Privacy en bescherming persoonsgegevens

Versie 1.0 van 1 februari 2019 van de BIO Thema-uitwerking Applicatieontwikkeling is vervangen door versie 2.0 van 22 februari 2021.
Voor de actuele versie van deze BIO Thema-uitwerking in pdf-formaat ga naar de website BIO-overheid/producten.

Verwante principes → BIO Thema-uitwerking Applicatieontwikkeling → Binnen dit normenkader èn beveiligingsaspect → Alle Normenkaders → Alle Beveiligingsprincipes → Alle Normen → Beveiligingsaspecten → ISOR

Definitie

Privacy is de persoonlijke vrijheid, het recht om alleen gelaten te worden. Bescherming persoonsgegevens is het proces van de bescherming van gegevens.

Toelichting

Bij applicatieontwikkeling behoort de verantwoordelijke stakeholder rekening te houden met privacy en de bescherming van persoonsgegevens in het kader van de AVG (Algemene Verordening Gegevensbescherming). Privacybescherming betekent een contextanalyse verrichten van de situatie waarin de desbetreffende applicatie ontwikkeld wordt. Hierbij wordt voorkomen dat eventuele inbreuk ontstaat op de persoonlijke levenssfeer van de personen waarvan persoonsgegevens worden verwerkt. Om inbreuk op de privacy vast te stellen, wordt voorafgaand aan het ontwerp van de applicatie een Privacy Impact Assessment (PIA) uitgevoerd voor waarschijnlijk hoog risicoverwerkingen. Deze verplichting komt voort uit de AVG.

Criterium

Bij het ontwikkelen van applicaties behoren privacy en bescherming van persoonsgegevens, voor zover van toepassing, te worden gewaarborgd volgens relevante wet- en regelgeving.

Doelstelling

Het reduceren van privacy-risico’s voor de betrokkene en het vermijden van schade die kan voortvloeien uit het niet nakomen van wet- en regelgeving die betrekking hebben op de bescherming van persoonsgegevens.

Risico

Betrokkenen van wie of over wie persoonsgegevens gaan, leiden schade door ongeoorloofde of onbedoelde toegang tot persoonsgegevens, ongewenst vernietigen, verliezen, wijzigen en verstrekken van persoonsgegevens.

Indeling binnen ISOR

Dit beveiligingsprincipe:

• is gericht op Beveiligingsaspect Beleid
  
• valt binnen de IFGS-indeling IFGS Intentie
  

ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methodiek ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is ISO 27002 2017 18.1.4

Onderliggende normen

ID	Conformiteitsindicator	Stelling
APO_B.06.01	Privacy en bescherming van persoonsgegevens	Om privacy en gegevensbeschermingsmaatregelen vooraf in het ontwerp mee te nemen, is een Privacy Impact Assessment (PIA) uitgevoerd.
APO_B.06.02	Privacy en bescherming van persoonsgegevens	Voor het uitvoeren van een Privacy Impact Assessment (PIA) en voor het opvolgen van de uitkomsten is een procesbeschrijving aanwezig.
APO_B.06.03	Privacy en bescherming van persoonsgegevens	Een tot standaard verheven Privacy Impact Assessment (PIA)-toetsmodel wordt toegepast. Dit model voldoet aan de in de Algemene Verordening Gegevensbescherming (AVG) gestelde eisen.
APO_B.06.04	Privacy en bescherming van persoonsgegevens	Privacy by design en de Privacy Impact Assessment (PIA) maken onderdeel uit van een tot standaard verheven risicomanagementaanpak.
APO_B.06.05	Privacy en bescherming van persoonsgegevens	De risicomanagementaanpak wordt aantoonbaar toegepast, bijvoorbeeld door in de vorm van een plan van aanpak aantoonbaar opvolging te geven aan de aanbevelingen/verbetervoorstellen.
APO_B.06.06	Wet- en regelgeving	Conform de Algemene Verordening Gegevensbescherming (AVG) worden bij het ontwerp/ontwikkelen van applicaties de principes privacy by design en privacy by default gehanteerd.