geen privacy zonder informatieveiligheid

Presentatie over: "geen privacy zonder informatieveiligheid"— Transcript van de presentatie:

1 geen privacy zonder informatieveiligheid
AVG en meer geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Dinsdag 17 april 15:00 Mandy Lagendijk; WZH en Douwe de Jong AVG en meer . . . Zorg & ICT Powered by ActiZ

2 informatieveiligheid op orde heeft (NEN 7510 inclusief Wbp)
AVG en meer. . . Stelling: Als een organisatie informatieveiligheid op orde heeft (NEN 7510 inclusief Wbp) is de implementatie van de AVG een logisch vervolg? AVG en meer . . . Zorg & ICT Powered by ActiZ

3 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer . . . AVG en meer ? Geen privacy zonder informatieveiligheid (IV)! Kwaliteitseisen informatieveiligheid: beschikbaarheid integriteit vertrouwelijkheid/privacy => Maak de AVG praktisch door te benaderen vanuit IV AVG en meer . . . Zorg & ICT Powered by ActiZ

4 Medewerker AP: AVG en meer. . . Maak de AVG niet groter dan het is!
(ActiZdag #HuisOpOrde) Kern AVG: veel dezelfde uitgangspunten, rechten, verplichtingen en waarborgen als de Wbp Accenten / extra’s AVG: verantwoordingsplicht! register, datalek, FG na mei 2018 PIA Maak de AVG niet groter dan het is! AVG en meer . . . Zorg & ICT Powered by ActiZ

5 AP: in 10 stappen voorbereid op AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG NEN 7510 Aanv. / extra Hulp-middelen Prak-tijk 1 Bewustwording 2 Rechten betrokkenen 3 Overzicht verwerkingen 4 PIA 5 Privacy by design / default 6 FG 7 Meldplicht datalekken 8 VWO 10 Toestemming betrokkenen Samenvatting na afloop beschikbaar AVG en meer . . . Zorg & ICT Powered by ActiZ

6 AP: in 10 stappen voorbereid op AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AVG - algemeen NEN 7510 Relatie AVG en NEN 7510: google ‘GDPR ISO27k mapping’ Extra mb AVG Rijksoverheid: Handleiding AVG; vanuit perspectief Wetsvoorstel Uitvoeringswet AVG Hulp-middelen AVG in vogelvlucht; visualisatie op één A4 *) VGN: Factsheet AVG *) Website CIP-overheid: Grip op privacy Website AP: Regelhulp AVG Praktijk WZH Contactgroep IB: elkaar ondersteunen bij IB-taken Indien gewenst op adhoc basis externe / toetsing consultatie *) te vinden op ActiZnetwerk #HuisOpOrde AVG en meer . . . Zorg & ICT Powered by ActiZ

7 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer. . . AP: 10-stappenplan AVG Stap 1 – Bewustwording NEN 7510 7.2.2 alle medew periodiek informeren over informatieveiligheid Extra mb AVG Allen: aandacht privacy en datalekken Direct betrokkenen/beleidsmaker: informeren over AVG Hulp-middelen Diverse hulpmiddelen / toolkids leveranciers Zoek in YouTube op Privacywetgeving in de zorg e-L cursus Veilig omgaan met vertrouwelijke informatie Praktijk WZH Medewerkers én vrijwilligers: Algemeen: e-L cursus bewustwording Datalekken: infomail en quiz: ben ik een datalek? Project medewerkers en medewerkers van afdelingen communicatie, P&O, F&C etc. hebben zich specifiek laten informeren door vakspecialisten AP: Compliant zijn met de AVG is 10% juridisch, 10% technisch, en 80% cultuur en gedrag AVG en meer . . . Zorg & ICT Powered by ActiZ

8 Veilig omgaan met vertrouwelijke informatie
AVG en meer 1 - Bewustwording e-Learningcursus Veilig omgaan met vertrouwelijke informatie Algemeen Zorggerelateerd Vertrouwelijke cliëntgegevens Informatieverzoek derden Vertrouwelijke medewerkergegevens Collegiale afstemming Meldt incidenten Sociale media en je werk Mogelijke datalekken Veilig omgaan met IT-middelen Veilig omgaan met wachtwoorden Werken buiten kantoor Veilig mail ontvangen; phising mail Wat te doen bij calamiteiten Veilig mailen op je werk en privé Inf. uitwisseling sociaal domein Wie is verantwoordelijk voor informatieveiligheid? Algemeen: niet betrokken bij zorggerelateerde informatie; vrijwilligers, FD, etc Als e-l (1op1) of beschikbaar voor groepswerk, teamoverleg; Accreditatie V&V Maatwerk mogelijk; ‘zo doen we dat bij ons’. AVG en meer . . . AVG en meer . . . Zorg & ICT ActiZPaviljoen Zorg & ICT Powered by ActiZ 8

9 Stap 2 – Rechten betrokkenen
AVG en meer. . . AP: 10-stappenplan AVG Stap 2 – Rechten betrokkenen NEN 7510 Privacy en bescherming persoonsgegevens; recht op inzage, correctie en verwijdering Extra mbt AVG Meer en verbeterde privacyrechten; nieuw is dataportabiliteit en klachten naar AP Hulp-middelen Model privacyreglement GGZ *) Website UMCGroningen: privacy statement Praktijk WZH Privacybeleid clienten en medewerkers aangescherpt Beschrijving van de verantwoordelijkheden Gericht op bewustwording Bijlage FAQ: zo doen we dat bij WZH Bijlage procedure overdracht clientdossier Website privacyreglement Toegang tot clientdossier via portal AVG en meer . . . Zorg & ICT Powered by ActiZ

10 Stap 3 – Overzicht verwerkingen
AVG en meer. . . AP: 10-stappenplan AVG Stap 3 – Overzicht verwerkingen NEN 7510 8.1.1 inventarisatie BM en classificatie van informatie Wbp: melden bijzondere geg. i.g.v. geen Vrijstellingsbesluit Extra mb AVG Documentatieplicht; aantoonbaar handelen volgens AVG Geen format (wel schriftelijk); onmiddellijk beschikbaar voor controle door AP Hulp-middelen Vele voorbeelden Register verwerkingen; ook op #HuisOpOrde NVZ: keuzelijsten; opzet vanuit Referentiedomeinen *) BBMCare: I&Cdoc tabel 1 Praktijk WZH Inventarisatie vanuit processen / act. /IT-middelen 1e aanzet 'compleet' maar wel 'elementair'; later indien nodig aanvullen i.v.m. contractbeheer/vwo, risicobeheer/PIA, etc. Vele voorbeeld Verwerkingen wel erg uitgebreid . . .! Praktijk WZH: Compleet: alle registraties in beeld omdat je uitgaat van volledig proces/act overzicht Elementair: meest noodzakelijk; ook benoemd door AP AVG en meer . . . Zorg & ICT Powered by ActiZ

11 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer. . . AP: 10-stappenplan AVG BBMCare Inventarisatie en classificatiedoc & register verwerkingen Domein/proces Bedrijfsactiviteit verwerkingsdoeleinde Informatieobject Bedrijfsmiddel (instellingspecifiek) verschijningsvorm Classificatie BIV tbv typering risico’s + verwerkingsgrondslag + betrokken personen + persoonsgegevens + bewaartermijnen etc P&O => sal.adm => salarisinformatie => Exact => GHG AVG en meer . . . Zorg & ICT Powered by ActiZ

12 Stap 4 – Privacy Impact Analyse
AVG en meer. . . AP: 10-stappenplan AVG Stap 4 – Privacy Impact Analyse NEN 7510 - Extra mb AVG Na mei 2018 tijdens ontwerpfase en alleen indien nodig . . . o.a. hoog privacyrisico in Verwerkingsregister Hulp-middelen ActiZ: Template Pia-light *) en vele andere zoals NVZ, Norea, . . Aanleiding voor een PIA oa classificatie privacy; zie BBMCare Praktijk WZH Na mei 2018; aanzet al in Register vanuit BIV met privacy-risico's en bev.maatregelen. Wellicht uitwerken in PIA bij iHealth-toepassingen AVG en meer . . . Zorg & ICT Powered by ActiZ

13 Stap 5 -Privacy by design & by default
AVG en meer. . . AP: 10-stappenplan AVG Stap 5 -Privacy by design & by default NEN 7510 6.1.5 Informatiebeveiliging in projectbeheer en aanbeveling Richtsnoeren Wbp Privacy en bescherming pers.geg Extra mb AVG By design: vooral bij nwe ontwikkelingen / dienstverlening By default: alleen verwerking indien noodzakelijk Hulp-middelen - Praktijk WZH By design: conform IBbeleid geregeld; maatregelen o.b.v. classificatie By default: is indirect gevolg van aandacht voor AVG. Bijv: - webformulier, overbodige informatie weglaten - actualiseren privacybeleid, bewustwording, gebruik 'gezond verstand' AVG en meer . . . Zorg & ICT Powered by ActiZ

14 Stap 6 – Functionaris gegevensbescherming
AVG en meer. . . AP: 10-stappenplan AVG Stap 6 – Functionaris gegevensbescherming NEN 7510 6.1.1 aanspreekpunt IB gewenst; aanbeveling Richtsnoeren Wbp Extra mb AVG FG toezichthouder op naleving AVG FG houdt register verwerkingen bij Hulp-middelen FG op hoofdlijnen *) NVZ functieprofiel FG Praktijk WZH FG wordt ondersteunt vanuit Contactgroep IB, landelijk netwerk en indien nodig extern. NB FG na mei opnieuw melden bij AP! AVG en meer . . . Zorg & ICT Powered by ActiZ

15 Stap 7 – Meldplicht datalekken
AVG en meer. . . AP: 10-stappenplan AVG Stap 7 – Meldplicht datalekken NEN 7510 16 Incidentbeheer aanbeveling versie 2013: informeer betrokkenen . . 2017 aanvulling Wbp meldplicht datalekken Extra mb AVG Meldplicht afgezwakt; accent eigen verantwoordelijkheid. Wel documenteren! Hulp-middelen Diverse protocollen beschikbaar via internet Praktijk WZH WZH Protocol datalekken; registratie in Topdesk Bewustwording! verschil tussen beveiligingsincident en datalek Nooit een datalek? Verdacht! contra-indicatie! Vb verschil? Kahoot! AVG en meer . . . Zorg & ICT Powered by ActiZ

16 Stap 8 - Verwerkersovereenkomst
AVG en meer. . . AP: 10-stappenplan AVG Stap 8 - Verwerkersovereenkomst NEN 7510 15.1.2: opnemen bev.aspecten in lev.overeenkomsten Extra mb AVG VWO als aanvulling op bestaande contracten + naleving! Hulp-middelen Zorgbreed BoZ-model VWO *) Div presentatie en toelichting BoZ *) VNG/IBD: Factsheet VWO (mbt sociaal domein) Praktijk WZH Beleid: uitgaan van BOZmodel Weigeraars: melden bij ActiZ en afwachten!? Probleem: afspraken met regionale partijen, vooral gemeentes; regionale initiatieven? AVG en meer . . . Zorg & ICT Powered by ActiZ

17 Stap 10 – Toestemming betrokkenen
AVG en meer. . . AP: 10-stappenplan AVG Stap 10 – Toestemming betrokkenen NEN 7510 Privacy en bescherming van persooinsgegevens Extra mb AVG Nadrukkelijker regelen; vooral het intrekken van een toestemming Hulp-middelen Praktijk WZH Ondertekening Zorgleefplan niet altijd voldoende; soms explicieter toestemming nodig. Aandachtspunt intrekken toestemming. ‘Learning on the job’. AVG en meer . . . Zorg & ICT Powered by ActiZ

18 AP: in 10 stappen voorbereid op AVG Extra inspanning mbt AVG
AVG en meer. . . AP: in 10 stappen voorbereid op AVG AP: 10 stappenplan AVG Extra inspanning mbt AVG 1 Bewustwording 2 Rechten betrokkenen ++ 3 Overzicht verwerkingen doorlopend + 4 PIA eventueel later +++ 5 Privacy by design / default effect! + 6 FG 7 Meldplicht datalekken 8 VWO + 10 Toestemming betrokkenen AVG en meer . . . Zorg & ICT Powered by ActiZ

19 Zorg & ICT 2018 - Powered by ActiZ
AVG en meer . . . Maak AVG praktisch door privacy te benaderen vanuit informatieveiligheid Maak AVG niet groter dan het is! privacy-aspecten hier en daar aanscherpen (vooral in het begin en naast de extra’s) AVG en meer . . . Zorg & ICT Powered by ActiZ

20 geen privacy zonder informatieveiligheid
AVG en meer geen privacy zonder informatieveiligheid Theater -7 Powered by ActiZ Dinsdag 17 april 15:00 Mandy Lagendijk; WZH Douwe de Jong AVG en meer . . . Zorg & ICT Powered by ActiZ