Privacywet en AVG

Het gebruik van ons systeem SaverIT voor aanwezigheidsregistratie en toegangscontrole biedt Het Bouwbedrijf niet alleen een veiligere en GDPR-compliant oplossing, maar zorgt er ook voor dat gevoelige gegevens in het Portaal goed worden beschermd. SaverIt voldoet daarmee aan alle privacywet. Ons digitale systeem biedt aanzienlijke voordelen ten opzichte van papieren registratie, vooral als het gaat om gegevensbescherming, wettelijke bewaarplichten, en naleving van de GDPR. SaverIT signaleert dreigende overtredingen van de maximale werktijden, zodat Het Bouwbedrijf de Arbeidstijdenwet beter kan handhaven.

AVG en privacywet

De AVG (Algemene verordening gegevensbescherming) is de Nederlandse uitvoering voor de Europese privacywet. De GDPR (General Data Protection Regulation) is de Engelse naam voor dezelfde wet. Beide termen verwijzen naar de Europese wetgeving die in mei 2018 van kracht werd en die gericht is op de bescherming van persoonsgegevens en privacy rechten binnen de Europese Unie. Het doel is om individuen meer controle te geven over hun persoonlijke gegevens en bedrijven te verplichten om transparanter en zorgvuldiger om te gaan met deze gegevens.

Doel van het systeem

Het Bouwbedrijf maakt gebruik van ons systeem voor de aanwezigheidsregistratie van werknemers op bouwplaatsen. Dit systeem stelt werknemers in staat om in en uit te klokken via een digitaal platform. Het registreert de gewerkte uren en zorgt voor naleving van de Arbeidstijdenwet (ATW), waarbij pauzes en overschrijdingen automatisch worden berekend. Het systeem biedt voordelen ten opzichte van papieren registraties, omdat papieren lijsten privacy risico’s met zich meebrengen doordat ze vaak onbeveiligd worden bewaard.
Een digitale urenregistratie is niet verplicht onder de Arbeidstijdenwet. Het is wel een efficiënte en betrouwbare manier om de verplichte urenregistratie bij te houden. De Inspectie SZW kan tot 2 jaar na afloop van een project controles uitvoeren. SaverIT signaleert dreigende overtredingen van de maximale werktijden, zodat Het Bouwbedrijf de Arbeidstijdenwet beter kan handhaven.

Verwerkte gegevens voldoen aan privacywet

In ons systeem slaan we de volgende gegevens van gebruikers op:

• Voornaam en achternaam: nodig voor de identificatie van de werknemer.
• Nummer RFID chip (Radio Frequency Identification): gebruikt voor het in- en uitklokken van werknemers.
• Bedrijfsnaam: voor registratie van ketenaansprakelijkheid en projectbeheer.
• Gewerkte uren en pauzes: automatisch berekend volgens de geldende arbeidstijdenwet.
• Overschrijdingen van de arbeidstijdenwet: ons systeem registreert wanneer een werknemer de geldende arbeidstijdenwet heeft overschreden, inclusief de details van de overtreding. Dit gebeurt automatisch om de naleving van de wet te kunnen controleren en rapporteren.

De gevoeligheid van de gegevens die Het Bouwbedrijf in SaverIT opslaat is minimaal. Immers, alleen de voornaam, de achternaam en de bedrijfsnaam worden opgeslagen. Deze gegevens worden door Het Bouwbedrijf binnen SaverIT niet gecombineerd met andere persoonlijke gegevens zoals bankrekeningnummers, paspoortnummers of BSN. SaverIT voldoet aan de privacywet.

Wetgeving: Wet Ketenaansprakelijkheid (WKA)

Voor de naleving van de Wet Ketenaansprakelijkheid (WKA) kunnen aanvullende gegevens zoals het BSN (Burger Service Nummer) van werknemers noodzakelijk zijn. Dit is belangrijk om ervoor te zorgen dat werknemers voldoen aan de wettelijke verplichtingen met betrekking tot werkvergunningen en aansprakelijkheid. Echter, het opslaan van BSN’s vereist extra veiligheidsmaatregelen omdat dit gevoelige persoonsgegevens zijn.

• Identiteitscontrole: tijdens de eerste keer dat een werknemer op de bouwplaats komt, wordt een identiteitscontrole uitgevoerd. Dit is nodig om te voldoen aan de WKA en om te bevestigen dat de juiste persoon aan het werk gaat. Voor deze controle geldt het volgende:
• Opslag: SaverIT slaat alleen op dat de controle is uitgevoerd, samen met de datum, tijd, en naam van de persoon die de controle heeft uitgevoerd.
• Gegevens minimaliseren: binnen SaverIT slaat Het Bouwbedrijf geen gegevens van het identiteitsdocument op.
• Informatie: werknemers worden op de hoogte gebracht van deze controle en de manier waarop hun gegevens worden verwerkt.

Beveiligingsmaatregelen t.b.v. de privacywet

Ons systeem is ook vanwege privacywet ontworpen met robuuste beveiligingsmaatregelen om de opgeslagen gegevens te beschermen:

• Hosting: de applicatie draait op UNIX-gebaseerde machines met de nieuwste beveiligingspatches.
• Netwerkbeveiliging: de firewall staat alleen poort 443 open voor beveiligde HTTPS-verbindingen.
• Databasebeveiliging: de MySQL-database is alleen toegankelijk vanaf de webserver en is voorzien van de laatste updates.
• 2-Factor Authentication (2FA): SaverIT biedt de mogelijkheid om gebruik te maken van Google Authenticator voor extra beveiliging bij het inloggen.

Gegevensbeheer

Op verzoek en conform de eisen van Het Bouwbedrijf heeft SaverIT een zogenaamde CyberClear verzekering bij Hiscox (polisnummer 30291284) afgesloten. Bij deze verzekering is het verplicht om te voldoen aan de privacywet.

Bewaartermijnen

Beheerdersaccounts worden na 21 dagen automatisch losgekoppeld van projecten om te voorkomen dat zij toegang blijven houden tot gegevens van oude projecten. Dit helpt bij het voorkomen van datalekken en ongeautoriseerde toegang.

In overeenstemming met de geldende wettelijke verplichtingen zullen wij gegevens bewaren voor de voorgeschreven periode. Bijvoorbeeld, gegevens met betrekking tot arbeidstijdenregistratie worden in lijn met de Wet Arbeidstijden en andere relevante wetgeving opgeslagen voor de minimale wettelijke termijn van 2 jaar. Zodra de bewaartermijn is verstreken en de gegevens niet langer nodig zijn voor wettelijke of zakelijke doeleinden, zullen deze veilig worden verwijderd of geanonimiseerd, conform de GDPR-eisen.

Voordelen van een digitaal systeem boven papieren registratie

Het gebruik van een digitaal systeem biedt verschillende voordelen ten opzichte van papieren registraties:

• Beveiliging: digitale gegevens worden afgeschermd door middel van encryptie en toegangscontrole, terwijl papieren lijsten vaak onbeveiligd liggen en een groot risico vormen voor privacy-inbreuken.
• Toegangsbeheer: alleen bevoegde personen hebben toegang tot de gegevens, waardoor de kans op ongeoorloofde toegang kleiner is.
• Traceerbaarheid: alle acties binnen het systeem worden gelogd, waardoor duidelijk is wie toegang heeft gehad tot welke gegevens en wanneer.

Papieren intekenlijsten en GDPR-compliance en privacywet

Het gebruik van papieren intekenlijsten in kantines of andere openbare ruimtes voor aanwezigheidsregistratie is niet GDPR-compliant en is in veel gevallen zelfs bij wet verboden. Dit komt door:

• Onbeveiligde opslag: papieren lijsten liggen vaak onbeveiligd in de kantine of andere plekken waar iedereen toegang heeft, waardoor gevoelige gegevens zoals namen, werktijden en bedrijfsinformatie makkelijk ingezien kunnen worden door onbevoegden.
• Geen toegangscontrole: er is geen manier om te controleren wie de papieren lijsten bekijkt, wat in strijd is met de GDPR-vereisten voor het beperken van toegang tot persoonsgegevens.
• Gegevensbescherming: onder de GDPR moeten organisaties ervoor zorgen dat persoonsgegevens op een veilige manier worden opgeslagen en verwerkt. Papieren lijsten voldoen niet aan deze vereisten omdat ze fysiek toegankelijk zijn voor iedereen, wat het risico op gegevensinbreuken vergroot.

Naleving van de GDPR

Met het digitale systeem SaverIT voldoet Het Bouwbedrijf aan de belangrijkste principes van de GDPR:

• Rechtmatigheid, eerlijkheid en transparantie: de verwerking van werknemersgegevens heeft een legitieme grondslag (aanwezigheidsregistratie en naleving van wetgeving).
• Doelbinding: de gegevens worden alleen gebruikt voor het aangegeven doel, namelijk het registreren van de aanwezigheid en werktijden.
• Data minimalisatie: SaverIT slaat alleen de noodzakelijke gegevens op.
• Beveiliging: technische en organisatorische maatregelen zorgen voor adequate bescherming van de persoonsgegevens.

Melding van datalekken

Als wij als softwarebedrijf een datalek constateren dat invloed kan hebben op de persoonsgegevens in ons systeem, zullen wij dit onmiddellijk melden bij de desbetreffende instantie: de Autoriteit Persoonsgegevens (AP) in Nederland of de Gegevensbeschermingsautoriteit (GBA) in België, zoals vereist onder de GDPR. Hoewel we nog nooit een datalek hebben gehad, is onze procedure erop gericht om bij een incident zo snel mogelijk in actie te komen en de betrokkenen te informeren.