt via een MD5 hash als extra beveiliging. De webserver(s) zijn up-t-date qua sftware en anti-virus, en wrden beschermd dr een firewall die tegang vr beheer buiten de standaard HTTP(S) prten uitsluitend verleend via dears T&TT VPN verbinding met het kantr in Leidschendam. Backups van aile systemen wrden autmatisch gemaakt en lkaal pgeslagen. Daar waar mgelijk zal een gelijkbeveiligd systeem als externe backup wrden gebruikt. Een beheerder zal de verige backups eenmaal per week p een mbiel medium pslaan en vervlgens in een afgeslten ruimte bewaren. Backups wrden behandeld als de meest gevelige gegevens en aileen via versleutelde kanalen gekpieerd. Fysieke tegang tt aile machines is vrbehuden aan de afdeling Systeembeheer van ARS T&TT die verder geen uitverende rl heeft binnen dit prject. Vr hen gelden echter dezelfde geheimhudingsrichtlijnen als vr de verige prjectmedewerkers. Tegang tt de server ruimte in het datacentrum is afgeschermd via een persnlijke pas + pasft en wrdt aileen verleend n cntrle dr een beveiligingsmedewerker. Tegang tt de serverkasten zelf is daarbvenp met een sleutel beveiligd. pagina 6 van 6