wetzoeker

4.1 — Risicoanalyse van verwerking door een bewerker CBP richtsnoeren: beveiliging van persoonsgegevens

Risicoanalyse van verwerking door een bewerker

De verantwoordelijke voert een risicoanalyse uit betreffende de verwerking door een bewerker.

In de risicoanalyse stelt de verantwoordelijke vast of en zo ja, onder welke voorwaarden, de bewerker “voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen” en de verantwoordelijke voldoende in staat is om “toe [te zien] op de naleving van die maatregelen.”

96 Artikel 14 lid 1 Wbp.

Verder stelt hij vast of en zo ja, onder welke voorwaarden, er voldoende waarborgen zijn dat de bewerker “de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.”

97 Artikel 14 lid 3 sub b Wbp.

In de risicoanalyse betrekt de verantwoordelijke in ieder geval de gangbaarste dreigingen en kwetsbaarheden die samenhangen met verwerking door een bewerker en de mogelijke gevolgen voor de betrokkenen. Welke dreigingen en kwetsbaarheden in een specifieke situatie daadwerkelijk aanwezig zijn, hangt onder meer af van de aard van de dienstverlening. Het vervolg van deze paragraaf geeft de gangbaarste dreigingen en kwetsbaarheden weer die samenhangen met de verwerking van persoonsgegevens door een bewerker.

Als de bewerker onvoldoende beveiligingsmaatregelen treft, dan kan dat leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens. Onder meer zijn hier de volgende kwetsbaarheden te onderkennen:

• Onvoldoende beveiliging van de verwerkte persoonsgegevens

Verwerking door een bewerker betekent dat de verantwoordelijke, behalve de bewerking zelf, ook de beveiliging van de verwerkte persoonsgegevens uit handen geeft. Als de verantwoordelijke bijvoorbeeld gebruikmaakt van de diensten van een hostingprovider, dan zal deze ook een groot deel van de beveiliging van de betreffende website voor zijn rekening nemen.

98 Een hostingprovider stelt webruimte ter beschikking aan partijen die een website op het internet willen plaatsen en die geen gebruik kunnen of willen maken van een eigen webserver.

Daarbij gaat het onder meer om maatregelen zoals logging en controle (het vastleggen van belangrijke gebeurtenissen en het controleren op tekenen van onrechtmatige toegang tot de verwerkte gegevens) en het up-to-date houden van de systeemprogrammatuur op de webserver. Dit zijn beveiligingsmaatregelen die de verantwoordelijke niet zelf kan treffen, omdat hij slechts in beperkte mate toegang heeft tot de webserver en in veel gevallen ook de benodigde expertise mist. Als de bewerker hierin tekortschiet, kan dat leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens.

• Onvoldoende beveiliging van de dienstverlening door de bewerker

De bewerker biedt in veel gevallen faciliteiten waarmee de verantwoordelijke de persoonsgegevens kan uploaden die door de bewerker moeten worden bewerkt of waarmee de verantwoordelijke de verwerkte persoonsgegevens kan raadplegen of aanpassen. Onvoldoende beveiliging van deze faciliteiten kan leiden tot verlies of onrechtmatige verwerking van de persoonsgegevens.

Regeling
CBP richtsnoeren: beveiliging van persoonsgegevens
Soort
ZBO-regeling
Geldend vanaf
01-03-2013
BWB-id
BWBR0033572
Versie
2013-03-01_0

In de hele regeling · Officiële tekst op wetten.overheid.nl