SWOffice en de AVG

Bewustwording

Wat houdt de AVG in? Dit is goed na te lezen op de website van de Autoriteit Persoonsgegevens.

Rechten van betrokkenen

Onder de AVG krijgen mensen meer mogelijkheden om voor zichzelf op te komen als hun persoonsgegevens worden verwerkt. Hun bestaande privacyrechten worden uitgebreid en er gelden twee nieuwe rechten. Bent u klaar voor verzoeken van personen die hun rechten willen uitoefenen?

Het kan zo zijn dat een persoon binnen SWOffice verlangt dat zijn gegevens per direct verwijderd worden. Hier is een handleiding voor beschikbaar: Hoe verwijder ik een persoon direct?

Overzicht verwerkingen

Breng uw gegevensverwerkingen in kaart. Documenteer welke persoonsgegevens u verwerkt en met welk doel, waar deze gegevens vandaan komen en met wie u ze deelt. Het opstellen van een register van verwerkingsactiviteiten is onder de AVG vaak een verplichte maatregel.

Centa verwerkt geen gegevens in SWOffice; wij bieden een mogelijkheid aan om de gegevens te verwerken, met daarbij de nodige instellingen om de privacy te waarborgen. Wel is er door Centa een template beschikbaar gesteld, zodat kan worden vastgelegd waarom welke gegevens verwerkt worden.

Binnen SWOffice kan er veel worden bijgehouden. Waarom deze gegevens worden bijgehouden, is de vraag die u zich als stichting of bedrijf zal moeten stellen. Enkele voorbeelden: NAW-gegevens worden bijgehouden ten behoeve van het versturen van post. IBAN-gegevens om te kunnen factureren en incasseren. Leeftijd zodat aan de gemeente gerapporteerd kan worden wat de gemiddelde leeftijd van uw cliënten is. Gebruikt u alle velden, of kunnen er een aantal weggelaten worden?

Velden kunnen aangepast worden binnen SWOffice, bijvoorbeeld om etniciteit of kerkelijke gezindte weg te halen. Hier is een handleiding voor beschikbaar: Velden weergeven en namen aanpassen.

Daarnaast is er een voorbeeld-Overzicht Verwerkingen beschikbaar.

Data protection impact assessment (DPIA)

Wordt er gevoelige informatie bijgehouden? Dan volgt een DPIA. Dit lijkt ons niet van toepassing, maar het is toch nuttig om door te lezen.

Privacy by design & privacy by default

Privacy by design houdt in dat u er al bij het ontwerpen van producten en diensten voor zorgt dat persoonsgegevens goed worden beschermd. Maar bijvoorbeeld ook dat u niet meer gegevens verzamelt dan noodzakelijk voor het doel van de verwerking, en dat u de gegevens niet langer bewaart dan nodig.

Binnen SWOffice kan het aantal maanden dat gegevens bewaard worden ingesteld worden: wanneer gaat een persoon naar het archief, en wanneer wordt een persoon definitief uit het archief verwijderd? Hier is een handleiding voor beschikbaar: Bewaartermijnen instellen.

Privacy by default houdt in dat u technische en organisatorische maatregelen moet nemen om ervoor te zorgen dat u standaard alléén persoonsgegevens verwerkt die noodzakelijk zijn voor het specifieke doel. Bijvoorbeeld door een app niet de locatie van gebruikers te laten registreren als dat niet nodig is, op uw website het vakje ‘Ja, ik wil aanbiedingen ontvangen’ niet vooraf aan te vinken, en bij een nieuwsbriefinschrijving niet meer gegevens te vragen dan nodig is.

Dit lijkt ons niet van toepassing binnen SWOffice, daar er geen overbodige gegevens verzameld worden of misbruik wordt gemaakt van deze gegevens. Mocht dit wel het geval zijn, dan is het verstandig dit op te nemen in het Overzicht Verwerkingen (stap 8).

Functionaris voor de gegevensbescherming

Dit zal u als klant zelf moeten uitzoeken: indien er erg gevoelige informatie wordt verzameld of gebruikt, een functionaris aanstellen. Meer informatie.

Meldplicht datalekken

Is er een lek? Dan moet dat gemeld worden. Deze wet bestaat al langer; meer informatie.

Verwerkersovereenkomsten

Heeft u uw gegevensverwerking uitbesteed aan een verwerker? Beoordeel dan of de overeengekomen maatregelen in bestaande contracten nog steeds toereikend zijn, en of deze voldoen aan de eisen die de AVG aan verwerkersovereenkomsten stelt. Zo niet, breng dan tijdig noodzakelijke wijzigingen aan. Meer uitleg hierover.

Denk hier goed over na: wordt er iets uitbesteed wat persoonsgegevens betreft? Salarisadministratie, maaltijdleveranciers die persoonsgegevens hebben, et cetera.

Centa voert geen werkzaamheden uit waarbij persoonsgegevens verzameld worden. Onze klanten besteden geen werk aan ons uit, enkel ondersteunende werkzaamheden. Centa biedt de mogelijkheid om dit in te voeren in het programma SWOffice. Wel hebben wij een voorbeeldsjabloon voor een verwerkersovereenkomst ter beschikking gesteld.

Leidende toezichthouder

Heeft u meerdere vestigingen binnen de EU-lidstaten? Dan zal daar door de klant zelf naar gekeken moeten worden. Meer informatie.

Toestemming

Uw gegevensverwerking kan gebaseerd zijn op toestemming van de betrokkenen. De AVG stelt strengere eisen aan toestemming. Evalueer daarom de manier waarop u toestemming vraagt, krijgt en registreert, en pas deze indien nodig aan.

Nieuw is dat u moet kunnen aantonen dat u geldige toestemming van mensen heeft gekregen om hun persoonsgegevens te verwerken. En dat het voor mensen net zo makkelijk moet zijn om hun toestemming in te trekken als om die te geven.

Het is verstandig documenten aan personen te koppelen. Maak bijvoorbeeld een toestemmingsformulier, laat dit ondertekenen, scan het in en koppel het bij de persoon. Hier is een handleiding voor beschikbaar: Documenten aan persoon toevoegen.