Veilige verwerking persoonsgegevens

In ons lab, Hyperlab, ontwikkelen we op basis van artificial intelligence innovatieve diensten zodat jij op basis van data en voorspellingen beslissingen kunt nemen. Deze data verwerken we op een veilige manier en volgens de regels van de AVG. Hieronder leggen we uit hoe we zorgen voor deze veilig verwerking van persoonsgegevens. Omdat wij het ook belangrijk vinden dat er bewust gebruik wordt gemaakt van deze data hebben we ook handvatten meegenomen voor een bewust gebruik van onze AI-diensten.

Xpert Suite ondersteunt in de verwerking van persoonsgegevns volgens de AVG

Het verwerken van persoonsgegevens is een kerntaak van Xpert Suite. We hebben daarbij zowel passie voor software, als hart voor de mens. Privacy en informatiebeveiliging zijn bij ons dan ook essentiële thema’s. De functionaliteiten in Xpert Suite ondersteunen onze klanten in het veilig verwerken van persoonsgegevens volgens de AVG. Er is daarbij rekening gehouden met kernbeginselen als rechtmatigheid, behoorlijkheid en transparantie. 

Verantwoordelijkheid verwerkingsverantwoordelijke

De verwerking van persoonsgegevens met inzet van een algoritme (zoals bij het gebruik van de Hyperlab-modules gebeurt) wijkt volgens de Autoriteit Persoonsgegevens niet af van ‘gewone’ verwerking. Deze verwerking moet daarom ook gewoon voldoen aan de algemene beginselen voor de verwerking van persoonsgegevens. Deze algemene beginselen van de AVG zijn: Rechtmatigheid, Transparantie, Doelbinding, Dataminimalisatie, Juistheid, Beveiliging, Privacy by design en Privacy by default. De verwerkingsverantwoordelijke (klanten die de Hyperlab-modules gebruiken) is ervoor verantwoordelijk dat het vaststellen of de verwerkingen die zij doen, volgens de regels van de AVG zijn toegepast. Hierbij kan onderstaande helpen:

• Dataverwerking binnen de richtlijnen
  De verwerking die plaatsvindt bij Otherside Hyperlab past binnen de richtlijnen van dataverwerking voor verzuimende medewerkers. Er worden geen extra gegevens gebruikt om de analyses te kunnen maken. Ook worden de gegevens met hetzelfde doel (effectieve verzuimbegeleiding van werknemers) verwerkt.
• Zorg voor duidelijke informatie
  Zorg dat de betrokkenen duidelijk geïnformeerd zijn over een verwerking middels de Hyperlab-modules. Hierbij kan je gebruik maken van de beschrijving per Hyperlab-module voor de type verwerking die daarbij plaatsvindt. Uiteraard dien je zelf hier nog aan toe te voegen hoe de verkregen inzichten worden gebruikt. 
• Vooraf vastgesteld doel voor het delen van persoonsgegevens
  Persoonsgegevens mogen alleen voor een vooraf vastgesteld doel worden verwerkt. De verwerking die plaatsvindt via de Hyperlab-modules is in lijn met de verwerking die al in Xpert Suite plaatsvindt, namelijk: een goede verzuimbegeleiding en bevordering van duurzame inzetbaarheid. 
• Geen permanente opslag van persoonsgegevens
  De Hyperlab-modules gebruiken niet meer gegevens dan in Xpert Suite zijn vastgelegd. Daarnaast wordt data nooit permanent in Hyperlab-modules opgeslagen. Data wordt alleen tijdens de analyse tijdelijk in een Hyperlab-module verwerkt. 
• Juistheid van data
  De gegevens die binnen Xpert Suite worden vastgelegd kennen al beheersprocedures om de juistheid te borgen. De Hyperlab-modules gebruiken deze zelfde data en zullen daarmee dezelfde kwaliteit van de data gebruiken als je nu al geborgd hebt.
• Gepseudonimiseerde persoonsdata voor onderzoek
  Otherside at Work is ISO 27001 en NEN7510 gecertificeerd en bezit tevens een SOC2-verklaring. Xpert Suite en de daarin verwerkte data wordt gehost in drie fysieke datacenters in Nederland. Uiteraard voldoen ook deze datacenters aan onze beveiligingseisen. 
  Voor de Hyperlab-modules worden naar de persoon herleidbare gegevens binnen Xpert Suite hostingomgeving verwerkt. Het trainen van modellen vindt wel plaats buiten Xpert Suite hostingomgeving. Maar deze onderzoeksomgeving bevat alleen gegevens die zijn ontdaan van alle directe persoonsgegevens en bevat alleen data die direct noodzakelijk is voor het onderzoek. Klanten die data voor onderzoeksdoeleinden delen hebben een apart addendum getekend waarin is opgenomen welke data er gedeeld wordt. Voor het onderzoek wordt in AVG termen alleen met ‘gepseudonimiseerde’ persoonsdata gewerkt. 
• Functionaris voor de gegevensbescherming
  Otherside at Work heeft tevens een Functionaris voor de gegevensbescherming (FG) aangesteld. De functionaris houdt (onder andere) toezicht op de toepassing en naleving van de Algemene Verordening Gegevensbescherming binnen de verwerkingen die we met Xpert Suite ondersteunen. Het gebruik van de Hyperlab-modules binnen Xpert Suite, alsmede het leveren van data vanuit Xpert Suite aan de Hyperlab-onderzoekers valt dus onder dit toezicht. Het is mogelijk om contact op te nemen met onze Functionaris voor de gegevensbescherming via privacy@othersidesoftware.com.
• DPIA (Data Protection Impact Assessment)
  De toepassing van Hyperlab-modules is een nieuwe verwerking waar de gebruiker een DPIA voor moet uitvoeren.

Bevorderen van bewustzijn bij gebruikers

Met het gebruik van onze AI-diensten wordt er gebruik gemaakt van persoonsgegevens. Wij vinden het daarom belangrijk dat gebruikers zicht bewustzijn van een aantal zaken:

• Voorspellingen als indiciatie
  Belangrijke besluiten mogen volgens de AVG niet alleen door een algoritme zonder menselijke tussenkomst worden genomen. De voorspellingen uit de XS AbsencePredictor kunnen daarom alleen als indicatie worden gebruikt om een professional te informeren. Op basis van deze informatie kan de professional dan een besluit nemen om dit te volgen of hiervan af te wijken.
• Informatie naar betrokkene
  Indien er acties worden geautomatiseerd o.b.v. beoordelingen in de XS AbsencePredictor, dan is het belangrijk dat de betrokkene hierover geïnformeerd wordt. En dat duidelijk wordt aangegeven met wie hij contact kan opnemen indien hij het niet eens is met deze beoordeling.
• Arbodienst of bedrijfsarts vroegtijdig betrekken
  Voorspelt de XS AbsencePredictor dat er een grote kans op lang verzuim bestaat, dan kan er worden gekeken of extra aandacht, een verwijzing of een interventie herstel en/of re-integratie kan bevorderen. Binnen een arbodienst kan (onder verantwoordelijkheid van de bedrijfsarts) extra uitvraag plaatsvinden. Gezien de eisen vanuit de AVG adviseren we werkgevers om op basis van een dergelijke voorspelling de arbodienst of bedrijfsarts vroegtijdig bij de begeleiding te betrekken.
• Bespreken gebruik XS AbsencePredictor​ met de ondernemingsraad
  Indien de XS AbsencePredictor wordt gebruikt door werkgevers is het verstandig om het voorgenomen beleid en de vervolgacties op basis van machine learning met de OR (of een andere vorm van werknemersvertegenwoordiging) te bespreken. 
• Geen aandachtspunten voor de XS CaseloadPredictor
  De XS CaseloadPredictor levert (in tegenstelling tot de XS AbsencePredictor) geen informatie op die gevolgen kunnen hebben voor individuele werknemers. De bovengenoemde aandachtspunten zijn voor dit product dan ook niet van toepassing.

De menselijke maat

Otherside at Work, als leverancier van Xpert Suite, heeft een loket voor betrokkenen. Heeft een (ex)werknemer vragen over de wijze of de grondslag waarop zijn gegevens worden verwerkt? Of heeft hij een klacht of opmerking over een gebruiker van onze software die zijn gegevens verwerkt; dan kan via ons loket laagdrempelig contact worden opgenomen.

In overleg kijken we binnen de geldende regels en gemaakte afspraken met onze klanten wat er moet gebeuren. Het loket is bereikbaar via loket.betrokkenen@othersideatwork.nl of telefonisch via 073-6159950.