1. Inleiding
De Protection of Personal Information Act (PoPI) is het Zuid-Afrikaanse equivalent van de EU AVG en is officieel van kracht op 1 juli 2021. De wet stelt enkele voorwaarden aan verantwoordelijke partijen (in andere rechtsgebieden ook wel verwerkingsverantwoordelijken genoemd) om de persoonlijke informatie van betrokkenen (zowel natuurlijke als rechtspersonen) rechtmatig te verwerken.
De wet is van toepassing op iedereen die documenten bijhoudt die betrekking hebben op de persoonlijke informatie van wie dan ook, tenzij die documenten onderworpen zijn aan andere wetgeving die dergelijke informatie strenger beschermt. Het stelt daarom de minimumnormen vast voor de bescherming van persoonlijke informatie. Het regelt de “verwerking” van persoonlijke informatie. “Verwerking” omvat het verzamelen, ontvangen, opnemen, organiseren, ophalen of gebruiken van dergelijke informatie; of het verspreiden, distribueren of beschikbaar stellen van dergelijke persoonlijke informatie. De wet heeft ook betrekking op documenten die u al in uw bezit heeft.
Het doel van deze openbare bedrijfsverklaring is om onze klanten de maatregelen te benadrukken en aan te tonen die we hebben getroffen om de naleving van PoPI te garanderen wanneer we namens u persoonlijke gegevens bewaren of verwerken.
2. Onze PoPI-principes
- Wij zullen persoonsgegevens eerlijk en rechtmatig verwerken.
- We verwerken persoonlijke gegevens alleen voor de wettige redenen waarvan we zeggen dat we dat doen.
- We zullen ervoor zorgen dat we relevante en nauwkeurige gegevens bewaren en deze waar mogelijk up-to-date houden.
- We zullen persoonlijke gegevens niet langer bewaren of bewaren dan nodig is om aan onze contractuele verplichtingen met onze klanten te voldoen.
- We zullen alle persoonlijke gegevens beveiligen met behulp van moderne, best practice technieken en technologieën.
- We zullen ervoor zorgen dat persoonlijke gegevens niet worden overgedragen naar landen buiten Zuid-Afrika zonder dat er voldoende waarborgen zijn getroffen.
- Wij doen geen zaken met kinderen en bewaren of verwerken niet bewust de persoonsgegevens van kinderen.
3. Onze benadering van PoPI
Persoonsgegevens kunnen alleen worden verwerkt:
- met toestemming van de “betrokkene”; of
- als dit noodzakelijk is voor het sluiten of uitvoeren van een overeenkomst waarbij de “betrokkene” partij is; of
- het is wettelijk verplicht; of
- het beschermt een legitiem belang van de “betrokkene”; of
- het noodzakelijk is om uw legitieme belangen na te streven of de belangen van een derde partij aan wie de informatie wordt verstrekt.
- U heeft het recht om bezwaar te maken tegen de verwerking van uw persoonsgegevens. U kunt uw toestemming intrekken, of u kunt bezwaar maken als u legitieme gronden voor uw bezwaar kunt aantonen.
Een Verantwoordelijke moet persoonsgegevens rechtstreeks van de “betrokkene” verzamelen, tenzij:
Deze informatie is opgenomen in een openbaar register of is opzettelijk gepubliceerd door de betrokkene.
het verzamelen van de informatie uit een andere bron doet geen afbreuk aan het onderwerp;
het is noodzakelijk voor een of ander openbaar doel; of om uw eigen belangen te beschermen;
het verkrijgen van de informatie rechtstreeks van de proefpersoon zou een rechtmatig doel schaden of is redelijkerwijs niet mogelijk.
Lumi is;
- Een gegevensverwerker voor onze klanten (de gegevensbeheerder).
- Een gegevensbeheerder van de contactgegevens van onze klanten en leveranciers die we bewaren en verwerken om onze contracten uit te voeren, klantverzoeken te beheren en mensen te helpen die naar onze website komen.
- Een gegevensbeheerder voor onze werknemers, die hun persoonlijke gegevens bewaart en verwerkt.
Als onderdeel van ons voorbereidingsproces voor PoPI blijven we al onze interne processen, procedures, beleid, documentatie en systemen beoordelen en bijwerken. We zullen PoPI naleven als gegevensverwerker en beheerder en we hebben samengewerkt met onze leveranciers en externe leveranciers om ervoor te zorgen dat we gezamenlijk aan onze verplichtingen en uw vereisten kunnen voldoen.
Tijdens ons traject naar PoPI-compliance hebben we nauw samengewerkt met onafhankelijke experts en adviseurs om ervoor te zorgen dat we over de expertise beschikken die nodig is om aan de regelgeving te voldoen. Wij beschouwen PoPI als een continu project dat in de loop van de tijd monitoring, verbetering en beheer vereist.
Bij Lumi behandelen we informatiebeveiliging met het grootste belang en zijn we al op één lijn met een aantal best practice-normen uit de sector die zich concentreren op cyberbeveiliging, zoals ISO/IEC 27001 en PCI-DSS.
Met betrekking tot onze klanten, externe leveranciers of verkopers en eventuele subverwerkers: we hebben nauw samengewerkt met alle partijen om ook hun naleving te garanderen. Contracten en overeenkomsten zijn beoordeeld en wij zorgen ervoor dat de nodige organisatorische en technische controles, beleid en procedures aanwezig zijn, zodat we tevreden zijn over de vertrouwelijkheid, integriteit en beschikbaarheid van uw gegevens.
4. Datalekken
Een ‘datalek’ wordt in PoPI niet gedefinieerd, maar verwijst doorgaans naar de toegang tot of verwerving van persoonlijke informatie door een onbevoegde persoon. Wanneer zich een datalek voordoet, bestaat er een verplichting voor de verantwoordelijke partij om het lek te melden aan (i) de Informatietoezichthouder; en (ii) de betrokken betrokkene (behoudens bepaalde beperkingen).
De melding dient zo spoedig als redelijkerwijs mogelijk na de ontdekking van het datalek schriftelijk te geschieden. De melding moet de betrokkene voldoende informatie bieden om de betrokkene in staat te stellen beschermende maatregelen te nemen tegen de mogelijke gevolgen van het datalek.
Naast de eventuele meldingsverplichtingen voor datalekken zoals uiteengezet in PoPI, kunnen er aanvullende contractuele verplichtingen bestaan met betrekking tot wat een organisatie moet doen in het geval van een datalek, zoals uiteengezet in overeenkomsten met haar leveranciers, klanten of uiteengezet in haar privacybeleid.
Het niet naleven van de meldplicht is een inbreuk op PoPI en kan bij veroordeling voor bepaalde overtredingen leiden tot gevangenisstraf, een boete of beide. Voor zover er sprake is van een kennisgevings- of andere verplichting in het contract, moet een organisatie ervoor zorgen dat deze wordt nageleefd om contractbreuk te voorkomen.
In het geval van een datalek streven wij ernaar onze klant het volgende te bieden;
- Een beschrijving van de aard van de inbreuk.
- Contactgegevens van de persoon die verantwoordelijk is voor gegevensbescherming.
- Alle waarschijnlijke gevolgen of risico's van de inbreuk.
- Maatregelen die zijn genomen en voorgesteld om eventuele schadelijke effecten of risico’s voor personen te beperken.
5. Rechten van betrokkenen
Iedereen heeft het recht om geïnformeerd te worden als iemand zijn of haar persoonlijke gegevens verzamelt, of als een onbevoegde persoon toegang heeft gekregen tot zijn of haar persoonlijke gegevens. Bovendien hebben zij het recht op toegang tot hun persoonlijke gegevens en om te eisen dat persoonlijke gegevens worden gecorrigeerd of vernietigd, of kunnen zij bezwaar maken tegen de verwerking van hun persoonlijke gegevens. Lumi streeft ernaar nauw samen te werken met haar klanten namens wie wij gegevens bewaren en verwerken. Door deze samenwerking kunnen we het beste bepalen hoe we aansturen;
- Het afhandelen van verzoeken om toegang tot gegevens
- Bewaartermijnen
- Gegevens corrigeren
- Veilig wissen/vernietigen van gegevens
- Verzoeken om gegevensportabiliteit
Voor meer gedetailleerde informatie over deze rechten kunt u ons wereldwijde privacybeleid raadplegen.
6. Wat we hebben gedaan
Zoals hierboven vermeld, beschouwen we PoPI nu als een alledaags onderdeel van het leven van Lumi. In dit gedeelte hebben we enkele van de maatregelen opgenomen die we al hebben genomen of nog steeds nemen, en het werk dat we hebben voltooid op onze weg naar naleving.
- We hebben de bestaande contracten met klanten, leveranciers, eventuele subverwerkers en externe leveranciers beoordeeld en gewijzigd. Zoals hierboven vermeld werken we nauw samen met deze instanties om ervoor te zorgen dat zij ook aan hun PoPI-verplichtingen voldoen.
- We hebben onze rechtsgrondslagen voor het bewaren en verwerken van gegevens beoordeeld om ervoor te zorgen dat deze rechtmatig, eerlijk en transparant worden verwerkt.
- We blijven onze processen, procedures en beleid regelmatig herzien en bijwerken.
- Onze medewerkers zijn geïnformeerd, getraind en het bewustzijn blijft groeien. Al onze medewerkers zijn zich steeds meer bewust van hun zakelijke verantwoordelijkheden en nieuwe medewerkers worden opgeleid als onderdeel van het introductieproces.
- We hebben gegevensprivacy-impactbeoordelingen voltooid en ontvangen deze nog steeds. We heten alle klanten van harte welkom om met hun eigen gegevens contact met ons op te nemen.
- De technologie die we gebruiken om onze activiteiten uit te voeren, evolueert voortdurend en we beoordelen en analyseren onze platforms regelmatig om er zeker van te zijn dat ze voldoen aan de vereiste normen waaraan we ons verbinden.
- Wij hebben een Voorlichtingsfunctionaris en een plaatsvervangend Voorlichtingsfunctionaris aangesteld, zoals vereist door PoPI.
- Omdat systemen voortdurend veranderen en worden bijgewerkt, blijven we de informatie controleren die door Lumi stroomt en de gegevens in kaart brengen om te identificeren welke persoonlijk identificeerbare informatie we bewaren en verwerken, en waar.
- We verbeteren onze cyberbeveiliging en implementeren een ISMS volgens de geaccrediteerde ISO/IEC 27001-certificering.
- We hebben ons privacybeleid bijgewerkt om onze klanten en betrokkenen beter te helpen begrijpen wat we doen, onze wettelijke basis voor het bewaren en verwerken van informatie en om hun rechten in detail uit te leggen en hoe ze deze kunnen uitoefenen.
- We zijn veel duidelijker over het verkrijgen van toestemming met degenen die onze website kunnen bezoeken of degenen die hulp vragen via kanalen zoals onze ondersteuningsfunctie of het livechatteam.
- Als business-to-business-organisatie waren we niet verplicht om opnieuw toestemming te geven voor onze marketingbasis. We hebben echter gekeken naar degenen die al meer dan een jaar niet actief waren en hen gevraagd om opnieuw toestemming te geven.
7. Contactpersoon(en)
Informatiefunctionaris, Zuid-Afrika:
Andrej Vladar
Andrej.vladar@lumiglobal.com
Plaatsvervangend informatiefunctionaris, Zuid-Afrika:
Karmen Vladar
Karmen.vladar@lumiglobal.com
8. Privacybeleid
Voor meer informatie over hoe wij omgaan met persoonlijke informatie kunt u ons Privacybeleid raadplegen, https://www.lumiglobal.com/nl/privacybeleid.
9. Wijzigingen in deze Verklaring
Om u op de hoogte te houden van hoe wij aan de wetgeving voldoen, kunnen wij deze verklaring van tijd tot tijd bijwerken. Deze verklaring wordt altijd hier op onze website gepubliceerd.
10. Documentclassificatie
Dit Lumi-document is geclassificeerd als ‘Openbaar’. Dit betekent dat Lumi van mening is dat de informatie in dit document vrij beschikbaar is buiten het bedrijf of bedoeld is voor openbaar gebruik.
