Pensioenen (WTP) – Governance, Encryptie en Privacy risico’s

---

Nieuwsbrief

Inleiding

In onze vorige nieuwsbrief hebben we het belang van governance en privacybescherming bij de Wet Toekomst Pensioenen (WTP) besproken. In deze editie richten we ons op de reële privacyrisico’s die pensioenfondsen lopen bij het uitbesteden van gegevensverwerking aan Pensioenuitvoeringsorganisaties (PUO’s), vermogensbeheerders en hun sub-verwerkers. Daarnaast bespreken we het cruciale belang van encryptie bij de gegevensoverdracht en hoe pensioenfondsen hun verantwoordelijkheid onder de AVG kunnen nemen.

De Wet Toekomst Pensioenen (WTP) brengt aanzienlijke veranderingen met zich mee in de manier waarop pensioenfondsen beleggen. De wet richt zich op een nieuw pensioenstelsel waarin risico’s en opbrengsten anders worden verdeeld dan in het huidige systeem. Hier volgt een uitleg over de belangrijkste veranderingen en waarom deze relevant zijn voor pensioenfondsen, met speciale aandacht voor het beleggen van pensioenvermogen.

Hoe wordt er nu belegd?

In het huidige pensioenstelsel worden pensioenfondsen beheerd op basis van een zogenaamde “collectieve uitkeringsregeling” (Defined Benefit). Dit betekent dat de deelnemers een vaste uitkering ontvangen bij pensionering, waarbij het pensioenfonds verantwoordelijk is voor de beleggingsrisico’s. Het fonds belegt de ingelegde premies en zorgt ervoor dat het rendement voldoende is om aan de verplichtingen te voldoen.

De fondsen hanteren een relatief conservatieve beleggingsstrategie, waarbij risicovolle beleggingen (zoals aandelen) vaak worden aangevuld met veilige beleggingen (zoals obligaties). Het doel is om stabiliteit te waarborgen en schommelingen in de markt op te vangen zonder dat deelnemers hun pensioenen zien fluctueren.

Wat verandert er met de WTP?

Met de invoering van de WTP verschuift de verantwoordelijkheid voor beleggingsresultaten van het pensioenfonds naar de deelnemers zelf. Dit nieuwe systeem, bekend als “persoonlijke pensioenvermogens” (Defined Contribution), zorgt ervoor dat pensioenfondsen niet langer garanties hoeven te geven over de hoogte van de pensioenuitkeringen. In plaats daarvan beleggen deelnemers hun pensioenpremies in een eigen pensioenpotje, waarbij de uiteindelijke pensioenuitkering afhankelijk is van de beleggingsresultaten en de marktontwikkelingen.

De veranderingen in het beleggingsproces zoals geïntroduceerd door de WTP hebben niet alleen impact op de financiële kant van pensioenbeheer, maar brengen ook aanzienlijke privacyrisico’s met zich mee. De verwerking van persoonsgegevens wordt complexer, en pensioenfondsen moeten waakzaam zijn om te voldoen aan de AVG.

En wat zijn de privacy risico’s?

Onder de WTP worden de beleggingsbeslissingen en daarmee ook de persoonsgegevens op een andere manier verwerkt en geanalyseerd, omdat de verantwoordelijkheid en risicobereidheid per deelnemer verschillen. Dit betekent dat er een grotere hoeveelheid persoonsgegevens moet worden verwerkt en gedistribueerd tussen de betrokken partijen om beleggingsstrategieën en risicoprofielen per deelnemer te beheren. De complexiteit van de verwerking neemt dus toe, net als de kans op privacy-incidenten.

Verlies van controle over gegevens
Omdat gegevens via meerdere partijen (PUO’s, vermogensbeheerders en hun sub-verwerkers) worden verwerkt, kan het pensioenfonds de controle over hoe, waar en door wie de gegevens worden verwerkt verliezen. Het pensioenfonds blijft echter verantwoordelijk voor de naleving van de AVG, ook wanneer derden de verwerking uitvoeren.

Risico: Het is moeilijker om ervoor te zorgen dat alle betrokken partijen dezelfde hoge standaard voor gegevensbescherming hanteren, wat het risico op datalekken vergroot.

Meer schakels in de keten
PUO’s en vermogensbeheerders schakelen vaak sub-verwerkers in, wat betekent dat gegevens door meerdere partijen worden behandeld. Hoe langer deze keten wordt, hoe moeilijker het wordt om toezicht te houden op alle schakels, en hoe groter de kans op datalekken of ongeoorloofde toegang tot gegevens.

Risico: Elke nieuwe schakel in de keten vormt een potentiële zwakke plek voor beveiligingsinbreuken, vooral als deze partijen in verschillende rechtsgebieden opereren met verschillende privacywetten.

Gegevensoverdracht naar derden
Met de WTP worden meer persoonsgegevens verzameld en gedeeld met partijen buiten de directe controle van het pensioenfonds. Dit vergroot de kans dat gegevens tijdens overdracht worden onderschept, vooral als er geen adequate beveiligingsmaatregelen zoals encryptie worden toegepast.

Risico: Tijdens de overdracht van gevoelige gegevens (zoals financiële en persoonlijke gegevens) bestaat het risico dat deze gegevens onderschept worden als ze niet correct zijn versleuteld.

Internationale doorgifte van gegevens
Als PUO’s of vermogensbeheerders gegevens verwerken of opslaan in landen buiten de Europese Unie, kunnen de persoonsgegevens worden blootgesteld aan minder strikte privacywetten dan die in de EU. Dit brengt het risico met zich mee dat persoonsgegevens onvoldoende worden beschermd tegen ongeoorloofde toegang of datalekken.

Risico: De AVG vereist dat gegevens alleen naar landen buiten de EU worden verzonden als deze landen een vergelijkbaar niveau van gegevensbescherming bieden. Niet alle landen voldoen aan deze norm, waardoor de gegevens van deelnemers kwetsbaar kunnen zijn.

Vertraging in de melding van incidenten
Wanneer verschillende partijen in de keten betrokken zijn, kan het langer duren voordat een incident zoals een datalek wordt opgemerkt en gemeld aan het pensioenfonds. Dit kan leiden tot te late melding aan de toezichthouder, wat resulteert in boetes en reputatieschade.

Risico: De AVG vereist dat datalekken binnen 72 uur worden gemeld, maar vertraging in de melding door externe partijen kan ervoor zorgen dat pensioenfondsen niet op tijd voldoen aan deze verplichting.

Samenvatting van de privacy risico’s

Samenvattend leiden de veranderingen in de gegevensverwerking onder de WTP tot een verhoogd risico op verlies van controle, onderschepping van gegevens en vertraging in het melden van incidenten. Om deze risico’s te beheersen, zijn sterke beveiligingsmaatregelen en transparantie essentieel.

Reële privacy risico’s bij uitbesteding en gegevensoverdracht

Verlies van controle over gegevens
Een van de grootste risico’s bij uitbesteding aan PUO’s en vermogensbeheerders is het verlies van directe controle over de verwerking van persoonsgegevens. Hoewel het pensioenfonds verantwoordelijk blijft voor de naleving van de AVG, wordt het afhankelijk van de beveiligingsmaatregelen en procedures van derden. Dit brengt de volgende risico’s met zich mee:

• Mogelijk gebrek aan inzicht in hoe onderaannemers van PUO’s persoonsgegevens verwerken en beschermen.
• Verhoogde kans op datalekken door zwakkere beveiligingspraktijken bij sub-verwerkers.

Maatregelen:

1. Zorg voor strikte verwerkersovereenkomsten met duidelijke eisen voor gegevensbescherming en rapportageverplichtingen.
2. Voer regelmatige audits uit bij de PUO en haar onderaannemers.

Onderschepping tijdens gegevensoverdracht
Tijdens de overdracht van gevoelige gegevens, zoals financiële informatie van deelnemers, bestaat het risico dat gegevens worden onderschept door kwaadwillende. Dit risico is vooral aanwezig wanneer gegevens niet versleuteld worden of als er gebruik wordt gemaakt van onbeveiligde netwerken.

Maatregelen:

1. Zorg dat alle gegevens tijdens overdracht versleuteld zijn met sterke encryptie, zoals AES-256.
2. Gebruik beveiligde communicatiemethoden zoals TLS/SSL voor alle gegevensuitwisselingen tussen PUO’s, vermogensbeheerders en pensioenfondsen.

Risico’s bij sub-verwerkers en complexe ketenuitbesteding
Wanneer PUO’s en vermogensbeheerders samenwerken en gebruik maken van sub-verwerkers, neemt het risico op datalekken en andere inbreuken toe, vooral als de controle op deze sub-verwerkers beperkt is. Het pensioenfonds kan in dit geval het overzicht verliezen over hoe en waar persoonsgegevens worden verwerkt.

Maatregelen:

1. Zorg dat de uitbestedingspartners volledige transparantie bieden over het gebruik van sub-verwerkers.
2. Leg vast dat sub-verwerkers dezelfde beveiligingsstandaarden hanteren als de hoofdverwerkers.

Internationale doorgifte van gegevens
Wanneer gegevens naar landen buiten de EU worden overgedragen, lopen pensioenfondsen het risico dat de bescherming van persoonsgegevens niet voldoet aan de vereisten van de AVG, omdat deze landen mogelijk geen gelijkwaardig beschermingsniveau bieden.

Maatregelen:

1. Voer grondige evaluaties uit van derde landen en zorg voor Standard Contractual Clauses (SCC’s) om de bescherming van persoonsgegevens te waarborgen.
2. Vermijd, indien mogelijk, het overdragen van gegevens naar landen buiten de EU.

Vertraging in incidentrapportage
Een belangrijk risico bij het werken met meerdere partijen in een keten is dat incidenten, zoals datalekken, te laat worden gerapporteerd. Vertraging in de rapportage kan ertoe leiden dat het pensioenfonds niet tijdig voldoet aan de meldplicht onder de AVG, wat resulteert in hoge boetes en reputatieschade.

Maatregelen:

1. Leg in verwerkersovereenkomsten vast dat incidenten binnen een korte tijd moeten worden gemeld (bijvoorbeeld binnen 24 uur).
2. Implementeer een crisismanagementplan voor snelle reactie op datalekken.

Het belang van encryptie bij gegevensoverdracht

Naast de bovengenoemde risico’s is encryptie een belangrijke maatregel om gegevens te beschermen tijdens de overdracht tussen pensioenfondsen, PUO’s en vermogensbeheerders. Door sterke encryptiemethoden toe te passen, kunnen pensioenfondsen ervoor zorgen dat de gegevens van deelnemers beschermd blijven, zelfs als ze worden onderschept.

Data-in-transit en Data-at-rest Encryptie

• Data-in-transit encryptie zorgt ervoor dat gegevens veilig zijn wanneer ze worden verzonden over netwerken.
• Data-at-rest encryptie beschermt gegevens die zijn opgeslagen op servers of opslagmedia bij de PUO of vermogensbeheerder.

Wat kan het bestuur doen?

Het bestuur van het pensioenfonds moet proactief handelen om deze risico’s te mitigeren door middel van:

• Regelmatige audits bij PUO’s en vermogensbeheerders.
• Duidelijke afspraken in contracten over gegevensbescherming en incidentrapportage.
• Het gebruik van moderne beveiligingsmaatregelen zoals encryptie en toegangscontrole.
• Durf kritische vragen te stellen aan de uitbestedingspartners.

Ondanks het uitbesteden van taken aan PUO’s en vermogensbeheerders, blijft het pensioenfonds te allen tijde verantwoordelijk voor de naleving van de AVG en de bescherming van de persoonsgegevens van deelnemers.

Conclusie

Omdat onder de WTP meer persoonsgegevens zullen worden verwerkt en gedistribueerd dan op dit moment het geval is, gaat de bescherming van die gegevens nog meer aandacht vragen.

De risico’s die gepaard gaan met uitbesteding aan PUO’s en vermogensbeheerders zijn dan ook reëel en kunnen grote gevolgen hebben voor de privacy van deelnemers. Pensioenfondsen moeten proactief maatregelen nemen om deze risico’s te mitigeren en ervoor zorgen dat zij voldoen aan de AVG-vereisten, vooral bij de overdracht en verwerking van gevoelige gegevens.