BEWERKERSOVEREENKOMST

Transcriptie

1 Bijlage 7 bij de basisovereenkomst tussen Volandis en de arbodiensten inzake het cao-pakket individugerichte preventiezorg BEWERKERSOVEREENKOMST DE ONDERGETEKENDEN De arbodienst «Arbodienst», statutair gevestigd en kantoorhoudende te «postcode_» «woonplaats» aan de «adres», ter zake rechtsgeldig vertegenwoordigd door haar «functie», «titel» «aanhef» «voorletters» «achternaam», hierna te noemen Arbodienst ; en Stichting Volandis, statutair gevestigd en kantoorhoudende te 3847 LG HARDERWIJK, aan de Ceintuurbaan 2, ter zake rechtsgeldig vertegenwoordigd door haar Algemeen Directeur de heer Dr. Ir. T.W.H.J. Hobma, hierna te noemen Volandis ; Hierna ook gezamenlijk aan te duiden als: Partijen ; IN AANMERKING NEMENDE DAT: A. Partijen die een overeenkomst met een looptijd tot en met 31 december 2019 met bijhorende bijlagen zijn aangegaan met betrekking tot activiteiten in het kader van het individugerichte pakket preventiezorg, een en ander zoals nader bepaald in de van toepassing zijnde algemeen verbindend verklaarde cao in de bouwnijverheid (cao Bouw & Infra) en de cao voor de Afbouw (cao Afbouw), hierna: Overeenkomst, en deze dienstverlening verwerking van persoonsgegevens in de zin van de Wet bescherming persoonsgegevens met zich meebrengt; B. Partijen in het kader van de uitvoering van de Overeenkomst afhankelijk van de te verrichten activiteiten als Verantwoordelijke of als (sub-)bewerker kunnen worden gekwalificeerd. De activiteiten en de daarmee samenhangende gegevensstromen staan beschreven in de Uitvoeringsprocedures voor het cao-pakket Individugerichte Preventiezorg en de Bijlage 7 Pagina 1 van 16

2 C. Specificaties informatieverstrekking preventiezorg (bijlagen bij de Overeenkomst). Een beknopt overzicht staat opgenomen in Bijlage A bij deze bewerkersovereenkomst. D. In de vigerende cao Bouw & Infra is vastgelegd dat Volandis in opdracht van cao-partijen uitvoering geeft aan het individugericht pakket preventiezorg (bijlage 11 cao Bouw & Infra). De activiteiten in het kader van dit pakket worden uitgevoerd door gecertificeerde arbodiensten die een samenwerkingsovereenkomst hebben gesloten met Volandis; E. De bedrijfsartsen van de Arbodienst met de personen die gebruik maken van het individugerichte pakket preventiezorg, zoals bedoeld in de op hen van toepassing zijnde cao in de sector bouwnijverheid, rechtstreeks een behandelingsovereenkomst zoals bedoeld in de WGBO aangaan. In deze hoedanigheid is en blijft de bedrijfsarts aan te merken als verantwoordelijke; F. De Arbodiensten en Volandis nadere afspraken omtrent de verwerking van persoonsgegevens wensen vast te leggen in deze bewerkersovereenkomst (hierna: Bewerkersovereenkomst ). VERKLAREN TE ZIJN OVEREENGEKOMEN ALS VOLGT, MET IN ACHTNEMING VAN HET BOVENSTAANDE: Bijlage 7 Pagina 2 van 16

3 1 Definities Voor zover begrippen met een hoofdletter niet afzonderlijk gedefinieerd zijn in deze Bewerkersovereenkomst, gelden de definities zoals genoemd in de Overeenkomst. In deze Bewerkersovereenkomst wordt onder de navolgende begrippen verstaan: Betrokkene : degene op wie een Persoonsgegeven betrekking heeft; Bewerker : degene die ten behoeve van de Verantwoordelijke Persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen; Datalek : een inbreuk op de beveiliging zoals bedoeld in artikel 34a lid 1 Wbp die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen, dan wel die ernstige nadelige gevolgen heeft voor de bescherming van Persoonsgegevens; Derde Meldplicht datalekken : ieder, niet zijnde de Betrokkene, de Verantwoordelijke, de Bewerker, of enig persoon die onder rechtstreeks gezag van de Verantwoordelijke of de Bewerker gemachtigd is om Persoonsgegevens te verwerken; : de verplichting tot het melden van datalekken aan de Autoriteit Persoonsgegevens en (in sommige gevallen) aan Betrokkene, op basis van artikel 34a Wbp; Persoonsgegevens : elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijk persoon; Samenwerkingsovereenkomst : de tussen Partijen gesloten overeenkomst; Verantwoordelijke : de partij die opdracht geeft aan de andere partij tot het verwerken van Persoonsgegevens. Voor zover deze partij het doel en de middelen bepaalt van de verwerking is deze partij Verantwoordelijke in de zin van de Wbp; voor zover deze partij echter de opdracht tot verwerken verstrekt in opdracht van een derde partij die de doel en middelen van de verwerking bepaalt, is deze partij als (hoofd)bewerker aan te merken in de zin van de Wbp; Verwerken : verwerken in de zin van artikel 1 onder b Wbp. Verwerken omvat elke handeling of geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens; Bijlage 7 Pagina 3 van 16

4 Wbp : Wet bescherming persoonsgegevens. 2 Uitvoering Verwerking 2.1 Indien en voor zover de Bewerker onder de Overeenkomst Persoonsgegevens verwerkt in (sub)opdracht van Verantwoordelijke, is het bepaalde in deze Bewerkersovereenkomst daarop van toepassing. 2.2 De Bewerker zal de Persoonsgegevens op behoorlijke en zorgvuldige wijze Verwerken in overeenstemming met de op hem rustende verplichtingen uit deze Bewerkersovereenkomst en de geldende wetgeving ter zake het beschermen van persoonsgegevens. 2.3 De Verwerkingen onder de Overeenkomst hebben betrekking op de typen Persoonsgegevens zoals gespecificeerd in de Uitvoeringsprocedures voor het cao-pakket Individugerichte Preventiezorg en de Specificaties informatieverstrekking preventiezorg ten behoeve van de uitvoering van de Overeenkomst. 2.4 De Bewerker zal zijn medewerking verlenen aan de Verantwoordelijke om betrokkenen in staat te stellen hun rechten op grond van de toepasselijke geldende wetgeving ter zake het beschermen van persoonsgegevens uit te oefenen. 2.5 Onderhavige Bewerkersovereenkomst maakt integraal onderdeel uit van de Overeenkomst en de bepalingen daarin zijn onverkort van toepassing op deze Bewerkersovereenkomst; waarbij in geval van tegenstrijdigheid tussen een bepaling in deze Bewerkersovereenkomst en een bepaling in de Overeenkomst, de bepaling in deze Bewerkersovereenkomst prevaleert boven de bepaling in de Overeenkomst voor zover deze ziet op de verwerking van Persoonsgegevens. Bijlage 7 Pagina 4 van 16

5 3 Beveiliging persoonsgegevens & controle 3.1 Partijen zullen passende technische en organisatorische beveiligingsmaatregelen nemen ter bescherming van de Persoonsgegevens tegen verlies of onrechtmatige verwerking die gezien de huidige stand der techniek, de aard van de Persoonsgegevens en de daarmee samenhangende risico s en risicoklasse een passend beschermingsniveau bieden. 3.2 Partijen verbinden zich jegens elkaar om het niveau van zijn technische en organisatorische maatregelen te handhaven, waar mogelijk te verbeteren en te verfijnen en aan te passen aan de voortschrijdende technologische en maatschappelijke ontwikkelingen. Partijen zullen hiertoe actuele ontwikkelingen volgen en additionele voorzieningen treffen voor zover dat redelijkerwijs kan worden verwacht. 3.3 Bewerker zal de Persoonsgegevens uitsluitend opslaan of anderszins verwerken op een locatie binnen de Europese Economische Ruimte. Bewerker zal de Verantwoordelijke informeren over de plaats(en) van opslag. 3.4 Partijen zorgen voor de benodigde aanpassingen in geval van een wetswijziging in de toepasselijke wetgeving ter bescherming van persoonsgegevens. Een en ander laat het bepaalde in artikel 3.1 en 3.2 onverlet. 3.5 Partijen zullen zo spoedig mogelijk na het (indirect) ontvangen van een bindende aanwijzing van de bevoegde toezichthouder bescherming persoonsgegevens (Autoriteit Persoonsgegevens) tot het treffen van aanpassingen van de organisatorische en beveiligingsmaatregelen ter zake de Persoonsgegevens, of middels een rechterlijke uitspraak die in kracht van gewijsde is gegaan, de benodigde maatregelen treffen om tijdig te voldoen aan de aanwijzing. 3.6 Partijen zijn zich bewust van de zelfstandige controlebevoegdheden van de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder. Partijen zullen hun volledige medewerking verlenen aan een eventueel onderzoek door de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder naar de Verwerking van de Persoonsgegevens. Bijlage 7 Pagina 5 van 16

6 4 Meldplicht datalekken 4.1 De Bewerker zal onmiddellijk na ontdekking of vermoeden van een Datalek, doch binnen 48 uur na ontdekking van het Datalek door de Bewerker, de Verantwoordelijke schriftelijk informeren op het volgende adres (= functionaris gegevensbescherming). Daarbij zal tevens alle relevante informatie worden verstrekt conform het alsdan actuele beleid van de Autoriteit Persoonsgegevens ter zake (een voorbeeld van hetgeen ten tijde van het sluiten van de overeenkomst door de Autoriteit Persoonsgegevens gevraagd wordt, is opgenomen in Bijlage B bij deze Bewerkersovereenkomst). 4.2 De Bewerker houdt een overzicht bij van de (vermoede) Datalekken, diens informatievoorziening ter zake aan de Verantwoordelijke en de door de Bewerker ter zake getroffen maatregelen. 4.3 De Bewerker zal op verzoek van de Verantwoordelijke of de Autoriteit Persoonsgegevens, het overzicht zoals bedoeld in lid 2 van dit artikel aan de Verantwoordelijke dan wel Autoriteit Persoonsgegevens verstrekken. Bijlage 7 Pagina 6 van 16

7 5 Geheimhouding en audit 5.1 De Bewerker is verplicht tot geheimhouding van de te verwerken Persoonsgegevens. Het is de Bewerker niet toegestaan de Persoonsgegevens aan enige derde te tonen, te verstrekken of anderszins ter beschikking te stellen, tenzij dit noodzakelijk is ingevolge de opdracht zoals neergelegd in de Overeenkomst(en) of deze Bewerkersovereenkomst, voortvloeit uit een aanvullende uitdrukkelijke opdracht/instructie van de andere Partij (of de cao-partijen) of uit een wettelijke verplichting. 5.2 De Bewerker draagt ervoor zorg dat een ieder die onder zijn gezag handelt, verplicht is tot geheimhouding van de Persoonsgegevens waarvan hij/zij kennis neemt en handelt conform deze Bewerkersovereenkomst en de geldende wet- en regelgeving waaronder maar niet alleen de Wet bescherming persoonsgegevens. 5.3 Indien de Bewerker op grond van een wettelijke verplichting Persoonsgegevens dient te verstrekken, zal de Bewerker de grondslag van het verzoek en de identiteit van de verzoeker verifiëren en zal de Bewerker de Verantwoordelijke, voorafgaand aan de verstrekking, ter zake informeren, tenzij toepasselijke geldende wet- en regelgeving dit verbiedt. 5.4 Partijen hebben het recht de naleving van deze Bewerkersovereenkomst eenmaal per jaar middels een audit te laten controleren door een daartoe bevoegde instantie. 5.5 Een audit vindt plaats nadat Partijen schriftelijke overeenstemming hebben bereikt over het tijdstip, de bevoegde instantie voor de uitvoering en de omvang van de audit. De kosten van de audit worden gedragen door de Partij die de audit laat uitvoeren. 5.6 Met inachtneming van het bepaalde in dit artikel zullen Partijen hun medewerking verlenen aan een audit en alle voor de audit relevante informatie tijdig ter beschikking stellen op de locatie waar de audit wordt verricht. 5.7 De bevoegde instantie die een audit uitvoert, conformeert zich aan de beveiligingsprocedures zoals die van kracht zijn bij de Partij waar de audit wordt uitgevoerd. 5.8 Een audit mag de bedrijfsactiviteiten van de gecontroleerde Partij niet onnodig verstoren. Bijlage 7 Pagina 7 van 16

8 6 Gebruik sub-bewerkers 6.1 De Bewerker is gerechtigd om in het kader van deze Bewerkersovereenkomst gebruik te maken van diensten van een sub-bewerker binnen de Europese Economische Ruimte. De Bewerker verschaft de Verantwoordelijke een overzicht van diens sub-bewerkers waarin opgenomen de identiteit en vestigingsplaats van de sub-bewerkers en de door de sub-bewerkers uit te voeren Verwerking. De sub-bewerker zal de Persoonsgegevens uitsluitend opslaan of anderszins verwerken op een locatie binnen de Europese Economische Ruimte. Indien de Verantwoordelijke geen toestemming geeft voor de inzet van één of meerdere sub-bewerker(s) dan zal de Bewerker deze sub-bewerker(s) niet inzetten in het kader van de Overeenkomst. Indien de sub-bewerker gevestigd is in een land buiten de Europese Economische Ruimte, mag de Bewerker slechts gebruik maken van dergelijke sub-bewerkers na voorafgaande uitdrukkelijke toestemming daartoe van Verantwoordelijke, welke toestemming Verantwoordelijke niet op onredelijke gronden zal onthouden. Verantwoordelijke heeft het recht aan dergelijke toestemming voorwaarden te verbinden. 6.2 De Bewerker zal aan de door hem ingeschakelde sub-bewerkers verplichtingen met dezelfde strekking opleggen als voor hemzelf uit deze Bewerkersovereenkomst voortvloeien, door met deze sub-bewerker een zelfstandige Bewerkersovereenkomst af te sluiten. Bewerker stelt op eerste verzoek van Verantwoordelijke een kopie van de gemaakte afspraken tussen de Bewerker en sub-bewerker beschikbaar. 6.3 De Bewerker is verantwoordelijk en aansprakelijk voor het handelen en/of nalaten door de door hem ingeschakelde sub-bewerkers. Bijlage 7 Pagina 8 van 16

9 7 Aansprakelijkheid 7.1 Partijen zijn jegens elkaar aansprakelijk voor alle schade wegens het toerekenbaar niet nakomen van verplichtingen welke voortvloeien uit deze Bewerkersovereenkomst. Onder schade wordt uitdrukkelijk verstaan eventuele aan de Verantwoordelijke opgelegde boetes door de Autoriteit Persoonsgegevens voor zover verband houdende met/voortvloeien uit enig aan Bewerker toerekenbaar nalaten of handelen. Bijlage 7 Pagina 9 van 16

10 8 Duur, bewaartermijn en gevolgen beëindiging (bewaartermijn) 8.1 De duur van deze Bewerkersovereenkomst is vanaf datum ondertekening door beide Partijen tenminste gelijk aan de verdere duur van de Overeenkomst, met dien verstande dat de Bewerkersovereenkomst voortduurt zolang de Bewerker feitelijk de Persoonsgegevens onder zich heeft of anderszins verwerkt. Tussentijdse opzegging van deze Bewerkersovereenkomst door (een der) Partijen is onmogelijk. 8.2 Verplichtingen welke naar hun aard bestemd zijn om ook na beëindiging van deze Bewerkersovereenkomst voort te duren, blijven na beëindiging van de Bewerkersovereenkomst gelden. Tot deze bepalingen behoren onder meer die welke voortvloeien uit de bepalingen betreffende geheimhouding, aansprakelijkheid en toepasselijk recht. 8.3 De Bewerker bewaart de Persoonsgegevens niet langer dan noodzakelijk voor de uitvoering van de opdracht onder de Overeenkomst. Voor zover Bewerker bij het einde van de Overeenkomst op grond waarvan de Persoonsgegevens worden verwerkt, nog over Persoonsgegevens beschikt, zal de Bewerker naar uitsluitende keuze van Verantwoordelijke, behoudens een afwijkende dwingendrechtelijke wettelijke verplichting, de Persoonsgegevens zo spoedig mogelijk vernietigen dan wel verwijderen. Hieraan voorafgaande zal Bewerker op verzoek van Verantwoordelijke, voor zover Verantwoordelijke niet zelf over de Persoonsgegevens beschikt, een back-up van de Persoonsgegevens zoals zich op het systeem (onder beheer) van de Bewerker bevinden, verstrekken aan Verantwoordelijke in een alsdan leesbaar standaard gestructureerd formaat op een alsdan gangbaar beveiligd medium. Bijlage 7 Pagina 10 van 16

11 9 Geschillen en toepasselijk recht 9.1 Op deze Bewerkersovereenkomst is Nederlands recht van toepassing. 9.2 Alle geschillen, verband houdende met de uitvoering van deze Bewerkersovereenkomst, zullen worden voorgelegd aan de daartoe bevoegde rechter/arbiter zoals bepaald in de Overeenkomst. Bijlagen: Bijlage A: Samenvatting Uitvoeringsprocedures en Specificaties informatieverstrekking preventiezorg Bijlage B: Informatieverstrekking Meldplicht Aldus opgesteld en getekend : Stichting Volandis te Harderwijk Naam: de heer Dr. Ir. T.W.H.J. Hobma Functie: Algemeen Directeur Datum: 28 april 2017 Handtekening: «Arbodienst» te «woonplaats1» Naam: «aanhef» «titel» «voorletters» «achternaam» Functie: «functie» Datum: Handtekening: Bijlage 7 Pagina 11 van 16

12 Bijlage A Samenvatting Uitvoeringsprocedures en Specificaties informatieverstrekking preventiezorg Volandis is de Verantwoordelijke voor BTER-nummers, de NAW- en tel/mailgegevens van de deelnemers in de cao s die gebruik maken van het cao-pakket individugerichte preventiezorg, de registratie van de uitgevoerde (gedeclareerde) activiteiten voor deze deelnemers, de NAW-gegevens en APG-nummers van de werkgevers in deze cao s, hun keuze van de arbodienst en de keuze van uitvoering middels een jaaropdracht. Op basis van leeftijd en cao-rechten stelt Volandis de opdrachtbestanden samen voor de uitvoering van het arbeidsgezondheidskundig onderzoek door de gecontracteerde arbodiensten. De arbodienst is de Bewerker van de door Volandis aangeleverde opdrachtgegevens voor de uitvoering van het cao-pakket individugerichte preventiezorg. Zij bewerkt de persoonsgegevens van Volandis met informatie van de werkgever, nodigt deelnemers uit, plant de gevraagde activiteiten in, corrigeert gegevens en/of vult deze aan. De bedrijfsarts voegt informatie toe van de PAGOvragenlijst, biometrie, eigen onderzoek (gesprek en lichamelijk onderzoek), diagnose(n), conclusie, advies en het PAGO-rapport. Naast de bedrijfsarts kunnen andere disciplines vervolgactiviteiten uitvoeren. De gegevens daarvan leggen zij vast in het medisch dossier conform de WGBO van de arbodienst. Deelnemers en werkgevers kunnen activiteiten ook zelf bij de arbodienst aanvragen en laten uitvoeren, mits deze passen binnen de cao-afspraken en regelingen. De arbodienst is de Verantwoordelijke voor de door hen gecorrigeerde, aangevulde en verzamelde persoonsgegevens. Volandis ontvangt van de arbodienst de declaratiegegevens en via ZorgTTP geanonimiseerde gegevens. In de Uitvoeringsprocedures voor het cao-pakket individugerichte preventiezorg staat beschreven welke activiteiten de arbodienst als Bewerker moet en/of kan uitvoeren. Dit document bevat daarnaast cao-specifieke voorwaarden en verwijzingen naar professionele richtlijnen. Op hoofdlijnen betreft het onderstaande persoonsgegevens: NAW-gegevens deelnemer: Tel/mailgegevens: Beroep en opleiding: Soort activiteit: Uitgevoerd door: vastleggen of correctie NAW-gegevens vastleggen of correctie telefoonnummers, mailadres vastleggen of correctie van de gegevens code uitgevoerde activiteit(en), waar nodig met tijdregistratie code functionaristype, id-code professional Bijlage 7 Pagina 12 van 16

13 Anamnese: Onderzoeksbevindingen: PAGO-vragenlijst: Biometrie: Lichamelijk onderzoek: Lab-onderzoek Beoordeling en advies: Diagnose(n): Rapportage: Verwijzingen: gespreksverslag bedrijfsarts bevindingen van bijvoorbeeld een werkplekbezoek bij een preventief arbeidsgezondheidskundig onderzoek testresultaten, vastgelegd door de doktersassistent vastleggen bevindingen door de bedrijfsarts bepalen inhoud door bedrijfsarts, vastleggen resultaten vastleggen conclusie(s) en de gegeven adviezen door de bedrijfsarts of een andere discipline (bij een vervolgactiviteit) vastleggen diagnose door bedrijfsarts (codes CAS-CVO en bij een (vermoedelijke) beroepsziekte aanvullende codes) rapport voor de deelnemer, en in bijzondere gevallen met toestemming van de deelnemer aan de werkgever vastlegging verwijzing door de bedrijfsarts, correspondentie In de Specificaties informatieverstrekking preventiezorg staat beschreven welke declaratiegegevens de arbodienst als Verantwoordelijke per specifieke activiteit verstrekt aan Volandis ter controle van de rechtmatigheid op de declaratie. Tevens beschrijft dit document per activiteit de gegevensstroom naar ZorgTTP. Zij verzorgen de laatste stap in anonimisering van deze gegevens naar Volandis. De arbodienst sluit hiervoor een bewerkersovereenkomst met ZorgTTP. Bij een PAGO zijn meer gegevens aan de orde dan bij andere activiteiten. Op hoofdlijnen gaat het om de volgende persoonsgegevens: Arbodienst: Dienstverlener: code arbodienst, datum en soort activiteit code functionaristype, id-code professional Naam deelnemer: Geboortedatum: Geslacht: Adres, woonplaats, tel/mail: Registratienummer (uniek kenmerk): Opleidingsniveau: Beroep: Werkgever: naam (meisjesnaam) geboortedatum man/vrouw woonplaats het BTER-registratienummer van de deelnemer (9 cijfers) code voor de hoogst behaalde opleiding beroepscode (sectortabel) APG-aansluitnummer werkgever PAGO-vragenlijst: de gegeven antwoorden (antwoordcodes, geen tekst) Bijlage 7 Pagina 13 van 16

14 Werkvermogenindex / AO-indicator: getal berekend uit serie PAGO-vragen / kans ongeschiktheid voor het eigen werk Biometrische testresultaten: lengte, gewicht, bloeddruk, hartfrequentie, longfunctie (longinhoud, blaaskracht), gehoor (gehoordrempel bij verschillende toonhoogtes), gezichtsvermogen (veraf en dichtbij), ECG (indicatie afwijkend) Lab-onderzoek: bloedsuiker (HbA1c) en cholesterol (totaal, HDL en ratio) Aanvullend onderzoek: code voor uitgevoerde extra dienst(en) Diagnosen en relatie met werk: diagnose- en oorzaakcodes (CAS-systeem) vastgelegd door de bedrijfsarts, code voor de relatie met werkfactoren Beroepsziekten, ernst: codes oorzaak en ernst van de beroepsziekte (tabellen conform NCvB) Beoordeling arbeidsgeschiktheid: code voor indicatie geschiktheid Sociaal medische begeleiding: code voor soort advisering en/of begeleiding door de arbodienst Bijlage 7 Pagina 14 van 16

15 Bijlage B Informatieverstrekking Meldplicht De Bewerker is gehouden in haar melding aan g.barnhoorn@volandis.nl. (functionaris gegevensbescherming) voor zover mogelijk de volgende gegevens te verstrekken: 1. Een samenvatting van het incident waarbij de inbreuk op de beveiliging van Persoonsgegevens zich heeft voorgedaan. 2. Van hoeveel personen zijn Persoonsgegevens betrokken bij de inbreuk? a. Minimaal: b. Maximaal:.. 3. Omschrijf de groep mensen van wie Persoonsgegevens zijn betrokken bij de inbreuk. 4. Wanneer vond de inbreuk plaats? (Kies een van de volgende opties en vul waar nodig aan) a. Op de volgende datum: b. Tussen de volgende data: c. Nog niet bekend 5. Wat is de aard van de inbreuk? (Meerdere opties mogelijk) a. Persoonsgegevens zijn gelezen door personen die hiertoe geen recht hadden b. Persoonsgegevens zijn gekopieerd door personen die hiertoe geen recht hadden c. Persoonsgegevens zijn veranderd door personen die hiertoe geen recht hadden. d. Persoonsgegevens zijn verwijderd of vernietigd e. Persoonsgegevens zijn gestolen f. Nog niet bekend 6. Om welk type Persoonsgegevens gaat het? (Meerdere opties mogelijk) a. Naam-, adres- en woonplaatsgegevens b. Telefoonnummers c. adressen of andere adressen voor elektronische communicatie d. Toegangs- of identificatiegegevens (bijvoorbeeld inloggegevens, wachtwoorden, klantnummers) e. Financiële gegevens (bijvoorbeeld rekeningnummers, creditcardnummers) f. Burgerservicenummers (BSN) of sofinummers g. Paspoortkopieën of kopieën van andere legitimatiebewijzen h. Geslacht, geboortedatum en/of leeftijd Bijlage 7 Pagina 15 van 16

16 i. Bijzondere Persoonsgegevens (bijvoorbeeld ras, etniciteit, criminele gegevens, politieke overtuiging, vakbondslidmaatschap, religie, seksuele leven, medische gegevens) j. Overige gegevens, namelijk:. 7. Zijn de Persoonsgegevens versleuteld, gehasht of op een andere manier onbegrijpelijk of ontoegankelijk gemaakt voor onbevoegden? (Kies een van de volgende opties en vul waar nodig aan) a. Ja b. Nee c. Deels, namelijk:. 8. Als de Persoonsgegevens geheel of deels onbegrijpelijk of ontoegankelijk zijn gemaakt, op welke manier is dit dan gebeurd? Als gebruik is gemaakt van encryptie, licht dan ook de wijze van versleutelen toe. 9. Welke gevolgen kan de inbreuk hebben voor de persoonlijke levenssfeer van de betrokkenen? (Meerdere opties mogelijk) a. Stigmatisering of uitsluiting b. Schade aan de gezondheid c. Blootstelling aan (identiteits)fraude d. Blootstelling aan spam of phishing e. Anders, namelijk:. 10. Welke technische en organisatorische maatregelen heeft de Bewerker getroffen om de inbreuk aan te pakken en om verdere inbreuken te voorkomen? 11. Heeft de inbreuk betrekking op personen in andere EU-landen? a. Ja b. Nee c. Nog niet bekend 12. Welke persoon kan nadere informatie verstrekken over het datalek? a. Naam: b. Functie: c. adres: d. Telefoonnummer: Bijlage 7 Pagina 16 van 16