Skip to end of metadata
Go to start of metadata

Deelnemers van het afsprakenstelsel elektronische toegangsdiensten verwerken persoonsgegevens in de zin van de Wbp. Deze checklist heeft tot doel vast te leggen op welke wijze het bedrijf de waarborgen van de Wbp naleeft.

Onderhavige checklist kan tevens worden gebruikt voor de melding van de gegevensverwerking bij de Autoriteit Persoonsgegevens (AP) of de Functionaris van Gegevensbescherming (FG) .

 

1. Wat is de naam van de verwerking van persoonsgegevens? 

 

Toelichting

De naam van de verwerking is de ook de naamvoering voor - indien van toepassing - melding bij de AP en is sterk gelieerd aan het doel van de verwerking van persoonsgegevens. De naam van de verwerking van persoonsgegevens door een middelenuitgever is bijvoorbeeld: uitgifte en beheer van authenticatiemiddelen

Antwoord:

 


 

2. Wie stelt het doel en de middelen vast van de gegevensverwerking en is derhalve verantwoordelijk voor de verwerking van persoonsgegevens? 

Toelichting

De verantwoordelijke in de zin van de Wbp is “de natuurlijke, persoon, rechtspersonen of ieder ander die of het bestuursorgaan dat, allen of tezamen met anderen, het doel van en de middelen voor de verwerking van de persoonsgegevens vaststelt”. Zie artikel 1 sub d Wbp.

Antwoord:

 


 

(naam directeur bedrijf) 

3. Wat is het doel of zijn de doeleinden voor de verwerking?

 

Toelichting

Persoonsgegevens mogen niet worden verwerkt zonder dat voorafgaande aan deze verwerking hiervoor een ‘welbepaald en uitdrukkelijk omschreven’ doeleinde is bepaald. Door een concrete doelomschrijving op te nemen wordt invulling gegeven aan het beginsel van doelbinding.

‘Welbepaald en uitdrukkelijk omschreven’ betekent dat de formulering van het doel niet zo ruim en algemeen mag zijn zodat er ruimte is om er van alles onder te scharen. Door een voorafgaande concrete formulering van het doel voor de verwerking van persoonsgegevens kan worden getoetst of alleen de - voor dat doel - noodzakelijke persoonsgegevens worden verwerkt. 

Een voorbeeld van een concrete doel omschrijving voor het machtigingenregister is: het registreren beheren, controleren van machtigingen en andere bevoegdheden, het afleggen van verklaringen over bevoegdheden van betrokkenen en het vastleggen van de bijbehorende audit trail (logging).


Antwoord:

 


 

(omschrijving van de elektronische toegangsdienst die wordt geleverd)

4. Wordt de verwerking van persoonsgegevens voor een samenhangend doel verwerkt / zijn er verbanden met andere verwerkingen?

 

Toelichting

Onderdeel van het beginsel van doelbinding is dat persoonsgegevens niet verder worden verwerkt dan voor het doel waarvoor zij zijn verkregen. Een verdere verwerking is alleen toegestaan indien deze verenigbaar is met het oorspronkelijk doel waarvoor de persoonsgegevens zijn verkregen. Of de verdere verwerking verenigbaar is met het oorspronkelijke doel dient te blijken uit een zogenaamde verenigbaarheidstoets. Zie ook artikel 9 Wbp. Dit artikel biedt handvatten om te bepalen in welke mate een verdere verwerking verenigbaar/samenhangend is met het oorspronkelijke doel.  

Handvatten van artikel 9 Wbp aanreikt zijn:

  • de mate van verwantschap tussen het doel van de beoogde verwerking en het oorspronkelijke doel;
  • de aard van de betreffende gegevens;
  • de gevolgen van de beoogde verwerking voor de betrokkene;
  • de wijze waarop de gegevens zijn verkregen;
  • de mate waarin jegens betrokkene wordt voorzien in passende waarborgen.  

Slechts in uitzonderingsgevallen kan van het principe van een verenigbare verdere verwerking van persoonsgegevens worden afgeweken. Deze uitzonderingsgronden zijn opgenomen in artikel 43. Het betreft de volgende uitzonderingsgronden:

  1. veiligheid van de staat;
  2. voorkoming, opsporing en vervolging van strafbare feiten;
  3. gewichtige economische en financiële belangen van de staat en andere openbare lichamen;
  4. het toezicht op de naleving van wettelijke voorschriften dien zijn gesteld ten behoeve van de belangen, bedoeld onder 2 en 3, of
  5. de bescherming van de betrokken of van rechten en vrijheden van anderen.  

Overeenkomstig het informatiebeveiligingsbeleid worden persoonsgegevens door de deelnemers ook verwerkt voor geschilbeslechting en fraudebestrijding. Fraudebestrijding is toegestaan onder de voorwaarden van artikel 43 Wbp.

Voor het doeleinden ‘geschilbeslechting’ kan op basis van de verenigbaarheidstoets worden geconcludeerd dat er sprake is van een verenigbare verwerking, namelijk:

  1. er is nauwe verwantschap tussen de levering van de elektronische toegangsdienst en geschilbeslechting n.a.v. een dienstverlening;
  2. het gaat niet om bijzondere persoonsgegevens;
  3. de verdere verwerking heeft geen rechtsgevolgen voor de betrokkenen, maar is ten gunste van betrokkenen;
  4. de gegevens zijn van de betrokkene zelf verkregen;
  5. de betrokkenen worden door de deelnemers over deze doeleinden geïnformeerd en hiervoor wordt ook toestemming gevraagd (zie ook vraag .. ). Tevens worden er overeenkomstig het informatiebeveiligingsbeleid van het afsprakenstelsel passende technische en organisatorische beveiligingsmaatregelen genomen (zie ook vraag… )

 NB. Indien er ook jaarlijks een klanttevredenheidsonderzoek wordt gehouden dit hier ook benoemen

Antwoord:

 


 

5. Wat is de rechtmatigheidgrondslag van de verwerking van persoonsgegevens?

 

Toelichting

Op grond van artikel 8 van de Wbp mogen persoonsgegevens slechts worden verwerkt indien wordt voldaan aan één of meer van de in artikel 8 limitatief genoemde rechtmatigheidsgrondslagen:

  1. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend,
  2. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst,
  3. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is,
  4. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene,
  5. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt of,
  6. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Indien de gegevens verder worden verwerkt dan het oorspronkelijke doel (zie ook vraag 3 en 4), dient voor deze verdere verwerking eveneens een rechtmatigheidsgrondslag aanwezig te zijn. De rechtmatigheidgrondslag voor de verwerking van elektronische toegangsdiensten zoals verwoord in het antwoord bij vraag 3 is artikel 8 sub b Wbp (uitvoering van de dienstverleningsovereenkomst). Voor de doeleinden die zijn geformuleerd als verdere verwerking bij vraag 4 is artikel 8 sub a Wbp (expliciete toestemming) de rechtmatigheidgrondslag voor de verwerking.

Antwoord:

 


 

6. Welke persoonsgegevens worden verwerkt? 

Toelichting

Bij deze vraag dient een overzicht te worden gegeven van de persoonsgegevens die worden verwerkt. Aan de hand van het doel van de verwerking wordt getoetst of er niet meer persoonsgegevens worden verwerkt dan noodzakelijk is. 


Antwoord:

 


 

7. Worden er bijzondere persoonsgegevens verwerkt? Zo ja welke?

 

Toelichting

Bijzondere persoonsgegevens zijn gegevens over : godsdienst of levensovertuiging, ras of etniciteit, politieke gezindheid, gezondheid, seksuele leven en lidmaatschap van een vakvereniging, strafrechtelijke gegevens of gegevens over hinderlijk of onrechtmatig gedrag en persoonlijke identificatienummers zoals het BSN nummer.

Voor de verwerking van bovengenoemde bijzondere persoonsgegevens geldt een streng regime. Het uitgangspunt is dat het niet is toegestaan deze bijzondere gegevens te verwerken, tenzij dit door de Wbp wordt toegestaan. Zie hiervoor de artikelen 16 t/m 24 Wbp.  

Behalve de authenticatiedienst worden er door de deelnemers geen bijzondere persoonsgegevens verwerkt. De authenticatiedienst verwerkt het BSN nummer in opdracht van de minster van BZK/BSN Koppelregister waarvoor een bewerkersovereenkomst dient te zijn afgesloten.

Antwoord:

 


 

8. Wie zijn de ontvangers van de persoonsgegevens?

Met welk doel en om welke persoonsgegevens gaat het? 

 

Toelichting

Onder ontvangers van persoonsgegevens wordt verstaan degene aan wie persoonsgegevens worden verstrekt. Voorbeelden van ontvangers zijn derden, de beheerorganisatie, leidinggevenden, een bewerker, partner(s) in een samenwerkingsverband etc.

Antwoord:

 


 

9. Worden gegevens doorgegeven naar landen buiten de Europese Unie of is er een voornemen daartoe?

Zo ja:

  1. om welke gegevens gaat het?
  2. om welke landen gaat het?

 

Toelichting

Slechts onder strenge voorwaarden mogen persoonsgegevens worden verstrekt aan partijen buiten de Europese Unie. Zie hiervoor de artikelen 76 t/m 78 Wbp.

Antwoord:

 


 

10. Op welke wijze zijn de persoonsgegevens beveiligd en waar is dat terug te vinden?

 

Toelichting

Op grond van de Wbp moet de verantwoordelijke voor de verwerking van persoonsgegevens zorg dragen voor passende technische en organisatorische beveiligingsmaatregelen tegen verlies of enige andere vorm van onrechtmatige verwerking.

Bij de melding bij de AP wordt in het meldingsformulier naar een aantal maatregelen gevraagd opdat de AP alvast een indruk kan krijgen over de maatregelen die zijn genomen om persoonsgegevens te beveiligen. De maatregelen waarnaar in de melding van de AP wordt gevraagd zijn:

  • vastgesteld beveiligingsbeleid dat ook is geïmplementeerd;
  • fysieke maatregelen voor toegangsbeveiliging, inclusief organisatorische controle;
  • inbraakalarm;
  • een kluis voor opslag van gegevens;
  • logische toegangscontrole m.b.v. iets wat iemand weet (wachtwoord of pincode);
  • logische toegangscontrole m.b.v. iets wat iemand bij zich draagt (pasje);
  • logische toegangscontrole m.b.v. iets wat bij iemand hoort (biometrisch kenmerk);
  • overige logische toegangscontrole;
  • automatisch logging van toegang tot gegevens, inclusief een controleprocedure;
  • controle van toegekende bevoegdheden;
  • overige beveiligingsmaatregelen; a.u.b. specificeren;
  • encryptie.

De te nemen beveiligingsmaatregelen dienen op basis van een gedegen risicoanalyse tot stand te komen. De risicoanalyse dient aan te tonen dat er passende technische en organisatorische beveiligingsmaatregelen zijn genomen. Zie ook de ‘Richtsnoeren beveiliging persoonsgegevens’ van de AP. Daarnaast kan ook nog gebruik worden gemaakt van de indeling van risicoklassen die de AP in de Richtlijnen “Beveiliging van persoonsgegevens, Achtergrondstudies en Verkenningen, nummer 23”

Het verdient aanbeveling de risicoanalyse op gfrond van de Wbp en de te nemen beveiligingsmaatregelen onderdeel uit te laten maken van de risicoanalyse en beveiligingsmaatregelen van het algemene informatiebeveiligingsbeleid.

Specifiek voor de authenticatiedienst zal in de risicoanalyse en de te nemen beveiligingsmaatregelen aandacht moeten zijn voor strikte scheiding van de verwerking van persoonsgegevens als verantwoordelijke in de zin van de Wbp in het kader van het leveren van de elektronische toegangsdiensten en de verwerking van het BSN als bewerker van het BSN koppelregister.

Antwoord:

 


 

11. Is er een bewerker?

Zo ja, is er met de bewerker een bewerkersovereenkomst afgesloten?

Toelichting

In art. 1 sub e Wbp wordt onder een bewerker verstaan: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen. Indien er een bewerker voor de verwerking van persoonsgegevens is ingeschakeld, dienen afspraken hierover te worden vastgelegd. De afspraken die met een bewerker moeten worden gemaakt hebben betrekking op:

  • handelen in opdracht;
  • welke verwerkingen/het doel van de verwerking van persoonsgegevens;
  • welke persoonsgegevens;
  • de beveiligingsmaatregelen;
  • meewerken aan inzage verzoeken;
  • eigen aansprakelijkheid. 

Antwoord:

 


 

12. Wat is de herkomst van de gegevens?

 

Toelichting

In het geval de persoonsgegevens niet van betrokkene zelf worden verkregen, hoeft de ontvanger van die persoonsgegevens de betrokkene niet te informeren over deze verwerking van zijn persoonsgegevens mits de betrokkene

  1. hiervan al op de hoogte is, of
  2. in het geval informeren een onevenredige inspanning voor de verantwoordelijke betekent. 

Zie ook artikel 34 Wbp. Voor bovengenoemde gevallen verdient het aanbeveling om in ieder geval de herkomst van de persoonsgegevens vast te leggen. 

 

Antwoord:

 


 

13. Wat is de bewaartermijn voor de verwerking van persoonsgegevens?

 

Toelichting

Het uitgangspunt van de Wbp is dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is voor het doel waarvoor ze worden verwerkt. Het gaat om een valide beargumentering waarom een bepaalde bewaartermijn - gelet op het doel van de verwerking - noodzakelijk is.

Antwoord:

 


 

14. Worden de betrokkenen geïnformeerd over de verwerking van hun persoonsgegevens?

Zo ja, hoe? Zo nee, waarom niet?

Toelichting

De Wbp kent een actieve informatieplicht. Deze plicht houdt in dat de verantwoordelijke de betrokkene actief informeert over wie verantwoordelijk is voor de verwerking van de persoonsgegevens, welke persoonsgegevens met welk doel worden verwerkt, of deze aan derden worden verstrekt, welke rechten hij tegen de gegevensverwerking kan uitoefenen en tot wie hij zich hiertoe moet wenden. Een manier om hierover te communiceren is voorafgaand aan de totstandkoming van de overeenkomst of door middel van een privacystatement op de website. Het gaat er om dat de betrokkene op een laagdrempelig manier voorafgaand aan de verwerking van zijn persoonsgegevens wordt geïnformeerd.

Slechts in uitzonderingsgevallen kan van deze actieve informatieplicht worden afgeweken. Deze uitzonderingsgronden zijn opgenomen in artikel 43 Wbp. Het betreft de volgende uitzonderingsgronden:

  1. veiligheid van de staat;
  2. voorkoming, opsporing en vervolging van strafbare feiten;
  3. gewichtige economische en financiële belangen van de staat en andere openbare lichamen;
  4. het toezicht op de naleving van wettelijke voorschriften dien zijn gesteld ten behoeve van de belangen, bedoeld onder 2 en 3, of
  5. de bescherming van de betrokken of van rechten en vrijheden van anderen.

Deze uitzonderingen zijn onderworpen aan het noodzakelijkheidscriterium. Dit houdt bijvoorbeeld in dat informatieverstrekking over de gegevensverwerking in het belang van de voorkoming, opsporing en vervolging van strafbare feiten achterwege mag blijven. Indien de noodzaak is komen te vervallen, bijvoorbeeld omdat de betrokkene na onderzoek geen verdachte blijkt te zijn, dient de betrokkene alsnog te worden geïnformeerd over het feit dat hij onderwerp van onderzoek is geweest en wat de resultaten hiervan zijn

Antwoord:

 


 

15. Is verwerking van persoonsgegevens gemeld bij de AP?

Zo nee, op grond van welk artikel is de verwerking vrijgesteld van melding bij de AP / FG? Zo ja,

  1. Wie is de contactpersoon voor de melding bij de AP
  2. Wat is het meldingsnummer van de AP 

Toelichting

Een verwerking van persoonsgegevens moet worden gemeld bij de AP/FG, tenzij deze is vrijgesteld van melding op grond van het Vrijstellingsbesluit Wbp. Zie ook artikelen 27, 28 en 29 Wbp.

Veelvoorkomende verwerkingen zijn vrijgesteld van melding bij de AP. Voorwaarde voor de vrijstelling van melding bij de AP is dat aan alle vereisten van het toepasselijke artikel van het Vrijstellingsbesluit Wbp wordt voldaan en dat dit ook wordt vastgelegd.

N.B. Wellicht ten overvloede wordt opgemerkt dat een vrijstelling van melding bij de AP/FG, de verantwoordelijke niet ontslaat om te voldoen aan alle overige eisen van de Wbp.

De contactpersoon voor de melding bij de AP is degene die namens de deelnemer contact met AP heeft in het geval de AP bijvoorbeeld vragen heeft over verwerkingen van persoonsgegevens en/of de meldingen van verwerkingen van persoonsgegevens.

Antwoord:

 


 

16. Wordt bij het gebruikmaken van de elektronische toegangsdienst cookies verwerkt?

(De wetgeving gebruikt niet de term ‘cookies’ maar een bredere formulering: gegevens ingezien of opgeslagen in de randapparatuur van de gebruiker). 

Zo ja, leg vast dat er sprake is van technische noodzakelijke cookies. 

Toelichting

Partijen die cookies plaatsen en/of uitlezen moeten duidelijk informatie geven over het feit dat zij cookies gebruiken en met welk doel. Cookies mogen alleen geplaatst en of uitgelezen worden indien de gebruiker daarvoor toestemming heeft gegeven. De toestemming mag impliciet zijn. Daarvan uitgezonderd zijn cookies die noodzakelijk zijn voor de technische of functionele werking van de website of functionaliteit.

Technische noodzakelijke cookies zijn cookies die ofwel strikt noodzakelijk zijn om de dienst aan de gebruiker te leveren / te laten functioneren ofwel nodig voor het uitvoeren van de communicatie (het gebruik van de website). Wat technisch ‘noodzakelijk’ is is moeilijk te beoordelen omdat er technisch gezien altijd andere oplossingen mogelijk zijn. Uit de wetsgeschiedenis blijkt dat deze categorie bedoeld is voor toepassingen die in het belang van de gebruiker zijn, het belang van alléén de gebruiker. Voorbeelden zijn cookies die zorgen voor:

  • inlogsessies en ingelogd blijven
  • cachegeheugen
  • het onthouden van schermformaat
  • het onthouden van voorkeursinstellingen voor websites zoals lettergrootte en taal
  • het onthouden van de toestemming of afwijzing van cookies

Voor deze categorie hoeft geen informatie te worden verstrekt of toestemming te worden gevraagd.

Antwoord:

 


 

 

Datum:________________________________________
Plaats:________________________________________
Naam:________________________________________

Handtekening:


________________________________________

Ondertekening dient plaats te vinden door een bevoegd vertegenwoordiger van de rechtspersoon. Dat kan zijn de statutair bestuurder van de rechtspersoon of een gevolmachtigde, in dat geval moet een kopie van een volmacht worden bijgevoegd. Indien dit document afgedrukt meerdere pagina's bestrijkt, graag alle voorliggende pagina's paraferen. Als PDF of Word document mag deze ook digitaal ondertekend worden.

 

 

  • No labels