Blog

Hoe gaat Deurplus om met persoonsgegevens?

 

De recente cyberaanval op telecomprovider Odido schrikte miljoenen mensen op: hun persoonsgegevens liggen op straat. Naam, adres, telefoonnummer, klantnummer en e-mailadres lekten in één keer uit.

Zelfs van klanten die al jaren geleden waren overgestapt. Het incident legt op een pijnlijke manier onze online kwetsbaarheid bloot.

Odido-klanten zijn natuurlijk niet de enige van wie persoonsgegevens worden beheerd. Facilitair beheerders van wooncorporaties en vastgoedbeheerders met digitale sluitsystemen verzamelen ook persoonlijke informatie. Dit gebruiken ze om pasjes op naam aan te maken en te beheren.

Steeds vaker besteden zij sleutelbeheer uit aan Deurplus. Niet omdat digitaal sleutelbeheer ingewikkeld is. Maar zij willen geen omkijken hebben naar de aanmaak en de verzending van pasjes. En ze willen instaan voor een perfecte service aan hun huurders.

Als iemand een pas nodig heeft, dan moet dat snel, soepel en smart geregeld kunnen worden. Er is wel een ‘maar’ aan het verhaal. Managers mogen niet zomaar NAW-gegevens uit handen geven aan een derde partij als zij sleutelbeheer willen uitbesteden. Zij moeten aantoonbaar in controle zijn dat deze gegevens in even goede handen zijn als bij henzelf.

 

Hoe borgt u privacy bij het uitbesteden van sleutelbeheer?

Hebt u gekozen voor sleutelbeheer uitbesteden? Wij zorgen dat dat alles — juridisch én praktisch — goed geregeld is.

Juridisch: de verwerkingsovereenkomst
Met klanten voor wie wij hun sluitplan onderhouden, stellen we een verwerkingsovereenkomst AVG (Algemene Verordening Gegevensbescherming) op:

1. In de verwerkingsovereenkomst staat dat naam- en adresgegevens zorgvuldig worden behandeld. De systemen waarin persoonsgegevens worden bewaard, worden adequaat beveiligd.
2. In de verwerkingsovereenkomst wordt vastgelegd dat persoonsgegevens met respect worden behandeld. Ze worden uitsluitend gebruikt voor het doel waarvoor ze zijn verstrekt: het aanmaken of wijzigen en versturen van pasjes. Ze mogen niet gedeeld worden of voor eigen doeleinden ingezet worden.
3. Zijn de persoonsgegevens niet meer nodig zoals bij een verhuizing van een gebruiker? Dan worden ze verwijderd.
4. Na drie maanden worden de persoonsgegevens gewist. Dit verkleint de kans dat ze eventueel toch in verkeerde handen vallen. Ook dit staat in de verwerkingsovereenkomst.

Zo kunt u altijd aantonen dat u in controle bent, zelfs als u persoonsgegevens uit handen geeft. U weet dan zeker dat partijen in uw keten veilig werken en geen zwakke schakel vormen.

 

In de praktijk: informatiebeveiliging

 

Of uw toegangssysteem nu tientallen of duizenden gebruikers heeft en of u nu sleutelbeheer zelf uitvoert of uitbesteedt, het vraagt in alle gevallen om het opzetten van een systeem voor informatiebeveiliging dat aan bepaalde eisen moet voldoen.

Dat bent u uw gebruikers verplicht. U moet nadenken over:

• Wie zijn de belanghebbenden in uw organisatie?
• Wat zijn de risico’s en hoe beheerst u ze?
• Hoe beschermt u de gegevens van uw gebruikers en voldoet u aan wettelijke eisen zoals de AVG?

Klanten die de persoonsgegevens van hun gebruikers aan Deurplus toevertrouwen, kunnen rekenen op een gestructureerde aanpak voor informatiebeveiliging, naar het idee van de Plan Do Check Act-methode.

Dit geeft Deurplus een handvat om op een gestructureerde manier na te denken over de veiligheid van uw gegevens en draagt bij aan de continue verbetering van onze beveiligingsmaatregelen.

Het omvat:

• Het beleid waarin wordt vastgelegd voor wie en wanneer pasjes worden aangemaakt
• Het doel waarvoor de persoonsgegevens worden verwerkt
• Een inschatting waar de risico’s schuilen bij het verwerken van naam- en adresgegevens. Door risico’s in kaart te brengen, kunnen we continuïteit waarborgen
• Maatregelen om de gegevens te beveiligen en wat te doen bij een lek

Zo waarborgen we de beschikbaarheid, integriteit en de vertrouwelijkheid van de gegevens van onze klanten en voldoet u aantoonbaar aan wet- en regelgeving op het gebied van privacy.

 

Beveiliging toegangscontrolesystemen

 

Onze klanten vragen ons ook om advies ten aanzien van de veiligheid van hun digitale sleutelbeheersystemen. Met name als zij hun toegangscontrolesysteem in de cloud opslaan. Dan adviseren we over:

• De noodzaak van extra versleuteling/encryptie
• Het gebruik van wachtwoorden
• Back-ups buiten de cloud
• Twee- of zelfs driestapsverificatie om uw gegevens extra te beveiligen
• De keus van een provider

Wat is veilig? We adviseren u graag.

 

Voor welke organisaties is het relevant?

 

Elke organisatie of bedrijf dat vertrouwelijke informatie verwerkt, moet kunnen aantonen dat persoonsgegevens adequaat worden beschermd.

• Onderwijsinstellingen moeten kunnen aantonen hoe zij hun leerling- en docentgegevens beschermen.
• Bedrijven moeten de beveiliging van hun klantgegevens kunnen aantonen.
• Zorg- en welzijnsorganisaties moeten kunnen laten zien hoe hun cliëntgegevens in veilig beheer zijn.
• Woningcorporaties moeten op orde hebben met wie zij de gegevens van hun gebruikers delen. Net zo goed als overheden en (semi)publieke instellingen.

Besteden zij taken uit, dan moeten zij ook kunnen aantonen hoe de gegevens bij een derde partij worden beschermd.

 

Sleutelbeheer uitbesteden zonder rompslomp

 

Wilt u pasuitgifte uitbesteden zonder aanvullend iets te regelen? Dat kan.

Dan volstaat u met het delen van adresgegevens in plaats van persoonsgegevens. Pasjes of tags worden naar een adres gestuurd zonder naam. In dat geval blijft de gebruiker onherkenbaar en is een verwerkingsovereenkomst niet nodig. De AVG biedt deze ruimte.

 

Pasuitgifte uitbesteden?

Wilt u niet meer de sores van verdwenen of verouderde pasjes en zeker weten dat u AVG-proof werkt? Neem gerust contact met ons op voor advies op maat via e-mail info@deurplus.com en via telefoon 0341 271 050.

Wij zijn uw adviseur voor uw complete bouwkundige beveiliging, inclusief inbraakwerend hang- en sluitwerk, cctv camerasystemen, intercomsystemen en toegangscontrole.