Categorie: Tips & tricks

Privacy by design: hoe breng je het in praktijk?

privacy awarenessAuteur: Bart de Goeij

Veel organisaties kunnen wel onder woorden brengen hoe verwerkingen ‘privacy by design’ moeten worden ingericht. Tegelijkertijd vinden organisaties het in praktijk lastig om te komen tot een vaste werkwijze die gevolgd moet worden, niet in de laatste plaats omdat organisaties ‘from scratch’ een aanpak voor het werken volgens privacy by design proberen op te tuigen.

Het is belangrijk om je te realiseren dat privacy by design een algemeen beginsel is en geen technisch vereiste. De essentie is dat medewerkers die aan de slag gaan met persoonsgegevens op tijd nadenken over persoonsgegevensbescherming, oftewel vóórdat zij keuzes maken ten aanzien van de vormgeving van de verwerking. Om dit te realiseren reikt de AVG al verschillende concrete instrumenten aan die helpen om de essentie van privacy by design een plek te geven in het voortbrengingsproces en/of de beleidsontwikkeling. Het eerste is de DPIA (art 35 AVG; Nederlandse afkorting: GEB). Het tweede is de verplichte registratie van verwerkingen in het verwerkingsregister (art 30 AVG). Als organisaties hier slim mee omgaan, is de basis voor het voldoen aan privacy by design gelegd. Lees verder

Betrek jij ook betrokkenen tijdens een DPIA?

Auteur: Sander Roobol

Veel organisaties zijn er inmiddels mee bekend: het uitvoeren van een data protection impact assessment (DPIA). De minimale vereisten zijn summier in de wet uitgewerkt. Optioneel is het een vereiste om betrokkenen naar hun visie op de voorgenomen verwerking van persoonsgegevens te vragen. In de praktijk wordt deze optie vaak overgeslagen terwijl het een toegevoegde waarde heeft voor een organisatie en haar DPIA. In deze blog ga ik in op het betrekken van betrokkenen bij een DPIA. Is dit vereiste wel zo optioneel? En wat is de toegevoegde waarde?

Doel DPIA

Als een verwerking van persoonsgegevens waarschijnlijk een hoog risico inhoudt voor betrokkenen, dan is een organisatie in veel gevallen verplicht voorafgaand aan de gegevensverwerking een DPIA uit te voeren. In artikel 35 lid 7 AVG staan vier voorwaarden genoemd waaraan een DPIA in elk geval moet voldoen. Dit zijn – beknopt beschreven – een systematische beschrijving van de verwerking en haar doeleinde, een beoordeling van de noodzaak en evenredigheid, beoordeling van de risico’s en de beoogde maatregelen om de risico’s te mitigeren. Een DPIA is dus bedoeld om de risico’s in kaart te brengen en passende maatregelen te nemen. Lees verder

De AVG in Beeld: Toezicht

Auteur: Alfonso Okué

In de blogserie “De AVG in Beeld” zullen wij met het oog op onze PrivacyProof®-methodiek de specifieke onderdelen van de Algemene Verordening Gegevensbescherming (AVG) behandelen en verhelderen. In deze blog beschrijven we aan de hand van een aantal praktijkvoorbeelden, de wettelijke vereisten en geven wij een aantal tips en tricks om de AVG op een praktische, pragmatische, hanteerbare, beheersbare en leuke manier te organiseren. Lees verder

Blogserie Wat maakt een goede FG? – Risicosturing

Deze tweede blog in de reeks ‘Wat maakt een goede FG?’ gaat over risicosturing. Dat klinkt paniekerig, maar juist een goede FG weet risico om te keren in rust en houvast. We zien hoe onmisbaar de objectieve beoordeling is die in de AVG wordt voorgeschreven – om er ver­volgens achter te komen dat je zonder de Schaal van Erg nooit objectief genoeg kunt zijn. Dus: hoe erg is bijvoorbeeld een smoelenboek? En hoeveel prioriteit verdient zoiets? Gelukkig is er altijd nog de PIA om dat grondig uit te zoeken. En lang leve de Schaal van Erg als je de FG van een verwerker bent.

Deze blog voor functionarissen voor gegevensbescherming (data protection officers) is de tweede in een korte reeks.

Benieuwd naar het hele artikel, inclusief een praktische Schaal van Erg? Lees hier de blog als PDF.

Heeft u nog vragen over het FG-schap? U kunt in het onderstaande formulier uw reactie achterlaten. Wilt u geen blog meer missen? Abonneer u dan op de PMP-nieuwsbrief of volg Privacy Management Partners op Twitter of LinkedIn.

To notify or not to notify: Wanneer moet een datalek gemeld worden aan de Autoriteit Persoonsgegevens?

Met ingang van de nieuwe privacywet de Algemene Verordening Gegevensbescherming (hierna AVG) komt er heel veel op organisaties af. De AVG bevat nieuwe eisen en een aantal aangescherpte eisen omtrent de verwerking van persoonsgegevens. Eén van die eisen is de meldplicht datalekken[1]. Organisaties die een datalek hebben die persoonsgegevens bevat, moeten deze melden bij het meldloket van de Autoriteit Persoonsgegevens (hierna AP) en soms ook aan de betrokkenen van wie de persoonsgegevens zijn gelekt. Het doel van de meldingsplicht is o.a. de algemene verhoging van het beveiligingsniveau van informatiedragers, verhoging van de interne bewustwording bij organisaties en het zelfredzamer maken van mensen door hen in staat te stellen om maatregelen te kunnen nemen om de negatieve impact van een datalek te beperken. In deze blog zal ik inzoomen op de te treffen maatregelen voor, tijdens en na een datalek.

Lees verder

Blogserie Wat maakt een goede FG? – De juiste persoon in de juiste setting

FG’s spelen een belangrijke rol bij de bescherming van persoonsgegevens. Essentieel is dat die rol goed wordt ingevuld. Maar wat maakt een goede FG? In deze blog wordt ingegaan op de functie van de FG, zijn profiel en zijn missie. Tien praktische vragen helpen bepalen of de setting waarbinnen een FG moet werken klopt. FG-schap mag best een uitdaging zijn, maar nooit een onmogelijke opdracht.

Een functionaris voor gegevensbescherming (data protection officer) is wettelijk toezichthouder. Je meerwaarde is dat je jouw organisatie als geen ander weet te helpen om privacywetgeving na te leven, vanwege je wetsexpertise en kennis van de praktijk en omdat je het dichtst bij het vuur zit. Dit is sinds de jaren ’90 de kerngedachte achter de FG. Vandaar dat de FG-functie in de Wet Bescherming Persoonsgegevens was opgenomen en nu ook in de Algemene Verordening Gegevensbescherming is teruggekeerd.

Benieuwd naar het hele artikel, inclusief een praktische setting-check? Lees hier de blog als PDF.

Heeft u nog vragen over het FG-schap? U kunt in het onderstaande formulier uw reactie achterlaten. Wilt u geen blog meer missen? Abonneer u dan op de PMP-nieuwsbrief of volg Privacy Management Partners op Twitter of LinkedIn.

Tooling voor de Privacy Professional

De Algemene Verordening Gegevensbescherming (hierna: AVG) is sinds 25 mei 2018 een feit. Organisaties in Europa, en in sommige gevallen ook daarbuiten[1], moeten bij het verwerken van persoonsgegevens zich aan strengere privacywet- en regelgeving houden. Niet alleen dat, organisaties moeten ook aantoonbaar aan de AVG voldoen,[2] de zogenaamde verantwoordingsplicht[3]. Onderdeel van de verantwoordingsplicht zijn:  

  • het vastleggen van een verwerkingsregister[4]; en
  • het documenteren van datalekken[5].

Lees verder

Privacyverklaring: guidelines on transparency

De informatieplicht is waarschijnlijk niet het eerste waar u in de aanloop naar 25 mei mee aan de slag gaat. Hoewel de inhoud van een privacyverklaring vaak tijdens DPIA’s, inventarisaties voor het verwerkeringsregister, en het opstellen van reglementen naar boven komt, kan de vertaling naar informatie voor de betrokkenen nog veel denkwerk kosten. Traditionele ‘disclaimers’ en algemene voorwaarden zijn duidelijk niet meer genoeg, maar wanneer is een privacyverklaring dan wel goed? De guidelines van de Europese werkgroep van toezichthouders staan vol met concrete tips voor de verschillende vormen waarin de communicatie kan plaatsvinden. Soms vergen die wat meer nadenkwerk, maar ze laten u ook de vrijheid om een voor u werkende vorm te vinden. Wij hebben tussen alle DPIA’s door de tekst uitgeplozen en zetten in deze blog de belangrijkste punten op een rij. Kort samengevat, voor de transparantie-eis geldt hetzelfde als voor alle maatregelen uit de AVG: het aflopen van de checklist van artikel 12, 13 en 14 is niet voldoende, u moet bij de risico’s en uw organisatie passende keuzes maken, en ze kunnen uitleggen.

Lees verder

BYOD: hoe beschermt u de privacy?

BYOD valt niet meer weg te denken uit het hedendaagse bedrijfsleven. Steeds meer organisaties stellen hun medewerkers in staat om voor zakelijke doeleinden te werken met hun eigen privéapparaten . Bring Your Own Device (BYOD), biedt voordelen als gebruiksvriendelijkheid en keuze voor de medewerker. Hiernaast zien werkgevers als voornaamste voordelen een toename in de productiviteit en kostenbesparing betreffende hardware investeringen. BYOD brengt echter ook de nodige uitdagingen met zich mee op het gebied van security, maar zeer zeker ook op het gebied van privacy van de medewerkers. De AVG eist van organisaties dat zij gepaste technische en organisatorische maatregelen treffen om de verwerking van persoonsgegevens, dus ook door en van medewerkers, in overeenstemming met de AVG uit te voeren. Dit moet onder de AVG ook kunnen worden aangetoond. Hier valt het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van gegevensverwerkende processen ook onder. De volgende vraag luidt dan: wat zijn de specifieke BYOD-uitdagingen en wélke maatregelen moeten er vervolgens worden genomen?

Twee van de voornaamste uitdagingen zijn:

  1. Het zorgdragen voor een juiste omgang en het beschermen van de privacy.
  2. Beveiliging van het apparaat tegen malware, verlies of diefstal.
Lees verder

Privacy awareness in organisaties: de missende schakel tussen papier en praktijk

Informatiebeveiliging staat bij veel organisaties hoog in het vaandel.privacy awareness Zeker nu de ransomware WannaCry diep in de portemonnee van een aantal grote namen heeft gegrepen. Er zijn CISO-opleidingen te over en veel organisaties waarin teamleden nog steeds inloggegevens met elkaar uitwisselen. We gaan er echter vanuit dat het laatste steeds meer uitzondering dan regel wordt. De meesten draaien op zijn minst regelmatig een back-up en werken met up-to-date software. Maar wat als een collega achter die goed beveiligde computer geen bezwaar voelt om wat series op de werklaptop online te streamen? Of een collega besluit een eigen map op de privélaptop bij te houden met de personeelsadministratie, omdat dat nu eenmaal makkelijker werkt dan inloggen via Citrix? Tegen een ongeïnformeerd of ongeïnteresseerd persoon kan geen informatiebeveiliger op.

 

Niet alleen informatiebeveiligers moeten met deze problemen omgaan. Het beleid van privacy officers kan als een kaartenhuis in elkaar vallen zonder bewustzijn bij de medewerkers. En dan heeft privacy ook nog te maken met een onderwerp dat minder leeft of tastbaar is, ondanks de groeiende aandacht.

 

Hoe creëert u privacy awareness?

Privacy moet niet alleen in het beleid en de functieprofielen staan. Het moet terug te vinden zijn in de cultuur, in de dagelijkse gedachten van werknemers. Wat zorgt ervoor dat privacy niet doordringt, en wat is eraan te doen? Wij stellen voor dat u begint met twee belangrijke stappen.

Lees verder