Vergelijking verwerkingsregister AVG

Transcriptie

1 Vergelijking verwerkingsregister AVG Voor een gemeente in Noord-Nederland is een korte vergelijking gedaan van de verwerkingsregisters van en. Hierbij is met name gekeken naar het voldoen aan de wettelijke verplichtingen vanuit de AVG en de efficiëntie bij het vullen en onderhouden van het register. Omdat de opsteller van deze vergelijking minder thuis is in zijn er nog een aantal onduidelijkheden over de mogelijkheden van. Deze zullen beantwoord moeten worden door iemand met meer kennis van het verwerkingsregister in. Als bijlage een overzicht met functies en of en hoe deze worden ingevuld door de pakketten. Algemene beschrijving verwerkingenregisters Hieronder een algemene beschrijving van de functionaliteit van de applicaties. Key2Control Het verwerkingsregister is een op zichzelf staande cloud applicatie met als functionaliteit: Het bijhouden van gegevensverwerkingen Het bijhouden van datalekken Het rapporteren over gegevensverwerkingen Het online beschikbaar stellen van een publieke versie van het register Het verwerkingsregister binnen is een integraal onderdeel van de applicatie waarin de processen en informatiesystemen van de gemeente worden geregistreerd. Het verwerkingsregister binnen is uitgevoerd als een eenvoudig formulier binnen beschrijving van een gemeentelijke proces en bevat de volgende functies t.a.v verwerkingen registratie: Het bijhouden van gegevensverwerkingen Het rapporteren over gegevensverwerkingen Privacy Concepts is een handelsnaam van: De Privacy Coöperatie U.A. Adres: Atoomweg 6b, 9743AK Groningen Web: privacyconcepts.nl Telefoon: K.v.K: BTW-nr: NL B01 IBAN: NL62 TRIO

2 Wettelijke verplichtingen Er is voor alle wettelijke verplichte inhoud gekeken of deze in het verwerkingsregister is opgenomen. Key2Control Alle wettelijk verplichten velden hebben binnen het verwerkingsregister een eigen veld waarbij de inhoud zelf te bepalen is. Een aantal wettelijk verplichte zaken hebben geen specifiek veld binnen maar moeten in het algemene deel bij de omschrijving van de gemeentelijke processen te worden opgenomen. Hieronder een aantal zaken waarvan niet duidelijk is hoe en waar deze geregistreerd dienen te worden. 1. Het is onduidelijk waar de verwerkingsverantwoordelijken geregistreerd kunnen worden. Er kunnen ook namelijk ook meerdere verantwoordelijken per verwerking zijn. Er is in ieder geval geen specifiek veld voor in. 2. Het is onduidelijk waar eventuele deelverantwoordelijkheid kan worden geregistreerd. Er is in ieder geval geen specifiek veld voor in. 3. Het is onduidelijk waar de contactgegevens van de FG van verwerkingsverantwoordelijken geregistreerd kunnen worden. Er is in ieder geval geen specifiek veld voor in. 4. Als verwerkingsdoel dient de omschrijving van het proces uit het procesbeschrijvingen deel van worden gebruikt. Er is geen eigen veld voor. 5. Het is onduidelijk waar de bewaartermijnen per verwerking geregistreerd moeten worden. Er is in ieder geval geen specifiek veld voor in. 6. De door voor ingevulde lijst met categorieën persoonsgegevens is niet zelf aan te passen en lijkt te beperkt om te voldoen aan de wettelijke eisen aan de beschrijving van verwerkte persoonsgegevens. (Niet specifiek genoeg) 7. Het is onduidelijk waar categorieën van betrokkenen geregistreerd kunnen worden. Er is in ieder geval geen specifiek veld voor in. 8. Het is onduidelijk waar categorieën van ontvangers geregistreerd kunnen worden. Er is in ieder geval geen specifiek veld voor in. 9. Verwerkers dienen als ketenpartners in het proces te worden opgenomen 10. Het is onduidelijk waar de contactgegevens van de FG van verwerkers geregistreerd kunnen worden. Er is in ieder geval geen specifiek veld voor in. 11. Het is onduidelijk waar de technische en organisatorische beveiligingsmaatregelen geregistreerd kunnen worden. Er is in ieder geval geen specifiek veld voor in. 2

3 Vullen en onderhouden Koppelingen Het register van key2control is een separate applicatie waardoor er geen informatie kan worden hergebruikt uit andere registraties binnen de gemeente. Wel kan bijna alle aanwezige informatie worden geïmporteerd zolang deze in csv of excel formaat kan worden aangeleverd. Standaard inhoud levert standaard inhoud waaronder het grotendeels al ingevulde voorbeeld verwerkingsregister van VNG/KING. Als het VNG advies voor inrichten wordt gevolgd is een groot deel van de verwerkingen inclusief bijbehorende gegevens dus al aanwezig. Selectie uit standaard waarden Praktisch alle informatie wordt opgeslagen in aparte tabellen zodat er gebruik kan worden gemaakt van door de eigen organisatie opgestelde standaard waarden bij het registreren van een verwerking Autorisaties op specifieke velden Het is mogelijk per type informatie (bijvoorbeeld categorieën betrokkenen) aan te geven wie deze mag lezen of wijzigen. Hierdoor is het mogelijk specifieke taken te delegeren Overeenkomsten Van alle overeenkomsten kan worden bijgehouden wanneer deze verlopen en met wie deze gesloten zijn. Overeenkomsten kunnen worden geupload of als hyperlink naar bijvoorbeeld een DMS worden opgenomen. Externe partijen Externe partijen kunnen worden opgevoerd en gekoppeld aan verwerkingen, informatiesystemen, contactpersonen etc. PIA s Van uitgevoerde (D)PIA s kan worden bijgehouden wanneer ze zijn uitgevoerd en wat het resultaat was. De PIA documenten kunnen als bijlage of hyperlink worden bijgevoegd Koppelingen De kracht van ligt in het beschikbare model DSP met een beschrijving van gemeentelijke processen. Als de verwerkingen geregistreerd worden op basis van deze processen dan zijn de naam en omschrijving van een groot deel van de verwerkingen al aanwezig en hoeven deze dus niet meer te worden aangemaakt. Alle overige gegevens moeten nog wel zelf worden aangevuld. Standaard inhoud biedt daarnaast een hele bepekte standaard inhoud voor het verwerkingenregister. Deze is echter niet zelf aan te passen. Selectie uit standaard waarden Er is slechts een beperkte set standaard waarden aanwezig die door de redactie worden bijgehouden. De meeste gegevens zullen in algemene velden moeten worden bijgehouden waardoor er geen gebruik kan worden gemaakt van door de eigen organisatie opgestelde standaard waarden 3

4 Autorisaties op specifieke velden Autorisaties worden niet per veld maar per module uitgegeven. Vanwege de integratie met het DSP model zal het aanpassen van bepaalde informatie (bijvoorbeeld het verwerkingsdoel) ook direct van toepassing zijn in andere modules. Dit kan zowel een voordeel als een nadeel zijn. Overeenkomsten Voor zover bekend is het niet mogelijk overeenkomsten op te nemen in het register. (Verwerkersovereenkomsten zijn geen verplicht onderdeel van het register maar moeten wel worden bijgehouden) Externe partijen Verwerkers, ontvangers en verstrekker dienen als ketenpartners in het proces te worden opgenomen. PIA s Er is geen specifieke mogelijkheid (verslagen van) PIA s op te nemen. Rapportages en publicatie Het is van belang dat er op een efficiënte manier analyses kunnen worden gedaan zodat de in het register geïnvesteerde tijd bijdraagt aan het snel en efficiënt kunnen beantwoorden van vragen van de toezichthouders, verwerkingsverantwoordelijke en betrokkenen Rapportage Het register biedt de mogelijkheid complexe selecties te maken op combinaties van alle aanwezige informatie Export Er zit op dit moment nog geen export mogelijkheid in. Deze functie (PDF en Excel format) wordt in April verwacht. Publicatie Er zit op dit moment nog geen publicatie mogelijkheid in. De functie om de publieke informatie middels een directe koppeling op te nemen in de eigen gemeentelijke website wordt in April verwacht. Rapportage Er zijn rapportage mogelijkheden in maar het is onbekend in hoeverre hiermee complexe selecties kunnen worden gemaakt Export Het is onbekend welke export mogelijkheden biedt Publicatie Er is geen koppeling om een publiek deel van het register te publiceren en er is geen indicatie dat dit op de planning staat. 4

5 Conclusie Beide registers kunnen voldoen aan de minimale wettelijke eisen die de AVG stelt. Het register van is een gespecialiseerd verwerkingsregister en heeft voor alle wettelijk verplichte en een groot aantal optionele zaken die te maken hebben met het registreren van gegevensverwerkingen aparte velden waarop ook selecties kunnen worden gemaakt. Hierdoor zijn alle voor een gegevensverwerking relevante zaken vanuit één systeem inzichtelijk. Daarnaast biedt het de mogelijkheid om zelf het niveau van detaillering te bepalen doordat de standaard waarden voor categorieën gegevens zelf kunnen worden aangepast. Door de wizard gebaseerde invoer is duidelijk welke informatie vereist is en met de ingebouwde controle op de wettelijk verplichte informatie en het verlopen van verwerkersovereenkomsten is in één oogopslag te zien waar nog niet wordt voldaan aan de registratieverplichtingen. Door de uitgebreide rapportages is het eenvoudiger te voldoen aan inzageverzoeken en kunnen burgers vanaf April 2018 zelf zien welke verwerkingen u voert in het openbare deel van het register. Het register van is integraal onderdeel van het DSP model met gemeentelijke procesbeschrijvingen en is hier binnen in feite een eenvoudig formulier. Veel informatie moet in algemene velden moeten worden opgenomen waardoor deze niet makkelijk terug te vinden is en er geen selecties op kunnen worden gemaakt. Er zal een duidelijk proces en externe checklist gebruikt moeten worden om ervoor te zorgen dat alle verplichte informatie ook geregistreerd wordt. Ook verwerkings- en verstrekkingsovereenkomsten zullen buiten het systeem geregistreerd moeten worden. Voor een volledig overzicht van een gegevensverwerking zal dus informatie uit verschillende systemen moeten worden gecombineerd. Daarnaast zullen degenen die belast zijn met het bijhouden van het register ook de autorisatie moeten hebben om de beschrijvingen van de processen in het DSP model aan te passen en dient er door de informatiearchitecten die het DSP model beheer rekening te worden gehouden dat wijzigingen die zij hierin doen direct doorwerken in het verwerkingenregister. Het is in dit geval essentieel dat er duidelijke afspraken worden gemaakt en onderlinge afstemming tussen de privacy officer en de informatiearchitect plaatsvindt bij wijzigingen in het model DSP. De keuze tussen beide systemen hang af van de ambitie die de gemeente heeft met het verwerkingenregister. Als men met minimale inspanning aan de documentatieplicht wil voldoen, geen behoefte heeft aan makkelijk toegankelijke overzichten of selecties en toch al van plan was om het DSP te vullen met alle details over verwerkingen en persoonsgegevens dan zou voor gekozen moeten worden. Als de VNG lijn voor het register wordt gevolgd, men eigen standaard waarden wil kunnen aanpassen, controle op compleetheid wenst, een makkelijk toegankelijk overzicht van verwerkingen wil, analyses op de gegevens wil doen, het register voor het afhandelen van inzageverzoeken wil gebruiken of wil publiceren op de website dan zou voor het register van gekozen moeten worden. Disclaimer: De opsteller van dit rapport (Peter Tak) is indirect betrokken bij het leveren en implementeren van het vewerkingenregister van en heeft beperkte kennis van 5