CBP BES: IND-CN mester protehá dato personal di siudadano mihó – CBP BES: IND-CN must better protect citizens’ personal data – CBP BES: IND-CN moet persoonsgegevens van burgers beter beschermen
Komishon Supervishon di Protekshon di Dato Personal BES (CBP BES) a hasi un investigashon tokante e manera ku Servisio di Imigrashon i Naturalisashon Hulanda Karibense (IND-CN) ta prosesá dato personal di siudadanonan i kon e ta apliká su deklarashon di privasidat den práktika. Den e investigashon, CBP BES a hasi pruebanan pa wak si IND-CN ta kumpli ku Lei di Protekshon di Dato Personal BES (Wbp BES). E komishon a evaluá entre otro transparensia, legalidat, seguridat i manera ku siudadanonan por hasi uso di nan derecho di privasidat.
For di e investigashon ta sali na kla ku IND-CN ta konsiente di su tarea legal i di importansia pa trata dato personal ku koutela. Tambe, e deklarashon di privasidat ta kontené resúmen general di informashon ku siudadanonan mester.
Na mes momentu, for di e investigashon ta bini dilanti defisiensia i risikonan importante. Esaki prinsipalmente tin di aber ku entre otro seguridat i almasenahe di i akseso na datonan personal. Ta trata di dato ku ta prosesá den Foreign Management System (FMS), e sistema ku IND-CN ta usa pa su aktividatnan.
Sigun CBP BES, IND-CN no tin sufisiente bista riba seguridat i maneho di e sistema akí. E maneho ta pa gran parti den man di un partido eksterno. Tambe, tin biaha ta warda datonan personal pafó di e sistema, por ehèmpel den un map digital riba e ret interno (asina yamá ‘interne netwerkschijven’). Pa medio di esaki, tin e risiko ku dato ta aksesibel pa personanan ku no mester di e informashon akí.
E manera ku ta trata ku karchi penal i dato hudisial ta un preokupashon pa CBP BES. Esaki ta datonan personal sensitivo. P’esei mester tin palabrashonnan konkreto tokante ken tin akseso na e datonan akí, unda ta almasená nan, kuantu tempu ta warda nan i ki ora ta eliminá nan.
Tambe, e informashon ku ta duna na siudadanonan mester mehorá. E deklarashon di privasidat ta disponibel solamente na Hulandes i por ta difísil pa hopi hende. Pa e motibu ei, CBP BES ta rekomendá pa pone e deklarashon disponibel den tur idioma ofisial di Hulanda Karibense i pa skibi esaki na nivel B1.
Sigun CBP BES, ta urgentemente nesesario pa IND-CN adoptá e rekomendashonnan for di e rapòrt. Ku prioridat, IND-CN mester kuminsá ku e mehorashonnan nesesario riba tereno di seguridat, maneho, almasenahe, akseso, término di warda i eliminashon di dato personal.
Si no tuma medidanan adekuá, e riesgo pa siudadanonan i pa e organisashon por keda eksistí òf inkluso oumentá. Tambe, IND-CN lo no por demostrá ku e ta prosesá dato personal na un manera legal, kouteloso i sigur.
CBP BES ta spera ku IND-CN ta prepará un plan di implementashon kla pa e rekomendashonnan i ku ta realisá e mehorashonnan denter di términonan fihá. E komishon lo sigui supervisá e progreso aktivamente a base di momentonan pa reportá, akordá den e rapòrt.
Ounke IND-CN a tuma algun paso kaba, tin medidanan adishonal ku ta urgentemente nesesario pa protehá dato personal di siudadanonan mihó.
E rapòrt kompleto di e investigashon ta disponibel via www.cbpbes.com.
The Commission Supervision Personal Data Protection BES (CBP BES) investigated how the Immigration and Naturalisation Service Caribbean Netherlands (IND-CN) uses citizens’ personal data and how it uses its privacy statement in practice. CBP BES checked whether IND-CN follows the Personal Data Protection Law BES (Wbp BES). The Commission looked at transparency, whether the use of data is lawful, data security and whether citizens can use their privacy rights.
The investigation shows that IND-CN knows its legal task and understands the importance of handling personal data with care. The privacy statement also gives citizens the main information they need.
At the same time, the investigation shows important shortcomings and risks. These mainly concern the security, storage and access to personal data. This includes data in the Foreign Management System (FMS), the system IND-CN uses for its work.
According to CBP BES, IND-CN does not have enough insight into the security and management of this system. External parties largely manage the system. Personal data is also sometimes stored outside the system, for example on internal network drives. This creates a risk that people who do not need the information may still be able to access it.
CBP BES is especially concerned about how IND-CN handles criminal record files and judicial data. These are sensitive personal data. Clear agreements are needed on who may access these data, where they are stored, how long they are kept and when they are deleted.
Information for citizens must also be improved. At the moment, the privacy statement is only available in Dutch. It may also be too difficult for many people to understand. CBP BES therefore advises IND-CN to make the privacy statement available in the official languages of the Caribbean Netherlands and to rewrite it at B1 language level.
According to CBP BES, IND-CN must urgently act on the recommendations in the report. IND-CN must give priority to the needed improvements in security, management, storage, access, how long data is kept and the deletion of personal data.
If IND-CN does not take proper measures, the risks for citizens and for the organisation may remain or increase. IND-CN may also be unable to show clearly enough that personal data is used lawfully, carefully and securely.
CBP BES expects IND-CN to make a clear plan to carry out the recommendations and to complete the improvements within set timeframes. The Commission will actively monitor progress at agreed reporting moments.
Although IND-CN has already taken some steps, more measures are urgently needed to better protect citizens’ personal data.
The full investigation report can be found at www.cbpbes.com.
De Commissie toezicht bescherming persoonsgegevens BES (CBP BES) heeft onderzoek gedaan naar de manier waarop de Immigratie- en Naturalisatiedienst Caribisch Nederland (IND-CN) persoonsgegevens van burgers verwerkt en haar privacyverklaring in de praktijk toepast. Daarbij heeft CBP BES getoetst of IND-CN voldoet aan de Wet bescherming persoonsgegevens BES (Wbp BES). De commissie keek onder meer naar transparantie, rechtmatigheid, beveiliging en de manier waarop burgers hun privacyrechten kunnen uitoefenen.
Uit het onderzoek blijkt dat IND-CN zich bewust is van haar wettelijke taak en van het belang om zorgvuldig met persoonsgegevens om te gaan. Ook bevat de privacyverklaring in hoofdlijnen de informatie die burgers nodig hebben.
Tegelijkertijd komen uit het onderzoek belangrijke tekortkomingen en risico’s naar voren. Deze hebben vooral betrekking op de beveiliging, opslag en toegang tot persoonsgegevens. Het gaat onder meer om gegevens die worden verwerkt in het Foreign Management System (FMS), het systeem dat IND-CN gebruikt voor haar werkzaamheden.
Volgens CBP BES heeft IND-CN onvoldoende inzicht in de beveiliging en het beheer van dit systeem. Het beheer ligt grotendeels bij externe partijen. Ook worden persoonsgegevens soms buiten het systeem opgeslagen, bijvoorbeeld op interne netwerkschijven. Hierdoor bestaat het risico dat gegevens toegankelijk zijn voor personen die deze informatie niet nodig hebben.
Vooral de omgang met strafkaarten en justitiële gegevens vindt CBP BES zorgelijk. Dit zijn gevoelige persoonsgegevens. Daarom moeten er duidelijke afspraken zijn over wie toegang heeft tot deze gegevens, waar ze worden opgeslagen, hoelang ze worden bewaard en wanneer ze worden verwijderd.
Ook de informatievoorziening aan burgers moet worden verbeterd. De privacyverklaring is momenteel alleen beschikbaar in het Nederlands en is voor veel mensen mogelijk te moeilijk geschreven. CBP BES adviseert daarom om de privacyverklaring beschikbaar te maken in de officiële talen van Caribisch Nederland en deze op B1-niveau te schrijven.
Het is volgens CBP BES dringend noodzakelijk dat IND-CN de aanbevelingen uit het rapport oppakt. IND-CN moet met prioriteit starten met de noodzakelijke verbeteringen op het gebied van beveiliging, beheer, opslag, toegang, bewaartermijnen en het verwijderen van persoonsgegevens.
Wanneer passende maatregelen uitblijven, kunnen de risico’s voor burgers en voor de organisatie blijven bestaan of verder toenemen. Ook kan IND-CN dan onvoldoende aantonen dat persoonsgegevens rechtmatig, zorgvuldig en goed beveiligd worden verwerkt.
CBP BES verwacht dat IND-CN voor de aanbevelingen een duidelijke implementatieplanning opstelt en de verbeteringen binnen vastgestelde termijnen uitvoert. De commissie zal de voortgang actief volgen aan de hand van afgesproken rapportagemomenten.
Hoewel IND-CN al enkele stappen heeft gezet, zijn aanvullende maatregelen dringend nodig om de persoonsgegevens van burgers beter te beschermen.
Het volledige onderzoeksrapport is te vinden via www.cbpbes.com.