De positie van de Functionaris Gegevensbescherming (FG) brengt met zich mee dat hij of zij ‘tijdig en behoorlijk’ betrokken moet worden bij verwerkingen van persoonsgegevens. Formeel is dat meestal ook wel vastgelegd, maar in de praktijk word je als FG nog weleens vanuit de flanken verrast. Herkenbaar? Lees dan snel verder!
Een van onze meest gelezen blogs is nog steeds mijn bijdrage uit 2017 waarin ik de taakverdeling tussen CISO, Privacy Officer en FG uitleg. Sindsdien is er wel wat veranderd, dus het is hoog tijd voor een update! Gemeenten hebben een grote verantwoordelijkheid als het gaat om de omgang met, en beveiliging van persoonsgegevens. Zo moeten ze voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) en aan de Algemene Verordening Gegevensbescherming (AVG).
De maatregelen om verspreiding van het coronavirus te voorkomen kunnen de meesten inmiddels wel dromen. De lokale overheid werkt vanwege deze maatregelen massaal vanuit huis, maar dat is niet voor alle functies weggelegd. De maatregelen worden op termijn ook weer afgebouwd. Hoe zorg je ervoor dat je medewerkers zowel thuis als op locatie veilig werken én veilig zijn? Zonder afbreuk te doen aan het fundamentele recht op privacy? Dat zijn de vragen die ik in deze blog ga behandelen.
Hoe te handelen bij een datalek mag inmiddels duidelijk zijn (zo niet, lees dan dit stappenplan). Toch belandde ik laatst in een discussie over de vraag: wánneer start de 72-uur termijn voor het melden van een datalek bij een toezichthoudende autoriteit, als dit datalek is ontstaan bij een verwerker?
In 2019 is er een stijging te zien in het aantal datalekmeldingen binnen Europa. Dit en meer blijkt uit onderzoek van DLA Piper onder de Europese privacy toezichthouders. Zo waren er in 2018, sinds de intrede van de AVG op 25 mei,in Europa 247 meldingen per dag. In 2020 waren dit 278 meldingen per dag. Kortom, een stijging van 12,6%. Maar betekent meer meldingen dan ook meer datalekken? En is dat dan goed of slecht nieuws?
Voor menig CISO zal de ISO 27000-reeks grotendeels bekende materie zijn. Voor anderen zal het vooral vraagtekens oproepen. Onlangs is er door de NEN een toevoeging aan deze reeks gedaan rondom privacy management; de zogenaamde ISO 27701 . In deze blog geef ik je graag een overzicht van deze norm en vertel ik je de verschillen met twee andere usual suspects uit de reeks: 27001 en 27002.
Om de openbare orde te handhaven, hangen binnen veel gemeenten op openbare plaatsen camera’s. Maar ook steeds meer inwoners hangen (in en rondom hun huis) beveiligingscamera’s op. Dit roept vragen op. Zowel bij de buren: ‘Mag dat wel wat mijn buren doen?’, als bij gemeenten: ‘Wat doen we met beeldmateriaal dat we (ongevraagd) ontvangen van inwoners?’. In deze blog geef ik enkele handvatten hoe je als gemeente met dergelijke situaties om kunt gaan.
Sinds 2016 is elke organisatie die persoonsgegevens verwerkt verplicht om een melding te maken bij de Autoriteit Persoonsgegevens (AP) wanneer er zich een datalek heeft voorgedaan. Maar wanneer en hoe moet je een datalek melden bij de AP? En kun je een melding ook weer intrekken? In de praktijk blijken hier nog veel vragen over te zijn. Daarom in deze blog een aantal stappen die je moet doorlopen in het geval van een datalek.
De komst van de Algemene Verordening Gegevensbescherming (AVG) bracht ook de verplichte Functionaris voor de Gegevensbescherming (FG) met zich mee. De FG is de interne toezichthouder en dus verantwoordelijk voor, de naam zegt het al, het toezicht houden op de naleving van de privacywetten en –regels en heeft ook de taak om de organisatie hierop te controleren. Maar hoe doe je dat eigenlijk, toezicht houden?
Op 5 november 2018 organiseerde ISACA een ronde tafel over Privacy Control Frameworks . Tijdens deze drukbezochte avond werd aandacht besteed aan de historie van Privacy Control Frameworks in Nederland en de do’s en dont’s bij de toepassing van dergelijke frameworks. Maar wat is het nut en noodzaak van zo’n framework en welke verschillende frameworks zijn er? En is er behoefte aan een framework speciaal voor gemeenten?
Veel CISO’s en FG’s lopen er tegenaan: het creëren van draagvlak voor veranderingen op het vlak van informatiebeveiliging en privacy. Informatiebeveiliging en privacy raken het werk van de gemeentelijke bestuurders. Het is namelijk niet alleen een technische en organisatorische vraag, maar ook een politieke en bestuurlijke. Het raakt de bedrijfsvoering van de gemeente en vraagt daarom om een bestuurlijke visie, focus én draagvlak. Maar hoe doe je dat nou eigenlijk, draagvlak creëren?
Het einde van het jaar is alweer bijna in zicht. Als we terugblikken op 2018 dan kunnen we wel stellen dat het een jaar is geweest waarin een hoop is gebeurd op informatiebeveiliging- en privacyvlak. Zo kwamen er een hoop complexe zaken op de CISO’s en FG’s van gemeenten af dit jaar. In deze blog zetten we ze per functie voor je onder elkaar.
