Beveiliging #

1. De Voedselbank verwerkt verschillende persoonsgegevens van o.a. klanten en vrijwilligers. Het is belangrijk deze gegevens goed te beveiligen. Slechte beveiliging kan leiden tot een datalek en mogelijk tot misbruik van deze gegevens. Een organisatie moet voordat zij gegevens verzamelen, nadenken over de beveiliging ervan.

2. De AVG schrijft voor dat organisaties passende technische en organisatorische maatregelen moeten nemen om de persoonsgegevens die zij verwerken, te beveiligen. Dit betekent dat organisaties moderne techniek moeten gebruiken om persoonsgegevens te beveiligen. Daarnaast moet een organisatie ook kijken naar hoe de organisatie met persoonsgegevens omgaat. Wie heeft er bijvoorbeeld toegang tot welke gegevens?

3. Als de Voedselbank een derde partij inschakelt om de persoonsgegevens te verwerken, dan moet ook deze derde partij voldoende maatregelen treffen om de gegevens te beveiligen. De Voedselbank is verantwoordelijk hiervoor. Afspraken hiervoor worden vastgelegd in een verwerkersovereenkomst. Een modelovereenkomst is te vinden op de privacypagina op de Voedingsbodem.

4. Allereerst moet de Voedselbank ervoor zorgen dat zij niet meer persoonsgegevens verzamelt dan echt nodig is voor de activiteiten van de Voedselbank. De Voedselbank moet bijvoorbeeld nagaan of bepaalde herleidbare gegevens kunnen worden verwijderd.

5. Daarnaast moet de Voedselbank de toegang tot de persoonsgegevens beperken. Enkel die medewerkers die in het kader van hun voedselbanktaken de gegevens nodig hebben, zouden toegang tot deze gegevens mogen hebben.

6. De persoonsgegevens moeten worden beveiligd op een wijze die in lijn is met de huidige stand van de techniek. Dit houdt in dat de Voedselbank geen verouderde techniek mag gebruiken om de gegevens te beveiligen. Hierdoor krijgen hackers weinig kans om toegang te krijgen tot de gegevens. Dit betekent dat de Voedselbank eerst de risico’s van een verwerking in kaart moet brengen en vervolgens maatregelen moet nemen waarmee deze risico’s kunnen worden beperkt. Bij deze risico-inventarisatie moet aandacht worden besteed aan risico’s als vernietiging, verlies, wijziging en het ongeoorloofd delen van gegevens wat kan leiden tot schade voor een betrokkene.

7. Bij het beoordelen welke maatregelen passend zijn moet worden uitgegaan van de huidige stand van de techniek en de uitvoeringskosten. Deze worden vervolgens afgezet tegen de mogelijke risico’s en de aard of gevoeligheid van de persoonsgegevens. De beveiligingsmaatregelen bestaan onder andere uit:

• Het pseudonimiseren en versleutelen van gegevens;
• Het garanderen van de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de verwerkingssystemen en diensten (zie ook informatiebeveiliging);
• De mogelijkheid om bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot de gegevens op tijd te herstellen;
• Een procedure voor het testen, beoordelen en evalueren van beveiligingsmaatregelen.

8. Andere technische maatregelen kunnen zijn:

• fysieke (toegangs-)beveiliging en beveiliging van apparatuur;
• Technisch beheer van de autorisaties en bijhouden van logbestanden;
• Beheer van technische kwetsbaarheden;
• Software, zoals browsers, virusscanners up-to-date houden;
• Back-ups maken waarmee de beschikbaarheid van en de toegang tot de persoonsgegevens tijdig kunnen worden hersteld;
• Automatisch verwijderen van verouderde gegevens.

9. Voorbeelden van organisatorische maatregelen kunnen zijn:

• Toewijzen van verantwoordelijkheden voor informatiebeveiliging;
• Bevorderen van beveiligingsbewustzijn bij bestaande en nieuwe medewerkers;
• Regelmatige controle van logbestanden;
• Opstellen van een protocol voor de afhandelingen van datalekken en beveiligingsincidenten;
• Sluiten van geheimhoudings- en verwerkersovereenkomsten;
• Beoordelen of dezelfde doelen kunnen worden gehaald met minder persoonsgegevens;
• Minder mensen binnen de organisatie toegang geven tot persoonsgegevens;
• Per verwerking het besluitvormingsproces en de achterliggende overwegingen vastleggen.

10. Let bij het delen van gegevens ook goed op de beveiliging. Het delen van gegevens aan derden per e-mail kan in sommige gevallen worden gezien als een ‘gebrek aan beveiliging’. Wanneer gevoelige gegevens worden gedeeld (met derden), doe dit via een beveiligde weg. Deel je intern gegevens met collega’s? Zorg ervoor dat alleen die gegevens worden gedeeld die ook echt nodig zijn voor de voedselbanktaak van deze collega. Gebruik tevens het Voedselbank e-mailadres om de gegevens te delen.

11. Gebruik bij het testen geen echte persoonsgegevens. Dit kan namelijk leiden tot risico’s en vaak zal het gebruik van persoonsgegevens in de testfase nog niet noodzakelijk zijn.

12. Beveiliging is een blijvend punt van aandacht. Dit betekent dat de Voedselbank steeds weer moet nadenken over de beveiliging van gegevens en moet beoordelen of de beveiligingsmaatregelen passend zijn. Wanneer dit niet het geval is, zal de beveiliging moeten worden aangepast.

13. Is er sprake van onvoldoende beveiliging? En vindt er hierdoor een datalek plaats? Lees dan de “Handleiding datalekken Voedselbanken” op de privacypagina op de voedingsbodem en neem de daar genoemde acties.

Tekst dd 10 april 2022