3.1 — Betrouwbaarheidseisen CBP richtsnoeren: beveiliging van persoonsgegevens
Betrouwbaarheidseisen
De verantwoordelijke stelt vast aan welke eisen betreffende beschikbaarheid, integriteit en vertrouwelijkheid het informatiesysteem moet voldoen. Daarbij draagt hij er zorg voor dat er sprake is van een “passend beveiligingsniveau gelet op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen.”
58 Artikel 13 Wbp.
Het bovenstaande betekent dat de verantwoordelijke een vertaalslag moet maken van de risico”s voor de betrokkene(n) naar de betrouwbaarheidseisen zoals het vakgebied informatiebeveiliging die kent. Deze vertaalslag is weergegeven in bovenstaand schema. Voor deze vertaalslag zijn vooral de gevolgen relevant die betrokkenen kunnen ondervinden van verlies of onrechtmatige verwerking van hun persoonsgegevens. Deze gevolgen kunnen, afhankelijk van de aard van de verwerking en van de verwerkte persoonsgegevens, onder meer bestaan uit stigmatisering of uitsluiting, schade aan de gezondheid of blootstelling aan (identiteits)fraude.
Voor het vaststellen van de betrouwbaarheidseisen zijn, vanuit de beveiliging van persoonsgegevens en het belang van de betrokkenen bezien, de risico”s voor één, individuele betrokkene maatgevend.
De schade die betrokkenen ondervinden van verlies of onrechtmatige verwerking van hun persoonsgegevens wordt bepaald door de aard van de gegevens en de aard van de verwerking en niet door het aantal anderen van wie de persoonsgegevens eveneens verloren zijn gegaan of onrechtmatig zijn verwerkt.
Voor de genoemde vertaalslag zijn geen algemene regels te geven. Bij verwerkingen met een hoog risico voor de betrokkene(n) is over het algemeen een hoge mate van vertrouwelijkheid vereist. Afhankelijk van de aard van de verwerking geldt hetzelfde voor de integriteit en voor de beveiliging van de persoonsgegevens tegen verlies.
De rest van deze paragraaf gaat nader in op de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen.
Er is sprake van “een passend beveiligingsniveau gelet op de risico”s die [...] de aard van de te beschermen gegevens met zich meebreng[t]”.
59 Artikel 13 Wbp.
De stand van de techniek, ontwikkelingen in de maatschappij en andere factoren kunnen van invloed zijn op de gevolgen die verlies of onrechtmatige verwerking van persoonsgegevens met zich mee kunnen brengen voor de betrokkenen. Onderstaande opsomming van categorieën van persoonsgegevens waar deze gevolgen ernstig kunnen zijn, is daarom niet uitputtend:
• Bijzondere persoonsgegevens zoals bedoeld in artikel 16 Wbp
Het gaat daarbij om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging en om strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag.
• Gegevens over de financiële of economische situatie van de betrokkene
Hieronder vallen bijvoorbeeld gegevens over (problematische) schulden.
• (Andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene
Hieronder vallen bijvoorbeeld gegevens over gokverslaving, prestaties op school of werk of relatieproblemen.
• Gegevens die betrekking hebben op mensen uit kwetsbare groepen
Het gaat hier bijvoorbeeld om mensen die te maken hebben met stalking of die in een blijf-van-mijn-lijfhuis verblijven, om klokkenluiders of om informanten van de politie of het Openbaar Ministerie.
• Gebruikersnamen, wachtwoorden en andere inloggegevens
De mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de persoonsgegevens waar de inloggegevens toegang toe geven. Bij de afweging moet worden betrokken dat veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen.
• Gegevens die kunnen worden misbruikt voor (identiteits)fraude
Het gaat hierbij onder meer om biometrische gegevens, kopieën van identiteitsbewijzen en om het burgerservicenummer (bsn).
- Regeling
- CBP richtsnoeren: beveiliging van persoonsgegevens
- Soort
- ZBO-regeling
- Geldend vanaf
- 01-03-2013
- BWB-id
- BWBR0033572
- Versie
- 2013-03-01_0