Informatieveiligheid CLB

Zorgen dat persoonsgegevens en de zogenaamde bedrijfsgevoelige informatie onherroepelijk verwijderd is. Gegevens mogen niet gerecupereerd kunnen worden.

Wij raden af Facebook te gebruiken om professioneel te chatten. Facebook kan dienen om informatie over je centrum en haar activiteiten te promoten; maar de chatfunctie is geen communicatiemiddel om privacy-gevoelige gegevens te bespreken of aan elkaar door te geven gezien de onduidelijkheid rond de beveiliging van deze fora (opslag van gegevens, toegang tot gegevens,…).

Dit is de verantwoordelijkheid van de school. De school dient te communiceren met de leerling/ouders over de finaliteit en de proportionaliteit van deze toegang. We adviseren enkel leesrechten voor de clb-medewerker en geen schrijfrechten in het leerlingendossier van de school.

Uitgangspunt is uitvoering van de CLB-taken. In kader van het uitvoeren van je taken moet je rekening houden met de AVG.
Art. 36. CLB-decreet. Het centrum heeft recht op de relevante informatie die over de leerlingen in de school aanwezig is en de school heeft recht op de relevante informatie over de leerlingen in begeleiding. Ze houden allebei bij het doorgeven en het gebruik van deze informatie rekening met de geldende regels inzake het beroepsgeheim, de deontologie en de bescherming van de persoonlijke levenssfeer.
Art. 39 stelt dat je dit concretiseert in het beleidsplan of beleidscontract waarin o.a. wordt vermeld: 5° de wijze waarop de school en het centrum elkaar informatie bezorgen die relevant is voor de werking [, met inbegrip van de wijze waarop het centrum uitvoering geeft aan de artikelen 7 en 14 van dit decreet]

Ook de school moet de AVG naleven en bijgevolg de ouders/leerlingen expliciet op de hoogte brengen van het feit dat gegevens uitgewisseld kunnen worden met het CLB. In het schoolreglement kan dit generiek en specifiek in privacyverklaringen.
Op het ogenblik van een vraag door de school aan CLB of omgekeerd, moet er met de ouders/leerling zeer expliciet afgestemd worden welke gegevens voor welke doeleinden uitgewisseld mogen worden. Zowel school als CLB moet de stappen met cliënt bespreken waarbij de cliënt instemt met de verdere stappen. Bij contact met ouders/leerling moet CLB hen inl. informeren over hun rechten i.k.v. DRM. Hiervan moet voor het CLB een weerslag zijn in het MDD.

Praktisch moet alles nog haalbaar blijven.
Je weet best wie als \'externe\' binnenkomt en wanneer hij/zij buiten gaat (op heel wat plaatsen ligt een lijst waarop je inschrijft en uitschrijft).
Voor een klasgroep - aanzie dit als klasgroep - het is ook de verantwoordelijkheid van de klasverantw. dat iedereen van de klas weer mee is.
Je maakt best goede afspraken met andere diensten:

• waar kunnen ze binnen - waar niet
• wanneer kunnen ze binnen - wanneer niet
• wat kunnen ze op het netwerk - wat niet
• ...

Je zorgt via gesloten deur al voor een maatregel; kast op slot kan maar hoeft niet.

I.k.v. informatieveiligheid is dit inderdaad voldoende. Op die manier zorg je ervoor dat onbevoegden geen toegang hebben tot bepaalde informatie. Registratie van bezoekers is belangrijk i.k.v. brandveiligheid. Bij een incident is het register interessant om te achterhalen wie op dat moment in het gebouw aanwezig was.

Bij het installeren videoparlofoon dient het CLB niet de voorschriften van de camerawet na te leven, maar wel de algemene principes van de Privacywet, wat o.m. betekent dat een bericht moet worden opgehangen in de nabijheid van de camera dat aangeeft dat er wordt gefilmd. Tot 25 mei 2018 dient bovendien aangifte te worden gedaan van die videofoon bij de Privacycommissie, nadien is die aangifte niet meer nodig maar zal de videoparlofoon moeten worden vermeld in het register van verwerkingsactiviteiten.

Je moet aangeven wat je met de gevraagde gegevens gaat doen en waarvoor je ze gaat gebruiken. Ook aangeven wat je nadien doet met de gegevens.
Wil je deelnemerslijst uitdelen dan moet je expliciet vragen of men op de deelnemerslijst wil staan.
Wil je de mailadressen later gebruiken voor emails te versturen nav gelijkaardig event, dan moet je expliciet vragen of het mailadres kan bewaard worden.

Nee, dit is geen probleem zolang alle items maar opgenomen zijn in het dateregister.

Het meldformulier op zich is echter nog geen incidentregister (verplicht instrument). Jouw achterliggende spreadsheet kan je aanvullen met de velden in ons model om tot een volwaardig incidentregister te komen. https://www.mijnclb.be/informatieveiligheid/clb/incidentenregister.php Belangrijk zijn ook de velden te voorzien rond datalek. Het model bevat de velden die we moeten doorgeven aan de Privacycommissie i.k.v. onze meldplicht.

Hierbij een voorbeeld van een jaarplan. Met dank aan Vrij CLB West voor de toestemming om dit te delen.  Opgelet: je kan dit jaarplan niet zomaar overnemen! 

Voorbeeld

Je hebt een contract met een firma (bvb een poetsfirma). Verschillende mensen komen werken uitvoeren (in ons vb. poetsen) op de verschillende vestigingsplaatsen. Bij het contract laat je een vertrouwelijkheidsverklaring externen tekenen door de firma. Het is de verantwoordelijkheid van de firma om dit met hun personeel verder op te nemen, te bespreken,... . Als CLB hoef je niet van iedere medewerker (in ons vb. poetsvrouw/poetsman) een getekende versie te hebben. Je kan wel opvragen of de firma dit wel opgenomen heeft met hun personeel.
Als de firma werken uitvoert/leveringen brengt in een zone waar men nooit in aanraking kan komen met privacygevoelige informatie dan hoeft dit niet. Bvb. Een drankenleverancier brengt drank naar het CLB en moet die dranken rechtstreeks in een berging plaatsen zonder dat men lokalen door moet waar privacy gevoelige aanwezig kan zijn.

In de vertrouwelijkheidsverklaring van de stagiair wordt verwezen naar de privacy-wetgeving, maar niet expliciet zoals bij personeelsleden. De vertrouwelijkheidsverklaring personeelsleden laten tekenen door stagiairs mag ook.
Dit wordt juridisch nog eens nagevraagd.

Absoluut, samen met de kracht van de herhaling.

Zelf geen toegang hebben tot mappen waar je geen toegang moet toe hebben, werken met eigen login, ...