Register van verwerkingsactiviteiten

 

De BIO themadocumenten zijn levende documenten, die van tijd tot tijd een update krijgen. Wijzigingen die geïmplementeerd worden in Q4 2019: Het BIO Thema logische toegangsbeveiliging is opgevolgd door BIO Thema Toegangsbeveiliging. Dit kader is ruimer dan alleen logische toegangsbeveiliging. Een deel van de inhoud van het oude thema komt terug in het nieuwe, de resterende pagina's vervallen en worden niet meer bijgehouden. De Privacy Baseline krijgt een nieuwe versie.

Verwante principes → Privacy Uitvoering → de Privacy Baseline → Alle Normenkaders → Alle Privacyprincipes → Alle Normen → Beveiligingsaspecten → Invalshoeken → ISOR

Om de naleving van de Avg aan te kunnen tonen, dient de verwerkingsverantwoordelijke of de verwerker, een register bij te houden van verwerkingsactiviteiten die onder zijn verantwoordelijkheid hebben plaatsgevonden^{AVG overweging 82.}. Binnen een organisatie kan dit via gegevensmanagement worden vastgelegd. De vastlegging maakt duidelijk hoe de verschillende organisatieonderdelen de bedrijfsprocessen ondersteunen en welke beveiligingsmaatregelen (op hoofdlijnen) zijn getroffen voor de verwerkingen en betrokkenen. Het register maakt toezicht op de verwerkingsactiviteiten mogelijk.

Criterium

De verwerkingsverantwoordelijke en de verwerker hebben hun gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd over de gegevensverwerkingen in een register vastgelegd, daarbij biedt het register een actueel en samenhangend beeld van de gegevensverwerkingen, processen en technische systemen die betrokken zijn bij het verzamelen, verwerkeneen bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. en doorgeven van persoonsgegevens.

Doelstelling

Het doel van een 'Register van verwerkingsactiviteiten' is inzicht te verstrekken in de verwerkingen en de gegevensstromen binnen de organisatie en bij de partijen die namens de organisatie zorgen voor de verwerking van persoonsgegevens.

Risico

Het niet hebben van een overzicht van verwerkingen leidt tot een incompleet beeld van de verwerkte categorieën van persoonsgegevens en getroffen maatregelen voor de relevante verwerkingen, processen en technische systemen.

Indeling binnen ISOR

Dit privacyprincipe:

• is gericht op Beveiligingsaspect Uitvoering
  
• valt binnen de IFGS-indeling IFGS Gedrag
  ℹ️(Klik om uitleg open/dicht te klappen)

De ISOR-wiki bevat normenkaders waarin beveiligings- en privacyprincipes zijn beschreven. Deze themaprincipes zijn conform de SIVA-methode ingedeeld in drie aspecten:Beleid, Uitvoering of Control. Daarnaast zijn ze geordend in invalshoeken: Intentie, Functie, Gedrag, Structuur.

Grondslag

De grondslag voor dit principe is Algemene Verordening Gegevensbescherming (AVG), Uitvoeringswet AVG. , in het bijzonder van Avg Art. 30 en Uitvoeringswet Avg

Onderliggende normen

ID	Conformiteitsindicator	Stelling	Pagina
PRIV_U.02.01.01	register	Elke verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden, tenzij er een uitzonderingsgrond is (/01.06). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerkingsverantwoordelijke.	Register van verwerkingsverantwoordelijke
PRIV_U.02.01.02	register	Het register van de verwerkingsverantwoordelijke met de verwerkingsactiviteiten bevat alle volgende gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerdAVG art. 30 lid 1.: de naam en de contactgegevens van: de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en: in voorkomend geval: van de vertegenwoordiger van de verwerkingsverantwoordelijke, en: van de Functionaris voor de Gegevensbescherming; de verwerkingsdoeleinden; een beschrijving van de categorieën van betrokkenen; een beschrijving van de categorieën van persoonsgegevens; de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt; bij doorgiften aan een derde land of een internationale organisatie: de doorgifte van verstrekte persoonsgegevens de vermelding van dat derde land of die internationale organisatie de documenten inzake de passende waarborgen; de beoogde termijnen waarbinnen de verschillende categorieën van gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd moeten worden gewist (indien mogelijk); een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (indien mogelijk).	Register van verwerkingsverantwoordelijke, inhoud van het register
PRIV_U.02.01.03	register	De verwerker houdt een register van alle categorieën van verwerkingsactiviteiten die ten behoeve van de verwerkingsverantwoordelijke plaatsvinden, tenzij er een uitzonderingsgrond is (/01.06). In voorkomend geval gebeurt de registratie door een vertegenwoordiger van de verwerker.	Register van verwerker, categorieën van verwerkingsactiviteiten
PRIV_U.02.01.04	register	Het register van de verwerker met alle categorieën van verwerkingsactiviteiten bevat alle volgende gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerdAVG art. 30 lid 1.: 1) de naam en de contactgegevens van: a) de verwerkers b) iedere verwerkingsverantwoordelijke voor rekening waarvan de verwerker handelt. In voorkomend geval: i) de vertegenwoordiger van de verwerkingsverantwoordelijke, of: ii) de verwerker en van de Functionaris voor de Gegevensbescherming; 2) de categorieën van verwerkingen die voor rekening van iedere verwerkings-verantwoordelijke zijn uitgevoerd; 3) bij doorgiften aan een derde land of een internationale organisatie: a) de doorgifte van verstrekte persoonsgegevens b) de vermelding van dat derde land of die internationale organisatie c) de documenten inzake de passende waarborgen; 4) een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (indien mogelijk).	Register van verwerker, inhoud van het register
PRIV_U.02.01.05	register	Het register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld.	Register van verwerker, in schriftelijke elektronische vorm
PRIV_U.02.01.06	register	Het register hoeft niet te worden bijgehouden, indien: De onderneming of organisaties minder dan 250 personen in dienst heeft, het niet waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking incidenteel is, en: er geen verwerking plaatsvindt van bijzondere categorieën van gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd of persoons¬gegevensWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat. Het betreft hier alle vormen van gegevens, zowel data uit informatiesystemen als records en documenten, in alle vormen zoals gestructureerd als ongestructureerd in verband met strafrechtelijke veroordelingen en strafbare feiten.	Register van verwerker, niet bijgehouden als …
PRIV_U.02.02.01	actueel en samenhangend beeld	De registers van de verwerkingsverantwoordelijke en van de verwerker geven één samenhangend beeld.	Op verzoek van AP wordt middels de registers een actueel en samenhangend beeld
PRIV_U.02.02.02	actueel en samenhangend beeld	Op verzoek van de AP wordt middels de registers een actueel beeld gegevenWeergave van een feit, begrip of aanwijzing, geschikt voor overdracht, interpretatie of verwerking door een persoon of apparaat.	Registers van de verwerkingsverantwoordelijke en van de verwerker geven één actueel en samenhangend beeld
PRIV_U.02.02.03	actueel en samenhangend beeld	De onderlinge samenhang (gegevensstromen) en afhankelijkheden tussen: de bedrijfsprocessen; organisaties en organisatieonderdelen; de verwerkingen; de locaties waar persoonsgegevens opgeslagen; de gegevensuitwisselingen (binnen en buiten de eigen organisatie); de systemen zijn benoemd en beschreven.	Actueel en samenhangend beeld t.a.v. gegevensstromen
PRIV_U.02.02.04	actueel en samenhangend beeld	Bij wijzigingen in bestaande en nieuwe verwerkingen worden de resultaten vanuit de gegevensbeschermingseffectbeoordeling (GEB) meegenomen als onderdeel van de opname van de verwerking in het register.	Actueel en samenhangend beeld bij nieuwe en bij wijziging van bestaande verwerkingen