Nieuwe Europese privacywetgeving 2018 ben jij er klaar voor?

Transcriptie

1 Erik van Roekel Nieuwe Europese privacywetgeving 2018 ben jij er klaar voor? Job Vos (adviseur privacy) 5 oktober 2017, Lunteren

2 Er was eens Hullie at Dutch Wikipedia 2

3

4 4

5 Facebook hield bij dat Roodkapje bij oma op bezoek ging Apple hield bij hoe lang Roodkapje er bleef Samsung hoorde precies wat oma zei En Google wist al lang dat Roodkapje van plan was op bezoek te gaan 5

6 Aandacht voor privacy in het onderwijs Aandacht voor privacy niet nieuw 1989: Wet persoonsregistratie (WPR) 2001: Wet bescherming persoonsgegevens (WBP) 2018: Algemene Verordening Gegevensbescherming (AVG) PO-Raad, VO-raad en Kennisnet 2013: PvE uitgangspunt voor vormgeving regierol namens sector 2014: incidenten rondom privacy; privacyconvenant 2015: privacyconvenant 1.0 (leermiddelen) 2016: privacyconvenant 2.0 (leermiddelen+las/lvs) Aanpak IBP (stappenplan om IBP te regelen) 2017: Privacyconvenant 3.0 (aanpassing aan AVG) met certificeringsschema met beveiligingseisen voor leveranciers Maar: schoolbestuur blijft aan zet bij het regelen van IBP 6

7 Wat is privacy? Eerbiediging van de persoonlijke levenssfeer Bescherming van persoonsgegevens

8 Informatiebeveiliging is een proces voor het beschermen tegen risico s en bedreigingen met betrekking tot informatie en ict.

9 Waarom is privacy zo belangrijk? Het recht op privacy is een fundamenteel mensenrecht en grondrecht, net zoals het recht op leven, het verbod op discriminatie, recht op een eerlijke proces of verbod van slavernij. het staat in de wet, dus het moet (2018: AVG) compliance: accountantscontrole imago: datalekken, schade, risico s financieel: hoge boetes, ook voor scholen! En 9

10

11 Privacy geeft ons de mogelijkheid tot ontwikkeling en groei zonder noodzakelijk geconfronteerd te worden met keuzes (ondersteuning) uit het verleden. 11

12 Privacy in het onderwijs 12

13

14 Privacy gaat niet alleen over gegevens 14

15 Uitdagingen voor scholen Bron: nu.nl Bron: AD

16 De Wet bescherming persoonsgegevens Dit is het belangrijkste dat u moet weten over de Wbp: deze wet wordt niet ouder dan 230 dagen Voorstel uit 2012: Algemene Verordening Gegevensbescherming (AVG) Volledige titel: Voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. #GDPR Dit is Europese wetgeving die nationale wetten overbodig maakt 16

17 Bewerker (verwerker)

18 2. Grondslag 1. Doelbepaling en doelbinding 3. Dataminimalisatie 4. Transparantie (rechten Betrokkene) 5. Data-integriteit Vuistregels privacy 2.0

19 Aandachtspunten AVG (25 mei 18) 1. Vuistregels (hiervoor besproken) 2. Bewuster omgaan met persoonsgegevens: gestructureerd en stelselmatig (zoals privacy by design en by default) gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen 3. Risicobenadering, context relevanter: risico-inventarisatie en risico-analyse PIA (privacy impact assessment wordt gegevensbeschermingseffectbeoordeling) 4. Documentatieplicht: bewijslast bij de verantwoordelijke geen bewijs, geen toestemming 5. Bewustzijn creëren en actief voorlichting geven Trainingen Meer transparantie: uitleggen wat je waarom doet met persoonsgegevens 19

20 Vervolg Aandachtspunten 6. Minderjarigen: bij sociale media toestemming ouders bij jongere onder de 16 jaar Alleen bij sociale media! 7. Bewerkersovereenkomsten centraler, beschrijving wat wettelijk vereist is Privacyconvenant is de norm voor contracten in het po en vo 8. Meldplicht datalekken blijft bestaan (let op regelen procedure) 9. Functionaris voor Gegevensbescherming (FG): verplicht voor scholen 10.Technische en organisatorische beveiligingsmaatregelen: Aanpak IBP 20

21 En ook nog Rechten betrokkene verstevigd, meer controle bij de burger: Recht op informatie Recht op inzage Recht op rectificatie Recht van verzet Recht op gegevenswissing (vergetelheid) Beperking van de verwerking Recht op dataportabiliteit Recht niet onderworpen te worden aan geautomatiseerde besluitvorming Handhaving: beter afgestemd en boetes tot 4% wereldwijde jaaromzet of 20 mio 21

22 Schoolbestuur en swv passend onderwijs Samenwerkingsverband PaO (bestuur): Het samenwerkingsverband stelt zich ten doel een samenhangend geheel van ondersteuningsvoorzieningen binnen en tussen de scholen, ( ) te realiseren en wel zodanig dat leerlingen een ononderbroken ontwikkelingsproces kunnen doormaken en leerlingen die extra ondersteuning behoeven een zo passend mogelijke plaats in het onderwijs krijgen. Het swv passend onderwijs is een aparte rechtspersoon, met een ander doel van de doelen van een schoolbestuur: swv passend onderwijs is voor de aan haar opgedragen taken/doelen zelfstandig verantwoordelijke 22

23 Bijzondere persoonsgegevens: nee tenzij Artikel 16 Wbp: De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden ( ) Art. 18a lid 13 Wet primair onderwijs en art. 17a lid 15 Wet voortgezet onderwijs: Het samenwerkingsverband is bevoegd zonder toestemming van degene die het betreft persoonsgegevens betreffende iemands gezondheid ( ) te verwerken met betrekking tot leerlingen, voor zover dit noodzakelijk is voor de uitoefening van de taken: a) toewijzen van ondersteuningsmiddelen -voorzieningen aan de scholen b) beoordelen of leerlingen aangewezen zijn op het lwoo, PRO of voortgezet speciaal onderwijs, op verzoek van het bevoegd gezag van een school c) adviseren over de ondersteuningsbehoefte van een leerling

24 Dus regel het! Het bestuur is verantwoordelijk om informatiebeveiliging en privacy (IBP) te regelen Privacy: garandeer de privacy van leerlingen, hun ouders én medewerkers Informatiebeveiliging: onderwijs en begeleiding moet altijd door kunnen gaan Kaders: Wbp, AVG, onderwijswetgeving ISO en voor beveiliging 24

25 Waar moet je beginnen? Wees geduldig Stap voor stap Begin gewoon Het hoeft niet in 1 x af! 25

26 Aanpak IBP: 25 mei 2018: invoering AVG 3. communiceren 2. realiseren 1. organiseren

27 Stap 1: organiseer een beleid De bestuurder stelt een beleidsplan op met daarin: duidelijke doelen uitgangspunten vastgelegde verantwoordelijkheden: wie gaat wat wanneer doen Rapportage-afspraken: verslag aan bestuurder Het beleidsplan is de kapstok om IBP te regelen: en dan aan de slag!

28

29 Stap 2: realiseren Breng het beleid in de praktijk: neem en organiseer je IBP-maatregelen Als eerste voer je een nul-meting uit: risico-analyse (RI&E voor IBP) Inventariseer welke persoonsgegevens je gebruikt in welke systemen Beoordeel de gevoeligheid van die gegevens (classificeren) Wat zijn de grootste risico s op je school/scholen? Maak een planning welke maatregelen je op welk moment gaat regelen

30 Voorbeeld van te nemen maatregelen 30

31 Stap 3: communiceren Betrek medewerkers: vertel wat informatiebeveiliging en privacy zijn Voorbeeld presenstatie bewustwording Online training IBP voor medewerkers Betrek leerlingen: 21e eeuwse vaardigheden zoals digitale geletterdheid (basis ict-vaardigheden) Betrek en informeer de ouders en (G)MR: hoe vertel je het de ouders? 31

32 Zes keer zorgvuldig Gebruik zorgvuldig: vergrendel je scherm Deel zorgvuldig: eerst denken dan delen (en dan niet gewoon per mail) Surf zorgvuldig: klik niet klakkeloos Beveilig zorgvuldig: wachtwoord is persoonlijk Verbind zorgvuldig: check veilige verbinding Sla zorgvuldig op: encryptie en geen USB-sticks 32

33 Aanpak IBP: wat komt er nog Aanpak IBP: Dataregister (waar je vroeg aan de AP moest melden, en scholen waren vrijgesteld, moet je dat nu zelf registreren) Acceptable Use Policy Wachtwoordbeleid Beveiliging (waaronder logging) goed regelen: ISO normen Handreiking bewaartermijnen (en vernietigen gegevens) Checklist bewerkersovereenkomst (voor niet-convenantspartijen) PIA (najaar 2017) FG: wat doet ie en hoe regel je dat? 33

34 Dit lijkt wel allemaal erg simpel?! 1. organiseren: IBP is belangrijk 2. realiseren: Zo pakken we het aan: stelselmatig aan de slag en continu verbeteren 3. communceren: We hebben het erover 34

35 Maar dat is het ook! Want dit gebeurt er onder de motorkap: Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel Maatregel

36 BSN: nee, tenzij Artikel 24 lid 1 Wbp: Een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, wordt ( ) slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald. Voor het samenwerkingsverband is niet geregeld dat het BSN of PGN gebruikt mag worden. Ze mogen het hebben maar niet gebruiken. Ook niet voor de TLV! De school die de TLV ontvangt moet het BSN invullen in de model-tlv van DUO

37 Niet meer gegevens dan nodig Scholen zijn geneigd alles op te slaan, en daarna (jaren later!) uit te wisselen met een opvolgende school Daarom: dataminimalisatie! Niet meer dan strikt noodzakelijk Zorg voor een aparte bijlage (handelinsgerichte adviezen) voor de school. De school hoeft dan het niet het hele rapport te hebben maar alleen wat voor hen relevant is 37

38 Digitale privacy tool: procesplaten Deze tool wordt in oktober gelanceerd, hou vo-raad.nl in de gaten! 38

39 Procesplaten (2) 39

40 Procesplaten (3) 40

41 Procesplaten (4) 41

42 Procesplaten (5) 42

43 Procesplaten (6) 43

44 Procesplaten (7) 44

45 Procesplaten (8) 45

46 46

47 Bedankt voor uw aandacht! Job Vos (adviseur privacy) LinkedIN jobavos Vragen over IBP? Mail naar de helpdesk IBP: