Brontekst bekijken van ISOR:Privacy Beleid geeft duidelijkheid en sturing

{{#element:
|Elementtype=Privacyprincipe
|ID=PRIV_B.01
|Titel=Privacy Beleid geeft duidelijkheid en sturing
|Versieaanduiding=3.1 / 3.2
|Gebruik in Nederlandse publieke sector=In gebruik
|Status actualiteit=Actueel
|Practice=CIP
|Redactionele wijzigingsdatum=2017/10/16
|Publicatiedatum=2020/03/16
|Beschrijving=Privacybeleid geeft op organisatie - en strategisch niveau duidelijkheid en daarmee sturing aan de inrichting van privacy. 
==Inhoud==
Het privacybeleid geeft aan op welke wijze - door het treffen van maatregelen - voldaan wordt aan de van toepassing zijnde wet- en regelgeving. Omdat de wet- en regelgeving externe factoren zijn die kunnen veranderen, is periodieke review nodig om vast te stellen of het beleid nog voldoet. Maar ook interne factoren, zoals onvoldoende effectiviteit van het beleid en gewijzigde missie of visie, kunnen het nodig maken om te komen tot aanpassing van het beleid. Het volstaat dus niet om eenmalig beleid op te stellen en niet meer aan te passen. Door het beleidsproces cyclisch in te richten kan het beleid op de ontwikkelingen en de uitvoering afgestemd blijven.

==Proces==
De ontwikkeling van de organisatie tot een organisatie die aantoonbaar aan wet- en regelgeving voldoet (ofwel: 'compliant' is aan wet- en regelgeving), vraagt om een cyclisch proces. Dit houdt in dat er sprake is van een terugkoppelmechanisme waarbij - door inzicht in de uitvoering - het beleid kan worden bijgestuurd en gecorrigeerd. De Privacy Baseline is als cyclisch proces (Beleid, Uitvoering en Control) opgezet. Afspraken over hoe dit cyclische proces vormgegeven wordt maken onderdeel uit van het beleid.
|Criterium=De organisatie heeft ''privacybeleid'' en procedures ontwikkeld en vastgesteld waarin is vastgelegd op welke wijze persoonsgegevens worden verwerkt en invulling wordt gegeven aan de ''wettelijke beginselen'' {{Noot|avg|art. 5 lid 1.}}
|Doelstelling=Privacybeleid dient ervoor om op organisatie- en strategisch niveau duidelijkheid te geven over de inrichtingskeuzes van privacy en te waarborgen dat de verwerking van gegevens op een rechtmatige wijze plaatsvindt.
|Risico=Het ontbreken van een privacybeleid leidt ertoe dat de organisatie geen duidelijkheid heeft over wat precies wordt verwacht, waardoor de kans bestaat dat persoonsgegevens onrechtmatig worden verwerkt (zoals: verzamelen, bewerken, inzien et cetera).
|Beveiligingsaspect=Beleid
|Invalshoek=Intentie
|Conformiteitsindicator=privacybeleid
|Grondslag=* Algemene Verordening Gegevensbescherming (AVG): Art. 5; 24; 40
* Uitvoeringswet_AVG: Art. 2; 4; 78 en 157
|Conformiteitsindicator=privacybeleid
|Voetnoten=Ja
|Heeft bron=de Privacy Baseline
|Kent element met zelfde titel=Nee
|Valt in normenkader=de Privacy Baseline
|Is uitwerking van=Algemene Verordening Gegevensbescherming (AVG), Uitvoeringswet AVG}}