wetzoeker

3.4 — Evaluatie en aanpassing CBP richtsnoeren: beveiliging van persoonsgegevens

Evaluatie en aanpassing

In de evaluatie bepaalt de verantwoordelijke onder meer of de vastgestelde betrouwbaarheidseisen nog steeds aansluiten bij de risico”s die de verwerking en de aard van de te verwerken gegevens met zich meebrengen en of door de getroffen maatregelen nog steeds aan de betrouwbaarheidseisen wordt voldaan.

De verantwoordelijke stelt periodiek, of wanneer de omstandigheden daar aanleiding toe geven, vast of de getroffen “technische en organisatorische maatregelen” nog steeds een “passend beveiligingsniveau [garanderen]”.

91 Artikel 13 Wbp.

(“Met zich ontwikkelende techniek zal periodiek een nieuwe afweging moeten worden gemaakt.”)

92 Kamerstukken I 1999-2000, 25 892, nr. 92c, p. 15.

Waar nodig voert hij aanpassingen door.

Bij grote veranderingen in de organisatie of in de informatiesystemen stelt de verantwoordelijke vast of het bestaande pakket aan beveiligingsmaatregelen nog steeds voldoet aan het vereiste beveiligingsniveau. Voorbeelden van dergelijke veranderingen zijn:

• Nieuwe locatie

De organisatie verhuist van een eigen gebouw, dat met elektronische toegangspasjes was beveiligd, naar werkplekken in een open kantoortuin die wordt gedeeld met medewerkers van een andere organisatie.

• Nieuwe taken

De organisatie krijgt nieuwe taken, waardoor er per betrokkene veel meer persoonsgegevens worden verwerkt.

• Nieuwe functionaliteit

De organisatie besluit om een internetportaal te creëren waarmee betrokkenen inzage kunnen krijgen in de persoonsgegevens die de organisatie van hen verwerkt.

• Nieuwe werkwijze en technologie

De organisatie introduceert ‘het nieuwe werken’, wat onder meer inhoudt dat medewerkers hun eigen apparatuur aan kunnen sluiten op het interne netwerk van de organisatie.

Waar nodig stelt de verantwoordelijke de betrouwbaarheidseisen bij op basis van de nieuwe situatie en/of past hij het pakket beveiligingsmaatregelen aan.

Verder kunnen de stand van de techniek en de kosten van de uitvoering van beveiligingsmaatregelen in de loop van de tijd veranderen. Ook kan de aard van de verwerking of van de verwerkte persoonsgegevens in de loop van de tijd leiden tot nieuwe of andere risico”s voor de betrokkenen, bijvoorbeeld als gevolg van maatschappelijke ontwikkelingen. Om te kunnen blijven spreken van passende maatregelen, of van die maatregelen die in redelijkheid mogen worden verwacht, is het dan ook noodzakelijk om periodiek te bepalen of de vastgestelde betrouwbaarheidseisen nog steeds aansluiten bij de risico”s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen en de beveiligingsmaatregelen waar nodig bij te stellen. Bij dit laatste neemt de verantwoordelijke ook de getrokken lessen uit de opgetreden beveiligingsincidenten mee.

Regeling
CBP richtsnoeren: beveiliging van persoonsgegevens
Soort
ZBO-regeling
Geldend vanaf
01-03-2013
BWB-id
BWBR0033572
Versie
2013-03-01_0

In de hele regeling · Officiële tekst op wetten.overheid.nl