Afspraken leveranciers: verwerkersovereenkomsten. Leander Versleijen en Job Vos

Transcriptie

1 Afspraken leveranciers: verwerkersovereenkomsten Leander Versleijen en Job Vos

2 Programma 1. Kennismaking 2. Wat zegt de wet? 3. Wat kan je met het privacyconvenant? 4. Afspraken maken in 4 stappen 5. De uitvinding van het wiel Deze presentatie wordt gedeeld. Vragen s.v.p. tijdens de presentatie van Leander Versleijen 2

3 Kennismaking Werkgroep IBP po 3

4 Afspraken met leveranciers: de wet Artikel 28 AVG: De verwerkingsverantwoordelijke doet uitsluitend een beroep op verwerkers die afdoende garanties bieden met betrekking tot het toepassen van passende technische en organisatorische maatregelen opdat de verwerking aan de vereisten van deze verordening voldoet en de bescherming van de rechten van de betrokkene is gewaarborgd. De verwerking van persoonsgegevens door een verwerker wordt geregeld in een overeenkomst of andere rechtshandeling die de verwerker ten aanzien van de verwerkingsverantwoordelijke bindt, en waarin het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke worden omschreven. 4

5 Privacyconvenant 3.0 Digitale onderwijsmiddelen Rolverdeling: schoolbestuur aan het stuur Doeleinden van de verwerkingen Informatieverplichtingen Gebruik model verwerkersovereenkomst verplicht - Bijlage 1: privacybijsluiter: doeleinden, welke gegevens etc. - Bijlage 2: beveiligingsbijlage (certificeringsschema) Comply or explain: advies is om niet af te wijken Lees de toelichting! Convenant wordt gezien als dé sectorale norm voor afspraken over privacy met leveranciers

6 Afspraken met leveranciers in 4 stappen Digitale onderwijsmiddelen: digitaal leermateriaal, distributie/iaaa-systemen, en school- en leerlingadministratiesystemen Stappen: 1. Is je leverancier aangesloten bij het convenant? Zo niet, vraag daar naar. 2. Vraag de verwerkersovereenkomst op bij je leverancier. 3. Controleer of het model gebruikt wordt, en/of wordt er afgeweken. Kloppen de bijlagen? Wordt het model niet gebruikt, vraag of de leverancier zijn verwerkersovereenkomst aanpast 4. Als alles klopt: zorg dat de verwerkersovereenkomst getekend wordt en stuur die terug. Kom je er écht niet uit met je leverancier, geef een signaal aan de sectorraden 6

7 Wat komt er aan? Uitleg over afsluiten verwerkersovereenkomsten: 1. Uitleg convenant en model verwerkersovereenkomsten 2. Wat als je leverancier niet bij het convenant is aangesloten 3. Op welke punten controleer je een verwerkersovereenkomst 4. Afspraken en samenwerking tussen scholen en samenwerkingsverbanden 5. Wat doe je met al die apps die docenten gebruiken? Lege model verwerkersovereenkomst voor niet-onderwijsmiddelen Getoetste verwerkersovereenkomsten: advies van collega s 7

8 Samen werken, samen slim! Werkgroepen IBP po en IBP vo gaan samen de verwerkersovereenkomsten toetsen van (de grootste) leveranciers. Getoetste verwerkersovereenkomsten staan op de website van de raden.

9 Werkgroep IBP Toetsen verwerkersovereenkomst Aanleiding: Samenwerking in plaats naast elkaar werken; Veel kennis is beschikbaar -> Bundelen! 1 aanspreekpunt voor leveranciers; Hoge inhoudelijke kwaliteit; Inhoudelijke kennis van het pakket; Beperking (juridische) kosten; 9

10 Werkwijze werkgroep Samenstelling: Minimaal 2 juristen, CvB leden, Beleidsmedewerkers, ICT ers; Aanpak: Leverancier moet zijn aangesloten bij privacy convenant; Omvang aantal scholen die het pakket gebruiken; Tenminste 3 leden lezen verwerkersovereenkomst; Opstellen bevindingenrapportage; Opstellen adviesrapport -> Publicatie op Mijn PO Raad; Opname in register (delen met VO & MBO). 10

11 De ervaring Verwerkersovereenkomst meestal identiek aan model. Als aanpassing vooral aansprakelijkheid. De wijze van ondertekening (vinkje, daadwerkelijke handtekening of géén handtekening) Wie ondertekend? Bijlage 1: privacybijsluiter Alle categorieën aanvinken (voor mogelijke ontwikkelingen in de toekomst); Teveel data verzamelen wat niet in relatie staat met het doel van de verwerking; Delen van data (soms zelfs voor commerciële doeleinden). 11

12 De ervaring Bijlage 2: Beveiligingsbijlage Standaard maatregelen worden meestal beschreven (wachtwoordbeleid); Vaak op zoek naar: ISO Certificering (en de scope en geldigheid hiervan) BIV classificatie en de wijze van assessment PEN testen Organisatorische maatregelen (2-factor auth., Hashing data, versleutelingen, wie heeft toegang tot data etc.) Fysieke locatie van de data; Additionele bijlagen: Lijst brinnummers (klopt alle info die aangeleverd wordt) Aanpassingen verwerkersovereenkomst 12

13 Het vervolg Na goedkeuring Opname in dataregister; Opname in verwerkersoverzicht; Adviesrapport delen met leverancier, VO & MBO; Publicatie rapport op site Mijn PO Raad. Eventuele contractuele ondertekening (contract wordt niet ondertekend voorafgaand aan verwerkersovereenkomst) Na ca. 6 maanden: Hercontrole verwerkersovereenkomst in relatie tot softwareapplicatie en eventuele uitbreidingen (modules) 13

14 The next step Op basis van ervaringen worden aanpassingen doorgevoerd: Wetgeving (bijv. Persoonsgegevens in het Onderwijs) Noodzaak uit ervaringen (bijv. koppelingen met derden) Eenduidigheid in relatie tot verschillende doelgroepen (leerlingen, studenten, medewerkers over de verschillende sectoren VO, PO MBO). Verzoek aan leveranciers: Altijd de meest recente versie actief aanbieden aan schoolbesturen; Afhankelijk van dataverwerking: Minimaal een externe audit i.p.v. self-assessment 14

15 Vragen 15

16 Met dank voor uw aandacht Aanpak IBP