Samen werken aan privacy. Special AVG voor itour 24 april Pieter de Groot & Henk-Jan van der Molen

Maat: px

Weergave met pagina beginnen:

Download "Samen werken aan privacy. Special AVG voor itour 24 april Pieter de Groot & Henk-Jan van der Molen"

Willem de Kooker
5 jaren geleden
Aantal bezoeken:

1 Samen werken aan privacy Special AVG voor itour 24 april 2018 Pieter de Groot & Henk-Jan van der Molen

2 Wat eraan vooraf ging 1 van 2

3 Grondrecht 2 maart 1814 Privacy = het recht om met rust gelaten te worden the right to be left alone, aldus Thomas Cooley in 1879 Wetgeving over privacy is niet nieuw Concrete regels voor bescherming van persoonsgegevens 1981 Conventie van de Raad van Europa In Nederland vastgelegd in artikel van onze Grondwet Een onderdeel van privacy - verwerking persoonsgegevens - sinds 2001 in de Wbp (daarvoor heette het de Wpr) Toezichthouder is de Autoriteit Persoonsgegevens AP, vroeger bekend als het College Bescherming Persoonsgegevens 3

4 AVG in het kort 25 mei 2018 Algemene Verordening Gegevensbescherming Vervangt de Wbp Werkt rechtstreeks, soms ruimte voor nationaal aanpassingen (in NL doen we dit in de Uitvoeringswet AVG) en de toezichthoudende autoriteit Belangrijkste wijzigingen Aanscherping regels: o.a. accountability, transparantie, registratie, profiling (systemen, persoonsgegevens verwerkt en opgeslagen, geoorloofde koppeling, autorisatie, verantwoordelijke, bewerker, beveiliging, etc.) Boetes gaan omhoog: M 20 of 4% jaaromzet wereldwijd Kern Verwerkingsverantwoordelijke is accountable: aantoonbare naleving van alle AVG-eisen 4

5 AVG is verantwoordelijkheid van eigen organisatie, maar De organisatie staat voor goed opdrachtnemerschap, dus Je hebt kennis van de AVG op hoofdlijnen Je weet wat je zelf in huis hebt: persoonsgegevens, processen, verwerkersovereenkomsten, Je informeert je opdrachtgevers proactief en helpt ze op aanvraag Wat kun je doen Inventariseren en doorlichten eigen processen Inventariseren welke projecten er lopen, of er persoonsgegevens in zaten, etc. Zoek kennispartners op: Privacy Officers, Contractmanagers, CISO s Zoek je klanten op: Opdrachtgevers Verdiep je in de AVG: CIPM-opleiding vanuit AVG@JenV 5

6 Verwerkersovereenkomst Verwerkersovereenkomsten De verwerkersovereenkomst legt de afspraken en voorwaarden vast waaronder een verantwoordelijke persoonsgegevens laat verwerken door een verwerker. Ondersteuning Kennis hebben van de nieuwe modellen op Rijksportaal Adviseren over wanneer welk instrument nodig is Checken borging privacy bij projecten Voldoen nieuwe + bestaande overeenkomsten aan AVG? 6

AVG@uw_organisatie Privacy Impact Assessment met feitelijke beschrijving + Juridische check en Risico s Maatregelen: zoals up-to=date verwerkersovereenkomst PIA Centrale ondersteuning Adviseren

7 Privacy Impact Assessment met feitelijke beschrijving + Juridische check en Risico s Maatregelen: zoals up-to=date verwerkersovereenkomst PIA Centrale ondersteuning Adviseren opdrachtgever: let op (doorlooptijd) PIA 25 mei 2018 nog niet 100% compliant en dan? Laat zien dat je ruimschoots in control bent: Inzicht en overzicht: van heb je al op orde en wat moet je nog doen Grondslagen: grondslagen, grondslagen Planning en Buget: wanneer ga je wat doen 7

8 Hoe zit het bij jouw organisatie(onderdeel) Processen in kaart en op orde? Verwerkersovereenkomsten gecheckt en op orde? Checklist Kun je jouw rol pakken Ben je in staat om jouw manager goed te informeren, adviseren en faciliteren? Je staat er niet alleen voor: werken aan privacy doen we samen Voelt jouw manager zich ook verantwoordelijk? Weet je wie jouw Privacy Officer is? Weet je jouw collega s te vinden bij vragen? Ken je de producten van AVG@JenV zoals Handreiking Meldplicht Datalekken 8

9 Vliegende Brigade 4 Stappenmethodiek: analyse datastromen Spoor 3 AVG@JenV 1. Feitelijke beschrijving werkproces + informatiestromen Stappen, systemen, koppelingen 2. Juridische beoordeling Grondslag voor verwerking persoonsgegevens 3. In kaart brengen risico s Waar zitten AVG-tjes, afweging risico s Formuleren maatregelen Systeem- en organisatorische beveiliging 9

informeel en laagdrempelig Maar nu wordt het overal voor gebruikt

10 5 Rode Draden 1. voor verzenden persoonsgegevens Ooit voor verzenden teksberichten, informeel en laagdrempelig Maar nu wordt het overal voor gebruikt Aanbevelingen Veilig uitwisselen informatie met portal, DigiJust, 7-zip met separaat wachtwoord, JenV-bestandenpostbus Verbeter awareness 10

Rode draden AVG@JenV 2 van 5 2. Verwerkersovereenkomsten Maak bestaande en nieuwe overeenkomsten AVG-complaint: Onvolledig beeld leveranciers en afspraken wat wel/niet mag met gegevens.

11 Rode draden 2 van 5 2. Verwerkersovereenkomsten Maak bestaande en nieuwe overeenkomsten AVG-complaint: Onvolledig beeld leveranciers en afspraken wat wel/niet mag met gegevens. Soms procedure afwezig: Wie doet Wat als t misgaat Aanbevelingen Checklist verwerkersovereenkomst voor bestaande vwo s Gebruik standaard ARVODI / ARBIT voor nieuwe contracten Acuut verwerker nodig? Zorg vooraf voor ad-hoc vwo en registreer reden afwijken. 11

12 Rode draden 3 van 5 3. Privacy by Design Relevant bij verwerking gevoelige persoonsgegevens Procesbeschrijvingen aanwezig (om beveiligingsniveau te bepalen)? Periodiek (!) opgeschonen gegevens (bewaartermijn)? Royale autorisaties; soms enkelvoudige authenticatie op portalen Wissel niet te veel (gevoelige) informatie uit. Aanbevelingen Welke processen en systemen verwerken (gevoelige) persoonsgegevens Vaststellen bewaartermijnen en inrichten schoning Geef verwerkingen met privacygevoelige gegevens prioriteit Registreer afwijkingen hierop en risicobeperkende maatregelen 12

13 4. Logging en monitoring Rode draden 4 van 5 We loggen niet, omdat het systeem dan vastloopt Soms ontbreekt monitoring logbestanden. Waarom log je dan? Periodieke(!) monitoring autorisaties (correct + actueel?) Aanbevelingen Logging is verplichte BIR-maatregel; gevoeligheid gegevens en processen bepalen omvang en frequentie Overweeg aansluiting bij SOC JenV voor geautomatiseerd monitoren logs 13

14 5. Privacy als organisatievraagstuk Rode draden 5 van 5 Zorgen dat de organisatie de AVG naleeft uitdaging Privacy Officer = uitdaging management JenV-awareness is gemiddeld goed, maar kwartje valt vaak na bezoek Vliegende Brigade Behoefte aan informatie over privacy, m.n. bij managers: wat mag wel / niet op de werkvloer Aanbevelingen Pak AVG implementatie aan met voldoende capaciteit en middelen Onderken expliciet managers als doelgroep voor awareness Pak AVG implementatie risicogericht aan, grootste risico s als 1 e 14

15 Vragen 15

Vergelijkbare documenten

Impact van de Europese privacy verordening ( AVG ) van Wbp naar AVG, veranderingen in vogelvlucht. 15 november Silvia Vinken CIPP/E

Impact van de Europese privacy verordening ( AVG ) van Wbp naar AVG, veranderingen in vogelvlucht 15 november 2017 Silvia Vinken CIPP/E Onderwerpen De AVG in het kort Van Wbp naar AVG: wat blijft hetzelfde?