PRIVACYBELEID
Rob Meerwijk PSEUDONIMISEER B.V. Danzigerkade 19, 1013 AP Amsterdam
Inhoudsopgave Inhoudsopgave........................................................................................................................................................................ 1 1.
Documentinformatie....................................................................................................................................................... 2 1.1.
2.
Documentgeschiedenis ........................................................................................................................................... 2
Privacybeleid Pseudonimiseer B.V. ................................................................................................................................. 3 2.1.
Wie is Pseudonimiseer B.V.? ................................................................................................................................... 3
2.2.
Wat doet Pseudonimiseer B.V.? ............................................................................................................................. 3
2.3.
Op welke wijze beschermt Pseudonimiseer B.V. privacygevoelige informatie? .................................................... 4
2.4.
Verwerkt Pseudonimiseer B.V. zelf persoonsgegevens? ........................................................................................ 4
2.5.
Vragen? ................................................................................................................................................................... 5
Pagina 1 van 5
1.
Documentinformatie
1.1.
Documentgeschiedenis
Versie
Auteur
Omschrijving
Datum
1.0
Rob Meerwijk
Versie 1.0
4-3-2014
Pagina 2 van 5
2.
Privacybeleid Pseudonimiseer B.V.
Pseudonimiseer B.V. werkt voor partijen die persoonsgegevens willen gebruiken. Maar het is onze opdracht om ervoor te zorgen dat deze partijen geen wetenschap krijgen van de identiteit van de betrokken personen. Als Trusted Third Party zorgen wij ervoor dat de privacy en de bescherming van persoonsgegevens niet in het geding komt. Iedereen die werkt met privacygevoelige gegevens moet zich houden aan de Wet Bescherming Persoonsgegevens (Wbp). De Wbp bevat strenge regels voor partijen die bijvoorbeeld persoonsgegevens willen analyseren voor doelgroepspecifieke communicatie. Pseudonimiseer B.V. zorgt er als Trusted Third Party voor dat dit soort analyses mogelijk zijn binnen de kaders van de wet. Wij garanderen dat onze dienstverlening geheel in lijn is met alle toepasselijke wet- en regelgeving.
2.1.
Wie is Pseudonimiseer B.V.?
Pseudonimiseer B.V. is een Trusted Third Party die pseudonimiseringsdiensten aanbiedt. Wij zijn gevestigd in Amsterdam en houden kantoor aan de Danzigerkade 19, 1013 AP in Amsterdam en ingeschreven in de Kamer van Koophandel onder nummer 58388702.
2.2.
Wat doet Pseudonimiseer B.V.?
Pseudonimiseer B.V. biedt pseudonimiseringsdiensten aan. Door pseudonimisering wordt de identiteit van een persoon omgezet in een niet tot deze persoon herleidbare, unieke code: een pseudoniem. Aan het pseudoniem zijn bepaalde kenmerken gekoppeld die vooraf zijn overeengekomen met de opdrachtgever, zoals bijvoorbeeld het geslacht en de woonplaats en het feit dat deze persoon bepaalde diensten afneemt. Deze informatie kan voor marktpartijen belangrijk zijn voor bijvoorbeeld hun communicatiestrategie, het verbeteren van hun dienstverlening of voor onderzoeksdoeleinden. We dragen er zorg voor dat de pseudoniemen niet herleidbaar zijn tot individuen, ook niet in combinatie met de aan het pseudoniem gekoppelde gegevens. Als het koppelen van bepaalde gegevens tot resultaat zou hebben dat de identiteit van een persoon indirect herleidbaar is voor een opdrachtgever, dan worden de gegevens niet gebruikt. Ook niemand bij Pseudonimiseer B.V. krijgt wetenschap van de identiteit van de betrokken personen. De partijen van wie wij gegevens ontvangen, maken namelijk zelf eerst een pre-pseudoniem. Wij beschikken over de deskundigheid en technische middelen om doelgericht te kunnen inspelen op de specifieke behoeftes van onze opdrachtgevers. Om in alle gevallen de privacy te waarborgen, is dit ook noodzakelijk. Daarom voeren wij altijd een intakegesprek met onze opdrachtgevers waarbij nauwkeurig in kaart wordt gebracht hoeveel en welke categorieën gegevens voor welke doelstellingen zullen worden verwerkt. Aan de hand daarvan stellen wij vast of onze standaardprocessen, -technieken en -maatregelen afdoende zijn of dat de specifieke opdracht vereist dat wij onze dienstverlening aanpassen. Onze pseudonimiseringssoftware bestaat in de eerste plaats uit een applicatie die wordt gebuikt door de partijen die gegevens aanleveren. Met deze applicatie wordt de identiteit van de betrokkenen een eerste maal versleuteld tot een pre-pseudoniem. Via een beveiligde verbinding worden deze pre-pseudoniemen verzonden aan Pseudonimiseer B.V. De software bestaat ten tweede uit programmatuur die zich bij Pseudonimiseer B.V. zelf bevindt. Met behulp van deze programmatuur worden definitieve pseudoniemen gegenereerd en aan de opdrachtgever aangeleverd. Download hier onze factsheet waarin de gehanteerde technologie voor het pseudonimiseren nader staat beschreven.
Pagina 3 van 5
2.3.
Op welke wijze beschermt Pseudonimiseer B.V. privacygevoelige informatie?
Het pseudonimiseren van persoonsgegevens vereist de grootst mogelijk zorgvuldigheid. Niet alleen moeten opdrachtgevers op de door Pseudonimiseer B.V. aangeboden dienstverlening en oplossingen kunnen vertrouwen, wij moeten ook voldoen aan de eisen die het College Bescherming Persoonsgegevens (CBP). Het CBP is de instantie die toezicht houdt op naleving van de Wbp. Het CBP heeft vastgesteld dat pseudonimisering een goede methode is om gegevens te gebruiken zonder daardoor de privacy of bescherming van persoonsgegevens in het geding te brengen. Wel stelt het CBP daaraan bepaalde vereisten. Pseudonimiseer B.V. voldoet geheel aan deze vereisten: 1. Er wordt vakkundig gebruik gemaakt van pseudonimisering, waarbij de eerste pseudonimisering plaatsvindt bij de aanbieder; 2. Er zijn technische en organisatorische maatregelen genomen om herhaalbaarheid van de versleuteling (‘replay attack’) te voorkomen; 3. De verwerkte gegevens zijn niet indirect identificerend; 4. In een onafhankelijk deskundig oordeel (audit) wordt vooraf en daarna periodiek vastgesteld dat aan voorwaarden 1), 2) en 3) is voldaan; 5. De werkwijze wordt beschreven en gepubliceerd. U kunt hier meer lezen over de vereisten die het CBP stelt aan pseudonimisering. Om aan deze voorwaarden te voldoen, hanteren wij een werkwijze waarbij de verschillende stappen in het pseudonimiseringsproces strikt gescheiden blijven: (i) het pre-pseudonimiseren, versleutelen en aanleveren van de gegevens, (ii) het definitief pseudonimiseren door Pseudonimiseer B.V. en (iii) de verstrekking van de pseudoniemen aan de opdrachtgever. Op deze wijze wordt de relatie tussen pseudoniem en individu verbroken en is het niet langer mogelijk om van het aangemaakte pseudoniem terug te gaan naar de oorspronkelijke persoon. Wij nemen state-of-the art technische en organisatorische beveiligingsmaatregelen om te waarborgen dat de sleutel en de techniek van de bij ons uitgevoerde pseudonimisering te allen tijde geheim is en blijft voor zowel onze opdrachtgevers als voor derden. Om te waarborgen dat de door ons gegenereerde pseudoniemen niet (direct of indirect) herleidbaar zijn naar individuen, voeren wij een zorgvuldige analyse uit naar de bedrijfsvoering van onze opdrachtgevers, de bij hen aanwezige gegevens en het risico dat zij door een combinatie van gegevens de identiteit van individuen kunnen achterhalen. Ook nemen wij een aantal voorzorgsmaatregelen om ervoor te waken dat niet teveel data aan één pseudoniem worden gekoppeld, door zo nodig verschillende pseudoniemen of versleutelingen te gebruiken voor verschillende opdrachtgevers of afdelingen van opdrachtgevers en door de pseudoniemen periodiek te veranderen indien nodig. Pseudonimiseer B.V. laat heeft eenmalig een onafhankelijke derde partij onderzoek doen naar de gebruikte software, processen, gemaakte afspraken met opdrachtgevers, en het beveiligingsbeleid (audit). Op die manier waarborgen wij een veilige en hoogwaardige dienstverlening. Dit onderzoek wordt vervolgens jaarlijks herhaald.
2.4.
Verwerkt Pseudonimiseer B.V. zelf persoonsgegevens?
Omdat de eerste versleuteling (pre-pseudonimisering) plaatsvindt bij de partijen die gegevens aanleveren aan Pseudonimiseer B.V., kwalificeren de gegevens waarover Pseudonimiseer B.V. in het kader van onze dienstverlening de beschikking krijgt niet als persoonsgegevens. Voor zover deze pre-pseudoniemen in combinatie met de daaraan gekoppelde kenmerken herleidbaar zouden zijn tot een individu, geldt dat de gekoppelde kenmerken zodanig versleuteld zijn dat deze niet door ons kunnen worden ingezien.
Pagina 4 van 5
Nu wij deze versleutelde gegevens echter wel ontvangen, kan Pseudonimiseer B.V. wel worden aangemerkt als ‘bewerker van persoonsgegevens’ in de zin van de Wbp. Pseudonimiseer B.V. houdt zich aan alle vereisten die gelden voor bewerkers: 1. De gegevens worden alleen verwerkt in opdracht van onze opdrachtgevers. Wij maken van de gegevens geen gebruik voor eigen doeleinden of doeleinden van derden; 2. Er worden passende technische en organisatorische maatregelen ten uitvoer gelegd om de gegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau, gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen; 3. Op geen enkele wijze maakt Pseudonimiseer B.V. de persoonsgegevens en/of de inhoud van de overeenkomst met onze opdrachtgevers aan derden bekend maken, tenzij wij daartoe verplicht zijn op grond van de wet of als dit geschiedt ten behoeve van audits door de door ons ingeschakelde onafhankelijke derden.
2.5.
Vragen?
Mocht u vragen hebben over dit Privacybeleid of over pseudonimisering in het algemeen, dan kunt u contact met ons opnemen.
Pagina 5 van 5
