De Algemene Verordening Gegevensbescherming (AVG), die op 25 mei 2018 in werking treedt, brengt meer en andere verantwoordelijkheden dan de Wet bescherming persoonsgegevens met zich mee voor organisaties die werken met persoonsgegevensbestanden, waaronder pensioenfondsen, pensioenverzekeraars en pensioenuitvoeringsorganisaties (hierna gezamenlijk: “Pensioenfonds”). De schade bij het niet voldoen aan de dwingendrechtelijke bepalingen kan groot zijn. De maximale boete wordt EUR 20 miljoen of 4% van de jaaromzet, in plaats van maximaal EUR 820.000,00 nu. Hieronder worden twee nieuwe verplichtingen uit de wetgeving uitgelicht die voor een Pensioenfonds van belang zijn. Ten eerste dient het Pensioenfonds aantoonbaar te voldoen aan de AVG. Ten tweede dient het Pensioenfonds te voldoen aan de verplichting om pensioendeelnemers te informeren over de verwerking van hun persoonsgegevens.

Aantoonbaarheid
De AVG is gebaseerd op het principe dat iedere verwerkingsverantwoordelijke moet kunnen aantonen dat zij voldoet aan de AVG. Deze verantwoordingsplicht houdt in dat het Pensioenfonds moet kunnen aantonen dat bij de verwerking van persoonsgegevens aan de beginselen van de AVG, zoals rechtmatigheid, transparantie, doelbinding en juistheid wordt voldaan. Voor pensioendeelnemers moet helder en inzichtelijk zijn welke persoonsgegevens van hen worden verwerkt en met welk doel. Verwerking van persoonsgegevens is slechts rechtmatig wanneer daarvoor een grondslag is. De grondslagen waar een Pensioenfonds zich op kan baseren zijn bijvoorbeeld:

• de pensioendeelnemer heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
• de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de pensioendeelnemer partij is (dit geldt ook voor precontractuele verplichtingen);
• het Pensioenfonds is wettelijk verplicht de verwerking uit te voeren, denk hierbij aan verplichtingen uit de Pensioenwet of de Wet verplichte beroepspensioenregeling.

Het komt er op neer dat een pensioenfonds ook zorg moet dragen voor een (op schrift gesteld) privacybeleid alsmede de naleving daarvan. Daarnaast verplicht de AVG verantwoordelijken in een aantal gevallen om een intern register van verwerkingen bij te houden. De verplichting om een verwerkingsregister bij te houden geldt ook voor Pensioenfondsen.

In het privacybeleid moeten een aantal zaken aan de orde komen, zoals:

• contactgegevens van het pensioenfonds, de uitvoeringsorganisatie en indien van toepassing de functionaris voor de gegevensbescherming;
• welke taken de functionaris voor de gegevensbescherming verricht;
• het doel en de rechtsgrond van de verwerking van persoonsgegevens;
• aan wie de persoonsgegevens worden verstrekt en in welke gevallen;
• hoe lang het Pensioenfonds de persoonsgegevens zal bewaren;
• bij de verwerking van persoonsgegevens buiten de EU: de maatregelen die zijn getroffen om de bescherming die de AVG biedt te waarborgen.

Het is van belang om tijdig te starten met het opstellen van beleid, zodat het voor 25 mei 2018 is vastgesteld. Tevens is van belang dat de processen binnen het Pensioenfonds tijdig in kaart worden gebracht, zodat kan worden getoetst of deze processen wel in lijn zijn met het privacybeleid van het Pensioenfonds en met de AVG.

Privacyverklaring
Onder de AVG is het Pensioenfonds (net zoals onder de huidige Wet bescherming Persoonsgegevens) verplicht de pensioendeelnemers te informeren over het feit dat en hoe hun persoonsgegevens worden verzameld, gebruikt, geraadpleegd of op een andere manier worden verwerkt, waarom en door wie. De pensioendeelnemers moeten dus ook worden geïnformeerd wanneer persoonsgegevens worden verstrekt aan bijvoorbeeld de verzekeraar of door het fonds aan de uitvoeringsorganisatie.

Aan deze informatieplicht kan middels de privacyverklaring worden voldaan. Een privacyverklaring is dus de uitwerking van de informatieverplichting richting deelnemers.

De AVG stelt strenge eisen aan de privacyverklaring. De privacyverklaring moet in heldere taal worden opgesteld, dus geen juridisch jargon bevatten of de vorm hebben van een complexe disclaimer of algemene voorwaarden. Voorts moet de privacyverklaring beknopt en eenvoudig toegankelijk zijn, zodat de pensioendeelnemer deze te allen tijde kan raadplegen. In een privacyverklaring moet onder andere de volgende informatie zijn opgenomen:

• waar en hoe de pensioendeelnemer kan vragen om inzage, rectificatie, wissen (recht op vergetelheid) of overdracht van de persoonsgegevens, een klacht kan indienen, bezwaar kan maken of de verwerking kan beperken en;
• of het pensioenfonds gebruik maakt van cookies, welke persoonsgegevens dan worden verzameld, waarom en op welke wijze.

Een privacyverklaring kan in het algemeen worden opgesteld en hoeft dus niet voor iedere pensioendeelnemer afzonderlijk te worden vervat. Wel dient men rekening te houden met de hiervoor omschreven aandachtspunten, waardoor het opstellen van een privacyverklaring zeer complex kan zijn.

Heeft u vragen over het opstellen van privacybeleid en de privacyverklaring of over implementatie van de AVG binnen uw organisatie ? Neem dan contact op met team Pensioen-arbeidsrecht of team Privacy.

Maart 2018