Receptie uitbesteed: wie is verantwoordelijk voor uw bezoekersgegevens?

Veel bedrijven besteden hun onthaal, beveiliging of het volledige facility management (FM) uit. De externe medewerkers aan de receptie werken dan vaak in uw bezoekersregistratiesysteem (VMS). Maar de receptie uitbesteden betekent niet dat u ook de verantwoordelijkheid voor uw bezoekersregister overdraagt.

De GDPR/AVG maakt een onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Bij een uitbestede receptie blijft uw organisatie verwerkingsverantwoordelijke en is de FM-partner verwerker. Daarom is een verwerkersovereenkomst nodig. Daarin legt u onder meer vast wie toegang krijgt, welke beveiligingsmaatregelen gelden en wat er met de gegevens gebeurt wanneer de samenwerking eindigt.

Welke afspraken horen in de verwerkersovereenkomst? Wat gebeurt er met het bezoekersregister wanneer het contract met de FM-partner afloopt? En hoe houdt u evacuatielijsten actueel bij wisselend uitzendpersoneel? In dit artikel leest u hoe u de verantwoordelijkheden verdeelt en de controle over uw bezoekersgegevens behoudt.

Wie is verantwoordelijk voor de bezoekersgegevens bij een uitbestede receptie?

Bij een uitbestede receptie neemt een externe dienstverlener de dagelijkse organisatie van uw ontvangstbalie over, eventueel in combinatie met beveiliging of andere facilitymanagementtaken. Uw receptie wordt dan bemand door externe medewerkers. De FM-partner zorgt voor de personeelsplanning, vervanging bij afwezigheid en begeleiding van de receptionisten.

Dat betekent niet dat ook de verantwoordelijkheid voor uw bezoekersregister naar de externe partner verschuift. Bepaalt uw organisatie waarom bezoekers geregistreerd worden, welke gegevens daarvoor nodig zijn en hoelang die bewaard worden? Dan behoudt uw organisatie de juridische eindverantwoordelijkheid. Dat externe receptionisten de registratie uitvoeren, verandert daar op zichzelf niets aan.

De GDPR/AVG maakt hierbij onderscheid tussen de verwerkingsverantwoordelijke en de verwerker. Beide rollen brengen eigen verplichtingen met zich mee. In het volgende onderdeel leggen we uit wat dit betekent voor uw organisatie en uw FM-partner.

Verwerkingsverantwoordelijke of verwerker: het verschil

Het belangrijkste verschil tussen de verwerkingsverantwoordelijke en de verwerker draait om de vraag: wie bepaalt waarom en hoe persoonsgegevens verwerkt worden? Artikel 4, punten 7 en 8, van de GDPR/AVG definieert deze rollen. Kort samengevat:

• De verwerkingsverantwoordelijke (in het Engels: data controller) bepaalt het doel en de middelen van de verwerking: waarom worden persoonsgegevens verzameld en op welke manier gebeurt dat?
• De verwerker (in het Engels: data processor) verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke en volgens diens instructies.

Als u uw onthaal uitbesteedt, bent u doorgaans de verwerkingsverantwoordelijke; de FM-partner die de receptie bemant, is de verwerker. Uw organisatie bepaalt bijvoorbeeld welke bezoekersgegevens noodzakelijk zijn, waarvoor ze worden gebruikt en wanneer ze moeten worden verwijderd. De externe receptionisten voeren die afspraken uit.

Het onderscheid bepaalt welke verplichtingen elke partij heeft en waarvoor zij aansprakelijk is. Een overzicht:

Wanneer wordt uw FM-partner zelf verwerkingsverantwoordelijke?

Meestal is het bedrijf dat zijn receptie uitbesteedt de verwerkingsverantwoordelijke en de FM-partner die het onthaal verzorgt de verwerker. Die rolverdeling hangt echter af van de feitelijke werkzaamheden en beslissingen, niet van hoe het contract de partijen noemt. In sommige gevallen kan een FM-partner voor bepaalde verwerkingen zelf verwerkingsverantwoordelijke zijn.

Enkele voorbeelden:

• Gebruikt de FM-partner de bezoekersgegevens ook om zijn eigen diensten te promoten? Dan voegt hij een eigen doel toe en is hij daarvoor zelf verwerkingsverantwoordelijke. Hij moet hiervoor afzonderlijk aan de GDPR/AVG voldoen.
• Bepalen uw organisatie en de FM-partner samen het doel en de essentiële middelen van een bezoekersregistratie, bijvoorbeeld omdat u samen een toegangs- en veiligheidsproces ontwerpt? Dan kan sprake zijn van gezamenlijke verwerkingsverantwoordelijkheid. In dat geval zijn er afspraken nodig over de verdeling van de GDPR/AVG-verplichtingen.

Wat hoort in de verwerkersovereenkomst?

Wanneer een extern receptiebedrijf uw bezoekersgegevens verwerkt, moet u de afspraken daarover vastleggen in een verwerkersovereenkomst (in het Engels: Data Processing Agreement of DPA). Die bepaalt hoe de partner met de gegevens moet omgaan en welke verplichtingen beide partijen hebben.

Artikel 28, lid 3, van de GDPR/AVG schrijft voor welke onderwerpen in de verwerkersovereenkomst geregeld moeten worden:

1. Algemene omschrijving

De overeenkomst beschrijft:

• het onderwerp en de duur van de verwerking;
• de aard en het doel van de verwerking;
• de soorten persoonsgegevens, zoals namen, contactgegevens en aankomst- en vertrektijden;
• de categorieën van betrokkenen, zoals bezoekers, leveranciers en externe medewerkers;
• de rechten en verplichtingen van de verwerkingsverantwoordelijke.

2. Instructies voor de verwerking

De verwerker mag de bezoekersgegevens alleen verwerken volgens de schriftelijke instructies van de verwerkingsverantwoordelijke. Hij mag de gegevens niet op eigen initiatief voor eigen doeleinden gebruiken.

De instructies beschrijven hoe de verwerker met de bezoekersgegevens moet omgaan. Denk hier bijvoorbeeld aan het gebruik van het afgesproken bezoekersbeheersysteem, welke gegevens geregistreerd mogen worden, welke bewaartermijnen gelden, wie toegangsrechten heeft en of gegevens buiten de Europese Economische Ruimte (EER) doorgegeven mogen worden.

Vindt de verwerker dat een instructie in strijd is met de GDPR/AVG of andere toepasselijke privacywetgeving? Dan moet hij de verwerkingsverantwoordelijke daar onmiddellijk over informeren.

3. Geheimhoudingsplicht

De verwerker moet ervoor zorgen dat iedereen die bevoegd is om de bezoekersgegevens te verwerken, tot geheimhouding verplicht is. Dat kan via een geheimhoudingsafspraak of een wettelijke geheimhoudingsplicht.

Dit geldt ook voor tijdelijke receptionisten en vervangers die toegang krijgen tot het bezoekersregister.

4. Beveiliging

De overeenkomst moet bepalen dat de verwerker passende technische en organisatorische beveiligingsmaatregelen neemt. Bij bezoekersregistratie kan dat bijvoorbeeld gaan over persoonlijke gebruikersaccounts, beperkte toegangsrechten en versleuteling.

Ook het herstellen van de toegang tot de gegevens bij een incident en het regelmatig testen van de beveiliging horen hierbij.

5. Subverwerkers

De overeenkomst legt vast of de verwerker al dan niet subverwerkers mag inschakelen. Dat mag immers alleen met voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke.

Die toestemming kan specifiek zijn, voor een concrete subverwerker, of algemeen. Bij algemene toestemming moet de verwerker elke nieuwe subverwerker vooraf melden, zodat de opdrachtgever eventueel bezwaar kan maken.

Aan subverwerkers moet via een overeenkomst dezelfde relevante verplichtingen opgelegd worden. Komt een subverwerker die verplichtingen niet na? Dan blijft de oorspronkelijke verwerker daarvoor aansprakelijk tegenover de opdrachtgever.

6. Ondersteuning bij privacyrechten

Bezoekers kunnen verzoeken indienen om hun privacyrechten uit te oefenen, zoals het recht op inzage, correctie of verwijdering van hun gegevens.

De overeenkomst moet vastleggen hoe de verwerker de opdrachtgever helpt om zulke verzoeken af te handelen. Denk aan het doorsturen van een verzoek en het opzoeken, aanpassen of verwijderen van gegevens op instructie van de opdrachtgever.

7. Ondersteuning bij andere verplichtingen

De verwerker moet de opdrachtgever ook ondersteunen bij de beveiliging van de verwerking, het afhandelen van datalekken en, waar nodig, het uitvoeren van een gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment of DPIA) en een voorafgaande raadpleging van de toezichthouder.

Leg ook vast hoe incidenten gemeld worden. De verwerker moet een datalek na ontdekking zonder onredelijke vertraging melden aan de verwerkingsverantwoordelijke.

8. Afspraken over het einde van de samenwerking

Na afloop van de dienstverlening moet de verwerker de bezoekersgegevens verwijderen of terugbezorgen, naar keuze van de verwerkingsverantwoordelijke. Ook bestaande kopieën moeten verwijderd worden, tenzij er een wettelijke bewaarplicht geldt. Maak dit praktisch: in welk formaat worden de gegevens overgedragen, binnen welke termijn gebeurt dat en hoe bevestigt de partner dat de resterende gegevens verwijderd zijn?

9. Informatie en medewerking aan audits

De verwerker moet alle informatie beschikbaar stellen die nodig is om aan te tonen dat hij zijn verplichtingen nakomt. Ook moet hij audits en inspecties door de opdrachtgever of een derde partij mogelijk maken en daaraan meewerken.

Leg vast hoe zo’n controle wordt aangevraagd en uitgevoerd, zonder het recht op controle onnodig te beperken.

In wiens systeem staat het bezoekersregister?

De GDPR/AVG schrijft niet voor in wiens systeem het bezoekersregister moet staan. Praktisch worden bezoekersgegevens bij voorkeur bijgehouden in een bezoekersregistratiesysteem (VMS) met een account dat de opdrachtgever zelf beheert. De externe receptionisten krijgen daarin persoonlijke gebruikersprofielen met alleen de toegangsrechten die ze voor hun werk nodig hebben.

Zo behoudt u als verwerkingsverantwoordelijke de controle over de instellingen, de toegangsrechten en de bezoekersgegevens. Bij een wissel van FM-partner kunt u de toegang van de vertrekkende medewerkers intrekken en nieuwe medewerkers toegang geven, zonder het bezoekersregister naar een ander systeem te moeten overzetten.

Werkt de FM-partner in een eigen systeem of account? Leg dan duidelijk vast hoe uw organisatie toegang houdt tot de gegevens, hoe die geëxporteerd kunnen worden en hoe ze bij het einde van de samenwerking worden terugbezorgd of verwijderd.

Overigens: als u gebruikmaakt van een cloudgebaseerd VMS, is doorgaans ook een verwerkersovereenkomst met de VMS-leverancier nodig. Omdat die bezoekersgegevens namens uw organisatie opslaat, treedt hij immers ook op als verwerker.

Einde contract: wat gebeurt er met uw bezoekersregister?

De afhandeling van het bezoekerslogboek bij het einde van de samenwerking hoort helder vastgelegd te zijn in de verwerkersovereenkomst. De verwerkingsverantwoordelijke bepaalt of de verwerker het terugbezorgt of verwijdert. Ook bestaande kopieën moeten verwijderd worden, tenzij een wettelijke bewaarplicht geldt.

Welke praktische stappen nodig zijn voor de overdracht, hangt af van de manier waarop uw organisatie bezoekers registreert. De onderstaande infografiek toont wat u en uw externe partner in de verschillende scenario’s moeten doen.

Welk scenario ook van toepassing is, bij het beëindigen van de samenwerking zijn er een aantal belangrijke stappen om rekening mee te houden:

• Controleer de gemaakte afspraken. Bekijk het contract en de verwerkersovereenkomst: welke termijnen, exportformaten en procedures gelden voor overdracht en verwijdering?
• Zorg voor continuïteit van de receptie. Regel tijdig de toegang voor de nieuwe receptionisten. Treedt een nieuwe partner op als verwerker? Zorg dan dat de verwerkersovereenkomst ondertekend is voordat die bezoekersgegevens gaat verwerken.
• Trek de toegang tijdig in. Laat toegangsrechten vervallen zodra medewerkers die niet meer nodig hebben. Denk aan het VMS, andere interne systemen, wifi en toegangspassen voor het gebouw.
• Controleer de bewaartermijnen. Een partnerwissel laat de bewaartermijn niet opnieuw beginnen. Verwijder gegevens waarvan de termijn verstreken is, ook uit overgedragen bestanden.

Evacuatielijsten bij wisselend uitzendpersoneel

Besteedt u uw receptie uit, dan ziet u mogelijk soms een nieuw gezicht aan de balie. Of misschien wisselt de bezetting wel per dag of per ploeg. Bij wisselend receptiepersoneel is een waterdicht systeem voor evacuatielijsten cruciaal. Bij brand moet de lijst kloppen, ook als er elke week een andere onthaalmedewerker zit.

De meest betrouwbare manier om op elk moment te weten wie er binnen is, is door te digitaliseren. Een digitaal bezoekersregistratiesysteem houdt bij wie er in- en uitgecheckt is. Op die manier heeft u op elk moment van de dag een actuele aanwezigheidslijst, onafhankelijk van wie er aan de balie zit.

Bij wisselend receptiepersoneel is het cruciaal dat de persoon die op het moment van een noodsituatie de receptie bemant weet hoe die de actuele lijst kan exporteren en daar de nodige rechten voor heeft. Houd hier rekening mee in uw noodplanning en zorg voor de nodige opleidingen en instructies.

Enkele tips voor de praktijk:

• Stel een evacuatiekit samen, bijvoorbeeld een opvallende rode map, die op een vaste plaats aan de receptie ligt. Steek er zeker deze informatie in: instructies om de actuele aanwezigheidslijst te exporteren, een plattegrond van het gebouw met vluchtroutes en verzamelplaatsen, en een lijst met alarmnummers en interne BHV-nummers. Laat het receptiepersoneel elke dag of bij de start van elke shift controleren of de map op zijn plaats ligt.
• Neem het wisselende receptiepersoneel expliciet mee als scenario tijdens evacuatieoefeningen. Test of iedereen zijn rol kent, of de op dat moment verantwoordelijke persoon snel een evacuatielijst kan exporteren en ermee kan werken, en of de gegenereerde lijst klopt.

Conclusie

Een externe partner kan het dagelijkse werk aan uw receptie overnemen, maar niet de verantwoordelijkheid voor uw bezoekersgegevens. Uw organisatie blijft verwerkingsverantwoordelijke en bepaalt welke gegevens geregistreerd worden, wie er toegang toe heeft en hoelang ze bewaard blijven. Een goede verwerkersovereenkomst met uw FM-partner legt die afspraken vast, ook voor het moment waarop de samenwerking eindigt.

Een digitaal bezoekersbeheersysteem maakt die afspraken in de praktijk haalbaar. Beheert uw organisatie zelf het account, dan bepaalt u de instellingen en bewaartermijnen, geeft u externe receptionisten een persoonlijk profiel met alleen de rechten die ze nodig hebben en trekt u die toegang meteen in bij een wissel van partner. Het bezoekersregister blijft in uw eigen systeem, en u heeft op elk moment een actuele aanwezigheidslijst, wie er ook aan de balie zit.

Wilt u ervaren hoe Vizito u helpt om de controle over uw bezoekersregister te behouden, ook met een externe receptiepartner? Probeer Vizito 14 dagen gratis of boek een demo.