Privacy

Algemene Verordening Gegevensbescherming (AVG) privacyreglement Vocis

AVG

Als gevolg van de inwerkingtreding van de Algemene Verordening Gegevensbescherming op 25 mei 2018, heeft Vocis meer verplichtingen en verantwoordelijkheden gekregen voor de bewaring en bescherming van persoonsgegevens van onder andere cliënten en personeelsleden. De rechten van deze betrokken individuen dienen overzichtelijk uiteen gezet te zijn. Om deze reden is dit document opgesteld, wat dit overzicht in tien stappen weet te bieden.

De 10 stappen

De Autoriteit Persoonsgegevens (AP) is belast met het toezicht op de naleving van de wettelijke voorschriften met betrekking tot de bescherming van persoonsgegevens. Daarnaast omvatten de belangrijkste taken van de AP het verstrekken van advies over nieuwe wet- en regelgeving, het verstrekken van voorlichting over de privacywetgeving en het vervullen van internationale verantwoordelijkheden. De Autoriteit Persoonsgegevens heeft in tien simpele, maar uitgebreide stappen weergegeven hoe wij ons bedrijf zo kunnen inrichten dat wij voldoen aan de AVG.

Stap 1: Bewustwording

Alle personeelsleden van Vocis die betrokken zijn bij de verwerking van persoonsgegevens dienen zich bewust te zijn van de nieuwe privacyregels die van toepassing zullen worden. Bij het verwerken van persoonsgegevens wordt verwacht dat zij de volgende vragen stellen:

• Is het noodzakelijk om deze gegevens te gebruiken?
• Beschik ik over de juiste autorisatie om deze gegevens te verkrijgen?
• Wat is het specifieke doel van het gebruik van deze gegevens en blijft dat doel consistent?
• Op welk moment moeten deze gegevens worden verwijderd? Indien het doel is bereikt, dienen de gegevens onmiddellijk te worden verwijderd, tenzij wettelijke voorschriften dit verhinderen.
• Mag ik deze gegevens delen met een andere partij dan de potentiële cliënt of cliënt? Heb ik expliciete schriftelijke toestemming ontvangen?
• Beschik ik over de juiste adresgegevens van de betreffende persoon aan wie ik deze persoonsgegevens zal versturen?
• Is het verwerkingsregister bijgewerkt met de nieuwe verwerkingshandelingen?

Indien er twijfel ontstaat bij een van deze vragen, dienen medewerkers extra stappen te ondernemen om ervoor te zorgen dat de verwerking van persoonsgegevens in overeenstemming is met de geldende wet- en regelgeving. Hiervoor mag contact gezocht worden met juridisch medewerker.

Stap 2: Rechten van betrokkene

De betrokkenen verkrijgen uitgebreidere rechten met betrekking tot hun persoonsgegevens. Onze organisatie is zodanig georganiseerd dat zij volledig gebruik kunnen maken van deze rechten. De betrokkenen behouden hun recht op inzage, recht op correctie en recht op verwijdering van hun gegevens. Bovendien hebben zij recht op dataportabiliteit, wat betekent dat zij hun gegevens eenvoudig kunnen opvragen en overdragen aan een andere organisatie indien gewenst. Hiervoor bestaan speciale formulieren die bij de administratie opgevraagd kunnen worden. Daarnaast hebben betrokkenen het recht om klachten in te dienen bij de Autoriteit Persoonsgegevens.

Stap 3: Overzicht verwerking

De gegevens die door onze organisatie worden verwerkt, worden zorgvuldig bijgehouden in een register van verwerkingsactiviteiten. Dit register bevat informatie over welke persoonsgegevens worden verwerkt en met welk doel, de herkomst van deze gegevens en met wie ze worden gedeeld door onze organisatie. Het bijhouden van dit register vormt een verantwoordingsplicht van Vocis jegens de betrokkenen. Tevens kan dit register noodzakelijk zijn wanneer betrokkenen gebruik willen maken van hun recht op correctie of verwijdering van gegevens. Indien een verzoek tot wijziging of verwijdering wordt ingediend, zorgen wij ervoor dat deze wijzigingen ook worden doorgegeven aan andere organisaties aan wie wij deze gegevens hebben verstrekt.

Stap 4: Data Protection Impact Assessment

Onder de AVG zijn wij verplicht een Data Protection Impact Assessment uit te voeren om voorafgaand de risico’s van een gegevensverwerking in kaart te brengen en maatregelen hiervoor te treffen. Komt er een hoog risico uit het assessment, dan moeten wij dit melden bij de Autoriteit Persoonsgegevens en verzoeken om advies.

Stap 5: Privacy by design en privacy by default

Door de AVG zijn de termen privacy by design en privacy by default geïntroduceerd.

Privacy by design houdt in dat bij het ontwikkelen en ontwerpen van producten en diensten ervoor moet worden gezorgd dat de persoonsgegevens goed beschermd worden. Daarnaast betekent dit dat gegevens niet langer moeten worden bewaard dan nodig. Bij elke verandering binnen onze organisatie, zijn wij ervoor verantwoordelijk bewust te zijn welke gevolgen dit heeft voor de persoonsgegevens en welke extra beschermingsmaatregelen noodzakelijk zijn om de persoonsgegevens optimaal te beschermen.

Privacy by default houdt in dat wij technische en organisatorische maatregelen moeten nemen om ervoor te zorgen dat wij, als standaard, alleen persoonsgegevens verwerken die noodzakelijk zijn voor het specifieke doel dat wij willen bereiken, bijvoorbeeld door niet meer gegevens te vragen dan nodig. Denk daarbij aan het invullen van een contactformulier waarbij niet gevraagd wordt om bijvoorbeeld een geboortedatum als dit niet noodzakelijk is.

Stap 6: Functionaris voor de gegevensverwerking

Er dient een functionaris voor de gegevensverwerking (FG) te worden aangewezen die de processen opstelt en bewaakt. Het bestuur van Vocis kiest hiervoor de meest geschikte persoon binnen de organisatie.

Stap 7: Meldplicht datalekken

Alle datalekken dienen te worden geregistreerd. Vocis houdt daarvan een register bij.

Stap 8: Bewerkersovereenkomsten

Indien wij het verwerken of bewerken van de gegevens hebben uitbesteed, dragen wij er zorg voor dat hiervoor een verwerkersovereenkomst is afgesloten die voldoet aan de eisen die de AVG hieraan stelt. Zie hiervoor ook de website van de Autoriteit Persoonsgegevens.

Stap 9: Leidende toezichthouder

Dit is alleen van toepassing indien wij meerdere vestigingen in de EU hebben. Op dit moment is deze stap voor Vocis niet van toepassing. Het toezicht over de bescherming van de persoonsgegevens ligt bij de Functionaris Gegevensverwerking.

Stap 10: Toestemming

Voor het verwerken van persoonsgegevens is vanzelfsprekend toestemming nodig van de betrokkene. Bijzonder is nu dat deze toestemming net zo gemakkelijk moet kunnen worden ingetrokken door de betrokkene. Een toestemming intrekken is dan ook altijd mogelijk en kan via verschillende wegen, bijvoorbeeld door te mailen naar contact@vocis.nl of door contact op te nemen met een andere medewerker.

De tien stappen zijn de kernwaarden van Vocis bij het verwerken en beschermen van persoonsgegevens.

Vocis B.V. | Willemskade 16, 8911 BB Leeuwarden | T: 058 82 00 044 | E: contact@vocis.nl | www.vocis.nl