Gegevensbeschermingsbeleid („Beleid”)

Het doel van het Beleid is:

• i. Voldoen aan de wet.
• ii. Goede praktijken volgen.
• iii. Klanten, medewerkers en andere personen beschermen.
• iv. De Onderneming beschermen.

2. Alle persoonsgegevens (zoals gedefinieerd in de Algemene Verordening Gegevensbescherming ("AVG")) die door WORKPLACED worden verzameld, bewaard en verwerkt, worden uitsluitend verzameld, bewaard, doorgegeven en verwerkt in overeenstemming met de AVG en het Beleid van WORKPLACED. Daarom is dit Beleid van toepassing op elke server, database en elk IT-systeem dat dergelijke gegevens verwerkt, inclusief elk apparaat dat regelmatig wordt gebruikt voor e-mail, webtoegang of andere werkgerelateerde taken. Elke gebruiker die met de IT-diensten van de onderneming werkt, is eveneens aan dit beleid onderworpen. Informatie die als openbaar is geclassificeerd, valt niet onder dit Beleid. Andere gegevens kunnen door het management van WORKPLACED van het Beleid worden uitgesloten op grond van specifieke zakelijke behoeften, bijvoorbeeld omdat het beschermen van de gegevens te kostbaar of te complex is.

3. De IT-afdeling van WORKPLACED (“IT-afdeling”) is verantwoordelijk voor:

• i. Het informeren van de Raad van Bestuur van WORKPLACED over verantwoordelijkheden inzake gegevensbescherming.
• ii. Het beoordelen van het gegevensbeschermingsbeleid en aanverwant beleid.
• iii. Het adviseren van andere medewerkers over lastige gegevensbeschermingskwesties.
• iv. Het waarborgen dat introductie en training op het gebied van gegevensbescherming plaatsvinden.
• v. Het afhandelen van inzageverzoeken van betrokkenen.
• vi. Het goedkeuren van ongebruikelijke of controversiële openbaarmakingen van persoonsgegevens.
• vii. Het goedkeuren van overeenkomsten met Gegevensverwerkers.

4. Alle medewerkers en vrijwilligers dienen verplicht te worden om alle beleidsregels en procedures die betrekking hebben op de persoonsgegevens die zij in het kader van hun werk kunnen verwerken, te lezen, te begrijpen en te aanvaarden. (Waar hierna „werknemers‟ wordt gebruikt, omvat dit zowel betaalde werknemers als vrijwilligers.)

5. De IT-afdeling zorgt ervoor dat er gegevensbeveiligingsmaatregelen zijn die ten minste, maar niet uitsluitend, omvatten: logische scheiding van gegevens, beperkte (bijv. rolgebaseerde) toegang en controle daarop, en het gebruik van commercieel beschikbare en industriestandaard technologieën voor de versleuteling van persoonsgegevens.

6. Alle e-mails die persoonsgegevens bevatten, moeten worden versleuteld.

7. WORKPLACED geeft alle werknemers en gecontracteerde derden toegang tot de informatie die zij nodig hebben om hun verantwoordelijkheden zo effectief en efficiënt mogelijk uit te voeren. Daarom:

• a. Wordt elke gebruiker geïdentificeerd door een unieke gebruikers-ID, zodat individuen verantwoordelijk kunnen worden gehouden voor hun handelingen.
• b. Is het gebruik van gedeelde identiteiten alleen toegestaan waar dit passend is, zoals bij trainingsaccounts of serviceaccounts.
• c. Leest elke gebruiker dit gegevensbeveiligingsbeleid en ondertekent hij een verklaring dat hij de toegangsvoorwaarden begrijpt.
• d. Kunnen registraties van gebruikerstoegang worden gebruikt als bewijs bij onderzoeken naar beveiligingsincidenten.
• e. Wordt toegang verleend op basis van het beginsel van minimale rechten, wat betekent dat aan elke gebruiker, applicatie en dienst de minste rechten worden toegekend die nodig zijn om hun taken uit te voeren.

• a. Alle werknemers en contractanten krijgen netwerktoegang in overeenstemming met de zakelijke toegangsbeheerprocedures en het beginsel van minimale rechten.
• b. Alle medewerkers en contractanten met toegang op afstand tot WORKPLACED-netwerken worden uitsluitend geauthenticeerd via het VPN-authenticatiemechanisme.
• c. Netwerksegregatie wordt geïmplementeerd zoals aanbevolen door het netwerkbeveiligingsonderzoek van WORKPLACED. Netwerkbeheerders groeperen informatiediensten, gebruikers en informatiesystemen op passende wijze om de vereiste segregatie te bereiken.
• d. Netwerkrouteringscontroles worden geïmplementeerd ter ondersteuning van het toegangsbeheerbeleid.

• a. Alle gebruikers moeten hun scherm vergrendelen wanneer zij hun werkplek verlaten, om het risico op ongeoorloofde toegang te verminderen.
• b. Alle gebruikers moeten hun werkplek vrijhouden van gevoelige of vertrouwelijke informatie wanneer zij vertrekken.
• c. Alle gebruikers moeten hun wachtwoorden vertrouwelijk houden en deze niet delen.

• a. Alle medewerkers en contractanten van WORKPLACED krijgen toegang tot de gegevens en applicaties die nodig zijn voor hun functieverantwoordelijkheden.
• b. Alle medewerkers en contractanten van WORKPLACED hebben uitsluitend toegang tot gevoelige gegevens en systemen als daarvoor een zakelijke noodzaak bestaat en zij goedkeuring hebben van het hogere management.
• c. Gevoelige systemen worden fysiek of logisch geïsoleerd om de toegang te beperken tot uitsluitend geautoriseerd personeel.

• a. Toegang tot gegevens die als ‘Vertrouwelijk’ of ‘Beperkt’ zijn geclassificeerd, is beperkt tot geautoriseerde personen wier functieverantwoordelijkheden dit vereisen, zoals bepaald door het Beleid of het hogere management van WORKPLACED.
• b. De verantwoordelijkheid voor het implementeren van toegangsbeperkingen ligt bij de IT-afdeling.

12. Persoonsgegevens mogen niet worden overgedragen naar een apparaat dat persoonlijk eigendom is van een werknemer, en persoonsgegevens mogen uitsluitend worden overgedragen naar apparaten van agenten, contractanten of andere partijen die namens WORKPLACED werken indien de betrokken partij heeft ingestemd volledig te voldoen aan de letter en de geest van dit Beleid en van de AVG (wat kan inhouden dat aan WORKPLACED wordt aangetoond dat alle passende technische en organisatorische maatregelen zijn getroffen).

13. De IT-afdeling voorziet in operationele procedures en controles om te waarborgen dat elk onderdeel van de IT-systemen of elk medium veilig wordt verwijderd, zodat alle informatie of gegevens in de IT-systemen onleesbaar of onherstelbaar zijn voordat zij permanent uit het bezit van WORKPLACED worden verwijderd of vrijgegeven.

14. Wanneer persoonsgegevens om welke reden dan ook moeten worden verwijderd of anderszins weggenomen (ook wanneer kopieën zijn gemaakt die niet langer nodig zijn), moeten zij veilig worden verwijderd. Papieren kopieën moeten worden versnipperd en elektronische kopieën moeten ‘hard’ worden verwijderd.

15. De IT-afdeling zorgt ervoor dat zij over passende technische en organisatorische maatregelen beschikt ter bescherming tegen ongeoorloofde of onrechtmatige verwerking van persoonsgegevens en tegen onopzettelijk verlies, vernietiging of beschadiging van persoonsgegevens. Passend gezien de schade die zou kunnen voortvloeien uit de ongeoorloofde of onrechtmatige verwerking dan wel het onopzettelijke verlies, de vernietiging of de beschadiging van de te beschermen gegevens en de aard van de te beschermen gegevens, gelet op de stand van de technologische ontwikkeling en de kosten van de implementatie van maatregelen (deze maatregelen kunnen omvatten: pseudonimisering en versleuteling van persoonsgegevens waar passend, het waarborgen van de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten, het waarborgen van de beschikbaarheid van en toegang tot persoonsgegevens, het tijdig herstellen van de beschikbaarheid van en toegang tot dergelijke gegevens na een incident, en het regelmatig beoordelen en evalueren van de doeltreffendheid van de door de Commissie getroffen technische en organisatorische maatregelen).

16. Alle elektronische kopieën van persoonsgegevens moeten veilig worden opgeslagen met behulp van wachtwoorden en gegevensversleuteling.

17. Uitsluitend Gebruikers die toegang tot en gebruik van persoonsgegevens nodig hebben om hun toegewezen taken correct uit te voeren, hebben toegang tot de persoonsgegevens die WORKPLACED bewaart.

18. Alle Gebruikers die persoonsgegevens voor en namens WORKPLACED verwerken, zijn onderworpen aan en moeten voldoen aan de bepalingen van het Gegevensbeschermingsbeleid van WORKPLACED.