GDPR vraagje - interne database nummerplaten

Ander nieuws dat te maken heeft met topics die op userbase kunnen besproken worden
Plaats reactie
Ben De Vriendt
Starter
Starter
Berichten: 1
Lid geworden op: 03 sep 2018, 10:00

Hallo,

Bij het zoeken naar een forum waar ik mijn vraag kwijt kon, merkte ik, dat op Userbase blijkbaar wel een actieve community heeft, so here goes...

De voorgeschiedenis:
Dagelijks ondervinden collega's hinder, omdat er in de parkeergarage dubbele plaatsen achter elkaar zijn voorzien, maar dat je bij het nemen van de voorste plaats, automatisch de wagen op de achterste plaats blokkeert.
Ik heb nu een tool gebouwd, die je toelaat je eigen wagen te kiezen uit een lijst in de database en een andere wagen uit de lijst, die je blokeert.
Wanneer je dan op een knop drukt, gaat jou email browser open, met de persoon die je wil verwittigen reeds als recipient en de titel en body reeds ingevuld.
Men moet in weze dus enkel de database opendoen, twee keuzes maken, op een knop duwen en de email verzenden, om efficient de andere persoon op de hoogte te stellen.
Op deze manier moet men niet via de receptie werken, die dan in een lijst met wagens zoekt, wie er moet worden gecontacteerd en vermijd je situaties, waar de receptie niet op haar plaats zit of er een vervanging zit, die niet weet hoe het in zijn werk gaat en nog tal van andere situaties, die communicatie moeilijker maken, dan wanneer men via de tool rechtstreeks met elkaa kan communiceren. Het gaat werkelijk over 2 minuten werk ten opzichte van mogelijk 20 minuten tot een half uur verliezen of helemaal niet zeggen dat je iemand blokkeert, omdat je het teveel moeite vindt.

De vraag:
Mag zo'n tool worden gebruikt onder bepaalde voorwaarden of helemaal niet, met betrekking tot GDPR?

Alvast bedankt voor de reacties :-)

Ben
Stroper
Elite Poster
Elite Poster
Berichten: 1889
Lid geworden op: 24 aug 2011, 10:27
Uitgedeelde bedankjes: 95 keer
Bedankt: 154 keer
Recent bedankt: 1 keer

Ik ben geen juridisch specialist(wij hebben hierover op het werk alleen een korte infosessie gehad).

Maar volgens mij kan het als aan volgende zaken voldaan wordt:
* Het in het arbeidscontract staat(contractueel mag je persoonsgegevens opslaan, indien dit noodzakelijk is bv. je internetleverancier heeft je persoonsgegevens). Voor het gebruik van een prive-parking van het werk, lijkt mij de zelfde logica te gelden.
* De gegevens moeten verwijderd worden, als iemand een andere job heeft.
* Daarnaast moeten ze ook veilig bewaard worden.

Mogelijk zijn er nog andere voorwaarden.
efari
Member
Member
Berichten: 82
Lid geworden op: 10 sep 2015, 21:49
Uitgedeelde bedankjes: 3 keer
Bedankt: 6 keer

Kort samengevat:

GDPR verbiedt niets van opslag, zolang je maar aan de eindgebruiker expliciet duidelijk maakt wat opgeslagen wordt en waarom, hoe het (veilig!) opgeslagen wordt, en hoe ze hun gegevens kunnen inkijken en laten verwijderen.

(Expliciet wil zeggen: geen “stilzwijgend akkoord bij hun arbeidscontract” maar wel: een extra vinkje “ik ga akkoord” die standaard uitgevinkt is bij eerste ingebruikneming)
Laatst gewijzigd door efari 03 sep 2018, 12:15, in totaal 1 gewijzigd.
axs
Moderator
Moderator
Berichten: 2630
Lid geworden op: 18 dec 2010, 11:56
Uitgedeelde bedankjes: 445 keer
Bedankt: 221 keer

Als ik hier sommigen in een ander topic moet volgen is er een immens risico aan gebonden dat een nummerplaat in een database beland.
Deze database (en in dit geval incl mailadressen en wss ook een verwijzing naar de werkgever) kan dan weer zo maar op straat belanden waardoor criminelen weten wanneer een individu waar is of nog erger... de overheid zou deze in handen krijgen en dan datamining doen om toch maar te weten dat je niet een uurtje overwerkt of sjoemelt met fiets-/Kilometervergoeding.
Verder nog even de ANPR’s id buurt controleren en via gezichtsherkenning meteen de bestuurder en passagiers identificeren... Uiteraard wordt dit meteen gekoppeld aan het rijksregister, zodat men meteen je schoenmaat weet, om dan te zoeken in welke winkel je je aankopen hebt gedaan (al dan niet betaald met geld dat je in het zwart hebt verdiend doordat je auto op die parking stond terwijl je in verlof was)... etc etc

Om op je vraag correct te antwoorden:
Je kan dit zonder problemen implementeren zolang je uiteraard consent hebt van de betrokkenen. Verder dient duidelijk het doel omschreven te zijn en mag de data voor niks anders gebruikt worden (bv: die wagen was DAAR op dat moment en daarmee is dit meteen een verdachte van schade aan voertuig B).
Verder idd stappen ondernemen om de gegevens accuraat te houden en de nodige maatregelen in acht nemen dat de data niet zomaar op straat / in verkeerde handen beland.

Ik zou echter omwille van privacy by design niet meteen de nummerplaten linken aan een naam/emailadres in de database, maar aan een geanonimiseerde gebruikersnaam. Bijvoorbeeld met een nietzeggende emailalias of sturen naar een afdelingsmailbox.
Dit om te verhinderen dat een individu eenvoudig te identificeren is mbv een nummerplaat.
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6111
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 582 keer
Recent bedankt: 8 keer

Een ideetje, kan je geen "vaste koppels" toewijzen per parkeerplek?
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

axs schreef:Je kan dit zonder problemen implementeren zolang je uiteraard consent hebt van de betrokkenen.
Dat klinkt al helemaal anders dan wat efari schrijft... "doe maar op en zet je eindgebruiker voor een quasi voldongen feit" (dat is totaal niet de geest van GDPR, wel de manier waarop velen het momenteel misbruiken in de hoop in orde te zijn !).
axs schreef:en mag de data voor niks anders gebruikt worden
Correct, sla je dus vandaag reeds nummerplaten op (bijvoorbeeld fleet) dan mag je deze database niet opnieuw gebruiken voor een ander doel.
axs schreef:Verder idd stappen ondernemen om de gegevens accuraat te houden en de nodige maatregelen in acht nemen dat de data niet zomaar op straat / in verkeerde handen beland.
En daar zou ik toch maar niet licht over stappen (je applicatie, database, netwerk, firewall, ...).
axs schreef:Ik zou echter omwille van privacy by design
Mmm... dan toch iets opgestoken van eerdere opmerkingen ;-)

Concreet... je e-mail hoeft niet open te gaan met de naam van de bestemmeling erin (slecht design - privacy is daarbij reeds geschonden), je kan beter de website de mail laten verzenden naar de eigenaar van de nummerplaat (en zo bewaar je de privacy van de eigenaar, maar ook die van jou omdat de bestemmeling een mail zal krijgen van de app en niet van jou).
axs
Moderator
Moderator
Berichten: 2630
Lid geworden op: 18 dec 2010, 11:56
Uitgedeelde bedankjes: 445 keer
Bedankt: 221 keer



[quote="r2504"][quote="axs"]
Ik zou echter omwille van privacy by design[/quote]

Mmm... dan toch iets opgestoken van eerdere opmerkingen ;-)

[/quote]

Je hebt het laatste woord gehad in het andere topic.. enjoy it!
Gebruikersavatar
heist_175
Moderator
Moderator
Berichten: 14848
Lid geworden op: 07 okt 2010, 09:35
Locatie: Kempen
Uitgedeelde bedankjes: 484 keer
Bedankt: 1043 keer
Recent bedankt: 7 keer

Allemaal dezelfde werkgever? Of niet?
Vraag aan de Exchange beheerder een alias te maken met de nummerplaat?

Ipv dat je een email stuurt
van: [email protected]
naar: [email protected]

stuur je een email
van: [email protected]
naar: [email protected]

Je kan niets hacken, behalve als uw Exchange gehackt is, maar dan zal uw parkingprobleem niet het eerste zijn dat uw legal-afdeling op hun bord krijgt :).
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

heist_175 schreef:Vraag aan de Exchange beheerder een alias te maken met de nummerplaat?
Dat is louter een technische implementatie (en uiteindelijk ook een "database")... het doet niets af aan de regels rond GDPR.

Trouwens iedereen met een Outlook account kan iedereen zijn mail aliassen zien... FAIL !
heist_175 schreef:stuur je een email
van: [email protected]
naar: [email protected]
Zoals ik al schreef faal je hier op "Privacy by design" want je "lekt" dat Gerard de bestuurder is die 1ABC123 heeft klem gezet (en dat is totaal irrelevant om zijn wagen te verplaatsen !).
Laatst gewijzigd door ubremoved_539 03 sep 2018, 13:35, in totaal 1 gewijzigd.
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6111
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 582 keer
Recent bedankt: 8 keer

Wat te doen met mensen die al eens (ja ja ik weet dat het niet mag) de oldtimer nemen bij mooi weer, de auto van de partner nemen, vervangwagen,...
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

cadsite schreef:Wat te doen met mensen die al eens (ja ja ik weet dat het niet mag) de oldtimer nemen bij mooi weer, de auto van de partner nemen, vervangwagen,...
Maakt toch niet uit... zolang zij vrijwillig hun plaat ingeven in het systeem (en de hoster van de app alle regels volgt).
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6111
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 582 keer
Recent bedankt: 8 keer

Dat bedoel ik niet.
Alweer is het een systeem dat ervan uitgaat dat iedereen vergroeid is rond zijn of haar auto.

Elke persoon zou dus elke mogelijke nummerplaat moeten opgeven. Wat met cambio gebruikers? Om nog maar iets te zeggen.

Ofwel zijn het allemaal firmawagens zonder ooit een vervangwagen te gebruiken, maar anders is dit systeem ook niet DE oplossing. Nog los van alle GDPR toestanden.

Misschien een parkeerkaart uitdelen met erop het interne telefoonnummer? Niks database, gewoon een kaart van de firma met een tel.nr.
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

cadsite schreef:Dat bedoel ik niet.
Alweer is het een systeem dat ervan uitgaat dat iedereen vergroeid is rond zijn of haar auto.
Het systeem is een "handige tool"... geen ultieme tool die perfect is (als het dus voldoet voor 95% is dit prima).
cadsite schreef:Elke persoon zou dus elke mogelijke nummerplaat moeten opgeven. Wat met cambio gebruikers? Om nog maar iets te zeggen.
Tja, zo werkt dat nu ook met de receptie... als jij iedere dag een andere nummerplaat hebt zal je dus wat meer werk hebben.
cadsite schreef:Misschien een parkeerkaart uitdelen met erop het interne telefoonnummer? Niks database, gewoon een kaart van de firma met een tel.nr.
Mooi... Out-of-the-box thinking is vaak DE oplossing voor privacy by design (al wil misschien niet iedereen z'n nummer geven :lol: ).
ITnetadmin
userbase crew
userbase crew
Berichten: 8965
Lid geworden op: 28 jan 2012, 18:22
Uitgedeelde bedankjes: 199 keer
Bedankt: 689 keer
Recent bedankt: 2 keer

Een interne site die de blokkeerder sms't lijkt me mss nog het nuttigst en het privacy vriendelijkst.

De verzender kan niet zien wie hij waarschuwt, de ontvanger kent de klager niet, en door sms ipv mail te gebruiken vermijd je dat iemand zijn mails het eerste uur niet bekijkt.

Uiteraard ga je voor alle verzamelde data expliciete toestemming moeten vragen; en aangezien dit iets is dat in het water kan vallen als een enkeling of twee weigeren, kan je het mss best deel van het arbeidsreglement proberen te maken.

Het parkeerkaartje met intern nr is leuk, en makkelijker te implementeren, op voorwaarde dat de user *altijd* bereikbaar is daarop; dus portable internal phones of doorschakelingen naar gsm zijn dan wel nodig. Anders ga je merken dat de blokkeerder net van zijn bureau weg is.
Gebruikersavatar
cadsite
Elite Poster
Elite Poster
Berichten: 6111
Lid geworden op: 20 jan 2015, 16:10
Locatie: Kortrijk
Uitgedeelde bedankjes: 244 keer
Bedankt: 582 keer
Recent bedankt: 8 keer

SMS systeem ziet er inderdaad ook wel een mooi alternatief uit.

TS, zijn er minder parkeerplaatsen dan parkeerders? Is het anders niet te doen om een vaste plek te hebben? Eventueel per afdeling, dan is zo'n systeem misschien niet eens nodig. Ik ken al de auto's van mijn directe collega's.
R2D2
Elite Poster
Elite Poster
Berichten: 1452
Lid geworden op: 20 aug 2015, 15:07
Uitgedeelde bedankjes: 85 keer
Bedankt: 122 keer
Recent bedankt: 5 keer

Deze casus is toch weer een mooi voorbeeld van de te ver doorgeschoten bekommernis rond "privacy" en GDPR.
Een praktisch probleem, binnen een gesloten omgeving als een bedrijf, kan met eenvoudige technologie opgelost worden zodat tijdverlies en ergernis vermeden wordt en dus de productiviteit omhoog gaat. Maar toch maakt de wetgeving dit moeilijk of misschien zelf onmogelijk.
Akkoord dat de privacy van individuen beschermd moet worden tegenover grote organisaties en criminelen, maar de koppeling van een nummerplaat en een telefoonnumer in een bestand dat enkel beschikbaar is door de betrokkenen zou toch moeten kunnen zeker? Zoals AXS in een satire hierboven beschreven heeft, is misbruik hiervan toch wel zeer vergezocht.
Gebruikersavatar
heist_175
Moderator
Moderator
Berichten: 14848
Lid geworden op: 07 okt 2010, 09:35
Locatie: Kempen
Uitgedeelde bedankjes: 484 keer
Bedankt: 1043 keer
Recent bedankt: 7 keer

r2504 schreef:
heist_175 schreef:Vraag aan de Exchange beheerder een alias te maken met de nummerplaat?
Dat is louter een technische implementatie (en uiteindelijk ook een "database")... het doet niets af aan de regels rond GDPR.

Trouwens iedereen met een Outlook account kan iedereen zijn mail aliassen zien... FAIL !
In wat opzicht is een aparte DB beter dan een mail alias?
Met een email-alias blijf je 100% binnen de bestaande security van het bedrijf.
Alles extern aan de bestaande security (telefoonnummer op het dashboard) lekt meer gegevens dan de alias.
axs
Moderator
Moderator
Berichten: 2630
Lid geworden op: 18 dec 2010, 11:56
Uitgedeelde bedankjes: 445 keer
Bedankt: 221 keer

r2504 schreef:
heist_175 schreef:Vraag aan de Exchange beheerder een alias te maken met de nummerplaat?
Dat is louter een technische implementatie (en uiteindelijk ook een "database")... het doet niets af aan de regels rond GDPR.

Trouwens iedereen met een Outlook account kan iedereen zijn mail aliassen zien... FAIL !
Dit heeft Heist_175 toch ook nergens beweerd?

r2504 schreef:
heist_175 schreef:stuur je een email
van: [email protected]
naar: [email protected]
Zoals ik al schreef faal je hier op "Privacy by design" want je "lekt" dat Gerard de bestuurder is die 1ABC123 heeft klem gezet (en dat is totaal irrelevant om zijn wagen te verplaatsen !).
Niet correct gelezen blijkbaar?
'niemand' weet wie er iemand klem heeft gezet... (behalve zijn/haar nummerplaat).

Van een 'lek' is dus al geen sprake tenzij je een pronostiek wil gaan maken over wie het meeste wordt klemgezet door 1abc123/1def456/...

Ik hoop alleen dat die data dan niet in handen komt van de kansspelencommissie ... :roll:
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

R2D2 schreef:Deze casus is toch weer een mooi voorbeeld van de te ver doorgeschoten bekommernis rond "privacy" en GDPR.
In dit geval misschien wel... maar wie gaat bepalen wat de grens is voor dergelijke dingen ? (zoals een ander voorstel hier spreekt over SMS'jes wat aangeeft dat je mogelijk een privé telefoonnummer zou "moeten" geven waar niet iedereen even blij mee is).

Dankzij GDPR zou deze duidelijk moeten zijn... niets zonder jou expliciete toestemming (en wat er onder die toestemming valt), niet langer dan noodzakelijk en een deftige beveiliging.

Vaak starten zo'n dingen ook klein en als hulpmiddel... maar groeien ze later uit tot iets totaal anders. Behandel dus ieder project, hoe klein of hoe groot ook op dezelfde basis en er is nooit discussie.
heist_175 schreef:In wat opzicht is een aparte DB beter dan een mail alias?
Dat zeg ik nergens... ik geef alleen aan dat welke de technische oplossing ook moge zijn... de GDPR regels veranderen niet.
heist_175 schreef:Met een email-alias blijf je 100% binnen de bestaande security van het bedrijf.
De security voor de infrastructuur is inderdaad vermoedelijk beter afgedekt dan wanneer iemand snel even intern een app gaat maken, echter zoals reeds eerder vermeld zijn de aliassen voor iedere gebruiker zichtbaar en is er dus geen privacy op dat gebied.
axs schreef:Niet correct gelezen blijkbaar? 'niemand' weet wie er iemand klem heeft gezet... (behalve zijn/haar nummerplaat).
1ABC123 weet dat de persoon die hij klemgereden heeft Gerard is (en wat z'n nummerplaat is).
axs schreef:Ik hoop alleen dat die data dan niet in handen komt van de kansspelencommissie.
Wetgeving in het belachelijk trekken... het zegt veel over de ernst waarmee je hier (professioneel) mee omgaat :roll:
axs
Moderator
Moderator
Berichten: 2630
Lid geworden op: 18 dec 2010, 11:56
Uitgedeelde bedankjes: 445 keer
Bedankt: 221 keer

Je ziet duidelijk het cynisme niet dat is ingegeven door andere posts in een andere GDPR discussie hier op het forum.
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

Ja kan daar cynisch over doen zoveel je wil maar als iemand vraagt wat de correcte implementatie is dan geef ik die (en geen subjectieve beoordeling over wanneer het wel of niet zou kunnen want daar heeft uiteindelijk niemand iets aan). Uiteindelijk is het de keuze van de persoon om de wetgeving te volgen of deze naast zich neer te leggen (en de potentiele gevolgen hiervan te dragen).

Wil je daar belachelijk over doen dan is dat jou keuze... ik heb de wet niet geschreven (en ben ook van mening dat het soms absurd is net zoals de Cookie wetgeving maar mijn persoonlijk mening is in die context totaal niet van belang).
Gebruikersavatar
heist_175
Moderator
Moderator
Berichten: 14848
Lid geworden op: 07 okt 2010, 09:35
Locatie: Kempen
Uitgedeelde bedankjes: 484 keer
Bedankt: 1043 keer
Recent bedankt: 7 keer

r2504 schreef:1ABC123 weet dat de persoon die hij klemgereden heeft Gerard is (en wat z'n nummerplaat is).
Dat zal ook gewoon nodig zijn.
Als Gerard (1ABC123) Alice haar auto (1XYZ789) heeft vastgereden, dan zal Alice toch met Gerard overeen moeten komen wanneer hij zijn auto moet verplaatsen etc. Dus dat 1ABC123 en 1XYZ789 uiteindelijk elkaars namen te weten komen, lijkt me geen issue.

Enige issue kan zijn dat je de nummerplaat van een collega kan vinden via de aliassen.
Mijn kennis van exchange is te beperkt, maar werk dan met "forwards" ofzoiets - een niet-raadpleegbaar/opzoekbaar alias?

Opnieuw: andere implementaties met DB's buiten de "ring fence" van het bedrijf, lijken me GDPR-wise problematischer.
ubremoved_539
Deel van't meubilair
Deel van't meubilair
Berichten: 29849
Lid geworden op: 28 okt 2003, 09:17
Uitgedeelde bedankjes: 434 keer
Bedankt: 1972 keer

We dwalen hier af naar theoretische scenario's om uiteindelijk te zeggen... het is allemaal niet zo erg (en in dit concreet voorbeeld is het dat vermoedelijk ook niet maar dan komen we in een grijze zone terecht waar de grens heel subjectief wordt).

Als Gerard een auto klem zet en een bericht krijgt van het systeem dan moet hij gewoon z'n auto verplaatsen... hij heeft daar Alice niet voor nodig, laat staan dat ze moeten afspreken (al begijp ik ook wel dat Gerard dan graag het plaatsje van Alice zou innemen en dit dus samen wil doen).

De TS had een duidelijke vraag en daar hoort een duidelijk antwoord bij... geen eigen interpretaties. Als iemand hier komt vragen of hij 160 km/u op de autostrade mag rijden gaan we toch ook niet vanalles verzinnen om te zeggen wanneer iemand van ons vindt dat het wel of niet mag :bang:
axs
Moderator
Moderator
Berichten: 2630
Lid geworden op: 18 dec 2010, 11:56
Uitgedeelde bedankjes: 445 keer
Bedankt: 221 keer

GDPR is voor interpretatie vatbaar, net als vele andere richtlijnen en wetgevingen waardoor we eindigen in dit soort discussies. Al blijkt dat we tot een consensus komen in deze specifieke case (zie ook mijn eerste post)

We moeten data absoluut beschermen tegen non-intended use, wat een heel andere insteek is dan het gewoon niet (willen) opslaan/delen (uit veiligheidsoverwegingen? Schrik voor GDPR violations?) van bepaalde data.
Onder GDPR kan nog veel... zeer veel zelfs, zolang je je aan de 4 grote GDPR pijlers houdt.

Ik heb vanuit een legal/regulatory perspectief voor mijn werkgever diverse GDPR/privacy summits bijgewoond en data protection/data-privacy/GDPR projecten geleid.
Daar werden ook diverse use-cases besproken (oa ook het privacy verhaal rond nummerplaten) echter bleek dat heel veel cases op een andere manier konden ondervangen worden dan het compleet weigeren van opslaan van data (privacy by design, herevalueren van de noodzaak van data, alternatieve data ipv privacygevoelige data, ...).

En dat is exact wat we in het achterhoofd moeten houden wanneer we vooruitgang willen maken op technologisch vlak (administratieve vereenvoudiging, automatisatie, knowledge gathering, ...) met de data die we ter beschikking hebben, net zoals de TS wil bereiken.
Plaats reactie

Terug naar “Ander nieuws”