De GDPR in 10 stappen Stap 4- Vul uw gegevens aan in het Verwerkingsregister 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 1
De GDPR in 10 Stappen Stap 4 Vul uw gegevens aan in het Verwerkingsregister Inleiding In de vrige 3 stappen heeft u een verzicht gemaakt van alle gegevens die u verwerkt, en van de manier waarp u die verwerkt. Die stappen waren echter niet alleen ndig m na te gaan f u persnsgegevens p een crrecte manier verwerkt, ze waren k ndig m te kunnen vlden aan een nieuwe verplichting die de GDPR plegt: het bijhuden van een Register van Verwerkingsactiviteiten. Wat is het Register? Het Register is een puur intern dcument, dat dcumenteert p welke manier u persnsgegevens verwerkt. Het met dus niet penbaar gemaakt wrden, maar bij een eventuele cntrle met u het wel kunnen vrleggen. Daarnaast is het Register k een handig hulpmiddel wanneer iemand vraagt welke gegevens u juist ver hem verwerkt, f vraagt m geschrapt te wrden uit uw bestanden. He met z n Register er uit zien? Het staat u vlledig vrij m zelf te bepalen p welke manier u het Register pmaakt. U met er alleen rekening mee huden dat de vlgende elementen steeds in het Register meten pgenmen wrden: Verplichte vermeldingen Uw naam en cntactgegevens De deleinden van de verwerking Eventueel: [de verwerkingsactiviteiten] [De juridische basis] Een beschrijving van de categrieën van betrkkenen Een beschrijving van de categrieën van persnsgegevens De categrieën van ntvangers ( persnen aan wie gegevens wrden drgegeven) Eventuele drgiften aan derde landen De bewaartermijn van de gegevens De technische en rganisatrische beveiligingsmaatregelen U zal merken dat u de meeste zaken die in het Register meten kmen, al in kaart heeft gebracht in de vrige stappen: In Stap 1 heeft u een verzicht gemaakt van de deleinden van de verwerking, de categrieën van betrkkenen en van de categrieën van persnsgegevens; In Stap 2 heeft u een verzicht gemaakt van de categrieën van ntvangers, de juridische basis waarp u gegevens verwerkt en heeft u een bewaartermijn bepaald vr uw gegevens; In Stap 3 heeft u de technische en rganisatrische beveiligingsmaatregelen in kaart gebracht, en bent u nagegaan f u gegevens drgeeft aan derde landen. 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 2
Op zich kan u dus vlstaan m de infrmatie die u in de vrige drie stappen heeft vergaard, in een Register in te schrijven. U kan echter k gebruik maken van het Mdel dat UNIZO ter beschikking stelt. He vult u dit UNIZO Mdel Register in? Tabblad Algemene Inf Dit tabblad bevat drie klmmen: verwerkingsverantwrdelijke, verwerker en functinaris vr gegevensbescherming. U kan zals gezegd gegevens verwerken als verwerkingsverantwrdelijke f als verwerker. Als u ptreedt als verwerker vr iemand anders, met u daar een afznderlijk register vr bijhuden. U maakt dan één register vr uw activiteiten als verwerkingsverantwrdelijke, en één vr uw activiteiten als verwerker. Treedt u niet p als verwerker vr iemand anders, dan vult u enkel de klm verwerkingsverantwrdelijke in, en laat u de klm verwerker achterwege. De klm functinaris vr gegevensbescherming is enkel ndig wanneer u z n functinaris met aanstellen ( zie verder, stap 9). Vr u zal dat in beginsel niet ndig zijn; u kan deze klm in dat geval weglaten. Register In het Register zelf vindt u per deleinde een tabblad. In elk tabblad zijn de elementen vrzien die vlgens de GDPR zuden meten pgenmen wrden in het Register: 1. [Verwerkingsactiviteit) 2. [Rechtsgrnd] 3. Categrieën betrkkenen 4. Categrieën gegevens 5. Bewaringstermijn 6. Technische en rganisatrische beveiligingsmaatregelen 7. Categrieën ntvangers 8. Drgiften Telichting bij de diverse rubrieken 1. Verwerkingsactiviteit Vlgens de GDPR is het niet verplicht deze rubriek te vrzien. We vrzien de rubriek hier echter tch, mdat het sms handig kan zijn m binnen een bepaald deleinde wat meer in detail te mschrijven welke activiteiten juist plaatsvinden binnen dat deleinde. Het kan immers zijn dat u verschillende rechtsgrnden gebruikt binnen een bepaald deleinde, f gegevens van verschillende srten betrkkenen die gekppeld zijn aan de activiteit. Bijvrbeeld: 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 3
Binnen het deleinde persneelsadministratie zijn er bijvrbeeld (minstens) de vlgende verwerkingsactiviteiten, die elk een eigen juridische grndslag hebben: Evaluatie / pleiding en Vrming Uitbetaling van lnen Cntrle van nline cmmunicatiemiddelen Sllicitantenbeheer Binnen het deleinde Prspecten/ Direct Marketing, zijn er k verschillende activiteiten: Beheer van prspecten Direct marketing naar prspecten Direct marketing naar klanten Dr te werken met verschillende verwerkingsactiviteiten binnen een deleinde, kan u dus in uw Register iets meer in detail gaan. 2. Rechtsgrnd In deze rubriek vegt u vr elke categrie van gegevens de juridische grndslag te die u in Stap 2 bepaald heeft. 3. Categrieën betrkkenen In deze rubriek vegt u het verzicht te dat u in Stap 1 heeft gemaakt van de persnen van en ver wie er persnsgegevens wrden verwerkt (de betrkkenen ). Zals gezegd vlstaat het te werken met algemene categrieën. Bij Klantenbeheer zal dat dus gewn klanten zijn. Bij leveranciersbeheer waarschijnlijk gewn leveranciers. Bij een aantal andere deleinden kan het zijn dat u meerdere categrieën met invullen. Bijvrbeeld: Het deleinde persneelsadministratie zal niet enkel gegevens van werknemers bevatten, maar bijvrbeeld k van sllicitanten f gepensineerde werknemers. Het deleinde Direct Marketing zal zwel klanten als prspecten bevatten ( als u ten minste direct marketing ten aanzien van beiden det) Het deleinde bekhuding zal zwel gegevens van klanten als van leveranciers bevatten 4. Categrieën gegevens In deze rubriek vegt u het verzicht te dat u in Stap 1 heeft gemaakt van de srten persnsgegevens die u binnen elk deleinde verwerkt. Ok hier vlstaat het te werken met algemene categrieën. 5. Bewaringstermijn In deze rubriek vegt u vr elke categrie van gegevens de bewaartermijn te die u in Stap 2 bepaald heeft. Zals gezegd met u minstens de criteria aangeven die wrden gebruikt m die termijn te bepalen. Indien mgelijk, bepaalt u de cncrete bewaartermijn. 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 4
Tip: Vr gegevens die ndig zijn m een vereenkmst uit te veren, zal in de regel een bewaartermijn van 10 jaar na het einde van de vereenkmst gerechtvaardigd kunnen wrden (=cntractuele verjaringstermijn); dit is dan k de bewaartermijn die u vrziet in het deleinde klantenbeheer, en leveranciersbeheer. Kijk dit wel na vr uw situatie: kent de u de juiste verjaringstermijn niet, neem dan geen risic en zeg einde vereenkmst + cntractuele verjaringstermijn ; Gegevens in verband met persneel meten in elk geval minstens 5 jaar na het einde van de arbeidsrelatie bewaard wrden, maar vraag aan uw sciaal secretariaat welke bewaartermijnen in uw geval kunnen gelden; Dcumenten die bewaard wrden binnen het deleinde bekhuding, meten p basis van een wettelijke verplichting 7 jaar bewaard wrden; Gegevens van prspecten hudt u bij tt 5 jaar nadat een prspect heeft aangegeven geen mails meer te willen ntvangen. Uiteraard mag u vanaf dat mment geen mails meer sturen, maar u kan de gegevens wel ng 5 jaar bijhuden ( vr het geval de prspect een vrdering tegen u zu instellen wegens verkeerde verwerking van zijn gegevens). 6. Technische en rganisatrische beveiligingsmaatregelen In deze rubriek vegt u het verzicht van beveiligingsmaatregelen te dat u in Stap 3 heeft gemaakt. Indien u binnen een deleinde ( f verwerkingsactiviteit) gevelige gegevens verwerkt, det u er best aan te mschrijven welke extra beveiligingsmaatregelen u juist neemt in dat verband. 7. Categrieën ntvangers In deze rubriek vegt u het verzicht te dat u in Stap 2 heeft gemaakt van de derde partijen aan wie u gegevens drgeeft ( inclusief de verwerkers ) die u binnen elk deleinde verwerkt. Ok hier vlstaat het te werken met algemene categrieën, en bent u dus niet verplicht elke verwerker afznderlijk te vernemen. In praktijk wil dat zeggen dat u meestal enkel verwerkers met vermelden. 8. Drgiften In deze rubriek vegt u vr elke categrie van gegevens te f u de gegevens drgeeft aan derde landen ( zie stap 3): Geeft u inderdaad gegevens dr aan een derde land ( bijvrbeeld mdat u werkt met een sftwarepakket waarvan de servers in z n derde land staan), dan schrijft u in de subrubriek aard van de drgifte één van de vlgende mgelijkheden: Enkel landen die dr de EU gedgekeurd zijn https://ec.eurpa.eu/inf/law/law-tpic/dataprtectin/data-transfers-utside-eu/adequacy-prtectin-persnal-data-nn-eu-cuntries_en Enkel ndernemingen die vrkmen p de Privacy Shield List Andere ( in dit geval met u een mschrijving tevegen van de passende waarbrgen die werden vrzien) 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 5
Vrbeelden Het is helaas nmgelijk m u een vraf ingevuld register te bezrgen, mdat het register ndzakelijk met wrden pgemaakt p basis van uw specifieke situatie. Omdat we weten dat het invullen van een register geen evidentie is, geven we u hiernder 3 vrbeelden van ingevulde deleinden. Hu er rekening mee dat dit gewn vrbeelden zijn en niet meer dan dat: u mag dit niet gewn cpy-pasten, u met altijd nagaan wat u in uw specifieke situatie det! Klantenbeheer CATEGORIEËN VAN BETROKKENEN Klanten CATEGORIEËN VAN PERSOONSGEGEVENS Persnlijke identificatiegegevens ( naam, adres, telefn, mail) Financiële identificatiegegevens ( bankrekeningnummer) RECHTSGROND Ndzakelijk vr de uitvering van een vereenkmst BEWAARTERMIJN Einde vereenkmst + 10 jaar ( cntractuele aansprakelijkheid) ONTVANGERS Verwerkers DERDE LAND? Neen Enkel landen die dr de EU gedgekeurd zijn https://ec.eurpa.eu/inf/law/law-tpic/dataprtectin/data-transfers-utside-eu/adequacy-prtectin-persnal-data-nn-eu-cuntries_en Enkel ndernemingen die vrkmen p de Privacy Shield List + 10 jaar ( cntractuele aansprakelijkheid) [SCHRAPPEN WAT NIET PAST] BEVEILIGING Zie algemene beveiligingsuiteenzetting (bijlage) OORSPRONG VAN DE GEGEVENS betrkkene zelf 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 6
Prspectenbeheer/Direct Marketing Verwerkingsactiviteit Categrieën van betrkkenen Rechtsgrnd Bewaartermijn Prspectenbeheer Gerechtvaardigd belang m te ndernemen Gerechtvaardigd belang m te ndernemen 5 jaar na verzet van prspect tegen verwerking Direct marketing prspecten Testemming Intrekken testemming Direct marketing klanten Gerechtvaardigd belang m te ndernemen Onmiddellijk na verzet tegen verdere verwerking van zijn gegevens vr direct marketing CATEGORIEËN VAN PERSOONSGEGEVENS Persnlijke identificatiegegevens ( naam, adres, telefn, mail) Andere: ONTVANGERS Verwerkers DERDE LAND? Neen Enkel landen die dr de EU gedgekeurd zijn https://ec.eurpa.eu/inf/law/law-tpic/dataprtectin/data-transfers-utside-eu/adequacy-prtectin-persnal-data-nn-eu-cuntries_en Enkel ndernemingen die vrkmen p de Privacy Shield List + 10 jaar ( cntractuele aansprakelijkheid) [SCHRAPPEN WAT NIET PAST] BEVEILIGING Zie algemene beveiligingsuiteenzetting (bijlage) OORSPRONG VAN DE GEGEVENS betrkkene zelf verkregen dr derden cmmerciële ndernemingen 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 7
VERWERKING 1 : LOONADMINISTRATIE CATEGORIEËN VAN BETROKKENEN Persneelsadministratie Werknemers Gepensineerden Familieleden CATEGORIEËN VAN PERSOONSGEGEVENS Persnlijke identificatiegegevens ( naam, adres, telefn, mail, nummer identiteitskaart) Financiële identificatiegegevens ( bankrekeningnummer) Financiële transacties (betalingen die de persn heeft gedaan f ng met den) Berepsactiviteit ( werkgever, titel, ) Persnlijke bijznderheden ( leeftijd, geslacht, gebrtedatum, gebrteplaats, burgerlijke staat, natinaliteit, ) Samenstelling van het gezin ( naam van de partner, aantal, kinderen, ) Opleiding en vrming GEVOELIGE GEGEVENS: Gegevens van minderjarigen ( naam, geslacht, gebrtedatum, kinderbijslag, ten laste, bijkmende inf) Rijksregisternummer/identificatienummer van de sciale zekerheid BIJZONDERE CATEGORIEËN VAN PERSOONSGEGEVENS Invaliditeit Gezndheidsgegevens ( ziektebriefjes) RECHTSGROND wettelijke verplichting verwerking van bijzndere categrieën van gegevens: artikel 9, 2 e lid, b) Algemene Verrdening Gegevensbescherming CATEGORIEËN VAN ONTVANGERS Overheidsdiensten Verwerkers DERDE LAND? Neen Enkel landen die dr de EU gedgekeurd zijn https://ec.eurpa.eu/inf/law/law-tpic/dataprtectin/data-transfers-utside-eu/adequacy-prtectin-persnal-data-nn-eu-cuntries_en Enkel ndernemingen die vrkmen p de Privacy Shield List + 10 jaar ( cntractuele aansprakelijkheid) [SCHRAPPEN WAT NIET PAST] BEWAARTERMIJN Vanaf het einde van de arbeidsvereenkmst lpt een termijn gelijk aan de wettelijke bewaartermijn f de verjaringstermijn die relevant is vr eventuele rechtsvrderingen. BEVEILIGING Zie algemene beveiligingsuiteenzetting (bijlage) Extra beveiligingsmaatregelen vr gevelige gegevens: 2018 G.T.L. Het is verbden deze dcumenten te vermenigvuldigen f anderzijds te verwerken znder nze testemming. Elke inbreuk zal vervlgd wrden. 8