DE NIEUWE WETGEVING IN EEN NOTENDOP. Aanspreekpunt Informatieveiligheid: basisopleiding (18-19) Dag 1

Transcriptie

1 Dienst Bestuur & Organisatie Guimardstraat BRUSSEL Aanspreekpunt Informatieveiligheid: basisopleiding (18-19) Dag 1 DE NIEUWE WETGEVING IN EEN NOTENDOP 1 van 47

2 2 van 47

3 Inhoud 0 Preambule Inleiding Praktische zaken Algemeen Waarom de GDPR? GDPR in een notendop Persoonsgegevens Verwerkingen Rollen Algemeen Verwerkingsverantwoordelijke Betrokkene Verwerker Ontvanger Toezichthoudende autoriteit Beginselen en algemene principes Rechtmatig, behoorlijk en transparant Doelbinding Dataminimalisatie Juistheid Opslagbeperking Integriteit en vertrouwelijkheid Rechten van de betrokkene Algemeen Recht op informatie Recht op inzage Recht op verbetering Recht op gegevenswissing Recht op beperking van de verwerking Recht van bezwaar Recht om zich te verzetten tegen geautomatiseerde besluitvorming Recht op overdraagbaarheid Beperkingen van 47

4 5 Sanctionering Wat moet de verwerkingsverantwoordelijke doen? Informeren en sensibiliseren Aanwijzen van een aanspreekpunt informatieveiligheid Informatieveiligheids- en privacybeleid opstellen Bestaande inschrijvingsformulieren nakijken Een register van verwerkingsactiviteiten bijhouden Een privacyverklaring opstellen Zorgen dat betrokkenen hun rechten kunnen uitoefenen Zorg ervoor dat gegevenslekken gemeld worden Sluit verwerkersovereenkomsten af Breng gegevensbeschermingseffectbeoordeling(en) in orde Zorg voor opvolging en bijsturing Informatieveiligheid op de werkvloer Tot slot van 47

5 0 Preambule In deze syllabus zijn de handouts verzameld voor de eerste cursusdag van de basisopleiding als AIV (Aanspreekpunt InformatieVeiligheid) van KathOndVla. Er is ruimte voorzien om te noteren. Zie aangaande uw inschrijving en de planning van de verschillende reeksen voor deze module (met persoonlijke login). Het is aan te raden dat u ook inschrijft voor de leernetwerkdag die we in november/december 2018 inrichten, zie Op deze dag volgen we de aangereikte informatie en documenten op, samen met de cursisten die vorig schooljaar ( ) deze opleiding gevolgd hebben. Gedurende de tweede cursusdag zullen alle modeldocumenten, sjablonen en ander (sensibiliserings)materiaal behandeld worden. Alle documentatie is te vinden op de website die u doorverwijst naar Het Aanspreekpunt Informatieveiligheid (AIV) adviseert en ondersteunt de onderwijsinstelling en het schoolbestuur bij de de naleving van de privacywetgeving. Het aanspreekpunt informatieveiligheid vertoont affiniteit met ict en met de verwerking van persoonsgegevens binnen de school, maar heeft niet noodzakelijk een opleiding inzake ict gehad. Het aanspreekpunt treedt op als contactpersoon voor de DPO van de koepelorganisatie, helpt mee aan het bewustmakingsproces over informatieveiligheid in de onderwijsinstelling en helpt mee om samen met directie en bestuur het informatieveiligheids- en privacybeleid in de instelling te implementeren. Daarnaast zal hij/zij het aanspreekpunt zijn bij datalekken en de nodige documenten kunnen aanpassen en invullen om aan te tonen dat de onderwijsinstelling aan de privacywetgeving voldoet. In bijlage is een overzicht opgenomen van de verschillende verantwoordelijkheden en taken inzake privacy en informatieveiligheid. Veel succes alvast met de opleiding! De projectleider voor deze opleiding is Gino De Meester en er zijn twee lesgevers. Hun coördinaten zijn: gino.demeester@katholiekonderwijs.vlaanderen bert.cauwenberg@katholiekonderwijs.vlaanderen peter.declerck@katholiekonderwijs.vlaanderen 5 van 47

6 Wie Rollen Hoe Verantwoordelijkheid / taken Wat Realiseren / vastleggen School- of Eindverantwoordelijke centrumbestuur Verantwoordelijk voor het zorgvuldig en rechtmatig verwerken van persoonsgegevens IVP-beleidsvorming, -vastlegging en het uitdragen ervan Evalueren toepassing en werking IVPbeleid op basis van rapportages en bijsturen van dit beleid indien nodig Organisatie IVP inrichten Leidinggevende Toezien op de naleving van het IVPbeleid (directie) en privacywetgeving en de daarbij behorende processen, richtlijnen en procedures door de medewerkers. Communicatie naar alle betrokkenen; er voor zorgen dat alle medewerkers op de hoogte zijn van het IVP-beleid en de consequenties ervan. Voorbeeldfunctie met positieve en actieve houding t.a.v. IVP-beleid. Periodiek het onderwerp informatiebeveiliging onder de aandacht brengen in werkoverleg, beoordelingen, Implementeren IVP-maatregelen. Rapporteren voortgang m.b.t. doelstellingen IVP-beleid aan bestuur DPO van de koepel Schoolbesturen informeren en adviseren over hun verplichtingen krachtens de AVG en regelgeving; Richtlijnen, kaders, procedures opstellen en aanbevelingen doen m.b.t. informatieveiligheid en privacy Aanspreekpunten IVP opleiden en hen de nodige tools en hulpmiddelen verstrekken desgevraagd advies verstrekken over de gegevensbeschermingseffectbeoordel ing (GEB) samenwerken met de toezichthoudende autoriteit en optreden als aanspreekpunt voor deze autoriteit Brugfiguur naar de externe partijen toe Lerend netwerk ontwikkelen en aansturen Informatieveiligheids- en privacybeleid opstellen, goedkeuren en communiceren Aanspreekpunt informatieveiligheid aanstellen Oprichten veiligheidscel Communiceren, informeren en toezien op naleving van o.a.: IVP in het algemeen Hoe omgaan met leerlingendossiers Wie mag wat zien Gedragscode Beveiliging van ruimtes Preventieve maatregelen ( o.a. brand en waterschade aan servers ) Opstellen van algemene processen, richtlijnen en sjablonen IVP Nascholingstraject organiseren Overleg met informatieveiligheidsconsulenten onderwijsnetten en GO! Overleg met externe partijen: leveranciers van leerlingadministratie en - volgsysytemen en leveranciers van didactische software Tools aanpassen/ontwikkelen 6 van 47

7 Aanspreekpunt informatieveiligheid AIV Informeert en adviseert directie/bestuur en personeel over IVP Rapporteert naar directie/bestuur Informeert de informatieveiligheidsconsulent van de koepel Meewerken aan de uitwerking van een specifiek IVP-beleid op basis van het algemeen IVP-beleid Voorstellen doen tot aanpassingen van centraal aangeboden processen, richtlijnen en procedures om de uitvoering van het IVP-beleid te ondersteunen binnen de school Meewerken aan: o classificatie van middelen o risicoanalyse o het opstellen van een veiligheidsplan Aanspreekpunt voor IVP-incidenten Incidentafhandeling (registreren en evalueren). Invullen register verwerkingsactiviteiten Voorstellen van aanpassingen aan de uitgewerkte formuleren van processen, richtlijnen en procedures rond IVP, bijvoorbeeld: Security awareness activiteiten Authenticatie en autorisatie-beleid Gedragscodes (ICT en internetgebruik, sociale media, privacybeleid ) naar medewerkers en leerlingen toe Verwerkersovereenkomsten regelen Toestemming opstellen gebruik foto s en video Communicatieplan naar medewerkers, leerlingen, ouders en cursisten Procedure IVP-incident afhandeling Inrichten meldpunt datalekken Melden datalekken naar de overheid toe. Invullen van register verwerkingsactiviteiten voor schooleigen situatie Informatieveiligheids cel (CIV) 1 Classificatie van informatie (niveau s / schillen / kringen) Inventariseren waar persoonsgegevens van de school terechtkomen (leveranciers IVP risicoanalyse uitvoeren lijst) van de school of het Prioriteiten voorstellen Classificatie van informatiebronnen en schoolbestuur Toegangsbeleid zowel fysiek als persoonsgegevens digitaal vaststellen en laten Risicoanalyse uitvoeren en bekrachtigen door bestuur documenteren De toegangsrechten van gebruikers regelmatig beoordelen en controleren. Evalueren IVP-beleid en voorstellen van verbetermaatregelen Diverse aanvullende beleidsstukken, Bespreking veiligheidsincidenten en voorstellen formuleren voor te nemen maatregelen richtlijnen, procedures en protocollen, waaronder: Aanpassen gegevensbeschermingseffectbeoordeling (GEB) aan eigen situatie Toegangsmatrix diverse informatiesystemen en netwerk Iedereen Uitvoeren taken conform gegeven Richtlijnen en procedures volgen richtlijnen en procedures. Verantwoordelijk omgaan met IVP bij Melden incidenten aan aanspreekpunt de dagelijkse werkzaamheden informatieveiligheid 1 Bestaande uit domeinverantwoordelijke/ proceseigenaren waaronder: ICT, personeelsdienst, preventieadviseur, financiën, leerlingenadministratie, facilitair management, leidinggevende) en het aanspreekpunt informatieveiligheid. 7 van 47

8 1 Inleiding 1.1 Praktische zaken 1.2 Algemeen 8 van 47

9 9 van 47

10 1.3 Waarom de GDPR? 10 van 47

11 11 van 47

12 2 GDPR in een notendop 2.1 Persoonsgegevens 12 van 47

13 2.2 Verwerkingen 13 van 47

14 2.3 Rollen Algemeen 14 van 47

15 2.3.2 Verwerkingsverantwoordelijke Betrokkene 15 van 47

16 2.3.4 Verwerker 16 van 47

17 2.3.5 Ontvanger Toezichthoudende autoriteit 17 van 47

18 18 van 47

19 3 Beginselen en algemene principes 3.1 Rechtmatig, behoorlijk en transparant 19 van 47

20 20 van 47

21 21 van 47

22 22 van 47

23 3.2 Doelbinding 23 van 47

24 3.3 Dataminimalisatie 3.4 Juistheid 24 van 47

25 3.5 Opslagbeperking 3.6 Integriteit en vertrouwelijkheid 25 van 47

26 26 van 47

27 4 Rechten van de betrokkene 4.0 Algemeen 27 van 47

28 4.1 Recht op informatie 28 van 47

29 4.2 Recht op inzage 4.3 Recht op verbetering 4.4 Recht op gegevenswissing 29 van 47

30 4.5 Recht op beperking van de verwerking 4.6 Recht van bezwaar 4.7 Recht om zich te verzetten tegen geautomatiseerde besluitvorming 30 van 47

31 4.8 Recht op overdraagbaarheid 4.9 Beperkingen 31 van 47

32 5 Sanctionering 32 van 47

33 6 Wat moet de verwerkingsverantwoordelijke doen? 6.1 Informeren en sensibiliseren 33 van 47

34 6.2 Aanwijzen van een aanspreekpunt informatieveiligheid 34 van 47

35 6.3 Informatieveiligheids- en privacybeleid opstellen 6.4 Bestaande inschrijvingsformulieren nakijken 35 van 47

36 6.5 Een register van verwerkingsactiviteiten bijhouden 6.6 Een privacyverklaring opstellen 6.7 Zorgen dat betrokkenen hun rechten kunnen uitoefenen 36 van 47

37 6.8 Zorg ervoor dat gegevenslekken gemeld worden 37 van 47

38 6.9 Sluit verwerkersovereenkomsten af 38 van 47

39 39 van 47

40 6.10 Breng gegevensbeschermingseffectbeoordeling(en) in orde 6.11 Zorg voor opvolging en bijsturing 40 van 47

41 41 van 47

42 7 Informatieveiligheid op de werkvloer 42 van 47

43 43 van 47

44 44 van 47

45 45 van 47

46 46 van 47

47 8 Tot slot Vragenronde Deze foto van Onbekende auteur is gelicentieerd onder CC BY Zijn er nog: Vragen Opmerkingen Ideeën Bedankt! Kom goed thuis 47 van 47