SURF Juridisch normenkader cloudservices

Presentatie over: "SURF Juridisch normenkader cloudservices"— Transcript van de presentatie:

1 SURF Juridisch normenkader cloudservices
Olga Scholcz Juridisch adviseur SURFmarket

2 SURF Normenkader Betreft contractuele bepalingen die worden opgenomen in de overeenkomst met de leverancier Kent een differentiatie in bepalingen afhankelijk van risico analyse Per bepaling is er een toelichting opgenomen die verwijst naar relevante regelgeving en de praktijk

3 SURF Normenkader Is opgesteld om te komen tot betrouwbare en veilige cloud dienstverlening en stelt normen op het gebied van: vertrouwelijkheid privacy Eigendom/zeggenschap Beschikbaarheid/ continuïteit

4 Belangrijke bepalingen
Adequate beveiligingsmaatregelen Check op deze maatregelen en organisatie van aanbieder, dmv audit/tpm verklaring Omgang met opsporingsverzoeken Omgang met hulpleveranciers Internationale uitwisselingen met landen met een afdoende beschermingsniveau

5 Intenties een krachtige onderhandelingspositie te verwerven naar cloudleveranciers. (Google) Nodig hiervoor: draagvlak en commitment Privacy voor eindgebruiker en vertrouwelijkheid belangrijke onderwerpen voor SURF. Veel onderzoek en betrokkenheid bij dit onderwerp. Denk aan Zienswijze Cbp en rapport over Patriot Act. Normenkader brengt dit samen. Privacy en vertrouwelijkheid ook van belang voor instellingen. Denk aan reputatieschade, boetes etc.

6 Implementatie strategie
Comply or explain Commissie met vertegenwoordigers HO en UMC’s (juristen, privacy-functionaris, security) Toetsing overeenkomsten cloudleveranciers en verdere ontwikkeling

7 vervolgstappen Inrichting juridische commissie
Uitwerking audit en adequate beveiligingsmaatregelen Transparantie compliance van leveranciers (SURFdrive, Microsoft)

8 Verdere uitwerking Risicoklassen Doorgifte derden landen Continuïteit
Exit procedure + voorlichting over het normenkader (extern)

9 Hoe tot stand gekomen? eerste opzet van Doorne advocaten
besproken met juristen HO Uitwerking door externe jurist Wederom voorgelegd aan juristen HO Voorgelegd aan inkoopoverleg (HIP en UPI) Voorgelegd aan leveranciers (IBM, 2AT) Voorgelegd aan de stuurgroep informatiebeveiliging inclusief implementatie-strategie (besluit) Voorgelegd aan platform bestuur SURF (besluit) SURF benadert verenigingen voor commitment SURF trekt verzoek terug, zal ledenraad consulteren en instellingen apart benaderen.

10 Risicoanalyse Risicoklasse 0 (publiek niveau) Openbare persoonsgegevens (bijv. zakelijk adres op internet) Risicoklasse 1 (Basis niveau) Beperkt aantal persoonsgegevens dat betrekking heeft op de relatie tussen betrokkene en organisatie (bijv. de inschrijving van een student). Risicoklasse II (verhoogd risico) Hieronder vallen bijzondere persoonsgegevens en bijvoorbeeld gegevens over de economische situatie van de betrokkene of een dyslexieverklaring. Risicoklasse III (Hoog risico) Hieronder vallen bijzondere persoonsgegevens en bijvoorbeeld rapporten over de psychologische gesteldheid of medische gegevens in het kader van onderzoek.