MODULE 1 MAPPING EN CLASSIFICATIE. Pix & Evi Privacy Solutions tel: +31 (0)

Transcriptie

1 MODULE 1 MAPPING EN CLASSIFICATIE Pix & Evi Privacy Solutions [email protected] tel: +31 (0)

2 De modules bevatten actiepunten en beleidsvragen. De actiepunten zijn opdrachten voor het projectteam en de antwoorden op de beleidsvragen moeten worden opgeschreven in het model privacy policy document. In deze module gaan we door de verplichtingen van de eerste acht vragen van de Nul (0) meting heen en maken we een begin aan een privacy policy. De privacy policy is een levend document dat met enige regelmaat gecontroleerd en eventueel aangepast moet worden, bijvoorbeeld omdat processen geautomatiseerd worden, nieuwe technische of organisatorische maatregelen worden getroffen of omdat nieuwe producten/diensten nieuwe privacy uitdagingen creëren en daardoor nieuwe oplossingen nodig hebben. In de komende stappen besteden we aandacht aan: De personen van wie de organisatie gegevens verwerkt De bronnen Doelen en grondslag Gegevens en dataminimalisatie Juistheid Dataclassificatie Retentieschema Pix & Evi Privacy Solutions tel: +31 (0)

3 STAP 1. PERSONEN Als eerste gaan we kijken naar van wie persoonsgegevens worden verzameld. Het is belangrijk om te weten van wie je gegevens hebt, bijvoorbeeld om te controleren of je de gegevens nog nodig hebt, of de gegevens correct zijn en om er voor te zorgen dat de personen van wie je gegevens verwerkt hun rechten uit kunnen oefenen. ACTIEPUNT Maak in de model privacy policy een overzicht van alle personen ( betrokkenen ) van wie je gegevens verzamelt. We helpen je alvast een eindje op weg. Denk in ieder geval aan: Categorie: Klanten Categorie: Collega s Categorie: Overig Nieuwe klanten Sollicitanten Leveranciers Klanten Collega s Bezoekers kantoor Ex-klanten Oud-collega s Bezoekers website Eigenaar: Eigenaar: Eigenaar: Sales HR IT/Facilitair Welke afdeling ontvangt de gegevens als eerste of doet het meest met de gegevens? Deze afdeling zou je als eigenaar van die categorie gegevens kunnen aanmerken. Pix & Evi Privacy Solutions [email protected] tel: +31 (0)

4 START JE MINDMAP HIER Pix & Evi Privacy Solutions Ananasstraat SN Den Haag tel: +31 (0) BELEID Omschrijf in de privacy policy van wie jullie persoonsgegevens verzamelen. STAP 2. BRONNEN Weten jullie hoe de persoonsgegevens van al deze betrokkenen voor het eerst bij jullie binnenkomen? Dit kan bijvoorbeeld zijn door het invullen van een formulier, een overeenkomst, een aanmelding voor een nieuwsbrief of een sollicitatie via de mail. De plek waar jullie voor de eerste keer nieuwe gegevens ontvangen van een betrokkene noemen we een bron. ACTIEPUNT 1. Print op A3 formaat de onderstaande mindmap voor iedere betrokkene die jullie in stap 1 hebben bedacht uit. Kortom, negen verschillende betrokkenen betekent negen printjes van de mindmap. 2. Maak met de projectgroep per betrokkene een mindmap van alle bronnen waar vanuit jullie gegevens van deze betrokkene krijgen. 3. Maak een afspraak met verschillende mensen binnen de organisatie die met de gegevens van de verschillende betrokkene werken en controleer samen of alle bronnen in de mindmap staan. Pix & Evi Privacy Solutions [email protected] tel: +31 (0)

5 STAP 3. DOELEN EN GRONDSLAG Persoonsgegevens mogen alleen verwerkt worden voor een duidelijk omschreven doel. Dit noemen we doelbinding. Het doel legt aan de betrokkenen uit waarom jullie hun gegevens willen gebruiken. De betrokkenen moeten voordat hun gegevens worden verwerkt geïnformeerd worden over het doel, zodat ze zelf kunnen bepalen of ze willen dat hun gegevens daarvoor gebruikt worden. De gegevens die voor een bepaald doel worden verzameld mogen niet voor een ander doel gebruikt worden, tenzij de nieuwe verwerking (met nieuw doel) verenigbaar is met het oude doel. Zonder doelbinding zouden betrokkenen het risico lopen dat hun gegevens stiekem ook voor andere doelen worden gebruikt, zonder dat ze daarvan op de hoogte zijn en zonder dat ze kunnen bepalen of ze willen dat hun gegevens voor een ander doel worden gebruikt. ACTIEPUNT Vul de bronnen aan met de doelen waarom jullie de gegevens van de betrokkene nodig hebben. Hierin leg je uit waarom je de gegevens nodig hebt. Bijvoorbeeld, om de arbeidsovereenkomst uit te kunnen voeren, of om de overeenkomst met de klant uit te kunnen voeren. Voor het gemak hebben we hieronder alvast een aantal standaard doelen op een rij gezet. Er kunnen nog veel meer doelen zijn, maar dit geeft alvast wat houvast. Aangaan van overeenkomst Uitvoer van een overeenkomst Marketing (bijvoorbeeld opstellen van aanbiedingen, de voorbereiding van offertes) Pix & Evi Privacy Solutions tel: +31 (0)

6 Bewijs van aangegane verplichtingen Aanpassen overeenkomst (bijvoorbeeld voor diensten en producten of verhuizingen) Opstellen van managementinformatie Crediteuren- en debiteurencontrole en accountantscontrole Behandelen van geschillen, vragen en klachten. Verrichten van (terug)betalingen Sollicitaties (aangaan arbeidsovereenkomst) Uitvoer van een arbeidsovereenkomst Uitvoer personeelsbeleid waaronder de salarisadministratie en de behandeling van geschillen. Activiteiten in het kader van pensioenvoorziening. Verwerkingen voor het opstellen van HR managementinformatie. Het voldoen aan wettelijke verplichtingen Voldoen aan (overige) in- en externe regelingen. Beheersactiviteiten (gebruik en controle): documentbeheer, netwerksystemen, computersystemen, communicatieapparatuur en toegangsregistratie. Versturen nieuwsbrief Analyses Productontwikkeling Beveiliging pand Om rechtmatig persoonsgegevens te verwerken, moet dit gebeuren op basis van een juridische grondslag. Er zijn zes gronden, namelijk: Toestemming Uitvoer van een overeenkomst Wettelijke verplichting Vitaal belang Uitvoer openbaar gezag (algemeen belang) Belangenafweging Pix & Evi Privacy Solutions tel: +31 (0)

7 BELEID Omschrijf in de privacy policy per categorie betrokkenen waarom jullie de persoonsgegevens gebruiken (de doelen) en op basis van welke grondslag jullie dit doen. STAP 4. GEGEVENS EN DATAMINIMALISATIE Het is belangrijk om in kaart te brengen welke gegevens er per doel worden verzameld, bijvoorbeeld om te bepalen of de organisatie niet te veel gegevens verzamelt en om gemakkelijker te voldoen aan het recht op inzage of dataportabiliteit. ACTIEPUNT Vul de bronnen in de mindmaps aan met alle gegevens die jullie per bron van de betrokkene ontvangen. Het is de bedoeling dat een organisatie niet meer gegevens van een betrokkene vraagt dan noodzakelijk is. Dit noemen we dataminimalisatie. ACTIEPUNT Ga met de projectgroep per bron na of de doelen die in kaart gebracht zijn eventueel ook met minder gegevens behaald kunnen worden. Als bepaalde doelen met minder gegevens behaald kunnen worden, dan mogen de gegevens die niet (meer) nodig zijn ook niet meer gebruikt worden. Pix & Evi Privacy Solutions tel: +31 (0)

8 BELEID Hoe zorgen jullie er binnen de organisatie voor dat er niet meer gegevens worden verwerkt dan nodig is? Als er toch te veel gegevens zijn verzameld, hoe gaan jullie om met de gegevens die eigenlijk niet nodig zijn? Hier zal per categorie betrokkene een proces voor nodig zijn en een stuk bewustwording in de organisatie. Het is belangrijk dat dit proces regelmatig wordt gecontroleerd. Omschrijf in de privacy policy hoe de organisatie ervoor zorgt dat: er niet meer gegevens worden verwerkt dan noodzakelijk is; wat er met gegevens wordt gedaan die niet (meer) nodig zijn; de bewustwording voor dataminimalisatie wordt vergroot; en wie en hoe dit gecontroleerd wordt. Pix & Evi Privacy Solutions tel: +31 (0)

9 STAP 5. JUISTHEID Volgens de AVG moeten de gegevens die we van mensen verzamelen kloppen. Bijvoorbeeld om te voorkomen dat er brieven met gevoelige gegevens naar een oud adres gaan en door de nieuwe bewoner per ongeluk worden ingezien. BELEID Hoe zorgen jullie ervoor dat de gegevens die jullie verzamelen (blijven) kloppen? Beschrijf in de privacy policy hoe jullie (per categorie betrokkene) regelmatig controleren dat de gegevens nog kloppen. STAP 6. DATACLASSIFICATIE Maken jullie onderscheid tussen verschillende soorten persoonsgegevens? Vanuit de wet zijn er twee soorten: Gewone persoonsgegevens en bijzondere persoonsgegevens. Vanuit de praktijk is er ook een derde categorie, namelijk gevoelige persoonsgegevens. Voor ieder type persoonsgegeven moeten passende maatregelen genomen worden, bijvoorbeeld voor de beveiliging. Hoe gevoeliger de gegevens, hoe meer beschermingsmaatregelen. Daarom is het van belang om in de verschillende type gegevens te classificeren. ACTIEPUNT Voor het gemak hebben we een standaard classificatie toegevoegd. Vul dit overzicht met de projectgroep aan. Pix & Evi Privacy Solutions tel: +31 (0)

10 C1 Persoonsgegevens Naam Straatnaam en huisnummer Postcode Woonplaats Telefoonnummer adres IP-adres Klantnummer Geboortedatum C2 Gevoelige persoonsgegevens Bankrekeningnummer Betalingsachterstanden Betalingsgeschiedenis Beoordelingen Gegevens over kinderen en overige kwetsbare groepen Locatiegegevens Surfgedrag C3 Bijzondere persoonsgegevens Ras (Etnische afkomst) Politieke opvatting Religieuze of levensbeschouwelijke overtuiging Lidmaatschap vakbond Genetische gegevens Biometrische gegevens Medische gegevens Seksueel gedrag en/of seksuele voorkeur Pix & Evi Privacy Solutions tel: +31 (0)

11 Het gebruik van bijzondere persoonsgegevens is verboden, tenzij er een wettelijke basis voor is. Bijzondere persoonsgegevens mogen alleen worden verwerkt als: De betrokkene uitdrukkelijk toestemming heeft gegeven; Dat noodzakelijk is op het gebied van het arbeids-, socialezekerheids- of socialebeschermingsrecht; Noodzakelijk is ter bescherming van de vitale belangen van de betrokkene; De verwerking wordt verricht door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied actief is; alleen voor 1. de activiteiten van de instantie, 2. als er passende technische en organisatorische maatregelen getroffen worden en 3. de verwerking uitsluitend betrekking heeft op de leden, de voormalige leden van de instantie of op personen die regelmatig contact met haar onderhouden, en 4. de persoonsgegevens niet zonder de toestemming van de betrokkenen buiten die instantie worden verstrekt. De betrokkene de gegevens zelf al duidelijk openbaar heeft gemaakt; Als de verwerking noodzakelijk is voor het vaststellen, het uitoefenen of het verdedigen van een recht in een gerechtelijke procedure; Noodzakelijk is om redenen van zwaarwegend algemeen belang; Noodzakelijk is binnen de geneeskunde / gezondheidszorg of sociale diensten; Noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid; zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen. Noodzakelijk is voor archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden Pix & Evi Privacy Solutions [email protected] tel: +31 (0)

12 Ook persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten mogen niet zomaar worden verzameld. Deze gegevens mogen alleen worden verwerkt onder toezicht van de overheid of, indien toegestaan, op basis van een wettelijke bepaling. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid. BELEID Gebruiken jullie bijzondere persoonsgegevens? Omschrijf in de privacy policy per categorie betrokkene wat de wettelijke basis voor het gebruik is en voor welk doel jullie de bijzondere gegevens gebruiken. STAP 7. RETENTIESCHEMA Persoonsgegevens mogen niet langer worden opgeslagen dan noodzakelijk is voor het doel waarvoor ze gebruikt worden. Er is dus een zogenaamde opslagbeperking. De organisatie moet per afdeling die met persoonsgegevens werkt een overzicht hebben waarin aangegeven wordt hoe lang gegevens worden bewaard. ACTIEPUNT Laat iedere afdeling die persoonsgegevens verwerkt een eigen retentieschema maken. Voor het gemak hebben we hieronder een voorbeeld geplaatst van een retentieschema. Pix & Evi Privacy Solutions tel: +31 (0)

13 BELEID Hoe zorgen jullie ervoor dat de gegevens ook echt na de opslagtermijn verwijderd worden? Beschrijf in de privacy policy hoe het retentieschema werkt en hoe jullie controleren dat de gegevens na de opslagtermijn verwijderd worden. Jullie zijn nu klaar met de inhoudelijke stappen van module 1. Mapping en Classificatie. Bekijk de aanpassingen die jullie in de privacy policy hebben gemaakt en bepaal of er nog aanvullingen of aanpassingen nodig zijn. Pix & Evi Privacy Solutions tel: +31 (0)

14 Bestand: Persoonsgegevens? Type gegevens? Bewaartermijn? Hoe opgeslagen? Waar opgeslagen? Eigenaar? Voorbeelden Zijn het gegevens C1,2 of 3 Standaard is Digitaal of op In een kast die direct of indirect gegevens. 7 jaar. Indien papier of in een tot een natuurlijk Zet op een je afwijkt, geef applicatie? persoon te herleiden rijtje welke daar een reden Staat de zijn? gegevens voor. applicatie in in het de Cloud of op document een computer staan. in huis? Log gegevens toegangspasjes werknemers Camerabeelden Curriculum Vitaes Arbeidsovereenkomsten Sharepoint Kopie paspoort Salarisstroken Gegevens leveranciers Log gegevens website Pix & Evi Privacy Solutions [email protected] tel: +31 (0)