Relaties Privacy Baseline met Afgeleide Principes

Het CIP heeft de Afgeleide Principes verder getoetst op de borging van privacy, door deze naast de criteria van de Privacy Baseline te leggen. De afgeleide principes van de NORA en de criteria van de Privacy Baseline zijn onderzocht op 'common ground'. Deze exercitie is ook bedoeld om kritisch te kijken of er nog aanvullingen of aanpassingen van de afgeleide principes nodig zijn.

Privacy Baseline CIP

De behoefte om de privacywetten 'grijpbaarder' te maken was de aanleiding voor het ontstaan van de Privacy Baseline van het CIP (Centrum Informatiebeveiliging en Privacybescherming). Binnen het CIP-netwerk werd aangedragen dat men de strekking en de bedoelingen van de privacywetgeving begreep, maar de toepassing in de organisatie lastig vond. De tweede aanleiding was het in zwang komen van de term 'informatieveiligheid', waarin informatiebeveiliging en privacybescherming met elkaar worden verknoopt.

Het idee van de Privacy Baseline is om de privacywetgeving te presenteren als een traditioneel normenkader, zoals we dat in de discipline van de Informatiebeveiliging al langer kennen. De privacywetgeving, aanvankelijk de Wet Bescherming Persoonsgegevens en vanaf mei 2018 de Algemene Verordening Gegevensbescherming (AVG) (AVG), is in de Privacy Baseline vertaald naar 13 criteria die vervolgens systematisch zijn uitgewerkt in 'conformiteitsindicatoren': concrete aanwijzingen over hoe je het betreffende principe kunt verwezenlijken. Er is een analogie met de bekende nomenkaders voor de informatiebeveiliging, maar in zijn aanpak stoelt de Privacy Baseline op de systematische benadering van de SIVA-methodiek. Deze is de afgelopen jaren door CIP verspreid en wordt steeds meer toegepast in overheidskringen. Er zijn drie typen baseline principes: de b staat voor het beleidsdomein, de u voor het uitvoeringsdomein en de c voor controle/beheer.

Relaties Baseline Principes CIP en Afgeleide Principes

De relaties tussen de baseline en de afgeleide principes zijn soms behoorlijk 1-op-1, maar soms vereist de bedoelde overeenkomst enige lenigheid van denken. Dit komt door de uiteenlopende herkomst en scope van de NORA en Privacy Baseline. U01 Doelbinding en Doelbinding (AP) Doelbinding zijn bijvoorbeeld één op één te vertalen. Voor de doorgifte van persoonsgegevens is ook Doelbinding (AP) Doelbinding van belang, maar dit privacy baseline principe is terug te vinden in nog vier AP's.

Hieronder staat een overzicht van de gevonden common ground tussen de Privacy Baseline Principes aan de linkerkant en de Afgeleide Principes aan de rechterkant. De eventuele toelichting van de relatie vind je in het midden. Heb je op of aanmerkingen? Schroom deze dan niet te melden via: nora@ictu.nl.

Nederlandse Overheid Referentie Architectuur.

Het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen.