De Minister van Infrastructuur en Milieu; gehoord de functionaris gegevensbescherming van het ministerie van Infrastructuur en Milieu;
houdende vaststelling van een privacyreglement voor het verwerken en beschermen van persoonsgegevens voor het aanvragen van machinistenvergunningen door de Inspectie, ressorterend onder het Ministerie van Infrastructuur en Milieu. Artikel 1 Begripsbepaling In dit reglement wordt verstaan onder: a. Wbp: Wet bescherming persoonsgegevens; b.
ministerie: Ministerie van Infrastructuur en Milieu;
c.
persoonsgegeven: elk gegeven van een geïdentificeerd of identificeerbaar natuurlijk persoon;
d.
ILT: dienstonderdeel van het ministerie overeenkomstig het organisatie- en mandaatbesluit van het ministerie;
e.
betrokkene: degene die onder overlegging van de vereiste persoonsgegevens een machinistenvergunning aanvraagt;
f.
verantwoordelijke: de Minister van Infrastructuur en Milieu;
g.
beheerder: het hoofd van de ILT, aan wie krachtens de geldende organisatie- en mandaatregelingen de taken en bevoegdheden van de minister voor de verwerking van persoonsgegevens in het kader van dit besluit, is gemandateerd;
h.
verwerken: verwerken van persoonsgegevens zoals bedoeld in artikel 1, onderdeel b, van de Wbp;
i.
functionaris voor de gegevensbescherming: functionaris voor de gegevensbescherming van het ministerie van Infrastructuur en Milieu zoals bedoeld in artikel 62 van de Wbp.
Artikel 2 Doel van de gegevensverwerking Het doel van de verwerking van persoonsgegevens is bij te dragen aan een ordelijk, controleerbaar en Europees uniform beheer van aanvragen van machinistenvergunningen, voor zover dat noodzakelijk is voor een goede uitvoering van EU verordening nr. 36/2010 van de Commissie van 3 december 2009.
Artikel 3 Soorten van persoonsgegevens In bijlage I van dit besluit is een overzicht opgenomen van de persoonsgegevens die noodzakelijkerwijs moeten worden verwerkt voor het aanvragen van een machinistenvergunning. Artikel 4 Bewaartermijnen: 1. Voor de in bijlage I van dit besluit vermelde persoonsgegevens geldt een bewaartermijn van 15 jaar. Bij een aanvraag tot verlenging worden deze bestaande persoonsgegevens wederom 15 jaar verwerkt. 2. Voor de in bijlage I van dit besluit vermelde bijzondere persoonsgegevens, zijnde persoonsgegevens over iemands gezondheid, geldt een bewaartermijn van 15 jaar. Bij een aanvraag tot verlenging worden de geactualiseerde bijzondere persoonsgegevens wederom 15 jaar verwerkt. Artikel 5 Toegang tot de gegevens Toegang tot de persoonsgegevens in de gegevensverwerking hebben: 1. De personen die binnen ILT zijn geautoriseerd voor het verwerken van persoonsgegevens met daarbij aangegeven de voor hen daarbij geldende bevoegdheid. 2. De personen die daartoe krachtens wettelijk voorschrift zijn gerechtigd. Artikel 6 Verstrekken van persoonsgegevens buiten de organisatie Buiten de organisatie van de verantwoordelijke kunnen op aanvraag persoonsgegevens worden verstrekt indien voldaan wordt aan één van de volgende voorwaarden: 1. Indien de aanvrager daartoe krachtens wettelijk voorschrift is gerechtigd en de verantwoordelijke, na daartoe in elk geval te zijn geadviseerd door de functionaris voor de gegevensbescherming, tot afgifte is gehouden. 2. Voor andere verzoeken tot verstrekkingen van persoonsgegevens buiten de organisatie dan die bedoeld in het eerste lid zal de verantwoordelijke, na daartoe in elk geval te zijn geadviseerd door de functionaris voor de gegevensbescherming, het verzoek beoordelen tegen de criteria van zorgvuldigheid, proportionaliteit en subsidiariteit. 3. Van het verstrekken van persoonsgegevens buiten de organisatie houdt de beheerder een registratie bij waarin staat vermeld aan wie, op welk tijdstip welke persoonsgegevens zijn verstrekt. Artikel 7 Verzoeken tot inzien, corrigeren en verwijderen van eigen gegevens 1. De betrokkene kan de beheerder verzoeken om inzage, zoals bedoeld en vastgelegd in artikel 35 van de Wbp, in alle persoonsgegevens die over hem/haar in deze gegevensverwerking is opgeslagen. 2. Indien de opgeslagen persoonsgegevens feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt, dan kan de betrokkene de beheerder verzoeken deze te corrigeren of te verwijderen overeenkomstig het bepaalde in artikel 36 van de Wbp. 3. Een verzoek, als bedoeld in het eerste en tweede lid van dit artikel, wordt gericht aan de beheerder. 4. De beheerder is gehouden om de identiteit van betrokkene vast te stellen.
Artikel 8
Beveiliging en toezicht
1.
2.
3.
De beheerder ziet er op toe dat voor de beveiliging van de gegevensverwerking een passend beveiligingsniveau in acht wordt genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De getroffen maatregelen staan genoemd in Bijlage 2 bij dit reglement: Maatregelen te treffen bij de verwerking van persoonsgegevens met WBP risicoklasse 2 De functionaris voor de gegevensbescherming van het ministerie kan altijd zijn wettelijk voorgeschreven toezicht uitoefenen. Hij kan zich daartoe laten bijstaan door personen die door hem zijn aangewezen. Hij kan aanbevelingen doen voor een betere verwerking van de persoonsgegevens. De daartoe bevoegde Europese inspectiediensten zijn gerechtigd om toezicht uit te oefenen op de verwerking door de verantwoordelijke.
Artikel 9 Geheimhouding Iedereen die handelt onder het gezag van de verantwoordelijke is verplicht tot geheimhouding van de verwerking van de persoonsgegevens, behalve voor zover enig wettelijk voorschrift hem tot mededeling verplicht. Artikel 10 Bekendmaking reglement 1. Dit reglement is voor iedereen ter inzage beschikbaar via het intranet van het ministerie. 2. Dit reglement is aangemeld bij de functionaris voor de gegevensbescherming van het ministerie. 3. Bij een aanvraag van een machinistenvergunning wordt betrokkene in kennis gesteld van dit reglement. Artikel 11 Klachten Indien betrokkene van mening is dat de bepalingen van dit reglement niet worden nageleefd, dan kan betrokkene een schriftelijke klacht indienen bij de verantwoordelijke. Artikel 12 Inwerkingtreding Dit reglement treedt in werking na ondertekening door de Inspecteur-Generaal van de ILT en wordt aangehaald als: Privacyreglement Machinistenvergunning. DE MINISTER VAN INFRASTRUCTUUR EN MILIEU, namens deze, DE INSPECTEUR-GENERAAL INSPECTIE LEEFOMGEVING EN TRANSPORT,
mr. J. Thunnissen DATUM
Bijlage 1 Persoonsgegevens die moeten worden verwerkt voor het aanvragen van een machinistenvergunning. Naam van de houder Voornaam/-namen van de houder Adres van de houder | Straat en nummer Gemeente Land Postcode Telefoonnummer E-mailadres Geboortedatum van de houder Geboorteplaats van de houder Nationaliteit Foto van de houder Handtekening van de houder Datum van afgifte van de vergunning Datum waarop de geldigheid van de vergunning afloopt Moedertaal van de machinist Medische beperkingen: • Verplichting lenzen of een bril te dragen • Verplichting een hoorapparaat te dragen Weergave van de actuele status van de vergunning geldig/geschorst/ingetrokken Bij bijwerking(en)/ Wijziging(en) • Datum • Reden Bij schorsing(en) • Duur van de schorsing • Reden van de schorsing Bij intrekking(en) • Datum van intrekking • Reden van de intrekking Bij verlies van de vergunning • Datum van de aangifte • Datum waarop een duplicaat is afgegeven Bij diefstal van de vergunning • Datum van de aangifte • Datum waarop een duplicaat is afgegeven Bij vernietiging van de vergunning • Datum van de aangifte • Datum waarop een duplicaat is afgegeven Lichamelijke geschiktheid • Vermelding dat de machinist voldoet aan de criteria van Richtlijn 2007/59/EG, bijlage II (punten 1.1, 1.2, 1.3 en 2.1) • Keuringsdatum • Verplicht gebruik bril/lenzen en/of gehoorprothese/hulp bij communicatie
Bedrijfspsychologische geschiktheid • Vermelding dat de machinist voldoet aan de criteria van bijlage II bij Richtlijn 2007/59/EG (punt 2.2) voor machinist volledig bevoegd dan wel beperkt bevoegd • Keuringsdatum Algemene vakbekwaamheid • Vermelding dat de machinist voldoet aan de criteria van bijlage IV bij Richtlijn 2007/59/EG • Keuringsdatum
Bijlage 2 Maatregelen te treffen bij de verwerking van persoonsgegevens met WBP risicoklasse 2
13-3-2012
Inleiding De WBP gaat uit van een indeling van persoonsgegevens in vier risicoklassen (0-3). De risicoklasse wordt bepaald door de kans dat onzorgvuldig of onbevoegd gebruik zich voordoet en door de schade die daaruit voortvloeit. Zo is risicoklasse 0 openbare informatie, en risicoklasse 1 vormt het “basis niveau”. In de regel zijn hiervoor in de meeste organisaties geen speciale beveiligingsmaatregelen nodig. Gegevens in risicoklasse 2 en hoger voldoen aan één van de onderstaande beschrijvingen: 1. bijzondere persoonsgegevens zoals bedoeld in artikel 16 WBP, t.w.: • godsdienst of levensovertuiging, politieke gezindheid, • ras, gezondheid en seksuele leven, • persoonsgegevens betreffende het lidmaatschap van een vakvereniging, • strafrechtelijke persoonsgegevens dan wel persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag. 2. de verwerking in het bank- en verzekeringswezen van gegevens over de persoonlijke of economische situatie van een betrokkene; 3. de gegevens die bij handelsinformatiebureaus worden verwerkt ten behoeve van kredietinformatie of schuldsanering; 4. de gegevens die worden verwerkt hebben betrekking op de gehele of grote delen van de bevolking (de impact van op zich onschuldige gegevens over een groot aantal betrokkenen); 5. alle verwerkingen van persoonsgegevens die met het bovenstaande vergelijkbaar zijn. Normaal gesproken mag een organisatie gegevens van risicoklasse 2 en hoger niet verwerken. De rechtvaardigingsgrond voor de ILT om persoonsgegevens in risicoklasse 2 toch te mogen verwerken is dat deze verwerkingen nodig zijn voor de uitvoering van de publieke taken van de ILT als bestuursorgaan. Om gegevens van risicoklasse 2 en hoger te mogen verwerken, zijn extra beveiligingsmaatregelen nodig. Elke klasse kent een bijbehorend niveau van beveiliging, dat gespecificeerd in de “Achtergrondstudies en Verkenningen 23” van de Registratiekamer. Deze achtergrondstudie is als bron gebruikt bij het specificeren van de benodigde maatregelen in dit document. Verder wordt opgemerkt dat de Inspectie zo weinig gerubriceerde informatie heeft die valt onder het VIR-GI, dat maatregelen daarvoor in deze lijst niet zijn opgenomen. V&W regelgeving De vigerende regelgeving binnen V&W die daarop betrekking heeft, staat hoofdzakelijk uit de volgende documenten: A. Hoofdstuk 4 van de "Achtergrondstudie en Verkenning 23", Registratiekamer, april 2001 (AV23) B. Integraal beveiligingsbeleid VenW 09-06-2009, incl. V&W Baseline 2009 v1.2, incl. verwijzing naar het Privacyreglement verkeersregistratiesystemen C. Leidraad Bescherming persoonsgegevens V&W, par. 3.11
Bij het opstellen van de lijst is het opnemen van overlappende maatregelen zoveel mogelijk vermeden. Relevante maatregelen voor WBP risicoklasse 1-2
1. Beveiligingsbeleid o Nagaan of de verwerking voldoet aan het vastgestelde Beveiligingsbeleid V&W (minimum eisen, opstellen WBP melding) 2. Administratieve Organisatie o Taken, bevoegdheden en verantwoordelijkheden, incl. functiescheiding zijn expliciet vastgelegd in relatie tot de omgang met persoonsgegevens 3. Beveiligingsbewustzijn o Regelmatig de kennis van medewerkers bijhouden om correct (b.v. incidenten rapportage) met deze gegevens om te kunnen gaan o De huisregels zijn uitgegeven voor het gebruik van bedrijfsgegevens, gebruik van informatiesystemen, e-mail en internet 4 .Personeelseisen o Tijdelijke medewerkers tekenen een geheimhoudingsverklaring en krijgen via strikte, schriftelijke voorwaarden toegang tot persoonsgegevens o Alle (ingehuurde) werknemers en externe gebruikers van informatiesystemen zijn verplicht zwakke plekken in systemen of diensten te registreren en te rapporteren. 5. Inrichting van de werkplek o De verantwoordelijke stelt procedures vast voor het verwerken van persoonsgegevens (opstelling randapparatuur, clean desk policy, screensaver) o Organisatorische, bouwkundige en elektronische maatregelen zijn getroffen. o Beveiliging van (mobiele) randapparatuur buiten de fysiek gecontroleerde omgeving (logische toegang, encryptie data) 6. Beheer en classificatie van de informatievoorziening o Alle belangrijke informatiebedrijfsmiddelen (waaronder informatie(systemen)) hebben een “eigenaar” en de beveiligingsmaatregelen zijn bekend per bedrijfsmiddel. o Er dient een procedure te zijn om malware besmettingen af te handelen o De procedures voor het onderhoud en de installatie van programmatuur op productiesystemen zijn schriftelijk vastgelegd o Datamodel, gebruikte protocollen, software, overige procesonderdelen zijn gedocumenteerd o Informatie moet worden geclassificeerd (gelabeld) met betrekking tot de waarde, wettelijke eisen, gevoeligheid en onmisbaarheid voor de organisatie. o Op basis van de beveiligingseisen zijn maatregelen gespecificeerd en de getroffen maatregelen worden regelmatig geëvalueerd op kosten/baten o Ongeautoriseerde apparatuur of geheugenmedia als USB sticks mogen niet worden aangesloten op het systeem; dit houdt in dat: de USB poorten buiten gebruik moet worden gesteld; de toegestane apparatuur moet zijn geïdentificeerd en geadministreerd de gebruikte apparatuur regelmatig moet worden gecontroleerd o Bij testen alleen gegevens van fictieve personen gebruiken 7.Toegangsbeheer en -controle o Toegekende bevoegdheden (zo minimaal mogelijk, functiescheiding is toegepast) worden bijgehouden o Er is een procedure voor het toekennen en controleren van bevoegdheden, incl. wijziging / intrekking van bevoegdheden bij functieverandering o Het systeem moet het gebruik van voor de hand liggende wachtwoorden weigeren 8. Netwerken en externe verbindingen o Voor netwerksystemen zijn algemeen gangbare beveiligingsmaatregelen getroffen, zoals actuele beveiligingssoftware o Zend en ontvangpunten verifiëren elkaar identiteit (digitale certificaten, login, IP filter); Deze authenticatie is niet voor derden te onderscheppen o De datacommunicatie is vercijferd 9. Verwerving, ontwikkeling en onderhoud van informatiesystemen o Invoergegevens in toepassingen moeten worden gevalideerd om vast te stellen dat vastgelegde en geproduceerde gegevens integer zijn.
Bron A A A A A A B A A B A A B A A B B A A A B
B
A A A, B A A A A, B A A A B
Relevante maatregelen voor WBP risicoklasse 1-2
Regelmatig wordt gecontroleerd of er niet goedgekeurde software wordt gebruikt De gebruikte software van derden moet in escrow worden gegeven De implementatie van wijzigingen moet worden beheerst met formele procedures. De toegang tot de broncode van programmatuur moet worden beperkt o Vóórdat het besturingssysteem van bedrijfskritische systemen wordt gewijzigd, zijn evt. nadelige gevolgen voor ondersteuning of beveiliging van de organisatie uitgesloten. o De organisatie moet uitbestede ontwikkeling van programmatuur controleren o De verantwoordelijke moet de gebruikte software schriftelijk goedkeuren en de gebruikte softwareversies worden adequaat geadministreerd en gedocumenteerd 10. Bulkverwerking van persoonsgegevens (geen maatregelen) 11. Bewaren van (persoons)gegevens o De procedure voor het regelmatig maken van back-ups is getest en vastgelegd de naleving daarvan wordt gecontroleerd o De naleving van de back-up procedure wordt regelmatig gecontroleerd o Back-ups worden bewaard op een andere locatie dan waar de verwerking plaatsvindt, in een afgesloten ruimte, voorzien van inbraakdetectie 12. Vernietiging van persoonsgegevens o Een bewaartermijn is vastgesteld die niet langer is dan noodzakelijk o Er wordt op toegezien dat de vastgestelde bewaartermijnen niet worden overschreden o Persoonsgegevens moeten worden vernietigd aan het einde van de bewaartermijn en bij wisseling of vervanging van de gegevensdragers o Het vernietigen moet op zorgvuldige wijze gebeuren (del *.* of format C: is onvoldoende, zie Tonino). De procedure voor de vernietiging van persoonsgegevens moet daarom schriftelijk zijn vastgelegd, incl. vernietiging van evt. tussenproducten en (uitgefaseerde) gegevensdragers (harddisks !). Er wordt geregistreerd: wie - wanneer - welke gegevens vernietigd - in wiens opdracht (verantwoordelijke) 13. Uitbesteding verwerking van persoonsgegevens o De uit te besteden werkzaamheden moeten nauwkeurig in het contract worden beschreven; vermijd dat de bewerker niet bedoelde verwerkingen uitvoert o In het contract wordt vastgelegd dat beide partijen zich aan de eisen in dit document houden, daarbij is inbegrepen: de zorgplicht voor de persoonsgegevens de informatieverplichting aan de betrokkenen een vrijwaring voor de minister o De verantwoordelijke moet een geheimhoudingsclausule in het contract opnemen o De verantwoordelijke moet jaarlijks het niveau van het beleid van de beveiliging (laten) controleren. Dit kan evt. middels een TPM o De verantwoordelijke voert hierop steekproefsgewijs een controle bij de bewerker uit o De privacyfunctionaris van V&W heeft toegang tot de uitbestede verwerking 14. Incidentenregistratie o De mate waarin de organisatie blootstaat aan technische kwetsbaarheden van de gebruikte informatiesystemen moet tijdig worden geëvalueerd en er moeten geschikte risicobeperkende maatregelen worden genomen. o De incidentenregistratie is erop gericht maatregelen en beleid te verbeteren en regelmatig over de opgetreden incidenten op hoofdlijnen te rapporteren. o De verantwoordelijkheden van het lijnmanagement en incidentprocedures maken dat (informatie)beveiligingsincidenten snel en doeltreffend kunnen worden afgehandeld. o Na een verwijtbaar (informatie)beveiligingsincident wordt een juridische vervolgprocedure tegen een persoon of organisatie (civiel of strafrechtelijk) ingesteld. o Bij een strafbaar feit van cybercrime doet het Hoofd van Dienst aangifte bij de politie o o o
WBP risicoklasse 2 Maatregelen v1.4.doc
Status: Definitief
Bron A A B B B A A A A A A A B C A
A
A B
A/C
A A A B B B B B B B
