Normity

Privacy management is de systematische aanpak waarmee een organisatie persoonsgegevens rechtmatig, transparant en veilig verwerkt. Het omvat beleid, verwerkingsregister, datalekprocedures, DPIA's, rechten van betrokkenen, verwerkersovereenkomsten en privacytraining. De AVG geeft de juridische basis; ISO 27701 biedt een managementsysteem voor privacy.

Eindverantwoordelijkheid ligt bij de directie. Operationele uitvoering ligt vaak bij een Functionaris voor de Gegevensbescherming (FG) of privacy officer. Voor overheden en organisaties met grootschalige verwerking is een FG wettelijk verplicht. Voor MKB is het een keuze, maar in de praktijk vaak een slimme investering.

Privacy management gaat over het rechtmatig verwerken van persoonsgegevens: doelbinding, grondslagen, transparantie, rechten van betrokkenen. Informatiebeveiliging richt zich op de beveiliging van ál je data (niet alleen persoonsgegevens). Beide zijn nodig: privacy management zonder beveiliging is leeg; beveiliging zonder privacy management is onvolledig.

Een volwassen privacyprogramma omvat: beleid, verwerkingsregister, DPIA-proces, datalekprocedure, AVG-training, rechten van betrokkenen (inzage, verwijdering), verwerkersovereenkomsten, privacyverklaringen, audits en directievertegenwoordiging. Samen vormen ze een managementsysteem voor privacy, vergelijkbaar met een ISMS.

Een DPIA (Data Protection Impact Assessment) is een voorgeschreven risicoanalyse voor verwerkingen met hoge privacyrisico's. Een DPIA is verplicht bij grootschalige verwerking van bijzondere gegevens, systematische monitoring of gebruik van nieuwe technologieën. De AVG vereist DPIA's vooraf — niet achteraf als er iets misgaat.

Een verwerkingsregister is een overzicht van alle verwerkingen van persoonsgegevens binnen een organisatie: doel, grondslag, categorieën betrokkenen, categorieën gegevens, bewaartermijn, ontvangers en doorgifte buiten de EU. Voor organisaties boven 250 medewerkers (of met risicovolle verwerking) is het verplicht.

ISO 27701 is een internationale norm die een privacymanagementsysteem beschrijft — de structuur, eisen en controls. Het is de systematische invulling van AVG-verplichtingen. Een ISO 27701-gecertificeerde organisatie heeft haar privacy management aantoonbaar op orde en kan dit laten toetsen door een externe auditor.

Bij een datalek moet de verwerkingsverantwoordelijke binnen 72 uur melden bij de Autoriteit Persoonsgegevens (als er risico is voor betrokkenen). Bij hoog risico moet ook de betrokkene zelf worden geïnformeerd. Een goed privacy management betekent dat je een datalekprocedure hebt, logs hebt om te detecteren en weet wie wat doet bij een incident.