Wat houdt deze control in?
Privacy en bescherming van persoonsgegevens moeten worden gewaarborgd conform de geldende wet- en regelgeving, waaronder de AVG.
Waarom is dit verplicht?
Overheidsorganisaties verwerken grote hoeveelheden persoonsgegevens van burgers; AVG-compliance is wettelijk verplicht.
Praktische implementatie
- Stel een privacybeleid op en wijs een FG aan
- Houd een verwerkingsregister bij conform artikel 30 AVG
- Voer DPIA’s uit bij risicovolle verwerkingen
- Implementeer privacy by design bij nieuwe systemen
Aandachtspunten voor de overheid
Gemeenten verwerken BSN en andere bijzondere persoonsgegevens; extra maatregelen zijn vereist voor deze categorieën.
Relatie met andere controls
Gerelateerd aan 5.31 (wettelijke vereisten) en 8.11 (datamaskering).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je waarborgt privacy en bescherming van persoonsgegevens conform de geldende wet- en regelgeving, waaronder de AVG. Overheidsorganisaties verwerken grote hoeveelheden persoonsgegevens van burgers; AVG-compliance is wettelijk verplicht. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Gemeenten verwerken BSN en bijzondere persoonsgegevens, waarvoor extra maatregelen vereist zijn.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Stel een privacybeleid op en wijs een Functionaris Gegevensbescherming (FG) aan.
- ›Houd een verwerkingsregister bij conform artikel 30 AVG.
- ›Voer DPIA's uit bij risicovolle verwerkingen en tref extra maatregelen voor BSN en bijzondere persoonsgegevens.
- ›Implementeer privacy by design bij nieuwe systemen.verdieping
Bewijs dat je kunt verzamelen
- ›Het privacybeleid en de aanstelling van de FG
- ›Het verwerkingsregister (art. 30 AVG)
- ›Uitgevoerde DPIA's bij risicovolle verwerkingen
- ›Bewijs van privacy-by-design bij nieuwe systemen
Wat je bij een audit moet kunnen aantonen
- ›Dat een privacybeleid en een FG aanwezig zijn
- ›Dat een actueel verwerkingsregister wordt bijgehouden
- ›Dat DPIA's worden uitgevoerd waar nodig
- ›Dat bijzondere persoonsgegevens (incl. BSN) extra worden beschermd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een privacybeleid vastgesteld en een FG aangewezen?
- ›Is een verwerkingsregister ingericht?
- ›Is bepaald wanneer een DPIA nodig is?
- ›Is het register aanwezig en actueel?
- ›Zijn DPIA's uitgevoerd bij risicovolle verwerkingen?
- ›Zijn extra maatregelen voor BSN/bijzondere gegevens getroffen?
- ›Wordt het register bijgehouden?
- ›Wordt privacy by design toegepast bij nieuwe systemen?
- ›Worden DPIA-uitkomsten opgevolgd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.