Algemene principes

Om de privacy van je klanten te bewaken, moet je van een aantal algemene principes vertrekken.

• Doelbeperking: Contactgegevens mogen ALLEEN verzameld worden voor corona-tracering. Ze mogen niet gebruikt worden voor andere doeleinden, bijvoorbeeld marketing of handhaving door de politie.
  
• Dataminimalisatie: Alleen gegevens die nodig zijn voor tracering van besmetting mogen verzameld worden, niets meer.
• Transparantie: Leg goed uit waarom de gegevens verzameld worden, wat ermee gebeurt, wanneer ze vernietigd worden en waar mensen terecht kunnen voor meer informatie of klachten.
• Veiligheid: De gegevens mogen in geen geval misbruikt worden of in de verkeerde handen vallen. Zorg voor goede beveiliging en beperking van toegang tot de gegevens.

Tips bij…

… het verzamelen van contactgegevens

• Zorg dat zo min mogelijk personeelsleden of derden met de contactgegevens in aanraking komen. Wijs bijvoorbeeld één persoon aan die contactgegevens verzamelt en laat die een eed afleggen of geheimhoudingsovereenkomst tekenen.
• Verzamel niet meer gegevens dan strikt noodzakelijk voor het traceren van besmettingen. Gegevens als geslacht, geboortedatum, en beroep zijn zeer waarschijnlijk irrelevant.
• Laat andere gasten niet zien wie er nog meer op de gastenlijst staan.

… het verwerken van contactgegevens

• Gebruik de gegevens voor geen enkel ander doeleinde dan het traceren van besmettingen.
• Geef niemand anders dan bevoegde gezondheidsautoriteiten inzage in of toegang tot de gegevens.
• Zorg voor goede beveiliging van apparaten waar gegevens opgeslagen worden en verbindingen waarmee gegevens verstuurd worden. Als de gegevens op papier staan, berg ze op achter slot.

… het bewaren van de gegevens

• Als na twee weken de gegevens niet opgevraagd zijn, worden ze volledig vernietigd. Communiceer de bewaartermijn ook aan gasten op het moment dat de gegevens verzameld worden.
• Maak geen back-ups.
• Geef niemand anders dan bevoegde autoriteiten toegang tot de gegevens. Worden ze in de ‘cloud’ opgeslagen, verifieer dan dat geen derde partijen toegang hebben.

Hoe pak je dit nu praktisch aan?

Stap 1. Gebruik het registratieformulier van de overheid zal verstrekken

Gebruik het registratieformulier dat de overheid zal verstrekken. Vraag geen aanvullende informatie.

Stap 2. Beperk de toegang

Wijs één bevoegde persoon aan die de gegevens verzamelt en beheert. Deze persoon tekent een geheimhoudingsovereenkomst of belooft plechtig de informatie die hij opdoet in deze taak met niemand te delen.

Stap 3. Geef informatie

Maak een kaartje met uitleg over

• waarom de contactgegevens verzameld worden,
• wie er toegang toe heeft of krijgt,
• wat er met de gegevens gebeurt (bijvoorbeeld waar ze opgeslagen worden),
• hoe lang ze bewaard blijven.

Zet hierop ook contactgegevens van jezelf en van de Gegevensbeschermingsautoriteit. Deel dit kaartje uit aan gasten van wie je de gegevens verzamelt. Plaats deze informatie ook op je website.

Stap 4. Stel een procedure op

Ontwerp een leidraad voor het verzamelen, verwerken en bewaren van de gegevens als leidraad voor de bevoegde persoon. Ontwerp ook een procedure voor als het misgaat en de gegevens gelekt worden.

Stap 5. Verifieer je aanpak

Als je een functionaris gegevensbescherming (een ‘data protection officer’ of DPO) in je organisatie hebt, vraag die om het formulier, de informatie voor gasten, de leidraad en de datalekprocedure na te kijken.

Afbeelding door Kayla Enright op Scopio