Norm PR.06 Gegevensbescherming door privacy by design en privacy by default
Waarom is dit nodig?
Bij de inkoop, de ontwikkeling of het ontwerp van producten, diensten of processen is het belangrijk om in een zo vroeg mogelijk stadium passende waarborgen in te bouwen om de privacy van betrokkenenDe personen van wie persoonsgegevens worden verwerkt. te beschermen. Dit wordt privacy by designAl vanaf de start van het ontwerp wordt privacy meegenomen in de ontwikkeling. Standaardproducten of -diensten staan zo ingesteld dat privacy wordt gewaarborgd. Alle opties om persoonsgegevens te delen staan standaard ‘uit’. genoemd. Hiermee zorg je ervoor dat je vanaf het begin de beginselen van de AVG naleeft en de rechten van betrokkenen beschermt. Ook voorkom je dat je achteraf aanpassingen moet doen. Daarnaast moeten de standaardinstellingen van een product, dienst of proces op de meest privacyvriendelijke instelling staan. Dit heet privacy by defaultStandaard producten of diensten zo instellen dat privacy wordt gewaarborgd. Alle opties om persoonsgegevens te delen staan standaard 'uit'.. Dit zorgt er bijvoorbeeld voor dat alleen persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres. worden verzameld die noodzakelijk zijn en dat ze niet langer worden bewaard dan nodig.
Volwassenheidsniveaus
We beschrijven hier 5 volwassenheidsniveaus. Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3.
1 Ad hoc
- Bij het ontwerpen, selecteren en gebruiken van toepassingen, diensten en producten wordt er nauwelijks of geen aandacht besteed aan de principes van privacy by design en privacy by default.
- Risicomanagement met betrekking tot privacy wordt sporadisch toegepast en stelt weinig tot geen eisen aan externe partijen.
2 Herhaalbaar
- Bij het ontwikkelen, implementeren en gebruiken van toepassingen, diensten en producten is er beperkte aandacht voor de implementatie van zowel privacy by design als privacy by default. De implementatie is gefragmenteerd en/of inconsistent.
- Wanneer externe partijen betrokken zijn, wordt er soms, in het kader van risicomanagement, naar hun privacy risicomanagement gevraagd. Maar dit gebeurt niet systematisch of conform de principes van privacy by design.
- Toepassingen, diensten en producten zijn soms zodanig geconfigureerd dat alleen de strikt noodzakelijke persoonsgegevens worden verwerkt. Echter, dit gebeurt niet altijd en een begeleidend beleid of documentatie ontbreekt.
3 Bepaald (streefniveau)
- In het kader van risicomanagement hanteert de organisatie gedocumenteerde eisen en beginselen voor privacy by design en privacy by default. Dit omvat de ontwikkeling, het ontwerp, de selectie, en het gebruik van toepassingen, diensten en producten.
- Voorafgaand aan de inkoop of de ontwikkeling van toepassingen, diensten en producten vindt systematisch een beoordeling plaats van de privacyrisico’s. Hierbij worden de benodigde maatregelen vastgesteld om de privacybeginselen van art. 5 lid 1 AVG na te leven.
- Bij samenwerking met externe partijen stelt de organisatie consequent eisen op het gebied van privacy by design.
- Privacy by default is consequent geïntegreerd als een standaard aspect van de configuratie voor toepassingen, diensten en producten waarin verwerking met een hoog risico plaatsvindt.
- Er zijn gedocumenteerde richtlijnen opgesteld die betrekking hebben op zowel de verwerking als de bescherming van gegevens, waarbij de principes van privacy by default centraal staan.
4 Beheerst
Aanvullend op niveau 3:
- Privacy by default is consequent geïntegreerd als een standaard aspect van de configuratie voor alle toepassingen, diensten en producten.
- De organisatie heeft zowel privacy by design als privacy by default specifiek ingebed in haar processen om privacyrisico’s effectief te verminderen en te beheersen. Dit beleid wordt organisatiebreed toegepast.
- De organisatie stelt strikte eisen aan externe partijen voor het toepassen van adequaat privacyrisicomanagement. Deze eisen worden periodiek gecontroleerd en, indien nodig, verbeterd.
- De privacyrisicobeoordeling is een integraal onderdeel van de ontwikkeling, het ontwerp, de selectie en het gebruik van toepassingen, diensten en producten. Hierbij worden alle toepassingen standaard geconfigureerd om alleen de strikt noodzakelijke persoonsgegevens te verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming..
- Er wordt consequent en periodiek gecontroleerd of de toepassingen, diensten en producten aan deze privacystandaarden voldoen. Afwijkingen van het beleid worden direct gecorrigeerd en/of gedocumenteerd volgens het principe “pas toe of leg uit”.
5 Continu verbeteren
Aanvullend op niveau 3 en 4:
- De organisatie past haar processen proactief aan bij nieuwe/gewijzigde risico’s. Deze aanpassingen kunnen voortkomen uit informatie verkregen door risicobeoordeling, gewijzigde inzichten naar aanleiding van de evaluatie van een datalekBij een datalek raken persoonsgegevens verloren of worden ze opgeslagen, aangepast, verzonden of op een andere manier verwerkt door iemand die daar geen recht toe heeft. Een datalek is een beveiligingsincident., wijzigingen in wet- en regelgeving, of andere relevante factoren. Bij deze updates worden de principes van zowel privacy by design als privacy by default consequent toegepast.
- Strikte eisen met betrekking tot privacyrisicomanagement, zowel voor privacy by design als privacy by default, zijn verankerd in de contractuele relaties van de organisatie.
- Het beleid voor privacy by default, in het bijzonder het minimaliseren van gegevensverwerking, wordt consequent toegepast in alle nieuwe en bestaande toepassingen, processen en systemen. Hierbij wordt proactief geanticipeerd op en gereageerd op veranderingen in het privacylandschap.
Aan de slag
Onderstaande maatregelen helpen je op weg naar volwassenheidsniveau 3. Let op: dit zijn voorbeelden van maatregelen. Het beveiligen van informatie en beschermen van privacy is maatwerk. Voor jouw school kunnen extra of andere maatregelen nodig zijn.
- Leg eisen vast voor het toepassen van privacy by design en privacy by default.
- Zorg voor een systematische beoordeling van privacyrisico’s voor de inkoop of de ontwikkeling van toepassingen, diensten en producten.
- Pas de eisen op het gebied van privacy by design en privacy by default toe bij samenwerking met externe partijen en bij inkoop van software van verwerkers (leveranciersAanbieders van ict- of leermiddelen.).
- Zorg ervoor dat bij toepassingen, software en producten waarin verwerking met een hoog risico plaatsvindt privacy by default consequent is geïntegreerd als een standaard aspect van de configuratie.
Hulpmiddelen
Gerelateerde wetten en normen
Norm PR.06 Gegevensbescherming door privacy by design en privacy by default is gerelateerd aan de Algemene Verordening Gegevensbescherming (AVG) en aan informatiebeveiligingsnormen.