De GDPR (in Nederland ook AVG genoemd) geldt ook voor persoonsgegevens in geordende papieren dossiers. Dit artikel legt uit hoe je fysieke documenten beschermt, ook wanneer je papieren exemplaren vervangt door elektronische bestanden.
Vergeet je papieren dossiers niet
Een archiefkast met klant- of personeelsdossiers kan deel uitmaken van je verwerking van persoonsgegevens. Papier op een open bureau kan ingekeken of meegenomen worden, net zoals een onbeveiligd digitaal bestand geopend of gekopieerd kan worden. Breng beide in kaart en bescherm ze.
Welke papieren documenten bevatten persoonsgegevens?
Voorbeelden zijn:
- Personeelsdossiers, arbeidscontracten, loonstroken en evaluatiegesprekken
- Klantdossiers, registratiekaarten, contracten en correspondentie
- Facturen, bankafschriften en fiscale documenten waarin personen identificeerbaar zijn
- Klachten, juridische correspondentie en dossiers
- Medische dossiers en andere documenten met gezondheidsgegevens
De inhoud van een document en de manier waarop het gebruikt wordt, zijn bepalend. Papieren documenten die zo geordend zijn dat je informatie over personen kunt terugvinden, vallen onder de GDPR.
Praktische beveiligingsmaatregelen
Opslag
- Bewaar documenten in afsluitbare kasten of ruimtes, afgestemd op de gevoeligheid en de hoeveelheid van de documenten.
- Beperk de toegang tot mensen die de informatie nodig hebben voor hun werk.
- Orden en label dossiers zodat bevoegde medewerkers documenten kunnen terugvinden, nakijken en vernietigen zonder ze onbeschermd te laten liggen.
Clean desk policy
- Laat persoonsgegevens niet onbeheerd achter in openbare of gedeelde ruimtes.
- Berg dossiers op wanneer je je werkplek verlaat.
- Houd binnenkomende post met persoonsgegevens weg van een open onthaalbalie.
Vernietiging
- Versnipper of vernietig documenten veilig wanneer je ze niet langer nodig hebt, rekening houdend met de lokale of sectorspecifieke bewaarregels die van toepassing zijn.
- Gebruik een geschikte cross-cut papierversnipperaar of, voor grotere hoeveelheden, een betrouwbaar vernietigingsbedrijf; bewaar waar nodig een bewijs van vernietiging.
- Neem ook dubbele afdrukken, kladversies en notities mee in het vernietigingsproces.
- Digitaliseer je een papieren origineel, controleer dan eerst of de scan volledig en leesbaar is, correct opgeslagen is en toegankelijk is voor bevoegde medewerkers. De GDPR vereist in de regel niet dat je beide versies bewaart. Je mag het papieren origineel normaal veilig vernietigen als geen wettelijke, contractuele of bewijsreden het vereist. Beveilig de scan en bewaar hem alleen gedurende de gerechtvaardigde bewaartermijn.
Transport
- Gebruik verzegelde verpakking en een verzendwijze die past bij de gevoeligheid van het materiaal. Verstuur belangrijke documenten met persoonsgegevens aangetekend met tracking of via een betrouwbare koerier.
- Laat dossiers niet onbeheerd achter in voertuigen of openbare plaatsen.
- Ga na of de bedoelde ontvanger het materiaal veilig kan ontvangen.
Vergeet niet te documenteren
Leg vast waar papieren en gescande dossiers bewaard worden, wie er toegang toe heeft, hoe ze overgedragen of vernietigd worden en welke bewaartermijnen gelden. Controleer de lokale of sectorspecifieke regels voordat je die termijnen vastlegt. Zet je een papieren archief om naar digitaal, documenteer dan hoe je de kwaliteit van de scans controleert, de nieuwe bestanden beveiligt en de originelen vernietigt.
GDPRWise helpt je om beveiligingsmaatregelen te documenteren voor zowel fysieke als digitale documenten.