Privacy bij pensioenfondsen: verder kijken dan de pensioenuitvoerder

Inleiding

Wanneer binnen pensioenfondsen over privacy wordt gesproken, gaat de aandacht vaak als eerste uit naar de pensioenuitvoerder. Dat is begrijpelijk. De grootste hoeveelheden persoonsgegevens bevinden zich immers bij uitvoeringsorganisaties zoals APG, TKP, AZL of APS. Daar worden deelnemers geadministreerd, pensioenen berekend, uitkeringen verwerkt en communicatie met deelnemers verzorgd.

Ook vanuit toezicht- en verantwoordingsperspectief ligt de focus vaak op de uitvoerder. Pensioenfondsen ontvangen assurance-rapportages, privacyrapportages, FG-rapportages, datalekoverzichten en informatie over verwerkers en subverwerkers. Deze rapportages geven inzicht in de wijze waarop de uitvoerder persoonsgegevens verwerkt en beschermen.

Toch ontstaat daarmee niet automatisch een volledig beeld van de privacybeheersing van een pensioenfonds.

Twee kanten van dezelfde medaille

Bij verschillende privacybeoordelingen die wij de afgelopen periode hebben uitgevoerd, viel op dat de privacybeheersing bij de uitvoerder vaak goed is gedocumenteerd. Er zijn verwerkersovereenkomsten aanwezig, privacyrapportages worden besproken, datalekken worden geregistreerd en er wordt periodiek gerapporteerd over privacyrisico’s.

Dat is positief en ook noodzakelijk. Een pensioenfonds moet immers kunnen vaststellen dat de uitvoerder zorgvuldig met persoonsgegevens omgaat.

Tegelijkertijd zagen wij dat privacy binnen het fonds zelf soms minder zichtbaar is. Niet omdat er geen aandacht voor bestaat, maar omdat de focus vanzelfsprekend vaak uitgaat naar de pensioenuitvoering.

Daardoor ontstaat soms het beeld dat privacy vooral een onderwerp van de uitvoerder is, terwijl pensioenfondsen ook zelf persoonsgegevens verwerken.

Privacy binnen het pensioenfonds

Een pensioenfonds verwerkt niet alleen gegevens van deelnemers via de uitvoerder. Ook binnen de eigen organisatie worden persoonsgegevens verwerkt.

Denk bijvoorbeeld aan gegevens van bestuurders, leden van het verantwoordingsorgaan, leden van de raad van toezicht, medewerkers van het bestuursbureau, leverancierscontactpersonen, sollicitanten, deelnemers die een klacht indienen of personen die voorkomen in vergaderstukken en bestuursdocumentatie.

Daarnaast maken veel fondsen gebruik van digitale hulpmiddelen zoals bestuursportalen, documentmanagementomgevingen, e-mailvoorzieningen en samenwerkingsplatformen. Ook in deze omgevingen worden persoonsgegevens verwerkt.

Juist deze fondsinterne verwerkingen krijgen in de praktijk soms minder aandacht dan de uitbestede pensioenuitvoering.

De rol van het verwerkingsregister

Een onderwerp dat daarbij regelmatig terugkomt is het verwerkingsregister.

Bij veel fondsen is een register aanwezig waarin de belangrijkste verwerkingen rondom de pensioenuitvoering zijn beschreven. Dat vormt een belangrijke basis voor de AVG-verantwoording.

De vraag is echter of daarmee alle verwerkingen van het fonds zijn afgedekt.

Zijn bijvoorbeeld ook de verwerkingen rondom bestuurders, commissies, bestuursbureau, leverancierscontacten, klachten, vergaderomgevingen en bestuursportalen opgenomen? En is inzichtelijk welke leveranciers daarbij betrokken zijn?

Het beantwoorden van deze vragen helpt niet alleen om aan de documentatieplicht van de AVG te voldoen, maar geeft ook meer inzicht in de eigen gegevensstromen van het fonds.

Governance en regie

Privacy is meer dan documentatie alleen.

Uiteindelijk gaat het erom dat een pensioenfonds als verwerkingsverantwoordelijke kan aantonen dat het grip heeft op de verwerking van persoonsgegevens.

Dat betekent niet dat een bestuur zelf operationeel betrokken moet zijn bij iedere privacyvraag of ieder incident. Wel betekent het dat het bestuur periodiek inzicht moet krijgen in relevante privacyonderwerpen.

Denk daarbij aan privacyrapportages van de uitvoerder, datalekken, verzoeken van betrokkenen, belangrijke DPIA’s, wijzigingen in verwerkingen of wijzigingen in de inzet van leveranciers en subverwerkers.

Het gaat daarbij niet om het overnemen van werkzaamheden van de uitvoerder, maar om het invullen van de eigen regierol.

Privacy als onderdeel van integraal risicomanagement

Steeds meer pensioenfondsen plaatsen privacy niet langer uitsluitend binnen het juridische domein, maar nemen het mee als onderdeel van integraal risicomanagement.

Dat is een logische ontwikkeling. Privacy raakt immers aan informatiebeveiliging, uitbesteding, operationele risico’s, governance en reputatie.

Daardoor wordt privacy steeds vaker besproken binnen compliance-overleggen, risico-overleggen en bestuursvergaderingen. Niet alleen wanneer zich een incident voordoet, maar ook als onderdeel van de reguliere governancecyclus.

Deze ontwikkeling sluit aan bij de bredere verwachtingen vanuit toezichthouders en de Pensioenfederatie, waarbij niet alleen wordt gekeken naar de aanwezigheid van beleid en procedures, maar ook naar de aantoonbare werking daarvan in de praktijk.

Conclusie

De privacybeheersing van een pensioenfonds bestaat uit twee onderdelen: de privacybeheersing bij de pensioenuitvoerder en de privacybeheersing binnen het pensioenfonds zelf.

De praktijk laat zien dat de aandacht vaak terecht uitgaat naar de uitvoerder. Tegelijkertijd ontstaat een volledig beeld pas wanneer ook wordt gekeken naar de eigen processen, systemen, leveranciers en governance van het fonds.

De vraag voor pensioenfondsen is daarom niet alleen of de uitvoerder privacy goed heeft ingericht. De vraag is ook of het fonds zelf voldoende inzicht heeft in de persoonsgegevens die binnen de eigen organisatie worden verwerkt en hoe daarover verantwoording wordt afgelegd.

Juist in die combinatie ontstaat een volwassen en aantoonbare privacybeheersing.