Verwerkingsverantwoordelijke en verantwoordeingsplicht

In het kader van de GDPR heeft een verwerkingsverantwoordelijke een verantwoordingsplicht.

Hij moet kunnen aantonen dat de vertrouwelijkheid en integriteit van de persoonsgegevens die hij verwerkt kan garanderen door het nemen van passende technische en organisatorische maatregelen.

Er wordt gesproken van pseudonimisering en het versleutelen van de persoonsgegevens, het garanderen dat de systemen die persoonsgegevens verwerken op permanente basis beschikbaar zijn en dat deze maatregelen en procedures niet enkel bestaan maar ook zijn gedocumenteerd en worden beheerd; d.w.z. dat op gezette tijdstippen de doeltreffendheid van deze maatregelen worden getest, geëvalueerd en beoordeeld.

Pseudonimisering

Pseudonimisering is een techniek waarbij op basis van de basisgegevens zonder bijkomende gegevens niet onmiddelijk kan worden afgeleid wie de specifieke persoon is.

Voorbeeld: de naam van een persoon wordt gesubstitueerd door een code die bestaat uit letters en cijfers, zoals A200. De werkelijke naam van die persoon zal men dan wel kunnen terugvinden in een apart bestand waarbij de code A200 verwijst naar Jan Janssens, terwijl de code A201 verwijst naar Jef Peeters. Beide bestanden, namelijk het bestand met de gepseudonimiseerde persoonsgegevens en het bestand met de codes en de werkelijk naam van de betrokkene worden apart en op verschillende locaties bewaard.

Pseudonimisering is geen anonimisering. Bij anonimisering wordt het persoonsgegeven, zoals bijvoorbeeld de naam, bij iedere persoon vervangen door steeds dezelfde generieke vervanger, zoals bijvoorbeeld *****. Hierdoor kan men, in principe, de werkelijke identiteit van de persoon, niet meer achterhalen. In principe, omdat indien het persoonsgegeven vermeldt staat in een document met een context, het soms toch mogelijk is om de identiteit van de betrokkene te achterhalen. Het substitueren van het persoonsgegeven met ***** zal dan weinig invloed hebben.

Versleutelen

Het versleutelen van (digitale) gegevens is een techniek waarbij voor mensen leesbare tekst wordt omgezet in een voor mensen niet leesbare tekst, door het toepassen van een of meerdere lagen van algoritmes die gegevens substitueren.

In het geval de gegevens worden opgeslagen in een (relationele) databank kunnen er zich meerdere mogelijkheden voordoen. Deze mogelijkheden zijn:

• het versleutelen van de gegevens op software niveau alvorens ze naar de databank worden weggeschreven;
• het versleutelen van het veld in de databank waar de gegevens worden opgeslagen;
• het versleutelen van beide voorgaande gevallen.

In het eerste geval bekomt degene die toegang heeft tot de gegevens in de databank een voor mensen onleesbare tekst, die enkel kan worden ontcijferd mits men kennis heeft van de code en het gebruikte algoritme.

In het tweede geval zal degene die toegang heeft tot de gegevens in de databank geen toegang hebben tot de inhoud van het veld waarin de persoonsgegevens zijn opgeslagen, zonder de sleutel die toegang geeft tot het veld.

In het derde geval moet men in het bezit zijn van beide om de persoonsgegevens te kunnen lezen.

Veerkracht, beschikbaarheid en integriteit

De veerkracht en beschikbaarheid van de gebruikte systemen voor het verwerken van persoonsgegevens wordt o.a. mede bepaald door de architectuur en de configuratie van de systemen.

Een monolitisch systeem zal een heel andere veerkracht en beschikbaarheid hebben dan een systeem waarbij gebruik wordt gemaakt van een systeem van verspreide verwerking van de gegevens.

Daarentegen de integriteit van de gegevens wordt o.a. mede bepaald door de gebruikte logica in de software evenals de toegepaste procedures en processen.

Bijvoorbeeld: wanneer de software duplicatie van gegevens heeft, dan is de kans groot dat er inconsistenties kunnen ontstaan tussen hetzelfde soort gegeven in tabel A en tabel B van de (relationele) databank. Dit kan aanleiding geven tot verschillen van hetzelfde soort gegeven, bijvoorbeeld de schrijfwijze van het e-mailadres van een persoon, in de verschillende schermen van de software.

Procedures en documentatie

Verwerkingsverantwoordelijken hebben een verantwoordingsplicht.

Om te kunnen aantonen dat een verwerkingsverantwoordelijke aan zijn verplichtingen voldoet zal hij zijn systemen, processen en procedures moeten documenteren, up-to-date houden en beheren.

Op gezette tijdstippen zal de verwerkingsverantwoordelijke ook dienen na te gaan, door te testen, evalueren en te beoordelen of de bestaande systemen, procedures en processen nog voldoen aan de vereisten van deze verordening inzake beveiliging, integriteit van de gegevens, veerkracht en beschikbaarheid.

Dit vereist minstens een jaarlijkse audit van alle bestaande systemen, procedures en processen.

Contacteer ons voor meer informatie via Contact Formulier

Bloep, 11 juni 2025.