Norm PR.07 Bewaar- en vernietigingsbeleid
Waarom is dit nodig?
Met een adequaat en consequent uitgevoerd bewaar- en vernietigingsbeleid zorg je ervoor dat je school persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. tijdig anonimiseert of verwijdert. Hierdoor bescherm je de persoonsgegevens beter en voorkom je dat onnodig bewaarde persoonsgegevens kunnen worden verwerkt voor andere dan de oorspronkelijke doelen of door een datalekBij een datalek raken persoonsgegevens verloren of worden ze opgeslagen, aangepast, verzonden of op een andere manier verwerkt door iemand die daar geen recht toe heeft. Een datalek is een beveiligingsincident. in verkeerde handen komen.
Volwassenheidsniveaus
We beschrijven hier 5 volwassenheidsniveaus. Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3.
1 Ad hoc
- Er is geen vastgesteld beleid voor het verwijderen en anonimiserenAnonimiseren is een methode waarbij persoonsgegevens worden bewerkt zodat ze niet meer gebruikt kunnen worden om iemand mee te identificeren. Anonimiseren is onomkeerbaar. De gegevens kunnen dus nooit meer worden teruggeleid tot een persoon. Geanonimiseerde gegevens vallen niet onder de AVG. van gegevens (‘bewaarbeleid’ of ‘vernietigingsbeleid’).
- Het verwijderen of anonimiseren van persoonsgegevens gebeurt niet, onregelmatig en/of inconsistent (bijvoorbeeld afhankelijk van individuen of incidenten).
2 Herhaalbaar
- Er is informeel beleid of beleid op decentraal niveau voor het verwijderen en/of anonimiseren van gegevens.
- Voor algemene, veelvoorkomende gevallen zijn er procedures voor het verwijderen van gegevens, maar voor meer specifieke gevallen ontbreken deze procedures.
3 Bepaald (streefniveau)
- Er is beleid vastgesteld voor het verwijderen en/of anonimiseren van gegevens.
- De processen om persoonsgegevens te verwijderen of te anonimiseren zijn gedocumenteerd.
- Persoonsgegevens die niet meer nodig zijn worden tijdig verwijderd of geanonimiseerd, conform het beleid.
- Waar noodzakelijk zijn specifieke procedures vastgesteld voor het verwijderen van gegevens. Hierin is vastgesteld wat de toepasselijke bewaartermijn is en op welke wijze verwijdering plaats dient te vinden.
- Het beleid en de procedures voor het verwijderen en anonimiseren van gegevens worden consequent toegepast.
4 Beheerst
Aanvullend op niveau 3:
- Het beleid en de procedures voor het verwijderen en anonimiseren worden periodiek geëvalueerd en zo nodig aangepast.
- Het beleid besteedt aandacht aan het verwijderen/anonimiseren bij leveranciersAanbieders van ict- of leermiddelen. (bijvoorbeeld SaaS-applicaties of applicaties die anderszins persoonsgegevens verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming.).
- Periodiek wordt gecontroleerd of applicaties daadwerkelijk verwijderen of anonimiseren conform het bewaar- en vernietigingsbeleid.
- Waar mogelijk wordt het verwijderen of anonimiseren van persoonsgegevens geautomatiseerd uitgevoerd.
5 Continu verbeteren
Aanvullend op niveau 3 en 4:
- Het beleid en de procedures voor het verwijderen en anonimiseren van gegevens zijn volledig, transparant, en worden gezien als krachtige hulpmiddelen binnen de organisatie.
- Het is mogelijk een geautomatiseerd bewaar- en vernietigingsregime toe te passen op persoonsgegevens, bij voorkeur ook gekoppeld aan doelen.
- Deze geautomatiseerde systemen zijn volledig geïntegreerd in de operationele processen van de organisatie.
Aan de slag
Onderstaande maatregelen helpen je op weg naar volwassenheidsniveau 3. Let op: dit zijn voorbeelden van maatregelen. Het beveiligen van informatie en beschermen van privacy is maatwerk. Voor jouw school kunnen extra of andere maatregelen nodig zijn.
- Stel een bewaartermijnenbeleid op. Leg daarin de bewaartermijnenDe (wettelijke) periode dat een (persoons)gegeven bewaard moet worden. vast en neem hierin ook de bewaartermijnen op van persoonsgegevens die worden verwerkt bij leveranciers.
- Neem in het beleid criteria op voor het verwijderen of anonimiseren van persoonsgegevens die niet meer nodig zijn.
- Stel een procedure vast voor het verwijderen van gegevens en neem hierin op wie welke gegevens verwijdert en wanneer. Zorg ervoor dat deze procedure op tijd en consequent wordt toegepast.
Hulpmiddelen
Gerelateerde wetten en normen
Norm PR.07 Bewaar- en vernietigingsbeleid is gerelateerd aan de Algemene Verordening Gegevensbescherming (AVG) en aan informatiebeveiligingsnormen.