Gegevensbescherming

Voorwoord

Ons beleid inzake de bescherming van bedrijfsgegevens bevat strikte vereisten voor de verwerking van persoonsgegevens van klanten, prospects, zakenpartners en werknemers. Het voldoet aan de vereisten van de Europese richtlijn gegevensbescherming (AVG) en zorgt voor naleving van de beginselen van nationale en internationale wetgeving inzake gegevensbescherming.

Het beleid bepaalt de toepasselijke normen voor gegevensbescherming en beveiliging voor ons bedrijf en regelt het delen van informatie tussen onze groepsmaatschappijen. We hebben zeven principes voor gegevensbescherming vastgesteld, waaronder transparantie, gegevenseconomie en gegevensbeveiliging, als onze richtlijn.

Onze managers en werknemers zijn verplicht zich te houden aan het beleid en hun lokale wetgeving inzake gegevensbescherming na te leven.

Als verantwoordelijke voor de bescherming van bedrijfsgegevens is het mijn plicht ervoor te zorgen dat de regels en principes van gegevensbescherming worden nageleefd Dents worden gevolgd.

Robert Yentob

Voorzitter

23/5/18

Inhoud

I. Doel van het gegevensbeschermingsbeleid

II. Reikwijdte van het gegevensbeschermingsbeleid

III. Toepassing van nationale wetten

IV. Grondslagen voor het verwerken van persoonsgegevens

1. Eerlijkheid en rechtmatigheid

2. Beperking tot een bepaald doel

3. Transparantie

4. Datareductie en data-economie

5. Verwijderen

6. Feitelijke juistheid; actuele gegevens

7. Vertrouwelijkheid en gegevensbeveiliging

V. Betrouwbaarheid van gegevensverwerking

1. Klant- en partnergegevens

1.1 Gegevensverwerking voor een contractuele relatie

1.2 Gegevensverwerking voor advertentiedoeleinden

1.3 Toestemming voor gegevensverwerking

1.4 Gegevensverwerking op grond van wettelijke toestemming

1.5 Gegevensverwerking op grond van gerechtvaardigd belang

1.6 Verwerking van zeer gevoelige gegevens

1.7 Geautomatiseerde individuele beslissingen

1.8 Gebruikersgegevens en internet

2. Werknemersgegevens

2.1 Gegevensverwerking voor de arbeidsrelatie

2.2 Gegevensverwerking op grond van wettelijke toestemming

2.3 Toestemming voor gegevensverwerking

2.4Gegevensverwerking op grond van gerechtvaardigd belang

2.5 Verwerking van zeer gevoelige gegevens

2.6 Geautomatiseerde beslissingen

2.7 Telecommunicatie en internet

VI. Overdracht van persoonsgegevens

VII. Contractgegevensverwerking

VIII. Rechten van de betrokkene

IX. Vertrouwelijkheid van verwerking

X. Verwerkingsbeveiliging

XI. Controle gegevensbescherming

XII. Incidenten op het gebied van gegevensbescherming

XIII. Verantwoordelijkheden en sancties

I. Doel van het gegevensbeschermingsbeleid

Als onderdeel van haar maatschappelijke verantwoordelijkheid zet de Dewhurst Dent Group (de Groep) zich in voor naleving van de wetgeving inzake gegevensbescherming. Dit gegevensbeschermingsbeleid is wereldwijd van toepassing op de Groep en is gebaseerd op wereldwijd aanvaarde basisprincipes op het gebied van gegevensbescherming. Het waarborgen van gegevensbescherming is de basis van betrouwbare zakelijke relaties en de reputatie van alle bedrijven in de Groep als aantrekkelijke werkgever.

Het gegevensbeschermingsbeleid biedt een van de noodzakelijke randvoorwaarden voor grensoverschrijdend verkeer

gegevensoverdracht tussen de groepsmaatschappijen. Het zorgt voor een adequaat niveau van gegevensbescherming

voorgeschreven door de AVG en de nationale wetten voor grensoverschrijdende gegevensoverdracht, ook in landen die nog geen adequate wetgeving inzake gegevensbescherming hebben.

II. Reikwijdte van het gegevensbeschermingsbeleid

Dit gegevensbeschermingsbeleid is van toepassing op alle bedrijven en divisies van de Groep, d.w.z. Dents, Gaby, Dents Australia Pty, Corgi Hosiery Ltd, D.Charles Astle (Auctioneers) en Hersil Fabrics.

Het gegevensbeschermingsbeleid strekt zich uit tot alle verwerkingen van persoonsgegevens

III. Toepassing van nationale wetten

Dit gegevensbeschermingsbeleid bevat de internationaal aanvaarde gegevensprivacyprincipes

zonder de bestaande nationale wetten te vervangen. Het vormt een aanvulling op de nationale wetgeving inzake gegevensprivacy. De

relevante nationale wetgeving heeft voorrang in het geval dat deze in strijd is met deze gegevensbescherming

beleid, of het heeft strengere vereisten dan dit beleid. De inhoud van dit gegevensbeschermingsbeleid

moeten ook worden nageleefd bij gebreke van overeenkomstige nationale wetgeving. De rapportage

vereisten voor gegevensverwerking volgens de nationale wetgeving moeten worden nageleefd.

Elk bedrijf van de Groep is verantwoordelijk voor de naleving van dit gegevensbeschermingsbeleid en de wettelijke verplichtingen. Alle werknemers moeten dit beleid en alle gerelateerde beleidslijnen lezen, begrijpen en naleven bij het verwerken van persoonsgegevens en elke inbreuk kan leiden tot disciplinaire maatregelen.

IV. Grondslagen voor de verwerking van persoonsgegevens

1. Eerlijkheid en rechtmatigheid

Bij de verwerking van persoonsgegevens moeten de individuele rechten van de betrokkenen worden beschermd.

Persoonsgegevens moeten op een rechtmatige en eerlijke manier worden verzameld en verwerkt. De wetgeving inzake gegevensbescherming staat verwerking voor specifieke doeleinden toe, die in dit beleid worden uiteengezet. Betrokkenen zullen op de hoogte worden gebracht van de doeleinden voor de verwerking van hun persoonsgegevens, die te vinden zijn in de privacyverklaring voor werknemers van het bedrijf.

2. Beperking tot een specifiek, expliciet en legitiem doel

Persoonsgegevens kunnen alleen worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden en zullen niet worden verwerkt op een manier die onverenigbaar is met die doeleinden. Latere wijziging van het doel is slechts beperkt mogelijk en behoeft een onderbouwing.

3. Transparantie

De betrokkene moet geïnformeerd worden over de manier waarop met zijn gegevens wordt omgegaan. [Medewerkers krijgen een privacyverklaring waarin ze worden geïnformeerd over hoe hun gegevens worden verwerkt.] De informatie is beknopt, transparant, gemakkelijk toegankelijk en in duidelijke en begrijpelijke taal.

Over het algemeen zullen persoonsgegevens rechtstreeks van de betrokkene worden verzameld. Wanneer de gegevens worden verzameld, moet de betrokkene op de hoogte zijn van of geïnformeerd zijn over:

» De identiteit van de verwerkingsverantwoordelijke

» Het doel van de gegevensverwerking

» Derden of categorieën van derden aan wie de gegevens kunnen worden doorgegeven

Persoonsgegevens kunnen ook indirect worden verzameld (bijvoorbeeld van een derde partij of openbaar beschikbare bronnen). De betrokkene wordt zo spoedig mogelijk na het verzamelen/ontvangen van de gegevens geïnformeerd over bovenstaande informatie.

4. Datareductie en data-economie

Persoonsgegevens moeten adequaat, relevant en beperkt zijn tot wat nodig is in relatie tot de doeleinden waarvoor ze worden verwerkt. Voordat u persoonsgegevens verwerkt, moet u bepalen of en in welke mate de verwerking van persoonsgegevens noodzakelijk is om het doel te bereiken waarvoor deze wordt uitgevoerd.

Waar het doel het toelaat en de kosten in verhouding staan tot het nagestreefde doel, moeten geanonimiseerde of statistische gegevens worden gebruikt. Persoonlijke gegevens mogen niet van tevoren worden verzameld en opgeslagen voor mogelijke toekomstige doeleinden, tenzij vereist of toegestaan door de nationale wetgeving.

5. Verwijderen

Wanneer persoonlijke gegevens niet langer nodig zijn, worden deze verwijderd in overeenstemming met de richtlijnen en het beleid voor het bewaren van gegevens van het bedrijf. Betrokkenen worden geïnformeerd over de periode waarvoor gegevens worden opgeslagen en hoe die periode wordt bepaald in het privacybeleid.

Derden moeten waar van toepassing worden verplicht om gegevens te verwijderen die niet langer nodig zijn.

6. Feitelijke juistheid; actuele gegevens

De geregistreerde persoonsgegevens moeten juist zijn en – indien nodig – worden bijgehouden. Er moeten passende maatregelen worden genomen om ervoor te zorgen dat onjuiste of onvolledige gegevens worden verwijderd, gecorrigeerd, aangevuld of bijgewerkt.

7. Vertrouwelijkheid en gegevensbeveiliging

Persoonlijke gegevens zijn onderworpen aan vertrouwelijkheid. Het moet op persoonlijk niveau als vertrouwelijk worden behandeld en worden beveiligd met passende organisatorische en technische maatregelen om ongeoorloofde toegang, illegale verwerking of verspreiding, evenals onopzettelijk verlies, beschadiging, wijziging of vernietiging te voorkomen. We hebben veiligheidsmaatregelen getroffen die passen bij onze omvang, reikwijdte, middelen en geïdentificeerde risico's die regelmatig zullen worden geëvalueerd en getest. We hebben procedures ingevoerd om elke vermoedelijke inbreuk op persoonsgegevens aan te pakken en zullen de betrokkenen of een toepasselijke regelgevende instantie op de hoogte stellen wanneer we wettelijk verplicht zijn dit te doen.

Persoonlijke gegevens worden alleen overgedragen aan externe dienstverleners die ermee instemmen zich te houden aan onze vereiste beleidslijnen en procedures en die ermee instemmen adequate maatregelen te nemen om de gegevensbeveiliging te handhaven. Persoonsgegevens zullen niet worden overgedragen naar een ander land zonder dat er passende waarborgen zijn getroffen.

IN. Betrouwbaarheid van gegevensverwerking

Het verzamelen, verwerken en gebruiken van persoonsgegevens is alleen toegestaan onder de volgende rechtsgrondslagen.

Een van deze rechtsgrondslagen is ook vereist als het doel van het verzamelen, verwerken en gebruiken van de persoonsgegevens moet worden gewijzigd ten opzichte van het oorspronkelijke doel

1. Klant- en partnergegevens

1.1 Gegevensverwerking voor een contractuele relatie

Persoonsgegevens van de betreffende prospects, klanten en partners kunnen worden verwerkt om een overeenkomst tot stand te brengen, uit te voeren en te beëindigen. Dit omvat ook adviesdiensten voor de partner onder het contract als dit verband houdt met het contractuele doel. Voorafgaand aan een contract - tijdens de contractinitiatiefase - kunnen persoonsgegevens worden verwerkt om biedingen of inkooporders voor te bereiden of om te voldoen aan andere verzoeken van de prospect die betrekking hebben op het sluiten van een contract. Prospects kunnen worden gecontacteerd tijdens het contractvoorbereidingsproces met behulp van de informatie die zij hebben verstrekt. Alle beperkingen die door de prospects worden gevraagd, moeten worden nageleefd.

1.2 Gegevensverwerking voor advertentiedoeleinden

Als de betrokkene contact opneemt met een groepsmaatschappij om informatie op te vragen (bijv. verzoek om informatiemateriaal over een product te ontvangen), is gegevensverwerking om aan dit verzoek te voldoen toegestaan.

Klantloyaliteit of reclamemaatregelen zijn onderworpen aan verdere wettelijke vereisten. Persoonsgegevens kunnen worden verwerkt voor reclamedoeleinden of markt- en opinieonderzoek, mits dit verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verzameld. De betrokkene moet worden geïnformeerd over het gebruik van zijn gegevens voor reclamedoeleinden. Als gegevens alleen voor reclamedoeleinden worden verzameld, is de openbaarmaking door de betrokkene vrijwillig. De betrokkene wordt geïnformeerd dat het verstrekken van gegevens voor dit doel vrijwillig is. Bij communicatie met de betrokkene moet toestemming van hem/haar worden verkregen om de gegevens voor reclamedoeleinden te verwerken. Bij het geven van toestemming moet de betrokkene de keuze krijgen uit beschikbare vormen van contact, zoals gewone post, e-mail en telefoon (Toestemming, zie V.1.3). Als de betrokkene het gebruik van zijn/haar gegevens voor reclamedoeleinden weigert, kunnen deze niet langer voor deze doeleinden worden gebruikt en moeten ze worden geblokkeerd voor gebruik voor deze doeleinden. Alle andere beperkingen uit specifieke landen met betrekking tot het gebruik van gegevens voor reclamedoeleinden moeten worden nageleefd.

1.3 Toestemming voor gegevensverwerking

Gegevens kunnen worden verwerkt na toestemming van de betrokkene. Alvorens toestemming te geven, moet de betrokkene worden geïnformeerd conform IV.3. van dit gegevensbeschermingsbeleid. De toestemmingsverklaring moet schriftelijk of elektronisch worden verkregen voor documentatiedoeleinden. In sommige gevallen, zoals bij telefoongesprekken, kan toestemming mondeling worden gegeven. Het verlenen van toestemming moet worden gedocumenteerd.

1.4 Gegevensverwerking op grond van wettelijke toestemming

De verwerking van persoonsgegevens is ook toegestaan als de nationale wetgeving dit vereist, vereist of toestaat. Het type en de omvang van de gegevensverwerking moeten noodzakelijk zijn voor de wettelijk toegestane gegevensverwerkingsactiviteit en moeten voldoen aan de relevante wettelijke bepalingen.

1.5 Gegevensverwerking op grond van gerechtvaardigd belang

Persoonsgegevens kunnen ook worden verwerkt als dit noodzakelijk is voor een gerechtvaardigd belang van de Groep. Gerechtvaardigde belangen zijn over het algemeen van juridische (bijv. incassering van uitstaande vorderingen) of commerciële aard (bijv. het voorkomen van contractbreuk). Persoonsgegevens mogen niet worden verwerkt ten behoeve van een gerechtvaardigd belang als er in individuele gevallen bewijs is dat de belangen van de betrokkene bescherming verdienen en dat dit voorrang heeft. Voordat gegevens worden verwerkt, moet worden vastgesteld of er belangen zijn die bescherming verdienen.

1.6 Verwerking van zeer gevoelige gegevens

Zeer gevoelige persoonsgegevens mogen alleen worden verwerkt als de wet dit vereist of de betrokkene uitdrukkelijk toestemming heeft gegeven. Deze gegevens kunnen ook worden verwerkt als dit verplicht is voor het doen gelden, uitoefenen of verdedigen van rechtsvorderingen met betrekking tot de betrokkene. Als er plannen zijn om zeer gevoelige gegevens te verwerken, moet de voorzitter of CEO van het betrokken bedrijf (dit zijn de functionarissen voor gegevensbescherming) vooraf op de hoogte worden gebracht.

1.7 Geautomatiseerde individuele beslissingen

Geautomatiseerde verwerking van persoonsgegevens die wordt gebruikt om bepaalde aspecten (bijvoorbeeld kredietwaardigheid) te evalueren, kan niet de enige basis zijn voor beslissingen die negatieve juridische gevolgen hebben of de betrokkene aanzienlijk kunnen schaden. De betrokkene moet worden geïnformeerd over de feiten en resultaten van geautomatiseerde individuele besluiten en de mogelijkheid om te reageren. Om foutieve beslissingen te voorkomen, moet een test en plausibiliteitscontrole worden uitgevoerd door een medewerker.

1.8 Gebruikersgegevens en internet

Als op websites of in apps persoonsgegevens worden verzameld, verwerkt en gebruikt, moeten de betrokkenen hierover worden geïnformeerd in een privacyverklaring en, indien van toepassing, informatie over cookies. De privacyverklaring en eventuele cookie-informatie moeten zodanig worden geïntegreerd dat deze eenvoudig te identificeren, direct toegankelijk en consistent beschikbaar is voor de betrokkenen. Als gebruiksprofielen (tracking) worden aangemaakt om het gebruik van websites en apps te evalueren, moeten de betrokkenen altijd hierover worden geïnformeerd in de privacyverklaring. Persoonlijke tracking mag alleen worden uitgevoerd als dit is toegestaan volgens de nationale wetgeving of met toestemming van de betrokkene. Als tracking gebruik maakt van een pseudoniem, moet de betrokkene de mogelijkheid krijgen om zich af te melden in de privacyverklaring. Als websites of apps toegang hebben tot persoonsgegevens in een gebied dat beperkt is tot geregistreerde gebruikers, moet de identificatie en authenticatie van de betrokkene voldoende bescherming bieden bij de toegang.

2. Werknemersgegevens

2.1 Gegevensverwerking voor de arbeidsrelatie

In arbeidsverhoudingen kunnen persoonsgegevens worden verwerkt als dit nodig is om de arbeidsovereenkomst uit te voeren, waaronder het initiëren, uitvoeren en beëindigen van een dienstverband. Bij het aangaan van een arbeidsrelatie kunnen persoonsgegevens van sollicitanten worden verwerkt. Als de kandidaat wordt afgewezen, moeten zijn/haar gegevens binnen 6 maanden worden verwijderd, tenzij de sollicitant ermee heeft ingestemd dat deze in het bestand blijven voor een toekomstig selectieproces.

In de bestaande arbeidsrelatie kan gegevensverwerking noodzakelijk zijn voor de uitvoering van de arbeidsovereenkomst, maar er kunnen ook andere wettelijke grondslagen voor de verwerking zijn, zoals hieronder uiteengezet. Als het tijdens de sollicitatieprocedure nodig mocht zijn om informatie over een sollicitant bij een derde te verzamelen, moeten de vereisten van de overeenkomstige nationale wetgeving worden nageleefd. Bij twijfel moet toestemming worden verkregen van de betrokkene. Er kunnen alternatieve rechtsgrondslagen zijn om persoonsgegevens te verwerken die verband houden met de arbeidsrelatie. Dit kunnen wettelijke vereisten zijn, toestemming van de werknemer of het gerechtvaardigd belang van het bedrijf.

2.2 Gegevensverwerking op grond van wettelijke verplichting

De verwerking van persoonsgegevens van werknemers is ook toegestaan als de nationale wetgeving dit vereist, vereist of toestaat. Het type en de omvang van de gegevensverwerking moeten noodzakelijk zijn voor de wettelijk toegestane gegevensverwerkingsactiviteit en moeten voldoen aan de relevante wettelijke bepalingen.

2.3 Toestemming voor gegevensverwerking

Met toestemming van de betrokkene kunnen gegevens van werknemers worden verwerkt. Toestemmingsverklaringen moeten vrijwillig worden ingediend. Onvrijwillige toestemming is nietig. De toestemmingsverklaring moet schriftelijk of elektronisch worden verkregen voor documentatiedoeleinden. In bepaalde omstandigheden kan toestemming mondeling worden gegeven, in welk geval deze goed moet worden gedocumenteerd.

Een werknemer stemt in met de verwerking van zijn persoonsgegevens als hij duidelijk aangeeft in te stemmen met de verwerking door middel van een verklaring of positieve actie. Als toestemming wordt gegeven in een document dat andere zaken behandelt, moet de toestemming gescheiden worden gehouden van die andere zaken. Medewerkers moeten de toestemming op elk moment eenvoudig kunnen intrekken.

Tenzij er een andere rechtsgrondslag is voor de verwerking, is voor de verwerking van bijzondere categorieën van gegevens uitdrukkelijke toestemming vereist (zie paragraaf 2.5 hieronder). Gewoonlijk zal het Bedrijf zich baseren op een andere wettelijke basis en zal het geen expliciete toestemming nodig hebben om bijzondere categoriegegevens te verwerken.

2.4 Gegevensverwerking op grond van gerechtvaardigd belang

Persoonsgegevens kunnen ook worden verwerkt als dit noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de Groep of een derde. Gerechtvaardigde belangen zijn over het algemeen van juridische (bijv. indienen, afdwingen van of verdedigen tegen juridische claims), financiële (bijv. taxatie van bedrijven) of andere aard (bijv. Het is noodzakelijk om de vitale belangen van het individu of een andere persoon te beschermen of het is noodzakelijk voor de vervulling van een taak van algemeen belang)

Persoonsgegevens mogen niet worden verwerkt op basis van een gerechtvaardigd belang als die belangen in individuele gevallen zwaarder wegen dan de belangen of fundamentele rechten en vrijheden van de betrokkene die bescherming van persoonsgegevens vereisen. De legitieme belangen waarop een beroep wordt gedaan, worden uiteengezet in de toepasselijke privacyverklaringen. Bovendien moet rekening worden gehouden met eventuele aanvullende vereisten op grond van de nationale wetgeving (bijv. medezeggenschapsrechten voor de werknemersvertegenwoordigers en informatierechten van de betrokkenen).

2.5 Verwerking van zeer gevoelige gegevens

Zeer gevoelige persoonsgegevens mogen alleen onder bepaalde voorwaarden worden verwerkt. Zeer gevoelige gegevens zijn gegevens over ras en etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, vakbondslidmaatschap, genetische gegevens, biometrische gegevens, gezondheidsgegevens en gegevens over het seksuele leven en de geaardheid van de betrokkene. Volgens de nationale wetgeving kunnen andere gegevenscategorieën als zeer gevoelig worden beschouwd of kan de inhoud van de gegevenscategorieën anders worden ingevuld. Bovendien kunnen gegevens die betrekking hebben op strafrechtelijke veroordelingen en strafbare feiten vaak alleen worden verwerkt op grond van speciale vereisten krachtens de nationale wetgeving. De verwerking moet uitdrukkelijk zijn toegestaan of voorgeschreven door het nationale recht. Daarnaast kan verwerking worden toegestaan als dit noodzakelijk is voor de verantwoordelijke autoriteit om haar rechten en plichten op het gebied van arbeidsrecht na te komen. De medewerker kan ook uitdrukkelijk toestemming geven voor verwerking. Als er plannen zijn om zeer gevoelige gegevens te verwerken, moet de Data Protection Manager vooraf op de hoogte worden gebracht.

In de volgende omstandigheden kunnen zeer gevoelige gegevens worden verwerkt:

Met uitdrukkelijke toestemming van de betrokkene
Wanneer de verwerking noodzakelijk is voor het uitvoeren of uitoefenen van verplichtingen of rechten die bij wet zijn opgelegd aan de verwerkingsverantwoordelijke of de betrokkene in verband met werk, sociale zekerheid of sociale bescherming en de werkgever beschikt over een passend beleidsdocument en aanvullende waarborgen
Wanneer de verwerking noodzakelijk is om de vitale belangen van het individu of een andere persoon te beschermen en het individu niet in staat is om toestemming te geven
Wanneer de verwerking betrekking heeft op persoonsgegevens die de betrokkene openbaar heeft gemaakt
Wanneer de verwerking noodzakelijk is voor het instellen, uitoefenen of verdedigen van rechtsvorderingen
Wanneer de verwerking noodzakelijk is om redenen van zwaarwegend algemeen belang, op voorwaarde dat de werkgever over een passend beleidsdocument en aanvullende waarborgen beschikt. Dit kan het verwerken van gegevens omvatten met het oog op het bevorderen van gelijke behandeling
Wanneer de verwerking noodzakelijk is voor de beoordeling van de arbeidscapaciteit van het individu of naar aanleiding van een contact met een gezondheidswerker, en onder voorbehoud van vertrouwelijkheidswaarborgen

2.6 Geautomatiseerde beslissingen

Als persoonsgegevens automatisch worden verwerkt als onderdeel van de arbeidsrelatie en specifieke persoonsgegevens worden geëvalueerd (bijvoorbeeld als onderdeel van personeelsselectie of de evaluatie van competentieprofielen), kan deze automatische verwerking niet de enige basis zijn voor beslissingen die negatieve gevolgen zouden hebben of grote impact op de getroffen werknemer. Om foutieve beslissingen te voorkomen, moet het geautomatiseerde proces ervoor zorgen dat een natuurlijke persoon de situatie inhoudelijk beoordeelt en dat deze beoordeling de basis vormt voor het besluit. Ook moet de betrokkene worden geïnformeerd over de feiten en resultaten van geautomatiseerde verwerkingen en de mogelijkheid om te reageren. Het bedrijf is niet van plan om gebruik te maken van geautomatiseerde besluitvorming, maar zal het personeel schriftelijk op de hoogte stellen als de functie wijzigt.

2.7 Telecommunicatie en internet

Telefoonapparatuur, e-mailadressen, intranet en internet alsmede interne sociale netwerken worden door het bedrijf voornamelijk ter beschikking gesteld voor werkgerelateerde opdrachten. Ze zijn een hulpmiddel en een bedrijfshulpmiddel. Ze kunnen worden gebruikt binnen de toepasselijke wettelijke voorschriften en het interne bedrijfsbeleid. In het geval van geautoriseerd gebruik voor privédoeleinden, moeten de wetten op het telecommunicatiegeheim en de relevante nationale telecommunicatiewetten worden nageleefd, indien van toepassing. Er zal geen algemeen toezicht zijn op telefoon- en e-mailverkeer of intranet-/internetgebruik. Ter verdediging tegen aanvallen op de IT-infrastructuur of individuele gebruikers kunnen beschermende maatregelen worden genomen voor de verbindingen met de netwerken van de groepsmaatschappijen die technisch schadelijke inhoud blokkeren of de aanvalspatronen analyseren. Om veiligheidsredenen kan het gebruik van telefoonapparatuur, e-mailadressen, intranet/internet en interne sociale netwerken tijdelijk worden gelogd. Evaluaties van deze gegevens van een specifieke persoon kunnen alleen worden gemaakt in het geval van vermoedelijke schendingen van wetten of beleidslijnen van de Groep. De relevante nationale wetten moeten op dezelfde manier worden nageleefd als de groepsvoorschriften.

WIJ. Overdracht van persoonsgegevens

Overdracht van persoonsgegevens naar ontvangers buiten of binnen de Groep is onderworpen aan de autorisatievereisten voor het verwerken van persoonsgegevens onder Sectie V. Persoonlijke gegevens worden niet gedeeld met derden, tenzij er bepaalde waarborgen en contractuele regelingen zijn getroffen. De ontvanger van de gegevens moet worden verplicht de gegevens alleen voor de gedefinieerde doeleinden en in overeenstemming met onze instructies te gebruiken.

In het geval dat gegevens worden doorgegeven aan een ontvanger buiten de Groep naar een derde land, inclusief een land buiten de EU, zullen we ervoor zorgen dat er in dat land een passend beschermingsniveau is om persoonsgegevens te beschermen die gelijkwaardig zijn aan de beschermingsniveaus uiteengezet in dit gegevensbeschermingsbeleid. Als gegevens door een derde partij aan een groepsmaatschappij worden doorgegeven, moet ervoor worden gezorgd dat de gegevens voor het beoogde doel worden gebruikt.

VII. Contractgegevensverwerking

Gegevensverwerking namens houdt in dat een provider wordt ingehuurd om persoonsgegevens te verwerken, zonder

verantwoordelijkheid krijgen voor het bijbehorende bedrijfsproces. In deze gevallen een overeenkomst

inzake gegevensverwerking namens moeten worden afgesloten met externe aanbieders en tussen bedrijven

binnen de Groep. De opdrachtgever blijft volledig verantwoordelijk voor de juiste uitvoering van de gegevensverwerking. De provider kan persoonlijke gegevens alleen verwerken volgens de instructies van de klant. Bij het verstrekken van de opdracht moet aan de volgende eisen worden voldaan; de afdeling die de bestelling plaatst, moet ervoor zorgen dat hieraan wordt voldaan.

De aanbieder moet worden gekozen op basis van zijn vermogen om de vereiste technische en organisatorische beschermingsmaatregelen te dekken.
De bestelling moet schriftelijk worden geplaatst. De instructies over gegevensverwerking en de verantwoordelijkheden van de klant en provider moeten worden gedocumenteerd.
De contractuele normen voor gegevensbescherming die door de Data Protection Manager worden verstrekt, moeten in acht worden genomen.
Voordat de gegevensverwerking begint, moet de klant erop kunnen vertrouwen dat de aanbieder aan de verplichtingen zal voldoen. Een provider kan zijn naleving van gegevensbeveiligingsvereisten documenteren in

met name door het overleggen van geschikte certificaten. Afhankelijk van het risico van gegevensverwerking moeten de beoordelingen tijdens de looptijd van het contract regelmatig worden herhaald.

Maak alleen gebruik van medewerkers en andere personen die een geheimhoudingsplicht hebben met betrekking tot de gegevens.
Voldoe aan veiligheidsverplichtingen die gelijkwaardig zijn aan die welke op grond van de AVG aan de werkgever worden opgelegd.
Stel de werkgever op de hoogte van elke inbreuk met betrekking tot de door de werkgever gedeelde persoonsgegevens.
Schakel een subverwerker alleen in met voorafgaande toestemming van de werkgever.
1. In het geval van grensoverschrijdende verwerking van contractgegevens, moet worden voldaan aan de relevante nationale vereisten voor openbaarmaking van persoonsgegevens in het buitenland. In het bijzonder mogen persoonsgegevens uit de Europese Economische Ruimte alleen in een derde land worden verwerkt als de aanbieder kan aantonen dat hij een gegevensbeschermingsstandaard heeft die gelijkwaardig is aan dit gegevensbeschermingsbeleid. Geschikte hulpmiddelen kunnen zijn:
  1. Overeenkomst over EU-modelcontractbepalingen voor contractgegevensverwerking in derde landen met de aanbieder en eventuele onderaannemers.
  2. Deelname van de aanbieder aan een door de EU geaccrediteerd certificeringssysteem voor het bieden van een voldoende niveau van gegevensbescherming.
  3. Erkenning van bindende bedrijfsregels van de aanbieder om een passend niveau van gegevensbescherming te creëren door de verantwoordelijke toezichthoudende autoriteiten voor gegevensbescherming.

VIII. Rechten van de betrokkene

Iedere betrokkene heeft de volgende rechten;

De betrokkene kan informatie opvragen over welke persoonsgegevens over hem/haar zijn opgeslagen, hoe de gegevens zijn verzameld en met welk doel. Als er meer rechten op

zie de werkgeversdocumenten (bijvoorbeeld personeelsdossier) van de arbeidsrelatie hieronder

de relevante arbeidswetgeving, deze blijven onaangetast.

Als persoonsgegevens worden doorgegeven aan derden, moet informatie worden verstrekt over de identiteit

van de ontvanger of de categorieën van ontvangers.

Als persoonsgegevens onjuist of onvolledig zijn, kan de betrokkene verzoeken om correctie

of aangevuld.

De betrokkene kan bezwaar maken tegen de verwerking van zijn of haar gegevens voor reclamedoeleinden of markt-/opinieonderzoek. De gegevens moeten worden geblokkeerd voor dit soort gebruik.
De betrokkene kan verzoeken om verwijdering van zijn/haar gegevens als de verwerking van dergelijke gegevens geen rechtsgrondslag heeft, of als de rechtsgrondslag niet langer van toepassing is. Hetzelfde geldt als het doel achter de gegevensverwerking is komen te vervallen of om andere redenen niet meer van toepassing is. Bestaande bewaartermijnen en tegenstrijdige belangen die bescherming verdienen, dienen in acht te worden genomen.
De betrokkene heeft over het algemeen het recht om bezwaar te maken tegen de verwerking van zijn/haar gegevens wanneer we ons beroepen op een legitiem belang (of dat van een derde partij) voor de verwerking en er is iets in de specifieke situatie van de betrokkene waardoor hij of zij wil bezwaar maken tegen verwerking op deze grond. Hiermee moet rekening worden gehouden indien de bescherming van zijn/haar belangen vanwege een bijzondere persoonlijke situatie prevaleert boven het belang van de verantwoordelijke voor de verwerking. Dit geldt niet als een wettelijke bepaling vereist dat de gegevens worden verwerkt of als de verwerking noodzakelijk is voor het instellen, uitoefenen of verdedigen van rechtsvorderingen.
De betrokkene kan de beperking van de verwerking van zijn persoonsgegevens vragen. Dit stelt de betrokkene in staat om de opschorting van de verwerking van persoonsgegevens te vragen, bijvoorbeeld als hij wil dat de werkgever de juistheid ervan of de reden voor de verwerking ervan vaststelt.
De betrokkene kan in bepaalde omstandigheden verzoeken om overdracht van zijn persoonsgegevens aan een andere partij.

IX. Vertrouwelijkheid van verwerking

Persoonlijke gegevens zijn onderworpen aan vertrouwelijkheid. Elke ongeoorloofde verzameling, verwerking of gebruik van dergelijke gegevens door werknemers is verboden. Elke gegevensverwerking door een werknemer waarvoor hij/zij niet bevoegd is om deze uit te voeren als onderdeel van zijn/haar legitieme taken, is niet toegestaan. Het ‘need to know’-principe is van toepassing. Werknemers mogen alleen toegang hebben tot persoonlijke informatie zoals passend is voor het type en de reikwijdte van de taak in kwestie. Dit vereist een zorgvuldige verdeling en scheiding, evenals implementatie, van rollen en verantwoordelijkheden. Het is medewerkers verboden persoonsgegevens voor privé- of commerciële doeleinden te gebruiken, aan onbevoegden bekend te maken of op andere wijze ter beschikking te stellen. Leidinggevenden moeten hun werknemers bij aanvang van de arbeidsrelatie informeren over de verplichting tot geheimhouding van gegevens. Deze verplichting blijft ook na beëindiging van het dienstverband van kracht.

X. Verwerkingsbeveiliging

Persoonlijke gegevens moeten worden beschermd tegen ongeoorloofde toegang en onwettige verwerking of openbaarmaking, evenals tegen onopzettelijk verlies, wijziging of vernietiging. Dit geldt ongeacht of gegevens elektronisch of op papier worden verwerkt. Vóór de introductie van nieuwe methoden van gegevensverwerking, met name nieuwe IT-systemen, moeten technische en organisatorische maatregelen ter bescherming van persoonsgegevens worden gedefinieerd en geïmplementeerd. Deze maatregelen moeten gebaseerd zijn op de stand van de techniek, de risico's van de verwerking en de noodzaak om de gegevens te beschermen (bepaald door het proces voor informatieclassificatie). In het bijzonder kan de verantwoordelijke afdeling overleggen met haar Data Protection Manager.

XI. Controle gegevensbescherming

Naleving van het gegevensbeschermingsbeleid en de toepasselijke gegevensbescherming wetten worden regelmatig gecontroleerd. De resultaten van de gegevensbeschermingscontroles moeten worden gerapporteerd aan de Data Protection Manager.

XII. Incidenten op het gebied van gegevensbescherming

Alle werknemers moeten hun leidinggevende of gegevensbeschermingsmanager onmiddellijk informeren over gevallen van inbreuken op dit gegevensbeschermingsbeleid of andere voorschriften inzake de bescherming van persoonsgegevens (gegevensbeschermingsincidenten). De manager die verantwoordelijk is voor de functie of de eenheid is verplicht om de verantwoordelijke Data Protection Manager onmiddellijk op de hoogte te stellen van incidenten op het gebied van gegevensbescherming.

In gevallen van

» oneigenlijke overdracht van persoonsgegevens aan derden,

» oneigenlijke toegang door derden tot persoonsgegevens, of

» verlies van persoonsgegevens

de vereiste bedrijfsmeldingen (Information Security Incident Management) moeten worden gemaakt

onmiddellijk zodat aan eventuele meldingsplichten onder de nationale wetgeving kan worden voldaan.

XIII. Verantwoordelijkheden en sancties

De uitvoerende organen van de groepsmaatschappijen zijn verantwoordelijk voor de gegevensverwerking in hun verantwoordelijkheidsgebied. Daarom zijn ze verplicht ervoor te zorgen dat aan de wettelijke vereisten en die in het gegevensbeschermingsbeleid voor gegevensbescherming wordt voldaan (bijv. nationale rapportageverplichtingen). Leidinggevend personeel is ervoor verantwoordelijk dat er organisatorische, HR- en technische maatregelen worden genomen, zodat alle gegevensverwerking wordt uitgevoerd in overeenstemming met de gegevensbescherming. Naleving van deze eisen is de verantwoordelijkheid van de betreffende medewerkers. Als officiële instanties gegevensbeschermingscontroles uitvoeren, moet de Data Protection Manager onmiddellijk worden geïnformeerd. Onjuiste verwerking van persoonsgegevens of andere schendingen van de wetgeving inzake gegevensbescherming kunnen in veel landen strafrechtelijk worden vervolgd en leiden tot vorderingen tot schadevergoeding. Overtredingen waarvoor individuele werknemers verantwoordelijk zijn, kunnen leiden tot arbeidsrechtelijke sancties.