PRIVACY BELEID EN DATALEKKEN versie 2016

Transcriptie

1 PRIVACY BELEID EN DATALEKKEN versie 2016 Pagina 1 van 5

2 Privacy p schlen van Kiem Dr de tenemende digitalisering wrdt in het nderwijs steeds meer gebruik gemaakt van ICT. En er wrden steeds meer gegevens van leerlingen verzameld. Dat brengt risic's met zich mee. Het bevegd gezag van Kiem is zich bewust van haar verantwrdelijkheid als het gaat m de privacy van leerlingen en medewerkers. Zij gaat daarm zrgvuldig m met leerlinggegevens, gegevens van de medewerkers en de privacy van betrkkenen. Daarbij spelen de schlen van Kiem een belangrijke rl bij de uitvering van de infrmatiebeveiliging. Het bepalen van het privacy beleid Kiem kent reeds het beleidsstuk Dssiervrming en infrmatie-uitwisseling. Zie daarvr de ntitie Schlveiligheidsplan, hfdstuk 6. Te vinden p de website van Kiem; In het schljaar gaat Kiem haar medewerkers expliciet schlen p het gebied van privacy; Kiem heeft het mgaan met ft s, vide s, persnlijke infrmatie en sciale media vastgelegd in een sciale media-prtcl vr leerlingen, leerkrachten en nderwijsndersteunend persneel. Het maken en uitveren van afspraken ver de mgang met privacy Ten aanzien van de beveiliging van gegevens prmt Kiem bij haar werknemers het gebruik van sterke wachtwrden: een wrd van minimaal 8 karakters, met minstens een hfdletter, een leesteken en een cijfer. De firma Heutink beheert de infrastructuur p de schlen en heeft de cmputers zdanig ingericht, dat elk half jaar het wachtwrd met wrden aangepast alvrens men in kan lggen. Deze wachtwrden mgen alleen in brwsers wrden pgeslagen als de cmputer zelf weer met een wachtwrd beveiligd is. Verder zijn de medewerkers erp geattendeerd, dat zij telkens uit met lggen wanneer zij hun psitie achter de mnitr verlaten. Ten aanzien van wat wel en niet is tegestaan met de gegevens van leerlingen maakt Kiem p z krt mgelijke termijn afspraken met de bedrijven leveranciers van digitale (leer)middelen. Kiem legt in het schljaar aan alle bedrijven en rganisaties,.a. uitgevers en ICT-bedrijven, met wie haar schlen gegevens uitwisselen, een zgenemde bewerkersvereenkmst (het privacy cnvenant 1.0 van Kennisnet en de PO-raad) ter ndertekening vr. In deze mdelvereenkmst belven bewerkers van de leerlinggegevens, zals uitgevers en ICT-bedrijven, zrgvuldig m te gaan met gegevens; Ten aanzien van het gebruik van schl- en leerling administratiesystemen (.a. ParnasSys en Qlikview) legt Kiem aan het begin van het schljaar aan de betreffende bedrijven mdelbewerkerscnvenant 2.0 van Kennisnet en de PO-raad ter ndertekening vr. Meldplicht datalekken Op 1 januari 2016 is de meldplicht datalekken ingegaan. Deze meldplicht hudt in dat Kiem nverwijld een melding det bij de Autriteit Persnsgegevens zdra zij een ernstig datalek heeft. En in een aantal gevallen met het datalek k gemeld wrden aan de betrkkenen (de mensen van wie de persnsgegevens zijn gelekt). Het kader Iedereen heeft recht p eerbiediging en bescherming van zijn persnlijke levenssfeer en een zrgvuldige mgang met zijn persnsgegevens. De regels hiervr zijn vastgelegd in de Wet bescherming persnsgegevens (Wbp). Hierin staat dat de persnsgegevens die verwerkt wrden beveiligd meten zijn tegen verlies en tegen nrechtmatige verwerking (artikel 13 Wbp). Een datalek met wrden gemeld aan de Autriteit Persnsgegevens als het leidt tt een aanzienlijke kans p ernstige nadelige gevlgen vr de bescherming van persnsgegevens, f als het ernstige nadelige gevlgen heeft vr de bescherming van persnsgegevens (artikel 34a, eerste lid, Wbp). Het datalek met daarnaast k wrden Pagina 2 van 5

3 gemeld aan de betrkkene indien het waarschijnlijk ngunstige gevlgen zal hebben vr diens persnlijke levenssfeer (artikel 34a, tweede lid, Wbp). Afwegingen Bij de beslissing f een gebeurtenis die zich heeft vrgedaan gemeld met wrden aan de Autriteit Persnsgegevens, en eventueel daarnaast k aan de betrkkene, maakt Kiem een aantal afwegingen. Het nderstaande schema geeft deze afwegingen weer: Datalek Er is alleen sprake van een datalek als zich daadwerkelijk een beveiligingsincident heeft vrgedaan. Bij een beveiligingsincident kan bijvrbeeld gedacht wrden aan het kwijtraken van een USB-stick, de diefstal van een laptp f aan een inbraak dr een hacker; Maar niet ieder beveiligingsincident is k een datalek. Er is sprake van een datalek als er bij het beveiligingsincident persnsgegevens verlren zijn gegaan, f als nrechtmatige verwerking van de persnsgegevens niet redelijkerwijs uitgeslten kan wrden; Als alleen sprake is van een zwakke plek in de beveiliging wrdt gesprken van een beveiligingslek en niet van een datalek. Dan heft geen melding gedaan te wrden aan de Autriteit Persnsgegevens. Melden aan de Autriteit Persnsgegevens Niet ieder datalek heft aan de Autriteit Persnsgegevens gemeld te wrden. Vlgens de wet met een melding gedaan wrden aan de Autriteit Persnsgegevens als het datalek leidt tt een aanzienlijke kans p ernstige nadelige gevlgen vr de bescherming van persnsgegevens, f als het ernstige nadelige gevlgen heeft vr de bescherming van persnsgegevens; Een factr die hierbij een rl speelt is de aard van de gelekte persnsgegevens. Als er persnsgegevens van gevelige aard zijn gelekt, dan is ver het algemeen een melding ndzakelijk. Bij persnsgegevens van gevelige aard met gedacht wrden aan: Bijzndere persnsgegevens zals bedeld in artikel 16 Wbp Het gaat hierbij m persnsgegevens ver iemands gdsdienst f levensvertuiging, ras, plitieke gezindheid, gezndheid, seksuele leven, lidmaatschap van een vakvereniging en m strafrechtelijke persnsgegevens en Pagina 3 van 5

4 persnsgegevens ver nrechtmatig f hinderlijk gedrag in verband met een pgelegd verbd naar aanleiding van dat gedrag. Gegevens ver de financiële f ecnmische situatie van de betrkkene Hiernder vallen bijvrbeeld gegevens ver (prblematische) schulden, salaris- en betalingsgegevens. (Andere) gegevens die kunnen leiden tt stigmatisering f uitsluiting van de betrkkene Hiernder vallen bijvrbeeld gegevens ver gkverslaving, prestaties p schl f werk f relatieprblemen. Gebruikersnamen, wachtwrden en andere inlggegevens De mgelijke gevlgen vr betrkkenen hangen af van de verwerkingen en van de persnsgegevens waar de inlggegevens tegang te geven. Bij de afweging met wrden betrkken dat veel mensen wachtwrden hergebruiken vr verschillende verwerkingen. Gegevens die kunnen wrden misbruikt vr (identiteits)fraude Het gaat hierbij nder meer m bimetrische gegevens, kpieën van identiteitsbewijzen en m het Burgerservicenummer (bsn). Ok andere factren, zals de heveelheid gelekte persnsgegevens per persn f het aantal betrkkenen van wie er persnsgegevens zijn gelekt, kunnen aanleiding zijn m het datalek te melden. Kiem realiseert zich, dat als de aard van de gelekte gegevens daar aanleiding te geeft het mgelijk is dat zij een datalek met melden waar de persnsgegevens van slechts één persn bij betrkken zijn; Kiem det de melding znder nndige vertraging en z mgelijk niet later dan 72 uur na de ntdekking van het datalek. Kiem gebruikt hierbij het webfrmulier dat beschikbaar is p de website van de Autriteit Persnsgegevens. Via dit webfrmulier kan de melding z ndig aangevuld f ingetrkken wrden. Melden aan de betrkkene Als Kiem tt de cnclusie kmt dat een datalek gemeld met wrden aan de Autriteit Persnsgegevens, dan betekent dit niet autmatisch dat dit datalek k gemeld met wrden aan de betrkkene. Hiervr wrdt een aparte afweging gemaakt; De wet geeft aan dat Kiem een melding met den aan de betrkkene als het datalek waarschijnlijk ngunstige gevlgen zal hebben vr diens persnlijke levenssfeer. Betrkkenen kunnen dr het verlies, nrechtmatig gebruik f misbruik in hun belangen wrden geschaad. Daarbij met bijvrbeeld gedacht wrden aan nrechtmatige publicatie, aantasting in eer en gede naam, (identiteits)fraude f discriminatie. Als er persnsgegevens van gevelige aard zijn gelekt, gaat Kiem er in principe van uit dat het datalek niet alleen gemeld met wrden aan de Autriteit Persnsgegevens, maar k aan de betrkkene; De melding van Kiem stelt de betrkkene in staat m alert te zijn p de mgelijke gevlgen van het datalek en m zich daar waar mgelijk tegen te wapenen dr, bijvrbeeld, een gelekt wachtwrd te vervangen. De wet schrijft vr dat Kiem de melding nverwijld met den. Kiem hudt daarbij rekening met het feit dat de betrkkene naar aanleiding van haar melding mgelijk maatregelen met nemen m zich te beschermen tegen de gevlgen van het datalek; Kiem bepaalt per geval f de maatregelen die zij heeft genmen vldende bescherming bieden m de melding aan de betrkkene achterwege te kunnen laten. Duidelijke en transparante cmmunicatie met uders/verzrgers en leerlingen ver de wijze waarp de schlen van Kiem mgaan met privacy Ouders wrden ver het privacy beleid en de uitvering van de meldplicht datalekken geïnfrmeerd in de schlgids, p de website Kiemuden.nl en de betreffende schl f via de nieuwsbrief van de betreffende schl; Pagina 4 van 5

5 Vr de publicatie van ft s, vide s f persnlijke infrmatie van en ver leerlingen (en uders/verzrgers) vragen de schlen van Kiem jaarlijks testemming aan de uders via het nieuwsbulletin van de betreffende schl. Ouders wrden expliciet gevraagd testemming te verlenen; Ok wrdt met uders/verzrgers gecmmuniceerd, dat internet sciale media niet meer weg te denken zijn in nze maatschappij en dus k niet bij iedereen die betrkken is bij schlen. Kiem heeft daarm het mgaan met ft s, vide s, persnlijke infrmatie en internet sciale media in een reglement internet en sciale media p schl vr leerlingen én richtlijnen gebruik sciale media vr haar dcenten en nderwijsndersteunend persneel vastgelegd. De inhud van dit reglement en de richtlijnen zijn terug te vinden p de website Kiemuden.nl en nze schlen; Verder wil Kiem haar leerlingen leren verstandig m te gaan met sciale media. Dit gebeurt p alle schlen tijdens de lessen mediawijsheid. Pagina 5 van 5