Er wordt wat afgelekt in onze sector

1. 5 december 2017
2. 0 reacties

Als er sprake is van een data-lek, moet een financieel advieskantoor op grond van de Wbp een melding verrichten. En er wordt wat afgelekt in onze sector. In het derde kwartaal ontving de Autoriteit Persoonsregistratie alleen al uit de financiële sector 502 meldingen. Dat is al een fors aantal. Zeker wanneer de kans groot is, dat niet alle lekken zijn gemeld. Bij 68 procent van de meldingen ging het om datalekken in de vorm van het versturen of afgeven van persoonsgegevens aan een verkeerde ontvanger. U kent de voorbeelden: de papieren mailing waarbij de goede polis-overzichten in de verkeerde envelop terechtkomen. Of de laptop met klantgegevens die wordt gestolen. Of de medewerker die voor zichzelf gaat beginnen en nog even snel een kopie maakt van het portefeuilleoverzicht van het kantoor. Het komt allemaal voor. Zowel

onder de Wbp als straks onder de AVG, moet u in actie komen indien u te maken krijgt met zo’n verlies van data.

Wanneer melden?

De meldplicht geldt bij het verlies van persoonsgegevens. Persoonsgegevens zijn alle gegevens die herleidbaar zijn naar individuele personen. Het gaat dus niet alleen om de contactgegevens, maar ook om inkomensgegevens die kunnen worden gekoppeld aan individuele personen. Melding mag alleen achterwege blijven als het niet waarschijnlijk is, dat het verlies van de data een risico inhoudt voor de personen op wie de gegevens betrekking hebben. Dat is het geval wanneer u gegevens zodanig heeft beveiligd, dat een onbevoegde deze niet kan raadplegen en in ieder geval de gegevens niet kan koppelen aan specifieke personen. Ook is melding niet nodig wanneer u kunt controleren dat data niet zijn ingezien. Bijvoorbeeld een gestolen laptop die snel wordt teruggevonden en waarbij uit de computerbestanden blijkt, dat hij niet is opgestart of dat gegevens zijn geraadpleegd. Indien u verantwoordelijk bent voor deze persoonsgegeven die (mogelijk) in verkeerde handen zijn gevallen, dan dient u dit direct te melden aan de Autoriteit Persoonsgegevens. Direct betekent ook letterlijk direct. Voor meldingen die u niet binnen 72 uur na ontdekking doet, zult u een heel goede verklaring moeten hebben. Het advies is dan ook om het meteen te melden wanneer persoonsgegevens verloren zijn gegaan.

Verantwoordelijk voor derde

Veel assurantiekantoren dragen, om hun werkzaamheden te kunnen doen, tijdelijk persoonsgegevens over aan een derde. Denk bijvoorbeeld aan de volgende situaties:

• U werkt samen met een serviceprovider die voor u de backoffice verzorgt;

• U werkt samen met een reclamebureau dat uw nieuwsbrieven aan uw klanten verstuurt;

• U werkt samen met een thuiswerkende freelancer die uw ‘ruwe adviezen’ uitwerkt tot fraaie rapporten.

In al deze en vele andere situaties bent u, wat de AVG noemt, ‘gegevensverantwoordelijke’ en dient u bij verlies van persoonsgegevens melding te verrichten bij de Autoriteit Persoonsgegevens. Om te kúnnen melden, moet u natuurlijk weten dat er bij de door u ingeschakelde organisaties iets is misgegaan. Zullen die organisaties staan te springen om u dat te vertellen? Of is de kans aanwezig dat deze organisaties denken ‘wat niet weet, wat niet deert’? De AVG is er echter duidelijk over. U als gegevensverantwoordelijke moet het verlies van persoonsgegevens melden en u bent verantwoordelijk indien de derde het verlies aan persoonsgegevens niet aan u heeft opgebiecht.

Bewerkingsovereenkomst

Wanneer u persoonsgegevens van klanten aan derden stuurt om hiermee namens u iets te doen, rust op u de verplichting om een overeenkomst met deze derden aan te gaan. Deze overeenkomst heet een bewerkingsovereenkomst. In deze overeenkomst moet u contractueel een aantal zaken vastleggen, zoals:

• Dat deze derde adequate beveiligingsmaatregelen treft om verlies van persoonsgegevens te voorkomen;

• Dat deze derde u direct waarschuwt indien er toch persoonsgegevens verloren gaan;

• Dat deze derde u volledig informeert over alle relevante omstandigheden die hebben geleid tot het verlies van gegevens en u informatie verstrekt die nodig is om de gevolgen goed te overzien.

In de praktijk zullen grote automatiseringsbedrijven zelf een bewerkingsovereenkomst opstellen en u deze aanbieden. Dat is uiteraard voor iedereen wel zo praktisch. Het is wel belangrijk dat u erop toeziet, dat deze overeenkomst echt tot stand komt en bovenstaande punten in ieder geval voldoende zijn uitgewerkt.

Melden aan klanten

Informatie over onder meer financiële zaken ziet men in het algemeen als gevoelige gegevens. Wanneer het verlies een hoog risico inhoudt voor de betreffende personen, dient u deze mensen ook persoonlijk te informeren. Dit om betrokkenen in de gelegenheid te stellen maatregelen te nemen om eventuele schade te voorkomen of te beperken. Een dergelijke waarschuwing aan uw klanten kan achterwege blijven als de verloren gegevens voldoende zijn beveiligd, zodat deze voor een onbevoegde niet zijn te koppelen aan uw klant.

Wanneer een mededeling een ‘onevenredige inspanning’ van u vergt, kan individueel contact met de klant achterwege blijven. Maar ga er vanuit dat de Autoriteit Persoonsgegevens niet snel iets zal ervaren als een onevenredige inspanning. Is dat wel het geval, dan bent u er nog niet. Want u hoeft in dat geval niet de individuele klanten stuk voor stuk te benaderen, maar u moet wel een openbare mededeling doen die ‘even doeltreffend’ is als een individuele waarschuwing. Kortom, alle redenen om heel zorgvuldig om te gaan met het beheer van uw klantgegevens en zorgvuldig uw automatiseringspartners uit te kiezen.

Reactie toevoegen

Naam

E-mailadres

Reactie

Organisatie

Telefoonnummer

VVPVIP HypothekenVVP Innovatie PlatformVIP SchadeVVP Twitter

Toevoegen 

Editie

• VVP 5 december 2017

Meer over

• algemene verordening gegevensbescherming