AVG en meer... geen privacy zonder informatieveiligheid. Theater -7 Powered by ActiZ. Dinsdag 17 april 15:00. Mandy Lagendijk; WZH en Douwe de Jong

Maat: px

Weergave met pagina beginnen:

Download "AVG en meer... geen privacy zonder informatieveiligheid. Theater -7 Powered by ActiZ. Dinsdag 17 april 15:00. Mandy Lagendijk; WZH en Douwe de Jong"

Linda Cools
5 jaren geleden
Aantal bezoeken:

1 AVG en meer.... geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Dinsdag 17 april 15:00 Mandy Lagendijk; WZH en Douwe de Jong AVG en meer... Zorg & ICT Powered by ActiZ 1

2 Stelling: Als een organisatie informatieveiligheid op orde heeft (NEN 7510 inclusief Wbp) is de implementatie van de AVG een logisch vervolg? AVG en meer... Zorg & ICT Powered by ActiZ 2

3 AVG en meer... AVG en meer? Geen privacy zonder informatieveiligheid (IV)! Kwaliteitseisen informatieveiligheid: beschikbaarheid integriteit vertrouwelijkheid/privacy => Maak de AVG praktisch door te benaderen vanuit IV AVG en meer... Zorg & ICT Powered by ActiZ 3

4 Medewerker AP: (ActiZdag #HuisOpOrde) Kern AVG: veel dezelfde uitgangspunten, rechten, verplichtingen en waarborgen als de Wbp Accenten / extra s AVG: verantwoordingsplicht! register, datalek, FG na mei 2018 PIA Maak de AVG niet groter dan het is! AVG en meer... Zorg & ICT Powered by ActiZ 4

5 AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG NEN 7510 Aanv. / extra 1 Bewustwording 2 Rechten betrokkenen 3 Overzicht verwerkingen 4 PIA 5 Privacy by design / default Samenvatting na afloop beschikbaar 6 FG 7 Meldplicht datalekken 8 VWO 10 Toestemming betrokkenen AVG en meer... Zorg & ICT Powered by ActiZ 5

6 AP: in 10 stappen voorbereid op AVG AVG - algemeen NEN 7510 Extra mb AVG WZH Relatie AVG en NEN 7510: google GDPR ISO27k mapping Rijksoverheid: Handleiding AVG; vanuit perspectief Wetsvoorstel Uitvoeringswet AVG AVG in vogelvlucht; visualisatie op één A4 *) VGN: Factsheet AVG *) Website CIP-overheid: Grip op privacy Website AP: Regelhulp AVG Contactgroep IB: elkaar ondersteunen bij IB-taken Indien gewenst op adhoc basis externe / toetsing consultatie *) te vinden op ActiZnetwerk #HuisOpOrde AVG en meer... Zorg & ICT Powered by ActiZ 6

7 AP: 10-stappenplan AVG Stap 1 Bewustwording NEN 7510 Extra mb AVG WZH alle medew periodiek informeren over informatieveiligheid Allen: aandacht privacy en datalekken Direct betrokkenen/beleidsmaker: informeren over AVG Diverse hulpmiddelen / toolkids leveranciers Zoek in YouTube op Privacywetgeving in de zorg e-l cursus Veilig omgaan met vertrouwelijke informatie Medewerkers én vrijwilligers: Algemeen: e-l cursus bewustwording Datalekken: infomail en quiz: ben ik een datalek? Project medewerkers en medewerkers van afdelingen communicatie, P&O, F&C etc. hebben zich specifiek laten informeren door vakspecialisten AVG en meer... Zorg & ICT Powered by ActiZ 7

8 AVG en meer Bewustwording e-learningcursus Veilig omgaan met vertrouwelijke informatie Algemeen Vertrouwelijke cliëntgegevens Vertrouwelijke medewerkergegevens Meldt incidenten Mogelijke datalekken Veilig omgaan met wachtwoorden Veilig mail ontvangen; phising mail Veilig mailen op je werk en privé Zorggerelateerd Informatieverzoek derden Collegiale afstemming Sociale media en je werk Veilig omgaan met IT-middelen Werken buiten kantoor Wat te doen bij calamiteiten Inf. uitwisseling sociaal domein Wie is verantwoordelijk voor informatieveiligheid? AVG en meer... Zorg && ICT ICT Powered - ActiZPaviljoen by 8

9 AP: 10-stappenplan AVG Stap 2 Rechten betrokkenen NEN 7510 Extra mbt AVG WZH Privacy en bescherming persoonsgegevens; recht op inzage, correctie en verwijdering Meer en verbeterde privacyrechten; nieuw is dataportabiliteit en klachten naar AP Model privacyreglement GGZ *) Website UMCGroningen: privacy statement Privacybeleid clienten en medewerkers aangescherpt Beschrijving van de verantwoordelijkheden Gericht op bewustwording Bijlage FAQ: zo doen we dat bij WZH Bijlage procedure overdracht clientdossier Website privacyreglement Toegang tot clientdossier via portal AVG en meer... Zorg & ICT Powered by ActiZ 9

10 AP: 10-stappenplan AVG Stap 3 Overzicht verwerkingen NEN 7510 Extra mb AVG WZH inventarisatie BM en classificatie van informatie Wbp: melden bijzondere geg. i.g.v. geen Vrijstellingsbesluit Documentatieplicht; aantoonbaar handelen volgens AVG Geen format (wel schriftelijk); onmiddellijk beschikbaar voor controle door AP Vele voorbeelden Register verwerkingen; ook op #HuisOpOrde NVZ: keuzelijsten; opzet vanuit Referentiedomeinen *) BBMCare: I&Cdoc tabel 1 Inventarisatie vanuit processen / act. /IT-middelen 1e aanzet 'compleet' maar wel 'elementair'; later indien nodig aanvullen i.v.m. contractbeheer/vwo, risicobeheer/pia, etc. Vele voorbeeld Verwerkingen wel erg uitgebreid...! AVG en meer... Zorg & ICT Powered by ActiZ 10

11 AP: 10-stappenplan AVG BBMCare Inventarisatie en classificatiedoc & register verwerkingen Domein/proces Bedrijfsactiviteit verwerkingsdoeleinde Informatieobject Bedrijfsmiddel (instellingspecifiek) verschijningsvorm Classificatie BIV tbv typering risico s + verwerkingsgrondslag + betrokken personen + persoonsgegevens + bewaartermijnen etc AVG en meer... Zorg & ICT Powered by ActiZ 11

12 AP: 10-stappenplan AVG NEN Extra mb AVG WZH Stap 4 Privacy Impact Analyse Na mei 2018 tijdens ontwerpfase en alleen indien nodig... o.a. hoog privacyrisico in Verwerkingsregister ActiZ: Template Pia-light *) en vele andere zoals NVZ, Norea,.. Aanleiding voor een PIA oa classificatie privacy; zie BBMCare Na mei 2018; aanzet al in Register vanuit BIV met privacy-risico's en bev.maatregelen. Wellicht uitwerken in PIA bij ihealth-toepassingen AVG en meer... Zorg & ICT Powered by ActiZ 12

13 AP: 10-stappenplan AVG NEN 7510 Extra mb AVG WZH Stap 5 -Privacy by design & by default Informatiebeveiliging in projectbeheer en aanbeveling Richtsnoeren Wbp Privacy en bescherming pers.geg By design: vooral bij nwe ontwikkelingen / dienstverlening By default: alleen verwerking indien noodzakelijk - By design: conform IBbeleid geregeld; maatregelen o.b.v. classificatie By default: is indirect gevolg van aandacht voor AVG. Bijv: - webformulier, overbodige informatie weglaten - actualiseren privacybeleid, bewustwording, gebruik 'gezond verstand' AVG en meer... Zorg & ICT Powered by ActiZ 13

14 AP: 10-stappenplan AVG Stap 6 Functionaris gegevensbescherming NEN 7510 Extra mb AVG WZH aanspreekpunt IB gewenst; aanbeveling Richtsnoeren Wbp FG toezichthouder op naleving AVG FG houdt register verwerkingen bij FG op hoofdlijnen *) NVZ functieprofiel FG FG wordt ondersteunt vanuit Contactgroep IB, landelijk netwerk en indien nodig extern. NB FG na mei opnieuw melden bij AP! AVG en meer... Zorg & ICT Powered by ActiZ 14

15 AP: 10-stappenplan AVG Stap 7 Meldplicht datalekken NEN 7510 Extra mb AVG WZH 16 Incidentbeheer aanbeveling versie 2013: informeer betrokkenen aanvulling Wbp meldplicht datalekken Meldplicht afgezwakt; accent eigen verantwoordelijkheid. Wel documenteren! Diverse protocollen beschikbaar via internet WZH Protocol datalekken; registratie in Topdesk Bewustwording! verschil tussen beveiligingsincident en datalek AVG en meer... Zorg & ICT Powered by ActiZ 15

16 AP: 10-stappenplan AVG Stap 8 - Verwerkersovereenkomst NEN 7510 Extra mb AVG WZH : opnemen bev.aspecten in lev.overeenkomsten VWO als aanvulling op bestaande contracten + naleving! Zorgbreed BoZ-model VWO *) Div presentatie en toelichting BoZ *) VNG/IBD: Factsheet VWO (mbt sociaal domein) Beleid: uitgaan van BOZmodel Weigeraars: melden bij ActiZ en afwachten!? Probleem: afspraken met regionale partijen, vooral gemeentes; regionale initiatieven? AVG en meer... Zorg & ICT Powered by ActiZ 16

17 AP: 10-stappenplan AVG Stap 10 Toestemming betrokkenen NEN 7510 Extra mb AVG WZH Privacy en bescherming van persooinsgegevens Nadrukkelijker regelen; vooral het intrekken van een toestemming Ondertekening Zorgleefplan niet altijd voldoende; soms explicieter toestemming nodig. Aandachtspunt intrekken toestemming. Learning on the job. AVG en meer... Zorg & ICT Powered by ActiZ 17

18 AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG 1 Bewustwording Extra inspanning mbt AVG 2 Rechten betrokkenen ++ 3 Overzicht verwerkingen doorlopend + 4 PIA eventueel later Privacy by design / default effect! + 6 FG 7 Meldplicht datalekken 8 VWO + 10 Toestemming betrokkenen ++ AVG en meer... Zorg & ICT Powered by ActiZ 18

19 AVG en meer... Maak AVG praktisch door privacy te benaderen vanuit informatieveiligheid Maak AVG niet groter dan het is! privacy-aspecten hier en daar aanscherpen (vooral in het begin en naast de extra s) AVG en meer... Zorg & ICT Powered by ActiZ 19

20 AVG en meer.... geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Dinsdag 17 april 15:00 Mandy Lagendijk; WZH Douwe de Jong AVG en meer... Zorg & ICT Powered by ActiZ 20

Vergelijkbare documenten

AVG en meer... geen privacy zonder informatieveiligheid. Theater -7 Powered by ActiZ. Woensdag 18 april 15:00

AVG en meer... geen privacy zonder informatieveiligheid. Theater -7 Powered by ActiZ. Woensdag 18 april 15:00 AVG en meer.... geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Woensdag 18 april 15:00 Peter van der Zwan Ipse de Bruggen en Douwe de Jong AVG en meer... Zorg & ICT 2018 - Powered