geen privacy zonder informatieveiligheid

Presentatie over: "geen privacy zonder informatieveiligheid"— Transcript van de presentatie:

1 geen privacy zonder informatieveiligheid
AVG en meer geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Woensdag 18 april 15:00 Peter van der Zwan Ipse de Bruggen en Douwe de Jong AVG en meer . . . Zorg & ICT Powered by ActiZ

2 informatieveiligheid op orde heeft (NEN 7510 inclusief Wbp)
AVG en meer. . . Stelling: Als een organisatie informatieveiligheid op orde heeft (NEN 7510 inclusief Wbp) is de implementatie van de AVG een logisch vervolg? AVG en meer . . . Zorg & ICT Powered by ActiZ

3 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer . . . AVG en meer ? Geen privacy zonder informatieveiligheid (IV)! Kwaliteitseisen informatieveiligheid: beschikbaarheid integriteit vertrouwelijkheid/privacy => Maak de AVG praktisch door te benaderen vanuit IV AVG en meer . . . Zorg & ICT Powered by ActiZ

4 Medewerker AP: AVG en meer. . . Maak de AVG niet groter dan het is!
(ActiZdag #HuisOpOrde) Kern AVG: veel dezelfde uitgangspunten, rechten, verplichtingen en waarborgen als de Wbp Accenten / extra’s AVG: verantwoordingsplicht! register, datalek, FG na mei 2018 PIA Maak de AVG niet groter dan het is! AVG en meer . . . Zorg & ICT Powered by ActiZ

5 AP: in 10 stappen voorbereid op AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG NEN 7510 Aanv. / extra Hulp-middelen Prak-tijk 1 Bewustwording 2 Rechten betrokkenen 3 Overzicht verwerkingen 4 PIA 5 Privacy by design / default 6 FG 7 Meldplicht datalekken 8 VWO 10 Toestemming betrokkenen Samenvatting na afloop beschikbaar AVG en meer . . . Zorg & ICT Powered by ActiZ

6 AP: in 10 stappen voorbereid op AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AVG - algemeen NEN 7510 Relatie AVG en NEN 7510: google ‘GDPR ISO27k mapping’ Extra mb AVG Rijksoverheid: Handleiding AVG; vanuit perspectief Wetsvoorstel Uitvoeringswet AVG Hulp-middelen AVG in vogelvlucht; visualisatie op één A4 *) VGN: Factsheet AVG *) Website CIP-overheid: Grip op privacy Website AP: Regelhulp AVG Praktijk Ipse De Bruggen Regiegroep Informatieveiligheid & Privacy, interne audits, teams kwaliteit en veiligheid, mystery guest onderzoek, security audit, regionale samenwerking *) te vinden op ActiZnetwerk #HuisOpOrde AVG en meer . . . Zorg & ICT Powered by ActiZ

7 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer. . . AP: 10-stappenplan AVG Stap 1 – Bewustwording NEN 7510 7.2.2 alle medew periodiek informeren over informatieveiligheid Extra mb AVG Allen: aandacht privacy en datalekken Direct betrokkenen/beleidsmaker: informeren over AVG Hulp-middelen Diverse hulpmiddelen / toolkids leveranciers Zoek in YouTube op Privacywetgeving in de zorg e-L cursus Veilig omgaan met vertrouwelijke informatie Praktijk Ipse De Bruggen Trainingen management en rolhouders, bewustwordings-campagne gouden regels, toolbox intranet. (==> waaronder e-learning) Centrale Clientenraad betrokken. Privacyverklaring onderhanden. Op basis daarvan informatiefolders AVG en meer . . . Zorg & ICT Powered by ActiZ

8 Veilig omgaan met vertrouwelijke informatie
AVG en meer 1 - Bewustwording e-Learningcursus Veilig omgaan met vertrouwelijke informatie Algemeen Zorggerelateerd Vertrouwelijke cliëntgegevens Informatieverzoek derden Vertrouwelijke medewerkergegevens Collegiale afstemming Meldt incidenten Sociale media en je werk Mogelijke datalekken Veilig omgaan met IT-middelen Veilig omgaan met wachtwoorden Werken buiten kantoor Veilig mail ontvangen; phising mail Wat te doen bij calamiteiten Veilig mailen op je werk en privé Inf. uitwisseling sociaal domein Wie is verantwoordelijk voor informatieveiligheid? AVG en meer . . . AVG en meer . . . Zorg & ICT ActiZPaviljoen Zorg & ICT Powered by ActiZ 8

9 Stap 2 – Rechten betrokkenen
AVG en meer. . . AP: 10-stappenplan AVG Stap 2 – Rechten betrokkenen NEN 7510 Privacy en bescherming persoonsgegevens; recht op inzage, correctie en verwijdering Extra mbt AVG Meer en verbeterde privacyrechten; nieuw is dataportabiliteit en klachten naar AP Hulp-middelen Model privacyreglement GGZ *) Website UMCGroningen: privacy statement Praktijk Ipse De Bruggen Privacyverklaring en FAQ, Clientenportaal en ESS AVG en meer . . . Zorg & ICT Powered by ActiZ

10 Stap 3 – Overzicht verwerkingen
AVG en meer. . . AP: 10-stappenplan AVG Stap 3 – Overzicht verwerkingen NEN 7510 8.1.1 inventarisatie BM en classificatie van informatie Wbp: melden bijzondere geg. i.g.v. geen Vrijstellingsbesluit Extra mb AVG Documentatieplicht; aantoonbaar handelen volgens AVG Geen format (wel schriftelijk); onmiddellijk beschikbaar voor controle door AP Hulp-middelen Vele voorbeelden Register verwerkingen; ook op #HuisOpOrde NVZ: keuzelijsten; opzet vanuit Referentiedomeinen *) BBMCare: I&Cdoc tabel 1 Praktijk Ipse De Bruggen Voor wat betreft uitwerking focus op zorgapplicaties, mede aan de hand van PIA's, generieke HRM verwerkingen, aansluiting op BBMCare, inclusief dataclassificatie. Tooling, ook voor ondersteuning dochterorganisaties AVG en meer . . . Zorg & ICT Powered by ActiZ

11 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer. . . AP: 10-stappenplan AVG BBMCare Inventarisatie en classificatiedoc & register verwerkingen Domein/proces Bedrijfsactiviteit verwerkingsdoeleinde Informatieobject Bedrijfsmiddel (instellingspecifiek) verschijningsvorm Classificatie BIV tbv typering risico’s + verwerkingsgrondslag + betrokken personen + persoonsgegevens + bewaartermijnen etc AVG en meer . . . Zorg & ICT Powered by ActiZ

12 Stap 4 – Privacy Impact Analyse
AVG en meer. . . AP: 10-stappenplan AVG Stap 4 – Privacy Impact Analyse NEN 7510 - Extra mb AVG Na mei 2018 tijdens ontwerpfase en alleen indien nodig . . . o.a. hoog privacyrisico in Verwerkingsregister Hulp-middelen ActiZ: Template Pia-light *) en vele andere zoals NVZ, Norea, . . Aanleiding voor een PIA oa classificatie privacy; zie BBMCare Praktijk Ipse De Bruggen Nieuwe verwerkingen PIA's voor verwerkingen met hoog privacyrisico (vertrouwelijkheid = Hoog), voor wat betreft bestaande verwerkingen focus op zorgapplicaties. Tooling AVG en meer . . . Zorg & ICT Powered by ActiZ

13 Stap 5 -Privacy by design & by default
AVG en meer. . . AP: 10-stappenplan AVG Stap 5 -Privacy by design & by default NEN 7510 6.1.5 Informatiebeveiliging in projectbeheer en aanbeveling Richtsnoeren Wbp Privacy en bescherming pers.geg Extra mb AVG By design: vooral bij nwe ontwikkelingen / dienstverlening By default: alleen verwerking indien noodzakelijk Hulp-middelen - Praktijk Ipse De Bruggen By design: In beleid verankerd; richtlijn dataclassificatie die aangeeft welke maatregelen bij welk beveiligingsniveau behoren By default: Meenemen in PIA, ontwerprichtlijnen AVG en meer . . . Zorg & ICT Powered by ActiZ

14 Stap 6 – Functionaris gegevensbescherming
AVG en meer. . . AP: 10-stappenplan AVG Stap 6 – Functionaris gegevensbescherming NEN 7510 6.1.1 aanspreekpunt IB gewenst; aanbeveling Richtsnoeren Wbp Extra mb AVG FG toezichthouder op naleving AVG FG houdt register verwerkingen bij Hulp-middelen FG op hoofdlijnen *) NVZ functieprofiel FG Praktijk Ipse De Bruggen FG neemt deel aan Regiegroep, regionale samenwerking. Aansluiting brancheorganisatie. AVG en meer . . . Zorg & ICT Powered by ActiZ

15 Stap 7 – Meldplicht datalekken
AVG en meer. . . AP: 10-stappenplan AVG Stap 7 – Meldplicht datalekken NEN 7510 16 Incidentbeheer aanbeveling versie 2013: informeer betrokkenen . . 2017 aanvulling Wbp meldplicht datalekken Extra mb AVG Meldplicht afgezwakt; accent eigen verantwoordelijkheid. Wel documenteren! Hulp-middelen Diverse protocollen beschikbaar via internet Praktijk Ipse De Bruggen Procedure datalekken, melden incidenten bij servicedesk. Registratie in Topdesk ==> onderzoek tooling AVG en meer . . . Zorg & ICT Powered by ActiZ

16 Stap 8 - Verwerkersovereenkomst
AVG en meer. . . AP: 10-stappenplan AVG Stap 8 - Verwerkersovereenkomst NEN 7510 15.1.2: opnemen bev.aspecten in lev.overeenkomsten Extra mb AVG VWO als aanvulling op bestaande contracten + naleving! Hulp-middelen Zorgbreed BoZ-model VWO *) Div presentatie en toelichting BoZ *) VNG/IBD: Factsheet VWO (mbt sociaal domein) Praktijk Ipse De Bruggen Hanteren BOZ model. Knelpunt monopolie verschillende leveranciers. Veel onduikdelijkheid over wanneer verwerkersovereenkomst nodig is. AVG en meer . . . Zorg & ICT Powered by ActiZ

17 Stap 10 – Toestemming betrokkenen
AVG en meer. . . AP: 10-stappenplan AVG Stap 10 – Toestemming betrokkenen NEN 7510 Privacy en bescherming van persooinsgegevens Extra mb AVG Nadrukkelijker regelen; vooral het intrekken van een toestemming Hulp-middelen Praktijk Ipse De Bruggen Aandachtspunt vastleggen bijzondere persoonsgegevens. Toestemming in zorgplan. In privacyverklaring aandacht voor intrekken toestemming. Uitdaging verwerking in systemen AVG en meer . . . Zorg & ICT Powered by ActiZ

18 AP: in 10 stappen voorbereid op AVG Extra inspanning mbt AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG Extra inspanning mbt AVG 1 Bewustwording 2 Rechten betrokkenen ++ 3 Overzicht verwerkingen doorlopend + 4 PIA eventueel later +++ 5 Privacy by design / default effect! + 6 FG 7 Meldplicht datalekken 8 VWO + 10 Toestemming betrokkenen AVG en meer . . . Zorg & ICT Powered by ActiZ

19 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer . . . Maak AVG praktisch door privacy te benaderen vanuit informatieveiligheid Maak AVG niet groter dan het is! privacy-aspecten hier en daar aanscherpen (vooral in het begin en naast de extra’s) AVG en meer . . . Zorg & ICT Powered by ActiZ

20 geen privacy zonder informatieveiligheid
AVG en meer geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Woensdag 18 april 15:00 Peter van der Zwan en Douwe de Jong AVG en meer . . . Zorg & ICT Powered by ActiZ