Privacy door ontwerp

Weinig verzamelde gegevens, korte bewaartermijn en heldere richtlijnen voor het faxen van persoonlijke informatie.

Bijgewerkt op:

De AVG (Verordening (EU) 2016/679) noemt de fax niet, maar is er wel op van toepassing: een document over een identificeerbaar persoon versturen is het verwerken van persoonsgegevens. CaptainFax wordt vanuit Frankrijk uitgevoerd, dus de Europese regels gelden voor ons. Het geüploade document bewaren we alleen tot de fax is verstuurd, we vragen geen account en kaartbetalingen lopen via Stripe. Faxt je persoonsgegevens, dan ben je meestal de verwerkingsverantwoordelijke. De onderstaande onderdelen leggen uit wat dat inhoudt, vooral voor de beveiliging en voor een fax die bij de verkeerde persoon belandt.

Vier uitgangspunten

De AVG denkt in gegevens en risico's, niet in technologie. Deze punten gelden voor een fax net zo goed als voor een e-mail of brief.

  • Doorsturen is verwerken

    Artikel 4, punt 2, noemt verstrekking door middel van doorzending uitdrukkelijk als verwerking. Een loonstrook, een medisch formulier of een klantdossier faxen valt dus onder de verordening.

  • Een rechtsgrond is nodig

    Artikel 6 kent er zes: toestemming, overeenkomst, wettelijke verplichting, vitale belangen, algemeen belang en gerechtvaardigde belangen. Welke past, hangt af van het doel van de verzending en van de ontvanger.

  • Het noodzakelijke, niet meer

    Het beginsel van gegevensminimalisatie (artikel 5, lid 1, onder c) vraagt dat je alleen gegevens gebruikt die passend en relevant zijn en niet verder gaan dan het doel. Haal overbodige pagina's en details weg voordat je de pdf maakt.

  • Doorgifte buiten de EU kent voorwaarden

    Een fax naar een land buiten de Europese Economische Ruimte is een doorgifte in de zin van hoofdstuk V (artikelen 44 tot en met 49). Voor Canada, een van onze bestemmingen, geldt een adequaatheidsbesluit van de Europese Commissie voor commerciële organisaties die onder de PIPEDA vallen (Besluit 2002/2/EG). Voor andere ontvangers daar controleer je welke waarborg van toepassing is.

Wat artikel 32 voor een fax betekent

Artikel 32 verplicht verwerkingsverantwoordelijken en verwerkers tot technische en organisatorische maatregelen die bij het risico passen, rekening houdend met de stand van de techniek, de kosten en de aard van de gegevens. Versleuteling wordt daar genoemd als één mogelijke maatregel, naast pseudonimisering en regelmatig testen.

Bij een fax dekt versleuteling alleen het eerste deel van de reis. Bij CaptainFax gaat het uploaden via HTTPS en wordt het bestand na verzending verwijderd. Het telefoontraject blijft onversleuteld, zoals bij elke fax. Organisatorische maatregelen moeten dus de rest doen: gecontroleerde nummers, een tweede paar ogen bij gevoelige faxen, vooraf bellen met de ontvanger en geanonimiseerde pagina's wanneer het doel dat toelaat.

Leg je keuzes vast. Artikel 5, lid 2, vraagt dat je de naleving kunt aantonen, en een korte notitie over waarom voor een bepaalde stroom een fax wordt gebruikt en welke voorzorgen erbij horen, voldoet daaraan. Concludeert je risicoanalyse dat een fax zonder end-to-endversleuteling voor bepaalde inhoud te riskant is, kies dan een ander kanaal.

Een fax is bij de verkeerde persoon beland

Een pagina met persoonsgegevens die bij een ongewenste ontvanger terechtkomt, is een inbreuk in verband met persoonsgegevens in de zin van artikel 4, punt 12, ook als de fout onbedoeld was. Doorloop deze stappen in volgorde.

  1. Beperk de schade

    Neem contact op met de ongewenste ontvanger, vraag om de pagina's te vernietigen en zo mogelijk om dat schriftelijk te bevestigen. Bewaar een spoor van deze stappen.

  2. Leg het intern vast

    Artikel 33, lid 5, verplicht tot het documenteren van elke inbreuk: de feiten, de gevolgen en de genomen maatregelen. Dat geldt ook als er niets gemeld hoeft te worden.

  3. Meld zo nodig binnen 72 uur bij de toezichthouder

    Tenzij het onwaarschijnlijk is dat de inbreuk een risico voor de betrokkenen inhoudt, meld je haar zonder onredelijke vertraging en indien mogelijk uiterlijk 72 uur nadat je ervan kennisnam bij de toezichthoudende autoriteit (artikel 33, lid 1). Een latere melding moet de reden van de vertraging vermelden.

  4. Informeer de betrokkenen bij een hoog risico

    Is het risico hoog, bijvoorbeeld bij gezondheids- of financiële gegevens, of gegevens die identiteitsfraude mogelijk maken, dan moeten de betrokkenen zonder onredelijke vertraging en in duidelijke taal worden geïnformeerd (artikel 34). Een verwerker moet de verwerkingsverantwoordelijke zonder onredelijke vertraging waarschuwen (artikel 33, lid 2).

Wat je in je organisatie kunt regelen

Een lijst met gecontroleerde nummers
Houd vaste ontvangers, zoals een verzekeraar, een laboratorium of een griffie, bij in een gecontroleerde en gedateerde lijst. Het nummer komt uit de lijst en nooit uit het hoofd.
Een tweede blik bij gevoelige faxen
Bij een medisch of financieel dossier controleert een collega nummer en inhoud voor het verzenden. Twee minuten die de meeste fouten voorkomen.
Een standaardvoorblad
Naam van de ontvanger, aantal pagina's, gegevens van de afzender en wat te doen bij een verkeerde aflevering. Als eerste vel van elke verzending vertelt het de vinder wat hij moet doen.
Controle over je eigen apparaten
Plaats het apparaat voor binnenkomende faxen in een afsluitbare ruimte, of schakel ontvangst in een met pincode beveiligd geheugen in als het model dat kan. Wis geheugen of schijf voordat je een geleased apparaat teruggeeft.
Een regel in je verwerkingsregister
Hoort fax bij vaste werkprocessen, beschrijf het dan in het register van artikel 30: doel, categorieën gegevens en ontvangers, doorgiften, bewaartermijnen en beveiligingsmaatregelen.

Veelgestelde vragen

Mag ik gezondheidsgegevens faxen?
De AVG verbiedt het niet. Gezondheidsgegevens vallen onder de bijzondere categorieën van artikel 9: je hebt een van de daar genoemde uitzonderingen nodig, bijvoorbeeld het verlenen van zorg, en een hoger zorgniveau. Nationale regels zoals het medisch beroepsgeheim komen erbij. Je functionaris voor gegevensbescherming of beroepsorganisatie kan zeggen wat voor jouw praktijk geldt.
Heb ik een overeenkomst met CaptainFax nodig?
Verwerkt een dienstverlener persoonsgegevens namens jou, dan eist artikel 28 een overeenkomst over instructies, vertrouwelijkheid, beveiliging en teruggave of verwijdering van gegevens na afloop van de dienst. Wil je organisatie CaptainFax regelmatig gebruiken voor documenten met persoonsgegevens, schrijf ons dan via de contactpagina, zodat we het samen bekijken.
Hoelang worden mijn documenten bewaard?
Bij CaptainFax dient het geüploade bestand om de fax te versturen en wordt het daarna automatisch verwijderd. Kaartbetalingen worden door Stripe afgehandeld. Aan jouw kant bepaal je zelf hoelang je eigen kopieën en bewijzen bewaard blijven (artikel 5, lid 1, onder e). Bij de ontvanger geldt diens eigen bewaarbeleid.
Kan iemand die in een fax wordt genoemd zijn rechten uitoefenen?
Ja. De rechten op inzage, rectificatie, wissing, bezwaar en de overige uit de artikelen 15 tot en met 22 richt je aan de verwerkingsverantwoordelijke, dus de organisatie die besloot het document te versturen. Die moet binnen een maand antwoorden, bij ingewikkelde of talrijke verzoeken te verlengen met twee maanden (artikel 12, lid 3).

Lees verder

Enkele pagina’s die aansluiten op wat je net las.

Verwante vragen