SURF Juridisch Normenkader Cloud(services)

Transcriptie

1 SURF Juridisch Nrmenkader Clud(services) Utrecht, ktber 2016 Versienummer: versie 2.0, najaar 2016

2 Clfn SURF Juridisch Nrmenkader Clud(services) SURF Pstbus NL-3501 DA Utrecht T inf@surf.nl Oktber 2016 Deze publicatie verschijnt nder de licentie Creative Cmmns Naamsvermelding 3.0 Nederland SURF is de ICT-samenwerkingsrganisatie van het Nederlandse hger nderwijs en nderzek. Deze publicatie is digitaal beschikbaar via de website van SURF: SURF Juridisch Nrmenkader (Clud)services 2

3 Inhudspgave 1. Histrie 4 2. Onderwerpen uit het Juridisch Nrmenkader 5 3. Juridische cmmissie Praktische instrumenten en andere handreikingen 13 SURF Juridisch Nrmenkader (Clud)services 3

4 1. Histrie April 2014 heeft het tenmalige SURF Platfrmbestuur ICT en Bedrijfsvering het SURF Juridisch Nrmenkader (Clud)services vastgesteld. Het Nrmenkader biedt handvaten aan de sectr m adequate waarbrgen in te buwen bij het afnemen van cluddiensten met betrekking tt de mgang van persnsgegevens, de vertruwelijkheid van infrmatie, beschikbaarheid van de dienstverlening en eigendm van gegevens. Het zwaartepunt van het Nrmenkader ligt bij de bepalingen mtrent de mgang van persnsgegevens. Deze bepalingen bieden waarbrgen van de privacy van de gebruiker en zijn gebaseerd p natinale en Eurpese regelgeving. Actualisering Nrmenkader In verband met ntwikkelingen rnd internatinaal verkeer van persnsgegevens (ngeldigverklaring van Safe Harbr dr het Eurpese Hf) en de inwerkingtreding van de meldplicht van datalekken, is het Nrmenkader vr wat betreft de privacy bepalingen geactualiseerd. Er is gekzen m de geactualiseerde privacy bepalingen nder te brengen in een zgenaamde bewerkersvereenkmst. Op de instelling rust de wettelijke verplichting m bij de afname van diensten waarbij in pdracht van de instelling persnsgegevens wrden verwerkt een dergelijke bewerkersvereenkmst af te sluiten. De SURF-mdelvereenkmst biedt hierbij een praktisch instrument. De mdel bewerkersvereenkmst is vastgesteld in de Juridische Cmmissie (zie hfdstuk 3) en met ndersteuning van het advcatenkantr Prject Mre. De mdel bewerkersvereenkmst en de verige bepalingen uit het Nrmenkader zijn te te passen bij alle dienstverlening in pdracht van de instelling waar privacy, beschikbaarheid, vertruwelijkheid en eigendm een rl spelen. In het dcument wrdt gesprken daarm gesprken van leverancier. De pzet van het Juridisch Nrmenkader is k veranderd. In deze ntitie wrdt uitleg gegeven wat het Nrmenkader inhudt en he het tt stand is gekmen. En zijn de bepalingen mtrent vertruwelijkheid, intellectueel eigendm en beschikbaarheid te vinden. Daarnaast zijn er verschillende bijlagen, zals de eerdergenemde bewerkersvereenkmst, maar k handreikingen ver bijvrbeeld beveiliging en audits, m het Nrmenkader p een gede manier te kunnen tepassen. SURF Juridisch Nrmenkader (Clud)services 4

5 2. Onderwerpen uit het Juridisch Nrmenkader Het Nrmenkader biedt nderwijsinstellingen een stevige basis vr cntracten met leveranciers. Bij het gebruik van leveranciers van ICT-diensten vr nderwijs, nderzek en bedrijfsvering van een instelling, wrden (bedrijfs)gegevens vr pslag en verwerking ndergebracht binnen de ICT-infrastructuur van de leverancier. Dat vraagt waarbrgen met betrekking tt zeggenschap, vertruwelijkheid, beschikbaarheid en privacy van deze gegevens. Zeker als het persnsgegevens betreft is het bestuur van een instelling vlgens (natinale en Eurpese) wet- en regelgeving aansprakelijk vr het respecteren van de privacy van de persnen, k als de gegevens wrden verwerkt bij een derde partij zals de leverancier. Ok vragen zeggenschap ver gegevens en de vertruwelijkheid waarbrgen m de belangen van de instellingen te verzekeren. De clausules uit het Nrmenkader bieden deze waarbrgen. De vier bvengenemde nderwerpen zijn nader gespecificeerd en per nderwerp zijn standaardbepalingen gefrmuleerd. Daarbij vlgt een uitleg he deze bepalingen te duiden en te gebruiken. NB: in de standaardbepalingen in deze ntities wrden een aantal begrippen met hfdletter genemd. Deze begrippen dienen in de vereenkmst te wrden gedefinieerd. Onderstaande definities kunnen wrden gebruikt: Te gebruiken definities: Dienst: de nder de Overeenkmst te leveren dienst van leverancier Gebruiker: een p enigerlei wijze aan instelling verbnden (natuurlijke) persn, zals persneel, dcenten en/f studenten, die dr de instelling geautriseerd is tt (een bepaald deel) van de Dienst. Gegevens: alle gegevens, data, infrmatie en ander materiaal f cntent die de instelling en/f Gebruikers in het kader van de Overeenkmst inveren, versturen, plaatsen f anderszins verwerken met behulp van de Dienst, waarnder mede begrepen Persnsgegevens. Overeenkmst: de nderhavige Overeenkmst die ziet p verlening van Diensten en p grnd waarvan de leverancier ten beheve van instelling Gegevens verwerkt. Persnsgegevens: elk gegeven betreffende een geïdentificeerde f identificeerbare natuurlijke persn, die p welke wijze dan k dr leverancier verwerkt wrdt f zal wrden in het kader van de Overeenkmst. SURF Juridisch Nrmenkader (Clud)services 5

6 1. Eigendmsrechten en zeggenschap Te gebruiken bepaling: (INTELLECTUELE) EIGENDOMSRECHTEN EN ZEGGENSCHAP 1. Alle (intellectuele) eigendmsrechten - daarnder begrepen enig auteursrecht en databankenrecht - p (het bestand c.q. de bestanden van) de Gegevens blijven te allen tijde berusten bij de instelling, de betreffende Gebruiker, dan wel hun respectievelijke licentiegever(s). 2. Leverancier heeft geen zelfstandige zeggenschap ver de Gegevens die dr haar wrden verwerkt. De zeggenschap ver de Gegevens berust bij de instelling en/f de betreffende Gebruiker. Uitleg Welke nderdelen? Waarm belangrijk? Waar regelen? Telichting - Intellectueel eigendm - Zeggenschap ver gegevens Regelen dat zeggenschap ver gegevens niet wrdt vergedragen aan de leverancier Hfdvereenkmst Intellectueel eigendm: Het intellectuele eigendm p de gegevens (uitdrukkelijk alle gegevens en niet slechts persnsgegevens) gaat nit ver naar de leverancier, maar blijft in handen van de instelling, gebruiker f de licentiegevers van de gebruiker f de instelling. Met deze bepaling is vastgelegd dat de leverancier de intellectuele eigendmsrechten dient te respecteren. Zeggenschap: Dr de zeggenschap ver de gegevens (uitdrukkelijk alle gegevens en niet slechts persnsgegevens) te leggen bij de gebruiker en/f de instelling is expliciet vastgelegd dat de gegevens alleen mgen wrden verwerkt vr zver de gebruiker/instelling daar pdracht te geeft. Praktijk Het intellectuele eigendm van gegevens, bijvrbeeld van werkstukken van studenten, behrt te aan de student en/f instelling. Dit kan nit vergaan p de leverancier. De gegevens die wrden verwerkt blijven nder de zeggenschap van de instelling en/f gebruiker. In het Nederlands recht is de term eigendm en daarmee eigenaarschap verbnden met fysieke zaken. Nu van fysieke zaken bij cluddienstverlening geen sprake is, is hier niet vr de term eigenaarschap gekzen, maar vr termen die met betrekking tt gegevens gezamenlijk dezelfde lading dekken: (intellectuele) eigendmsrechten en zeggenschap. SURF Juridisch Nrmenkader (Clud)services 6

7 2. Beschikbaarheid Te gebruiken bepaling: BESCHIKBAARHED VAN DE GEGEVENS 1. Leverancier is verantwrdelijk vr de beschikbaarheid van de Dienst aan de instelling vereenkmstig het bepaalde in deze Overeenkmst <en de service level agreement (SLA) welke daarvan nderdeel uitmaakt>. 2. Leverancier zal zrgdragen vr adequate back-up en restre vrzieningen m beschikbaarheid van de Dienst (en daarmee van de statische en dynamische Gegevens) te waarbrgen. Uitleg Welke nderdelen? Waarm belangrijk? Waar regelen? Telichting - Beschikbaarheid - Back- up en restre vrzieningen Zrgen dat er vereenstemming is ver de beschikbaarheid van de dienst en te garanderen dat er een adequate back-up is. Hfdvereenkmst en in de Service Level Agreement (SLA) Beschikbaarheid: Met deze bepaling stemt de leverancier uitdrukkelijk (expliciet) in met de bepalingen in de vereenkmst. Wanneer de instelling cnstateert dat de dienstverlening niet aan de bepalingen vldet, geeft dit artikel een extra mgelijkheid (naast de al niet nagekmen bepaling) m de leverancier in juridische zin aan te spreken. Back- up en restre vrzieningen: Praktijk De leverancier is verplicht de gegevens f een kpie van de gegevens te bewaren vr het geval de dienstverlening uitvalt (m welke reden dan k). Ok is de leverancier verplicht een recente back-up te kunnen gebruiken m de dienstverlening na de uitval weer te kunnen pstarten (restre-en). De gegevens blijven hierdr beschikbaar vr de instelling. Met verwijzing naar nder andere deze bepaling kan een ingebrekestelling wrden pgesteld in het geval de leverancier de bepalingen niet nakmt. De tussen haakjes < > gezette tekst in lid 1 kan wrden weggelaten indien er geen sprake is van een SLA. SURF Juridisch Nrmenkader (Clud)services 7

8 3. Vertruwelijkheid Te gebruiken bepaling: ARTIKEL VERTROUWELIJKHEID 1. Partijen zullen alle Gegevens waarvan zij het vertruwelijk karakter kennen f redelijkerwijs kunnen vermeden en die hen in het kader van de uitvering van deze Overeenkmst ter kennis f beschikking kmen, geheimhuden en p geen enkele wijze verder intern f extern bekendmaken en/f aan derden verstrekken, behalve vr zver: a) bekendmaking en/f verstrekking van die Gegevens in het kader van de uitvering van deze Overeenkmst ndzakelijk is; b) enig dwingendrechtelijk wettelijk vrschrift f rechterlijke uitspraak partijen tt bekendmaking en/f verstrekking van die Gegevens f infrmatie verplicht, waarbij partijen eerst de andere partij hiervan p de hgte stellen; c) bekendmaking en/f verstrekking van die Gegevens geschiedt met vrafgaande schriftelijke testemming van de andere partij; dan wel d) het infrmatie betreft die al rechtmatig penbaar was p een andere wijze dan dr het handelen f nalaten van een der partijen. 2. Bij elke schending van zijn geheimhudingsverplichting zijn partijen een direct peisbare bete van EUR per vertreding verschuldigd, nverlet de verige rechten p schadevergeding van de andere partij. 3. Partijen zullen vr hen werkzame persnen (waarnder werknemers) die betrkken zijn bij de verwerking van vertruwelijke Gegevens cntractueel verplichten tt geheimhuding van die vertruwelijke Gegevens. 4. Partijen verlenen p verzek van de andere partij hun medewerking aan het uitefenen van tezicht dr f namens de andere partij p de bewaring en het gebruik van vertruwelijke Gegevens dr de andere partij. 5. Partijen stellen alle Gegevens die zij in het kader van de uitvering van de Overeenkmst nder zich hebben, inclusief eventueel daarvan gemaakte kpieën, p eerste verzek aan de andere partij ter beschikking. 6. Ieder der Partijen zal de andere partij nmiddellijk infrmeren nadat zij bekend is gewrden met een vermedelijk(e) f daadwerkelijk(e) (i) schending van de geheimhudingsplicht; (ii) verlies van vertruwelijke Gegevens; f (iii) schending van beveiligingsmaatregelen. De nalatige partij zal p eigen ksten alle bendigde maatregelen nemen m de vertruwelijke Gegevens veilig te stellen, de tekrtkmingen in de beveiligingsmaatregelen te herstellen m verdere kennisneming, wijziging, en verstrekking te vrkmen, nverminderd enig recht van cnstaterende partij p schadevergeding f andere maatregelen. De nalatige partij zal p verzek van de andere partij meewerken aan het infrmeren van betrkkenen. SURF Juridisch Nrmenkader (Clud)services 8

9 Uitleg Welke nderdelen? Waarm belangrijk? Waar regelen? Telichting - Vertruwelijkheid - Schending vertruwelijkheid - Geheimhuding - Tezicht vertruwelijkheid Regelen dat bepaalde (persns)gegevens vertruwelijk wrden behandeld, niet intern en extern mgen wrden verspreid en er een geheimhudingsplicht geldt vr werknemers. Hfdvereenkmst en eventueel in de Bewerkersvereenkmst. 1. Met tepassing van dit artikel wrden gegevens die als vertruwelijk wrden bestempeld dr de instelling f dr de gebruiker als zdanig te wrden behandeld. De vertruwelijkheid van gegevens heeft tt gevlg dat de leverancier deze gegevens geheim dient te huden en niet mag verspreiden/bekendmaken (nch intern, nch extern). Persnsgegevens kunnen wrden nderscheiden van vertruwelijke gegevens (maar persnsgegevens kunnen tegelijkertijd k vertruwelijke gegevens zijn). Daar waar het persnsgegevens betreft dient te wrden vldaan aan de Wet bescherming persnsgegevens (wbp). Ad a. Het kan vrkmen dat bekendmaken f verstrekking van vertruwelijke gegevens ndzakelijk is vr de uitvering van de dienstverlening en/f de vereenkmst. In dat geval en tt zver is bekendmaking en verspreiding van vertruwelijke gegevens tegestaan. Ad b. De vertruwelijkheid van gegevens mag niet in de weg staan bij het vlden van de leverancier aan dwingendrechtelijke wet- en regelgeving. Ok hier geldt weer dat bekendmaking en verstrekking van de vertruwelijk gegevens is tegestaan m te vlden aan de dwingendrechtelijke wet- en regelgeving dr de leverancier. Ad c. Alleen met schriftelijke testemming van de verantwrdelijke mgen vertruwelijke gegevens wrden bekendgemaakt/ verstrekt. Ok hier geldt weer dat de bekendmaking en de verspreiding alleen mag cnfrm de schriftelijke testemming en niet verder dan waarvr de testemming gegeven is. Ad d. Wanneer vertruwelijke gegevens al penbaar zijn (dr teden f nalaten van de instelling) is de geheimhuding niet meer van tepassing. 2. Op het schenden van de geheimhudingsplicht staat een direct peisbare bete, daar schending van de geheimhudingsplicht niet meer kan wrden teruggedraaid. Bij de hgte van de bete is k gekeken naar de ARBITvrwaarden. Deze is niet vergenmen. Er is beslten een lager bedrag van ,-- per vertreding te hanteren. 3. Niet alleen de leverancier maar k de vr haar werkzame persnen dienen een geheimhudingsverklaring te ndertekenen m aan dit artikel te kunnen vlden. Dit m de geheimhudingsplicht verder te effectueren en de aansprakelijkheid ten aanzien van het schenden van de geheimhudingsverplichting vast te leggen. SURF Juridisch Nrmenkader (Clud)services 9

10 4. Ter zekerstelling van een juiste uitvering van de geheimhudingverplichting dr de leverancier is de leverancier verplicht medewerking te verlenen aan het tezicht dat de instelling hierp uit kan veren. De leverancier is p grnd van deze bepaling verplicht mee te werken aan het tezicht p de naleving van deze geheimhudingsverplichting. 5. De instelling kan (vertruwelijke) gegevens p verzek pvragen. Ok eventuele kpieën van de gegevens zdat vertruwelijke gegevens niet meer wrden verwerkt bij de leverancier. Op deze wijze kan de instelling de verwerking van de (vertruwelijk) gegevens cntrleren en beheersen. 6. Vr de leverancier geldt een nmiddellijke infrmatieplicht ter zake van beveiligingsincidenten betreffende vertruwelijke gegevens. Het gaat hierbij m vermedelijk en daadwerkelijk incident zdat de geheimhudingsplicht zveel als mgelijk kan wrden gewaarbrgd. Onder incidenten vallen nbevegde kennisneming, verlies f inbreuk p de beveiliging. Naast de infrmatieplicht is de leverancier verplicht m te reageren p de incidenten dr de vertruwelijke gegevens veilig te stellen, maatregelen nemen m het incident te beëindigen en/f te vrkmen en mee te werken aan verdere afhandeling van een incident. Praktijk 1. De instelling f gebruiker kan expliciet aangeven dat gegevens vertruwelijk zijn. Op dat mment vallen de gegevens nder de regeling van dit artikel. Wanneer de vertruwelijkheid niet expliciet is aangegeven, maar de leverancier wel kan vermeden dat het vertruwelijke gegevens betreft dienen de gegevens k als vertruwelijk behandeld te wrden. In de praktijk is het aan te bevelen de vertruwelijkheid van gegevens expliciet aan te geven, zdat daarmtrent geen discussie kan ntstaan. Een rdeel van vertruwelijkheid ligt in dat geval bij de instelling en/f gebruiker zelf. Daar waar het gaat m gegevens waarvan redelijkerwijs vermed kan wrden dat de gegevens vertruwelijk zijn, is dat uiteindelijk ter berdeling van de rechter. Vr de leverancier betekent de geheimhudingsplicht dat de vertruwelijke gegevens niet dr de leverancier verder wrden verspreid dan ndig vr de uitvering van de dienstverlening. Deze gegevens mgen niet intern f extern bekend wrden gemaakt f verder wrden verspreid. 2. Wanneer de leverancier de geheimhudingsplicht schendt is een direct peisbare bete p zijn plaats. Een schending van de geheimhudingsplicht kan vaak niet wrden teruggedraaid. Er is dan al direct sprake van schade. 3. De geheimhudingsverklaring dient vrafgaand aan het starten van de dienstverlening gecntrleerd te wrden. Dat kan dr de betreffende cntractuele verplichting p te vragen bij de leverancier. 4. De instelling kan tezicht p de naleving van de geheimhudingsverplichting uitveren dr bijvrbeeld de geheimhudingsverklaring met medewerkers van de leverancier p te vragen f prcedures die betrekking hebben p de uitvering van de geheimhudingsverplichting in te zien. SURF Juridisch Nrmenkader (Clud)services 10

11 4. Privacy De Wbp stelt de instelling verantwrdelijk vr het waarbrgen van de privacy van de persnen wiens gegevens het betreft. Als een leverancier gegevens namens een instelling verwerkt, schrijft de Wbp vr dat er schriftelijke afspraken meten wrden gemaakt tussen de verantwrdelijke van de persnsgegevens (de instelling in dit geval) en de bewerker (de leverancier), m z een gede mgang met persnsgegevens te waarbrgen en af te spreken wat een bewerker wel en niet mag met de persnsgegevens. Belangrijk daarbij is dat persnsgegevens dr de instelling wrden geclassificeerd naar risicniveau. In vereenstemming met de richtlijnen van de Autriteit Persnsgegevens de tezichthuder p de uitvering van de Wbp, stelt het Nrmenkader tenemende eisen aan de leverancier, naar gelang een hger risicniveau van gegevens wrdt vastgesteld. De niveaus binnen het Nrmenkader variëren van Laag (publieke persnsgegevens), Nrmaal/Midden (persnsgegevens die niet publiek dan wel bijzndere persnsgegevens zijn) en Hg (in ieder geval bij bijzndere persnsgegevens). De bepalingen geven de instelling de zekerheid dat de eigen wettelijke verantwrdelijkheid genmen is en verantwrd kan wrden naar de tezichthuder. Ok rechten van de persnen die het aangaat wrden gewaarbrgd. Verder regelen de bepalingen dat de leverancier k bij inschakeling van hulpleveranciers aan rechten en plichten blijft vlden in het licht van de verantwrdelijkheid van de instelling. Dit geldt k als de leverancier f hulpleveranciers zich buiten de Eurpese Ecnmische Ruimte (EER) bevindt. Bepalingen ver privacy en de bescherming van persnsgegevens wrden in een Bewerkersvereenkmst pgenmen. De Bewerkersvereenkmst kan als lsse vereenkmst naast de hfvereenkmst wrden afgeslten, f als bijlage bij de hfdvereenkmst waarin de dienstverlening wrdt geregeld. Een Mdel bewerkersvereenkmst is nderdeel van het Nrmenkader. De Mdel bewerkersvereenkmst kent de vlgende nderwerpen: Verwerken in pdracht en vlgens instructies; Inzet van hulpleveranciers; Beveiliging; Meldplicht datalekken; Auditverplichting; Internatinaal verkeer; Behandelen van pspringsverzeken; Infrmeren van betrkkenen; Vrijwaring; Maatregelen tezichthuder; Wijziging in verwerking van persnsgegevens; Duur en beëindiging; Tepasselijk recht en geschillenbeslechting; Specificatie van persnsgegevens en beveiligingsmaatregelen. De Mdel Bewerkersvereenkmst is bijlage A bij het Nrmenkader. Een aparte bijlage, hrend bij het Nrmenkader, bevat een telichting bij elke bepaling van de Bewerkersvereenkmst en een instructie vr het invullen van de bijlage A behrend bij de Mdel Bewerkersvereenkmst (specificatie van de persnsgegevens en beveiligingsmaatregelen). SURF Juridisch Nrmenkader (Clud)services 11

12 3. Juridische cmmissie Bij de vaststelling van het Nrmenkader is beslten tt het inrichten van een Juridische Cmmissie waarin juristen vanuit de instellingen zijn vertegenwrdigd. Ok maken beveiligingsexperts vanuit de beveiligingscmmunity (ten ng SURFib tegenwrdig SCIPR) deel uit van de Juridische Cmmissie. De Juridische Cmmissie bewaakt de inhudelijke elementen van het Nrmenkader en vlgt daarte de relevante ntwikkelingen in tepasselijke wet- en regelgeving, natinaal en internatinaal. Daarnaast speelt de Juridische Cmmissie een rl bij de tepassing in de praktijk van het Nrmenkader bij het sluiten van vereenkmsten dr SURFmarket ten beheve van de SURF delgrep. De Juridisce Cmmissie bespreekt eventuele gemtiveerde afwijkingen van het Nrmenkader. De taken en werkwijze van de Juridische Cmmissie zijn als vlgt: - Verdere ntwikkeling van het Nrmenkader. Dit kunnen aanpassingen en verbeteringen zijn maar k verdere uitwerkingen van de nderwerpen van Nrmenkader en handreikingen vr de tepassing in de praktijk. - Bespreking van de gemtiveerde afwijkingen van de nrmen bij het afsluiten van vereenkmsten dr SURFmarket. - Het pstellen van een jaarverzicht dat zal wrden gedeeld met de directieraad van SURF. Samenstelling Cmmissie De Juridische Cmmissie bestaat uit vertegenwrdigers uit de delgrep die binnen een instelling de functie van jurist, functinaris persnsgegevens, privacy fficer dan wel security expert vervullen. Begd is dat uit elk van de vlgende delgrep segmenten een vertegenwrdiger plaats neemt in de Juridische Cmmissie: universiteiten, hgeschlen, kleine hgeschlen, Universitair Medische Centra, MBO en de nderzekssectr. Vr de beneming van de nieuwe leden zal een benemingsprcedure wrden gevlgd. De Juridische Cmmissie kiest uit haar midden een vrzitter. SURF levert de secretaris. Vanuit SURFmarket zal het hfd cntractmanagement participeren. Daarnaast zullen juristen van SURF betrkken bij het Nrmenkader en de Crprate Privacy Officer van SURF deel uitmaken van de Cmmissie. SURF Juridisch Nrmenkader (Clud)services 12

13 4. Praktische instrumenten en andere handreikingen Het Juridisch Nrmenkader bevat een aantal bijlagen, die zijn pgesteld m te helpen bij het gebruiken en tepassen van het Nrmenkader: Bijlage A: SURF Mdel bewerkersvereenkmst Bijlage B: Instructie bij Mdel bewerkersvereenkmst Bijlage C: Handreiking beveiligingsmaatregelen Bijlage D: Handreiking Auditverplichting leverancier Het Nrmenkader blijft zich ntwikkelen en er wrdt naar gestreefd m het Nrmenkader verder aan te vullen met handreikingen en praktische instrumenten vr de tepassing van het Nrmenkader in de praktijk. In deze versie van het Nrmenkader heeft met name privacy veel aandacht gekregen maar k vr de andere nderwerpen zals beschikbaarheid en vertruwelijkheid staan vr verdere uitwerkingen p de agenda. SURF Juridisch Nrmenkader (Clud)services 13