YourPrivacy E02

EDITIE 02 - 2E JAARGANG - PRIJS: € 3,95

DIT MOET U WETEN OVER DE PRIVACYWETGEVING (AVG/GDPR) PERSOONS GEGEVENS : DE BURGE R WEER DE B A A S DE WEG N A A R COM P LI A NCE : 5 VE RK EERDE VI S I ES AV G-COM P LI A NCE: DE ME NS A LS ZWAK STE S CHA K EL AV G FE ITJ ES EN WETE NSWA A RDI GHEDEN: DIT WIST J E NOG NI ET !

CHECKLIST

ZO MAAK JE JOUW WEBSITE AVG-PROOF

4

8

Nieuws onder de zon

De burger weer de baas

Regelmatig ontwikkelen wij nieuwe functionaliteit voor onze

Burgers krijgen met de nieuwe privacywetgeving veel meer

oplossing YourSafetynet. Een overzicht van alle recente

controle over hun data. Wat betekent dat voor organisaties?

noviteiten.

10

16

Compliance: 5 verkeerde visies

De mens als zwakste schakel

Veel organisaties zijn druk bezig met AVG-compliance. Maar

Medewerkers vormen de zwakste schakel als het gaat om het

dat gaat lang niet altijd op de juiste manier.

tegengaan van datalekken en privacy-issues. Met de juiste maatregelen verklein je de kans op incidenten.

20

22

AVG: feiten en wetenswaardigheden

Alles over de FG

De AVG zit vol aangename en minder aangename

De Functionaris voor de gegevensbescherming: veel

verrassingen. Dit wist je nog niet over de nieuwe privacywet.

organisaties krijgen met deze nieuwe rol te maken. Alles wat je moet weten over dit sleutelfiguur.

2

Website in 10 stappen AVG-compliant

WorkFlow + Documentbeheer

Met dit stapppenplan zorg je ervoor dat jouw website

YourSafetynet is twee nieuwe, unieke features rijker. Wij

volledig voldoet aan de Europese privacywetgeving.

nemen je bij de hand en leiden je langs de nieuwe functies.

Zie pagina 28

Zie pagina 30

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

GEEN ANGST, MAAR VERTROUWEN De magische deadline 25 mei 2018 is verstreken. Voor veel organisaties stond die dag rood omrand in de agenda. Toen ging namelijk de AVG, de nieuwe Europese privacywetgeving van kracht. Het zijn dan ook hectische tijden in veel organisaties. Toch ben ik op de eerste plaats enorm blij met die nieuwe wetten en regels. Niet zozeer vanuit professionele interesse, maar omdat ik graag zie dat de EU onze privacy eindelijk echt serieus neemt.

De AVG is dan ook geen kwestie van ‘bedrijfje pesten’. Ik begrijp: organisaties willen hun tijd besteden aan zaken waar ze goed in zijn. Voor de één is dat kennisoverdracht aan leerlingen, voor de ander het verkopen van wielerkleding of het controleren van de boekhouding. De core business krijgt terecht alle liefde en aandacht. Dan is de AVG maar een last die ze erbij krijgen. Toch is de AVG ook goed voor diezelfde core business. Omdat het definieert waar jouw organisatie staat ten opzichte van klanten, medewerkers en partners. Het zorgt uiteindelijk voor ethische gedrags- en omgangsregels die uiteindelijk ook goed zijn voor je imago en je relaties.

Ondanks alle goede bedoelingen is de komst van de AVG allesbehalve gemakkelijk. Velen weten niet goed wat te doen, in welke volgorde en met welke middelen. Het is jammer dat er zoveel ‘aasgieren’ zijn opgedoken die een slaatje hieruit willen slaan. Ze schetsen schrikbeelden van enorme boetes en een strenge Autoriteit Persoonsgegevens die iedere organisatie die ook maar even uit de pas loopt op de hielen zit. Onzin natuurlijk, 25 mei is geen ‘do or die’-datum. Veel organisaties zullen ook pas na die datum serieus met het compliancetraject aan de slag gaan.

Waarom doen zoveel organisaties dan toch zo moeilijk over die AVG? Simpel: veel partijen verkopen hun diensten op die angst. Consultancybureaus met dure, maar weinig praktijkgerichte adviezen. Goedbedoelde instanties die formuliertjes verspreiden.

Organisaties happen gretig. Links en rechts verzamelen ze stappenplannen, vullen ze online testjes in, worden ‘experts’ ingeschakeld. Allemaal losse puzzelstukjes, met de nodige dure overlap en – uiteindelijk nog veel duurdere – gaten.

Wij zwemmen graag tegen die stroom in. Door niet in te spelen op angst, maar op vertrouwen. Maar vooral door wars te zijn van losse flodders en halve oplossingen. Een complete, gebruiksvriendelijke totaaloplossing voor compliance met de AVG. Zonder losse flodders, gaten of overlap. Dat hadden we sinds de start voor ogen. Voor minder © Copyright Media Security Networks B.V. - YourPrivacy is een uitgave van Media Security Networks. Media Security Networks en YourSafetynet zijn geregistreerde handelsnamen.

Zonder bronvermelding is het niet toegestaan dat de inhoud van deze uitgave wordt verveelvoudigd en/of openbaar gemaakt wordt door middel van fotokopie, microfilm, geluidsband, electronics of welke ander wijze dan ook en evenmin in een retrieval systeem worden opgeslagen zonder voorafgaande schriftelijke toestemming van de uitgever Media Security Networks BV.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

deden, en doen we het niet.

Onze softwareoplossing YourSafetynet is voor ons belangrijk, maar we hangen misschien nog wel meer gewicht aan hulp en kennisdeling. Vandaar dit magazine, dat alweer aan zijn tweede editie toe is. Want dat er veel gaat veranderen, staat vast. Ook bij ons trouwens, maar daar lees je in deze editie meer over.

Nils Kleingeld, hoofdredacteur YourPrivacy

Y O U R P R I VA C Y E 0 2

3

YOURSAFETYNET: UPDATES EN VERNIEUWINGEN

NIEUWS ONDER DE ZON Onze AVG-complianceoplossing YourSafetynet is continu in ontwikkeling. Niet alleen houdt onze juridische afdeling de inhoud up-to-date, de R&D zorgt dat nieuwe functionaliteit regelmatig het levenslicht ziet. Deze functies hebben we onlangs toegevoegd.

4

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

1. WorkFlow

4. Beleid rechten betrokkenen

Het AVG-compliancetraject is geen kleinschalige onderneming.

De AVG geeft betrokkenen veel meer controle over hun eigen

Overzicht is cruciaal, want een vergeten aspect of overgeslagen

persoonsgegevens dan voorheen. Zo kunnen ze ieder moment de

afdeling kan resulteren in non-compliance of zelfs een

organisatie verplichten de verwerking te stoppen, al hun data te

datalek. Daarom hebben we onze wizard voorzien van een

laten verwijderen of alle gegevens zo te ordenen en te overleggen

voortgangsindicator. Deze functie noemen we ‘WorkFlow’. Deze

dat ze gemakkelijk kunnen overstappen naar een andere partij.

geeft de verwerkingsverantwoordelijke en/of Functionaris voor de gegevensbescherming in één oogopslag inzicht in de status van

Organisaties moeten op hun beurt in de vorm van verplicht beleid

het gehele traject.

de juiste procedures hebben ingericht en gedocumenteerd.

Een behoorlijke klus, die naast tijd ook de nodige specifieke

Dankzij een eenvoudig kleurensysteem (groen/oranje/rood) is

kennis vereist. Dit privacybeleid ten aanzien van de rechten van

direct zichtbaar welke taken zijn afgerond, welke in behandeling zijn

betrokkenen neemt YourSafetynet voortaan ook uit handen.

of waar nog niet mee gestart is. Eventueel is dit op masterniveau

Deze oplossing die we onder het hoofdstuk servicedocumenten

van afzonderlijke vestigingen zichtbaar, zodat ook een FG die

hebben gebracht is voorzien van een uitgebreide, kant-en-klare

meerdere organisaties beheert in één oogopslag weet hoe de

handleiding voor de betrokkenen. Daarin staan precies de juiste

zaken ervoor staan.

procedure en aandachtspunten voor een correcte afhandeling.

Dat bespaart organisaties tijd en (dus) geld en verkleint de kans op procedurele fouten.

2. Centrale plek voor de AVG-boekhouding

5. FG-as-a-Service

De AVG stelt enorm veel documenten, reglementen en procedures

In veel gevallen is het aanstellen van een Functionaris voor de

verplicht. YourSafetynet levert al deze documenten kant-en-

gegevensbescherming verplicht. Maar ga je daar een interne

klaar, of als eenvoudig aanpasbaar sjabloon. Daarnaast bieden we

medewerker geheel voor vrijmaken, of iemand voor aannemen?

sinds kort ook een centrale opslagruimte om al die documenten,

Dat zijn geen gemakkelijke trajecten: er worden allerlei forse eisen

al dan niet ondertekend, binnen de Yoursafetynet appliance te

gesteld aan FG’ers, en bovendien moeten ze geheel onafhankelijk

bewaren, te beheren en te managen. Feitelijk is het een centrale

in deze rol kunnen functioneren. Een CISO of IT-manager is

plek voor je gehele AVG-boekhouding.

bijvoorbeeld expliciet uitgesloten van deze functie.

Dat voorkomt rondslingerende of zoekgeraakte documenten.

Het aantrekken van een externe FG is daarom een aantrekkelijk

Bovendien kan de verantwoordelijke of FG op verzoek gemakkelijk

alternatief.

deze verplichte boekhouding overleggen aan bijvoorbeeld de

aangegaan met Privacy Protection Europe en biedt daardoor

AP. Wie meerdere filialen of locaties beheert, kan het complete

voortaan de mogelijkheid een ervaren FG’er in te huren. Dat kan

pakket aan reglementen en overeenkomsten klaarzetten voor

voor flinke kostenbesparingen zorgen.

YourSafetynet

is

onlangs

een

samenwerking

afzonderlijke vestigingen.

3. Tweefactorauthenticatie YourSafetynet

biedt

voortaan

de

mogelijkheid

MEER OP KOMST om

het

aanmeldproces te beveiligen met tweefactorauthenticatie.

Hiermee moeten gebruikers naast een wachtwoord een tweede

Nieuwsgierig naar wat we nog meer in petto hebben?

identificatiemiddel overleggen. Dat verkleint de kans op misbruik

Check regelmatig onze website, daar houden we je op

en zorgt ervoor dat hackers met enkel het onderscheppen van

de hoogte van onze productontwikkeling!

een wachtwoord geen toegang kunnen verkrijgen tot het systeem. www.yoursafetynet.com

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

5

SUCCESSEN IN DE PRAKTIJK

IN DE SPOTLIGHTS De AVG-voorbereidingen zijn bij veel organisaties in volle gang. Niet voor niets vond onze oplossing YourSafetynet een weg naar meer dan 600.000 gebruikers. Dat levert mooie case stories op. Een bloemlezing uit de dagelijkse praktijk.

YOURSAFETYNET HELPT ROTTERDAMSE SCHOLEN

SAMENWERKING MET SRA

Goed nieuws uit Rotterdam: stichting BOOR heeft al haar scholen

Accountants dragen een grote verantwoordelijkheid als het

en medewerkers voorzien van onze oplossing. In totaal beheert de

gaat om het bewaken van de privacy van hun cliënten. Zij krijgen

stichting 78 scholen, met ruim 3.500 medewerkers en ongeveer

allerhande persoonsgegevens en privacygevoelig materiaal

30.000 leerlingen. Onderwijs Service Provider BRIN uit Groningen

onder ogen, en ook de AVG laat hen allesbehalve onberoerd.

is verantwoordelijk voor een probleemloze uitrol en implementatie.

Daarom heeft branchevereniging SRA besloten de handen met YourSafetynet ineen te slaan. SRA biedt haar leden tegen

YourSafetynet voorziet deze scholen van een volledige ‘turn-

bijzondere voorwaarden de YourSafetynet-licenties aan en

key’-oplossing voor compliance met de AVG: YourSafetynet

beveelt de oplossing actief onder haar leden aan.

school+. Samen met BRIN verzorgen zij de complete begeleiding en support in dit traject. Daarnaast wordt voorzien in een volledig

Diverse accountantskantoren zullen bovendien de oplossing ook

bewustwordingsprogramma voor medewerkers, zodat risico’s

weer aan hun klanten aanbieden. Dat doen zij niet voor niets:

op een datalek verder worden verkleind. Ten slotte vindt een

vanaf 2019 zijn ze verplicht hun klanten te waarschuwen wanneer

‘security-nulmeting’ plaats, waarbij het huidige security-niveau

zij grote financiële risico’s lopen. Non-compliance neemt een

onder de loep wordt genomen. Dat allemaal zodat leerlingen en

groot financieel risico met zich mee, vanwege de hoge boetes

medewerkers zich verzekerd weten van een goede bescherming

die hiermee gepaard kunnen gaan. YourSafetynet zorgt voor die

van hun privacy.

broodnodige AVG-compliance en neemt deze financiële risico’s daarmee weg.

Het is niet het eerste overkoepelende onderwijsorgaan dat met onze oplossing aan de slag gaat. Eerder namen Stichting Kind en Onderwijs en Stichting RVKO YourSafetynet al in gebruik. In totaal beschermt YourSafetynet school+ de privacy van ruim 70.000 leerlingen, leerkrachten en ondersteunend personeel in

““YourSafetynet bestormt accountancybranche

de havenstad.

6

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

Anekdote: het pizza-incident YourSafetynet

is

niet

alleen

een

krachtige

compliance-oplossing, maar houdt ook een oogje in het zeil om ICT-misbruik te voorkomen. Dat leidt soms tot verrassende ontdekkingen. Zo had een leerling op een school voor voortgezet onderwijs pizza’s besteld voor een leerkracht. Uiteraard een heel mooi gebaar van waardering. Alleen was de herkomst van de schenker niet bekend, en was er niet betaald voor de pizza’s. YourSafetynet bood support: via de controle op het internetgebruik was al snel de gulle leerling bekend die uiteindelijk toch de pizza’s heeft mogen afrekenen.

UIT DE PERS: EDITORS’ CHOICEONDERSCHEIDING

VIER DOELGROEPEN

Onze oplossing is ook de vakpers niet onopgemerkt gebleven. Zo

Geen enkele instelling ontkomt aan de AVG.

voelde het IT-vakblad WINMAG Pro onze oplossing stevig aan

Sommige

de tand. De conclusie van de redacteuren? ‘We waren al eerder

echter speciale aandacht. Bijvoorbeeld omdat ze

enthousiast van YourSafetynet en dat is er met deze bijgewerkte

grote hoeveelheden zeer gevoelige, bijzondere

versie niet minder op geworden. Andere diensten die op zo’n

persoonsgegevens verwerken. Of omdat ze data

makkelijke, en soms zelfs leuke, manier organisaties compliancy

verwerken van minderjarigen. YourSafetynet heeft

bieden zijn er niet op de markt en zouden die er wel zijn, dan vragen

vier kerndoelgroepen gedefinieerd voor wie de

we ons af of ze kunnen raken aan het belang wat YourSafetynet

nieuwe privacywetgeving extra attentie verdient:

branches

en

sectoren

verdienen

voor jouw organisatie kan betekenen.’

•

Zorg

Het tijdschrift beloonde de oplossing met een 9,4 en een heuse

•

Onderwijs

Editors Choice-onderscheiding. Daar kunnen we alleen maar trots

•

Overheid & bedrijf

op zijn! De gehele review vind je op de site van WINMAG Pro:

•

Accountancy & finance

www.winmagpro.nl/review-yoursafetynet

De onderwijssector bedienen we met YourSafetynet school+, de overige sectoren met YourSafetynet pro+. De eerste editie van dit magazine hebben we zelfs uitgebracht in vier verschillende edities, voor elke branche één. Nieuwsgierig? Ga naar www.yoursafetynet.com en download daar gratis YourPrivacy voor jouw branche!

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

7

ACHTERGROND

DE BURGER WEER DE BAAS De nieuwe Europese privacywetgeving is niet alleen ingrijpend voor organisaties, maar betekent ook veel voor de gemiddelde Europese burgers. Zij krijgen namelijk veel meer controle over hun eigen persoonsgegevens. Organisaties moeten daarop zijn voorbereid.

De EU had tijdens het opstellen van de 99 artikelen van de AVG

de organisatie niet aan het verzoek gehoor hoeft te geven.

een duidelijk doel voor ogen: het beschermen van de privacy

Bijvoorbeeld wanneer verwijdering van persoonsgegevens een

van de burger, en het teruggeven van de controle aan die

rechtsgang zou bemoeilijken.

burger als het gaat om de eigen persoonsgegevens. Misschien wel de belangrijkste wijziging van de AVG ten opzichte van de

Soms geldt het recht van vergetelheid automatisch. Zo moet

‘oude’ privacywetgeving is dan ook het pakket aan rechten dat

een organisatie alle persoonsgegevens van een betrokkene

betrokkenen hebben gekregen. Zij zijn veel meer dan voorheen

verwijderen op het moment dat deze data niet meer nodig zijn

weer ‘eigenaar’ van hun gegevens.

voor het afgesproken doel. Een verzoek van de betrokkene is in zo’n geval niet nodig: de organisatie moet hiervoor de nodige

De AVG geeft de burger een aantal belangrijke rechten als het

procedures hebben ingericht die automatisch van kracht gaan op

gaat om persoonsgegevens:

het moment dat de voorwaarden van toepassing zijn.

•

Het recht op verwijdering (recht op vergetelheid)

•

Het recht op rectificatie

•

Het recht op overdraagbaarheid

•

Het recht op inzage

Wanneer een organisatie over onjuiste gegevens beschikt, kan

•

Het recht op stopzetting van verwerking

dat voor de betrokkene erg nadelige gevolgen hebben. Burgers

•

Kennisgevingsplicht

hebben dan ook het recht deze op verzoek te laten rectificeren.

2. Recht op rectificatie

Dit moet volgens artikel 16 zonder redelijke vertraging gebeuren.

Een uitleg over deze verschillende nieuwe rechten volgt hieronder:

1. Recht op vergetelheid

3. Recht op dataportabiliteit Organisaties kunnen het de klant soms lastig maken om over te

Één van de belangrijkste nieuwe rechten die in de AVG zijn

stappen naar een andere dienstverlener. Bijvoorbeeld omdat

opgenomen is het recht op vergetelheid. Hiermee kunnen burgers

alle data die de klant in de jaren heeft opgebouwd, niet zomaar

op ieder moment aangeven dat ze alle persoonsgegevens die

gemakkelijk mee te nemen zijn naar een volgende partij.

een organisatie over hen in bezit heeft, willen laten verwijderen.

Een bekend voorbeeld is het verzoek aan Google om alle

Het gaat daarbij niet zozeer om NAW-gegevens, die vormen wat

zoekresultaten over een persoon te laten verwijderen, omdat deze

betreft overdracht geen probleem. Maar wat te denken van een

grievend, onwaar of op welke manier dan ook schadelijk zijn voor

groot e-mailarchief, een online boekhouding, of bijvoorbeeld de

de betrokkene.

gehele playlist van een muziekstreamingdienst?

Het recht op vergetelheid geldt in principe onder alle

De AVG maakt daar in artikel 20 korte metten mee. De wetgever

omstandigheden, zonder dat een toelichting of argumentatie

eist dat organisaties alle data op verzoek moeten aanbieden in

vanuit de betrokkene nodig is. Wanneer bijvoorbeeld een klant

een formaat dat leesbaar is voor zowel mensen als machines. Op

van een zonnebrillenwebshop niet langer bij deze webwinkel

die manier kan een klant al zijn data ‘extraheren’ bij de ene partij

geregistreerd wenst te staan, dan moet aan dat verzoek ook

en eenvoudig overzetten naar een andere dienstverlener.

voldaan worden. Wel zijn er enkele uitzonderingsgevallen waarbij

8

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YourSafetynet biedt hulp Het is voor organisaties een hele ‘tour de force’ om de procedures rondom rechten van betrokkenen goed in te richten en alle documenten hiervoor rechtsgeldig op te stellen. Daarom hebben we YourSafetynet onlangs voorzien van alle benodigde documenten, maar ook van een uitgebreide handleiding voor medewerkers. Deze handleiding beschrijft niet alleen de rechten in detail, maar biedt ook stap-voor-stap alle procedures die daarbij horen. De handleiding is zo kant-en-klaar mogelijk opgesteld, zodat deze direct kan worden uitgedeeld aan de betrokken medewerkers. Dat is niet alleen handig, maar het scheelt ook tijd en kosten en verkleint de kans op fouten.

De GDPR spreekt niet expliciet van een bepaald bestandsformaat

aanvraag, hoe lang duurt het eer een organisatie aan een verzoek

of manier om de data over te dragen. Maar vaststaat dat het

voldoet? De AVG stelt duidelijke eisen aan de communicatie

formaat ‘gangbaar’ moet zijn en bovendien ‘machine readable’,

richting betrokkenen als het gaat om het opeisen van hun rechten

ofwel eenvoudig leesbaar door computersystemen. Dat maakt

rondom persoonsgegevens. Zo moeten verzoeken binnen een

een overstap naar een andere aanbieder voor de betrokkene zo

gegeven aantal dagen zijn afgewerkt, en moet de communicatie

eenvoudig mogelijk.

plaatsvinden via bepaalde kanalen. Ook hier geldt net als bij de andere rechten dat organisaties hierover de nodige interne

4. Recht op inzage Niet alle organisaties geven duidelijke inzage in welke

routingafspraken moeten maken en procedures moeten inrichten.

Procedures

persoonsgegevens zij precies van hen verwerken, op welke manier dat gebeurt en wat daarvan het doel is. De AVG stelt dit ‘recht

Organisaties moeten zich goed op deze rechten voorbereiden. Ze

op inzage’ wel verplicht. Betrokkenen hebben het recht op ieder

brengen namelijk allerlei handelingen met zich mee. Aanvragen

moment hun persoonsgegevens in te zien en het doel hiervan

moeten worden beoordeeld op hun rechtmatigheid, er moeten

scherp te krijgen.

afspraken worden gemaakt over de communicatiemethoden en de termijnen waarbinnen een organisatie al dan niet reageert.

Een samenvatting van de gegevens is volgens de Autoriteit Persoonsgegevens niet voldoende. In lijn met de rechtspraak is

De AVG eist hiervoor een gedocumenteerd beleid om op de juiste

vastgesteld dat hiermee een te groot deel van de informatiewaarde

wijze aan deze rechten tegemoet te komen. In totaal gaat het

verloren gaat.

om meer dan 40 documenten die kant-en-klaar beschikbaar moeten zijn. Een deel van dit beleid is gebonden aan wettelijke

5. Recht op stopzetting van verwerking

eisen. Zo geldt voor alle verzoeken dat wanneer deze per e-mail bij de organisatie binnenkomen, deze ook per e-mail moet worden beantwoord.

Betrokkenen kunnen te allen tijde een verzoek tot stopzetten van zijn of haar persoonsgegevens indienen. Is het verzoek geldig, dan

Het gaat onder meer om:

moet de verwerking onmiddellijk worden stopgezet en mogen deze

•

Procedure rectificatieverzoek van persoonsgegevens

gegevens ook niet meer door de organisatie gewijzigd worden.

•

Procedure inzageverzoek van persoonsgegevens

De persoonsgegevens moeten wel bij de verantwoordelijke

•

Procedure overdrachtsverzoek van persoonsgegevens

opgeslagen blijven. Op dit punt verschilt dit recht dan ook met

•

Procedure stopverzoek verwerken van persoonsgegevens

het recht op vergetelheid, waarbij alle gegevens permanent en

•

Procedure recht op vergetelheid verwerken van

grondig moeten worden gewist.

6. Kennisgevingsplicht

persoonsgegevens Het is dan ook belangrijk dat organisaties deze documenten en procedures tijdig en volledig inrichten.

Het is voor veel burgers een grote ergernis: onduidelijke communicatie vanuit hun dienstverlener. Wat is de status van een

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

9

10

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

DE WEG NAAR COMPLIANCE: 5 VERKEERDE VISIES De Amerikaanse onderzoeks- en adviesorganisatie Forrester Research deed onlangs onderzoek naar de status van AVG-compliancetrajecten. De uitkomst: de Verenigde Staten, Azië en ZuidAmerika lopen voor op Europa zelf. In de VS vindt dat 33% goed is voorbereid op de AVG, in Azië en Zuid-Amerika 29% en in Europa 26%. Maar liefst 20% van de organisaties in Europa denkt nog minstens een jaar nodig te hebben. Waar gaat het precies mis? Vijf verklaringen en hoe het volgens ons beter kan (en moet!).

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

11

Te nauwe focus Wat is het meest gehoorde antwoord op de vraag: “Zijn jullie al voorbereid op de AVG?” Het antwoord is ontluisterend vaak een onzekere blik en de veelzeggende opmerking: “We zijn ermee bezig.” Wanneer je doorvraagt blijkt vaak dat ze de focus ligt op een enkele afdeling of privacyaspect. Denk aan het AVG-proof maken van de klantadministratie, de marketingafdeling, of de website.

Deze houding doet onvoldoende recht aan de brede insteek van de AVG. De wet beslaat de omgang met en de rechten van betrokkenen, interne procedures en administratie rondom gegevensverwerkingen. Het stelt eisen aan interne verantwoordelijkheidsstructuren, maar ook aan relaties en afspraken met bijvoorbeeld externe verwerkers. Al die regels en afspraken overstijgen individuele oplossingen en/of afzonderlijke afdelingen. Ook het vermelden waard: een deel van de organisaties focust zich enkel op digitale gegevensverwerking. Dat terwijl de regels voor de AVG net zo goed gelden voor ‘papieren’ persoonsgegevens.

Aanpak van YourSafetynet: YourSafetynet bevat een wizard die je stap-voor-stap door alle noodzakelijke procedures en maatregelen leidt. Doordat de wizard beschikt over een voortgangsindicator is het uitgesloten dat onderdelen niet aan bod komen. De verantwoordelijke weet zo zeker dat bij 100% afronding het volledige compliancetraject is afgelegd.

12

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

Gebruik van allerlei ‘losse’ documenten en stappenplannen Sinds de bekendmaking van de wettelijke vereisten van de AVG zijn op internet tal van stappenplannen, voorbeelddocumenten, sjablonen en ‘how-to’s’ beschikbaar. Menig organisatie gaat daar met alle goede bedoelingen mee aan de slag. Ze downloaden een voorbeeldverwerkersovereenkomst van aanbieder X, een stappenplan van aanbieder Y. Voor het uitvoeren van een Privacy Impact Assessment downloaden ze de handleiding van weer een andere aanbieder. Het controleren van de technische beveiligingsmaatregelen gaat met een online test bij alweer een andere partij.

Zo ontstaat een lappendeken van deeloplossingen. Losse puzzelstukjes die elkaar deels overlappen, maar ook gaten achterlaten. Het is alsof ze de AVG, feitelijk een grote puzzel, proberen op te lossen met stukjes die ze overal en nergens aantreffen.

Dat brengt twee gevaren met zich mee. Allereerst zijn deze losse puzzelstukjes niet altijd gegarandeerd juist. Het zijn herbewerkingen van herbewerkingen, niet gecontroleerd door juristen en bevatten soms simpelweg halve waarheden of pertinente onjuistheden. Een snellere weg naar non-compliance en ongelukken is haast niet denkbaar.

Het andere gevaar schuilt in de onvolledigheid van de uiteindelijke lappendeken aan puzzelstukjes.

Omdat al die deeloplossingen niet onderling op elkaar zijn afgestemd, ontstaan hiaten in het privacybeleid. Bovendien kan er sprake zijn van overlap, wat zorgt voor onnodige kosten en verwarring.

Aanpak van YourSafetynet: YourSafetynet biedt een coherent geheel van alle puzzelstukken. Het bevat een totaalpakket van organisatorische, technische en preventieve maatregelen die nodig zijn voor compliance.

Het bevat bovendien alle benodigde documenten, overeenkomsten, reglementen en sjablonen die bovendien allemaal juridisch zijn gecontroleerd en goedgekeurd.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

13

Implementatie van enkel technische maatregelen De eisen van de AVG worden door sommige organisaties direct vertaald naar technische beveiligingsoplossingen. Ze implementeren voorzieningen als encryptie, systemen voor het buiten houden van ongewenste indringers (IDS/IPS) en oplossingen die datalekken technisch kunnen tegengaan (Data Leak Prevention). Prima, maar daarmee zijn ze er nog lang niet.

Allereerst: technische maatregelen die het security-niveau versterken zijn absoluut waardevol en zelfs onmisbaar. De AVG vereist immers een ‘afdoende beveiliging van persoonsgegevens’.

Toch is dat slechts een deel van het hele verhaal. De Europese wetgeving beslaat 99 artikelen, waarvan de implementatie van technische security-voorzieningen slechts een zeer klein deel beslaat. Minstens zo belangrijk zijn preventieve en organisatorische maatregelen. Denk aan een (uitvoerig gedocumenteerd) privacybeleid, een sociale mediabeleid, afspraken met procedures om tegemoet te komen aan de rechten van betrokkenen, Data Privacy Impact Assessments, de aanstelling van een Functionaris voor de gegevensbescherming, et cetera. Maar ook preventieve bewustwordingsmaatregelen als voldoende scholing van het personeel behoort tot de verplichtingen. En dit is nog maar een kleine greep.

Aanpak van YourSafetynet: YourSafetynet focust niet enkel op technische maatregelen, maar ook op de minstens zo belangrijke organisatorische en preventieve maatregelen. Alleen met die drie-eenheid ontstaat een volledige afdekking van de compliance-vereisten van de AVG.

Gokken op consultancy Sinds de AVG in het leven werd geroepen, zijn consultancybureaus massaal op dit onderwerp gedoken. Deze bureaus verkopen hun dienstverlening voor forse uurtarieven. Die diensten bestaan echter voornamelijk en/of enkel uit advies.

En dat is precies waar de schoen wringt, nog los van de vraag hoe het toch kan dat bureaus die voorheen niets met privacyproblematiek deden zich ineens kunnen opwerpen als ‘expert’ in deze materie. Advies is namelijk slechts een vertrekpunt. Voldoen aan de AVG is met enkel advies nog mijlenver weg. Het vergt nog altijd allerlei rechtsgeldige documenten, procedures, processen en afspraken, nog los van een goede toepassing hiervan door de medewerkers. In sommige gevallen is advies zelfs een rookgordijn, en roept dergelijk advies meer vragen op dan het beantwoordt.

Aanpak van YourSafetynet: YourSafetynet is een turn-key softwareappliance voor een gegarandeerde compliance met de AVG. Het maakt daarmee dure consultancy volledig overbodig. De oplossing biedt niet alleen uitvoering advies en toelichting, maar ook alle benodigdheden om daadwerkelijk te kunnen voldoen aan de wettelijke vereisten. Bovendien zijn we in tegenstelling tot AVG-consultants geen nieuwkomer op dit gebied, we doen dit al sinds 2007.

14

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

Kop in het zand Een deel van de organisaties steekt de kop in het zand. Dat kan twee oorzaken hebben: ze weten simpelweg niet van het bestaan en/of de inhoud van de AVG af, of ze onderschatten het belang en de mogelijke gevolgen van non-compliance.

Veelgehoorde uitspraken bij organisaties uit deze categorie zijn bijvoorbeeld ‘zo’n vaart zal het wel niet lopen’, of ‘ze pakken toch alleen de grote bedrijven’. Beide beweringen zijn pertinent onjuist. Het is absoluut waar dat de AP niet direct na 25 mei het land intrekt om boetes uit te delen. Maar wie zich schuldig maakt aan grote dataprivacyblunders heeft niets om zich achter te verschuilen wanneer de organisatie niet aan de spelregels voldoet. Het maakt daarbij niets uit of het om een eenpitter, MKB-organisatie, schoolorganisatie of corporate multinational gaat. De AP maakt geen onderscheid in omzetten, aantal medewerkers of organisatiegrootte, hooguit in het vaststellen van een eventuele boete.

Een ander deel meent dat de AVG niet op hen van toepassing is. Dit is zeer onwaarschijnlijk. Er is nauwelijks een organisatievorm denkbaar die niet op de een of andere manier persoonsgegevens verwerkt. Wie een eenvoudige administratie voert (of laat voeren) van de klanten en/of van de eigen medewerkers verwerkt al persoonsgegevens.

Aanpak van YourSafetynet: YourSafetynet is beschikbaar voor iedere organisatietype, omdat niemand aan de AVG ontkomt. We richten ons expliciet op de zorg, het onderwijs, accountancy/finance, het bedrijfsleven in de brede zin van het woord en overheidsinstellingen. Voor het onderwijs hebben we zelfs een aparte editie: YourSafetynet school+, met hierin enkele aanvullende voorzieningen zoals alle benodigdheden voor een compliant anti-pestbeleid.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

15

DE MENS ALS ZWAKSTE SCHAKEL Een ketting is zo sterk als de zwakste schakel. Als het gaat om security, AVG-compliance en het voorkomen van datalekken zijn het de eigen medewerkers.

Althans, wanneer je niet de juiste maatregelen neemt.

16

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

Verschillende scenario’s Wie zijn woning volledig beveiligt met rolluiken, beveiligingscamera’s, een nachtkijker en een infraroodsysteem denkt wellicht veilig te zijn voor inbrekers. Maar wat als een huisgenoot de achterdeur vergeet

YOURSAFETYNET HELPT:

BEDRIJFSBREED BEWUSTWORDINGSPROGRAMMA

op slot te doen, of erger: na vertrek wagenwijd open laat staan? Dan hebben die dure beveiligingscamera’s geen enkel nut.

Een effectieve preventieve maatregel Op die manier werkt het ook met privacy en security binnen een

voor het voorkomen van datalekken

organisatie. Een ongeluk of foutje ligt in een klein hoekje. Neem

is het opstellen en uitvoeren van een

bijvoorbeeld onderstaande 3 scenario’s, waarbij steeds sprake is

bedrijfsbreed bewustwordingsprogramma.

van een datalek of privacyschending door onbewust handelen van

Zo’n programma kan bestaan uit

medewerkers.

bijvoorbeeld één-op-één-sessies met medewerkers en bijspijkercursussen.

Scenario 1: Laptop vergeten in de trein Een HR-medewerker reist altijd met de trein van en naar werk.

Daarom hebben we YourSafetynet

Handig, want zo kan hij onderweg nog wat werk verrichten. Na een

voorzien van uitgebreide handleiding

zwaar weekend laat de medewerker zijn laptop echter achter in een

hiervoor. De verantwoordelijke beschikt

drukke treincoupé. Vervelend, want het gehele personeelsdossier

hiermee over de nodige handvatten

staat onversleuteld op de interne harde schijf. Niemand weet waar

voor het zelfstandig opzetten van een

de gegevens nu terecht zijn gekomen, maar de laptop wordt in ieder

dergelijk programma. Ook is het mogelijk

geval nooit meer teruggevonden.

via YourSafetynet e-learningmodule te volgen. Medewerkers krijgen hier

Scenario 2: Sportdag op school

via meerkeuzevragen inzicht in

Het is sportdag op de basisschool. De docenten zijn enthousiast en

privacyproblematiek en de bijbehorende

maken gretig foto’s van de sportende kinderen. Leuk voor Facebook,

risico’s. Dat zorgt voor bewuste

zullen de ouders vast trots zijn, dachten ze nog. Ondertussen hebben

medewerkers en uiteindelijk een verkleind

diezelfde ouders nooit toestemming gegeven, terwijl de kinderen

risico op incidenten.

herkenbaar op de foto staan. Een paar ouders dienen een klacht in, en zelfs de plaatselijke media besteedt aandacht aan het voorval.

Ten slotte stellen we ook kant-en-klare

De school kan enkel excuses aanbieden, maar de imagoschade is al

posters beschikbaar. Hierop staan de

geleden.

belangrijkste aandachtspunten voor privacy en security in korte, begrijpelijke

Scenario 3: Rondslingerende USB-stick

taal en passende beelden uitgelegd. Zo

Een directielid vindt een slingerende USB-stick in de bedrijfskantine.

breng je eenvoudig alle medewerkers op

Slordig, dat raapt ze natuurlijk even op. Uit nieuwsgierigheid kijkt ze

de hoogte, maar minstens zo belangrijk:

even aan wie deze stick toebehoort. Niet door rond te vragen, maar

de posters zorgen ervoor dat ze hier

door de inhoud van de stick even te bekijken op de werklaptop. Wat

regelmatig aan herinnerd worden. Voor

blijkt? De stick is besmet met een agressieve malware-variant. Op

scholen hebben we twee aparte posters

het moment dat ze de stick in de laptop steekt, is het hele netwerk

ontwikkeld: een gericht op leerlingen, en

besmet en wordt onder andere het complete klantendossier gewist.

een op medewerkers/docenten.

Natuurlijk zijn incidenten nooit 100% uit te sluiten. Mensen zijn nu eenmaal feilbaar. Maar de kans op dergelijke situaties neemt wel drastisch af op het moment dat medewerkers meer bewust worden van de risico’s, en (basale) kennis hebben over de inhoud van de AVG en het geldende privacybeleid en beschikken over een goede privacy- en security-hygiëne.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

17

Risico’s verkleinen Deze maatregelen verkleinen de menselijke risicofactor:

YOURSAFETYNET HELPT:

MONITORING ICT-GEBRUIK

1. Stel een duidelijk privacy- en ICT-gebruiksbeleid op Wie de spelregels niet kent, kan deze ook niet toepassen. En wanneer er

Een losbandig gebruik van ICT-middelen kan

geen spelregels zijn, ontstaat vanzelf chaos. Daarom is het belangrijk dat de

eenvoudig een datalek veroorzaken. Denk

organisatie beschikt over een rechtsgeldig privacy- en ICT-gebruiksbeleid

aan medewerkers die persoonsgegevens

waarin alle regels ten aanzien van gegevensverwerking duidelijk zijn

versturen via hun persoonlijke webmail. Het kan

opgesteld. Duidelijke regels zijn de basis van een goede bewustwording.

in sommige gevallen nodig zijn dit ICT-gebruik

Zorg ook dat het privacy- en ICT-gebruiksbeleid eenvoudig toegankelijk

aan banden te leggen, of zelfs het gedrag van

zijn voor iedereen.

medewerkers individueel te monitoren. Dat moet dan wel gebeuren volgens de spelregels van de

2. Zorg voor een bewuste boardroom

AVG.

Leidinggevenden moeten het goede voorbeeld geven. Zij zijn aansprakelijk bij een ernstig datalek. Een cultuur van bewustzijn begint bij dan ook bij

YourSafetynet beschikt over uitgebreide

een bewuste boardroom. Zonder hun erkenning van de risico’s en kennis

en flexibele monitoring- en filteropties die

over het onderwerp kun je moeilijk wonderen van de overige medewerkers

veel verder gaan dan ‘alles op slot’ of ‘alles

verwachten.

toegestaan’. Op die manier geef je eenvoudig uitvoering aan een opgesteld ICT-gebruiksbeleid

3. Licht medewerkers voldoende voor

en beperk je het risico op privacy-incidenten.

Het gehele personeelsbestand moet op de hoogte zijn van de privacyspelregels. Zorg dat iedereen kennis neemt van de beleidsdocumenten en laat hen deze ondertekenen. Integreer deze regels ook in het onboardingproces bij nieuwe medewerkers en besteed hier uitgebreid aandacht aan.

Niemand moet zich kunnen verschuilen achter een ‘ik wist het niet’-excuus.

DOWNLOAD: 4. Hanteer een strak autorisatiebeleid Veel datalekken ontstaan doordat persoonsgegevens onder ogen komen

DE PRIVACYKETTING

of verwerkt worden door medewerkers die daartoe niet gerechtigd zijn. Dat kun je voorkomen met een strikt toegangsbeleid. Toegang tot programma’s, software, systemen en apps moet centraal geregeld zijn. Iedere medewerker

Compliance met de

moet over de juiste rechten beschikken. Niet te weinig (ze moeten immers

AVG/GDPR is als een

wel hun taken kunnen uitvoeren), maar ook zeker niet teveel. Pas waar kan

ketting: niet alleen is het

tweefactorauthenticatie toe, zodat toegang door kwaadwillenden zoveel

zo sterk als de zwakste

mogelijk wordt beperkt.

schakel, het bestaat

ALLE SCHAKELS VAN DE PRIVACYKETTING DOCUMENTEN, PROCEDURES EN MAATREGELEN YOURSAFETYNET PRO+

ook uit een flinke

5. Vergeet social media niet

hoeveelheid schakels.

Privacygevoelige data vinden vaak een onzalige weg naar buiten via

Enkel een verwerkers-

social media. Het resulteert niet zelden in een gigantisch datalek, want

overeenkomst en het

het virale karakter van social media vergroot de kans op een razendsnelle

toepassen van encryptie is bij lange na niet

verspreiding.

voldoende. Benieuwd welke onderdelen je allemaal in orde moet hebben voor volledige

Dat vraagt om goede afspraken met medewerkers over wat wel en wat niet

compliance? Download dan de ‘privacyketting’-

kan en mag op deze media. Dat is niet altijd enkel een kwestie van een goed

PDF van de onze website.

fatsoen. Wat mogen medewerkers bijvoorbeeld wel en niet kwijt over klanten op social media? Mogen zij foto’s waarop andere collega’s herkenbaar in

Voor zowel schoolorganisaties als organisaties

beeld zijn online plaatsen? En hoe moeten ze omgaan met bedrijfsgevoelige

(finance/bedrijfsleven/zorg/overheid) hebben

informatie? Dergelijke afspraken moeten worden vastgelegd in een social

wij een apart document opgesteld.

media-reglement. Zorg dat iedereen van dit reglement op de hoogte is en houd voor zover mogelijk toezicht op de naleving ervan.

18

Y O U R P R I VA C Y E 0 2

yoursafetynet.com/privacyketting

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

YOURSAFETYNET HELPT: E-LEARNING Met e-learning test en verbeter je het kennis- en bewustzijnsniveau van je medewerkers op een makkelijke, leuke en laagdrempelige manier. De leermodules met meerkeuzevragen kunnen ze invullen op ieder gewenst moment. Hieronder een indruk van de opzet.

1. Wat is privacy? a. Alles wat met mijn privéleven te maken heeft b. De plicht om mijn gegevens af te schermen voor anderen Antwoord: a. Privacy is alles wat met je privé leven te maken heeft. Privacy is een grondrecht en is vastgelegd in het Europees Verdrag voor de Rechten van de Mens (EVRM). In Nederland is privacy vastgelegd in de Grondwet. Zonder privacy kan een mens niet functioneren in een democratie, we hebben het nodig om onbespied te kunnen leven. Buiten het afschermen van gegevens is ook het sluiten van de gordijnen een voorbeeld van privacy of het verzenden van informatie naar iemand zonder dat iemand anders deze informatie inziet. Vanaf 25 mei 2018 worden onze rechten op het gebied van privacy versterkt door de Europese AVG of (in het Engels) GDPR.

2. Welk van onderstaande gegevens zijn persoonsgegevens: a. NAW-gegevens

e. IP adres van mijn computer

i. Pasfoto

b. Geboortedatum

f. Wachtwoorden

j. Aantal huisdieren dat ik heb

c. Kenteken van de auto

g. Postcode

k. Mijn telefoonnummer

d. Personeelsnummer

h. Vingerafdruk

Bovenstaande zijn allemaal persoonsgegevens, dit zijn gegevens welke te zijn herleiden tot een natuurlijk persoon. Let op: ook gegevens die in eerste instantie niet tot de categorie persoonsgegeven behoren kunnen in combinatie met een ander gegevens toch een persoonsgegeven worden, denk hierbij aan een postcode. De postcode op zichzelf hoeft geen persoonsgegeven te zijn, echter in combinatie met een huisnummer is dit wel degelijk het geval.

3. Welk van volgende verwerkingen valt NIET onder de AVG: a. Het registreren van het surfgedrag van medewerkers b. Het plaatsen van foto’s van een bedrijfsuitje c. De geanonimiseerde lijst met het belgedrag per afdeling d. Maken van een backup van het klantenbestand Antwoord: c. Alle handelingen die met persoonsgegevens worden uitgevoerd noemen we verwerken.

Wanneer persoonsgegevens zijn geanonimiseerd vallen ze buiten de reikwijdte van de AVG.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

19

FEITJES EN WETENSWAARDIGHEDEN

AVG: DIT WIST JE NOG NIET! De AVG bestaat uit niet minder dan 99 artikelen. Sommige van de nieuwe regels zijn relatief onbekend bij het grote publiek. Wij zetten een aantal daarvan op een rij.

1. Niet iedere shredder voldoet

2. Online marketeers, opgelet!

De AVG geldt evengoed voor persoonsgegevens op papier. Wie

Voor online marketeers heeft de AVG enkele speciale

persoonsgegevens op papier moet vernietigen, moet dat wel

aandachtspunten. Misschien wel de belangrijkste is het

volgens de spelregels doen. Dat mag namelijk alleen met een

vooringevulde vakje waar marketeers zo dol op zijn. Hiermee gaan

shredder met ten minste het beveiligingsniveau P3 of P4. Dit

bezoekers automatisch akkoord met bijvoorbeeld het ontvangen

zijn zogeheten ‘crosscut’ shredders die papier in 200 of 400

van een nieuwsbrief. De AVG verbiedt deze praktijken: bezoekers

snippers verdelen. Voor organisaties die met zeer gevoelige

moeten actief akkoord gaan met deze verwerkingen van hun

persoonsgegevens werken, raadt de AVG zelfs het gebruik van

persoonsgegevens.

een P5-versnipperaar aan. Deze machines bewerken een A4’tje tot maar liefst 2000 stukjes. Daar kan zelfs de meest ijverige

Een ander belangrijk aandachtspunt is Google Analytics. Deze tool

kwaadwillende geen chocola meer van maken.

voor webanalytics plaatst cookies op de systemen van gebruikers.

Wie daarvoor geen toestemming wil vragen, moet in Google Analytics alle data laten anonimiseren. Lees op ons blog hoe dat in zijn werk gaat.

Dan nog iets: veel e-mailmarketeers versturen automatische mailings vanuit een ‘noreply’-adres. Dat zijn e-mailadressen die niet worden uitgelezen. Onder de AVG is dat verboden.

Betrokkenen moeten altijd kunnen reageren op e-mail.

20

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

3. Ontslagbescherming voor de FG

4. Interne registratie datalekken

Wie schoon genoeg heeft van zijn Functionaris Gegevens-

Sinds 1 januari 2016 moeten organisaties ernstige datalekken

bescherming (FG) kan nog maar beter een keer slikken en een

melden bij de Autoriteit Persoonsgegevens. De AVG verandert

goed gesprek aangaan. Want ontslaan gaat niet ‘zomaar’. De FG

daar niets aan. Wel moeten voortaan alle datalekken intern worden

geniet ontslagbescherming. Ontslag is alleen mogelijk als de FG

gedocumenteerd. Dus ook de kleine, min of meer onschuldige

niet meer aan de wettelijk voorgeschreven voorwaarden voldoet

gevallen die geen verdere schadelijke gevolgen kunnen hebben.

om de functie uit te voeren.

Die maatregel is niet voor niets ingesteld. Het voorkomt dat de FG

5. Ik ben toch verzekerd? Of toch niet?

zich op enig moment bezwaard voelt om zich vast te houden aan zijn onafhankelijke positie en uiterst kritische houding. In andere

Sommige organisaties dekken zich in tegen schade door

woorden: een FG’er hoeft de organisatie niet koste wat het kost te

datalekken met een cyberrisicoverzekering. Op zich zijn die

vriend te houden. Gelukkig maar, de FG is wel de laatste positie die

verzekeringen waardevol: ze dekken schade na bijvoorbeeld

ten prooi mag vallen aan vriendjespolitiek.

ernstige datalekken of cyberaanvallen. Maar wel alleen als schade is ontstaan buiten de schuld van de organisatie om.

Is een organisatie bij een datalek niet compliant met de AVG, dan zal de verzekeraar in vrijwel alle gevallen de ontstane schade niet uitkeren. Waan je dus niet onkwetsbaar met een cyberrisicoverzekering!

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

21

ACHTERGROND

FG: NIEUWE ROL, NIEUWE VERANTWOORDELIJKHEDEN Een van de belangrijkste wijzigingen die de AVG met zich meebrengt, is de verplichte aanstelling van een Functionaris voor de gegevensbescherming (FG). Maar wat is een FG precies, en waarom is deze persoon zo belangrijk?

Wat is FG?

Rol in AVG

De wetgever heeft voor de FG een duidelijke taakomschrijving

De FG vervult een speciale, centrale rol in de nieuwe

geformuleerd. Een Functionaris voor de gegevensbescherming

privacywetgeving. De AVG stelt dat organisaties zelf hun

is een natuurlijk persoon die toezicht houdt op de uitvoering van

compliance moeten aantonen. Die gedachte is nieuw, en

het privacybeleid. In de praktijk zal de FG informatie inwinnen

bovendien niet voor niets. Het verlost de privacywaakhonden

over de verwerkingen van persoonsgegevens, de naleving van

als de Autoriteit Persoonsgegevens van een netelig probleem:

de verwerkingsactiviteiten analyseren en controleren en hierover

ze hebben niet de capaciteit om iedere organisatie uitgebreid te

de verwerkingsverantwoordelijke informeren, adviseren en aan-

controleren op compliance. Daarom ligt de bewijslast nu bij de

bevelingen doen. De FG is ook de persoon die eventuele ernstige

organisaties zelf: zij moeten zelf kunnen aantonen dat ze aan de

datalekken meldt bij de Autoriteit Persoonsgegevens (AP).

wetgeving voldoen.

De functie van FG heeft een juridische status. Organisaties

De FG staat als het ware tussen de organisatie en de AP in. In eerste

moeten een aanstelling dan ook altijd melden bij de Autoriteit

instantie moet de organisatie aan de FG verantwoording afleggen

Persoonsgegevens.

over het privacybeleid, zodat de FG waar nodig kan adviseren en bijsturen. Daarnaast is de FG voor de AP het eerste aanspreekpunt voor privacy-incidenten en moet de FG kunnen aantonen aan de

Wanneer verplicht?

Het aanstellen van een FG is in de volgende gevallen

AP dat de organisatie waar hij of zij voor werkt aan de AVG voldoet.

Vereisten FG

altijd verplicht, ongeacht het type gegevens dat ze verwerken:

De functie van FG vraagt nogal wat van de persoon die deze

•

voor ALLE schoolorganisaties

vervult. Een FG moet een uitgebreide kennis hebben van de

•

voor ALLE zorginstellingen

privacywetgeving, zowel op Europees als op landelijk niveau.

•

voor ALLE overheidsinstellingen

Bovendien moet de FG deze kennis continu bijspijkeren. Hij of

•

voor organisaties die persoonsgegevens vanuit hun

zij moet daarnaast kunnen praten met de business, maar ook

kernactiviteiten op grote schaal verwerken

verstand hebben van IT. Ook moet de FG verstand hebben van de

voor organisaties die profiling toepassen op

bedrijfsprocessen en inzicht hebben in de gegevensverwerkingen

individuen

die van toepassing zijn in de organisatie. Daarnaast zijn

•

leiderschapskwaliteiten en overredingskracht zeer welkom: een FG Voor alle andere typen organisaties is een FG niet

moet respect, en daarmee veranderingen kunnen afdwingen.

verplicht, maar wel aan te raden.

22

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

NIEUW: FG-AS-A-SERVICE Sinds kort biedt YourSafetynet een externe Functionaris voor de gegevensbescherming (FG) aan als dienst: ‘FG-as-a-Service’. We zijn hiervoor een samenwerking aangegaan met het gerenommeerde privacybureau Privacy Protection Europe (PPE). Dit bureau levert enkel zeer hoogwaardige professionals die voldoen aan alle gestelde kwalificaties.

Met het uitbesteden van de FG kan jouw organisatie zich focussen op de kerntaken en is de onafhankelijkheid 100% gewaarborgd. Daarbij sluit onze FG-dienst naadloos aan op de softwareoplossing van YourSafetynet. De FG’ers zijn getraind in onze software en weten precies wat nodig is voor compliance. Daardoor maak je de privacy-puzzel compleet en valt geen enkel aspect tussen wal en schip.

Meer weten? Kijk op www.yoursafetynet.com

Onafhankelijk

Op de loonlijst of inhuren?

Het is mogelijk een FG te betrekken bij de praktische uitvoering

Een organisatie heeft grofweg twee opties als het gaat om

van het compliance-traject. Dan is het wel van belang dit te

het aanstellen van een FG: een interne of externe aanstelling.

vermelden in de officiële taakomschrijving, en deze rol als tijdelijk

Allereerst kan het een FG ‘aanstellen’ uit de eigen gelederen. In

aan te merken. Een belangrijke voorwaarde is namelijk dat de FG

veel gevallen is het echter niet mogelijk om naast de FG-rol ook

zijn of haar werkzaamheden geheel onafhankelijk moet kunnen

nog andere functies te bekleden, omdat de functie behoorlijk wat

uitvoeren. Deze persoon mag dus geen bevelen of opdrachten

vraagt qua tijd en onafhankelijkheid. Het uitzetten van een aparte

‘van hogerhand’ krijgen. Ook is het niet toegestaan dat deze

vacature hiervoor is dan ook geen vreemde gedachte.

persoon naast zijn of haar FG-functie in andere rollen zaken aangaande de gegevensverwerking bepaalt. Zo is het aanstellen

De andere optie is het extern aanstellen van een FG. Hierbij be-

van een (IT-)manager of CISO als FG’er uit den boze.

steedt de organisatie de functie als het ware uit aan een specialist.

““De FG-rol vraagt veel kennis, kunde en ervaring

De voordelen zijn evident: van interne belangenverstrengeling kan absoluut geen sprake meer zijn. Bovendien kunnen alle medewerkers zich dan focussen op hun ‘core business’, waarvoor ze natuurlijk in eerste instantie ook zijn aangenomen.

Ook komt er geen nieuwe medewerker op de payroll, wat een behoorlijke besparing van kosten kan opleveren. Sinds kort biedt YourSafetynet deze optie aan (zie kader boven).

Daarnaast hoeft de FG aan niemand binnen de organisatie verantwoording af te leggen, de enige verantwoordingsplicht van de FG is richting de Autoriteit Persoonsgegevens. Ook geniet de FG ontslagbescherming: de werkgever kan deze persoon niet ontslaan of sanctioneren als gevolg van de uitvoering van zijn of haar FG-taken.

Deze onafhankelijke status is niet voor niets in het leven geroepen. Zo probeert de wetgevende macht vriendjespolitiek en ‘onderonsjes’ zoveel mogelijk te voorkomen.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

23

24

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

AVG-COMPLIANCE VAN A TOT Z

YOURSAFETYNET: 10 UNIEKE FEATURES Onze software-appliance komt zonder valse beloftes, zonder overlap en zonder gaten, maar wel met alle benodigdheden voor 100% compliance. Hoe we ons onderscheiden ten opzichte van consultancy of gratis oplossingen? Een overzicht.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

25

De AVG een kwestie van losse documenten invullen? Een kwestie van bestanden versleutelen? Of van ‘even’ een consultant inhuren? Was het maar zo simpel. Compliance vereist een zorgvuldig opgesteld privacy- en ICT-gebruiksbeleid, alle organisatorische wijzigingen en nieuwe rollen, en 100% juridisch correcte documentatie, trainings- en bewustwordingsprogramma’s.

1. Stap-voor-stap wizard Het hart van YourSafetynet is een digitale wizard. Deze leidt je stap-voor-stap langs alle verplichte taken en procedures voor AVG-compliance. Heb je de wizard helemaal doorlopen, dan voldoet jouw organisatie volledig aan de privacywetgeving en beschik je over een sluitend privacy- en ICT-gebruiksbeleid en alle benodigdheden om dit beleid te bekrachtigen, te monitoren en te handhaven. Dankzij de overzichtelijke WorkFlow gebaseerd op kleurcodes weet de verwerkingsverantwoordelijke en/of FG precies hoe ver het proces is gevorderd.

2. Alle benodigde documenten en sjablonen De wizard voorziet je op de juiste momenten van alle benodigde documenten en sjablonen. Dat scheelt veel werk en dure juristen. Alle meegeleverde documenten zijn gecontroleerd door

Het probleem: zo kunnen we nog wel even doorgaan. Voor

ons juristenteam, en bovendien volledig op elkaar afgestemd.

het gros van de organisaties zijn deze trajecten niet te

Zo maak je een einde aan het downloaden van allerlei losse

overzien. Rondsnuffelen op internet op zoek naar kant-en-

documenten zonder samenhang.

klare invulformulieren is bij lange na niet genoeg en kan de organisatie zelfs verder van huis brengen.

3. Centrale beheerportal Een centrale portal vereenvoudigt het beheer. Hier kan de

Daarom hebben we YourSafetynet ontwikkeld. We konden

verantwoordelijke of FG tot op masterniveau de oplossing

niet langer aanzien dat organisaties en de privacy van

en het compliancetraject beheren en meerdere organisaties

betrokkenen in gevaar werd gebracht door dergelijke valse

tegelijkertijd aansturen. Deze functie is ook ideaal als

beloften en onzinnige ‘gratis oplossingen’. Onze software-

beheeromgeving voor MSP’s.

appliance is een one-stop-shop, een totaaloplossing voor volledige AVG-compliance. Met deze 10 punten maken we

4. Monitoring en regulering van de ICT-omgeving

het verschil:

Applicatie- en contentfilters beschermen de organisatie tegen ICT-misbruik. Dat voorkomt datalekken en boost de productiviteit. Ook beschikt de appliance over uitgebreide logging, wat bij incidenten grondig speurwerk vergemakkelijkt.

5. Bewustwordingsprogramma en e-learning

ONZE KERNBELOFTEN

Niet-bewuste medewerkers zijn de zwakste schakel in de strijd tegen datalekken. Daarom bevat YourSafetynet alle middelen voor de opzet van een bewustwordingsprogramma.

Zodat medewerkers op de hoogte zijn van cyberdreigingen

•

•

YourSafetynet ontzorgt op het gebied van

en privacywetten. Dure externe trainingen en cursussen zijn

compliancy en de nieuwe privacywetgeving

daarmee overbodig. Eventueel kun je gebruikmaken van onze

(AVG / GDPR)

eigen e-learning-trainingen.

YourSafetynet voorkomt datalekken en daarmee het risico op hoge boetes en

6. Automatisch up-to-date en compliant bij wetswijzigingen

imagoschade

Wetten veranderen voortdurend. Dat geldt ook voor de privacywetgeving. De AVG is redelijk vastomlijnd, maar

•

YourSafetynet voorkomt ICT-misbruik,

praktische invulling en handvatten van bijvoorbeeld de Autoriteit

tijdverspilling en boost de productiviteit.

Persoonsgegevens veranderen voortdurend. Onze updates

Daardoor verdient de oplossing zichzelf snel

verbeteren daarom niet alleen de functionaliteit, maar bewegen

terug.

ook met deze nieuwe spelregels mee. Zodat jouw organisatie niet alleen nu, maar ook morgen en overmorgen compliant blijft.

26

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

VOOR MSP’S 7. FG-as-a-service Het aanstellen van een FG is voor veel organisaties verplicht.

Het mes van YourSafetynet snijdt voor Managed

Wie daar geen interne medewerker voor wil vrijmaken en zeker wil

Service Providers (MSP’) aan twee kanten. Het biedt hen

zijn van deskundigheid, kan via ons een FG inhuren. Zo bespaar je

enerzijds alle middelen voor een sluitend privacybeleid.

kosten en verzeker je kwaliteit en onafhankelijkheid.

Dat verkleint de kans op datalekken en ondersteunt hun klanten, de verwerkingsverantwoordelijken voor

8. Centrale opslag voor alle AVG-documenten

de data die zij beheren, met een correcte verwerking

Een veilige, centrale opslagplaats voor alle AVG-documenten

en dienstverlening. Anderzijds biedt YourSafetynet een

vergroot het overzicht en voorkomt chaotische taferelen zoals

fraaie aanvulling op het eigen dienstenportfolio. MSP’s

zoekgeraakte overeenkomsten.

bieden met YourSafetynet een eenvoudige en complete tool voor AVG-compliance.

Beheer je als verantwoordelijke of FG’er meerdere vestigingen of locaties? Dan kun je op masterniveau het complete pakket

De voordelen voor MSP’s op een rij:

van regels, reglementen, sjablonen en overeenkomsten gereed Dat alles vanuit een enkele appliance. Dat geldt uiteraard

1. Uw eigen partnerorganisatie compliant en ‘datalek-proof’

ook wanneer je als externe organisatie het compliancetraject

YourSafetynet

beheert. Deze functie is daarom ook ideaal als beheertool voor

sluitend privacybeleid. Hiermee ondersteun je jouw

MSP’s.

opdrachtgever, de verwerkingsverantwoordelijke, met

maken en deze voor de afzonderlijke vestigingen klaarzetten.

biedt

alle

middelen

voor

een

een correcte verwerking en dienstverlening richting hun opdrachtgevers.

2. Extra dienstverlening richting uw klanten YourSafetynet vormt een mooie aanvulling op de IT-diensten van het MSP-portfolio. Je geeft jouw opdrachtgevers de beschikking over een krachtige totaaloplossing voor de AVG. Zo versterk je jouw positie als ‘one-stop-shop’.

3. Aantrekkelijk licentie- en verdienmodel Als partner van YourSafetynet profiteren MSP’s van

9. Support en juridische ondersteuning

een aantrekkelijk verdienmodel met goede marges

YourSafetynet doet er alles aan om het compliancetraject

en een centrale administratieconsole die het beheer

en tegengaan van ICT-misbruik en datalekken zo eenvoudig

vergemakkelijkt.

mogelijk te maken. Dat betekent niet dat je het allemaal maar alleen moet uitzoeken. Ons eigen juridische team staat altijd klaar voor het leveren van eersteklas support. Een team van juristen staat klaar voor ondersteuning in het compliancetraject.

10. Anti-pestbeleid (school+-editie) Pesten kan het leven van slachtoffers ruïneren. Wanneer op de

YourSafetynet zelf ervaren? Op onze

school een anti-pestbeleid wordt gevoerd, moet dit wel aan de

website kun je een live demo van de

privacywetgeving voldoen. YourSafetynet slaat hier twee vliegen

oplossing proberen. Zo krijg je een

in één klap: het levert alle benodigde documenten voor zo’n

goede indruk van de mogelijkheden

anti-pestbeleid, en zorgt ervoor dat dit beleid aan de spelregels voldoet.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

en de gebruiksvriendelijke look & feel. www.yoursafetynet.com/testversie

Y O U R P R I VA C Y E 0 2

27

CHECKLIST: MET DEZE 10 STAPPEN MAAK JE JOUW WEBSITE AVG-PROOF De nieuwe Europese privacywetgeving heeft grote gevolgen voor de website van je bedrijf of organisatie. Met deze 10 aandachtspunten voorkom je privacy-issues en zorg je voor compliance met de AVG/GDPR.

1. Een duidelijke privacyverklaring

2. Cookieverklaring

Al onder de Wbp moest je websitebezoekers middels een

Maakt je website gebruik van cookies? Dan moet je naast een

privacyverklaring informeren over welke persoonsgegevens je

privacyverklaring een cookieverklaring op de website plaatsen.

verwerkt en met welk doel je dat doet. Dat is met de komst van de

Hierin leg je uit wat cookies zijn en hoe bezoekers deze kunnen

AVG/GDPR niet veranderd. De eisen die aan een privacyverklaring

in- en uitschakelen. Sommige cookies mag je alleen plaatsen na

worden gesteld, zijn wel een stuk strikter.

toestemming, zoals bij remarketing het geval is. Inmiddels komen er steeds meer plugins beschikbaar waarmee je dit eenvoudig

De privacyverklaring moet geschreven zijn in duidelijke

kunt regelen.

taal, afgestemd op het taalniveau van je doelgroep. Een privacyverklaring moet ten minste de volgende onderdelen bevatten:

3. Technische veiligheidsmaatregelen

•

De identiteit van je organisatie

De AVG verwacht van je dat je de nodige technische veiligheids-

•

Welke persoonsgegevens je website verwerkt

maatregelen neemt om de persoonsgegevens te beschermen

•

De doeleinden en de rechtsgrond

tegen inbreuk en diefstal door kwaadwillenden. De belangrijkste

waarop je deze gegevens verwerkt

veiligheidsmaatregelen zijn:

•

Eventueel: het legitiem belang van de verwerkingsverantwoordelijke

SSL- of TLS-certificaat

•

Duur van de verwerking/opslag van de persoonsgegevens

Hiermee versleutel je het webverkeer tussen de browser van de

•

De rechten van betrokkenen

bezoeker en de webserver. Daardoor kunnen hackers dit verkeer

•

Bron van de persoonsgegevens

niet onderscheppen. Hiervoor is een SSL- of TLS-certificaat

•

Profiling en geautomatiseerde besluitvorming

nodig. De bezoeker herkent een versleutelde website aan de hand

•

Overzicht van verwerkers

van het voorvoegsel https:// (in plaats van http://) en het groene

•

Vermelding van overdracht naar het buitenland

slotje in de adresbalk.

•

Contactgegevens van de Functionaris voor de gegevensbescherming

Deze beveiliging is met name relevant voor pagina’s waar bezoekers

Ga naar de website voor een uitgebreide toelichting op deze

hun

persoonsgegevens

achterlaten,

zoals

in

contactformulieren.

onderdelen: yoursafetynet.com/website-avg-proof

Up-to-date CMS-systeem en plugins Het CMS-systeem van je website moet regelmatig worden bijgewerkt met veiligheidsupdates. Dat geldt ook voor eventuele plugins. Op die manier voorkom je dat aanvallers misbruik maken van bekende fouten in de besturingssoftware van je website.

28

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

4. Webformulieren controleren op ‘overbodige’ persoonsgegevens

8. Maak Google Analytics privacyvriendelijk

Een van de kernregels van de AVG is dat je niet meer gegevens

Google Analytics is een veelgebruike webdienst voor het

mag verwerken dan strikt noodzakelijk voor het doel dat je voor

bijhouden van webstatistieken. Je moet echter wel een paar

ogen hebt. Controleer je webformulieren dus op het vragen naar

aanpassingen doen voordat dat privacyvriendelijk en volgens

informatie die je eigenlijk niet per se nodig hebt.

de AVG-spelregels gebeurt. Google Analytics verzamelt onder andere IP-adressen, en die vallen onder persoonsgegevens. Hoe

5. Controleer je Wordpress-plugins Wordpress is een veelgebruikt CMS. Zo’n 30% van alle websites

je dat doet, lees je op ons blog.

9. Zorg voor overzicht in het back-end

draait op dit systeem. Een van de kenmerken zijn de vele, vaak gratis beschikbare plug-ins waarmee je allerlei functionaliteit aan

De AVG verplicht onder andere organisaties met meer dan 250

je website toevoegt.

medewerkers om een verwerkingsregister bij te houden. Dit is een overzicht van welke persoonsgegevens verwerkt worden, wie

Het is verstandig een overzicht te maken van alle plugins

daarvoor verantwoordelijk is en met welk doel dat gebeurt.

waarvan je website gebruikmaakt. Ga deze één voor één langs en controleer welke persoonsgegevens deze verzamelen. Op

In dat verwerkingsregister moet je ook bijhouden welke gegevens

de website van de makers vind je vaak of een plugin voldoet aan

via de website zijn verzameld. Je moet bijvoorbeeld kunnen

de AVG. Is dat niet het geval, dan is het verstandig op zoek te

terugvinden dat persoon X op moment Y akkoord heeft gegeven

gaan naar een alternatief. Met name socialmediaplugins kunnen

voor de nieuwsbrief of gegevens heeft achterlaten, en op welke

ongemerkt meer data verzamelen dan zonder instemming is

manier dat is gebeurd (vaak via het plaatsen van een vinkje of

toegestaan.

invullen van een invoerveld). Wanneer je dat niet goed kan terugvinden, weet je ook bijvoorbeeld niet wanneer je data weer

6. Controleer op toestemming

moet verwijderen.

Dat kun je alleen goed bijhouden wanneer de website dergelijke

Bezoekers van je website moeten voor iedere verwerking van

zaken nauwgezet registreert. Ga na hoe dat in jouw website is

hun persoonsgegevens expliciet en actief toestemming geven.

geregeld en zorg dat dergelijke zaken herleidbaar zijn.

In de praktijk betekent dat vooraf aangevinkte opties voor bijvoorbeeld het ontvangen van een nieuwsbrief verboden zijn.

Dergelijke opties moet je bezoeker altijd zelf kunnen aangeven.

Het moet bovendien glashelder zijn waar ze precies voor kiezen

10. Sluit verwerkersovereenkomsten af met derde partijen

of toestemming voor geven. Om bij het nieuwsbrief-voorbeeld te blijven: leg uit wat ze precies ontvangen, hoe vaak en in welke

Wanneer

vorm.

terechtkomen bij derde partijen, moet je met hen een

via

de

website

verzamelde

persoonsgegevens

verwerkersovereenkomst afsluiten. Daar is al snel sprake van.

7. Loop alle medewerkersaccounts na

Denk bijvoorbeeld aan de koppeling van je website met een nieuwsbriefoplossing als Mailchimp. Ook plugins voor bijvoorbeeld socialmediacounters verzamelen soms persoonsgegevens (IP-

De AVG verbiedt de verwerking van persoonsgegevens door

adressen).

onbevoegden. Het is dan ook goed alle webaccounts na te lopen. Deze accounts verschaffen immers vaak toegang tot

Sommige grote partijen als Google, Mailchimp en Facebook

persoonsgegevens. Zo komt het geregeld voor dat accounts van

hebben hiervoor standaard verwerkersovereenkomsten waarmee

oud-medewerkers nog actief zijn. Schakel alle accounts die niet

je akkoord moet gaan. Neem contact met ze op en vraag ernaar.

meer strikt noodzakelijk zijn uit. Beperk ook de rechten van de actieve accounts: geef gebruikers niet meer rechten dan strikt noodzakelijk.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

29

EENVOUDIG INZICHT IN HET COMPLIANCETRAJECT

UITGELICHT: WORKFLOW Een van de grootste updates die we binnenkort aan YouSafetynet toevoegen is WorkFlow. Deze functie tackelt het hardnekkige probleem dat de AVG met zich meebrengt: overzicht en inzicht in het compliancetraject. Hoe ver is het gevorderd? Waar ontstaan vertragingen? Welke filialen liggen op schema en welke lopen achter?

YourSafetynet WorkFlow De basis van WorkFlow is een grafische indicator die de verwerkingsverantwoordelijke en/of FG in een oogopslag helderheid geeft over de voortgang van het compliancetraject.

Hieronder een indruk van de mogelijkheden:

Overzichtelijk Dit is een totaaloverzicht van de voortgang in het privacybeleid, voor de overkoepelende organisatie/stichting (Mijn Master).

Dit toont direct hoeveel is afgerond, in behandeling of nog naar gekeken moet worden. Per sectie (soort maatregelen/ vragen/items) kun je tevens de voortgang zien. De groene kleur betekent afgerond, de oranje/gele betekent in behandeling en rood betekent een actie vereist.

Dynamisch Ga je met de muis over een bepaalde sectie, dan krijg je onder andere meer informatie over bijvoorbeeld wie de laatste wijziging op dit onderdeel gedaan heeft. Klik je op een sectie, dan klapt deze uit en toont de oplossing meer informatie.

De dashboardpagina toont op masterniveau ook direct een overzicht van de voortgang van de gekoppelde filialen of vestigingen. Dit screenshot toont de top-4 organisaties, maar via ‘Bekijk alle’ kan de verantwoordelijke de status en voortgang van alle organisaties monitoren.

30

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Voortgang De verwerkingsverantwoordelijke/Functionaris voor de gegevensbescherming kan bij ieder pakket aan maatregelen (organisatorisch/preventief/technisch) de vragen en daarop gegeven antwoorden inzien. Zo is van ieder specifiek onderdeel apart zichtbaar wat de status is.

Extra opties Per subsectie heb je beschikking over extra opties. Zo kan degene die de wizard doorloopt documenten koppelen aan zijn of haar antwoord in de betreffende stap. Bij een vraag ‘Is er een reglement social media beschikbaar’ kan de manager niet alleen ‘Ja’ kiezen, maar dit reglement ook koppelen. De gekoppelde documenten zijn beschikbaar via de nieuwe documentbeheermodule. Bij ‘Opmerkingen’ krijgt de beheerder een overzicht van de opmerkingen die managers gemaakt hebben. Bijvoorbeeld om extra details aan te geven over de antwoorden die gegeven zijn in die subsectie.

Geïnteresseerd in deze functionaliteit en wil je het zelf ervaren? Ga naar de live demo op de website voor een ‘hands-on’ ervaring: www.yoursafetynet.com/testversie

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

31

UITGELICHT:

DOCUMENTBEHEER VOOR COMPLETE AVG-BOEKHOUDING Organisaties moeten onder de AVG zelf aantonen dat ze compliant zijn. Dat kan alleen als de organisatie een strakke ‘AVG-boekhouding’ voert en alle documenten overzichtelijk beheert en bewaart. Zodat alles in een keer worden overgedragen aan de Autoriteit Persoonsgegevens.

Daarom hebben we YourSafetynet voorzien van een centrale bewaar- en beheerfunctie voor AVG-documenten.

De AVG gaat gepaard met tal van documenten. Denk aan reglementen, overeenkomsten met medewerkers en verwerkers, maar ook begeleidende documentatie en handleidingen voor de uitvoer van het beleid. Al deze documenten kunnen voortaan op een overzichtelijke manier worden bewaard en beheerd binnen de softwareappliance van YourSafetynet. Ook kan de beheerder of MSP vanuit deze centrale omgeving beleidsstukken zoals reglementen samenstellen en uitrollen voor alle onderliggende filialen, vestigingen of klanten. Dat maakt een effectief centraal compliancebeheer mogelijk.

32

Y O U R P R I VA C Y E 0 2

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

* Alle screenshots zijn gemaakt in YourSafetynet school+. Uiteraard zijn alle getoonde functies ook beschikbaar in YourSafetynet pro+.

Mappenstructuur

Bestandsformaten

We hebben de omgeving voorzien van een standaard

De omgeving is geschikt voor het uploaden van PDF- en Office-

mappenstructuur. De beheerder kan deze naar believen

documenten, archiefbestanden en afbeeldingen. Ook kunnen

aanpassen.

reglementen op basis van sjablonen worden voorbereid en uitgerold naar vestigingen, klanten of filialen.

Drag & Drop upload

Documentbeheer

Uploaden naar de omgeving gaat eenvoudig en effectief door

Documenten

bestanden te slepen naar de uploadbox. Met voortgangsmeters

gekopieerd of verwijderd worden. Naast het uploaden van

houdt de beheerder zicht op dit proces.

documenten is het ook mogelijk links te bewaren naar

kunnen

eenvoudig

hernoemd,

verplaatst,

documenten die buiten de appliance zijn opgeslagen. Daardoor raken bestanden die niet in de appliance opgeslagen mogen of kunnen worden, maar wel van belang zijn, niet zoek.

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

33

Samen sterk voor een prettige leeromgeving

Veilig digitaal werken

Tips voor het voorkomen van cyberincidenten

PRIVACY-VRIENDELIJKE SCHOOLOMGEVING

Een veilige omgeving begint bij jezelf. Met deze goede gewoonten verklein je de kans op datalekken, malware-infecties en andere security- of privacyproblemen.

E-MAIL • Open geen verdachte bijlagen en klik niet op verdachte links • Reageer niet op verdachte e-mails • Verstuur geen zakelijke mails met je privé-account • Ga nooit in op verzoeken voor bank- en/of creditcardgegevens • Verstuur nooit persoonsgegevens zonder encryptie en wachtwoordbeveiliging

SOCIAL MEDIA

MOBIEL WERKEN

• Maak gebruik van schermvergrendeling als je je plek verlaat

• Beveilig je smartphone en tablet met een toegangscode

• Laat geen persoonsgegevens en wachtwoorden slingeren

• Heb je een vingerafdrukscanner?

Maak er gebruik van!

• Vreemden op de werkvloer?

Vraag naar hun doel en een legitimatiebewijs

• Installeer alleen goedgekeurde apps uit de App Store (iOS) of Play Store (Android)

CLOUD EN APPS

• Deel geen bedrijfsgeheimen op social media

• Gebruik alleen goedgekeurde apps voor bestandsuitwisseling

• Scherm je openbare profiel zoveel mogelijk af

• Vermijd het gebruik van privéapps voor werk en vice versa

• Deel nooit persoonsgegevens van anderen zonder toestemming

• Geen centraal updatebeleid?

Installeer updates tijdig, ook voor je mobiele device

• Accepteer geen uitnodigingen van vreemden

• Grote bestanden versturen?

Vraag de IT-verantwoordelijke naar de procedure

Een veilige school begint bij jezelf. Met deze goede gewoonten verkleinen we samen de kans op problemen en behouden we een goede sfeer.

WERKPLEK

• Maak enkel gebruik van openbare hotspots met een VPN-verbinding

SEXTORTION • Houd je kleren aan voor de webcam.

• Stuur nooit naaktfoto’s toe.

• Laat je nooit bloot filmen of fotograferen.

• Scherm je webcam af met een sticker, tape of schuifje

WACHTWOORDEN

Sextortion kan je leven en dat van anderen verwoesten!

CYBERPESTEN

• Vermijd makkelijke woorden.

Wachtzinnen verdienen de voorkeur

• Hanteer nooit hetzelfde wachtwoord voor meerdere accounts • Verander je wachtwoord regelmatig

SMARTPHONES & TABLETS WEBSITES • Laat nooit persoonsgegevens achter bij websites zonder groen slotje! (HTTPS) • Klik nooit op verdachte pop-ups • Bezoek geen websites met torrents, gokspellen of porno • Vermijd websites met een beveiligingswaarschuwing

PRINTERS

MOBIELE DATADRAGERS

• Laat afgedankte printers, computers en datadragers altijd opschonen door de IT-verantwoordelijke

• Maak zoveel mogelijk gebruik van versleuteling

• Laat geen uitgeprinte documenten slingeren bij de printer

• Laat geen usb-sticks, laptops of mobiele schijven slingeren

• Maak indien mogelijk gebruik van een ‘ophaalcode’

• 20 minuten schermstaren = 20 seconde pauze.

• Houd je smartphone op zak tijdens de lessen.

• Gebruik je smartphone niet als spiekbriefje.

• Mobiele datadrager gevonden?

Lever deze in bij de ITverantwoordelijke

STUDIECOMPUTERS • Houd je aan de regels van de computerruimtes.

• Games speel je thuis, niet op school.

• Sites met porno, gokken of geweld?

Dat heeft hier niets te zoeken!

Is er sprake van een ernstig datalek? Een verdachte situatie op de werkvloer? Heb je het vermoeden dat je bent besmet met malware?

Maak van ieder incident direct melding bij de IT-verantwoordelijke. Vraag naar een incident-responsplan zodat je bij cyberincidenten je taken en verantwoordelijkheden kent.

!

34

De openbare computers op deze school zijn voor schoolwerk.

Punt!

Deze school zegt NEE tegen: virussen, porno, geweld, racisme, cyberpesten en sexting. Kom jij een van deze dingen tegen op school?

Ken het privacy- en ICT-gebruiksbeleid op hoofdlijnen. Weet wie verantwoordelijk is voor dit beleid en ken de voor jouw werk relevante spelregels van de AVG/GDPR.

Y O U R P R I VA C Y E 0 2

Gezakt, een bril of zelfs blind door je smartphone.

Liever niet, toch?

• Weet welke data wel en niet mee ‘naar buiten’ mag

Verdachte situatie of incident? Ken de procedures.

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 1

Cyberpesten is niet stoer en niet cool!

• Stuur geen kwetsende of bedreigende teksten in chats.

• Plaats nooit ongevraagd foto’s en filmpjes van anderen.

• Zelf slachtoffer van cyberpesten? Gebruik de anti-pestknop!

En meld het altijd bij je vertrouwenspersoon.

• Veel lastige wachtwoorden?

Gebruik een wachtwoordmanager

Meld het direct bij de directie of vertrouwenspersoon. Samen houden we onze school veilig!

22-03-18 12:15

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 2

22-03-18 12:15

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

YOURSAFETYNET MAKES THE DIFFERENCE IN SECURITY

POSTERS VOOR BEWUSTWORDING Samen sterk voor een prettige leeromgeving

PRIVACY-VRIENDELIJKE SCHOOLOMGEVING Een veilige school begint bij jezelf. Met deze goede gewoonten verkleinen we samen de kans op problemen en behouden we een goede sfeer.

GEVOELIGE INFORMATIE

Respecteer de privacy van leerlingen en je collega’s

• Weet wat je deelt met wie.

• Foto- en videomateriaal? Ook daar zijn regels voor.

• Behandel leerlingdossiers en -uitslagen uiterst zorgvuldig.

Voorkomen is beter dan genezen. Goed geïnformeerde, bewuste medewerkers vormen de beste ‘first line of defence’ tegen privacy- en E-MAIL VEILIG securityincidenten.

• Klik niet op verdachte links en bijlagen.

• Reageer niet op verdachte e-mails.

• Verstuur geen zakelijke mails met je privé-account.

Voorkom virusbesmettingen en datalekken

YourSafetynet stelt daarom kant-en-klare posters beschikbaar. Hierop staan de belangrijkste aandachtspunten voor privacy en security in begrijpelijke taal. Zo breng je eenvoudig alle medewerkers op MOBIELE DATADRAGERS Wees je bewust • Usb-stick gevonden? van de belangrijkste regels op dit gebied. Maar minstens zo belangrijk: de posters zorgen ervoor van de risico’s • Lever deze directde in bijhoogte de IT-verantwoordelijke.

• Laat geen mobiele schijven of sticks slingeren.

• Gebruik waar nodig versleuteling. dat ze hier regelmatig aan herinnerd worden.

Voor bedrijven, instellingen en overheden hebben we één variant ontworpen. Voor scholen hebben we twee Deze school WETGEVING voldoet aan de privacywet. Dat aparte posters ontwikkeld: gericht op leerlingen, en een op medewerkers/docenten. willen we een zo

• Ken het privacy- en ICT-gebruiksbeleid op hoofdlijnen.

• Weet wie verantwoordelijk is voor dit beleid.

• Ken de voor jou relevante spelregels van de GDPR.

houden!

Deze school zegt NEE tegen: virussen, porno, geweld, racisme, cyberpesten en sexting. Kom jij een van deze dingen tegen op school?

Meld het direct bij de directie of vertrouwenspersoon. Samen houden we onze school veilig!

Samen sterk voor een prettige leeromgeving

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 3

22-03-18 12:15

Samen sterk voor een prettige leeromgeving

PRIVACY-VRIENDELIJKE SCHOOLOMGEVING

PRIVACY-VRIENDELIJKE SCHOOLOMGEVING

Een veilige school begint bij jezelf. Met deze goede gewoonten verkleinen we samen de kans op problemen en behouden we een goede sfeer.

Een veilige school begint bij jezelf. Met deze goede gewoonten verkleinen we samen de kans op problemen en behouden we een goede sfeer.

SEXTORTION • Houd je kleren aan voor de webcam.

• Stuur nooit naaktfoto’s toe.

• Laat je nooit bloot filmen of fotograferen.

CYBERPESTEN • Stuur geen kwetsende of bedreigende teksten in chats.

• Plaats nooit ongevraagd foto’s en filmpjes van anderen.

• Zelf slachtoffer van cyberpesten? Gebruik de anti-pestknop!

En meld het altijd bij je vertrouwenspersoon.

E-MAIL VEILIG • Klik niet op verdachte links en bijlagen.

• Reageer niet op verdachte e-mails.

• Verstuur geen zakelijke mails met je privé-account.

Een veilige omgeving begint bij jezelf. Met deze goede gewoonten verklein je de kans op datalekken, malware-infecties en andere security- of privacyproblemen.

E-MAIL • Open geen verdachte bijlagen en klik niet op verdachte links

• Verstuur geen zakelijke mails met je privé-account

Respecteer de privacy van leerlingen en je collega’s

• Weet wat je deelt met wie.

• Foto- en videomateriaal? Ook daar zijn regels voor.

• Behandel leerlingdossiers en -uitslagen uiterst zorgvuldig.

Cyberpesten is niet stoer en niet cool!

Tips voor het voorkomen van cyberincidenten

• Reageer niet op verdachte e-mails

GEVOELIGE INFORMATIE

Sextortion kan je leven en dat van anderen verwoesten!

Veilig digitaal werken

• Ga nooit in op verzoeken voor bank- en/of creditcardgegevens • Verstuur nooit persoonsgegevens zonder encryptie en wachtwoordbeveiliging

SOCIAL MEDIA Voorkom virusbesmettingen en datalekken

• 20 minuten schermstaren = 20 seconde pauze.

• Houd je smartphone op zak tijdens de lessen.

• Gebruik je smartphone niet als spiekbriefje.

Wees je bewust van de risico’s

• Usb-stick gevonden?

• Lever deze direct in bij de IT-verantwoordelijke.

• Laat geen mobiele schijven of sticks slingeren.

• Gebruik waar nodig versleuteling.

• Houd je aan de regels van de computerruimtes.

• Games speel je thuis, niet op school.

• Sites met porno, gokken of geweld?

Dat heeft hier niets te zoeken!

• Ken het privacy- en ICT-gebruiksbeleid op hoofdlijnen.

• Weet wie verantwoordelijk is voor dit beleid.

• Ken de voor jou relevante spelregels van de GDPR.

Deze school zegt NEE tegen: virussen, porno, geweld, racisme, cyberpesten en sexting. Kom jij een van deze dingen tegen op school?

• Geen centraal updatebeleid?

Installeer updates tijdig, ook voor je mobiele device

WEBSITES

• Vermijd websites met een beveiligingswaarschuwing

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 3

PRINTERS

WACHTWOORDEN • Vermijd makkelijke woorden.

Wachtzinnen verdienen de voorkeur • Veel lastige wachtwoorden?

Gebruik een wachtwoordmanager • Hanteer nooit hetzelfde wachtwoord voor meerdere accounts • Verander je wachtwoord regelmatig

MOBIELE DATADRAGERS

• Laat afgedankte printers, computers en datadragers altijd opschonen door de IT-verantwoordelijke

• Maak zoveel mogelijk gebruik van versleuteling

• Laat geen uitgeprinte documenten slingeren bij de printer

• Laat geen usb-sticks, laptops of mobiele schijven slingeren

• Maak indien mogelijk gebruik van een ‘ophaalcode’

• Weet welke data wel en niet mee ‘naar buiten’ mag

• Mobiele datadrager gevonden?

Lever deze in bij de ITverantwoordelijke

Is er sprake van een ernstig datalek? Een verdachte situatie op de werkvloer? Heb je het vermoeden dat je bent besmet met malware?

Maak van ieder incident direct melding bij de IT-verantwoordelijke. Vraag naar een incident-responsplan zodat je bij cyberincidenten je taken en verantwoordelijkheden kent.

!

Meld het direct bij de directie of vertrouwenspersoon. Samen houden we onze school veilig!

22-03-18 12:15

• Grote bestanden versturen?

Vraag de IT-verantwoordelijke naar de procedure

• Scherm je webcam af met een sticker, tape of schuifje

Verdachte situatie of incident? Ken de procedures.

Deze school zegt NEE tegen: virussen, porno, geweld, racisme, cyberpesten en sexting. Kom jij een van deze dingen tegen op school?

Meld het direct bij de directie of vertrouwenspersoon. Samen houden we onze school veilig!

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 2

CLOUD EN APPS

• Deel nooit persoonsgegevens van anderen zonder toestemming

• Laat nooit persoonsgegevens achter bij websites zonder groen slotje! (HTTPS)

Deze school voldoet aan de privacywet. Dat willen we zo houden!

• Vreemden op de werkvloer?

Vraag naar hun doel en een legitimatiebewijs

• Installeer alleen goedgekeurde apps uit de App Store (iOS) of Play Store (Android)

• Vermijd het gebruik van privéapps voor werk en vice versa

• Klik nooit op verdachte pop-ups

WETGEVING

De openbare computers op deze school zijn voor schoolwerk.

Punt!

• Laat geen persoonsgegevens en wachtwoorden slingeren

• Heb je een vingerafdrukscanner?

Maak er gebruik van!

• Gebruik alleen goedgekeurde apps voor bestandsuitwisseling

• Bezoek geen websites met torrents, gokspellen of porno

STUDIECOMPUTERS

• Beveilig je smartphone en tablet met een toegangscode

• Scherm je openbare profiel zoveel mogelijk af

MOBIELE DATADRAGERS

Gezakt, een bril of zelfs blind door je smartphone.

Liever niet, toch?

WERKPLEK • Maak gebruik van schermvergrendeling als je je plek verlaat

• Deel geen bedrijfsgeheimen op social media

• Accepteer geen uitnodigingen van vreemden

SMARTPHONES & TABLETS

MOBIEL WERKEN • Maak enkel gebruik van openbare hotspots met een VPN-verbinding

22-03-18 12:15

Ken het privacy- en ICT-gebruiksbeleid op hoofdlijnen. Weet wie verantwoordelijk is voor dit beleid en ken de voor jouw werk relevante spelregels van de AVG/GDPR.

180104 YourSafetynet Poster Security B1 70x100cm v6.indd 1

22-03-18 12:15

Posters bestellen Alle posters hebben afmetingen van 70 x 50 cm (185 grams) en zijn te bestellen via het formulier op de website van YourSafetynet: www.yoursafetynet.com/media

P R I VA C Y W E T G E V I N G ( AV G / G D P R )

Y O U R P R I VA C Y E 0 2

35

ONE-STOP-SHOP

VOOR AVG COMPLIANCE GEÏNTERESSEERD IN WAT WIJ VOOR JOUW ORGANISATIE KUNNEN BETEKENEN? • Wil je een ‘live’ demonstratie van de mogelijkheden?

• Ambieer je een plaats in ons partner/resellernetwerk?

• Wil je op welke wijze dan ook bijdragen aan onze oplossing?

Wij zitten klaar voor jouw suggesties, vragen en opmerkingen.

Aarzel niet, en neem gerust contact op.

www.yoursafetynet.com