Agenda 10:00 Korte terugblik afgelopen half jaar - Presentatie 22 juni 2017 en diverse workshops - Nieuwe wet- en regelgeving van kracht

Transcriptie

1 (AVG) Introductie Peter van der Zwan Agenda 10:00 Korte terugblik afgelopen half jaar - Presentatie 22 juni 2017 en diverse workshops - Nieuwe wet- en regelgeving van kracht 10:15 AVG, hoe nu verder - In te vullen onderdelen voor 25 mei Te stellen prioriteiten 10:45 Rol Functionaris Gegevensbescherming - Wettelijk kader - Praktische invulling 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 1

2 Ontwikkelingen rond persoonsgegevens Wat speelt er allemaal? Ontwikkelingen, technologie, wet- en regelgeving Meer mogelijkheden: Internet of things, domotica, big data, clientportalen, toenemende gegevensuitwisseling Meer misbruik Meer aandacht voor bescherming burger Nieuwe wet- en regelgeving: AVG, Europese privacy verordening 22 juni 2017 BTN - Informatieveiligheid en privacy 2

3 Europese Privacy Verordening - AVG Waar moet ik op 28 mei 2018 extra aan voldoen? Register verwerking persoonsgegevens Verwerkersovereenkomsten aangescherpt Functionaris Gegevensbescherming Privacy impact assessments (PIA s) Rechten clienten Expliciete, vrije, ondubbelzinnige toestemming voor verwerking wanneer andere rechtmatige grondslag ontbreekt Recht om vergeten te worden Recht op data portabiliteit Hoge boetes door Autoriteit Persoonsgegevens (max. 20 miljoen of 4 procent) 22 juni 2017 BTN - Informatieveiligheid en privacy 3

4 Register verwerking persoonsgegevens Wat moet er in worden vastgelegd? Per verwerking: Doeleinden en grondslag Categorieën persoonsgegevens en betrokkenen Gevoeligheid / classificatie Uitwisseling van gegevens Bewaartermijnen Beschrijving wijze waarop gegevens zijn beveiligd zie ook NEN juni 2017 BTN - Informatieveiligheid en privacy 4

5 Presentatie 22 juni 2017 Waar ging het om? - Wat betekent de AVG voor zorgaanbieders? - Niet los te zien van informatiebeveiliging ( passend niveau van beveiliging )!! - Van belang om hieraan praktische invulling te geven Workshops - Onderdelen AVG - Praktische handvatten informatieveiligheid - Voorbeelddocumenten, zoals IB beleid, model verwerkersovereenkomst en checklist, gouden regels, protocol datalekken, continuiteitsmanagement, etc. - Ondersteuning bij register verwerkingen persoonsgegevens, privacybeleid / - reglementen 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 5

6 VEEL VOORKOMENDE RISICO S Ongeoorloofd gebruik BSN Vastlegging kopieën legitimatiebewijzen Niet toegestane registraties (ras/etnische achtergrond, religie) Gebruik productiegegevens voor testen Logging onvoldoende Onvoldoende fijnmazigheid in autorisatiestructuur (medewerkers toegang tot te veel gegevens) Onduidelijk bewaartermijnen en invulling daarvan Onveilige en/of onrechtmatige uitwisseling gegevens met derden Onduidelijkheid over invulling rechten clienten en andere betrokkenen, waardoor niet wordt tegemoet gekomen aan rechten Toestemming niet juist ingevuld Fysieke beveiliging Onduidelijke afspraken leveranciers Datalekken 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 6

7 Recente wet- en regelgeving, standaards, etc. Relevant voor zorgaanbieders Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg per 1/7/2018 Besluit elektronische verwerking gegevens in de zorg per 1/1/2018 Revisie NEN7510 (normenkader informatiebeveiliging voor de zorg) BOZ model verwerkersovereenkomst Handleiding AVG en Uitvoeringswet 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 7

8 AVG, hoe nu verder Belang van diverse onderdelen Register verwerking persoonsgegevens (beschrijving, doel, grondslag, gebruikers, uitwisseling, maatregelen, bewaartermijnen, etc.) Privacy impact assessments Verwerkersovereenkomsten Cliëntenrechten (actieve informatieplicht, expliciete toestemming, inzage en correctie, verwijdering, dataportabiliteit) Praktische invulling, prioriteiten stellen, grootste risico s afdekken 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 8

9 Register verwerking persoonsgegevens Wat zijn de uitdagingen? Vraagt veel (doorloop) tijd Hebben we alle verwerkingen in beeld? Wat leggen we vast in register? Nog geen richtlijnen van toezichthouder / voorbeelden van brancheorganisaties Belang van register Privacy in control Belangrijke informatiebron, ook voor betrokkenen Autoriteit Persoonsgegevens kan het opvragen, bijvoorbeeld bij datalekken 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 9

10 Privacy impact assessments Bij privacygevoelige verwerkingen verplicht uit te voeren Wanneer nodig? Bijvoorbeeld op grote schaal bijzondere persoonsgegevens Vergelijkbare verwerkingen, dan een integrale PIA Risico s beperken door beschermende maatregelen FG dient te worden betrokken Wanneer risico s niet voldoende afgedekt, dient de verantwoordelijke de verwerking voor te leggen aan AP Keuze uitvoering PIA, bijvoorbeeld toepassing van NOREA model of praktischer benadering 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 10

11 Verwerkersovereenkomsten Wanneer wel of niet nodig? Gebruik BOZ model, maar wel toetsen aan eigen situatie Vooraf toepassing eisen van leverancier Bijvoorbeeld bij datalek of ander beveiligingsincident bij leverancier van groot belang; opdrachtgever blijft verantwoordelijk Let op aansprakelijkheid!! 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 11

12 Clientenrechten Een actieve informatieplicht!!! Wees voorbereid op toenemende uitoefening van clientenrechten Maak medewerkers bewust hiervan Zorg dat benodigde interne processen en procedures adequaat zijn ingericht 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 12

13 Functionaris gegevensbescherming AVG en zorg specifieke wetgeving Verplicht op basis van AVG en Besluit Elektronische Verwerking Gegevens in de Zorg Onafhankelijke positie, toezichthoudend op basis van verzamelen informatie Mag geen managementfunctie vervullen of anderszins beslissingsbevoegd zijn over verwerkingen persoonsgegevens Adviseren, informeren (ook bij PIA s, betrokkenheid is verplicht), betrokken bij datalekken Stelt minimaal een maal per jaar een rapportage op voor bestuur van de organisatie Houdt register bij Contactpersoon AP, aangemeld bij AP Deskundig op gebied van privacywetgeving, praktische toepassingen, bekend met organisatie Privacy opleidingen Specifieke opleidingen voor FG Mag gezamenlijk met andere organisaties worden aangesteld of worden ingehuurd 8 februari 2018 BTN - Informatieveiligheid en privacy (AVG) 13