De Privacy Baseline/Aanvullende informatie: verschil tussen versies
k (Grip op privacy tekst hierheen verplaatst) |
k (→De ACT doelen van privacybescherming: gedoe met plaatjes) |
||
| Regel 25: | Regel 25: | ||
Deze doelen zijn gebaseerd op de privacywetgeving en geven daarnaast invulling aan de actuele privacy principes, zoals beschreven door de Organisation for Economic Cooperation and Development (OECD; zie http://oecdprivacy.org/. In de onderstaande tabellen staan per ACT-doel de privacy principes beschreven. Per privacy principe wordt aangegeven welke criteria leidend zijn om aan het privacy principe te kunnen voldoen. De ondersteunende criteria zijn, zoals de term aangeeft, ondersteunend voor de leidende criteria en daarmee randvoorwaardelijk voor een effectieve invulling van de leidende criteria. | Deze doelen zijn gebaseerd op de privacywetgeving en geven daarnaast invulling aan de actuele privacy principes, zoals beschreven door de Organisation for Economic Cooperation and Development (OECD; zie http://oecdprivacy.org/. In de onderstaande tabellen staan per ACT-doel de privacy principes beschreven. Per privacy principe wordt aangegeven welke criteria leidend zijn om aan het privacy principe te kunnen voldoen. De ondersteunende criteria zijn, zoals de term aangeeft, ondersteunend voor de leidende criteria en daarmee randvoorwaardelijk voor een effectieve invulling van de leidende criteria. | ||
[[Afbeelding:ACT_PB1.PNG| | [[Afbeelding:ACT_PB1.PNG|none|ACT-doelen irt Privacyprincipes afb#1|alt=”ACT-doelen irt Privacyprincipes afb#1”|link=]] | ||
[[Afbeelding:ACT_PB2.PNG| | [[Afbeelding:ACT_PB2.PNG|none|ACT-doelen irt Privacyprincipes afb#1|alt=”ACT-doelen irt Privacyprincipes afb#2”|link=]] | ||
===Grip op privacy=== | ===Grip op privacy=== | ||
Versie van 18 mrt 2020 17:23
| ||||||||||
Werken met persoonsgegevens[bewerken]
De AVG (Algemene Verordening Gegevensbescherming) beschrijft de beginselen van de verwerking van persoonsgegevens (Avg art. 5 lid 11). Wij beperken ons hier tot de beschrijving van enkele kenmerkende begrippen als 'verwerken', 'persoonsgegevens' en 'bijzondere categorieën van persoonsgegevens.
- → Verwerking van persoonsgegevens
- → Zelf persoonsgegevens verwerken of uitbesteden
- → Verwerkingsverantwoordelijke en verwerker
- → Verwerkersovereenkomst
- → Persoonsgegevens en bijzondere persoonsgegevens
De ACT doelen van privacybescherming[bewerken]
Er zijn verschillende soorten privacy te onderscheiden. Het recht op bescherming van persoonsgegevens wordt informationele privacy genoemd, hier hebben we het in de inleiding al over gehad. Het beschermen van de informationele privacy kan worden uitgedrukt in ACT doelen: Afscherming, Corrigeerbaarheid en Transparantie.
In Avg art. 5 wordt overigens geschreven over: rechtmatig, behoorlijk en transparant. Vergeleken bij ACT is dat meer te beschouwen als een "juridische doelstelling". ACT is daarentegen meer een "functionele doelstelling", overigens ook handig bij Privacy by Design. In de (functionele) kern zijn het naar onze mening geen verschillende uitgangspunten c.q. doelstellingen. Het gaat per saldo niet om compliancy aan de wet, maar om deugdelijke privacybescherming. De ACT doelen zijn als volgt gedefinieerd:
Afscherming houdt in dat persoonsgegevens worden afgeschermd voor het gebruik voor andere doelen dan de doelen waarvoor ze mogen worden gebruikt.
Corrigeerbaarheid: ten aanzien van elke verwerking van persoonsgegevens is het mogelijk om de persoonsgegevens aan te passen of te vernietigen, indien de verwerking niet voldoet aan de eisen; bijvoorbeeld in geval van onjuiste informatie of als er geen noodzaak meer is om de informatie te bewaren.
Transparantie: ten aanzien van elke verwerking van persoonsgegevens is de volgende informatie beschikbaar: de verantwoordelijken, de categorieën van persoonsgegevens, categorieën van betrokkenen, categorieën van ontvangers, doelbinding, de wettelijke grondslag, de bewaartermijnen, de beveiligingsmaatregelen en de organisatorische en technische inrichting van verwerking van de persoonsgegevens.
Deze doelen zijn gebaseerd op de privacywetgeving en geven daarnaast invulling aan de actuele privacy principes, zoals beschreven door de Organisation for Economic Cooperation and Development (OECD; zie http://oecdprivacy.org/. In de onderstaande tabellen staan per ACT-doel de privacy principes beschreven. Per privacy principe wordt aangegeven welke criteria leidend zijn om aan het privacy principe te kunnen voldoen. De ondersteunende criteria zijn, zoals de term aangeeft, ondersteunend voor de leidende criteria en daarmee randvoorwaardelijk voor een effectieve invulling van de leidende criteria.
Grip op privacy[bewerken]
De Privacy Baseline is onderdeel van een set van samenhangende documenten onder de noemer 'Grip op privacy'. Naast deze Baseline heeft het CIP nog de volgende vier daarop geënte documenten gepubliceerd:
- Privacy by Design
- Privacy Governance ('Borging van privacy in organisaties')
- het Privacy Volwassenheidsmodel
- het Privacy Self Assessment
De eerste twee documenten zijn handreikingen voor het toepassen van de juiste maatregelen en het inrichten van de organisatie waarmee "Grip op privacy" op de meest efficiënte en effectieve wijze kan worden bereikt. Het zijn toelichtende verhandelingen over:
- Hoe je kunt bewerkstelligen dat het aspect privacy niet achteraf nog eens moet worden 'bijgeplakt', maar van begin af aan in de ontwikkeling van programmatuur wordt meegenomen (privacy by design).
- Hoe je privacy in alle relevante bedrijfsprocessen implementeert, borgt, kunt onderhouden en verbeteren (governance).
Privacyvolwassenheid[bewerken]
Bij deze Baseline hoort een speciaal daarop gebaseerd volwassenheidsmodel. Door privacy actief te hanteren als kwaliteitselement in de bedrijfsvoering kunnen organisaties naar een hoger niveau van volwassenheid groeien en privacy benutten om de dienstverlening aan klanten op een hoger peil te brengen. Dit aspect wordt ter hand genomen in het document 'Privacyvolwassenheidsmodel', een praktische handleiding voor het vaststellen en vergroten van de organisatievolwassenheid in relatie tot de omgang met persoonsgegevens. Het model is afgeleid van gangbare 5-laagse volwassenheidsmodellen. Op basis van de mate waarin voldaan wordt aan de dertien criteria van de Privacy Baseline specificeert het model 5 niveaus op het aspect van privacy. Hoe volwassen gaat de organisatie met privacy om? Welk niveau wil de organisatie nastreven en wat is daarvoor nodig? Op deze vragen geeft het Privacy Self assessment (PriSa) antwoorden. Het assessmentrapport geeft aan wat nog te doen staat om het (zelf te kiezen) beoogde volwassenheidsniveau te bereiken. Op de website van het CIP (www.cip-overheid.nl) lees je er meer over. Daar vind je ook de overige hier aangehaalde Grip-op-privacy documenten.
Grip op privacy biedt concrete handvatten om de juiste omgang met persoonsgegevens te bewerkstelligen, te waarborgen en het privacybeleid passend, effectief en efficiënt in te passen in de bedrijfsvoering. Het gaat niet om de normen. Het gaat erom de ACT principes: Afscherming, Corrigeerbaarheid en Transparantie te realiseren en daarmee de betrokkene maximaal te respecteren in zijn privacy.
Draagvlak door brede inbreng uit het CIP-netwerk[bewerken]
De methode 'Grip op Privacy' en de afzonderlijke documenten ervan zijn tot stand gekomen in en vanuit de CIP-community. Het brede palet van organisaties dat daarbij betrokken is geweest geeft de auteurs het vertrouwen dat de methode 'Grip op privacy' draagvlak heeft voor een brede toepassing en verdere ontwikkeling.