Privacy- en AVG-advies voor overheid en publieke organisaties

Regie - Visual link

Emtio is een onafhankelijk adviesbureau voor privacy en AVG-advies bij gemeenten, onderwijs- en zorginstellingen. De bescherming van persoonsgegevens speelt bij vrijwel iedere organisatie een rol. De Algemene verordening gegevensbescherming (AVG) bevat daarvoor uitgebreide regels. De toepassing van deze regels kan ingewikkeld zijn, zeker wanneer uw organisatie gebruikmaakt van externe ICT-dienstverleners en gegevens uitwisselt met andere organisaties, of wanneer u nieuwe technologie inzet. 

Wij beoordelen verwerkersovereenkomsten, voeren DPIA’s uit en treden op als externe functionaris gegevensbescherming (FG). Omdat wij ook ICT-aanbestedingen en IT-contracten begeleiden, beoordelen we privacy niet los van de techniek en de contracten met uw leverancier.

Op deze pagina:

Rechtmatigheid van gegevensverwerkingen onder de AVG

Voor overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid 2 (BIO2) een belangrijk normenkader, naast de beveiligingsverplichtingen uit de AVG. BIO2 is gebaseerd op ISO 27001 en ISO 27002 en bevat ook specifieke overheidsmaatregelen. Bij de beoordeling van ICT-dienstverlening houden we rekening met deze normen, bijvoorbeeld bij toegangsbeheer, logging, beveiligingsmonitoring en de afspraken met leveranciers.

Bij dergelijke vraagstukken werken onze juridische en technische specialisten samen. De beoordeling van contractuele afspraken over bijvoorbeeld toegangsbeveiliging of gegevensverwijdering vereist inzicht in de feitelijke werking van de systemen. Voldoet de informatiebeveiliging van uw ICT-dienstverlening aan de BIO2- en AVG normen? Laat het beoordelen door een specialist.

Privacy bij ICT-outsourcing, SaaS en cloud

Bij de uitbesteding van ICT-dienstverlening krijgen leveranciers vaak toegang tot persoonsgegevens. Dat gebeurt bij het gebruik van bedrijfsapplicaties en tijdens het technisch beheer van de ICT-omgeving. Denk aan: 

  • identiteits- en toegangsbeheer
  • servicedeskwerkzaamheden
  • beveiligingsmonitoring
  • het maken en terugzetten van back-up

De leverancier voert deze werkzaamheden vaak uit met behulp van andere partijen, waaronder cloudproviders en gespecialiseerde onderaannemers. Daardoor kan een ingewikkelde keten van gegevensverwerkingen ontstaan, terwijl de opdrachtgever verantwoordelijk blijft voor de verwerking waarvoor hij als verwerkingsverantwoordelijke optreedt.

Emtio betrekt privacy en gegevensbescherming bij voorkeur al bij de voorbereiding van een ICT-aanbesteding of pakketselectie. De aanbestedingsdocumenten moeten voldoende duidelijk maken welke verplichtingen voor de toekomstige leverancier gelden. Daarbij gaat het onder meer om de beveiliging van persoonsgegevens, de toegang van beheerders, de inzet van subverwerkers en de locaties waar gegevens worden opgeslagen of verwerkt. Ook de beëindiging van de dienstverlening vraagt om afspraken. De opdrachtgever moet zijn gegevens kunnen terugkrijgen of aan een opvolgende leverancier kunnen overdragen. Daarnaast moet vaststaan wanneer en op welke wijze de leverancier de achtergebleven persoonsgegevens verwijdert.

Verwerkersovereenkomsten en internationale gegevensdoorgifte

Wanneer een leverancier persoonsgegevens verwerkt in opdracht van een organisatie, is doorgaans een verwerkersovereenkomst nodig. Veel opdrachtgevers gebruiken daarvoor een modelovereenkomst, bijvoorbeeld die van de VNG. In de praktijk stellen leveranciers regelmatig wijzigingen voor, soms omdat de modelovereenkomst niet goed aansluit op hun dienstverlening, maar ook om hun eigen verplichtingen en risico’s te beperken.

Emtio beoordeelt deze voorstellen en begeleidt waar nodig de onderhandelingen. We besteden onder meer aandacht aan de beveiligingsverplichtingen, de inschakeling van subverwerkers, auditrechten, de afhandeling van datalekken en de aansprakelijkheid. De verwerkersovereenkomst wordt daarbij steeds in samenhang met de hoofd- en licentieovereenkomst beoordeeld. Het heeft bijvoorbeeld weinig zin om in een verwerkersovereenkomst uitgebreide verplichtingen bij datalekken vast te leggen als de leverancier in de hoofdovereenkomst zijn aansprakelijkheid daarvoor vergaand heeft beperkt.

Bij internationale softwareleveranciers komt daar het vraagstuk van gegevensdoorgifte buiten de Europese Economische Ruimte (EER) bij. De vestigingsplaats van de leverancier is daarbij niet alleen bepalend. Ook de locaties waar gegevens worden opgeslagen, de toegang vanuit andere landen en de inzet van buitenlandse subverwerkers moeten worden onderzocht. Voor internationale doorgifte is een doorgiftegrondslag uit hoofdstuk V van de AVG nodig. Wanneer geen toepasselijk adequaatheidsbesluit bestaat, kunnen de Standard Contractual Clauses (SCC’s) van de Europese Commissie een geschikte waarborg bieden. Deze standaardcontractbepalingen regelen onder meer de verplichtingen van de ontvangende partij, de rechten van betrokkenen, verdere doorgifte en de omgang met verzoeken van buitenlandse autoriteiten om toegang tot persoonsgegevens. Afhankelijk van de omstandigheden kunnen aanvullende maatregelen nodig zijn.

Gemeente Doetinchem: onderhandelingen met een Amerikaanse softwareleverancier

Voor de gemeente Doetinchem heeft Emtio de Engelstalige verwerkersovereenkomst beoordeeld van de Amerikaanse softwareleverancier Recast Software. De leverancier had een groot aantal wijzigingen voorgesteld op de modelverwerkersovereenkomst van de VNG. Emtio heeft de voorgestelde wijzigingen beoordeeld en met Recast onderhandeld over de contractuele verplichtingen. Daarbij kwamen onder meer de aansprakelijkheid, de inzet van subverwerkers, auditmogelijkheden en de afhandeling van datalekken aan de orde. Ook de samenhang met de bestaande licentieovereenkomst werd meegenomen.

Een belangrijk onderdeel van de onderhandelingen betrof de internationale doorgifte van persoonsgegevens. Omdat Recast in de Verenigde Staten is gevestigd en internationale onderaannemers inzet, moesten de voorwaarden voor eventuele verwerking buiten de EER zorgvuldig worden geregeld. Daarvoor zijn de Standard Contractual Clauses van de Europese Commissie als afzonderlijke bijlage aan de verwerkersovereenkomst toegevoegd. Naast afspraken over doorgifte bevat deze bijlage onder meer regels over de bescherming van persoonsgegevens in derde landen en de omgang met verzoeken van buitenlandse autoriteiten.

De onderhandelingen hebben geleid tot een aangepaste overeenkomst, inclusief de SCC’s, die door Recast zijn geaccepteerd.

DPIA laten uitvoeren

De AVG verplicht organisaties een gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment, DPIA) uit te voeren wanneer een voorgenomen verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.

Een DPIA begint met een beschrijving van de gegevensverwerking. Vervolgens wordt de rechtmatigheid, noodzakelijkheid en evenredigheid beoordeeld, worden de privacyrisico’s onderzocht en wordt vastgesteld welke maatregelen nodig zijn om deze te beperken.

Emtio begeleidt en voert DPIA’s uit. Bij verwerkingen binnen omvangrijke ICT-omgevingen doen we dat met juridische en technische deskundigen. Om de risico’s goed te kunnen beoordelen, moet duidelijk zijn hoe gegevens door de verschillende systemen worden verwerkt, welke toegang gebruikers en beheerders hebben en welke beveiligingsvoorzieningen aanwezig zijn. Onderdeel van de beoordeling: 

  • de medewerkers die verantwoordelijk zijn voor de betreffende verwerking
  • de functionaris voor gegevensbescherming (FG)
  • privacy officers 
  • de CISO en ICT-architecten

De uitkomsten worden vastgelegd in een rapportage met een onderbouwde risicobeoordeling en aanbevelingen voor technische, organisatorische en contractuele maatregelen. 

Bij ICT-aanbestedingen kan het verstandig zijn de DPIA uit te voeren zodra de oplossing van de geselecteerde leverancier voldoende duidelijk is, maar voordat de contractering en implementatie definitief worden afgerond. De uitkomsten kunnen dan nog worden meegenomen in de afspraken met de leverancier en de inrichting van de dienstverlening. DPIA laten uitvoeren door juridisch deskundige?

Gemeente Alphen aan den Rijn: DPIA bij ICT-outsourcing

In het kader van een Europese aanbesteding voor de outsourcing van ICT-infrastructuur en beheerdiensten heeft Emtio voor de gemeente Alphen aan den Rijn een uitgebreide DPIA uitgevoerd. Bij de opdracht waren ook gemeente Kaag en Braassem en jeugdzorgorganisatie Oog voor Thuis betrokken. De geselecteerde leverancier zou een groot deel van de ICT-omgeving gaan beheren. Daardoor moest worden onderzocht welke persoonsgegevens binnen de verschillende beheerprocessen zouden worden verwerkt en welke toegang de leverancier en zijn onderaannemers tot die gegevens zouden krijgen.

Het onderzoek had onder meer betrekking op identiteits- en toegangsbeheer, servicedeskprocessen, Microsoft 365, Azure, beveiligingsmonitoring, logging en back-upvoorzieningen. Naast de rechtmatigheid van de verwerking werden de technische beveiligingsmaatregelen en de verantwoordelijkheden van de betrokken organisaties beoordeeld.

Emtio voerde de DPIA uit in samenwerking met de FG, privacy officers, de CISO en andere betrokken medewerkers van de opdrachtgever. De rapportage bevatte een risicobeoordeling en aanbevelingen voor aanvullende technische, organisatorische en contractuele maatregelen.

De FG heeft de adviezen van Emtio overgenomen. Vervolgens heeft de stuurgroep de DPIA en de voorgestelde maatregelen goedgekeurd en opdracht gegeven deze uit te voeren. De bevindingen konden daarmee worden betrokken bij de voorbereiding van de transitie naar de nieuwe ICT-dienstverlener.

Privacy en AI: AVG en AI-verordening

Steeds meer bedrijfsapplicaties bevatten AI-functionaliteit voor bijvoorbeeld samenvatten, zoeken, documentgeneratie, spraak-naar-tekst of besluitondersteuning. Een organisatie koopt dan niet altijd een afzonderlijk AI-systeem in. De AI wordt toegevoegd aan een applicatie of clouddienst die al persoonsgegevens verwerkt. Daardoor kan de gegevensverwerking veranderen zonder dat de hoofdapplicatie aan de buitenkant wezenlijk verandert.

Bij de beoordeling moet duidelijk worden welke persoonsgegevens de AI-functionaliteit gebruikt, welke externe modellen en providers betrokken zijn, waar gegevens worden verwerkt, hoe lang prompts en uitkomsten worden bewaard en of gegevens worden gebruikt voor training of verbetering van modellen. Ook moet worden vastgesteld welke partij voor welk deel van de verwerking verantwoordelijk is en welke beveiligings- en doorgifteafspraken gelden.

Emtio beoordeelt deze onderwerpen in samenhang met de hoofdapplicatie, de verwerkersovereenkomst en de overige contractuele afspraken. We kunnen voorwaarden opstellen over onder andere: 

  • doelbinding
  • modeltraining
  • subverwerkers
  • bewaartermijnen
  • verwijdering
  • wijzigingen van model of provider
  • voorafgaande melding of toestemming

Waar AI informatie over personen samenvat, classificeert of aanbeveelt, besteden we ook aandacht aan menselijke controle en de wijze waarop uitkomsten in dossiers of besluitvorming worden gebruikt. Naast de AVG kan de Europese AI-verordening van toepassing zijn. Emtio adviseert over de samenloop tussen gegevensbescherming, contractering en de verplichtingen die voor de opdrachtgever en leverancier uit de AI-verordening voortvloeien. 

Ondersteuning bij de naleving van de AVG

Naast de begeleiding van ICT-projecten adviseert Emtio over privacyvraagstukken die zich in de dagelijkse bedrijfsvoering voordoen. Dat kan gaan om de beoordeling van een nieuwe gegevensverwerking, het opstellen of actualiseren van het register van verwerkingsactiviteiten, privacyverklaringen, bewaartermijnen of het behandelen van verzoeken van betrokkenen. Ook bij datalekken kunnen organisaties een beroep op ons doen. 

We beoordelen de juridische gevolgen van het incident en adviseren over de eventuele melding bij de Autoriteit Persoonsgegevens en de betrokkenen. Waar nodig ondersteunen we bij klachten of geschillen over de verwerking van persoonsgegevens. Deze dienstverlening kan bestaan uit een afzonderlijk juridisch advies of uit periodieke ondersteuning, afhankelijk van de behoefte van de organisatie.

Functionaris voor gegevensbescherming (FG) as-a-Service

Overheidsinstanties en bepaalde andere organisaties zijn op grond van de AVG verplicht een functionaris voor gegevensbescherming (FG) aan te wijzen. Ook organisaties waarvoor deze verplichting niet geldt, kunnen vrijwillig een FG aanstellen. De FG informeert en adviseert over de naleving van de AVG, houdt toezicht op de wijze waarop persoonsgegevens worden verwerkt en fungeert als contactpunt voor de Autoriteit Persoonsgegevens. De functionaris moet zijn werkzaamheden onafhankelijk kunnen uitvoeren en rechtstreeks kunnen rapporteren aan het hoogste management.

Emtio kan deze functie op externe basis vervullen. De werkzaamheden worden afgestemd op de organisatie en kunnen onder meer bestaan uit het beoordelen van DPIA’s, advisering over nieuwe verwerkingen, periodiek toezicht en rapportages aan de leiding. De verantwoordelijkheid voor de naleving van de AVG blijft bij de organisatie zelf.

Specialist op het gebied van privacyrecht en ICT

Emtio heeft jarenlange ervaring met ICT-sourcing, Europese aanbestedingen, IT-contracten en informatiebeveiliging. Voor vraagstukken waarbij de technische inrichting van systemen van belang is, werken onze juridische adviseurs samen met specialisten op het gebied van IT-architectuur en informatiebeveiliging. Hierdoor kunnen we zowel afzonderlijke privacy-rechtelijke vraagstukken behandelen als opdrachtgevers begeleiden bij complexere ICT-projecten waarin gegevensbescherming een belangrijk onderdeel vormt.

De juridische advisering op het gebied van privacy- en gegevensbeschermingsrecht wordt binnen Emtio verzorgd door Joop Schuilenburg. Hij heeft onder meer de postacademische specialisatieopleiding Privacy- en gegevensbeschermingsrecht (VPR-A) aan de Universiteit Leiden afgerond.

Privacy en gegevensbescherming laten beoordelen? 

Wilt u een gegevensverwerking, DPIA of verwerkersovereenkomst laten beoordelen? Of wilt u weten welke privacy- en contractuele gevolgen AI-functionaliteit binnen een bestaande applicatie heeft? Emtio kan een afzonderlijke beoordeling of second opinion uitvoeren en waar nodig ondersteunen bij de afspraken met de leverancier.

Uw vraagstuk bespreken?