Archief voor categorie: Algemeen

Een mooie dag om de kennis over de AVG weer even op te frissen. Vraag: Met bijzondere persoonsgegevens moeten we extra voorzichtig zijn: ….Is het BSN nummer een bijzonder persoonsgegeven, ja of nee? #AVG #informatiebeveiliging #ISO27001 #NEN7510

Antwoord:

Het burgerservicenummer (BSN) is een persoonsnummer dat in de eerste plaats bedoeld is voor het contact tussen burgers en de overheid. Organisaties buiten de overheid mogen het BSN alleen gebruiken als dat wettelijk is bepaald. Dit geldt bijvoorbeeld voor zorgverleners, zoals huisartsen, apotheken en zorgverzekeraars. Ook in het onderwijs wordt het BSN gebruikt. Hier heet het ook wel onderwijsnummer of persoonsgebonden nummer.

Privacyrisico’s

Met het BSN kan gemakkelijk een koppeling worden gemaakt tussen informatie uit verschillende bestanden. Onzorgvuldig gebruik van het BSN brengt daarom privacyrisico’s met zich mee. Bijvoorbeeld misbruik van persoonsgegevens en identiteitsfraude.

Identificatienummer

Een nummer dat bij wet is voorgeschreven om een persoon te identificeren, mag alleen worden gebruikt voor de uitvoering van die wet. Of voor doeleinden die in de wet staan. Dat staat in artikel 46 van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG).

Het BSN is zo’n identificatienummer. Organisaties kunnen het verbod om het BSN te gebruiken niet doorbreken door toestemming aan mensen te vragen voor het gebruik van hun BSN

Meer weten over voldoen aan de AVG? stuur ons een bericht!

Rotterdam , 2 november 2019 – Het incident was al een van de grootste lekken bij een financiële instelling ooit. In juni 2019 was al bekend dat het ging om onder meer de naam, adres, geboortedatum en informatie over uitgaven die de klanten hebben gedaan. Wachtwoorden en pin-gegevens zijn echter niet buitgemaakt, stelde Desjardins. De ontwikkeling in de zaak is reden voor de overheid van de provincie Quebec om stappen te zetten om security en de bescherming van persoonlijke gegevens beter te laten beschermen, schrijft Reuters.

De gegevens waren meegenomen door een werknemer van Desjardins, die ze heeft expres op straat heeft doen belanden. De Canadese politie heeft deze inmiddels ex-medewerker weten op te pakken. Volgens Canadese media s de politie de zaak nog aan het onderzoeken.

Het gaat hier niet om een digitale aanval. De president van Desjardins vertelde in juni dat de medewerker op de data-afdeling werkte, maar niet toegang had tot alle data die buitgemaakt was. Hij zou het vertrouwen van collega’s hebben gewonnen en hun toegang hebben gebruikt om de gegevens te verzamelen en mee te nemen.

Het merendeel (77%) van het midden- en kleinbedrijf vindt dat de overheidsvoorlichting over de nieuwe privacywetgeving slecht is. Dat blijkt uit een peiling van MKB Nederland onder 2800 MKB-bedrijven. Ondernemers lijken door de bomen het bos niet meer te zien, maar de wet gaat wel op 26 mei in.

Wat staat u te wachten?

De overheid is erg lang zoekende geweest wat de AVG / GDPR betreft. Vooral de rol van de Autoriteit Persoonsgegevens als handhaver was lang onduidelijk. Kanttekening is wel dat zij als onafhankelijk orgaan haar taak uitoefent met een bezetting van slechts 140 medewerkers. De tijd dringt echter, omdat alle organisaties in Nederland na 26 mei aan de nieuwe wet moet voldoen.

Autoriteit Persoonsgegevens klaar voor 26 mei?

De Autoriteit Persoonsgegevens lijkt nu nog niet bij machte om gedegen privacy-dossiers op te bouwen. Laat staan om privacy-inbreuken te onderzoeken en de AVG / GDPR strikt te handhaven. Aangezien dit zelfstandig bestuursorgaan nog niet klaar is voor de deadline van 26 mei, is zij waarschijnlijk terughoudend met het uitdelen van boetes.

Meer privacy guidance vanuit de overheid

Recentelijk heeft de privacy-autoriteit zich hierover uitgelaten(!). Men neemt zich voor om na 26 mei de klachten van burgers niet direct te juridiseren. Bij het vaststellen van een AVG / GDPR – overtreding geeft de Autoriteit Persoonsgegevens uitleg aan de betreffende organisatie en gaat bemiddelen tussen partijen. Daarmee wil de toezichthouder vervelende juridische trajecten voorkomen.

Tegelijkertijd is het wenselijk dat het bedrijfsleven goede richtlijnen krijgt. En ook dat de privacy waakhond brancheverenigingen faciliteert en voorlicht. Ondernemers – en businessclubs organiseren nu veel bijeenkomsten op eigen initiatief. Ondertussen kijken de Autoriteit Persoonsgegevens en brancheverenigingen elkaar afwachtend aan.

Meer harmonie in Europees verband

De nieuwe Europese wet wordt straks in alle lidstaten op gelijke wijze toegepast. Daarvoor moeten de lidstaten wel met elkaar harmoniseren.  Wordt een sanctie en daaropvolgende boete op dezelfde wijze in Helsinki behandeld als in Sevilla? Europa heeft daar wel ideeën over, zoals ik eerder schreef in AVG / GDPR-boete: feit, fictie en nuance? Ook dat heeft tijd nodig.

Bent u nu te laat voor de AVG / GDPR?

Of u te laat bent voor de AVG / GDPR hangt er vanaf… De Autoriteit Persoonsgegevens pleit er voor dat als eerste de informatiebeveiliging van uw organisatie op orde is. Let op, ze vinden dat één van de basics!

Safesecur Group zit bovenop de ontwikkelingen en voert regelmatig ISO 27001 certificeringstrajecten en AVG / GDPR quick-scans uit. Het resultaat van zo’n scan is een prioriteitenlijst. Hierop staan alle ‘aan-te-pakken’ risico’s op gebied van informatiebeveiliging, datalekken of mogelijke privacy-inbreuken.

Wanneer u de volgende zaken op orde heeft, dan bent u al goed op weg:

1. Maak uw informatiebeveiliging aantoonbaar op orde, bijvoorbeeld door een ISO 27001 certificeringstraject
2. Maak uzelf en uw organisatie privacy-bewust (awareness traject)
3. Informeer uw klanten en wijs op hun privacy-rechten
4. Maak een overzicht van hoe u persoonsgegevens verwerkt (verwerkingsregister)
5. Maak een Data Privacy Impact Assessment (DPIA)
6. Zorg ervoor dat uw producten en diensten rekening houden met privacy
7. Onderzoek of u een functionaris gegevensbescherming nodig heeft
8. Documenteer datalekken
9. Zorg voor een verwerkersovereenkomst
10. Zorg eventueel voor toestemming voor het verwerken van gegevens

Benieuwd welke risico’s u over het hoofd ziet? Ik sta u graag persoonlijk te woord op 06-10961847.

(Gepubliceerd in de april 2018 editie van Port Security Center)

Europa staat aan de vooravond van een omvangrijke herinrichting van de privacywetgeving. De Europese privacyrichtlijn en de daar op gebaseerde Wet Bescherming Persoonsgegevens worden per 25 mei 2018 ingetrokken. Vanaf dan zal de Algemene Verordening Gegevensbescherming (AVG / GDPR) gelden. Dit heeft grote gevolgen voor het bedrijfsleven.

De komst van de AVG / GDPR leidt voor alle havenbedrijven tot dezelfde problematiek. Wat mag nog wel en wat niet meer? Daarom geeft Port Security Center u in samenwerking met experts terzake graag een aantal praktische tips. Omdat in onze havens aardig wat camera’s hangen die al onze bewegingen registreren, gaan we in deze editie i.s.m. onze partner Safesecur Group BV in op cameratoezicht.

Cameratoezicht onder de AVG: wat mag wel en wat mag niet?

Camera’s worden gebruikt om personen en eigendommen te beschermen. Medewerkers en bezoekers moeten wel weten dat er een camera hangt. Bijvoorbeeld door bordjes op te hangen. Camerabeelden mogen niet langer worden bewaard dan nodig; 4 weken is de maatstaf. Maar is er een incident vastgelegd, zoals diefstal? Dan mag u de betreffende beelden bewaren totdat het incident is afgehandeld.

Cameratoezicht kan helpen tegen diefstal of beschadiging van eigendommen. Maar de inbreuk op de privacy van medewerkers en bezoekers is groot. Organisaties moeten daarom zorgvuldig met cameratoezicht omgaan. Daarom mag je alleen camera’s ophangen, als je aan een aantal voorwaarden voldoet.

1. De werkgever moet een zogeheten gerechtvaardigd belang hebben voor het cameratoezicht. Bijvoorbeeld diefstal tegengaan, of werknemers en bezoekers beschermen.
2. Daarnaast moet het cameratoezicht noodzakelijk zijn. Dat wil zeggen dat het doel – bijvoorbeeld fraudebestrijding – niet op een andere manier kan worden bereikt. Is er een andere mogelijkheid, die minder ingrijpend is voor de privacy? Dan geniet die de voorkeur.
3. Bovendien moet eerst een privacy-toets worden uitgevoerd. Dit betekent dat de organisatie de belangen en rechten van de werknemers en bezoekers afweegt tegen haar eigen belang.
4. De inbreuk op de privacy moet verder zo klein mogelijk zijn. Een camera in een toilet gaat bijvoorbeeld te ver.
5. Verder mag de camera geen geluidsopnamen maken. Dat is voor het doel namelijk niet nodig.
6. Ook mag het cameratoezicht niet op zichzelf staan. Het moet onderdeel zijn van een totaalpakket aan beveiligingsmaatregelen.
7. Tenslotte moet de ondernemingsraad goedkeuring geven.

Door de volgende 5 stappen te zetten, kun je aantoonbaar maken dat je, ook voor cameratoezicht, voldoet aan de Algemene Verordening Gegevensbescherming:

1. Voer een compliance check uit naar de mate waarin cameratoezicht voldoet aan de AVG / GDPR en pak de zaken aan die nog niet compliant zijn.
2. Voer een Privacy Impact Assessment uit naar de wijze waarop cameratoezicht binnen de organisatie wordt ingezet en hou je aan alles wat je daarin hebt aangegeven.
3. Stel een camerareglement op waarin alle informatie omtrent het camerasysteem wordt vastgelegd en laat deze goedkeuren door de Ondernemingsraad.
4. Zorg voor verwerkersovereenkomsten met alle externe partijen die betrokken zijn bij het cameratoezicht en controleer of alle partijen zich daaraan houden.
5. Zorg dat de Functionaris Gegevensbescherming weet dat cameratoezicht valt onder de AVG en betrek hem/haar bij de bovenstaande acties.

Marc van der Zandt is algemeen directeur van de Safesecur Group BV – beveiligingsadviseurs gevestigd in het World Trade Center te Rotterdam. Safesecur Group BV is gespecialiseerd in objectbeveiliging, informatiebeveiliging en de beveiliging van persoonsgegevens conform de nieuwe privacywetgeving AVG / GDPR. 

Naleving van de AVG/GDPR versterkt uw marktpositie en maakt u een betrouwbare partner. Voor opdrachtgevers geeft het een veilig gevoel dat u professioneel omgaat met vertrouwelijke informatie. De AVG/GDPR verdiept daarmee uw klantrelatie.

Toon aan dat u de privacy van uw zakelijke relaties serieus neemt, dat wekt vertrouwen op. Het onderscheidt u en verbetert uw concurrentiepositie. Uw opdrachtgever zal het van u verlangen. Juist in ‘aanbestedingsraces’ merkt u hoe belangrijk het is om compliant te zijn met wet- en regelgeving.

Betere werknemersrelatie met AVG/GDPR

Die voorsprong geldt niet alleen voor een lead, prospect of opdrachtgever. Het is ook van toepassing op andere belanghebbenden. Uw medewerkers vinden het belangrijk om te weten dat privacygevoelige informatie niet zomaar op straat komt te liggen (denk aan de USB met salarisgegevens). Uw medewerker voelt zich prettiger in een organisatie waarin goed voor de eigen privacy wordt gezorgd. Het behouden van medewerkers is belangrijk voor de relatie met uw klant.

Vooroplopen met AVG/GDPR

Dit tijdperk daagt u uit om bewust te zijn van de risico’s rondom privacygevoelige informatie. Wij merken dat organisaties willen weten waar ze staan. Daarom doen wij een exclusieve aanbieding. Tijdens een AVG/GDPR-scan zorgen we ervoor dat u inzicht krijgt in data- en privacy-risico’s die u vandaag loopt.

Eindresultaat van de scan is een actielijst met prioriteiten en formats waarmee u aan de slag gaat! U weet hoe u er voor staat en wat u moet doen om de privacyrisico’s te reduceren en boetes te verminderen. Uit onderzoek blijkt dat de meesten van uw concurrenten nog niet AVG/GDPR compliant zijn. Wilt u op hen voorlopen en uw klantrelatie verdiepen, neem dan contact met ons op.

Is een ISO 27001-certficering voldoende voor AVG/GDPR compliance? Dat leest u de volgende keer.

Safesecur Group BV adviseert organisaties over objectbeveiliging, informatiebeveiliging en AVG/GDPR compliance. Certificerende instellingen maken gebruik van onze consultants om ze in te zetten als geaccrediteerd Lead Auditor voor certificeringen en trainingen (ISO 9001, ISO 27001, ISO 22301).