Persoonlijke gegevens bij oud werkgevers verwijderen.

[Anoniem: 926911]

Na aanleiding van dit stuk nieuws: Staatssecretaris: Prikklok met alleen vingerafdruk mag niet heb ik eens zitten nadenken een aantal oud werkgevers heeft mijn vingerafdrukken. Dit ook in verband met het inklokken en toegang tot bepaalde gebieden op het werk.

Nu zit mij dit eigenlijk niet lekker heb er al eerder over nagedacht en nu wil ik die oud werkgevers graag verwittigen en graag bewijs hebben dat ze mijn gegevens hebben verwijderd of niet meer tot hun beschikking hebben.

Hoe kan ik dit het beste aanpakken ik dacht zelf iets in de trant van een korte brief. Zoiets als hieronder

Geachte heer/mevrouw,

Vroeger heb ik voor u werkzaamheden verricht in de tijd tussen (datum) In deze tijd heb ik moeten klokken met een registratiesysteem door middel van vingerafdrukken.

Gezien de privacy gevoelige informatie zou ik graag zien dat deze niet meer bij jullie in het systeem staan.
Hiervan zou ik ook graag bewijs willen zien.

Met vriendelijke groet,
Hengbers_92

Hebben jullie hier nog tips en aanmerkingen voor?

[ybos]

De tekst "vroeger" zou ik vervangen door "in het verleden", is net even wat profesioneler.

Maar met alleen een vingerafdruk kunnen ze niet veel. Vind je het wel ok dat ze al je NAW gegevens bewaren? Als je dan toch een brief stuurt zou ik alles laten verwijderen.

Enige probleem, hoe wil je dit controleren? Als ze positief beantwoorden ben je dan tevreden?

[ Voor 15% gewijzigd door ybos op 29-03-2018 18:16 ]

[Anoniem: 926911]

ybos schreef op donderdag 29 maart 2018 @ 18:15:
De tekst "vroeger" zou ik vervangen door "in het verleden", is net even wat profesioneler.

Maar met alleen een vingerafdruk kunnen ze niet veel. Vind je het wel ok dat ze al je NAW gegevens bewaren? Als je dan toch een brief stuurt zou ik alles laten verwijderen.

Ja denk dat ik dat maar stel want bij 2 van deze oud werkgevers weet ik dat het gekoppeld was aan de NAW gegevens.

[maikel124]

Als je even wacht tot 25 mei 2018, dan wordt de Algemene Verordening Gegevensbescherming daadwerkelijk van kracht en zullen bedrijven moeten voldoen aan de daarin gestelde eisen.

Op 25 mei gewoon een brief sturen naar al deze instanties met daarin eerst de vraag: "Welke persoonsgegevens hebben jullie van mij?" Dan weet je ook direct WELKE data ze van je hebben.

Als je daar antwoord op krijgt, dan een tweede brief sturen en aangeven dat je de data graag verwijdert wilt zien. Niet alles zal dan verwijderd mogen worden omdat sommige data nu eenmaal voor b.v. de belastingdienst bewaard moet worden. Maar informatie als vingerafdrukken zullen zeker verwijderd kunnen worden als je daarom vraagt.

In het geval dat ze weigeren / niet meewerken, gewoon aangeven dat je hiervan een melding gaat maken bij de Autoriteit Persoonsgegevens. Dan zullen ze snel genoeg meewerken aangezien boetes tot 20 miljoen (of 4% van jaaromzet) kunnen uitvallen

[Grvy]

maikel124 schreef op donderdag 29 maart 2018 @ 18:21:
Als je even wacht tot 25 mei 2018, dan wordt de Algemene Verordening Gegevensbescherming daadwerkelijk van kracht en zullen bedrijven moeten voldoen aan de daarin gestelde eisen.

Op 25 mei gewoon een brief sturen naar al deze instanties met daarin eerst de vraag: "Welke persoonsgegevens hebben jullie van mij?"

Dit moeten ze al. Het is al verplicht. Vanaf 25 mei wordt er op gecontroleerd.

[maikel124]

Grvy schreef op donderdag 29 maart 2018 @ 18:22:
[...]


Dit moeten ze al. Het is al verplicht. Vanaf 25 mei wordt er op gecontroleerd.

Ok, we hebben beiden niet volledig gelijk:
- de AVG is per 25 mei 2016 in werking getreden
- de AVG is pas per 25 mei 2018 van toepassing.

tot 25 mei 2018 is de oude WBP van toepassing, maar daar hebben de meeste bedrijven zich niet druk om gemaakt.

Linkje: https://autoriteitpersoon...g/algemene-informatie-avg

[Grvy]

@maikel124

"Laat u niet wijs maken dat deze regeling pas in 2018 van kracht gaat worden: dan wordt er echt gehandhaafd. U moet nu echter al net zo zeer voldoen aan die wetgeving. Er is ‘slechts’ een overgangsperiode afgesproken vanaf dat de wet van kracht is geworden (mei 2016) totdat de daadwerkelijke handhaving gaat plaatsvinden, vanaf 25 mei 2018. Werk aan de winkel dus..."

https://www.acanthis.com/...-avg-voorbereid-op-de-avg

https://www.kneppelhout.n...is-al-in-werking-getreden

[ Voor 8% gewijzigd door Grvy op 29-03-2018 18:29 ]

[KleinDraakje]

Ik zou inderdaad tot 25 mei wachten. Heel veel bedrijven zijn nu bezig alle processen door te lopen en kans bestaat dat als je het nu vraagt er zo snel geen antwoord op is. Naast dat het komende weken nog wel wat vaker in het nieuws komt of in de wandelgangen wordt genoemd. Als je een paar weken wacht dat er dan bij iemand wel een lichtje brand hoe of wat is opgeslagen en te verwijderen.

[President]

Anoniem: 926911 schreef op donderdag 29 maart 2018 @ 18:01:
Hoe kan ik dit het beste aanpakken ik dacht zelf iets in de trant van een korte brief. Zoiets als hieronder


[...]


Hebben jullie hier nog tips en aanmerkingen voor?

Hoe moeten ze bewijzen dat ze niks hebben? Dat lijkt mij redelijk onmogelijk?

[Anoniem: 224360]

Grvy schreef op donderdag 29 maart 2018 @ 18:28:
@maikel124

"Laat u niet wijs maken dat deze regeling pas in 2018 van kracht gaat worden: dan wordt er echt gehandhaafd. U moet nu echter al net zo zeer voldoen aan die wetgeving. Er is ‘slechts’ een overgangsperiode afgesproken vanaf dat de wet van kracht is geworden (mei 2016) totdat de daadwerkelijke handhaving gaat plaatsvinden, vanaf 25 mei 2018. Werk aan de winkel dus..."

https://www.acanthis.com/...-avg-voorbereid-op-de-avg

https://www.kneppelhout.n...is-al-in-werking-getreden

Toch klopt dat stukje tekst niet. De AVG is wel formeel ingetreden op 24 mei 2016, maar toch echt pas van toepassing op 25 mei 2018. Waarom denk je dat er op dat moment opeens gehandhaafd kan worden?
Maar de autoriteit persoonsgegevens bestaat al gewoon langer en kan ook prima handhaven onder de wpb. Privacyrechten bestaan sowieso al meer dan 20 jaar, en de teksten van de AVG zijn al jaren in omloop, maar dat weet geen hond.
Ter info, ik ben fg.

[maikel124]

@Anoniem: 224360

Anoniem: 224360 schreef op donderdag 29 maart 2018 @ 21:34:
[...]

Toch klopt dat stukje tekst niet. De AVG is wel formeel ingetreden op 24 mei 2016, maar toch echt pas van toepassing op 25 mei 2018. Waarom denk je dat er op dat moment opeens gehandhaafd kan worden?
Maar de autoriteit persoonsgegevens bestaat al gewoon langer en kan ook prima handhaven onder de wpb. Privacyrechten bestaan sowieso al meer dan 20 jaar, en de teksten van de AVG zijn al jaren in omloop, maar dat weet geen hond.
Ter info, ik ben fg.

Thanks voor de bevestiging! Ik was alweer doorgegaan met werken, dus had gemist dat er nog een reactie was langsgekomen. Ik had ook verwacht dat de bron van de Autoriteit Persoonsgegevens (nota bene de toezichthoudende instantie) wat meer waard zou zijn dan een willekeurige advocaat / blogpost.

Teksten en werkwijzen zouden al jaren moeten zijn geïntegreerd bij bedrijven, maar om een of andere reden (boetes niet hoog genoeg?) is er nooit al te veel aandacht aan besteed. Daarom vindt ik de AVG best goed, want het zorgt ervoor dat bedrijven zich eindelijk gedwongen voelen om aandacht te besteden aan privacy.

[Kees_frl]

Indien je werkzaam bent geweest bij die bedrijven dan kun je ze wel verzoeken de vingerafdruk te verwijderen maar NAW gaat niet gebeuren.

Bedrijven hebben een bewaarplicht voor een deel van jouw gegevens om te voldoen aan belastingwetgeving.

[bakbakbak]

Ik zou juist niet wachten tot 25 mei. Wellicht zijn veel bedrijven bezig met de GDPR, maar er zijn er ook genoeg die er (nog) niet mee bezig zijn of denken, dat komt nog wel. Dan kan je je oude werkgever maar beter vast 'opporren' er mee aan de slag te gaan.

Kees_frl schreef op vrijdag 30 maart 2018 @ 12:03:
Indien je werkzaam bent geweest bij die bedrijven dan kun je ze wel verzoeken de vingerafdruk te verwijderen maar NAW gaat niet gebeuren.

Bedrijven hebben een bewaarplicht voor een deel van jouw gegevens om te voldoen aan belastingwetgeving.

Klopt, maar daar zit een termijn aan die verloopt waarna het bedrijf verplicht is deze gegevens te vernietigen (tenzij archief wet voor bepaalde organisaties, maar lang niet allemaal).

[Free rider]

Met de aanstaande GDPR kan je veel meer, je kan vragen om de gegevens te laten verwijderen, en inzicht krijgen in wie tot nu toe hebben kunnen beschikken over die gegevens, op welke termijn de laatste backups worden vernietigd, enzovoorts.

In dat licht kwam ik recent een voorbeeldbrief tegen, ook leuk als je een bedrijf de stuipen op het lijf wil jagen:
The nightmare letter

Let op: je kan niet alle gegevens laten verwijderen, bijvoorbeeld belasting-gerelateerde gegevens moeten nog een jaar of zeven beschikbaar blijven.

[Barrycade]

Pas ook op dat als je je wel laat schrappen dat je een slechte zaak hebt als je ooit nog een werkgerelateerde ziekte krijgt.

Neem bijvoorbeeld de asbest claims.

[Anoniem: 926911]

Barrycade schreef op donderdag 5 april 2018 @ 22:53:
Pas ook op dat als je je wel laat schrappen dat je een slechte zaak hebt als je ooit nog een werkgerelateerde ziekte krijgt.

Neem bijvoorbeeld de asbest claims.

Daarvoor hebben we loonstroken die ik in eigen beheer heb.

[Barrycade]

Okee en print je die dan ook braaf uit?
Een werkgever die met vingerafdrukken werkt zie ik niet zo snel ouderwets via de post je loonstroken sturen.
En heb je dan ook een kopietje van de trainingen en SOPs van werkzaamheden die je hebt uitgevoerd?

[CeesKees]

Vergeet referenties niet. Kan soms handig zijn om aan te tonen dat je ergens hebt gewerkt.

[jmzeeman]

Anoniem: 926911 schreef op donderdag 29 maart 2018 @ 18:01:
[...]
Hiervan zou ik ook graag bewijs willen zien.
[...]

Ik ben wel benieuwd wat je hier van verwacht, wat voor bewijs zou je acceptabel vinden?

[downtime]

jmzeeman schreef op vrijdag 6 april 2018 @ 08:39:
[...]

Ik ben wel benieuwd wat je hier van verwacht, wat voor bewijs zou jij acceptabel vinden?

Het klinkt tegenstrijdig: Verwachten dat een bedrijf data verwijdert maar wel bewijs van het verwijderen bewaart.

[Inflaav]

downtime schreef op vrijdag 6 april 2018 @ 09:05:
[...]

Het klinkt tegenstrijdig: Verwachten dat een bedrijf data verwijdert maar wel bewijs van het verwijderen bewaart.

Juist niet. Als je een goede audit trail wilt hebben (wat je wilt met de GDPR), is de ideale situatie dat je een log hebt waarin de actie van het verwijderen van de persoonlijke data staat. Als Persoon X een verzoek doet tot verwijdering en je gaat hier als bedrijf daadwerkelijk op in, zou je log er als volgt uit kunnen zien: "Voldaan aan verzoek tot verwijdering van alle persoonlijke data van Persoon X op 06-04-2018. De persoonlijke data omvatte NAW gegevens en vingerafdrukken".

Op die manier kun je wel terugzoeken dat je ooit persoonlijke data van die persoon hebt gehad, maar je kunt ook aangeven dat je dit hebt verwijderd (al dan niet op verzoek van de Persoon zelf).

[ Voor 13% gewijzigd door Inflaav op 06-04-2018 09:22 ]

[F_J_K]

Anoniem: 926911 schreef op donderdag 5 april 2018 @ 23:27:
Daarvoor hebben we loonstroken die ik in eigen beheer heb.

offtopic:
Stap1: laat alle gegevens verwijderen, bewaar wel zelf
Stap2: vervals eigen versie
Stap3: ???
Stap4: Profit!

Maar het gaat nu alleen om de vingerafdrukken toch, je vraagt niet meer dan dat te verwijderen toch?

Sowieso is er geen reden om voor authenticatie de vingerafdruk zelf te bewaren: hooguit een hash ervan. En in een log 'werknemer123 is ingelogd, geverifieerd via vinger'. Net zoals niet bij iedere inlogpoging ook het gebruikte wachtwoord wordt gelogd.

Over je mail: wat betekent 'werkzaamheden verricht': was je in dienst, werkte je als zzp-er, namens een ander bedrijf, iets anders? Ook: zoals gezegd wil je geen bewijs vragen, maar bevestiging dat is verwijderd. En 'graag' is te zwak. Ik zou het omdraaien, waarbij een beetje informeel blijven best mag:

"Van xxx tot yyy [heb ik voor u werkzaamheden verricht namens dienstverlener X, accountnaam] / [ben ik bij u in dienst geweest]. In deze tijd heb ik moeten klokken met een registratiesysteem door middel van vingerafdrukken.

Vingerafdrukken (of 'hashes' o.i.d.) zijn privacygevoelige informatie - waarbij u geen belang meer heeft deze te bewaren. Daarom vraag ik u deze vingerafdrukken en afgeleiden daarvan te verwijderen uit uw systemen, ook met de Algemene Verordening Gegevensbescherming in het achterhoofd.

Bevestig aub ontvangst van deze mail en daarna ook de verwijdering uit uw systemen.
"


Ik zie overigens geen reden om te wachten tot eind mei. Als je nu een nee krijgt dan herhaal je het verzoek gewoon.

[downtime]

Inflaav schreef op vrijdag 6 april 2018 @ 09:20:
[...]

Als Persoon X een verzoek doet tot verwijdering en je gaat hier als bedrijf daadwerkelijk op in, zou je log er als volgt uit kunnen zien: "Voldaan aan verzoek tot verwijdering van alle persoonlijke data van Persoon X op 06-04-2018. De persoonlijke data omvatte NAW gegevens en vingerafdrukken".

Maar dan bewaar je alsnog de naam van Persoon X om te kunnen bewijzen dat je van Persoon X geen data bewaart. Dat is precies wat ik bedoelde. Om te bewijzen dat je niets bewaart moet je iets bewaren.

Op die manier kun je wel terugzoeken dat je ooit persoonlijke data van die persoon hebt gehad, maar je kunt ook aangeven dat je dit hebt verwijderd (al dan niet op verzoek van de Persoon zelf).

Een auditor, die ook inzicht in de systemen heeft, zal dat vast als bewijs accepteren. Maar wat heeft Persoon X aan een regeltje in een logfile? Voor hem bewijst dat niks. Als ik TS was geweest had ik dan ook niet om “bewijs” gevraagd maar gewoon om schriftelijke bevestiging. Meer gaat ie toch niet krijgen.

[orf]

F_J_K schreef op vrijdag 6 april 2018 @ 10:04:
[...]

offtopic:
Stap1: laat alle gegevens verwijderen, bewaar wel zelf
Stap2: vervals eigen versie
Stap3: ???
Stap4: Profit!

Ja, want de belastingdienst en UWV hebben geen gegevens van die dienstverbanden.

[Anoniem: 926911]

downtime schreef op vrijdag 6 april 2018 @ 09:05:
[...]

Het klinkt tegenstrijdig: Verwachten dat een bedrijf data verwijdert maar wel bewijs van het verwijderen bewaart.

Nee hoor ik weet namelijk hoe het bij de betreffende bedrijven is opgeslagen. Vooral bij 1 is het nogal privacy gevoelige informatie. Hier is dus mijn vingerafdruk gekoppeld aan mijn NAW gegevens. Ik weet ook dat ze de gegevens van de vingerafdrukken bewaren. Dit omdat een oud collega uit dienst is getreden maar naar 1,5 jaar terug is gekomen maar die hoefde niet opnieuw zijn vingerafdrukken te laten scannen.

Bewijs van verwijderen is eigenlijk meer een bevestiging mocht het onverhoopt op straat komen te liggen na mijn verzoek heb ik wel een zaak die ik hard kan maken.

[Martijn.C.V]

In plaats van vragen voor bevestiging van verwijdering, wat onmogelijk is (hoe bewijs jij ooit dat je een papiertje echt hebt verwijderd, en niet gewoon 'uit zicht' hebt gelegd?), kun je beter vragen naar een bevestiging dat de actie is uitgevoerd:

In het kader van privacy gevoelige gegevens motiveren (recente) datalekken mij zorgvuldiger om te gaan met mijn gegevens.
Wegens aansprakelijkheid ontvang ik graag een bevestiging wanneer de actie is ondernomen.

[Anoniem: 926911]

Heb er nu dit van gemaakt

Van (xx-xx-xx) tot (xx-xx-xx) heb ik voor u werkzaamheden verricht namens (detacheerder)
In deze tijd heb ik moeten klokken met een registratiesysteem door middel van vingerafdrukken.

In het kader van privacy gevoelige gegevens motiveren (recente) datalekken mij zorgvuldiger om te gaan met mijn gegevens. Vingerafdrukken zijn privacygevoelige informatie - waarbij u geen belang meer heeft deze te bewaren. Daarom vraag ik u deze vingerafdrukken en afgeleiden daarvan te verwijderen uit uw systemen, ook met de Algemene Verordening Gegevensbescherming in het achterhoofd. 

Bevestig aub ontvangst van deze mail en daarna ook de verwijdering uit uw systemen.

[Blokker_1999]

downtime schreef op vrijdag 6 april 2018 @ 10:39:
[...]

Maar dan bewaar je alsnog de naam van Persoon X om te kunnen bewijzen dat je van Persoon X geen data bewaart. Dat is precies wat ik bedoelde. Om te bewijzen dat je niets bewaart moet je iets bewaren.


[...]

Een auditor, die ook inzicht in de systemen heeft, zal dat vast als bewijs accepteren. Maar wat heeft Persoon X aan een regeltje in een logfile? Voor hem bewijst dat niks. Als ik TS was geweest had ik dan ook niet om “bewijs” gevraagd maar gewoon om schriftelijke bevestiging. Meer gaat ie toch niet krijgen.

Het is niet correct om te stellen dat je iets moet bewaren om te bewijzen dat je niets bewaard. Bedrijven moeten zoektools gebruiken die zowat alle databases waar persoonlijke informatie instaat kunnen doorzoeken. Zoek je dan op de specifieke gegevens van persoon X dan mogen er 0 resultaten naar boven komen, en dat is je bewijs dat je als bedrijf geen gegevens hebt die je niet mag hebben.

[downtime]

Blokker_1999 schreef op vrijdag 6 april 2018 @ 20:03:
[...]

Het is niet correct om te stellen dat je iets moet bewaren om te bewijzen dat je niets bewaard. Bedrijven moeten zoektools gebruiken die zowat alle databases waar persoonlijke informatie instaat kunnen doorzoeken. Zoek je dan op de specifieke gegevens van persoon X dan mogen er 0 resultaten naar boven komen, en dat is je bewijs dat je als bedrijf geen gegevens hebt die je niet mag hebben.

Hoe zou je dat moeten gebruiken? Wil je al die databases met persoonlijke informatie aan het internet knopen?

[LankHoar]

Anoniem: 926911 schreef op vrijdag 6 april 2018 @ 11:35:
Heb er nu dit van gemaakt


[...]

Hoe is het afgelopen? Ik zit zelf ook te denken om dit te doen bij een vroegere werkgever. Ik werkte daar in 2011, en hoop eigenlijk dat ze dit al verwijderd hebben, echter weet je dat nooit. Maar ja, bewijs daarvan.. Hoe bewijs je dat iets niet hebt?

[Anoniem: 926911]

Heb netjes een brief terug gekregen waar in staat dat bij de uitdiensttreding mijn vingerafdrukken zijn verwijderd. Heb je in ieder geval een brief om mee te slaan mochten ze het onverhoopt toch hebben.

Mocht ook wel langskomen voor een kop koffie om met HR mee te kijken in het systeem.