Borgingsproduct Toetsingskader AVG

Borgingsproduct AVG versie 3.0 Toetsingskader Hfd 1. 1.1

Titel Beleid Beleid vaststellen

1.1.1

De organisatie heeft beleid ten aanzien van het vaststellen, publiceren en archiveren van interne beleidsstukken en uitwerkingen daarvan, zoals procedures en standaarden.

1.1.2

Beleidsstukken die van toepassing zijn op de gehele organisatie hebben een centrale vindplaats.

typ Uitleg Beantwoording hfd par Beleidsstukken en uitwerkingen daarvan worden gestructureerd vastgesteld en bekendgemaakt. sub De organisatie behoort de kaders te stellen waarbinnen beleid Ja wordt gemaakt. Stel daarbij regels zodat beleidsdocumenten herkenbaar zijn, en dat er adequaat documentmanagement plaatsvindt. Daardoor kan er geen onduidelijkheid bestaan over de status van een document. sub Een centrale vindplaats zorgt ervoor dat medewerkers weten waar ze authentieke versies van beleidsstukken kunnen vinden. par Er is privacybeleid vastgesteld voor de gehele organisatie.

Toelichting antwoord

invul

Domein

Proces

AVG

BP v2

PCF Norea

binair

1.1.7

Leeg

Ja

binair

Leeg

Leeg

24 lid 2 Er is niet 1 beleidsstuk voor. Wel zijn er afspraken over archiveren, alles wordt opgeslagen in het zaaksysteem.

1.2

Privacybeleid

1.2.1

Het privacybeleid beschrijft hoe de organisatie uitvoering geeft sub aan de privacybeginselen die in art. 5 lid 1 AVG zijn vastgelegd.

Ja

binair

1.1.1

PP003; PP004; DMI02; ULI02

1.2.2

Het privacybeleid beschrijft hoe de organisatie uitvoering geeft sub aan de verplichtingen die op de organisatie rusten op grond van privacywetgeving en materiewetgeving bij de verwerking van persoonsgegevens.

Ja

binair

X

Leeg

PP003

1.2.3

Het privacybeleid beschrijft de rollen, taken en verantwoordelijkheden van de functionarissen die bij de uitvoering van het beleid zijn betrokken. Het privacybeleid is formeel vastgesteld door het verantwoordelijke bestuursorgaan. Het privacybeleid is bekendgemaakt binnen de gehele organisatie.

sub De organisatie kan ervoor kiezen om een gedetailleerde uitwerking hiervan vast te leggen in andere beleidsstukken.

Ja

binair

X

1.2.2

PP002

sub

Ja

binair

1.1.3

PP001

sub Het is aanbevelenswaardig om bij wijzigingen in het beleid hier Ja eveneens een communicatie aan te wijden.

binair

1.1.4

PP001

1.2.6

Het privacybeleid wordt periodiek, maar ten minste eenmaal per 36 maanden, herzien.

sub Bij een herziening is het niet altijd noodzakelijk om wijzigingen Nee door te voeren. Het is wel van belang dat de organisatie periodiek heroverweegt of het beleid nog aansluit bij interne en externe ontwikkelingen.

X

Leeg

PP001

1.2.7

Beleidsdocumenten over andere onderwerpen zijn in lijn met het privacybeleid.

sub Privacy kent overlap of aanknopingspunten met ander beleid In de meeste gevallen (< 95%) in de organisatie. Denk bijvoorbeeld aan het informatiebeveiligingsbeleid, archiefbeleid en personeelsbeleid. Dit beleid moet op elkaar aansluiten en waar nodig naar elkaar verwijzen.

X

1.1.6

Leeg

1.2.8

De organisatie heeft geïnventariseerd voor welke domeinen sub het noodzakelijk is om over domeinspecifieke uitwerkingen van het privacybeleid te beschikken om correcte omgang met persoonsgegevens binnen het desbetreffende domein te verzekeren.

In alle gevallen (≥ 95%)

schaal

X

1.1.5

Leeg

1.2.9

De organisatie heeft domeinspecifieke uitwerkingen van het privacybeleid vastgesteld voor de domeinen waarvoor dit noodzakelijk is. Verantwoordelijkheden

In de meeste gevallen (< 95%)

schaal

X

1.1.5

Leeg

1.2.4 1.2.5

1.3

sub

par Verantwoordelijkheden voor het realiseren van de doelstellingen van het privacybeleid zijn benoemd, belegd en vastgesteld. sub De lijnmanager kan voor wat betreft ondersteuning een beroep doen op een privacy officer, maar blijft zelf eindverantwoordelijk.

24 lid 2

In beleid is vastgelegd dat het management verantwoordelijk is voor het realiseren van de doelstellingen van het privacybeleid van de organisatie.

1.3.2

In beleid is vastgelegd dat het management advies inwint bij een privacy specialist alvorens aangevangen wordt met een nieuwe of verdere verwerking van persoonsgegevens.

1.3.3

Het lijnmanagement wint in de praktijk daadwerkelijk advies in sub van een privacy specialist alvorens aangevangen wordt met een nieuwe of verdere verwerking van persoonsgegevens.

1.3.4

In beleid is vastgelegd dat het management verantwoordelijk sub Aanbevolen wordt om een RASCI matrix te hanteren, en dit in Ja is om keuzes te maken op het gebied van privacyrisico's, zoals het privacybeleid vast te leggen. het treffen van mitigerende maatregelen en het accepteren van restrisico's.

1.3.5

In beleid is vastgelegd dat het management bij het uitvoeren van privacyrisicomanagement wordt ondersteund door een deskundige op dat gebied. Het management beschikt over voldoende (financiële) middelen om het privacybeleid adequaat uit te voeren.

sub

In alle gevallen (≥ 95%)

sub

In ongeveer de helft van de gevallen (≤ 65%)

Processen Werkprocessen

hfd par De organisatie heeft de werkprocessen waarin persoonsgegevens worden verwerkt in beeld en beschreven.

1.3.6

2. 2.1

Ga na of dit er ook is voor DigiD.

38

1.3.1

sub

Voor het herzien van het binair informatieveiligheidsbeleid wordt een termijn van 4 jaar gehanteerd. Bij grote wijzigingen wordt dit gedurende de looptijd aangepast. Ga na of dit voor NIS2 nodig is. Bekijk of het personeelsbeleid schaal in overeenstemming is met het informatieveiligheidsbeleid.

Ja

binair

1.2.1

PP002

Ja

binair

Leeg

TPD01

Zorg ervoor dat nieuwe en verdere verwerkingen via de privacy coordinator lopen. Denk bijvoorbeeld aan camera's die worden ingezet.

schaal

Leeg

TPD01

Neem de acceptatie van de restrisico's op in een actualisatie van het beleid.

binair

1.2.5

RMA04

schaal

Leeg

RRE04

Leeg

SCO04

In ongeveer de helft van de gevallen (≤ 65%)

Daadwerkelijke uitvoering van schaal DPIA's lukt niet. Nieuwe ontwikkelingen oppakken lukt niet binnen de beschikbare uren.

X

24 lid 1

2.1.1

Werkprocessen waarbinnen persoonsgegevens worden verwerkt zijn eenduidig beschreven en vastgesteld.

sub Het gaat hier om de processen van de organisatie die een In enkele gevallen (≤ 35%) bepaalde nuttige uitkomst hebben voor klanten van de organisatie of de organisatie zelf. Zoals een proces van vergunningverlening, of een proces van indiensttreding. Dergelijke processen kunnen meerdere verwerkingen van gegevens omvatten. Het inzichtelijk hebben van werkprocessen en de IT systemen die daar ondersteunend aan zijn vormt een belangrijk aanknopingspunt om gegevensverwerkingen te identificeren en te beheersen. Eén proces kan meerdere gegevensverwerkingen omvatten.

2.1.2

Alle werkprocessen hebben een proceseigenaar (de manager die verantwoordelijk is voor het proces). De organisatie heeft een totaaloverzicht van werkprocessen waarbinnen persoonsgegevens worden verwerkt.

sub

2.1.4

De organisatie heeft inzichtelijk welke werkprocessen geheel of gedeeltelijk handmatig worden uitgevoerd.

sub Denk hierbij bijvoorbeeld aan processen waarbij handmatige invoer van data plaatsvindt, zoals meldingen die telefonisch worden aangenomen door het KCC.

In enkele gevallen (≤ 35%)

2.1.5

Geheel of gedeeltelijk handmatig uitgevoerde processen worden ondersteund door werkinstructies, waarin is vastgelegd wat wordt verwacht van de medewerker met het oog op de privacy van de betrokkene.

sub

In ongeveer de helft van de gevallen (≤ 65%)

2.1.6

Werkinstructies zijn eenvoudig toegankelijk voor medewerkers. De organisatie evalueert periodiek of de beschrijvingen van werkprocessen aansluiten bij de praktijk.

sub

In enkele gevallen (≤ 35%)

schaal

sub Wanneer de procesbeschrijvingen niet actueel zijn, kan de organisatie niet aantonen dat de verwerkingen van persoonsgegevens in overeenstemming met de AVG worden uitgevoerd (art. 24 lid 1 AVG). par De organisatie houdt een verwerkingsregister bij dat voldoet aan de bij wet gestelde eisen en houdt deze continu actueel.

In geen enkel geval (≤ 5%)

schaal

sub Het is aanbevelenswaardig om de verwerkingen op afdelingsniveau inzichtelijk te maken. Naast de wettelijk voorgeschreven velden is het aanbevelenswaardig om het verwerkingsregister als tool te gebruiken om additionele registraties bij te houden. Zoals of een DPIA moet worden uitgevoerd, en zo ja, of en wanneer deze is uitgevoerd. sub

Ja

binair

Ja

binair

X

schaal

X

2.1.3

2.1.7

Ga door met het beschrijven schaal en vastleggen van vastgestelde processen in Pepperflow.

X

2.1.1; 2.1.2

PDI01

Ja

binair

X

X

Leeg

PDI01

sub Zowel processen die noodzakelijk zijn voor de dienstverlening Ja van de organisatie als ondersteunende processen (bijv. HR processen) behoren inzichtelijk te zijn.

binair

X

X

2.1.3

PDI01

Zorg dat (werk)processen in 1 schaal overzicht beschikbaar zijn, met de bijbehorende onderverdeling. Mogelijk ook met het oog op het algoritmeregister. schaal

X

X

Leeg

PDI01

X

X

2.2.1

STR01; LOG01

X

X

2.2.2

Leeg

X

X

2.1.4

PDI01

2.3.1

PDI02; PDI03; PDI04

X

2.3.1

RRE01

X

2.3.8

PDI04; PIA05

2.3.3

Leeg

2.3.7

PP005; PDI03; LRC01; CFR03; DMI01; URE03; ACD01; ACD02

2.3.4

RRE05

2.3.5

RRE05

2.3.6

Leeg

Leeg

Leeg

2.3.10

Leeg

2.4.1; 2.4.3

RMA03; LRC01; PBD01

2.2

Verwerkingsregister

2.2.1

Alle bij wet voorgeschreven onderdelen zijn in het verwerkingsregister aanwezig (art. 30 lid 1 en lid 2 AVG).

2.2.2

In het verwerkingsregister is voor iedere verwerking vastgelegd of de organisatie verwerkingsverantwoordelijke, verwerker of gezamenlijk verwerkingsverantwoordelijke is.

2.2.3

De organisatie heeft alle verwerkingen van persoonsgegevens sub Als er nog velden zijn met ontbrekende data, dan is de correct vastgelegd in het register en het register is up-to-date. verwerking niet correct vastgelegd in het register.

In de meeste gevallen (< 95%)

2.2.4

Het register kan desgevraagd aan de AP worden overhandigd. sub Het register is in een vorm opgesteld die het mogelijk maakt het register gemakkelijk te delen met de autoriteiten.

Ja

binair

2.2.5

De organisatie heeft voor iedere verwerking vastgesteld dat sub deze plaatsvindt in overeenstemming met de privacybeginselen. Bij wijziging van een verwerking wordt deze beoordeling opnieuw uitgevoerd.

In de meeste gevallen (< 95%)

schaal

2.2.6

Er is vastgelegd welke functionaris eindverantwoordelijk is voor het proces dat de volledigheid en accuraatheid van het verwerkingsregister waarborgt.

2.2.7

Voor iedere verwerking is een eigenaar vastgesteld.

2.2.8

In een procedure is vastgelegd waar nieuwe en gewijzigde verwerkingen moeten worden gemeld teneinde deze op te nemen in het verwerkingsregister.

2.2.9

X

De privacybeginselen zijn vastgelegd in art. 5 lid 1 AVG. Samengevat gaat het om rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking en beveiliging.

30

sub Aanbevolen wordt om bijv. een PO verantwoordelijk te maken Ja voor deze taak, en de taken van de FG te beperken tot controles op het register en het proces om het register actueel te houden. sub In de regel zal de eigenaar van een operationeel proces In alle gevallen (≥ 95%) eveneens eigenaar zijn van de individuele verwerkingen die binnen dat proces plaatsvinden. sub Nee

In een procedure is vastgesteld met welke interval een sub Nee beoordeling wordt uitgevoerd of het verwerkingsregister nog volledig en actueel is en welke functionaris hiervoor verantwoordelijk is. 2.2.10 De organisatie beoordeelt periodiek of het verwerkingsregister sub In alle gevallen (≥ 95%) actueel en volledig is. 2.3 Pre-DPIA's par De organisatie identificeert systematisch of verwerkingen een hoog risico in kunnen houden voor de rechten en vrijheden van betrokkenen 2.3.1 De organisatie heeft een procedure om voor alle nieuwe en sub Ja gewijzigde verwerkingen te bepalen of deze mogelijkerwijs een hoog risico inhouden voor de rechten en vrijheden van betrokkenen. 2.3.2 De organisatie heeft voor alle verwerkingen bepaald of deze sub Aanbevolen wordt om dit als additioneel veld op te nemen in In enkele gevallen (≤ 35%) een hoog risico kunnen opleveren. het verwerkingsregister. 2.3.3 De analyse die ten grondslag ligt aan het besluit of een sub In alle gevallen (≥ 95%) verwerking al dan niet een hoog risico kan opleveren is gedocumenteerd. 2.4 DPIA's par Indien een verwerking is geïdentificeerd die een hoog risico kan opleveren, wordt een DPIA uitgevoerd die aan de eisen van de AVG voldoet. De organisatie beheert de uitkomsten van DPIA's systematisch.

Het register wordt 1x per jaar geactualiseerd. Leidinggevenden zijn zelf verantwoordelijk voor het actueel houden van het register.

X

X

binair

schaal

X

X

Er is wel een afspraak met het binair MT dat alle nieuwe verwerkingen moeten worden gemeld bij het architectuurteam. Zorg ook voor een procedure. Neem de interval waarop het binair register wordt gecontroleerd op in de procedure. schaal 35

binair

schaal

X

X

2.4.4

PIA01

schaal

X

X

2.4.4

RMA03

35

2.4.1

Er is een procedure vastgesteld voor het uitvoeren van DPIA's sub op nieuwe en sterk gewijzigde verwerkingen die mogelijkerwijs een hoog privacyrisico inhouden.

Nee

2.4.2

Het rapport voor een DPIA is gestandaardiseerd en voldoet aan de wettelijke vereisten. De organisatie heeft voor alle geïdentificeerde hoog-risico verwerkingen een DPIA uitgevoerd.

sub

Ja

sub

In de meeste gevallen (< 95%)

Identificeer alle hoog risico verwerkingen en leg dit vast.

schaal

Er is een procedure vastgesteld voor het opvolgen sub (behandelen of accepteren) van risico's die in een DPIA zijn geïdentificeerd. De organisatie beheert in DPIA's geïdentificeerde risico's en te sub implementeren maatregelen op een centrale plaats.

Nee

Stel de procedure (pre-)DPIA vast.

binair

In alle gevallen (≥ 95%)

schaal

2.4.6

De procedure voor DPIA's schrijft voor dat de FG bij het uitvoeren van een DPIA ten minste wordt geconsulteerd en dat het advies van de FG schriftelijk wordt vastgelegd.

Ja

binair

2.4.7

Voor alle uitgevoerde DPIA's is een schriftelijk advies van de FG sub vastgelegd. De procedure voor DPIA's schrijft voor dat wanneer wordt sub afgeweken van het advies van de FG dit schriftelijk wordt vastgelegd, en stelt eveneens vast welke functionaris beslissingsbevoegd is ten aanzien van dit besluit.

In de meeste gevallen (< 95%) Nee

Neem in de procedure op wie binair beslissingsbevoegd is bij afwijken van het advies van de FG.

De organisatie controleert periodiek of naar aanleiding van een sub DPIA te implementeren maatregelen daadwerkelijk worden geïmplementeerd en het beoogd effect bereiken.

In enkele gevallen (≤ 35%)

In het beleid is vastgesteld dat schaal de teamleider/manager verantwoordelijk is. Zorg dat dit ook daadwerkelijk wordt uitgevoerd.

In geen enkel geval (≤ 5%)

schaal

2.4.3

2.4.4

2.4.5

2.4.8

2.4.9

2.4.10 De organisatie controleert periodiek of er een actuele DPIA beschikbaar is voor alle verwerkingen met een hoog privacyrisico. 2.5 Bewaar- en vernietigingsbeleid 2.5.1

2.5.2

2.5.3

sub

sub

par Persoonsgegevens worden tijdig verwijderd of geanonimiseerd. Er is beleid vastgesteld voor het verwijderen en anonimiseren sub Het borgingsproduct hanteert verwijderen als synoniem voor van gegevens ('bewaarbeleid'). vernietigen. Wanneer de organisatie hiervan afwijkt, dient dit in de systematiek die in het beleid wordt beschreven voor vernietigen van persoonsgegevens terug te komen.

Leeg

PIA01

X

2.4.14; 2.4.15; 7.2.2 Leeg

RMA05; PIA06

X

2.4.6; 3.1.8

RRE04; PIA04

X

X

X

X

PIA06

Leeg

Leeg

2.4.7; 2.4.9

RRE05

2.4.14

PIA06

2.4.17; 7.2.1

Leeg

DRE01; DDA01

schaal

X

X

2.5.5

DRE01; DRE02; DDA01; DDA02

schaal

X

X

2.5.7

DRE01; DDA01; ENC03

In ongeveer de helft van de gevallen (≤ 65%)

schaal

X

X

2.5.1

DRE02

In alle gevallen (≥ 95%)

schaal

X

X

2.5.2

DRE02

schaal

X

X

2.5.3

DRE02

2.5.6

Indien er ook geen wettelijke bewaartermijn van toepassing is sub In alle gevallen (≥ 95%) worden de persoonsgegevens verwijderd of geanonimiseerd wanneer ze niet meer nodig zijn voor het doel waarvoor ze verzameld zijn. Waar mogelijk wordt het verwijderen of anonimiseren van sub In de meeste gevallen (< 95%) persoonsgegevens geautomatiseerd uitgevoerd. De organisatie controleert periodiek of applicaties sub Niet altijd werkt een applicatie naar behoren (bijv. als gevolg Nee daadwerkelijk verwijderen of anonimiseren conform het van een bug geïntroduceerd bij een update). Daarom is het bewaarbeleid. van belang om te checken of verwijdering plaatsvindt conform de voorschriften. hfd par Er is – naast de FG - ruime kennis en ervaring aanwezig over privacywetgeving.

PIA02; PIA04

X

2.5.4

Indien er geen termijn uit de Selectielijst 2020 van toepassing sub is worden de persoonsgegevens verwijderd of geanonimiseerd na het verstrijken van de wettelijke bewaartermijn.

Organisatorische inbedding Privacyteam

schaal

2.4.8 X

X

2.5.5

3. 3.1

binair

RMA01

X

Persoonsgegevens worden verwijderd of geanonimiseerd in overeenstemming met de Selectielijst 2020.

2.5.8

2.4.2

Stel voor het anonimiseren binair beleid op. Vernietigingsbeleid is vastgesteld. Als wordt afgeweken van landelijke regels dan is dit formeel geregeld. Voor anonimiseren is geen beleid. Dit geldt voor Join en bij vakapplicaties is vaak een koppeling met Join. De vakapplicatie wordt via de vernietingingslijst die vanuit Join wordt gegenereerd door de functioneel beheerder. 365 daarbij is de werkafspraak dat dit een 'werkomgeving' is, geen archiefwaardige omgeving.

2.5.4

2.5.7

binair

5 lid 1 sub c Ja

Waar noodzakelijk zijn specifieke procedures vastgesteld voor sub De procedures zijn de toepassing van het beleid in een In de meeste gevallen (< 95%) het verwijderen van gegevens, waarin is vastgesteld wat de specifiek geval. Procedures hebben betrekking op een of meer toepasselijke bewaartermijn is en op welke wijze verwijdering concrete verwerkingen en stellen voor die verwerking plaats dient te vinden. eenduidig vast wat de bewaartermijn is of hoe deze kan worden bepaald. Het bewaarbeleid is ook van toepassing op logging en backsub In ongeveer de helft van de ups, voor zover deze persoonsgegevens bevatten. gevallen (≤ 65%)

sub De selectielijst is van toepassing op papieren en digitale gegevens. Papieren documenten zijn onderhevig aan de AVG als ze opgenomen zijn (of bestemd zijn om opgenomen te worden in) in een bestand.

Zorg dat de procedure die nu in de maak is ook daadwerkelijk wordt vastgesteld.

Logging zit overal in, ook in vakapplicaties en in Join. Alle acties in Join worden gelogd. Hoe dit exact zit met andere applicaties is onbekend. Stel logging beleid vast. Op basis van de archiefwet is er geen bewaartermijn gegeven voor logging.

schaal

X

X

Leeg

DDA01

Richt voor het zaaksysteem en binair de vakapplicaties een controle in of er daadwerkelijk verwijderd is.

X

X

2.5.6

DDA01

3.1.1

Er is voldoende capaciteit van een of meer privacy specialisten sub beschikbaar om het management te ondersteunen bij het realiseren van de doelstellingen van het privacybeleid.

In ongeveer de helft van de gevallen (≤ 65%)

schaal

3.1.2

Ja

binair

3.2

Er is een functionaris verantwoordelijk voor het tijdig inschatten van de gevolgen voor de organisatie van ontwikkelingen op het gebied van privacywetgeving en jurisprudentie. Aanstelling, positie en taken FG

3.2.1

De organisatie heeft een FG aangesteld.

sub Voor gemeenten geldt dat de burgmeester, B&W en de raad allen een FG dienen aan te wijzen.

Ja

3.2.2

De FG is zodanig gepositioneerd in de organisatie dat hij als onafhankelijk toezichthouder kan functioneren. De FG is op basis van zijn aanstellingsbesluit verantwoordelijk voor het toezien op de naleving van de AVG en het rapporteren daarover aan het bestuursorgaan.

sub

Ja

sub

Ja

3.2.4

De FG heeft op basis van zijn aanstellingsbesluit de bevoegdheid om verwerkingsactiviteiten te controleren.

sub Dit kan bijvoorbeeld in het functieprofiel of in het aanstellingsbesluit worden vastgelegd.

3.2.5

3.2.6

3.2.3

3.2.7 3.2.8

3.2.9

3.2.1

RRE04; SCO04

2.7.3; 2.7.4

LRC01

binair

Leeg

Leeg

binair

Leeg

Leeg

binair

Leeg

RRE04

Ja

binair

3.1.5

Leeg

De FG heeft geen taken of verplichtingen die kunnen leiden tot sub een belangenconflict bij de uitvoering van zijn taken als FG.

Ja

binair

Leeg

Leeg

De FG ontvangt geen instructies met betrekking tot de uitvoering van zijn taken. De FG heeft voldoende middelen om zijn deskundigheid op peil te houden De FG heeft voldoende tijd en middelen ter beschikking voor het uitoefenen van zijn taken.

sub

Ja

binair

3.1.1

Leeg

sub

In alle gevallen (≥ 95%)

schaal

3.1.2

SCO01

sub

In de meeste gevallen (< 95%)

schaal

Leeg

SCO04

sub

Ja

De FG voldoet aan de functievereisten uit art. 37 lid 5 AVG.

3.2.10 De contactgegevens van de FG zijn makkelijk vindbaar voor betrokkenen. 3.2.11 De FG wordt betrokken bij opleiding en bewustwordingsprogramma's voor personeel op het gebied van privacy. 3.3 Informeren OR

3.3.1

3.3.2 3.4

De OR wordt om instemming gevraagd als het gaat om een regeling die impact heeft op de bescherming van persoonsgegevens van medewerkers. De OR wordt actief geïnformeerd over privacy en gegevensbescherming voor wat betreft het personeel. Bewustwording

sub

par De organisatie heeft een FG aangesteld en zodanig gepositioneerd dat deze effectief toezicht kan houden.

37; 38; 39 Stel ook voor raad en burgemeester een FG aan.

Als FG is er 170 uur beschikbaar. Nieuwe ontwikkelingen (AI) en Wpg kunnen onvoldoende worden opgepakt.

sub Zowel interne als externe betrokkenen behoren contract op te Ja kunnen nemen met de FG. sub In enkele gevallen (≤ 35%)

binair

Leeg

Leeg

binair

3.1.6; 4.1.1 Leeg

Leeg

schaal

X

Leeg

par De Ondernemingsraad (OR) wordt geïnformeerd en betrokken wanneer het gaat om de bescherming van persoonsgegevens van medewerkers. sub In de meeste gevallen (< 95%)

schaal

3.3.1

Leeg

sub

schaal

3.3.2

Leeg

In de meeste gevallen (< 95%)

par Er zijn voldoende middelen beschikbaar om privacybescherming te bevorderen in kennis, houding en gedrag van medewerkers in de organisatie.

3.4.1

In contracten met medewerkers en contractanten, die in aanraking komen met persoonsgegevens, wordt ten minste het volgende vastgelegd: - De verantwoordelijkheden met betrekking tot het beschermen en geheimhouden van persoonsgegevens; - De verplichting om persoonsgegevens uitsluitend te verwerken conform de opdrachten en instructies van de verwerkingsverantwoordelijke.

3.4.2

In een procedure is vastgelegd dat medewerkers en sub Hiervoor kan bijvoorbeeld een verplichte training worden contractanten bij indiensttreding bewust worden gemaakt van gehanteerd. hun verantwoordelijkheden met betrekking tot het beschermen en geheimhouden van persoonsgegevens.

3.4.3

Alle medewerkers en contractanten hebben aantoonbaar een sub bewustwordingstraining gevolg die passend is voor hun functie. Er is een programma om medewerkers doorlopend bewust te sub Het bewustwordingsprogramma kan ook andere namen maken van de risico’s en randvoorwaarden bij de omgang met hebben (bijv. een communicatieplan). persoonsgegevens (bewustwordingsprogramma).

3.4.4

X

sub

3.4.5

Periodiek wordt het bewustwordingsprogramma getoetst op effectiviteit en waar nodig bijgesteld.

sub

4. 4.1

Rechten van de betrokkene Recht op informatie

4.1.1

De organisatie heeft op de website een privacyverklaring gepubliceerd waarin uitleg wordt gegeven over: - De identiteit van de verwerkingsverantwoordelijke; - Contactgegevens van de FG; - Verwerkingsdoeleinden en rechtsgrond; - De betrokken categorieën van persoonsgegevens; - Eventuele ontvangers van persoonsgegevens; - Informatie over doorgifte naar landen buiten de EER; - Bewaartermijn; - Rechten van de betrokkene; - Mogelijkheid om klacht in te dienen bij AP; - Het bestaan van geautomatiseerde besluitvorming.

hfd par De organisatie voldoet aan het recht op informatie van de betrokkene. sub Aanbevolen wordt om de privacyverklaring te ondersteunen met een verwijzing naar een online gepubliceerd verwerkingsregister. Zorg er bij het publiceren van het verwerkingsregister voor dat: - namen van eigenaren van verwerkingen zijn verwijderd; - er niet op andere wijze gevoelige of aan personen te relateren informatie wordt gepubliceerd; - er geen gevoelige informatie over informatiebeveiliging van de organisatie wordt prijsgegeven. Het publiceren van het register is niet verplicht.

4.1.2

De privacyverklaring is in eenvoudige en duidelijke taal opgeschreven.

sub De informatie moet beknopt, transparant en begrijpelijk zijn. Vermijd jargon zoveel mogelijk.

In ongeveer de helft van de gevallen (≤ 65%)

Voor medewerkers is geregeld schaal dat zij zich aan voorwaarden moeten houden. Hierbij is niet expliciet beschreven dat persoonsgegevens alleen worden verwerkt overeenkomst gegeven opdracht en instructie. Dit kan worden aangevuld.

X

Leeg

Leeg

Ja

Bekijk of dit ook kan worden vastgelegd in een procedure.

X

3.4.1

SAT01

binair

In alle gevallen (≥ 95%)

schaal

X

Leeg

SCO03; RRE05; SAT02; SCO02

Ja

binair

X

3.4.2

SAT01; SAT02; SAT03

Leeg

SAT03

In alle gevallen (≥ 95%)

Hier is geen tool voor beschikbaar. Bedenk hoe effectiviteit meetbaar is.

schaal

Ja

Vul de privacyverklaring aan met de informatie dat er niet wordt gewerkt met geautomatiseerde besluitvorming. Bekijk of gehoor kan worden gegeven aan de aanbeveling om het privacyregister te publiceren.

binair

X

X

4.4.1; 7.3.1; 7.3.2; 7.3.3

PST01; DRE01

binair

X

X

4.4.1

PST02

13; 14

Ja

4.1.3

4.1.4

4.1.5

4.2

Wanneer persoonsgegevens bij de betrokkene worden verzameld (bijv. via een applicatie of aanvraagformulier), wordt uitleg gegeven over: - De identiteit van de verwerkingsverantwoordelijke; - Contactgegevens van de FG; - Verwerkingsdoeleinden en rechtsgrond; - Eventuele ontvangers van persoonsgegevens; - Informatie over doorgifte naar landen buiten de EER; - Bewaartermijn; - Rechten van de betrokkene; - Mogelijkheid om klacht in te dienen bij AP; - Het bestaan van geautomatiseerde besluitvorming; - Gevolgen als gegevens niet worden verstrekt. De organisatie verstrekt aan de betrokkene alle verplichte informatie wanneer de organisatie voornemens is om persoonsgegevens verder te verwerken voor een ander doel dan waarvoor deze zijn verkregen.

sub Deze informatie is complementair aan de algemene In enkele gevallen (≤ 35%) privacyverklaring en wordt bijvoorbeeld verstrekt wanneer een burger een online melding doet.

Neem op de website bij het schaal invullen van digitale formulier/applicatie op 'lees voor het invullen van het formulier eerst onze privacyverklaring'. Met een link naar de pagina met de privacyverklaring.

X

X

4.3.2; 4.6.1

CFR01; PST01

sub

In enkele gevallen (≤ 35%)

Binnen het sociaal domein wordt dit gedaan.

schaal

X

X

4.3.2

ULI01

De organisatie evalueert periodiek of betrokkenen tijdig en volledig de verplichte informatie ontvangen en waar nodig wordt dit bijgesteld. Processen rechten van betrokkenen

sub

In geen enkel geval (≤ 5%)

schaal

X

X

4.3.2

Leeg

4.2.1

In de interne processen voor de afhandeling van verzoeken van betrokkenen is ten minste het volgende opgenomen: - Op welke wijze verzoeken kunnen worden ingediend; - Op welke wijze de identiteit van verzoeker wordt vastgesteld; - Wie verantwoordelijk is voor de afhandeling; - De toepasselijke termijnen; - De criteria voor het toewijzen en afwijzen van een verzoek; - Het informeren van ontvangers over een verzoek.

4.2.2

De organisatie heeft bekendgemaakt op welke wijze en in welke gevallen een betrokkene een verzoek kan indienen tot uitoefening van zijn recht op: - Inzage; - Rectificatie; - Wissing; - Beperking; - Overdraagbaarheid; - Bezwaar. Verzoeken kunnen zowel schriftelijk als digitaal worden ingediend. Betrokkenen krijgen een ontvangstbevestiging van hun verzoek en worden op de hoogte gehouden van de status van de behandeling van het verzoek . Medewerkers die communicatie van klanten behandelen herkennen een AVG-verzoek en weten naar wie zij deze voor verdere behandeling moeten doorsturen.

4.2.3 4.2.4

4.2.5

par De organisatie heeft processen ingericht om uitvoering te geven aan de rechten van de betrokkene wanneer de betrokkene een verzoek indient. sub

16; 17; 18; 19; 21 Ja

binair

X

4.1.4; 4.1.9; 4.1.10; 5.1.7

DAR01; DAR03; DAR04; DCR01; DCR03; DCR04; DDR01; DDR02; DDR04; URE02

sub De rechten van betrokkenen zijn niet in alle gevallen van toepassing. De maatregel schrijft daarom voor dat bekend wordt gemaakt 'in welke gevallen' een bepaald recht van toepassing is.

Ja

binair

X

4.1.3

PST01

sub

Ja

binair

4.1.2

Leeg

sub

Ja

binair

X

4.1.5; 4.1.8

Leeg

sub

In de meeste gevallen (< 95%)

schaal

X

4.1.6

Leeg

4.2.6

Een beslissing op een AVG-verzoek - een (gedeeltelijke) toe- of sub afwijzing - geldt als een besluit in de zin van de Algemene wet bestuursrecht (Awb). De organisatie stuurt een bezwaarclausule onder de beslissing mee.

Ja

binair

X

4.1.7

Leeg

4.2.7

Er is een procesverantwoordelijke voor de afhandeling van verzoeken. Verzoeken van betrokkenen tot uitoefening van hun rechten worden binnen de wettelijke termijnen afgehandeld.

sub

Ja

binair

X

Leeg

Leeg

sub

In alle gevallen (≥ 95%)

schaal

X

Leeg

URE02; DAR03; DCR01; DDR01

4.2.9

Wanneer een termijn voor het reageren op een verzoek van sub een betrokkene niet wordt gehaald, wordt dit gesignaleerd, en naderhand geanalyseerd. Op basis van de analyse worden maatregelen getroffen om dit in de toekomst te voorkomen.

In alle gevallen (≥ 95%)

schaal

4.1.13

DAR03

4.3

Toestemming

par De organisatie voldoet aan de wettelijke vereisten wanneer een verwerking is gebaseerd op toestemming.

4.3.1

De organisatie heeft vastgesteld welke verwerkingen op toestemming zijn gebaseerd. Bij verwerkingen die zijn gebaseerd op toestemming wordt toestemming gevraagd in begrijpelijke en duidelijke vorm. De betrokkene stemt door middel van een duidelijke actieve handeling in met het gebruik van zijn gegevens.

sub Dit behoort centraal te worden gedocumenteerd in het verwerkingsregister. sub Zorg dat de organisatie bij het vragen van toestemming voldoet aan de informatieplicht.

4.2.8

4.3.2

6 lid 1 sub a; 7; 9 lid 2 sub a Ja

binair

X

X

Leeg

CFR02

Niet van toepassing

schaal

X

X

4.1.11

CFR02; CFR03

4.3.3

Wanneer een betrokkene toestemming heeft gegeven, wordt sub dit gedocumenteerd, onder vermelding van datum, tijd en identiteit van de betrokkene.

Niet van toepassing

schaal

X

X

Leeg

CFR02

4.3.4

De betrokkene krijgt de gelegenheid om te allen tijde zijn toestemming in te trekken en wordt daarbij geïnformeerd over welke gevolgen dat heeft. Geautomatiseerde individuele besluitvorming

sub

Niet van toepassing

Mocht dit gebeuren dan kun je schaal je altijd uitschrijven. Bijv bij een nieuwsbrief.

X

X

Leeg

CFR02; CFR03; CFR04

4.4.1

In een register wordt bijgehouden in welke informatiesystemen geautomatiseerde individuele besluitvorming wordt toegepast.

sub

In geen enkel geval (≤ 5%)

Maak medewerkers bewust schaal van algoritmes en AI. Zodat we dit kunnen herkennen. Bepaal de definities en vul het algoritme register.

X

X

4.2.2

Leeg

4.4.2

De organisatie voldoet aan de wettelijke voorwaarden voor geautomatiseerde individuele besluitvorming op basis van persoonsgegevens.

sub

In geen enkel geval (≤ 5%)

schaal

X

X

4.2.1

DAR01

4.4

par De organisatie voldoet aan de wettelijke voorwaarden voor geautomatiseerde individuele besluitvorming.

22

4.4.3

Voor alle informatiesystemen die geautomatiseerde individuele besluitvorming toepassen is een DPIA uitgevoerd.

4.4.4

Voor alle informatiesystemen die geautomatiseerde sub individuele besluitvorming toepassen is een ethische afweging omtrent de toepassing daarvan gemaakt en vastgelegd.

In geen enkel geval (≤ 5%)

4.4.5

De informatiesystemen die geautomatiseerde individuele sub besluitvorming toepassen, worden regelmatig (minimaal eens per 36 maanden) gecontroleerd en getest op naleving van de privacybeginselen en de wettelijke voorwaarden voor geautomatiseerde individuele besluitvorming.

4.5

Websites en applicaties

4.5.1

De organisatie heeft vastgesteld aan welke eisen websites en applicaties die toegankelijk zijn voor burgers moeten voldoen om privacywetgeving en cookiewetgeving na te leven.

4.5.2

De organisatie heeft vastgesteld dat websites en applicaties die toegankelijk zijn voor burgers voldoen aan privacy- en cookiewetgeving. De organisatie evalueert periodiek of websites en applicaties die toegankelijk zijn voor burgers voldoen aan privacy- en cookiewetgeving.

4.5.3

4.6

4.6.1

sub In aanvulling op een DPIA is het aanbevelenswaardig (maar In geen enkel geval (≤ 5%) niet verplicht) om een ethische afweging te maken omtrent de inzet van een algoritme.

schaal

X

X

4.2.3

PIA01

schaal

X

X

4.2.3

Leeg

In geen enkel geval (≤ 5%)

schaal

X

X

4.2.4

Leeg

Ja

binair

X

X

4.5.3

RMA05

sub

In alle gevallen (≥ 95%)

schaal

X

X

Leeg

RMA05

sub

In alle gevallen (≥ 95%)

4.5.2

REV01

par De websites en applicaties die toegankelijk zijn voor burgers voldoen aan de privacy- en cookiewetgeving. sub De organisatie maakt hierin bijvoorbeeld keuzes omtrent het gebruik van third party analytics.

par Informatiesystemen waarin persoonsgegevens worden verwerkt ondersteunen de uitvoering van de rechten van de betrokkene. Wanneer een betrokkene een verzoek tot inzage in zijn sub Voor de hele paragraaf geldt: het is niet verplicht om persoonsgegevens doet, zijn de informatiesystemen waarin specifieke maatregelen te treffen als met bestaande persoonsgegevens worden verwerkt technisch in staat om hier faciliteiten reeds uitvoering aan een verzoek kan worden gevolg aan te geven. De gegevens worden geëxporteerd naar gegeven. een algemeen bruikbaar formaat.

Ga aan de slag met de wettelijke voorwaarden rondom geautomatiseerde besluitvorming. Zet een register op en maak medewerkers bewust van algoritmes. Bedenk hoe kan worden voldaan aan de ethische afweging. Ga na of leveranciers bij de inkoop over DPIA's en IAMA's beschikt.

13; 14

Maak een lijst waarop kan worden afgestreept waaraan moet worden voldaan. En evalueer dit proces ook.

schaal

Technische ondersteuning

16; 17; 18; 19; 21 In alle gevallen (≥ 95%)

schaal

X

X

4.1.14; 4.6.3

DAR01

Let hierbij op dat de back-up strategie van de organisatie In alle gevallen (≥ 95%) voorkomt dat gegevens die na een gehonoreerd verzoek zijn gewijzigd bij een restore niet worden teruggezet in de foutieve vorm.

schaal

X

X

4.1.14; 4.6.5

DCR01

4.6.2

Wanneer een betrokkene een verzoek tot rectificatie van zijn sub persoonsgegevens doet, zijn de informatiesystemen waarin persoonsgegevens worden verwerkt technisch in staat om hier gevolg aan te geven.

4.6.3

Wanneer een betrokkene een verzoek tot verwijdering van zijn sub Let hierbij op dat de back-up strategie van de organisatie persoonsgegevens doet, zijn de informatiesystemen waarin voorkomt dat gegevens die na een gehonoreerd verzoek zijn persoonsgegevens worden verwerkt technisch in staat om hier verwijderd bij een restore niet worden teruggezet. gevolg aan te geven.

In alle gevallen (≥ 95%)

schaal

X

X

4.1.14; 4.6.5

DDR01

4.6.4

Wanneer een betrokkene een verzoek tot beperking van sub gegevensverwerking doet, zijn de informatiesystemen waarin persoonsgegevens worden verwerkt technisch in staat om hier gevolg aan te geven.

In enkele gevallen (≤ 35%)

schaal

X

X

4.1.14; 4.6.6

URE02

5. 5.1

Samenwerking AVG rollen

hfd par De organisatie heeft de AVG-rol voor alle betrokken partijen die persoonsgegevens verwerken inzichtelijk en conform de AVG met deze partijen afspraken gemaakt.

5.1.1

De organisatie heeft de AVG-rollen van externe partijen inzichtelijk gemaakt.

5.1.2

De organisatie voert voorafgaand aan de start van een verwerking waarbij een derde partij is betrokken, een toets uit om te bepalen welke AVG-rol de eigen organisatie heeft en welke AVG-rol de derde partij heeft.

sub De volgende AVG-rollen worden onderscheiden: - Verwerkingsverantwoordelijke; - Verwerker; - Gezamenlijk verwerkingsverantwoordelijke. sub

5.1.3

5.1.4

26; 28

In de meeste gevallen (< 95%)

schaal

X

X

5.1.1

RRE03; TPA01

In alle gevallen (≥ 95%)

schaal

X

X

5.1.5

RRE03; TPA01

Alvorens de organisatie een dienst (waaronder software as a sub service) van een verwerker inschakelt, zorgt de organisatie dat het inzicht heeft in de maatregelen ter bescherming van de persoonsgegevens van betrokkenen.

Pas wanneer is vastgesteld dat de beoogde dienstverlener een In alle gevallen (≥ 95%) adequaat niveau van privacybescherming en informatiebeveiliging kan garanderen, mag worden besloten om met deze partij een dienstverlenings- en verwerkersovereenkomst te sluiten.

schaal

X

X

5.1.2

Leeg

Het uitbesteden van een verwerking van persoonsgegevens sub vindt uitsluitend plaats na goedkeuring daarvan door het management. Er worden (verwerkers)overeenkomsten afgesloten met sub verwerkers en gezamenlijke verwerkingsverantwoordelijken. De overeenkomsten bevatten de elementen die in de AVG zijn voorgeschreven.

In alle gevallen (≥ 95%)

schaal

X

X

5.1.6

RRE03

In alle gevallen (≥ 95%)

schaal

X

X

5.1.3

RRE03; TPA01; TPA02; DRE01

5.1.6

Het beheer van (verwerkers)overeenkomsten met verwerkers sub en gezamenlijke verwerkingsverantwoordelijken is in de organisatie belegd.

Nee

binair

5.1.4

PP004

5.1.7

De organisatie voert periodiek een evaluatie uit van de sub Aan de volgende methoden kan worden gedacht: In geen enkel geval (≤ 5%) naleving van de verplichtingen door derden. De methode is a. De derde partij vult een vragenlijst in. afgestemd op het risicoprofiel van de verwerking die de derde b. De derde partij verstrekt interne auditrapporten partij uitvoert. c. De organisatie voert een evaluatie uit op locatie bij de derde partij d. De organisatie laat een audit uitvoeren bij de derde partij

schaal

Leeg

TPA03; MON01

5.1.8

Indien de organisatie optreedt als verwerker, is er een verwerkersovereenkomst die de elementen bevat die in de AVG zijn voorgeschreven.

schaal

Leeg

RRE03

5.1.5

sub

In alle gevallen (≥ 95%)

Beleg het contractmanagement.

X

X

5.2

Gegevensverstrekking

par De organisatie toetst ieder voornemen om gegevens aan een derde partij te verstrekken aan de relevante privacywetten.

5.2.1

De organisatie heeft een procedure ingericht om te waarborgen dat persoonsgegevens uitsluitend worden verstrekt aan derden als dit onder de toepasselijke (privacy)wetgeving is toegestaan. Alvorens wordt aangevangen met een gegevensverstrekking, toetst een privacy specialist of dit in overeenstemming is met de privacywetgeving. De organisatie documenteert in relatie tot de verstrekking: - de ontvanger; - de categorieën van persoonsgegevens; - de doeleinden; - de rechtsgrond voor verstrekking.

sub Het betreft hier verstrekking van persoonsgegevens aan een derde die het vervolgens verder verwerkt als verwerkingsverantwoordelijke.

Nee

sub

In de meeste gevallen (< 95%)

schaal

X

X

sub

In de meeste gevallen (< 95%)

schaal

X

Er wordt periodiek geëvalueerd of de verstrekkingen aan derden nog steeds in overeenstemming zijn met de wet- en regelgeving. Alvorens de organisatie persoonsgegevens doorgeeft aan verwerkers of ontvangers in derde landen, beoordeelt de organisatie of voldaan wordt aan de wettelijke vereisten voor internationale doorgifte van persoonsgegevens.

sub

In geen enkel geval (≤ 5%)

schaal

sub De IBD adviseert geen beroep te doen op verwerkers in derde Niet van toepassing landen waarvoor geen adequaatheidsbesluit is genomen door de Europese Commissie.

De organisatie heeft de verwerkingen waarbij persoonsgegevens worden overgedragen aan derde landen gedocumenteerd. Er wordt periodiek geëvalueerd of de doorgifte aan derde landen nog steeds in overeenstemming is met de privacywetgeving. Gegevensbescherming Risico's

sub

sub

6.1.1

De organisatie heeft een beoordelingsproces voor het identificeren en aanpakken van risico's die samenhangen met het verwerken van persoonsgegevens.

sub

Leeg

TPD01; ULI01

TPD01; ULI01

X

1.2.4; 5.2.1; 5.2.2 Leeg

X

X

Leeg

ULI01

schaal

X

X

2.6.2

DTR02

Niet van toepassing

schaal

X

X

2.6.1

DTR01

Niet van toepassing

schaal

Leeg

Leeg

Ja

binair

7.2.2

6.1.2

De organisatie beschikt over een managementsysteem sub Aanvulling op BIO 1.0.4zv maatregel 18.2.1.1 voor werken met Ja waarmee aantoonbaar de gehele Plan-Do-Check-Act cyclus op persoonsgegevens. gestructureerde wijze wordt afgedekt voor wat betreft de bescherming van persoonsgegevens.

binair

Leeg

RMA01; RMA03; RMA05; PBD01; ISP01; ISP03; MON02; MON03 REV01; MON01

6.2

Gegevensbescherming door ontwerp

5.2.2

5.2.3

5.2.4

5.2.5

5.2.6

5.2.7

6. 6.1

6.2.1

6.2.2

Er wordt alleen verstrekt als hiervoor een wettelijke grondslag is.

binair

hfd par De organisatie heeft inzicht in de risico's van de verwerking van persoonsgegevens en behandelt deze op adequate wijze.

par Bij de ontwikkeling, het ontwerp, selectie en het gebruik van toepassingen, diensten en producten waarbij persoonsgegevens worden verwerkt, houdt de organisatie zo vroeg mogelijk in het ontwerpproces rekening met de privacybeginselen en privacyrisico's. In beleid is vastgelegd dat de beoordeling van privacyrisico's en sub De privacybeginselen zijn vastgelegd in art. 5 lid 1 AVG. de uitvoering van de privacybeginselen aantoonbaar onderdeel is van de ontwikkeling of inkoop van producten en diensten.

32

25 lid 1

Ja

Beoordeel of wordt voldaan aan de handleiding Privacy by Design van 2023 van het ministerie van Justitie en Veiligheid.

binair

Voorafgaand aan de inkoop of de ontwikkeling van sub In de meeste gevallen (< 95%) toepassingen, diensten en producten vindt in de praktijk daadwerkelijk een beoordeling plaats van de privacyrisico's en de maatregelen die nodig zijn om de privacybeginselen na te leven. Gegevensbescherming door standaardinstellingen par Toepassingen, diensten en producten zijn standaard ingesteld op de meest privacyvriendelijke instellingen.

schaal

6.3.1

Toepassingen, diensten en producten zijn standaard op sub zodanige wijze geconfigureerd dat in beginsel alleen persoonsgegevens worden verwerkt die strikt noodzakelijk zijn voor elk gespecificeerd doel van de verwerking.

schaal

6.4

Informatiebeveiliging

6.4.1

De organisatie heeft het informatiebeveiligingsbeleid vastgesteld. De organisatie heeft verantwoordelijkheden op het gebied van sub informatiebeveiliging gedefinieerd en toegewezen.

6.3

6.4.2

6.4.3

6.4.4

6.4.5

6.4.6

6.4.7

De organisatie heeft beleid, processen en procedures vastgesteld en geïmplementeerd conform de voorschriften in de BIO. Door het uitvoeren van risicobeoordelingen heeft de organisatie vastgesteld welke technische en organisatorische beveiligingsmaatregelen noodzakelijk zijn om een passend beschermingsniveau te kunnen realiseren.

TPD01

In de meeste gevallen (< 95%)

par De organisatie heeft passende technische en organisatorische maatregelen genomen om de beveiliging van persoonsgegevens te waarborgen. sub Ja

X

X

2.5.8; 2.5.9; 6.3.12

PBD01; PBD02

6.1.1; 6.1.3; 6.1.4

PBD02

6.1.5

PBD03

ISP05; ISP02; MON02; MON03 ISP01; ISP02

25 lid 2

X

X

32

binair

Leeg

In alle gevallen (≥ 95%)

schaal

Leeg

sub

In ongeveer de helft van de gevallen (≤ 65%)

schaal

Leeg

sub

In enkele gevallen (≤ 35%)

schaal

X

X

6.3.10

ISP01; ISP04; ISP06; ENC02; ENC03; ENC04 ISP03

Alle informatiesystemen waarin persoonsgegevens worden sub BBN2 is de ondergrens indien er vertrouwelijke informatie verwerkt zijn ten minste geclassificeerd op Basis wordt verwerkt. Beveiligingsniveau 2 (BBN2). Op informatiesystemen die persoonsgegevens verwerken zijn sub Voor BBN2 geldt de BIO. Voor BBN2+ heeft de IBD een de maatregelen toegepast die horen bij het Basis aanvullend kader vastgesteld. Beveiligingsniveau (BBN) dat voor het systeem is vastgesteld.

In alle gevallen (≥ 95%)

schaal

X

X

6.3.7

PDI01

In ongeveer de helft van de gevallen (≤ 65%)

schaal

X

X

Leeg

ISP07; IAM01; STR01; ENC03

Er is een information security management system (ISMS) sub Gelijk aan BIO 1.0.4zv maatregel 18.2.1.1. waarmee aantoonbaar de gehele Plan-Do-Check-Act cyclus op gestructureerde wijze wordt afgedekt.

Ja

binair

6.3.5; 6.3.13

MON03

6.4.8

De organisatie beschikt over een tool om berichten en bestanden die persoonsgegevens bevatten beveiligd te verzenden. De tool ondersteunt ten minste de volgende functionaliteiten: - Versleuteling van verbindingen en inhoud; - Verificatie van ontvangers. 6.4.9 In beleid is vastgelegd dat het verboden is om persoonsgegevens die de organisatie onder zich heeft op te slaan op apparaten die niet door de organisatie worden beheerd of zijn goedgekeurd. 6.4.10 Wanneer de handelingen van medewerkers in een systeem worden gelogd ten behoeve van gegevensbescherming, worden medewerkers hiervan tijdig op de hoogte gebracht.

sub Aanvulling op BIO 1.0.4zv maatregel 13.2.3 voor werken met persoonsgegevens.

binair

Leeg

STR01

binair

Leeg

ENC01

3.4.4

LOG01

6.5

Privacyincidenten en datalekken

par De organisatie detecteert en behandelt privacygerelateerde incidenten op systematische wijze.

6.5.1

De organisatie heeft een proces vastgesteld voor het detecteren en afhandelen van privacyincidenten.

sub Het is aanbevelenswaardig om dit te integreren met het algemene incidentmanagementproces van de organisatie.

Ja

Er zijn 11 datalekken gemeld.

binair

6.2.4

PIB01; ENC04

6.5.2

Het privacyincidentenproces bepaalt: 1. via welk kanaal en binnen welk tijdspad medewerkers een (vermoed) privacyincident dienen te melden; 2. welke functionaris bepaalt of het privacyincident een inbreuk in verband met persoonsgegevens (datalek) betreft dat moet worden gemeld aan de AP en in voorkomend geval aan betrokkenen; 3. wie verantwoordelijk is voor het coördineren van de afhandeling van het privacyincident; 4. de documentatievereisten bij het afhandelen van een privacyincident.

sub

Ja

Ga na of ook aan punt 4 de binair documentatievereisten is voldaan. Hieronder wordt verstaan: feiten en gegevens over aard van de inbreuk, de oorzaak, soort gegevens die gelekt zijn, het moment dat het lek is ontdekt en op welke wijze het lek gedicht is. Wanneer het datalek is gemeld aan de betrokkene, dan moet ook de tekst van de kennisgeving aan de betrokkene in de administratie opgenomen worden.

Leeg

PIB01; PIB03; PIB05

6.5.3

Het privacyincidentenproces bepaalt wie verantwoordelijk is voor het melden van een datalek bij de Autoriteit Persoonsgegevens. Het privacyincidentenproces geeft een afwegingskader omtrent het al dan niet melden van een inbreuk in verband met persoonsgegevens (datalek) aan de AP.

sub

Ja

Er is 1 datalek gemeld aan de Autoriteit Persoonsgegevens.

binair

Leeg

PIB06

sub

Ja

Ga na of het stroomschema binair kan worden aangevuld met de richtsnoeren voor de melding van inbreuken in verband met persoonsgegevens krachtens Verordening 2016/679 van de WP29.

6.2.3

PIB04

6.5.5

Het privacyincidentenproces bepaalt wie verantwoordelijk is voor het melden van een datalek bij betrokkenen.

sub

Ja

Er zijn 4 datalekken gemeld aan de betrokkenen.

binair

6.2.5

Leeg

6.5.6

Het privacyincidentenproces geeft een afwegingskader omtrent het al dan niet melden van datalekken aan betrokkenen. De organisatie heeft voor zowel interne als externe doelgroepen een meldpunt voor privacyincidenten.

sub

Ja

binair

6.2.3

Leeg

sub Dit mogen verschillende kanalen zijn (intern en extern). Interne doelgroepen zijn bijv. medewerkers. Externe doelgroepen zijn bijv. verwerkers of klanten. sub

Ja

binair

Leeg

PIB01

Ja

binair

6.2.1; 6.2.2

PIB07

sub

In de meeste gevallen (< 95%)

schaal

Leeg

Leeg

6.5.10 Het SOC (security operations center) heeft heldere regels over sub Aanvulling op BIO 1.0.4zv maatregel 12.4.1 voor werken met wanneer een incident als privacyincident moet worden persoonsgegevens. aangemerkt en opgevolgd. 6.5.11 Als onderdeel van het privacyincidentenproces wordt na ieder sub privacyincident een evaluatie uitgevoerd om correcties en verbeteringen te identificeren. 6.5.12 De resultaten van de evaluatie van een privacyincident worden sub aan het management gecommuniceerd.

Ja

binair

Leeg

PIB01

In de meeste gevallen (< 95%)

schaal

Leeg

PIB08; PIB09

Alle incidenten worden richting schaal de gemeentesecretaris gecommuniceerd.

Leeg

PIB08

6.5.13 Er is een crisiscommunicatieplan voor datalekken met hoge impact. 7. Verantwoording 7.1 Evaluatie naleving AVG

Ja

binair

6.2.8

PIB03

7.4.1

Leeg

binair

3.1.9; 7.1.2

REV01

Maak ook toetsingsplannen voor een tussentijdse derde lijnscontrole.

binair

3.1.7

REV01

Zorg dat ook de toetsen uit 7.1.1. en 7.1.3 worden uitgevoerd en opgevolgd.

schaal

7.4.2

Leeg

6.5.4

6.5.7

6.5.8

Als onderdeel van het bewustwordingsprogramma worden medewerkers bekend gemaakt met hun verantwoordelijkheden ten aanzien van privacyincidenten.

6.5.9

De organisatie is in staat om een inbreuk in verband met persoonsgegevens (datalek) tijdig bij de AP te melden.

Ja

sub Denk hierbij bijvoorbeeld aan apparaten die eigendom zijn van Nee medewerkers, zoals smartphones en USB-sticks.

sub Aanvulling op BIO 1.0.4zv maatregel 12.4.1 voor werken met persoonsgegevens.

sub

In ongeveer de helft van de gevallen (≤ 65%)

In ongeveer de helft van de gevallen (≤ 65%)

hfd par Zowel het management als de FG controleren de naleving van de AVG doorlopend. sub Het management heeft de verantwoordelijkheid voor Nee privacybescherming bij de uitvoering van hun taken. Daarom is het van belang dat het management zelf een beeld vormt van de mate waarin privacywetgeving wordt nageleefd. Het management kan zich hierin laten ondersteunen door een privacy specialist. Deze controles staan los van het onafhankelijke toezicht van de FG.

Periodiek wordt, onder aansturing van het management, de naleving van de AVG bij de uitvoering van de taken van het management geëvalueerd.

7.1.2

De FG heeft een toezichtplan om als onafhankelijk sub Deze controles behoren onafhankelijk van het management te Ja toezichthouder de naleving van de AVG door de organisatie te worden verricht. controleren. De FG controleert in de praktijk daadwerkelijk de naleving van sub Dit kan bijv. getoetst worden aan de hand van initiatieven die Nee de AVG door de organisatie. de FG neemt, zoals memo's die zijn opgesteld n.a.v. toezichtsacties en bevragingen over naleving.

7.1.4

De organisatie volgt afwijkingen die zijn geconstateerd bij een sub Deze maatregel betreft het opvolgen van gebreken in de evaluatie van de naleving van de AVG gestructureerd op. naleving van de AVG die zijn geconstateerd n.a.v. evaluaties uitgevoerd onder verantwoordelijkheid van het management of door de FG.

schaal

X

X

33; 34

7.1.1

7.1.3

Leg in beleid vast dat er alleen wordt gewerkt op beheerde/goedgekeurde apparatuur. BRP en SUWI wordt dit actief meegedeeld. Hier wordt ook actief gelogd.

In ongeveer de helft van de gevallen (≤ 65%)

Totaalbeeld van deze toetsing binair wordt voorgelegd. Dit kan het management dadelijk gestructureerd met behulp van Pepperflow. Privacyrisico's zijn dan meer inzichtelijk.

X

X

X

X

X

7.2

Evaluatie informatiebeveiliging

7.2.1

Periodiek wordt de uitvoering van het informatiebeveiligingsbeleid en de naleving van processen, procedures en standaarden geëvalueerd. Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en risico's ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of penetratietesten. Rapportage

7.2.2

7.3

7.3.1

Middels een jaarverslag wordt het management en het bestuursorgaan geïnformeerd over de naleving van de AVG door de organisatie. De FG is verantwoordelijk voor dit jaarverslag.

par De mate waarin de doelstellingen van het informatiebeveiligingsbeleid worden bereikt wordt doorlopend gecontroleerd. sub

Ja

binair

X

sub Gelijk aan BIO 1.0.4zv maatregel 18.2.3.1.

Ja

binair

X

par Periodiek worden interne en externe stakeholders op de hoogte gehouden over de naleving van de AVG door de organisatie. sub

X

Leeg

ISP05; REV01

Leeg

MON02

6.3.13; 6.3.14; 7.3.4

REV01

39

Ja

binair

Borgingsproduct AVG v3.0 Dashboard Naam organisatie Datum ingevuld Aantal beantwoord Score

Gemeente Doesburg 29 mei 2024 149 van de 155 73%

Score per hoofdstuk 0%

10% 20% 30% 40% 50% 60% 70% 80% 90% 100%

Beleid Processen

Par 1. 1.1 1.2 1.3 2. 2.1 2.2 2.3 2.4 2.5 3. 3.1 3.2 3.3 3.4 4. 4.1 4.2 4.3 4.4 4.5 4.6 5. 5.1 5.2 6. 6.1 6.2 6.3 6.4 6.5 7. 7.1 7.2 7.3

Titel Beleid Beleid vaststellen Privacybeleid Verantwoordelijkheden Processen Werkprocessen Verwerkingsregister Pre-DPIA's DPIA's Bewaar- en vernietigingsbeleid Organisatorische inbedding Privacyteam Aanstelling, positie en taken FG Informeren OR Bewustwording Rechten van betrokkenen Recht op informatie Processen rechten van betrokkenen Toestemming Geautomatiseerde individuele besluitvorming Websites en applicaties Technische ondersteuning Samenwerking AVG rollen Gegevensverstrekking Gegevensbescherming Risico's Gegevensbescherming door ontwerp Gegevensbescherming door standaardinstellingen Informatiebeveiliging Privacyincidenten en datalekken Verantwoording Evaluatie naleving AVG Evaluatie informatiebeveiliging Rapportage

Leeg

N.v.t 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 3 0 0 3 0 0 0 3 0 3 0 0 0 0 0 0 0 0 0 0

Beantwoord Percentage 17 85% 2 100% 9 83% 6 83% 38 61% 7 46% 10 75% 3 75% 10 48% 8 69% 20 88% 2 75% 11 91% 2 75% 5 90% 27 69% 5 50% 9 97% 1 100% 5 0% 3 100% 4 81% 12 60% 8 72% 4 38% 28 83% 2 100% 2 88% 1 75% 10 68% 13 92% 7 64% 4 38% 2 100% 1 100%

Organisatorische inbedding Rechten van betrokkenen Samenwerking Gegevensbescherming Verantwoording

Verdeling beantwoording

Niet van toepassing In geen enkel geval (≤ 5%) / Nee In enkele gevallen (≤ 35%) In ongeveer de helft van de gevallen (≤ 65%) In de meeste gevallen (< 95%) In alle gevallen (≥ 95%) / Ja

Hoofdstuk Percentage Beleid 85% Processen 61% Organisatorische inbedding 88% Rechten van betrokkenen 69% Samenwerking 60% Gegevensbescherming 83% Verantwoording 64%

In Borgingsproduct 2.0 is ervoor gekozen om aan te sluiten bij de vijf privacyvolwassenheidsniveaus van het ‘Privacy maturity model’ van de IAPP. Deze niveaus van de IAPP zijn weer afgeleid van de GAPP’s (Generally Accepted Privacy Principles) en het CMM (Capability Maturity Model). Ook in andere landen wordt het model toegepast. Score dashboard 0 - 20 %

Komt ongeveer overeen met volwassenheidsniveau Volwassenheidsniveau 1

20 - 40 %

Volwassenheidsniveau 1 / 2

40 - 60 %

Volwassenheidsniveau 2 / 3

60 - 80 %

Volwassenheidsniveau 3 / 4

80 - 100 % Volwassenheidsniveau 4 3

De vijf volwassenheidsniveaus zijn als volgt vertaald in een gemeentelijke context. Deze vertaalslag is grotendeels ook bruikbaar voor andere organisaties dan gemeenten.

1 Ad hoc

Herhaal2 baar

3 Bepaald

4 Beheerst

Geoptima5 liseerd

Beschrijving · Geen of onduidelijke privacyrollen en -verantwoordelijkheden · Geen of nauwelijks beheersmaatregelen aanwezig · Reactief en sturing n.a.v. incidenten · Grote afhankelijkheid van één of enkele privacyfunctionarissen · Onbewust onbekwaam · · · · · · · · · · · · · ·

Privacyrollen en -verantwoordelijkheden toegewezen Beheersmaatregelen zijn aanwezig, maar worden op informele wijze uitgevoerd Standaarden en formats aanwezig: juist en in duidelijke taal Bewust onbekwaam (Privacy)medewerkers tonen eigenaarschap, d.w.z. dat de rollen en verantwoordelijkheden actief worden opgepakt Beheersmaatregelen worden consistent en gestructureerd uitgevoerd en zijn gedocumenteerd Er wordt aantoonbaar aan verplichtingen voldaan

· · · · · · · · ·

Toekomstgericht Proactieve houding van het college en het bestuur Het verantwoordelijk management verzoekt aan de FG om hun verantwoording van een oordeel te voorzien. Privacy wordt gezien als een vanzelfsprekendheid Er wordt continue gezocht naar verbetering, zoals in de vorm van (interne of externe) tooling Privacy wordt gezien als een kans of unique selling point (USP) Er wordt verbinding gezocht met andere concerndisciplines Kennis en ervaringen worden actief gedeeld met gemeenten en andere relevante organisaties waardoor best practices in gemeentenland ontstaan Onbewust bekwaam

Er is een duidelijke samenhang met informatiebeveiliging Bewust bekwaam De effectiviteit van beheersmaatregelen wordt periodiek geëvalueerd in een PDCA-cyclus Er wordt proactief geïnformeerd door de proceseigenaar over de realisering van de geconstateerde benodigde verbeteringen in een PDCA-cyclus In een jaarlijkse evaluatie blijkt een correcte PDCA-cyclus Bewust bekwaam