Privacy Control

Uit NORA Online
ISOR:Privacy Control / (Doorverwezen vanaf ISOR:De Privacy Baseline Control)
Ga naar: navigatie, zoeken
De BIO themadocumenten zijn levende documenten, die van tijd tot tijd een update krijgen. Wijzigingen die geïmplementeerd worden in Q4 2019:
  • Het BIO Thema logische toegangsbeveiliging is opgevolgd door BIO Thema Toegangsbeveiliging. Dit kader is ruimer dan alleen logische toegangsbeveiliging. Een deel van de inhoud van het oude thema komt terug in het nieuwe, de resterende pagina's vervallen en worden niet meer bijgehouden.
  • De Privacy Baseline krijgt een nieuwe versie.
Deze informatie is onderdeel van De Privacy Baseline.

Meer lezen

De Privacy Baseline
Alle normenkaders
Beveiligingsaspecten
Invalshoeken
ISOR

In dit onderdeel van de Privacy Baseline zijn richtlijnen opgenomen voor de specifieke beheeraspecten van de gegevensverwerking, ook wel het Control- of Beheerdomein genoemd. Dit houdt onder meer in dat een adequate technische- en organisatorische maatregelen moeten zijn ingericht, om de beheerprocessen vorm te geven.


Risico

Door het ontbreken van noodzakelijke maatregelen binnen het beheersingsdomein is het niet zeker dat de verwerking aan de vereisten voldoet en dat de governance van die omgeving toereikend is ingericht.

Doelstelling

De doelstelling van de laag algemene control (beheersing) is er voor te zorgen en/of vast te stellen dat maatregelen ter waarborging van de privacy afdoende zijn ingericht.

Principes uit de De Privacy Baseline binnen dit aspect

IDprincipeCriterium
PRIV_C.01Intern toezichtDoor of namens de verwerkingsverantwoordelijke vindt evaluatie plaats van de gegevensverwerkingen en is de rechtmatigheid aangetoond.
PRIV_C.02.Toegang gegevensverwerking voor betrokkenenDe verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit tijdig en in een passende vorm, zodat de betrokkene zijn rechten kan uitoefenenAVG art. 12., tenzij er een specifieke uitzonderingsgrond geldt.
PRIV_C.03Meldplicht DatalekkenDe verwerkingsverantwoordelijke meldt een datalek binnen de daaraan gestelde termijn aan de AP, documenteert de inbreuk, en informeert de betrokkene, tenzij hiervoor een uitzondering geldt.

Normen uit de De Privacy Baseline binnen dit aspect

IDStellingNorm
PRIV_C.01.01.01De verantwoordelijke en - indien aangesteld - de Functionaris voor de Gegevensbescherming controleert of de gegevensverwerkingen voldoen aan de wettelijke verplichtingen. Hiertoe worden periodiek compliancy assessments uitgevoerd en de resultaten geregistreerd.Evaluatie, controle op het voldoen aan wettelijke verplichtingen
PRIV_C.01.01.02Als blijkt dat toch niet voldaan wordt aan de eisen van de AVG, dan rapporteert de verantwoordelijke over de te nemen maatregelen om de privacyschending te beëindigen. De evaluatierapportages worden beschikbaar gesteld aan het management.Evaluatie, rapportage bij niet voldoen
PRIV_C.01.01.03Er is een planning van activiteiten in het kader van het beoordelen van de compliancy.Evaluatie, planning en compliancy
PRIV_C.01.02.01Aangetoond is dat, conform Doelbinding gegevensverwerking, de persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet op een met die doeleinden onverenigbare wijze worden verwerkt (doelbindingHet principe dat iemand (persoon of organisatie) alleen informatie mag vragen, opslaan, gebruiken, delen ten behoeve van welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden.).Rechtmatigheid aangetoond, welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden
PRIV_C.01.02.02Aangetoond is dat, conform Doelbinding gegevensverwerking, de verwerking toereikend is, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (minimale gegevensverwerking).Rechtmatigheid aangetoond, toereikende verwerking
PRIV_C.01.02.03Aangetoond is dat, conform Doelbinding gegevensverwerking, de verwerking ten aanzien van de betrokkene rechtmatig is (rechtmatigheid).Rechtmatigheid aangetoond, rechtmatige verwerking
PRIV_C.01.02.04Bij het aantonen van de rechtmatigheid, Rechtmatigheid aangetoond, rechtmatige verwerking, wordt gebruik gemaakt van de overeenkomsten voor de doorgiften (conform Doorgifte persoonsgegevens).Rechtmatigheid aangetoond, gebruik van overeenkomsten voor doorgifte
PRIV_C.01.02.05Aangetoond is dat, conform Beveiligen van de verwerking van persoonsgegevens, passende technische en organisatorische maatregelen op een dusdanige manier worden verwerkt, dat een passende beveiliging ervan gewaarborgd is en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (integriteit en vertrouwelijkheidDe eigenschap dat informatie niet beschikbaar wordt gesteld of wordt ontsloten aan onbevoegde personen).Rechtmatigheid aangetoond, passende en gewaarborgde beveiliging
PRIV_C.01.02.06Aangetoond is dat, conform Kwaliteitsmanagement, de persoonsgegevens juist zijn en zo nodig worden geactualiseerd en waarbij alle redelijke maatregelen moeten zijn genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren (juistheid).Rechtmatigheid aangetoond, juiste en actuele gegevens
PRIV_C.01.02.07Aangetoond is dat, conform B.03 §2.1.3, de wijze van verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. ten aanzien van de betrokkene behoorlijk is (behoorlijkheid).Rechtmatigheid aangetoond, behoorlijke verwerking
PRIV_C.01.02.08Aangetoond is dat, conform U.05 §2.2.5 en C.02 en §2.3.2, de persoonsgegevens op een wijze worden verwerkt die voor de betrokkene transparant is (transparantieInzicht in de werkwijze die de overheid hanteert.).Rechtmatigheid aangetoond, transparante verwerking
PRIV_C.01.02.09De verwerkingsverantwoordelijke toont compliancy aan door middel van een dossier (al dan niet door een Functionaris voor de Gegevensbescherming bijgehouden)AVG art. 5 lid 2..Rechtmatigheid aangetoond, compliancy
PRIV_C.01.02.10Bij het aantonen van het compliant en het compleet zijn van het dossier wordt gebruik gemaakt van het register conform U.02 §2.2.2.Rechtmatigheid aangetoond, gebruik van gegevensregister
PRIV_C.02.01.01De betrokkene krijgt op verzoek uitsluitsel over het al dan niet verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. van hem betreffende persoonsgegevens.Informatie over de verwerking van persoonsgegevens aan betrokkene
PRIV_C.02.01.02De inzage over de verwerkte persoonsgegevens bevat de volgende informatieAVG art. 15.:
  1. de verwerkingsdoeleinden;
  2. de betrokken categorieën van persoonsgegevens;
  3. de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
  4. indien mogelijk: de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen of, als dat niet mogelijk is, de criteria om die termijn te bepalen;
  5. dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat zijn persoonsgegevens te rectificeren of te wissen of de verwerking van de hem betreffende persoonsgegevens te beperken, alsmede het recht tegen die verwerking bezwaar te maken;
  6. dat de betrokkene het recht heeft klacht in te dienen bij de AP;
  7. wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd;
  8. het bestaan van geautomatiseerde besluitvorming, met inbegrip van profilering, inclusief nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene;
  9. bij doorgifte aan een derde land of een internationale organisatie en op verzoek van betrokkene de informatie over van de passende waarborgen;
  10. op verzoek van betrokkene een kopie van de persoonsgegevens die worden verwerkt.
Informatie over de verwerking van persoonsgegevens, inhoudelijkheid
PRIV_C.02.01.03De inzage doet geen afbreuk aan de rechten en vrijheden van anderenAVG art. 14 lid 4..Informatie over de verwerking van persoonsgegevens, evt. afbreuk aan rechten cq. vrijheden van anderen
PRIV_C.02.02.01De informatie is onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek verstrektAVG art. 12 lid 3 en 4., tenzij:
  • de complexiteit van de verzoeken en van het aantal verzoeken verlenging nodig maakt, en:
  • de informatie binnen een termijn van nog eens twee maanden worden verstrekt, en:
  • de betrokkene binnen één maand na ontvangst van het verzoek in kennis wordt gesteld van een dergelijke verlenging.
Tijdige verstrekking op verzoek van betrokkene
PRIV_C.02.02.02Wanneer de verwerkingsverantwoordelijke geen gevolg geeft aan het verzoek van de betrokkene, dan:
  • is dit de betrokkene onverwijld en uiterlijk binnen één maand na ontvangst van het verzoek meegedeeld waarom het verzoek zonder gevolg is gebleven, en:
  • is de betrokkene geïnformeerd over de mogelijkheid om een klacht in te dienen bij een toezichthoudende autoriteit en beroep bij de rechter in te stellen.
  • Tijdig verstrekking bij geen gevolg op verzoek van betrokkene
    PRIV_C.02.03.01De communicatie vindt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is, plaats in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taalAVG art. 12 lid 1.. Hierbij kan gebruik gemaakt worden van gestandaardiseerde iconen om het overzicht te houdenAVG art. 12 lid 7..Passende vorm, begrijpelijke en toegankelijke wijze van communicatie
    PRIV_C.02.03.02De informatie is schriftelijk of met andere middelen en als dit passend is met inbegrip van elektronische middelen verstrekt.Passende vorm, gekozen van medium
    PRIV_C.02.03.03Op verzoek van de betrokkene is de informatie mondeling meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.Passende vorm bij mondelinge verstrekking
    PRIV_C.02.03.04Het verstrekken van de informatie en het verstrekken van de communicatie is kosteloos, tenzij de verzoeken van een betrokkene kennelijk ongegrond, of: buitensporig zijn, met name vanwege hun repetitieve karakter, en dit kan worden aangetoond, mag de verwerkingsverantwoordelijke, ofwel:
    1. een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan, ofwel:
    2. weigeren gevolg te geven aan het verzoek.
    Passende vorm, eventuele kosten
    PRIV_C.02.03.05De verantwoordelijke heeft gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd ter identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. van de betrokkene om hem zijn rechten te laten doen gelden. Deze gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd worden niet behouden, verkrijgen of verwerkt als er geen doeleinden, conform U.01 §2.2.1).zijn om nog persoonsgegevens van betrokkene te verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.AVG art. 11.Als identificatieHet bekend maken van de identiteit van personen, organisaties of IT-voorzieningen. niet mogelijk is wordt de betrokkene daarvan indien mogelijk in kennis gesteld.Passende vorm, gegevens ter identificatie
    PRIV_C.02.04.01De verantwoordelijke heeft geen informatie verstrekt als de verwerking berust op een wettelijke bepaling, waarbij een specifieke uitzondering geldtAVG art. 23..Specifieke uitzonderingsgrond
    PRIV_C.03.01.01Een datalek is, tenzij een uitzondering van toepassing is (zie /04.01) op basis van de Avg gemeld bij de AP.Meldt een datalek, aan AP
    PRIV_C.03.01.02De melding aan de AP bevat ten minsteAVG art. 33a lid 3.:
  • de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoons-gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevens¬registers in kwestie;
  • de naam en de contactgegevens van de Functionaris voor de Gegevens-bescherming of een ander contactpunt waar meer informatie kan worden verkregen;
  • de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
  • de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
  • Meldt een datalek, eisen aan de melding aan AP
    PRIV_C.03.01.03Een datalek is, tenzij een uitzonderingen van toepassing is (zie /04.02), gemeld aan de betrokkene.Meldt een datalek, melding aan betrokkene
    PRIV_C.03.01.04In de melding aan de betrokkene wordt van de aard van de inbreuk in verband met persoons¬gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd ten minste het volgende omschreven of meegedeeldAVG art. 33, lid 3b, 3c en 3d. :
  • de naam en de contactgegevens van de Functionaris voor de Gegevens-bescherming of een ander contactpunt waar meer informatie kan worden verkregen;
  • de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;
  • de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.
  • Meldt een datalek, eisen aan de melding aan betrokkene
    PRIV_C.03.01.05De melding aan de betrokkene is in duidelijke en eenvoudige taal.Meldt een datalek, in duidelijke en eenvoudige taal
    PRIV_C.03.02.01Een verwerker informeert de verwerkingsverantwoordelijke zonder onredelijke vertraging, zodra hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens.Termijn melden aan verwerkingsverantwoordelijke
    PRIV_C.03.02.02De melding aan de AP heeft plaatsgevonden zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat de verwerkingsverantwoordelijke er kennis van heeft genomen.Termijn melden aan AP
    PRIV_C.03.02.03Als de melding aan de AP niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging.Termijn, motivering bij vertraagd melden
    PRIV_C.03.02.04De melding aan de betrokkene gebeurt onverwijld.Termijn aan betrokkene
    PRIV_C.03.03.01De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.Documenteert de inbreuk, eisen aan de registratie
    PRIV_C.03.03.02De documentatie stelt de AP in staat de naleving te controleren.Documenteert de inbreuk, mogelijkheid tot controle
    PRIV_C.03.03.03De documentatie bevat de noodzakelijke gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd plus de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.Documenteert de inbreuk, noodzakelijke gegevens
    PRIV_C.03.03.04Het feit dat de kennisgeving is gedaan zonder onredelijke vertraging moet worden vastgesteld, met name rekening houdend met de aard en de ernst van de inbreuk in verband met persoonsgegevens en de gevolgen en negatieve effecten voor de betrokkene Overweging 87..Documenteert de inbreuk, m.b.t. kennisgeving
    PRIV_C.03.04.01De verantwoordelijke hoeft het datalek niet te melden aan de AP als:
    • het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, of:
    • wanneer melding afbreuk zou doen aan een zwaarwegend belang;
    • de verantwoordelijke een aanbieder is van openbare elektronische communicatiediensten zoals bedoeld in de TelecommunicatiewetAVG art. 95. ;
    • de organisatie een financiële onderneming is in de zin van de Wet op het financieel toezichtAVG art. 34..
    Uitzondering op melden van datalek aan AP
    PRIV_C.03.04.02De verantwoordelijke hoeft het datalek niet te melden aan de betrokkene als:
  • het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, en/of:
  • de verwerkingsverantwoordelijke passende technische en organisatorische beschermingsmaatregelen heeft genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling, en/of:
  • de verwerkingsverantwoordelijke achteraf maatregelen heeft genomen om ervoor te zorgen dat het bij het eerste streepje bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen, of:
  • de mededeling onevenredige inspanningen zou vergen; in dat geval komt in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd, of:
  • het een verwerking is die berust op een wettelijke bepaling waarbij een specifieke uitzondering geldtAVG art. 23., of:
  • de verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit plaatsvindt, die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteitAVG overweging 18..
  • Uitzondering op melden van datalek aan betrokkene