De uitdaging
SARE&F is een investment manager in vastgoed en hypotheken voor institutionele beleggers. Het digitale archief van de organisatie is in 50 jaar gegroeid. In die periode is wet- en regelgeving regelmatig veranderd, met gevolgen voor wat er in dat archief mag staan.
Wat enkele jaren geleden nog heel gewoon was, het onbewerkt opslaan van een identiteitsbewijs, is na de introductie van de AVG niet meer toegestaan. Dat volgt uit een bindende uitspraak van het Klachteninstituut Financiële Dienstverlening (Kifid).
De vraag was dus: hoe verwijder je BSN-nummers en pasfoto’s op honderdduizenden identiteitsbewijzen en voorzie je ze tegelijk van een watermerk? En hoe pak je BSN-nummers aan in ongestructureerde documenten zoals salarisstroken en werkgeversverklaringen?
Het verwijderen van BSN-nummers klinkt eenvoudig, totdat je beseft dat ons digitale archief uit grote hoeveelheden ongestructureerde en niet-gecategoriseerde documenten bestaat. Dankzij GDPR Compliance konden wij snel, efficiënt en op een schaalbare manier aan onze wettelijke verplichtingen voldoen.
Het proces / de werkwijze
Met GDPR Compliance liet SARE&F het volledige hypotheekarchief doorzoeken op persoonsgegevens. Het ging om 70.000 hypotheekdossiers, 1,5 miljoen documenten, 7 miljoen pagina’s en 2 terabyte aan data.
Elk document werd gescand op de aanwezigheid van een BSN-nummer, ook in ongestructureerde documenten zoals salarisstroken en werkgeversverklaringen. Gevonden BSN-nummers werden vervaagd. Op identiteitsbewijzen werden daarnaast de pasfoto’s vervaagd en kregen de documenten een watermerk, conform de Kifid-uitspraak.
De AVG stond daarmee niet langer haaks op de bewaarplicht die SARE&F altijd heeft nageleefd. Dossiers blijven bewaard, maar zonder persoonsgegevens die er niet meer in mogen staan.
