Art. 2. Door de notaris te treffen maatregelen om de veiligha

Art. 3. Door de notaris te treffen maatregelen ten opzichte van zijn medewerkers

§ 1. Overeenkomstig de behoeften van de sector, geeft de notaris aan zijn interne en externe medewerkers instructies met betrekking tot de bescherming van de persoonsgegevens en het gebruik van het informaticamateriaal dat tot hun beschikking wordt gesteld. In voorkomend geval maakt de notaris gebruik van het model van arbeidsreglement dat beschikbaar is voor al de notarissen op het beveiligde portaal van het eNotariaat.

De vorm waarin de instructies aan de medewerkers worden opgelegd, wordt overgelaten aan de vrije keuze van de notaris. De instructies kunnen opgenomen worden in het arbeidsreglement, in zijn bijlagen of in een afzonderlijk document dat door de medewerkers ondertekend moet worden of nog als bijlage van een verwerkersovereenkomst met externe medewerkers wanneer de instructies op hen van toepassing zijn.

§ 2. De in § 1 bedoelde instructies voorzien minstens :

• dat de toegang tot de gegevens enkel is toegelaten in omstandigheden waarin dit noodzakelijk is voor de uitvoering van de beroepstaken van de medewerker;
• dat de gegevens enkel gebruikt, gekopieerd of in enige vorm gereproduceerd mogen worden en enkel aan anderen medegedeeld mogen worden wanneer dat strikt noodzakelijk blijkt voor de uitvoering van de beroepstaken van de medewerker;
• dat er in geval van twijfel bijkomende bijzonderheden worden gevraagd bij de notaris;
• de vertrouwelijkheid van de verwerkte persoonsgegevens en met name van het rijksregisternummer, de gegevens van het rijksregister, van de kruispuntbank van de sociale zekerheid, van het kadaster, van de door de notariële instellingen beheerde registers en van alle andere regionale of federale officiële bronnen van persoonsgegevens;
• dat elke toegang tot officiële bronnen getraceerd wordt en door de medewerker gerechtvaardigd moet kunnen worden, meer bepaald tegenover de betrokken persoon, voor het goed beheer van een dossier van het notariskantoor; 
• dat geen enkel gegeven van de officiële bronnen ter plaatse (op de harde schijf van de computer) bewaard wordt, tenzij dit strikt noodzakelijk blijkt voor het vervullen van de beroepstaak;
• dat geen enkel gegeven van de officiële bronnen opgeslagen wordt op een mobiele drager (USB-stick, laptop, tablet, enz.), tenzij dit strikt noodzakelijk blijkt voor het vervullen van de beroepstaak;
• de gebruiksmodaliteiten inzake de persoonlijke chipkaarten (eID-kaart en eNot-kaart):
  • verboden gebruik door derden;
  • persoonlijke code ;
  • verplichting om onmiddellijk de notaris op de hoogte te brengen in geval van verlies;
  • bewaring op een beveiligde plaats;
• de regels met betrekking tot het gebruik van e-mails en internet. 

Toelichting

Dit artikel wordt uitgevaardigd ter uitvoering van artikel 29 (Verwerking onder gezag van de verwerkingsverantwoordelijke of de verwerker) van hoofdstuk IV (Verwerkingsverantwoordelijke en verwerker) van de AVG.

eid van de verwerking van persoonsgegevens te verzekeren

§ 1. De notaris neemt de volgende veiligheidsmaatregelen: 

• hij identificeert de dragers die de persoonsgegevens bevatten, zoals interne en externe servers en Cloud-systemen;
• hij identificeert de lokalen waarin de dragers die persoonsgegevens bevatten geplaatst zijn en beperkt de toegang ertoe enkel tot bevoegde personen;
• hij voorziet de plaatsing van een airconditioning-en ventilatiesysteem in het serverlokaal, een beveiligde kast (rack) en een noodstroomvoeding;
• hij voorziet de beveiligde vernietiging van de papieren documenten die persoonsgegevens bevatten door een versnipperaar te gebruiken of door beroep te doen op een firma gespecialiseerd in de vernietiging van documenten;
• hij voorziet de beveiligde vernietiging van het computermateriaal door een certificaat van vernietiging te vragen aan de firma die hiermee belast is;
• hij bepaalt de manier waarop de interne medewerkers van het kantoor werden ingelicht over hun verplichtingen inzake geheimhouding – zoals die voortvloeien uit de regels van het beroepsgeheim en van de discretieplicht vastgesteld respectievelijk door het Strafwetboek en door de Deontologische Code van de Nationale Kamer van notarissen – en gegevensbescherming: bijvoorbeeld door middel van het arbeidsreglement;
• hij bepaalt de door het kantoor getroffen maatregelen inzake fysieke en omgevingsbeveiliging, zoals, en niet gelimiteerd tot, de toegang met badge of met beveiligde sleutels, de plaatsing van camera’s, het bestaan van een inbraak- en/of brandalarm, de aanwezigheid van brandblussers en rookmelders, de effectieve scheiding tussen de kantoren en de lokalen die bestemd zijn om de betrokkenen te ontvangen;
• hij voorziet de aanwezigheid van een firewall en antivirusprogramma alsook het beheer van de veiligheidsupdates op de desktops, servers en apparatuur;
• hij bepaalt de logische regels inzake zijn toegangen en de toegangen van zijn medewerkers tot de gegevens van de authentieke bronnen via de eID-kaart of via de eNot-kaart, en de manier waarop deze toegangen getraceerd worden;
• hij voorziet de regelmatige controle van de back-ups door zijn informaticaleverancier teneinde het onherstelbaar verlies van gegevens in geval van een totale of gedeeltelijke crash te vermijden.

§ 2. Deze maatregelen moeten worden opgenomen in een schriftelijk beleid inzake de informatieveiligheid waarvan het personeel van het notariskantoor alsook eventuele verwerkers van dat kantoor op de hoogte zijn en waartoe ze toegang hebben. In voorkomend geval maakt de notaris gebruik van het beleidsmodel inzake informatieveiligheid dat voor alle notarissen beschikbaar is op het beveiligde portaal van het eNotariaat.

§ 3. Wanneer een notaris beroep doet op een verwerker van persoonsgegevens, zorgt hij ervoor dat deze voldoende garanties biedt om een adequate gegevensbescherming voor de sector te waarborgen en sluit met hem een contract dat aan de eisen van de AVG voldoet, met name wat betreft de waarborgen inzake gegevensbescherming. Teneinde aan die verplichtingen te voldoen, volgt de notaris de in deze paragraaf beschreven procedure en maakt hij in voorkomend geval gebruik van het modelcontract van verwerking van persoonsgegevens dat beschikbaar is voor al de notarissen op het beveiligde portaal van het eNotariaat.

De notaris is ervan bewust dat de onderstaande leveranciers verwerkers zijn in de zin van de AVG:

• de leverancier van de software voor  dossierbeheer;
• de leverancier van de software voor boekhoudkundig beheer;
• de leverancier van de “business intelligence” software bestemd om de organisatie en het beheer van het kantoor te verbeteren;
• de leverancier van de back-up;
• de beheerder van het informaticapark;

Derhalve verzekert de notaris zich ervan dat in het contract of in een ander geschrift, afhankelijk van de geleverde dienst, het volgende gepreciseerd wordt :

• dat de geback-upte persoonsgegevens met behulp van een versleutelings- of encryptietechniek beschermd worden;
• de juiste plaats(en) waar de persoonsgegevens en hun drager bewaard worden;
• de manier waarop de persoonsgegevensdragers beveiligd zijn: serverlokaal met airconditioning en ventilatie, toegang beperkt tot bevoegde personen, beveiligde kast (rack) en noodstroomvoeding;
• de aanwezigheid van een firewall en een antivirusprogramma alsook het beheer van de veiligheidsupdates op de desktops, servers en apparatuur;
• de vernietiging of de beveiligde overdracht van de persoonsgegevens op het einde van het contract;
• dat de toegang op afstand, in het kader van de verstrekking van een ondersteuningsdienst, tot de desktop van een gebruiker, de voorafgaande toestemming vergt van die gebruiker ;
• dat de toegang op afstand tot het netwerk van het notariskantoor afhankelijk kan zijn van de voorafgaandelijke toestemming van de verwerkingsverantwoordelijke (de notaris) of dat die toegang beperkt kan zijn tot de verstrekking van een aantal specifieke ondersteuningsdiensten vermeld in het contract (bijv. bijwerking van een software, onderhoud);
• dat de toegang tot het netwerk ter plaatse op het notariskantoor enkel kan plaatsvinden in de aanwezigheid van een lid van het kantoor (notaris of medewerker)

Toelichting

Dit artikel wordt uitgevaardigd ter uitvoering van artikel 28 (Verwerker) en van artikel 32 (Beveiliging van de verwerking) van hoofdstuk IV (Verwerkingsverantwoordelijke en verwerker) van de AVG.