AP: belastingdienst verwerkt BSN in strijd met de wet
- By Anton Roozenbeek
- •
- 14 Jul, 2018
- •
Verwerkt jouw organisatie ook BSN?
Over het BSN
Het BSN is een wettelijk identificatienummer om de communicatie tussen overheid en burgers te vergemakkelijken. Burgers kunnen met hun BSN bij elk loket van de overheid terecht. Het voordeel van een BSN is dat burgers hun persoonsgegevens niet bij elke overheidsorganisatie steeds opnieuw hoeven aan te leveren.
Dit maakt het tegelijk kwetsbaar: als het BSN in kwaadwillende handen valt, kan het mogelijk leiden tot identiteitsfraude. Een kwaadwillende kan met de persoonsgegevens van een ander bijvoorbeeld een auto huren en daarmee schade veroorzaken.
Zelfstandigen met een eenmanszaak kunnen hun BSN niet beschermen. Zij zijn verplicht hun BSN kenbaar te maken omdat het BSN een onderdeel vormt van hun btw-identificatienummer.
AVG
Rond de inhuur van externen, zoals uitzendkrachten, detacheringskrachten en ZZP’ers, worden veel persoonsgegevens verzameld en gedeeld – binnen en buiten de eigen organisatie. Deels worden deze gegevens verzameld vanuit het wervingsproces, maar ook vanuit interne regelgeving en wettelijke verplichtingen. Om die reden is het belangrijk om goed op de hoogte te zijn van de wet- en regelgeving op het gebied van privacy en te voldoen aan de eisen die de Algemene verordening persoonsgegevens (AVG) stelt. Met de komst van de AVG zijn er namelijk veel zaken die moeten worden geregeld en vastgelegd rondom de verwerking en de beveiliging van persoonsgegevens.
BOETES
De toezichthouder controleert sinds 25 mei gericht en steekproefsgewijs de naleving van de wet en kan forse boetes opleggen. Opdrachtgevers stellen steeds strengere eisen aan hun interne en externe leveranciers op het gebied van de bescherming van privacy. Geen aantoonbaar en actief privacy beleid? Dan doen we ook geen zaken. Daarnaast is het privacy bewustzijn bij klanten, kandidaten en burgers enorm toegenomen. Het geeft je een voorsprong als je medewerkers, kandidaten, directie, aandeelhouders, opdrachtgevers en partners er vertrouwen in hebben dat er zorgvuldig wordt omgegaan met persoonsgegevens die aan de organisatie zijn toevertrouwd.
BIJ WIE LIGT DE VERANTWOORDELIJKHEID?
In onze praktijk zien wij helaas nog weinig specifieke aandacht voor de AVG en externe inhuur. Vaak wordt dit vergeten doordat er geen duidelijke eigenaar van externe inhuur is. De organisatie denkt dat de leveranciers van de externe inhuurkrachten dit moeten regelen en verantwoordelijk zijn of er is simpelweg niet aan gedacht. Het is belangrijk om de processen voor AVG en externe inhuur goed in te richten en voldoende maatregelen te treffen, er worden namelijk over het algemeen veel gegevens vrij gemakkelijk met elkaar gedeeld. Dus ook hier is het heel belangrijk om de privacy huishouding goed op orde te hebben.
BELANGRIJKE VRAGEN
Maar hoe begin je daarmee? Vragen die een organisatie zich zou moeten stellen zijn: Is het register van gegevensverwerkingen helemaal up-to-date, wat moet er bijgehouden worden in zo’n register? Zijn de bewaartermijnen vastgesteld en worden deze ook nageleefd? Wordt er bij nieuwe projecten al vanaf de start rekening gehouden met de regels rond gegevensbescherming? Worden er niet meer gegevens verzameld dan strikt noodzakelijk? Is de toestemming van kandidaten nu echt goed geregeld? Is er inzicht en grip op verzoeken om inzage van bewaarde gegevens en verzoeken om vergeten te worden? Wat te doen als een kandidaat een klacht heeft over de wijze waarop zijn persoonsgegevens worden verwerkt?
Kortom; ook bij externe inhuur komt er veel kijken met betrekking tot de AVG voor een organisatie. Een aantal organisaties zijn met dit punt aan de slag gegaan, maar de meesten hebben nog niet alles rondom de AVG en externe inhuur volledig geregeld. Mocht dit het geval zijn voor jouw organisatie dan kunnen WVN Consultancy in samenwerking met Expert in Privacy hierin adviseren. Middels een scan wordt er een plan opgesteld om de inhuur van extern personeel ook bij jouw organisatie compliant te krijgen met de AVG.
Voor meer informatie; neem contact op met Anton Roozenbeek of Wim van Nieuwenhuizen 06 - 539 89 556
Van privacy hype naar scepsis rond de invoering van de nieuwe privacywetgeving, de AVG. Je zou bijna vergeten dat het een wet is om echt serieus rekening mee te houden.
De toezichthouder heeft op 1 oktober nieuwe beleidsregels gepubliceerd waarin wordt aangegeven hoe er om wordt gegaan met de klachten die zij ontvangen. De Autoriteit Persoonsgegevens (AP) heeft namelijk de wettelijke verplichting de inhoud van een klacht te onderzoeken en de klager op de hoogte te houden van de voortang en het resultaat.
Gezien het aantal klachten dat de AP heeft ontvangen sinds de invoering van de AVG is een prioritering ervan geen overbodige luxe. Op de website van de AP staat ook vermeld hoe zij een binnenkomende klacht afhandelen. Eén van de zaken die zij nagaan is of een klacht ook al bij de organisatie zelf is ingediend.
Als je dat al niet deed een reden te meer om privacy klachten dus zeer serieus te nemen. Het biedt de mogelijkheid om het vertrouwen van je klant of medewerker te behouden of te herstellen. Bovendien kan je zo voorkomen dat de klacht bij de AP terecht komt, wat je een onderzoek van deze toezichthouder kan besparen.
Let er wel op dat niet ieder verzoek rond persoonsgegevens ook automatisch moet worden ingewilligd. Recht op inzage en het recht om gegevens te verwijderen zijn bijvoorbeeld geen absolute rechten.
Kortom: zorg dat je de boel op orde hebt en weet wat je te doen staat als iemand een klacht of verzoek indient.
Hulp nodig? Neem snel contactop, ik help je graag!
info@expertinprivacy.nl
De Autoriteit Persoonsgegevens (AP) controleert steekproefsgewijs de naleving van de privacywetgeving. Per 25 mei heb je als organisatie te maken met de Algemene verordening gegevensbescherming (AVG, in het Engels GDPR).
Zo maakt de AP vandaag bekend dat zij 91 ziekenhuizen en 33 zorgverzekeraars heeft gecontroleerd op de verplichting om een Functionaris Gegevensbescherming (FG) aan te stellen. Het is dus belangrijk om ook voor jouw organisatie te bepalen of een FG moet worden aangesteld of aan te bevelen is.
Kijk dus goed naar de criteria en de richtlijnen van de Europese toezichthouders om te beoordelen of er binnen jouw organisatie een FG nodig is. Voor sommige organisaties zal het al snel duidelijk worden of de aanstelling wel of niet verplicht is. In sommige situaties zal het minder duidelijk zijn. Het is daarom aan te bevelen om de keuzes die worden gemaakt goed te beargumenteren maar ook vast te leggen. In het geval van een controle door de AP kan je aantonen dat je een zorgvuldige afweging hebt gemaakt en met alle relevante factoren rekening hebt gehouden.
Als je nieuwe activiteiten gaat uitvoeren of nieuwe diensten aanbieden dan kan het nodig zijn om het besluit om een FG aan te stellen te heroverwegen.
Als het niet verplicht is om een FG aan te stellen dan is het vaak wel zinvol zijn om iemand in dienste te nemen of in te huren die helpt bij het naleven van de verplichtingen die volgen uit de AVG.
Heb je hulp nodig om te bepalen of de aanstelling van een FG voor jouw organisatie nodig is? Wil je weten hoe een FG intern toezicht kan houden op de naleving van de privacywetgeving? Neem snel contact op, ik help je graag!
Het bijhouden van zo'n register is voor iedere organisatie, groot en klein, een verplichte actie. Uitzondering hierop is als de verwerkingen incidenteel zijn.
In een register leg je onder meer vast waarom je de gegevens verzamelt, welke gegevens je verzamelt, met wie je ze deelt, hoe lang je ze bewaart en hoe je ze beveiligt. Raadzaam is om ook vast te leggen op basis van welke rechtsgrond je de gegevens verzamelt en alvast een indicatie te geven over de risico's die er zijn, mocht er iets misgaan met de persoonsgegevens.
Een register aanleggen en bijhouden is een redelijke eenvoudige handeling. Uiteraard is het afhankelijk van de grootte van je organisatie en de complexiteit van je activiteiten. Het is een belangrijke stap om te voldoen aan de privacywetgeving omdat door het invullen van het overzicht je bewust wordt wat er nog geregeld moet worden (of wat je allemaal al geregeld hebt!).
Daarnaast is het ook gewoon een verplichte actie. Je moet zo'n register hebben en de toezichthouder kan het relatief eenvoudig controleren door 'm bij je op te vragen.
Nog geen register? Neem snel contact op, ik help je graag!
info@expertinprivacy.nl
lees meer
