Privacybeleid

Op 25 mei 2018 wordt de Algemene Verordening Gegevensbescherming (“AVG”) kracht, dewelke natuurlijke personen beschermt in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Deze AVG vervangt tevens de Belgische Wet van 8 december 1992.

De AVG definieert enerzijds een aantal rechten voor natuurlijke personen wiens persoonsgegevens worden verwerkt, maar legt anderzijds ook specifieke verplichtingen op aan organisaties en ondernemingen die dergelijke persoonsgegevens verwerken.

Met behulp van dit overzicht willen de bedrijven behorend tot de TBE PSA-groep, hierna vermeld als PSA, hun beleid met betrekking tot de verwerking van persoonsgegevens van en ten aanzien van werknemers, (zelfstandige) dienstverleners en bestuursleden (hierna: “Betrokkenen”) verduidelijken.
Dit Privacybeleid maakt dan ook vanaf 25 mei 2018 een integraal onderdeel uit van de overeenkomsten die tussen de respectieve Betrokkenen en PSA werden gesloten (hierna:  “Basisovereenkomst(en)”).

1. Algemeen

Dit Privacybeleid is van toepassing op iedere verwerking van persoonsgegevens van en door Betrokkenen in het kader van de uitvoering van de Basisovereenkomst(en).

Dit Privacybeleid treedt in werking op 25 mei 2018, en maakt vanaf die dag een onderdeel uit van de overeenkomsten die de Betrokkenen met PSA hebben gesloten.

2. Verwerking van Persoonsgegevens van Betrokkenen

PSA zal de persoonsgegevens van de Betrokkenen verwerken in het kader van de uitvoering van de reeds gesloten overeenkomsten, en meer in het bijzonder de basisovereenkomst(en).

Zo worden onder meer, zonder hierbij limitatief te zijn, de persoonsgegevens van de Betrokkenen verwerkt in het kader van:

• toegangscontrole;
• Audiovisuele opnames die PSA maakt in het kader van haar operationele activiteiten, incl. voor bewakings-, veiligheids- en evacuatiedoeleinden;
• algemene veiligheid;
• het gebruik van informaticasystemen in de meest ruime zin van het woord (zie ook §2 hieronder);
• administratieve verplichtingen, bepaald door de wet of op basis van overeenkomsten gesloten door PSA met derden, die kaderen in het human resources-beleid van PSA

Tevens zijn incidentele verwerkingen van persoonsgegevens van Betrokkenen door of voor rekening van PSA mogelijk in het kader van acties of activiteiten die door PSA  (mede) worden georganiseerd, zoals verder bepaald in §6 hieronder.

2.1 Toegangscontrole, brandveiligheid en evacuatie, en camerabewaking

PSA gebruikt persoonsgegevens van Betrokkene voor de controle van toegang tot haar gebouwen. De gegevens die op deze wijze worden verwerkt worden door PSA  gebruikt om in geval van nood redelijkerwijze na te kunnen gaan of betrokkene zich binnen de gebouwen bevindt.

Tevens heeft PSA een camerabewakingssysteem geïnstalleerd waarmee, in geval er bepaalde feiten worden vastgesteld (diefstal, braak, beschadigingen, enz.), redelijkerwijze kan worden nagegaan welke Betrokkenen zich binnen de gebouwen van PSA bevonden op het ogenblik waarop deze feiten vermoedelijk werden gepleegd.

Vermits deze gegevens voor PSA voor lange termijn dienstig kunnen zijn, worden logs gedurende de wettelijke termijn bijgehouden.

2.2 Gebruik van persoonsgegevens in het kader van informaticasystemen

Betrokkene erkent dat zijn of haar persoonsgegevens worden gebruikt in het kader van informaticasystemen die hetzij door PSA aan de Betrokkene ter beschikking worden gesteld, dan wel waartoe Betrokkene toegang kan verkrijgen door middel van de door de PSA ter beschikking gestelde informaticasystemen.

Gelet op het feit dat de AVG de verplichting oplegt aan verwerkingsverantwoordelijken en verwerkers van persoonsgegevens om alle processen in het kader waarvan zij persoonsgegevens verwerken te documenteren, brengt betrokkene PSA op de hoogte van alle processen in het kader waarvan hij of zij persoonsgegevens verwerkt in het kader van uitvoering van de basisovereenkomst, alsook iedere wijziging van deze processen of verwerking.

Vermits deze gegevens voor PSA voor lange termijn dienstig kunnen zijn, worden logs gedurende de wettelijke termijn bijgehouden.

2.3 Doorgifte aan en verwerking door derden

PSA geeft aan bepaalde derden persoonsgegevens van de Betrokkenen door, welke doorgifte aan en verwerking door derden noodzakelijk is om (i) te voldoen aan één of meerdere wettelijke verplichtingen die op de verwerkingsverantwoordelijke rust, of (ii) een overeenkomst uit te voeren waarbij de Betrokkene partij is, of (iii) op verzoek van de betrokkene.

Deze derden betreffen onder meer, zonder hierbij limitatief te zijn, en in het gegeven toepasselijk geval:

• één of meerdere sociale secretariaten, voor verwerking en betaling van de lonen, eventuele premies, fiscale en parafiscale bijdragen, e.d.m.
• één of meerdere uitzendkantoren voor de verwerking en betaling van de lonen van de uitzendkrachten tewerkgesteld binnen PSA
• de onderneming of ondernemingen waarmee PSA een groepsverzekeringspolis voor Betrokkene heeft onderschreven;
• verzekeringsmaatschappijen waarmee PSA een verzekeringspolis voor hospitalisatie voor Betrokkene heeft onderschreven;
• de onderneming of ondernemingen waarmee PSA een overeenkomst heeft onderschreven voor de terbeschikkingstelling van één of meerdere voertuigen (bedrijfswagen, huurauto, …) en één of meerdere tankkaarten;
• de onderneming of ondernemingen die, conform de afspraken gemaakt met PSA, één of meerdere kredietkaarten aan Betrokkene uitreikt (“corporate credit cards”);
• de onderneming of ondernemingen waarmee PSA overeenkomsten heeft gesloten voor wat betreft de levering van telecommunicatiediensten (mobiele telefoon, internet, …) in naam van Betrokkene, maar voor rekening van PSA;
• de onderneming waarmee PSA overeenkomsten heeft gesloten voor wat betreft de naleving van haar wettelijke verplichtingen op het vlak van het gezondheidstoezicht;
• de onderneming waarmee PSA overeenkomsten heeft gesloten voor wat betreft het gebruik van de Liefkenshoektunnel;
• de Alfapass;

In het gegeven geval worden, naast de gegevens van Betrokkene, ook persoonsgegevens aangaande de aanverwanten van Betrokkene doorgegeven, en dit op aangeven van de Betrokkene zelf, dan wel indien dit kadert in een wettelijke verplichting. Deze gegevens worden door of voor rekening van PSA overgemaakt hetzij op papier, hetzij op elektronische wijze via de door de betreffende derde ter beschikking gestelde systemen, waarvan specifieke aangestelde van PSA de gebruikers zijn.

Deze gegevens worden bewaard voor minstens de wettelijke termijn.

Betrokkenen die rechtstreeks of onrechtstreeks in contact staan met klanten, leveranciers, of derde-belanghebbenden buiten de Europese Unie waarbij de doorgifte van diens persoonsgegevens essentieel of aangewezen zijn in het kader van de uitvoering van een overeenkomst die PSA met deze klanten, leveranciers en/of derden-belanghebbenden is aangegaan, gaan er uitdrukkelijk mee akkoord dat hun persoonsgegevens aan deze partijen kunnen worden doorgegeven. Deze Betrokkenen werden op voorhand ingelicht over de risico’s die dergelijke doorgiften voor hen kunnen inhouden, en stemmen hiermee uitdrukkelijk in.

2.4 Incidentele verwerking van persoonsgegevens

Betrokkene erkent dat PSA of één of meerdere door PSA aangeduide derden bepaalde persoonsgegevens van betrokkene of van door betrokkene aangeduide derden (partner, kinderen, aanverwanten, …) kunnen verwerken in het kader van acties en activiteiten die door PSA worden georganiseerd, en waarvan de verwerking slechts incidenteel is (m.a.w. de verwerking van de persoonsgegevens is niet de hoofddoelstelling van de actie of activiteit). Deze activiteiten betreffen onder meer bedrijfsfeesten, teambuildingactiviteiten, publicaties die door of voor rekening van PSA worden verzorgd en bestemd zijn voor intern en extern gebruik, bloedinzamelingsacties, inentingen, enz.

Indien de Betrokkene niet wenst dat diens persoonsgegevens in de meest ruime zin van het woord in het kader van dergelijke acties en activiteiten worden gebruikt of dat het gebruik hiervan dient te worden beperkt tot het strikt noodzakelijke, stelt zij PSA hiervan op voorhand schriftelijk op de hoogte, en maakt Betrokkene tevens kenbaar aan de persoon die tijdens de actie of activiteit persoonsgegevens verwerkt dat betrokkene de verwerking van diens persoonsgegevens wenst te beperken dan wel niet verwerkt wenst te zien. Betrokkene erkent evenwel dat bepaalde beperkingen van de verwerking van persoonsgegevens niet altijd mogelijk zijn, indien – bijvoorbeeld – de verwerking van deze persoonsgegevens kadert in een wettelijke verplichting.

2.5 Rechten van Betrokkenen

Vooreerst beschikt iedere Betrokkene over een recht om inzage te verkrijgen van de persoonsgegevens die door PSA worden verwerkt, alsook van de verwerkingsdoeleinden, de betrokken categorieën van persoonsgegevens, de ontvangers of categorieën van ontvangers aan wie persoonsgegevens zijn of zullen worden verstrekt, de periode gedurende persoonsgegevens naar verwachting zullen worden opgeslagen of de criteria om die termijn te bepalen.

Tevens beschikt de Betrokkene over het recht de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van persoonsgegevens die betrokkene betreffen wordt beperkt, alsook het recht tegen die verwerking bezwaar te maken.

Indien Betrokkene één of meerdere in deze paragraaf vermelde rechten uitoefent, zal PSA in het gegeven geval de in §5 hierboven vermelde derden op de hoogte brengen van deze wijzigingen, dan wel de Betrokkene verzoeken deze wijzigingen zelf mee te delen, naar gelang het geval. Betrokkene erkent dat bepaalde beperkingen van verwerking of wissen van persoonsgegevens (i) desgevallend niet kunnen worden doorgevoerd, daar zij rusten op een wettelijke verplichting in hoofde van PSA om deze gegevens te verwerken, en/of (ii) een negatieve impact kunnen hebben op de afspraken die werden gemaakt tussen PSA en Betrokkene (zoals, maar niet beperkt tot, het beperken van uitkeringen van hospitalisatieverzekering, groepsverzekering, enz.).

2.6 Toegang tot gegevens aan derden

Naast de hierboven vermelde derden, kan PSA persoonsgegevens van Betrokkene ter beschikking stellen van en uitwisselen met:

• adviseurs en dienstverleners van PSA;
• overheidsinstellingen;
• rechtbanken;
• sub-verwerkers die op basis van een overeenkomst gesloten met PSA bepaalde handelingen stellen in naam en voor rekening van PSA.

3. Verplichtingen van betrokkenen

3.1 Respecteren van wettelijke bepalingen en het Privacybeleid

Betrokkene is er zich van bewust en erkent dat hij of zij, in de uitoefening van de Basisovereenkomst, toegang krijgt tot persoonsgegevens die door derden aan PSA ter beschikking werden gesteld. Betrokkene zal deze gegevens niet gebruiken buiten de context van de samenwerking met PSA, en enkel voor legitieme doeleinden aanwenden, zoals bepaald in de overeenkomst(en) die tussen de PSA en dergelijke Betrokkene(n) werden afgesloten.

Deze derden kunnen, onder meer, actuele of voormalige werknemers, medewerkers, klanten, leveranciers van of andere individuen waarmee PSA een contractuele of andere relatie heeft, heeft gehad, of zal hebben na inwerkingtreding van dit Privacybeleid.

Betrokkene erkent bijgevolg dat het voor PSA van essentieel belang is dat de wettelijke bepalingen en haar Privacybeleid ter zake strikt wordt gerespecteerd, en dat het niet-naleven van deze bepalingen voor PSA aanzienlijke en in het gegeven geval zelfs onherstelbare schade kan veroorzaken, welke kan oplopen tot 10 miljoen euro of 4% van de door PSA gerealiseerde wereldwijde jaaromzet.

Betrokkene erkent dat het niet-respecteren van de wettelijke bepalingen en/of het privacybeleid van PSA een zware fout kan inhouden in hoofde van betrokkene.

3.2 Intern aanspreekpunt

In geval van twijfel zal betrokkene onverwijld contact nemen met de door PSA aangestelde verantwoordelijke voor de verwerking van persoonsgegevens, met name: Sacha Denys/ Directeur HR & Corporate Communications. Deze verantwoordelijke zal, in overleg met de directie van PSA, de nodige aanbevelingen formuleren en actie ondernemen om:

• ervoor te zorgen dat de rechten van Betrokkenen worden gerespecteerd;
• de schade voor PSA te vermijden, te beperken of uit te sluiten, naar gelang het geval;
• een actieplan op te stellen om eventuele geïdentificeerde aandachtspunten op te lossen.

3.3 Meldingsplicht in geval van een datalek

Iedere betrokkene is verplicht om PSA op de hoogte te brengen van iedere activiteit, gebeurtenis of omstandigheid die geresulteerd heeft of rechtstreeks of onrechtstreeks zou kunnen resulteren in een datalek.

4. Slotbepalingen

4.1 Aanpassingen

PSA kan dit Privacybeleid aanpassen door publicatie van de nieuwe versie op het intranet, en na Betrokkene hiervan schriftelijk, per email, op de hoogte te hebben gesteld.

PSA wijst bovendien op het feit dat de Belgische overheid tegen 25 mei 2018 specifieke wetsbepalingen aan de Europese Commissie kan meedelen, welke een impact kunnen hebben op dit Privacybeleid. Artikel 88 van de AVG laat immers toe dat de lidstaten bij wet of bij collectieve arbeidsovereenkomst nadere regels vaststellen ter bescherming van de rechten en vrijheden met betrekking tot de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding, in het bijzonder met het oog op aanwerving, de uitvoering van de arbeidsovereenkomst, met inbegrip van de naleving van wettelijke of uit collectieve overeenkomsten voortvloeiende verplichtingen, het beheer, de planning en de organisatie van de arbeid, gelijkheid en diversiteit op het werk, gezondheid en veiligheid op het werk, bescherming van de eigendom van de werkgever of de klant dan wel met het oog op de uitoefening en het genot van de met de arbeidsverhouding samenhangende individuele of collectieve rechten en voordelen, en met het oog op de beëindiging van de arbeidsverhouding.

Deze regels kunnen passende en specifieke maatregelen omvatten ter waarborging van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de Betrokkene, met name wat betreft de transparantie van de verwerking, de doorgifte van persoonsgegevens binnen een concern of een groepering van ondernemingen die gezamenlijk een economische activiteit uitoefenen en toezichtsystemen op het werk.

Indien dergelijke regels door de Belgische federale overheid dan wel op basis van één of meerdere toepasselijke arbeidsovereenkomsten worden ingevoerd, zal dit Privacybeleid desgevallend worden aangepast.