Handje Wiki - Gebruikersbijdragen [nl]

Informatiebeveiliging

2024-12-03T12:12:48Z

Editor 7:

== Wat is informatiebeveiliging? ==
Informatiebeveiliging gaat over het beschermen van informatie tegen allerlei risico's en bedreigingen. Het doel is om ervoor te zorgen dat informatie veilig blijft en alleen gebruikt wordt waarvoor het bedoeld is. In onze digitale wereld, waar steeds meer informatie wordt gedeeld en opgeslagen, wordt goede informatiebeveiliging steeds belangrijker.

Net zoals je je huis beveiligt tegen verschillende risico's (inbraak, brand, waterschade), moet je ook je informatie beschermen tegen verschillende soorten bedreigingen. Denk aan hackers, virussen, menselijke fouten of technische storingen. Goede informatiebeveiliging zorgt ervoor dat je informatie:

* Niet in verkeerde handen valt
* Beschikbaar is wanneer dat nodig is
* Betrouwbaar en accuraat blijft

== De drie componenten van informatiebeveiliging ==
Om informatie goed te kunnen beveiligen, kijken we naar drie belangrijke aspecten. Deze staan bekend als de BIV-componenten: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Deze drie componenten vormen samen het fundament van goede informatiebeveiliging.

Je kunt deze componenten vergelijken met de beveiliging van een kluis:

* Beschikbaarheid: de kluis moet open kunnen als je erbij moet
* Integriteit: wat in de kluis ligt moet heel en compleet blijven
* Vertrouwelijkheid: alleen bevoegde mensen mogen in de kluis kunnen

=== Beschikbaarheid ===
Beschikbaarheid gaat over de vraag: kunnen we bij onze informatie wanneer we dat nodig hebben? Het betekent dat systemen en gegevens toegankelijk en bruikbaar moeten zijn voor mensen die er recht op hebben. Dit lijkt misschien vanzelfsprekend, maar beschikbaarheid is een cruciaal onderdeel van informatiebeveiliging.

Het belang van beschikbaarheid wordt duidelijk als we kijken naar praktijkvoorbeelden. Stel je voor dat een ziekenhuis niet bij patiëntendossiers kan komen tijdens een spoedgeval, of dat een school geen toegang heeft tot leerlinggegevens tijdens eindexamens. De gevolgen kunnen ernstig zijn als informatie niet beschikbaar is op het moment dat deze nodig is.

Er zijn verschillende bedreigingen die de beschikbaarheid van informatie in gevaar kunnen brengen. Technische storingen in systemen of netwerken kunnen ervoor zorgen dat informatie onbereikbaar wordt. DDoS-aanvallen kunnen websites en systemen platleggen, terwijl stroomuitval hele datacenters kan uitschakelen. Ook menselijke fouten, zoals het per ongeluk wissen van bestanden, of natuurrampen die datacenters treffen kunnen de beschikbaarheid bedreigen.

=== Integriteit ===
Integriteit draait om de betrouwbaarheid en juistheid van informatie. Het betekent dat je er zeker van kunt zijn dat informatie correct en volledig is, en niet ongeoorloofd is aangepast. Integriteit waarborgt dat gegevens kloppen en dat er geen ongeautoriseerde wijzigingen zijn aangebracht.

Het belang van integriteit wordt duidelijk als we naar kritieke systemen kijken. Bij een bank moet je er absoluut zeker van zijn dat bedragen op rekeningen correct zijn en niet zomaar gewijzigd kunnen worden. In een apotheek moeten medicijndoseringen exact kloppen - één cijfer verschil kan levensgevaarlijk zijn. Deze voorbeelden laten zien dat integriteit van levensbelang kan zijn.

Integriteit kan op verschillende manieren worden bedreigd. Hackers kunnen proberen gegevens te manipuleren, terwijl virussen bestanden kunnen beschadigen. Ook onbedoelde fouten bij het invoeren van gegevens kunnen de integriteit aantasten. Zelfs bij het maken van backups kan de integriteit in gevaar komen als bestanden beschadigd raken tijdens het kopiëren. Het is daarom essentieel om de juistheid van informatie continu te bewaken en te controleren.

=== Vertrouwelijkheid ===
Vertrouwelijkheid gaat over het beschermen van informatie tegen onbevoegde toegang. Het zorgt ervoor dat alleen mensen die daar recht op hebben bij bepaalde informatie kunnen komen. Dit is vooral belangrijk bij gevoelige gegevens zoals persoonlijke informatie, bedrijfsgeheimen of medische dossiers.

Denk bijvoorbeeld aan medische dossiers in een ziekenhuis. Deze bevatten zeer persoonlijke informatie die alleen toegankelijk mag zijn voor de behandelende artsen en direct betrokken zorgverleners. Of neem financiële gegevens bij een bank - deze informatie mag alleen ingezien worden door medewerkers die deze gegevens nodig hebben voor hun werk. Een inbreuk op de vertrouwelijkheid kan leiden tot ernstige privacyschendingen of misbruik van informatie.

Er zijn vele bedreigingen voor vertrouwelijkheid in onze digitale wereld. Datalekken kunnen ervoor zorgen dat gevoelige informatie op straat komt te liggen. Phishing-aanvallen proberen mensen te verleiden om toegangsgegevens prijs te geven. Gestolen laptops of smartphones kunnen toegang geven tot vertrouwelijke informatie. Ook social engineering, waarbij oplichters mensen manipuleren om toegang te krijgen tot informatie, vormt een serieuze bedreiging. Daarnaast kunnen te ruim ingestelde toegangsrechten ervoor zorgen dat meer mensen bij informatie kunnen dan strikt noodzakelijk is.

Het beschermen van vertrouwelijkheid vereist daarom een combinatie van technische maatregelen (zoals encryptie en toegangscontrole) en organisatorische maatregelen (zoals bewustwording en duidelijk beleid). Alleen door continue aandacht voor vertrouwelijkheid kan voorkomen worden dat gevoelige informatie in verkeerde handen valt.

== BIV in de praktijk ==
Voor verschillende soorten informatie kan het belang van B, I en V verschillen:

'''Openbare informatie op een website:'''

* Beschikbaarheid: Hoog (website moet bereikbaar zijn)
* Integriteit: Hoog (informatie moet correct zijn)
* Vertrouwelijkheid: Laag (is immers openbaar)

'''Medisch dossier:'''

* Beschikbaarheid: Hoog (kan levenreddend zijn)
* Integriteit: Hoog (fouten kunnen fataal zijn)
* Vertrouwelijkheid: Hoog (zeer privacygevoelig)

'''Interne telefoongids:'''

* Beschikbaarheid: Gemiddeld
* Integriteit: Gemiddeld
* Vertrouwelijkheid: Laag tot gemiddeld

== Maatregelen voor BIV ==
Om informatie goed te beveiligen, neem je maatregelen voor alle drie de aspecten. De juiste balans tussen B, I en V is echter cruciaal. Soms kunnen maatregelen voor het ene aspect het andere beïnvloeden:

* Heel strenge toegangscontroles (V) kunnen de beschikbaarheid verminderen
* Veel backup-kopieën (B) kunnen de vertrouwelijkheid in gevaar brengen
* Strikte wijzigingsprocedures (I) kunnen de beschikbaarheid vertragen
'''Maatregelen voor het waarborgen van beschikbaarheid:'''
* Backup-procedures
* Noodstroomvoorzieningen
* Redundante systemen
* Calamiteitenplan
* Capaciteitsmanagement
'''Maatregelen voor het waarborgen van integriteit:'''
* Toegangscontrole
* Versiebeheer
* Controleprocedures
* Digitale handtekeningen
* Logging van wijzigingen
'''Maatregelen voor het waarborgen van vertrouwelijkheid:'''
* Encryptie
* Wachtwoordbeleid
* Clean desk policy
* Geheimhoudingsverklaringen
* Beveiligde communicatie

Door bewust met deze drie aspecten om te gaan en de juiste maatregelen te nemen, creëer je een sterke basis voor de beveiliging van je informatie.

Informatiebeveiliging

2024-12-03T12:12:29Z

Editor 7: /* Bedreigingen voor integriteit: */

== Wat is informatiebeveiliging? ==
Informatiebeveiliging gaat over het beschermen van informatie tegen allerlei risico's en bedreigingen. Het doel is om ervoor te zorgen dat informatie veilig blijft en alleen gebruikt wordt waarvoor het bedoeld is. In onze digitale wereld, waar steeds meer informatie wordt gedeeld en opgeslagen, wordt goede informatiebeveiliging steeds belangrijker.

Net zoals je je huis beveiligt tegen verschillende risico's (inbraak, brand, waterschade), moet je ook je informatie beschermen tegen verschillende soorten bedreigingen. Denk aan hackers, virussen, menselijke fouten of technische storingen. Goede informatiebeveiliging zorgt ervoor dat je informatie:

* Niet in verkeerde handen valt
* Beschikbaar is wanneer dat nodig is
* Betrouwbaar en accuraat blijft

== De drie componenten van informatiebeveiliging ==
Om informatie goed te kunnen beveiligen, kijken we naar drie belangrijke aspecten. Deze staan bekend als de BIV-componenten: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Deze drie componenten vormen samen het fundament van goede informatiebeveiliging.

Je kunt deze componenten vergelijken met de beveiliging van een kluis:

* Beschikbaarheid: de kluis moet open kunnen als je erbij moet
* Integriteit: wat in de kluis ligt moet heel en compleet blijven
* Vertrouwelijkheid: alleen bevoegde mensen mogen in de kluis kunnen

== Beschikbaarheid ==
Beschikbaarheid gaat over de vraag: kunnen we bij onze informatie wanneer we dat nodig hebben? Het betekent dat systemen en gegevens toegankelijk en bruikbaar moeten zijn voor mensen die er recht op hebben. Dit lijkt misschien vanzelfsprekend, maar beschikbaarheid is een cruciaal onderdeel van informatiebeveiliging.

Het belang van beschikbaarheid wordt duidelijk als we kijken naar praktijkvoorbeelden. Stel je voor dat een ziekenhuis niet bij patiëntendossiers kan komen tijdens een spoedgeval, of dat een school geen toegang heeft tot leerlinggegevens tijdens eindexamens. De gevolgen kunnen ernstig zijn als informatie niet beschikbaar is op het moment dat deze nodig is.

Er zijn verschillende bedreigingen die de beschikbaarheid van informatie in gevaar kunnen brengen. Technische storingen in systemen of netwerken kunnen ervoor zorgen dat informatie onbereikbaar wordt. DDoS-aanvallen kunnen websites en systemen platleggen, terwijl stroomuitval hele datacenters kan uitschakelen. Ook menselijke fouten, zoals het per ongeluk wissen van bestanden, of natuurrampen die datacenters treffen kunnen de beschikbaarheid bedreigen.

== Integriteit ==
Integriteit draait om de betrouwbaarheid en juistheid van informatie. Het betekent dat je er zeker van kunt zijn dat informatie correct en volledig is, en niet ongeoorloofd is aangepast. Integriteit waarborgt dat gegevens kloppen en dat er geen ongeautoriseerde wijzigingen zijn aangebracht.

Het belang van integriteit wordt duidelijk als we naar kritieke systemen kijken. Bij een bank moet je er absoluut zeker van zijn dat bedragen op rekeningen correct zijn en niet zomaar gewijzigd kunnen worden. In een apotheek moeten medicijndoseringen exact kloppen - één cijfer verschil kan levensgevaarlijk zijn. Deze voorbeelden laten zien dat integriteit van levensbelang kan zijn.

Integriteit kan op verschillende manieren worden bedreigd. Hackers kunnen proberen gegevens te manipuleren, terwijl virussen bestanden kunnen beschadigen. Ook onbedoelde fouten bij het invoeren van gegevens kunnen de integriteit aantasten. Zelfs bij het maken van backups kan de integriteit in gevaar komen als bestanden beschadigd raken tijdens het kopiëren. Het is daarom essentieel om de juistheid van informatie continu te bewaken en te controleren.

== Vertrouwelijkheid ==
Vertrouwelijkheid gaat over het beschermen van informatie tegen onbevoegde toegang. Het zorgt ervoor dat alleen mensen die daar recht op hebben bij bepaalde informatie kunnen komen. Dit is vooral belangrijk bij gevoelige gegevens zoals persoonlijke informatie, bedrijfsgeheimen of medische dossiers.

Denk bijvoorbeeld aan medische dossiers in een ziekenhuis. Deze bevatten zeer persoonlijke informatie die alleen toegankelijk mag zijn voor de behandelende artsen en direct betrokken zorgverleners. Of neem financiële gegevens bij een bank - deze informatie mag alleen ingezien worden door medewerkers die deze gegevens nodig hebben voor hun werk. Een inbreuk op de vertrouwelijkheid kan leiden tot ernstige privacyschendingen of misbruik van informatie.

Er zijn vele bedreigingen voor vertrouwelijkheid in onze digitale wereld. Datalekken kunnen ervoor zorgen dat gevoelige informatie op straat komt te liggen. Phishing-aanvallen proberen mensen te verleiden om toegangsgegevens prijs te geven. Gestolen laptops of smartphones kunnen toegang geven tot vertrouwelijke informatie. Ook social engineering, waarbij oplichters mensen manipuleren om toegang te krijgen tot informatie, vormt een serieuze bedreiging. Daarnaast kunnen te ruim ingestelde toegangsrechten ervoor zorgen dat meer mensen bij informatie kunnen dan strikt noodzakelijk is.

Het beschermen van vertrouwelijkheid vereist daarom een combinatie van technische maatregelen (zoals encryptie en toegangscontrole) en organisatorische maatregelen (zoals bewustwording en duidelijk beleid). Alleen door continue aandacht voor vertrouwelijkheid kan voorkomen worden dat gevoelige informatie in verkeerde handen valt.

== BIV in de praktijk ==
Voor verschillende soorten informatie kan het belang van B, I en V verschillen:

'''Openbare informatie op een website:'''

* Beschikbaarheid: Hoog (website moet bereikbaar zijn)
* Integriteit: Hoog (informatie moet correct zijn)
* Vertrouwelijkheid: Laag (is immers openbaar)

'''Medisch dossier:'''

* Beschikbaarheid: Hoog (kan levenreddend zijn)
* Integriteit: Hoog (fouten kunnen fataal zijn)
* Vertrouwelijkheid: Hoog (zeer privacygevoelig)

'''Interne telefoongids:'''

* Beschikbaarheid: Gemiddeld
* Integriteit: Gemiddeld
* Vertrouwelijkheid: Laag tot gemiddeld

== Maatregelen voor BIV ==
Om informatie goed te beveiligen, neem je maatregelen voor alle drie de aspecten. De juiste balans tussen B, I en V is echter cruciaal. Soms kunnen maatregelen voor het ene aspect het andere beïnvloeden:

* Heel strenge toegangscontroles (V) kunnen de beschikbaarheid verminderen
* Veel backup-kopieën (B) kunnen de vertrouwelijkheid in gevaar brengen
* Strikte wijzigingsprocedures (I) kunnen de beschikbaarheid vertragen
'''Maatregelen voor het waarborgen van beschikbaarheid:'''
* Backup-procedures
* Noodstroomvoorzieningen
* Redundante systemen
* Calamiteitenplan
* Capaciteitsmanagement
'''Maatregelen voor het waarborgen van integriteit:'''
* Toegangscontrole
* Versiebeheer
* Controleprocedures
* Digitale handtekeningen
* Logging van wijzigingen
'''Maatregelen voor het waarborgen van vertrouwelijkheid:'''
* Encryptie
* Wachtwoordbeleid
* Clean desk policy
* Geheimhoudingsverklaringen
* Beveiligde communicatie

Door bewust met deze drie aspecten om te gaan en de juiste maatregelen te nemen, creëer je een sterke basis voor de beveiliging van je informatie.

Informatiebeveiliging

2024-12-03T12:09:01Z

Editor 7: /* Het belang van balans */

Informatiebeveiliging

2024-12-03T12:08:01Z

Editor 7: Nieuwe pagina aangemaakt met '== Wat is informatiebeveiliging? == Informatiebeveiliging gaat over het beschermen van informatie tegen allerlei risico's en bedreigingen. Het doel is om ervoor te zorgen dat informatie veilig blijft en alleen gebruikt wordt waarvoor het bedoeld is. In onze digitale wereld, waar steeds meer informatie wordt gedeeld en opgeslagen, wordt goede informatiebeveiliging steeds belangrijker. Net zoals je je huis beveiligt tegen verschillende risico's (inbraak, brand,...'

Welkom bij de Wiki van Het Handje

2024-12-03T11:06:25Z

Editor 7: /* Privacy: de basis */

Welkom bij de Wiki van '''[[Over de organisatie|Het Handje]] 💎.''' Hier kun je informatie vinden over de [[Over de organisatie|organisatie]] en over de [[Europese privacywetgeving#Algemene verordening gegevensbescherming (2018)|AVG]].

Alle informatie is bedoeld ter instructie van medewerkers van Het Handje. Met een gezamenlijk doel werken wij toe naar de slogan van onze privacyaanspreekpunten:

"Samen slimmer dan onze slimste horloges!" 🥸⌚
----Om het navigeren 🧭 door de Wiki een stukje eenvoudiger te maken volgt hieronder een korte '''leeswijzer 📖''':

''"'''Het Handje'''": hier is alle informatie te vinden over onze prachtige organisatie. Van wat meer informatie over het ontstaan tot informatie over specifieke onderdelen van de organisatie, alsook de mogelijkheid voor medewerkers om als eerste op de hoogte te zijn van onze nieuwste collectie 💍: het is hier allemaal te vinden!''

''"'''Privacy en Het Handje: spelregels & procedures'''": omdat geen enkele organisatie zonder iets van regeltjes kan, vind je hier alle informatie waar je rekening mee dient te houden als medewerker van Het Handje. Geen zorgen, je vindt hier geen dik boekwerk, maar handige spelregels en procedures die van toepassing zijn op thema's rondom privacy en security. Zo weet iedereen wat er van ze verwacht wordt en werken we toe naar een privacyvriendelijke werkwijze.''

''"'''Privacy: de basis'''": soms is het gewoon fijn om naslagwerk te hebben waarin kort en bondig uitgelegd wordt wat de regeltjes zijn uit de AVG en andere belangrijke wet- en regelgeving op het gebied van privacy en security. In "Privacy: de basis" vind je daarom de belangrijkste uitgangspunten m.b.t. essentiële privacy en security definities en eisen uit de AVG. Om het zo gemakkelijk mogelijk te maken vind je hier ook het boek "De AVG: artikelsgewijs commentaar" geschreven door een aantal juristen van juridisch advieskantoor ICTRecht 🌳. Erg handig wanneer je net wat meer uitleg wil bij de regeltjes uit de AVG.''

''"'''Veelgestelde vragen'''" 🤔: lijkt me duidelijk deze. Alle veelgestelde vragen zijn hier gebundeld, zodat je nooit lang hoeft te zoeken naar het antwoord op jouw prangende vragen.''
----➡️ Alle informatie in de Wiki is met elkaar verbonden. Dat wil zeggen dat je makkelijk kan klikken op linkjes in de tekst, die je kunt herkennen aan hun blauwe kleur. Klik je hierop dan kom je op een andere pagina in de Wiki uit met meer informatie over dat specifieke onderwerp. De Wiki staat vol met korte stappenplannen, diepgaande uitleg en leuke instructievideo's 📺. Zoek je naar een specifiek begrip of concept, overweeg dan ook om de zoekfunctie te gebruiken rechtsboven in beeld. Veel succes gewenst!

== Het Handje ==

* [[Over de organisatie]]
* [[Het Handje: Vakschool]]
* [[Het Handje: Campus]]
* [[Het Handje: Nieuwe collectie]]
* [[Het Handje: Onze mensen]]

== Privacy en Het Handje: spelregels & procedures ==

* [[Omgang met datalekken binnen Het Handje|Spelregel: omgang met datalekken]]
* [[Spelregel: omgang met rechten van betrokkenen]]
* [[Spelregel: intern en extern delen van persoonsgegevens]]
* [[Spelregel: sollicitatie(s)]]
* [[Camerabeleid|Procedure: camerabeleid]]
* [[Spelregel: beveiligingsmaatregelen]]
* [[Procedure: computernetwerk, internetgebruik en social media]]

== Privacy: de basis ==

* [[Bewaartermijnen]]
* [[Betrokkene]]
* [[DPIA]]
* [[Datalekken]]
* [[Alle artikelen uitgelegd|De AVG: artikelsgewijs commentaar (E-Boek)]]
* [[De beginselen bij het verwerken van persoonsgegevens]]
* [[Europese privacywetgeving]]
* [[Grondslagen]]
* [[Handhaving en sancties]]
* [[Informatiebeveiliging]]
* [[Malware]]
* [[Niet-naleving AVG]]
* [[Passende beveiliging]]
* [[Persoonsgegevens]]
* [[Phishing]]
* [[Privacy bewustwording]]
* [[Privacy en security professionals]]
* [[Pseudonimiseren en anonimiseren]]
* [[Rechten van betrokkenen]]
* [[Rolverdeling verschillende partijen]]

* [[Verwerking]]

== Veelgestelde vragen ==

[[Veelgestelde vragen]]
* [[Toepassingsbereik|Wanneer is de AVG van toepassing?]]
* [[Zijn zakelijke gegevens van klanten van Het Handje ook persoonsgegevens?]]
* [[Heeft het Handje altijd een grondslag voor het verwerken van persoonsgegevens?]]
* [[Waarom gebruikt Het Handje biometrische toegangsbeveiliging op de Campus, en mag dit wel?]]
* [[Wat is een leerlingenvolgsysteem en waarom maakt Het Handje hier gebruik van op de Vakschool?]]
* [[Is er altijd toestemming nodig bij het maken van beeldmateriaal op de Campus of in de Vakschool?]]
* [[Wat moet ik doen wanneer ik een (mogelijk) beveiligingsincident en/of datalek op het oog heb?]]
* [[Zijn er naast de bewaartermijnen die door Het Handje zelf zijn vastgesteld ook nog wettelijke bewaartermijnen?]]
* [[Mag ik een identiteitsbewijs (paspoort/ID-kaart) opvragen om de identiteit vast te stellen bij een verzoek van een klant onder de AVG?]]
* [[Wat gebeurt er met mijn melding over een (mogelijke) phishing-mail?]]
* [[Mag Het Handje nieuwsbrieven, dan wel commerciële berichten, via e-mail versturen?]]
* [[Hoe ga ik om met een vraag van een betrokkene over het recht op rectificatie?]]
* [[Wanneer is Het Handje de verwerkingsverantwoordelijke en in welk geval de verwerker?]]

Passende beveiliging

2024-12-03T11:03:23Z

Editor 7: /* Let op! */

In de AVG is in artikel 32 opgenomen dat iedere organisatie verplicht is 'passende technische en organisatorische maatregelen' te nemen om de persoonsgegevens te beveiligen. Dit is van belang voor de bescherming van persoonsgegevens. Wanneer een organisatie [[persoonsgegevens]] [[Verwerking|verwerkt]] is het van belang dat deze gegevens worden beveiligd tegen bijvoorbeeld het hacken van de bestanden. Wat passend is, is afhankelijk van meerdere aspecten: de organisatie, de specifieke verwerking van persoonsgegevens en de kwetsbare onderdelen die zijn geïnventariseerd. Hiervoor is niet een 'one-size-fits-all' plan waarmee iedere organisatie voldoet.

In artikel 32 van de AVG wordt beschreven welke maatregelen dat zijn. Er wordt bijvoorbeeld gesteld dat organisaties een passend beveiligingsniveau moeten hanteren, rekening houdend met:

* de stand van de techniek;
* de kosten;
* de aard, de omvang, de context en het doel van de verwerking.

Eigenlijk is het de bedoeling dat een organisatie de balans vindt tussen enerzijds het risico van de verwerking en anderzijds de maatregelen om voor een goede beveiliging te zorgen. Een organisatie moet niet alleen rekening houden met de technische aspecten van de beveiliging, maar ook met de kosten en de gevoeligheid van de gegevens. Er moet ook kritisch worden nagegaan hoe de organisaties met persoonsgegevens omgaat. De AVG maakt aldus een onderscheid tussen technische en organisatorische maatregelen.

== Technische beveiligingsmaatregelen ==
Voorbeelden van technische beveiligingsmaatregelen:

* 2FA (twee-factor-authenticatie). Dit houdt in dat naast het invoeren van een wachtwoord nog een extra verificatie nodig is om in te loggen op bijvoorbeeld een systeem, zoals een verificatiecode of het tonen van een personeelspas.
* Gegevens versleutelen (encryptie).
* Hashing gebruiken als methode om persoonsgegevens te pseudonimiseren.
* Veilige wachtwoordpraktijken. Dit houdt onder meer in dat er eisen worden gesteld aan de lengte van een wachtwoord, dat de wachtwoorden periodiek gewijzigd dienen te worden en dat er gebruik wordt gemaakt van een veilige password manager.
* Logische en fysieke (toegangs)beveiliging en beveiliging van apparatuur. Denk niet alleen aan kluizen en portiers, maar ook aan firewalls, autorisatie en accounts koppelen aan specifieke personen.
* Technisch beheer van de autorisaties en het bijhouden van logbestanden.
* Beheer van technische kwetsbaarheden ('patch management').
* Software up-to-date houden, zoals browsers, virusscanners en besturingssystemen.
* Back-ups maken waarmee u de beschikbaarheid en de toegang tot de persoonsgegevens tijdig kunt herstellen. Overweeg of u dubbele systemen nodig heeft, zodat het geheel goed blijft functioneren wanneer een onderdeel uitvalt.
* Verouderde gegevens automatisch verwijderen.

=== Encryptie ===
De AVG benadrukt in artikel 32 het belang van encryptie als potentiële beveiligingsmaatregel. Encryptie, ook wel versleuteling genoemd, is een techniek die '''geheimhouding''' van persoonsgegevens garandeert door ze onleesbaar te maken voor onbevoegden. Deze techniek is essentieel voor het waarborgen van de '''vertrouwelijkheid''' van gegevens tijdens opslag en verzending. Het hart van encryptie is de '''sleutel''' - een unieke code die bepaalt hoe gegevens worden versleuteld en ontsleuteld. Hierbij wordt een onderscheid gemaakt tussen asymmetrische en symmetrische encryptie:
# '''Asymmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van twee verschillende sleutels:
#* Eén openbare sleutel voor versleuteling
#* Eén privé sleutel voor ontsleuteling. Alleen de bezitter van deze privé sleutel kan de informatie ontcijferen.
# '''Symmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van één sleutel voor zowel versleuteling als ontsleuteling. Deze sleutel moet veilig gedeeld worden tussen zender en ontvanger.

In beide gevallen is het van belang een veilige methode te gebruiken voor het uitwisselen van sleutels tussen partijen. Ook is het voor beide methoden van belang dat de sleutel regelmatig wordt bijgewerkt om effectief te blijven. De sleutel dient namelijk de levensduur van de versleutelde gegevens te overleven. Dit betekent dat wat nu als veilig wordt beschouwd, binnen een paar jaar kwetsbaar kan worden. De toenemende rekenkracht van computers vereist steeds sterkere en intelligentere vormen van encryptie. Met goed versleutelde data werken kan in geval van een inbreuk in verband met persoonsgegevens (een [[Datalekken|datalek]]) de impact voor de verwerkingsverantwoordelijke en betrokkenen beperken en mogelijke schade minimaliseren.

== Organisatorische beveiligingsmaatregelen ==
Voorbeelden van organisatorische beveiligingsmaatregelen:

* Mensen verantwoordelijkheden toewijzen voor informatiebeveiliging.
* Beveiligingsbewustzijn vergroten bij bestaande en nieuwe medewerkers.
* Procedures opstellen om op gezette tijdstippen de beveiligingsmaatregelen te testen, te beoordelen, te evalueren eventueel aan te scherpen.
* Regelmatig de logbestanden controleren.
* Een protocol opstellen voor de afhandeling van datalekken en beveiligingsincidenten.
* Geheimhoudingsovereenkomsten en verwerkersovereenkomsten afsluiten.
* Regelmatig beoordelen of u dezelfde doelen kunt behalen met minder persoonsgegevens.
* Minder mensen in uw organisatie toegang geven tot persoonsgegevens.
* Per verwerking het besluitvormingsproces en de achterliggende overwegingen vastleggen.

== Fysieke beveiligingsmaatregelen ==
Fysieke beveiligingsmaatregelen zijn alle maatregelen die je neemt om te voorkomen dat onbevoegden fysieke toegang krijgen tot ruimtes waar persoonsgegevens worden verwerkt of bewaard. Net zoals je je huis beschermt met sloten en een alarm, moet je ook werkplekken waar met privacygevoelige informatie wordt gewerkt goed beveiligen. In de praktijk worden deze verschillende beveiligingsmethoden vaak gecombineerd. Dit wordt meerfactorauthenticatie genoemd. Je kunt bijvoorbeeld een toegangspas combineren met een code, of een vingerafdruk met een toegangspas. Deze aanpak zorgt ervoor dat zelfs als één vorm van beveiliging wordt omzeild, de ruimte nog steeds beveiligd blijft door de tweede verificatiemethode.

=== Toegangspassen ===
Toegangspassen zijn een van de meest gebruikte methoden om toegang tot gebouwen en ruimtes te controleren. Ze werken met speciale technologie die het mogelijk maakt om bij te houden wie wanneer waar naar binnen gaat. Met een toegangspassysteem kunnen organisaties verschillende toegangsniveaus instellen voor verschillende medewerkers. Zo krijgt niet iedereen toegang tot dezelfde ruimtes, maar alleen tot die ruimtes die nodig zijn voor het werk.

Een groot voordeel van toegangspassen is de flexibiliteit in beheer. Als een pas kwijtraakt of wordt gestolen, kan deze direct worden geblokkeerd. Ook is het mogelijk om de toegangsrechten aan te passen als iemand van functie verandert. Het systeem houdt bovendien automatisch bij wie wanneer welke ruimtes heeft bezocht, wat handig is voor beveiligingscontroles en in het geval van incidenten.

=== Biometrische toegangscontrole ===
Vingerafdrukherkenning is een vorm van biometrische toegangscontrole die steeds vaker wordt toegepast. Deze technologie gebruikt unieke kenmerken van iemands vingerafdruk om toegang te verlenen. Het grote voordeel hiervan is dat een vingerafdruk niet kan worden uitgeleend of doorgegeven aan anderen, zoals dat wel kan met een toegangspas of code.

Het gebruik van vingerafdrukken brengt echter ook uitdagingen met zich mee. Omdat een vingerafdruk een bijzonder persoonsgegeven is, moet de opslag en verwerking ervan extra goed worden beveiligd. Ook is het belangrijk om te bedenken dat als een vingerafdruk wordt gekopieerd, deze niet kan worden veranderd zoals een wachtwoord. Bovendien werkt het systeem niet altijd even goed bij mensen met verwonde of versleten vingers, bijvoorbeeld bij mensen die veel handwerk doen.

=== Toegangscode ===
Een toegangscode is een van de oudste maar nog steeds veel gebruikte beveiligingsmethoden. Het werkt met een combinatie van cijfers of letters die toegang geeft tot beveiligde ruimtes. Voor een effectieve beveiliging met toegangscodes is het belangrijk dat deze regelmatig worden veranderd en dat ze lang genoeg zijn - minimaal zes cijfers is tegenwoordig de standaard.

Bij het gebruik van toegangscodes is het belangrijk dat medewerkers begrijpen dat ze de codes niet mogen delen met anderen en dat ze geen voor de hand liggende combinaties mogen gebruiken. Ook moet er een duidelijk proces zijn voor het wijzigen van codes, vooral als er personeelswisselingen zijn.

== Beheer van beveiligingsincidenten ==
Het beheer van beveiligingsincidenten is het geheel van processen en maatregelen dat ervoor zorgt dat een organisatie beveiligingsproblemen kan voorkomen, ontdekken en oplossen. Het is te vergelijken met een beveiligingssysteem in een gebouw: je wilt inbraak voorkomen, maar als er toch iets gebeurt, wil je het snel ontdekken en kunnen ingrijpen.

=== Monitoring ===
Monitoring is het continue proces van het in de gaten houden van systemen en netwerken om afwijkingen en mogelijke beveiligingsincidenten te ontdekken. Het is als een bewakingscamera die voortdurend kijkt of er iets ongewoons gebeurt.

Bij monitoring kun je kijken naar verschillende aspecten:

* Netwerkverkeer: wie maakt verbinding met welke systemen?
* Systeemgebruik: welke programma's worden gebruikt en door wie?
* Toegangspogingen: wie probeert in te loggen en waar?
* Dataverkeer: welke gegevens worden verplaatst of gekopieerd?

Door goede monitoring kun je:

* Verdachte activiteiten vroeg ontdekken
* Patronen herkennen die op problemen kunnen wijzen
* Snel ingrijpen bij beveiligingsincidenten
* Bewijs verzamelen als er iets is misgegaan

=== Logging ===
Logging is het vastleggen van gebeurtenissen in systemen en netwerken. Het is als een logboek waarin wordt bijgehouden wat er gebeurt. Deze informatie is essentieel om later te kunnen achterhalen wat er precies is voorgevallen.

Een goede logging legt vast:

* Wie heeft ingelogd en wanneer
* Welke acties zijn uitgevoerd
* Welke systemen zijn gebruikt
* Welke bestanden zijn geopend of gewijzigd
* Wanneer er foutmeldingen of waarschuwingen waren

Om logging effectief te maken moet deze:

* Voldoende detail bevatten om gebeurtenissen te kunnen reconstrueren
* Veilig worden opgeslagen zodat logs niet kunnen worden aangepast
* Lang genoeg worden bewaard om onderzoek mogelijk te maken
* Regelmatig worden gecontroleerd op afwijkingen

=== Incidentbeheer ===
Incidentbeheer beschrijft hoe je omgaat met beveiligingsincidenten als ze zich voordoen. Het is een gestructureerd proces dat ervoor zorgt dat incidenten snel en effectief worden aangepakt.

Een voorbeeld van het proces van incidentbeheer ziet er als volgt uit:

'''1. Voorbereiding'''
* Maak een plan voor verschillende soorten incidenten
* Stel een incidentresponsteam samen
* Zorg dat iedereen weet wat te doen
* Test regelmatig de procedures
'''2. Detectie en analyse'''
* Ontdek het incident via monitoring of meldingen
* Bepaal wat er aan de hand is
* Schat de ernst en impact in
* Verzamel bewijs via logs
'''3. Beperking en bestrijding'''
* Neem maatregelen om schade te beperken
* Isoleer getroffen systemen indien nodig
* Voorkom verdere verspreiding
* Documenteer alle acties
'''4. Herstel'''
* Breng systemen terug naar normale werking
* Controleer of alles weer veilig is
* Herstel eventueel verloren gegevens
* Test of alles weer goed werkt
'''5. Evaluatie en verbetering'''
* Analyseer wat er is gebeurd
* Leer van het incident
* Pas procedures aan waar nodig
* Deel leerpunten binnen de organisatie
'''Tips voor effectief incidentbeheer'''

Voor een effectief beheer van beveiligingsincidenten is het essentieel om een aantal basisprincipes te volgen. Allereerst moet je zorgen voor duidelijke procedures die voor iedereen in de organisatie bekend en begrijpelijk zijn. Het is daarbij belangrijk om één persoon of team eindverantwoordelijk te maken voor het afhandelen van incidenten. Deze duidelijke toewijzing van verantwoordelijkheid voorkomt verwarring en zorgt voor snelle besluitvorming als er iets misgaat.
Tijdens een incident is het cruciaal om alle genomen stappen zorgvuldig te documenteren. Deze documentatie is niet alleen belangrijk voor het incident zelf, maar helpt ook bij toekomstige incidenten en bij het verbeteren van je procedures. Ook is het verstandig om je incidentresponsprocedures regelmatig te testen. Net zoals je bij een brandoefening test of iedereen weet wat te doen, moet je ook regelmatig oefenen met het afhandelen van beveiligingsincidenten. Door elk incident grondig te evalueren, kun je belangrijke lessen trekken en je procedures steeds verder verbeteren.

'''Let op!'''

Bij het inrichten van je incidentbeheer zijn er enkele cruciale aandachtspunten die je niet mag vergeten. Het is belangrijk dat je monitoring- en loggingactiviteiten volledig voldoen aan de privacywetgeving. Je mag niet meer gegevens verzamelen of langer bewaren dan strikt noodzakelijk is voor het beveiligingsdoel.

De logs die je verzamelt moeten op een veilige manier worden opgeslagen en lang genoeg worden bewaard om hun doel te kunnen dienen. Het heeft weinig zin om logs maar een week te bewaren als je pas na een maand ontdekt dat er iets mis is gegaan.

Het regelmatig testen van je procedures is geen luxe maar een noodzaak. Alleen door regelmatig te oefenen, ontdek je of je procedures werkbaar zijn en of iedereen weet wat er van hen wordt verwacht. Zorg er daarom voor dat al je medewerkers goed zijn geïnstrueerd over wat ze moeten doen als ze een beveiligingsincident ontdekken.

Tot slot is het van groot belang om alle aspecten van incidentbeheer goed te documenteren voor latere analyse. Deze documentatie helpt niet alleen bij het verbeteren van je procedures, maar kan ook cruciaal zijn als je moet aantonen dat je zorgvuldig met beveiligingsincidenten omgaat.

Passende beveiliging

2024-12-03T11:03:13Z

Editor 7: /* Beheer van beveiligingsincidenten */

In de AVG is in artikel 32 opgenomen dat iedere organisatie verplicht is 'passende technische en organisatorische maatregelen' te nemen om de persoonsgegevens te beveiligen. Dit is van belang voor de bescherming van persoonsgegevens. Wanneer een organisatie [[persoonsgegevens]] [[Verwerking|verwerkt]] is het van belang dat deze gegevens worden beveiligd tegen bijvoorbeeld het hacken van de bestanden. Wat passend is, is afhankelijk van meerdere aspecten: de organisatie, de specifieke verwerking van persoonsgegevens en de kwetsbare onderdelen die zijn geïnventariseerd. Hiervoor is niet een 'one-size-fits-all' plan waarmee iedere organisatie voldoet.

In artikel 32 van de AVG wordt beschreven welke maatregelen dat zijn. Er wordt bijvoorbeeld gesteld dat organisaties een passend beveiligingsniveau moeten hanteren, rekening houdend met:

* de stand van de techniek;
* de kosten;
* de aard, de omvang, de context en het doel van de verwerking.

Eigenlijk is het de bedoeling dat een organisatie de balans vindt tussen enerzijds het risico van de verwerking en anderzijds de maatregelen om voor een goede beveiliging te zorgen. Een organisatie moet niet alleen rekening houden met de technische aspecten van de beveiliging, maar ook met de kosten en de gevoeligheid van de gegevens. Er moet ook kritisch worden nagegaan hoe de organisaties met persoonsgegevens omgaat. De AVG maakt aldus een onderscheid tussen technische en organisatorische maatregelen.

== Technische beveiligingsmaatregelen ==
Voorbeelden van technische beveiligingsmaatregelen:

* 2FA (twee-factor-authenticatie). Dit houdt in dat naast het invoeren van een wachtwoord nog een extra verificatie nodig is om in te loggen op bijvoorbeeld een systeem, zoals een verificatiecode of het tonen van een personeelspas.
* Gegevens versleutelen (encryptie).
* Hashing gebruiken als methode om persoonsgegevens te pseudonimiseren.
* Veilige wachtwoordpraktijken. Dit houdt onder meer in dat er eisen worden gesteld aan de lengte van een wachtwoord, dat de wachtwoorden periodiek gewijzigd dienen te worden en dat er gebruik wordt gemaakt van een veilige password manager.
* Logische en fysieke (toegangs)beveiliging en beveiliging van apparatuur. Denk niet alleen aan kluizen en portiers, maar ook aan firewalls, autorisatie en accounts koppelen aan specifieke personen.
* Technisch beheer van de autorisaties en het bijhouden van logbestanden.
* Beheer van technische kwetsbaarheden ('patch management').
* Software up-to-date houden, zoals browsers, virusscanners en besturingssystemen.
* Back-ups maken waarmee u de beschikbaarheid en de toegang tot de persoonsgegevens tijdig kunt herstellen. Overweeg of u dubbele systemen nodig heeft, zodat het geheel goed blijft functioneren wanneer een onderdeel uitvalt.
* Verouderde gegevens automatisch verwijderen.

=== Encryptie ===
De AVG benadrukt in artikel 32 het belang van encryptie als potentiële beveiligingsmaatregel. Encryptie, ook wel versleuteling genoemd, is een techniek die '''geheimhouding''' van persoonsgegevens garandeert door ze onleesbaar te maken voor onbevoegden. Deze techniek is essentieel voor het waarborgen van de '''vertrouwelijkheid''' van gegevens tijdens opslag en verzending. Het hart van encryptie is de '''sleutel''' - een unieke code die bepaalt hoe gegevens worden versleuteld en ontsleuteld. Hierbij wordt een onderscheid gemaakt tussen asymmetrische en symmetrische encryptie:
# '''Asymmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van twee verschillende sleutels:
#* Eén openbare sleutel voor versleuteling
#* Eén privé sleutel voor ontsleuteling. Alleen de bezitter van deze privé sleutel kan de informatie ontcijferen.
# '''Symmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van één sleutel voor zowel versleuteling als ontsleuteling. Deze sleutel moet veilig gedeeld worden tussen zender en ontvanger.

In beide gevallen is het van belang een veilige methode te gebruiken voor het uitwisselen van sleutels tussen partijen. Ook is het voor beide methoden van belang dat de sleutel regelmatig wordt bijgewerkt om effectief te blijven. De sleutel dient namelijk de levensduur van de versleutelde gegevens te overleven. Dit betekent dat wat nu als veilig wordt beschouwd, binnen een paar jaar kwetsbaar kan worden. De toenemende rekenkracht van computers vereist steeds sterkere en intelligentere vormen van encryptie. Met goed versleutelde data werken kan in geval van een inbreuk in verband met persoonsgegevens (een [[Datalekken|datalek]]) de impact voor de verwerkingsverantwoordelijke en betrokkenen beperken en mogelijke schade minimaliseren.

== Organisatorische beveiligingsmaatregelen ==
Voorbeelden van organisatorische beveiligingsmaatregelen:

* Mensen verantwoordelijkheden toewijzen voor informatiebeveiliging.
* Beveiligingsbewustzijn vergroten bij bestaande en nieuwe medewerkers.
* Procedures opstellen om op gezette tijdstippen de beveiligingsmaatregelen te testen, te beoordelen, te evalueren eventueel aan te scherpen.
* Regelmatig de logbestanden controleren.
* Een protocol opstellen voor de afhandeling van datalekken en beveiligingsincidenten.
* Geheimhoudingsovereenkomsten en verwerkersovereenkomsten afsluiten.
* Regelmatig beoordelen of u dezelfde doelen kunt behalen met minder persoonsgegevens.
* Minder mensen in uw organisatie toegang geven tot persoonsgegevens.
* Per verwerking het besluitvormingsproces en de achterliggende overwegingen vastleggen.

== Fysieke beveiligingsmaatregelen ==
Fysieke beveiligingsmaatregelen zijn alle maatregelen die je neemt om te voorkomen dat onbevoegden fysieke toegang krijgen tot ruimtes waar persoonsgegevens worden verwerkt of bewaard. Net zoals je je huis beschermt met sloten en een alarm, moet je ook werkplekken waar met privacygevoelige informatie wordt gewerkt goed beveiligen. In de praktijk worden deze verschillende beveiligingsmethoden vaak gecombineerd. Dit wordt meerfactorauthenticatie genoemd. Je kunt bijvoorbeeld een toegangspas combineren met een code, of een vingerafdruk met een toegangspas. Deze aanpak zorgt ervoor dat zelfs als één vorm van beveiliging wordt omzeild, de ruimte nog steeds beveiligd blijft door de tweede verificatiemethode.

=== Toegangspassen ===
Toegangspassen zijn een van de meest gebruikte methoden om toegang tot gebouwen en ruimtes te controleren. Ze werken met speciale technologie die het mogelijk maakt om bij te houden wie wanneer waar naar binnen gaat. Met een toegangspassysteem kunnen organisaties verschillende toegangsniveaus instellen voor verschillende medewerkers. Zo krijgt niet iedereen toegang tot dezelfde ruimtes, maar alleen tot die ruimtes die nodig zijn voor het werk.

Een groot voordeel van toegangspassen is de flexibiliteit in beheer. Als een pas kwijtraakt of wordt gestolen, kan deze direct worden geblokkeerd. Ook is het mogelijk om de toegangsrechten aan te passen als iemand van functie verandert. Het systeem houdt bovendien automatisch bij wie wanneer welke ruimtes heeft bezocht, wat handig is voor beveiligingscontroles en in het geval van incidenten.

=== Biometrische toegangscontrole ===
Vingerafdrukherkenning is een vorm van biometrische toegangscontrole die steeds vaker wordt toegepast. Deze technologie gebruikt unieke kenmerken van iemands vingerafdruk om toegang te verlenen. Het grote voordeel hiervan is dat een vingerafdruk niet kan worden uitgeleend of doorgegeven aan anderen, zoals dat wel kan met een toegangspas of code.

Het gebruik van vingerafdrukken brengt echter ook uitdagingen met zich mee. Omdat een vingerafdruk een bijzonder persoonsgegeven is, moet de opslag en verwerking ervan extra goed worden beveiligd. Ook is het belangrijk om te bedenken dat als een vingerafdruk wordt gekopieerd, deze niet kan worden veranderd zoals een wachtwoord. Bovendien werkt het systeem niet altijd even goed bij mensen met verwonde of versleten vingers, bijvoorbeeld bij mensen die veel handwerk doen.

=== Toegangscode ===
Een toegangscode is een van de oudste maar nog steeds veel gebruikte beveiligingsmethoden. Het werkt met een combinatie van cijfers of letters die toegang geeft tot beveiligde ruimtes. Voor een effectieve beveiliging met toegangscodes is het belangrijk dat deze regelmatig worden veranderd en dat ze lang genoeg zijn - minimaal zes cijfers is tegenwoordig de standaard.

Bij het gebruik van toegangscodes is het belangrijk dat medewerkers begrijpen dat ze de codes niet mogen delen met anderen en dat ze geen voor de hand liggende combinaties mogen gebruiken. Ook moet er een duidelijk proces zijn voor het wijzigen van codes, vooral als er personeelswisselingen zijn.

== Beheer van beveiligingsincidenten ==
Het beheer van beveiligingsincidenten is het geheel van processen en maatregelen dat ervoor zorgt dat een organisatie beveiligingsproblemen kan voorkomen, ontdekken en oplossen. Het is te vergelijken met een beveiligingssysteem in een gebouw: je wilt inbraak voorkomen, maar als er toch iets gebeurt, wil je het snel ontdekken en kunnen ingrijpen.

=== Monitoring ===
Monitoring is het continue proces van het in de gaten houden van systemen en netwerken om afwijkingen en mogelijke beveiligingsincidenten te ontdekken. Het is als een bewakingscamera die voortdurend kijkt of er iets ongewoons gebeurt.

Bij monitoring kun je kijken naar verschillende aspecten:

* Netwerkverkeer: wie maakt verbinding met welke systemen?
* Systeemgebruik: welke programma's worden gebruikt en door wie?
* Toegangspogingen: wie probeert in te loggen en waar?
* Dataverkeer: welke gegevens worden verplaatst of gekopieerd?

Door goede monitoring kun je:

* Verdachte activiteiten vroeg ontdekken
* Patronen herkennen die op problemen kunnen wijzen
* Snel ingrijpen bij beveiligingsincidenten
* Bewijs verzamelen als er iets is misgegaan

=== Logging ===
Logging is het vastleggen van gebeurtenissen in systemen en netwerken. Het is als een logboek waarin wordt bijgehouden wat er gebeurt. Deze informatie is essentieel om later te kunnen achterhalen wat er precies is voorgevallen.

Een goede logging legt vast:

* Wie heeft ingelogd en wanneer
* Welke acties zijn uitgevoerd
* Welke systemen zijn gebruikt
* Welke bestanden zijn geopend of gewijzigd
* Wanneer er foutmeldingen of waarschuwingen waren

Om logging effectief te maken moet deze:

* Voldoende detail bevatten om gebeurtenissen te kunnen reconstrueren
* Veilig worden opgeslagen zodat logs niet kunnen worden aangepast
* Lang genoeg worden bewaard om onderzoek mogelijk te maken
* Regelmatig worden gecontroleerd op afwijkingen

=== Incidentbeheer ===
Incidentbeheer beschrijft hoe je omgaat met beveiligingsincidenten als ze zich voordoen. Het is een gestructureerd proces dat ervoor zorgt dat incidenten snel en effectief worden aangepakt.

Een voorbeeld van het proces van incidentbeheer ziet er als volgt uit:

'''1. Voorbereiding'''
* Maak een plan voor verschillende soorten incidenten
* Stel een incidentresponsteam samen
* Zorg dat iedereen weet wat te doen
* Test regelmatig de procedures
'''2. Detectie en analyse'''
* Ontdek het incident via monitoring of meldingen
* Bepaal wat er aan de hand is
* Schat de ernst en impact in
* Verzamel bewijs via logs
'''3. Beperking en bestrijding'''
* Neem maatregelen om schade te beperken
* Isoleer getroffen systemen indien nodig
* Voorkom verdere verspreiding
* Documenteer alle acties
'''4. Herstel'''
* Breng systemen terug naar normale werking
* Controleer of alles weer veilig is
* Herstel eventueel verloren gegevens
* Test of alles weer goed werkt
'''5. Evaluatie en verbetering'''
* Analyseer wat er is gebeurd
* Leer van het incident
* Pas procedures aan waar nodig
* Deel leerpunten binnen de organisatie
'''Tips voor effectief incidentbeheer'''

Voor een effectief beheer van beveiligingsincidenten is het essentieel om een aantal basisprincipes te volgen. Allereerst moet je zorgen voor duidelijke procedures die voor iedereen in de organisatie bekend en begrijpelijk zijn. Het is daarbij belangrijk om één persoon of team eindverantwoordelijk te maken voor het afhandelen van incidenten. Deze duidelijke toewijzing van verantwoordelijkheid voorkomt verwarring en zorgt voor snelle besluitvorming als er iets misgaat.
Tijdens een incident is het cruciaal om alle genomen stappen zorgvuldig te documenteren. Deze documentatie is niet alleen belangrijk voor het incident zelf, maar helpt ook bij toekomstige incidenten en bij het verbeteren van je procedures. Ook is het verstandig om je incidentresponsprocedures regelmatig te testen. Net zoals je bij een brandoefening test of iedereen weet wat te doen, moet je ook regelmatig oefenen met het afhandelen van beveiligingsincidenten. Door elk incident grondig te evalueren, kun je belangrijke lessen trekken en je procedures steeds verder verbeteren.

==== Let op! ====
Bij het inrichten van je incidentbeheer zijn er enkele cruciale aandachtspunten die je niet mag vergeten. Het is belangrijk dat je monitoring- en loggingactiviteiten volledig voldoen aan de privacywetgeving. Je mag niet meer gegevens verzamelen of langer bewaren dan strikt noodzakelijk is voor het beveiligingsdoel.

De logs die je verzamelt moeten op een veilige manier worden opgeslagen en lang genoeg worden bewaard om hun doel te kunnen dienen. Het heeft weinig zin om logs maar een week te bewaren als je pas na een maand ontdekt dat er iets mis is gegaan.

Het regelmatig testen van je procedures is geen luxe maar een noodzaak. Alleen door regelmatig te oefenen, ontdek je of je procedures werkbaar zijn en of iedereen weet wat er van hen wordt verwacht. Zorg er daarom voor dat al je medewerkers goed zijn geïnstrueerd over wat ze moeten doen als ze een beveiligingsincident ontdekken.

Tot slot is het van groot belang om alle aspecten van incidentbeheer goed te documenteren voor latere analyse. Deze documentatie helpt niet alleen bij het verbeteren van je procedures, maar kan ook cruciaal zijn als je moet aantonen dat je zorgvuldig met beveiligingsincidenten omgaat.

Passende beveiliging

2024-12-02T08:32:56Z

Editor 7: /* Tips voor effectief incidentbeheer */

In de AVG is in artikel 32 opgenomen dat iedere organisatie verplicht is 'passende technische en organisatorische maatregelen' te nemen om de persoonsgegevens te beveiligen. Dit is van belang voor de bescherming van persoonsgegevens. Wanneer een organisatie [[persoonsgegevens]] [[Verwerking|verwerkt]] is het van belang dat deze gegevens worden beveiligd tegen bijvoorbeeld het hacken van de bestanden. Wat passend is, is afhankelijk van meerdere aspecten: de organisatie, de specifieke verwerking van persoonsgegevens en de kwetsbare onderdelen die zijn geïnventariseerd. Hiervoor is niet een 'one-size-fits-all' plan waarmee iedere organisatie voldoet.

In artikel 32 van de AVG wordt beschreven welke maatregelen dat zijn. Er wordt bijvoorbeeld gesteld dat organisaties een passend beveiligingsniveau moeten hanteren, rekening houdend met:

* de stand van de techniek;
* de kosten;
* de aard, de omvang, de context en het doel van de verwerking.

Eigenlijk is het de bedoeling dat een organisatie de balans vindt tussen enerzijds het risico van de verwerking en anderzijds de maatregelen om voor een goede beveiliging te zorgen. Een organisatie moet niet alleen rekening houden met de technische aspecten van de beveiliging, maar ook met de kosten en de gevoeligheid van de gegevens. Er moet ook kritisch worden nagegaan hoe de organisaties met persoonsgegevens omgaat. De AVG maakt aldus een onderscheid tussen technische en organisatorische maatregelen.

== Technische beveiligingsmaatregelen ==
Voorbeelden van technische beveiligingsmaatregelen:

* 2FA (twee-factor-authenticatie). Dit houdt in dat naast het invoeren van een wachtwoord nog een extra verificatie nodig is om in te loggen op bijvoorbeeld een systeem, zoals een verificatiecode of het tonen van een personeelspas.
* Gegevens versleutelen (encryptie).
* Hashing gebruiken als methode om persoonsgegevens te pseudonimiseren.
* Veilige wachtwoordpraktijken. Dit houdt onder meer in dat er eisen worden gesteld aan de lengte van een wachtwoord, dat de wachtwoorden periodiek gewijzigd dienen te worden en dat er gebruik wordt gemaakt van een veilige password manager.
* Logische en fysieke (toegangs)beveiliging en beveiliging van apparatuur. Denk niet alleen aan kluizen en portiers, maar ook aan firewalls, autorisatie en accounts koppelen aan specifieke personen.
* Technisch beheer van de autorisaties en het bijhouden van logbestanden.
* Beheer van technische kwetsbaarheden ('patch management').
* Software up-to-date houden, zoals browsers, virusscanners en besturingssystemen.
* Back-ups maken waarmee u de beschikbaarheid en de toegang tot de persoonsgegevens tijdig kunt herstellen. Overweeg of u dubbele systemen nodig heeft, zodat het geheel goed blijft functioneren wanneer een onderdeel uitvalt.
* Verouderde gegevens automatisch verwijderen.

=== Encryptie ===
De AVG benadrukt in artikel 32 het belang van encryptie als potentiële beveiligingsmaatregel. Encryptie, ook wel versleuteling genoemd, is een techniek die '''geheimhouding''' van persoonsgegevens garandeert door ze onleesbaar te maken voor onbevoegden. Deze techniek is essentieel voor het waarborgen van de '''vertrouwelijkheid''' van gegevens tijdens opslag en verzending. Het hart van encryptie is de '''sleutel''' - een unieke code die bepaalt hoe gegevens worden versleuteld en ontsleuteld. Hierbij wordt een onderscheid gemaakt tussen asymmetrische en symmetrische encryptie:
# '''Asymmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van twee verschillende sleutels:
#* Eén openbare sleutel voor versleuteling
#* Eén privé sleutel voor ontsleuteling. Alleen de bezitter van deze privé sleutel kan de informatie ontcijferen.
# '''Symmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van één sleutel voor zowel versleuteling als ontsleuteling. Deze sleutel moet veilig gedeeld worden tussen zender en ontvanger.

In beide gevallen is het van belang een veilige methode te gebruiken voor het uitwisselen van sleutels tussen partijen. Ook is het voor beide methoden van belang dat de sleutel regelmatig wordt bijgewerkt om effectief te blijven. De sleutel dient namelijk de levensduur van de versleutelde gegevens te overleven. Dit betekent dat wat nu als veilig wordt beschouwd, binnen een paar jaar kwetsbaar kan worden. De toenemende rekenkracht van computers vereist steeds sterkere en intelligentere vormen van encryptie. Met goed versleutelde data werken kan in geval van een inbreuk in verband met persoonsgegevens (een [[Datalekken|datalek]]) de impact voor de verwerkingsverantwoordelijke en betrokkenen beperken en mogelijke schade minimaliseren.

== Organisatorische beveiligingsmaatregelen ==
Voorbeelden van organisatorische beveiligingsmaatregelen:

* Mensen verantwoordelijkheden toewijzen voor informatiebeveiliging.
* Beveiligingsbewustzijn vergroten bij bestaande en nieuwe medewerkers.
* Procedures opstellen om op gezette tijdstippen de beveiligingsmaatregelen te testen, te beoordelen, te evalueren eventueel aan te scherpen.
* Regelmatig de logbestanden controleren.
* Een protocol opstellen voor de afhandeling van datalekken en beveiligingsincidenten.
* Geheimhoudingsovereenkomsten en verwerkersovereenkomsten afsluiten.
* Regelmatig beoordelen of u dezelfde doelen kunt behalen met minder persoonsgegevens.
* Minder mensen in uw organisatie toegang geven tot persoonsgegevens.
* Per verwerking het besluitvormingsproces en de achterliggende overwegingen vastleggen.

== Fysieke beveiligingsmaatregelen ==
Fysieke beveiligingsmaatregelen zijn alle maatregelen die je neemt om te voorkomen dat onbevoegden fysieke toegang krijgen tot ruimtes waar persoonsgegevens worden verwerkt of bewaard. Net zoals je je huis beschermt met sloten en een alarm, moet je ook werkplekken waar met privacygevoelige informatie wordt gewerkt goed beveiligen. In de praktijk worden deze verschillende beveiligingsmethoden vaak gecombineerd. Dit wordt meerfactorauthenticatie genoemd. Je kunt bijvoorbeeld een toegangspas combineren met een code, of een vingerafdruk met een toegangspas. Deze aanpak zorgt ervoor dat zelfs als één vorm van beveiliging wordt omzeild, de ruimte nog steeds beveiligd blijft door de tweede verificatiemethode.

=== Toegangspassen ===
Toegangspassen zijn een van de meest gebruikte methoden om toegang tot gebouwen en ruimtes te controleren. Ze werken met speciale technologie die het mogelijk maakt om bij te houden wie wanneer waar naar binnen gaat. Met een toegangspassysteem kunnen organisaties verschillende toegangsniveaus instellen voor verschillende medewerkers. Zo krijgt niet iedereen toegang tot dezelfde ruimtes, maar alleen tot die ruimtes die nodig zijn voor het werk.

Een groot voordeel van toegangspassen is de flexibiliteit in beheer. Als een pas kwijtraakt of wordt gestolen, kan deze direct worden geblokkeerd. Ook is het mogelijk om de toegangsrechten aan te passen als iemand van functie verandert. Het systeem houdt bovendien automatisch bij wie wanneer welke ruimtes heeft bezocht, wat handig is voor beveiligingscontroles en in het geval van incidenten.

=== Biometrische toegangscontrole ===
Vingerafdrukherkenning is een vorm van biometrische toegangscontrole die steeds vaker wordt toegepast. Deze technologie gebruikt unieke kenmerken van iemands vingerafdruk om toegang te verlenen. Het grote voordeel hiervan is dat een vingerafdruk niet kan worden uitgeleend of doorgegeven aan anderen, zoals dat wel kan met een toegangspas of code.

Het gebruik van vingerafdrukken brengt echter ook uitdagingen met zich mee. Omdat een vingerafdruk een bijzonder persoonsgegeven is, moet de opslag en verwerking ervan extra goed worden beveiligd. Ook is het belangrijk om te bedenken dat als een vingerafdruk wordt gekopieerd, deze niet kan worden veranderd zoals een wachtwoord. Bovendien werkt het systeem niet altijd even goed bij mensen met verwonde of versleten vingers, bijvoorbeeld bij mensen die veel handwerk doen.

=== Toegangscode ===
Een toegangscode is een van de oudste maar nog steeds veel gebruikte beveiligingsmethoden. Het werkt met een combinatie van cijfers of letters die toegang geeft tot beveiligde ruimtes. Voor een effectieve beveiliging met toegangscodes is het belangrijk dat deze regelmatig worden veranderd en dat ze lang genoeg zijn - minimaal zes cijfers is tegenwoordig de standaard.

Bij het gebruik van toegangscodes is het belangrijk dat medewerkers begrijpen dat ze de codes niet mogen delen met anderen en dat ze geen voor de hand liggende combinaties mogen gebruiken. Ook moet er een duidelijk proces zijn voor het wijzigen van codes, vooral als er personeelswisselingen zijn.

== Beheer van beveiligingsincidenten ==
Het beheer van beveiligingsincidenten is het geheel van processen en maatregelen dat ervoor zorgt dat een organisatie beveiligingsproblemen kan voorkomen, ontdekken en oplossen. Het is te vergelijken met een beveiligingssysteem in een gebouw: je wilt inbraak voorkomen, maar als er toch iets gebeurt, wil je het snel ontdekken en kunnen ingrijpen.

=== Monitoring ===
Monitoring is het continue proces van het in de gaten houden van systemen en netwerken om afwijkingen en mogelijke beveiligingsincidenten te ontdekken. Het is als een bewakingscamera die voortdurend kijkt of er iets ongewoons gebeurt.

Bij monitoring kun je kijken naar verschillende aspecten:

* Netwerkverkeer: wie maakt verbinding met welke systemen?
* Systeemgebruik: welke programma's worden gebruikt en door wie?
* Toegangspogingen: wie probeert in te loggen en waar?
* Dataverkeer: welke gegevens worden verplaatst of gekopieerd?

Door goede monitoring kun je:

* Verdachte activiteiten vroeg ontdekken
* Patronen herkennen die op problemen kunnen wijzen
* Snel ingrijpen bij beveiligingsincidenten
* Bewijs verzamelen als er iets is misgegaan

=== Logging ===
Logging is het vastleggen van gebeurtenissen in systemen en netwerken. Het is als een logboek waarin wordt bijgehouden wat er gebeurt. Deze informatie is essentieel om later te kunnen achterhalen wat er precies is voorgevallen.

Een goede logging legt vast:

* Wie heeft ingelogd en wanneer
* Welke acties zijn uitgevoerd
* Welke systemen zijn gebruikt
* Welke bestanden zijn geopend of gewijzigd
* Wanneer er foutmeldingen of waarschuwingen waren

Om logging effectief te maken moet deze:

* Voldoende detail bevatten om gebeurtenissen te kunnen reconstrueren
* Veilig worden opgeslagen zodat logs niet kunnen worden aangepast
* Lang genoeg worden bewaard om onderzoek mogelijk te maken
* Regelmatig worden gecontroleerd op afwijkingen

=== Incidentbeheer ===
Incidentbeheer beschrijft hoe je omgaat met beveiligingsincidenten als ze zich voordoen. Het is een gestructureerd proces dat ervoor zorgt dat incidenten snel en effectief worden aangepakt.

Een voorbeeld van het proces van incidentbeheer ziet er als volgt uit:

==== 1. Voorbereiding ====

* Maak een plan voor verschillende soorten incidenten
* Stel een incidentresponsteam samen
* Zorg dat iedereen weet wat te doen
* Test regelmatig de procedures

==== 2. Detectie en analyse ====

* Ontdek het incident via monitoring of meldingen
* Bepaal wat er aan de hand is
* Schat de ernst en impact in
* Verzamel bewijs via logs

==== 3. Beperking en bestrijding ====

* Neem maatregelen om schade te beperken
* Isoleer getroffen systemen indien nodig
* Voorkom verdere verspreiding
* Documenteer alle acties

==== 4. Herstel ====

* Breng systemen terug naar normale werking
* Controleer of alles weer veilig is
* Herstel eventueel verloren gegevens
* Test of alles weer goed werkt

==== 5. Evaluatie en verbetering ====

* Analyseer wat er is gebeurd
* Leer van het incident
* Pas procedures aan waar nodig
* Deel leerpunten binnen de organisatie

==== Tips voor effectief incidentbeheer ====
Voor een effectief beheer van beveiligingsincidenten is het essentieel om een aantal basisprincipes te volgen. Allereerst moet je zorgen voor duidelijke procedures die voor iedereen in de organisatie bekend en begrijpelijk zijn. Het is daarbij belangrijk om één persoon of team eindverantwoordelijk te maken voor het afhandelen van incidenten. Deze duidelijke toewijzing van verantwoordelijkheid voorkomt verwarring en zorgt voor snelle besluitvorming als er iets misgaat.
Tijdens een incident is het cruciaal om alle genomen stappen zorgvuldig te documenteren. Deze documentatie is niet alleen belangrijk voor het incident zelf, maar helpt ook bij toekomstige incidenten en bij het verbeteren van je procedures. Ook is het verstandig om je incidentresponsprocedures regelmatig te testen. Net zoals je bij een brandoefening test of iedereen weet wat te doen, moet je ook regelmatig oefenen met het afhandelen van beveiligingsincidenten. Door elk incident grondig te evalueren, kun je belangrijke lessen trekken en je procedures steeds verder verbeteren.

==== Let op! ====
Bij het inrichten van je incidentbeheer zijn er enkele cruciale aandachtspunten die je niet mag vergeten. Het is belangrijk dat je monitoring- en loggingactiviteiten volledig voldoen aan de privacywetgeving. Je mag niet meer gegevens verzamelen of langer bewaren dan strikt noodzakelijk is voor het beveiligingsdoel.

De logs die je verzamelt moeten op een veilige manier worden opgeslagen en lang genoeg worden bewaard om hun doel te kunnen dienen. Het heeft weinig zin om logs maar een week te bewaren als je pas na een maand ontdekt dat er iets mis is gegaan.

Het regelmatig testen van je procedures is geen luxe maar een noodzaak. Alleen door regelmatig te oefenen, ontdek je of je procedures werkbaar zijn en of iedereen weet wat er van hen wordt verwacht. Zorg er daarom voor dat al je medewerkers goed zijn geïnstrueerd over wat ze moeten doen als ze een beveiligingsincident ontdekken.

Tot slot is het van groot belang om alle aspecten van incidentbeheer goed te documenteren voor latere analyse. Deze documentatie helpt niet alleen bij het verbeteren van je procedures, maar kan ook cruciaal zijn als je moet aantonen dat je zorgvuldig met beveiligingsincidenten omgaat.

Passende beveiliging

2024-12-02T08:32:46Z

Editor 7:

In de AVG is in artikel 32 opgenomen dat iedere organisatie verplicht is 'passende technische en organisatorische maatregelen' te nemen om de persoonsgegevens te beveiligen. Dit is van belang voor de bescherming van persoonsgegevens. Wanneer een organisatie [[persoonsgegevens]] [[Verwerking|verwerkt]] is het van belang dat deze gegevens worden beveiligd tegen bijvoorbeeld het hacken van de bestanden. Wat passend is, is afhankelijk van meerdere aspecten: de organisatie, de specifieke verwerking van persoonsgegevens en de kwetsbare onderdelen die zijn geïnventariseerd. Hiervoor is niet een 'one-size-fits-all' plan waarmee iedere organisatie voldoet.

In artikel 32 van de AVG wordt beschreven welke maatregelen dat zijn. Er wordt bijvoorbeeld gesteld dat organisaties een passend beveiligingsniveau moeten hanteren, rekening houdend met:

* de stand van de techniek;
* de kosten;
* de aard, de omvang, de context en het doel van de verwerking.

Eigenlijk is het de bedoeling dat een organisatie de balans vindt tussen enerzijds het risico van de verwerking en anderzijds de maatregelen om voor een goede beveiliging te zorgen. Een organisatie moet niet alleen rekening houden met de technische aspecten van de beveiliging, maar ook met de kosten en de gevoeligheid van de gegevens. Er moet ook kritisch worden nagegaan hoe de organisaties met persoonsgegevens omgaat. De AVG maakt aldus een onderscheid tussen technische en organisatorische maatregelen.

== Technische beveiligingsmaatregelen ==
Voorbeelden van technische beveiligingsmaatregelen:

* 2FA (twee-factor-authenticatie). Dit houdt in dat naast het invoeren van een wachtwoord nog een extra verificatie nodig is om in te loggen op bijvoorbeeld een systeem, zoals een verificatiecode of het tonen van een personeelspas.
* Gegevens versleutelen (encryptie).
* Hashing gebruiken als methode om persoonsgegevens te pseudonimiseren.
* Veilige wachtwoordpraktijken. Dit houdt onder meer in dat er eisen worden gesteld aan de lengte van een wachtwoord, dat de wachtwoorden periodiek gewijzigd dienen te worden en dat er gebruik wordt gemaakt van een veilige password manager.
* Logische en fysieke (toegangs)beveiliging en beveiliging van apparatuur. Denk niet alleen aan kluizen en portiers, maar ook aan firewalls, autorisatie en accounts koppelen aan specifieke personen.
* Technisch beheer van de autorisaties en het bijhouden van logbestanden.
* Beheer van technische kwetsbaarheden ('patch management').
* Software up-to-date houden, zoals browsers, virusscanners en besturingssystemen.
* Back-ups maken waarmee u de beschikbaarheid en de toegang tot de persoonsgegevens tijdig kunt herstellen. Overweeg of u dubbele systemen nodig heeft, zodat het geheel goed blijft functioneren wanneer een onderdeel uitvalt.
* Verouderde gegevens automatisch verwijderen.

=== Encryptie ===
De AVG benadrukt in artikel 32 het belang van encryptie als potentiële beveiligingsmaatregel. Encryptie, ook wel versleuteling genoemd, is een techniek die '''geheimhouding''' van persoonsgegevens garandeert door ze onleesbaar te maken voor onbevoegden. Deze techniek is essentieel voor het waarborgen van de '''vertrouwelijkheid''' van gegevens tijdens opslag en verzending. Het hart van encryptie is de '''sleutel''' - een unieke code die bepaalt hoe gegevens worden versleuteld en ontsleuteld. Hierbij wordt een onderscheid gemaakt tussen asymmetrische en symmetrische encryptie:
# '''Asymmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van twee verschillende sleutels:
#* Eén openbare sleutel voor versleuteling
#* Eén privé sleutel voor ontsleuteling. Alleen de bezitter van deze privé sleutel kan de informatie ontcijferen.
# '''Symmetrische encryptie'''. Deze vorm van encryptie maakt gebruik van één sleutel voor zowel versleuteling als ontsleuteling. Deze sleutel moet veilig gedeeld worden tussen zender en ontvanger.

In beide gevallen is het van belang een veilige methode te gebruiken voor het uitwisselen van sleutels tussen partijen. Ook is het voor beide methoden van belang dat de sleutel regelmatig wordt bijgewerkt om effectief te blijven. De sleutel dient namelijk de levensduur van de versleutelde gegevens te overleven. Dit betekent dat wat nu als veilig wordt beschouwd, binnen een paar jaar kwetsbaar kan worden. De toenemende rekenkracht van computers vereist steeds sterkere en intelligentere vormen van encryptie. Met goed versleutelde data werken kan in geval van een inbreuk in verband met persoonsgegevens (een [[Datalekken|datalek]]) de impact voor de verwerkingsverantwoordelijke en betrokkenen beperken en mogelijke schade minimaliseren.

== Organisatorische beveiligingsmaatregelen ==
Voorbeelden van organisatorische beveiligingsmaatregelen:

* Mensen verantwoordelijkheden toewijzen voor informatiebeveiliging.
* Beveiligingsbewustzijn vergroten bij bestaande en nieuwe medewerkers.
* Procedures opstellen om op gezette tijdstippen de beveiligingsmaatregelen te testen, te beoordelen, te evalueren eventueel aan te scherpen.
* Regelmatig de logbestanden controleren.
* Een protocol opstellen voor de afhandeling van datalekken en beveiligingsincidenten.
* Geheimhoudingsovereenkomsten en verwerkersovereenkomsten afsluiten.
* Regelmatig beoordelen of u dezelfde doelen kunt behalen met minder persoonsgegevens.
* Minder mensen in uw organisatie toegang geven tot persoonsgegevens.
* Per verwerking het besluitvormingsproces en de achterliggende overwegingen vastleggen.

== Fysieke beveiligingsmaatregelen ==
Fysieke beveiligingsmaatregelen zijn alle maatregelen die je neemt om te voorkomen dat onbevoegden fysieke toegang krijgen tot ruimtes waar persoonsgegevens worden verwerkt of bewaard. Net zoals je je huis beschermt met sloten en een alarm, moet je ook werkplekken waar met privacygevoelige informatie wordt gewerkt goed beveiligen. In de praktijk worden deze verschillende beveiligingsmethoden vaak gecombineerd. Dit wordt meerfactorauthenticatie genoemd. Je kunt bijvoorbeeld een toegangspas combineren met een code, of een vingerafdruk met een toegangspas. Deze aanpak zorgt ervoor dat zelfs als één vorm van beveiliging wordt omzeild, de ruimte nog steeds beveiligd blijft door de tweede verificatiemethode.

=== Toegangspassen ===
Toegangspassen zijn een van de meest gebruikte methoden om toegang tot gebouwen en ruimtes te controleren. Ze werken met speciale technologie die het mogelijk maakt om bij te houden wie wanneer waar naar binnen gaat. Met een toegangspassysteem kunnen organisaties verschillende toegangsniveaus instellen voor verschillende medewerkers. Zo krijgt niet iedereen toegang tot dezelfde ruimtes, maar alleen tot die ruimtes die nodig zijn voor het werk.

Een groot voordeel van toegangspassen is de flexibiliteit in beheer. Als een pas kwijtraakt of wordt gestolen, kan deze direct worden geblokkeerd. Ook is het mogelijk om de toegangsrechten aan te passen als iemand van functie verandert. Het systeem houdt bovendien automatisch bij wie wanneer welke ruimtes heeft bezocht, wat handig is voor beveiligingscontroles en in het geval van incidenten.

=== Biometrische toegangscontrole ===
Vingerafdrukherkenning is een vorm van biometrische toegangscontrole die steeds vaker wordt toegepast. Deze technologie gebruikt unieke kenmerken van iemands vingerafdruk om toegang te verlenen. Het grote voordeel hiervan is dat een vingerafdruk niet kan worden uitgeleend of doorgegeven aan anderen, zoals dat wel kan met een toegangspas of code.

Het gebruik van vingerafdrukken brengt echter ook uitdagingen met zich mee. Omdat een vingerafdruk een bijzonder persoonsgegeven is, moet de opslag en verwerking ervan extra goed worden beveiligd. Ook is het belangrijk om te bedenken dat als een vingerafdruk wordt gekopieerd, deze niet kan worden veranderd zoals een wachtwoord. Bovendien werkt het systeem niet altijd even goed bij mensen met verwonde of versleten vingers, bijvoorbeeld bij mensen die veel handwerk doen.

=== Toegangscode ===
Een toegangscode is een van de oudste maar nog steeds veel gebruikte beveiligingsmethoden. Het werkt met een combinatie van cijfers of letters die toegang geeft tot beveiligde ruimtes. Voor een effectieve beveiliging met toegangscodes is het belangrijk dat deze regelmatig worden veranderd en dat ze lang genoeg zijn - minimaal zes cijfers is tegenwoordig de standaard.

Bij het gebruik van toegangscodes is het belangrijk dat medewerkers begrijpen dat ze de codes niet mogen delen met anderen en dat ze geen voor de hand liggende combinaties mogen gebruiken. Ook moet er een duidelijk proces zijn voor het wijzigen van codes, vooral als er personeelswisselingen zijn.

== Beheer van beveiligingsincidenten ==
Het beheer van beveiligingsincidenten is het geheel van processen en maatregelen dat ervoor zorgt dat een organisatie beveiligingsproblemen kan voorkomen, ontdekken en oplossen. Het is te vergelijken met een beveiligingssysteem in een gebouw: je wilt inbraak voorkomen, maar als er toch iets gebeurt, wil je het snel ontdekken en kunnen ingrijpen.

=== Monitoring ===
Monitoring is het continue proces van het in de gaten houden van systemen en netwerken om afwijkingen en mogelijke beveiligingsincidenten te ontdekken. Het is als een bewakingscamera die voortdurend kijkt of er iets ongewoons gebeurt.

Bij monitoring kun je kijken naar verschillende aspecten:

* Netwerkverkeer: wie maakt verbinding met welke systemen?
* Systeemgebruik: welke programma's worden gebruikt en door wie?
* Toegangspogingen: wie probeert in te loggen en waar?
* Dataverkeer: welke gegevens worden verplaatst of gekopieerd?

Door goede monitoring kun je:

* Verdachte activiteiten vroeg ontdekken
* Patronen herkennen die op problemen kunnen wijzen
* Snel ingrijpen bij beveiligingsincidenten
* Bewijs verzamelen als er iets is misgegaan

=== Logging ===
Logging is het vastleggen van gebeurtenissen in systemen en netwerken. Het is als een logboek waarin wordt bijgehouden wat er gebeurt. Deze informatie is essentieel om later te kunnen achterhalen wat er precies is voorgevallen.

Een goede logging legt vast:

* Wie heeft ingelogd en wanneer
* Welke acties zijn uitgevoerd
* Welke systemen zijn gebruikt
* Welke bestanden zijn geopend of gewijzigd
* Wanneer er foutmeldingen of waarschuwingen waren

Om logging effectief te maken moet deze:

* Voldoende detail bevatten om gebeurtenissen te kunnen reconstrueren
* Veilig worden opgeslagen zodat logs niet kunnen worden aangepast
* Lang genoeg worden bewaard om onderzoek mogelijk te maken
* Regelmatig worden gecontroleerd op afwijkingen

=== Incidentbeheer ===
Incidentbeheer beschrijft hoe je omgaat met beveiligingsincidenten als ze zich voordoen. Het is een gestructureerd proces dat ervoor zorgt dat incidenten snel en effectief worden aangepakt.

Een voorbeeld van het proces van incidentbeheer ziet er als volgt uit:

==== 1. Voorbereiding ====

* Maak een plan voor verschillende soorten incidenten
* Stel een incidentresponsteam samen
* Zorg dat iedereen weet wat te doen
* Test regelmatig de procedures

==== 2. Detectie en analyse ====

* Ontdek het incident via monitoring of meldingen
* Bepaal wat er aan de hand is
* Schat de ernst en impact in
* Verzamel bewijs via logs

==== 3. Beperking en bestrijding ====

* Neem maatregelen om schade te beperken
* Isoleer getroffen systemen indien nodig
* Voorkom verdere verspreiding
* Documenteer alle acties

==== 4. Herstel ====

* Breng systemen terug naar normale werking
* Controleer of alles weer veilig is
* Herstel eventueel verloren gegevens
* Test of alles weer goed werkt

==== 5. Evaluatie en verbetering ====

* Analyseer wat er is gebeurd
* Leer van het incident
* Pas procedures aan waar nodig
* Deel leerpunten binnen de organisatie

==== '''Tips voor effectief incidentbeheer''' ====
Voor een effectief beheer van beveiligingsincidenten is het essentieel om een aantal basisprincipes te volgen. Allereerst moet je zorgen voor duidelijke procedures die voor iedereen in de organisatie bekend en begrijpelijk zijn. Het is daarbij belangrijk om één persoon of team eindverantwoordelijk te maken voor het afhandelen van incidenten. Deze duidelijke toewijzing van verantwoordelijkheid voorkomt verwarring en zorgt voor snelle besluitvorming als er iets misgaat.
Tijdens een incident is het cruciaal om alle genomen stappen zorgvuldig te documenteren. Deze documentatie is niet alleen belangrijk voor het incident zelf, maar helpt ook bij toekomstige incidenten en bij het verbeteren van je procedures. Ook is het verstandig om je incidentresponsprocedures regelmatig te testen. Net zoals je bij een brandoefening test of iedereen weet wat te doen, moet je ook regelmatig oefenen met het afhandelen van beveiligingsincidenten. Door elk incident grondig te evalueren, kun je belangrijke lessen trekken en je procedures steeds verder verbeteren.

==== Let op! ====
Bij het inrichten van je incidentbeheer zijn er enkele cruciale aandachtspunten die je niet mag vergeten. Het is belangrijk dat je monitoring- en loggingactiviteiten volledig voldoen aan de privacywetgeving. Je mag niet meer gegevens verzamelen of langer bewaren dan strikt noodzakelijk is voor het beveiligingsdoel.

De logs die je verzamelt moeten op een veilige manier worden opgeslagen en lang genoeg worden bewaard om hun doel te kunnen dienen. Het heeft weinig zin om logs maar een week te bewaren als je pas na een maand ontdekt dat er iets mis is gegaan.

Het regelmatig testen van je procedures is geen luxe maar een noodzaak. Alleen door regelmatig te oefenen, ontdek je of je procedures werkbaar zijn en of iedereen weet wat er van hen wordt verwacht. Zorg er daarom voor dat al je medewerkers goed zijn geïnstrueerd over wat ze moeten doen als ze een beveiligingsincident ontdekken.

Tot slot is het van groot belang om alle aspecten van incidentbeheer goed te documenteren voor latere analyse. Deze documentatie helpt niet alleen bij het verbeteren van je procedures, maar kan ook cruciaal zijn als je moet aantonen dat je zorgvuldig met beveiligingsincidenten omgaat.

De beginselen bij het verwerken van persoonsgegevens

2024-11-19T17:15:41Z

Editor 7: /* Rechtmatigheid en transparantie */

In onze dynamische digitale omgeving is het van essentieel belang dat we zorgvuldig omgaan met persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) legt zes fundamentele beginselen op, waaraan al onze [[Verwerking|gegevensverwerkingen]] moeten voldoen. Deze principes dienen als leidraad voor elke stap die we nemen en bepalen hoe we [[persoonsgegevens]] behandelen.

De zes fundamentele beginselen zijn: rechtmatigheid en transparantie, welbepaaldheid en duidelijkheid, dataminimalisatie, juistheid, bewaartermijnen en integriteit en veiligheid. Op deze pagina zullen de beginselen nader worden toegelicht.

== Rechtmatigheid en transparantie ==
Het eerste beginsel vereist dat de gegevensverwerking rechtmatig en '''transparant''' is. Praktisch vertaald: het moet netjes en maatschappelijk aanvaard zijn wat we van plan zijn, en we moet er duidelijk over zijn. Dit betekent dus dat wij zo veel mogelijk informatie geven over wat er gebeurt (vermijdt hierbij natuurlijk het vermelden van bedrijfsgeheimen). Ook moeten we een specifieke [[Grondslagen|grondslag]] kunnen aanwijzen, zoals [[Grondslagen#Toestemming|toestemming]], [[Grondslagen#Uitvoering van een overeenkomst|de uitvoering van een overeenkomst]] of een [[Grondslagen#Wettelijke verplichting|wettelijke plicht]]. De uitwerking hiervan in de wet vind je in artikelen 13 en 14 AVG.

'''Wat betekent dit voor jou als medewerker?'''
* Wees transparant en volledig in je communicatie.
* Onderbouw waarom je bepaalde gegevens verwerkt.
* Zorg voor een heldere '''privacyverklaring''' en verwijs hiernaar bij gegevensverzameling.
* Zorg dat de betrokken medewerkers kennis hebben van de rechten omtrent persoonsgegevens en klanten de juiste informatie geven. Uiteraard krijgen zij hiervoor bewustwordingstrainingen op maat, maar help je collega's een handje als je merkt dat de kennis onverhoopt ontbreekt.
'''Praktijkvoorbeeld:'''

Bij het opstarten van een nieuwe marketingcampagne moet je eerst bepalen op welke grondslag je de gegevens mag gebruiken (bijvoorbeeld toestemming) en dit vervolgens duidelijk communiceren naar de klanten.

== Welbepaaldheid en duidelijkheid ==
Dit beginsel vereist dat '''vooraf concrete doelen''' zijn bepaald voor gegevensverwerking en dat deze in '''begrijpelijke taal''' worden gecommuniceerd naar betrokkenen: in het geval van Het Handje veelal klanten, maar denk hierbij ook aan collega's.

'''Wat betekent dit voor jou als medewerker?'''
* Zet een register op waarin je iedere verwerking documenteert. Deel dit register met onze privacyaanspreekpunten. Zij nemen het op in het register van Het Handje.
* Zorg ervoor dat het doel van alle gegevensverzamelingen in het register is opgenomen.
* Benoem ook afgeleide doelen. (Bij 'versturen van nieuwsbrief' kan horen 'doen van marktonderzoek op basis van e-mailadressen in database'.)
* Hanteer eenvoudig en duidelijk taalgebruik (Europees taalniveau B1/B2) in je privacyverklaring.
* Verwijs bij elk inschrijfformulier en andere plekken waar je gegevens verzamelt naar de privacyverklaring.
'''Praktijkvoorbeeld:'''

Dit beginsel vertaalt zich met name naar de '''privacyverklaring''': in klare taal specifiek benoemen wat we gaan doen en waarom (dus niet: “Wij verzamelen gegevens ten behoeve van een geoptimaliseerde gebruikservaring” maar “Wij tonen de producten die je waarschijnlijk het leukst vindt bovenaan”).

== Dataminimalisatie ==
Vanuit de eis van dataminimalisatie mag je '''niet meer gegevens verzamelen of gebruiken dan noodzakelijk''' voor je doelen. Dit vereist dus een kritische blik: waarom vragen wij eigenlijk al deze gegevens, kan het niet een onsje minder zijn? Het credo is dan ook: "Het gaat om ''need to have'', niet om ''nice to have!"''. Alleen gegevens die echt noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld.

Dit principe rust op drie belangrijke pijlers:

# '''Vooraf bepaald doel''': Voordat je start met het verzamelen van gegevens, moet je een duidelijk en legitiem doel hebben vastgesteld. Het is niet toegestaan om gegevens te verzamelen voor eventueel toekomstig gebruik of "voor het geval dat".
# '''Need to have''': Alleen die gegevens die absoluut noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld. Voor elk persoonsgegevens moet je kunnen verantwoorden waarom het onmisbaar is.
# '''Beperkte gegevensverzameling''': De verzameling moet zo beperkt mogelijk blijven. Dit betekent dat je:
#* Regelmatig beoordeelt of je nog steeds alle gegevens nodig hebt
#* Gegevens verwijdert zodra ze niet meer nodig zijn
#* Waar mogelijk kiest voor geanonimiseerde of gepseudonimiseerde gegevens
'''Wat betekent dit voor jou als medewerker?'''
* Benoem bij elke verwerking welke persoonsgegevens je verzamelt en per persoonsgegeven waarom dit nodig en onmisbaar is voor die verwerking.
* Benoem bij elke stap in een verwerkingsproces welke persoonsgegevens hier kunnen worden verwijderd of geanonimiseerd.
'''Let op''': je beoordeelt de noodzakelijkheid van de verwerking van persoonsgegevens altijd voorafgaand aan de verwerking. Je moet dus vooraf weten of er überhaupt een '''doel''' is voor de verwerking van die specifieke persoonsgegevens. En zo ja, of dan al die persoonsgegevens nodig zijn voor dat doel. Het verzamelen van gegevens omdat je hier mogelijk ooit een doel aan kunt koppelen is dus een echte ''no go'' binnen Het Handje!

'''Praktijkvoorbeeld:'''

Bij het organiseren van een evenement komt een heleboel registratie kijken. Hierbij is het erg belangrijk om rekening te houden met het beginsel van dataminimalisatie. Welke data heb je nou echt nodig? Nadat je deze vraag hebt gesteld, kan het zo zijn dat de '''need to haves''' bijvoorbeeld alleen maar de namen, e-mailadressen en dieetwensen van aanwezigen zijn. De '''nice to haves''' zoals geboortedatum, hobby's en privé telefoonnummers mag je dan niet verzamelen.

== Juistheid ==
Dit beginsel vereist dat persoonsgegevens correct zijn en ook blijven. De eis van juistheid is ook relevant bij het bewaren van persoonsgegevens. Immers, hoe ouder persoonsgegevens zijn hoe groter de kans dat ze verouderd of irrelevant worden. Het zal dus nodig zijn om te rechtvaardigen dat je gegevens langdurig bewaart.

'''Wat betekent dit voor jou als medewerker?'''
* Zorg voor validatie van nieuw ontvangen gegevens, zoals een controle of postcode en straatnaam wel bij elkaar horen.
* Controleer periodiek of steekproefsgewijs of gegevens nog kloppen.
* Bied mensen de mogelijkheid zelf hun gegevens te controleren, stuur ze bijvoorbeeld periodiek een overzicht of nodig ze uit in te loggen om de gegevens na te lopen.
* Zorg dat bij processen met lange bewaartermijnen een periodieke controle op juistheid wordt uitgevoerd. (Personeelsgegevens, maar ook studentengegevens worden jaarlijks gecontroleerd binnen Het Handje.)
'''Praktijkvoorbeeld'''

Dit doen Het Handje bijvoorbeeld door de laatste 4 cijfers van iemands IBAN te delen in de betalingsherinnering wanneer een incasso binnen ons Membershipprogramma is mislukt. Op die manier laten we de ontvanger van de betalingsherinnering controleren of er misschien verouderde gegevens gehanteerd worden door ons.

== Bewaartermijnen ==
Dit beginsel vereist dat persoonsgegevens '''niet langer mogen worden bewaard dan noodzakelijk''' voor het doel waarvoor ze zijn verzameld. Dit betekent dat je moet vaststellen hoe lang je gegevens nodig hebt, en dat je ook daadwerkelijk de gegevens daarna verwijdert. Het is niet genoeg om te wachten tot mensen een verzoek tot verwijdering indienen of te stellen dat je zaken in de toekomst wellicht nog nodig hebt en ze daarom voor de zekerheid bewaart. Kort gezegd: gegevens moeten weg tenzij je ze nog echt nodig hebt.

'''Wat betekent dit voor jou als medewerker?'''
* Ga na welke bewaartermijn je nodig hebt voor welke gegevens en documenteer ook dit.
* Zorg dat je gegevens ook daadwerkelijk verwijdert als ze niet meer nodig zijn.
'''Let op:''' niet alle bewaartermijnen worden door onszelf bepaald. Sommige bewaartermijnen liggen besloten in een bepaalde wet (denk aan een bewaartermijn die voorkomt uit een bewaarplicht voor de Belastingdienst bij facturatiegegevens).

== Integriteit en Veiligheid ==
Als laatste eisen de beginselen van integriteit en veiligheid dat gegevens [[Passende beveiliging|adequaat beveiligd]] moeten zijn, waarmee wordt geborgd dat deze niet zomaar kunnen lekken of worden gebruikt voor niet-toegestane doeleinden. Samenhangend hiermee zijn de eisen van '''privacy by design''' en '''privacy by default'''. Dit gaat niet alleen over beveiliging tegen hacken, maar ook over borgen van geautoriseerd gebruik, kunnen zien wat er gebeurt en voorkomen dat gegevens worden aangetast of gewist terwijl dat niet de bedoeling is.

'''Wat betekenen de eisen van integriteit en veiligheid betekenen voor jou als medewerker?'''
* Implementeer beveiligingsbeleid om toegang tot persoonsgegevens aan banden te leggen.
* Implementeer logging waarmee je kunt zien wie wat doet met persoonsgegevens, in ieder geval voor ongebruikelijke of ongewenste vormen van gebruik.
* Verlang van jouw leveranciers documentatie over privacy by design in hun systemen.
* Verlang van jouw leveranciers dat geleverde systemen volgens privacy by default afgeschermd zijn.

Grondslagen

2024-11-19T17:04:12Z

Editor 7: /* Toestemming */

In de AVG staan zes zogeheten 'grondslagen' - dit zijn redenen waarom een organisatie persoonsgegevens mag verwerken:

* Toestemming
* Uitvoering van een overeenkomst
* Wettelijke verplichting
* Vitale belangen
* Uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag
* Gerechtvaardigd belang

Deze grondslagen vormen de juridische basis voor gegevensverwerking en moeten worden nageleefd om aan de privacywetgeving te voldoen. Organisaties moeten zich op minstens één van deze grondslagen kunnen beroepen om je gegevens te mogen verwerken. Het is van belang op te merken dat organisaties ervoor moeten zorgen dat de grondslag passend en rechtmatig is voor elke specifieke verwerking van persoonsgegevens. Bovendien moeten ze transparant zijn naar betrokkenen over welke grondslag wordt gebruikt en voor welk doel de gegevens worden verwerkt. Dit kan worden opgenomen in de privacyverklaring van de desbetreffende organisatie. Een zorgvuldige afweging van de juiste grondslag is cruciaal om te voldoen aan de vereisten van de AVG en om de privacy van individuen te waarborgen. Hieronder wordt bij elke grondslag kort stilgestaan.

== Toestemming ==
De grondslag toestemming houdt eigenlijk in dat een betrokkene uitdrukkelijk 'ja' heeft gezegd tegen het gebruik van zijn of haar persoonsgegevens. Voor deze toestemming gelden wel een aantal vereisten.

Er zijn vier vereisten om te spreken van een geldige toestemming op grond van de AVG:

* De toestemming moet '''vrijwillig''' gegeven zijn. Dit houdt eigenlijk in dat de toestemming '''in vrijheid''' wordt gegeven, dus zonder dat er enige vorm van druk of negatieve gevolgen aan verbonden zijn indien een betrokkene weigert. Daarnaast mag er geen sprake zijn van een ongelijke machtsverhouding tussen de partijen: het is dus eigenlijk niet de bedoeling dat een werkgever toestemming uitvraagt bij een werknemer voor de verwerking van persoonsgegevens.
* De toestemming moet betrekking hebben op een '''specifiek''' doel van de gegevensverwerking. Het moet dus duidelijk zijn waarvoor iemand toestemming geeft, zodat de betrokkene hierover een weloverwogen beslissing kan nemen.
* De betrokkene moet goed '''geïnformeerd''' worden over alle relevante informatie betrekking tot de verwerking van de persoonsgegevens, zoals: de identiteit van de verwerkingsverantwoordelijke, het doel van de verwerking en de ontvangers van de gegevens.
* De toestemming moet '''ondubbelzinnig''' zijn: er mag geen twijfel bestaan over de vraag of de betrokkene daadwerkelijk heeft ingestemd met de verwerking van zijn of haar persoonsgegevens. Neem bijvoorbeeld de vraag over het al dan niet mogen versturen van een nieuwsbrief: de betrokkene moet hierbij zelf het vakje aanvinken (''''opt-in'''<nowiki/>'). Er mag geen gebruik worden gemaakt van een 'opt-out': in andere woorden, het vakje mag niet al vooraf aangevinkt zijn.
'''Recht op intrekking'''

Toestemming is niet voor eeuwig - mensen hebben altijd het recht om hun toestemming weer in te trekken. Dit recht op intrekking is een belangrijk onderdeel van de AVG en moet aan verschillende eisen voldoen:

* Het intrekken moet net zo makkelijk zijn als het geven van toestemming
* De mogelijkheid tot intrekking moet vooraf duidelijk worden gecommuniceerd
* Na intrekking moet de verwerking van persoonsgegevens direct stoppen.
* Intrekking heeft geen terugwerkende kracht: verwerkingen uit het verleden blijven rechtmatig.

'''Praktijkvoorbeeld:'''

Als iemand zich via één klik kan aanmelden voor een nieuwsbrief, moet uitschrijven ook met één klik kunnen. Het mag niet zo zijn dat iemand voor uitschrijving eerst moet inloggen, een formulier moet invullen en een reden moet opgeven.

== Uitvoering van een overeenkomst ==
Dit is een grondslag die het voor organisaties mogelijk maakt om persoonsgegevens te verwerken wanneer dat noodzakelijk is voor het uitvoeren van een overeenkomst. Het geldt ook voor stappen die genomen (dienen te) worden vóór het sluiten van een overeenkomst. Dit biedt organisaties dus de mogelijkheid om persoonsgegevens te verzamelen en te gebruiken wanneer dat nodig is om te voldoen aan de verplichtingen die voortvloeien uit een overeenkomst '''met de betrokkene'''.

Neem bijvoorbeeld als voorbeeld een situatie waarin je online iets koopt en de winkel het adres nodig heeft om het pakketje te bezorgen. Of als je een hypotheek aanvraagt en de bank bepaalde financiële gegevens nodig heeft om de aanvraag te beoordelen.

== Wettelijke verplichting ==
Deze grondslag houdt verband met verwerkingen die noodzakelijk zijn om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Een voorwaarde hiervan is wel dat deze verplichting moet zijn gebaseerd op Europese en nationale wetgeving en dat de organisatie kan aantonen welke wet deze verwerking vereist. Een voorbeeld hiervan is de verstrekking van gegevens door een organisatie over haar werknemers aan de Belastingdienst.

== Vitale belangen ==
Hierbij gaat het om de noodzaak om de vitale belangen van de betrokkene of van een andere natuurlijk persoon (zoals het kind van een betrokkene) te beschermen. Een vitaal belang raakt aan het leven van die persoon. Het gaat daarbij bijvoorbeeld om het verwerken van medische gegevens bij een ongeval. Het is van belang op te merken dat de verwerking van persoonsgegevens op grond van het vitale belang voor een ander natuurlijke persoon in beginsel alleen is toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Deze grondslag wordt dus eigenlijk alleen gebruikt in noodsituaties.

== Algemeen belang of openbaar gezag ==
De AVG schrijft voor dat een verwerking van persoonsgegevens ook gerechtvaardigd is als deze noodzakelijk is voor een taak van algemeen belang of een taak voor het openbaar gezag. Het algemeen belang wordt verder niet gedefinieerd in de AVG. Het algemeen belang is in ieder geval niet beperkt tot overheidsinstanties. Gezondheidsdoelen zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten worden ook genoemd. Van openbaar gezag is sprake wanneer overheidsinstanties hun bij wet geregelde taak uitvoeren.

== Gerechtvaardigd belang ==
Dit gaat om het gerechtvaardigd belang van de verwerkingsverantwoordelijke. Het is van belang dat hierbij een belangenafweging met de grondrechten van de betrokkene wordt gemaakt. In deze belangenafweging wordt het belang van de verwerkingsverantwoordelijke tegenover de belangen of grondrechten en de fundamentele vrijheden van betrokkene afgewogen. Het is een open norm en de afweging wordt uitgevoerd op basis van alle omstandigheden van het geval. Een belangrijke factor hierbij is in hoeverre de betrokkene redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. Bij deze verwachtingen speelt de verhouding tot de verwerkingsverantwoordelijke een belangrijke rol. Het is van belang dat de verwerkingsverantwoordelijke deze afweging toelicht bij het gebruik van deze grondslag.

Datalekken

2024-11-19T17:01:53Z

Editor 7: /* Wanneer moet Het Handje een datalek melden en aan wie? */

Sinds 25 mei 2018 zitten we met de [[AVG]]. In de AVG wordt het begrip ‘datalekken’ gekoppeld aan een meldplicht voor [[Over de organisatie|Het Handje]] wanneer een datalek plaatsvindt dat ernstig genoeg is. Een organisatie die [[persoonsgegevens]] niet goed beveiligt (en daarmee een risico op datalekken loopt), of een bij haar bekend geworden datalek niet meldt, loopt kans op flinke boetes. Om maar niet te spreken over de mogelijke reputatieschade die het gevolg kan zijn van het onzorgvuldig omgaan met een (mogelijk) datalek. Wat betekent dit nou allemaal voor [[Over de organisatie|Het Handje]]? Hieronder staan we stil bij vragen zoals: wanneer is iets een datalek? Wat doe je als een datalek plaatsvindt en wanneer/hoe moet je melden? En, aan wie eigenlijk?

Wil je meer weten over de concrete stappen die je binnen Het Handje moet nemen wanneer je een datalek hebt gespot of vermoedt? Check dan [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken]]'.

=== Wat is een datalek? ===
In de [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken']] werd de definitie al even toegelicht. Een datalek wordt in de AVG een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging ('''voorbeeld''': het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

==== Beveiligingsincident vs. datalek ====
Een datalek ontstaat dus altijd doordat er een inbreuk op de beveiliging heeft plaatsgevonden. Zo'n inbreuk kan ontstaan doordat er sprake is van een beveiligingslek (denk aan het niet op slot doen van een kast met gevoelige documenten). Leidt een zwakke beveiliging (een beveiligingslek) tot een beveiligingsincident én zijn daar persoonsgegevens bij betrokken (iemand zonder de bevoegdheid opent de kast en neemt documenten met persoonsgegevens mee) dan is er dus sprake van een datalek.

Je kan dus beveiligingsincidenten hebben die geen datalekken zijn, maar je hebt andersom geen datalekken die geen beveiligingsincident zijn.

==== Aard van de inbreuk en aard van het incident ====
De aard van de inbreuk is terug te herleiden tot het type of de aard van het beveiligingsincident dat heeft plaatsgevonden. Hier zijn verschillende type inbreuken mogelijk:

* Een inbreuk op de vertrouwelijkheid
* Een inbreuk op de integriteit
* Een inbreuk op de beschikbaarheid

De aard van de inbreuk volgt uit dus uit de aard van het ''beveiligingsincident''.

* Een inbreuk op de vertrouwelijkheid (inbreuk) kan bijvoorbeeld ontstaan doordat een ''e-mail met informatie verstuurd is aan een verkeerde ontvanger'' (incident).
* Een inbreuk op de integriteit (inbreuk) kan bijvoorbeeld ontstaan doordat er ''een hack plaats heeft gevonden en er informatie in systemen door onbevoegden is gewijzigd'' (incident).
* Een inbreuk op de beschikbaarheid (inbreuk) vindt plaats wanneer er bijvoorbeeld ''brand uitbreekt in een datacenter en informatie verloren gaat'' (incident).

Zoals we hierboven hebben kunnen lezen is er sprake van een datalek wanneer er persoonsgegevens betrokken zijn bij het beveiligingsincident. Bijvoorbeeld wanneer de verstuurde e-mail persoonsgegevens bevatte die onbekend waren voor de ontvanger (en ook zouden moeten zijn), of wanneer er bij de brand in het datacenter persoonsgegevens verloren gaan.

Logischerwijs kan er bij één incident sprake zijn van meerdere inbreuken. Bij een hack waarbij gegevens worden gewijzigd (integriteit) moet de onbevoegde deze gegevens dus ook in kunnen zien (vertrouwelijkheid). Zo zijn er nog meer voorbeelden te bedenken.

=== Wanneer moet Het Handje een datalek melden en aan wie? ===
Zoals we hebben gelezen bestaat een datalek uit een beveiligingsinbreuk waar persoonsgegevens bij betrokken zijn. Organisaties zijn op basis van de AVG verplicht om alle datalekken intern te registreren. Niet alleen leer je hierdoor van incidenten uit het verleden, maar incidenten kunnen zich over de tijd heen ook ontwikkelen wanneer nieuwe informatie naar boven komt. Het is dan goed om alle informatie op één plek te hebben staan. Ook kan een toezichthouder zoals de Nederlandse Autoriteit Persoonsgegevens toegang vragen tot die informatie, die te vinden is in je datalekkenregister.

Wanneer een datalek ook daadwerkelijk een risico met zich meebrengt voor de betrokkene, dan geldt er een '''meldplicht''' en dien je het datalek te melden bij de Autoriteit Persoonsgegevens. Dit is verplicht omdat de Autoriteit op die manier datalekken kan monitoren en in kan grijpen wanneer de meldende partij onvoldoende passende maatregelen neemt t.a.v. het lek, of wanneer het lek blijkt gevaarlijk te zijn voor de betrokkenen.

Is er sprake van een hoog risico? Dan moet je niet alleen aan de Autoriteit Persoonsgegevens melding maken van het datalek, maar zul je ook de betrokkenen moeten informeren over het lek. Bij een hoog risico is dat noodzakelijk omdat betrokkenen moeten weten wat er is gebeurd en hoe ze zich eventueel kunnen beschermen tegen de negatieve gevolgen van het datalek. Een hoog risico ontstaat bijvoorbeeld bij een datalek waar bijzondere persoonsgegevens bij betrokken waren, bij phishing, hacking en ransomware-aanvallen (omdat de gevolgen vaak onduidelijk zijn) en bij incidenten die mogelijk identiteitsdiefstal of discriminatie tot gevolg hebben voor de betrokkenen. Een hoog risico kan echter ook uit andere factoren volgen, zoals de groep tot wie de betrokkenen behoren (leden van bepaalde groepen of minderheden). Risico's moeten daarom per geval ingeschat worden.

In RegiServ word je niet gevraagd om te oordelen over de ernst van het incident en dus hoe hoog het risico is. Daarover beslissen de privacy aanspreekpunten.

=== Voorbeelden recente datalekken ===

== Verder lezen: ==

* [[Wat is een datalek?]]
* [[Wanneer moet Het Handje een datalek melden?]]
* [[Uitleg melden datalek]]
* [[Voorbeelden recente datalekken]]

Rolverdeling verschillende partijen

2024-11-19T16:54:27Z

Editor 7:

Bij het verwerken van persoonsgegevens kunnen verschillende partijen betrokken zijn. Het gaat hierbij om de verwerkingsverantwoordelijke, de verwerker en eventuele subverwerkers. Maar het kan ook gaan om betrokkenen.

== Verwerkingsverantwoordelijke ==
Een '''verwerkingsverantwoordelijke''' is degene die 'de baas is over de persoonsgegevens'. Het is de organisatie die bepaalt waarom persoonsgegevens worden verzameld en wat ermee gebeurt. Dit kan een bedrijf zijn, maar ook een overheidsinstantie of een vereniging.

Denk bijvoorbeeld aan een webwinkel die klantgegevens verzamelt om bestellingen te kunnen leveren. De webwinkel bepaalt welke gegevens ze nodig hebben (zoals naam en adres) en wat ze ermee doen (zoals het versturen van pakketten). De webwinkel is dan de verwerkingsverantwoordelijke.

Als verwerkingsverantwoordelijke heb je belangrijke taken en plichten. Je bent namelijk '''eindverantwoordelijk''' voor een goede omgang met persoonsgegevens. Dit betekent dat je bepaalt:

* Welke persoonsgegevens je verzamelt;
* Waarom je deze gegevens nodig hebt;
* Hoe lang je de gegevens bewaart;
* Wie toegang krijgt tot de gegevens;
* Hoe de gegevens worden beveiligd.

Daarnaast moet je als verwerkingsverantwoordelijke kunnen laten zien dat je de regels uit de AVG volgt. Dit heet de '''verantwoordingsplicht'''. Het betekent dat je onder meer:

* Een privacyverklaring opstelt;
* Aantoont dat een betrokkene daadwerkelijk toestemming heeft gegeven voor een verwerking waar je toestemming voor nodig hebt;
* Een datalekregister bijhoudt;
* Een verwerkingsregister bijhoudt;
* Een Data Protection Impact Assessment (DPIA) uitvoert bij gegevensverwerkingen met een hoog privacyrisico;
* Goed onderbouwt waarom je al dan niet een Functionaris Gegevensbescherming (FG) hebt aangesteld wanneer onduidelijk is of je verplicht bent om een FG aan te stellen.

== Verwerker ==
Een instelling, organisatie of onderzoeker kan ook optreden als '''verwerker.''' Een verwerker verwerkt persoonsgegevens in opdracht van een de verwerkingsverantwoordelijke. Je kunt het vergelijken met een postbode: die bezorgt brieven volgens de instructies van het postbedrijf, maar bepaalt niet zelf wat ermee gebeurt. Het is belangrijk om alle afspraken tussen verwerkingsverantwoordelijke(n) en verwerker(s) of tussen verwerker(s) en subverwerkers vast te leggen in een overeenkomst, zoals in een [[verwerkersovereenkomst]].

Je bent een verwerker als je:

* Persoonsgegevens verwerkt in opdracht van een verwerkingsverantwoordelijke;
* Alleen doet wat de opdrachtgever vraagt;
* De gegevens niet voor eigen doeleinden gebruikt;
* Geen belangrijke beslissingen neemt over het gebruik van de gegevens.

Een voorbeeld van een verwerker is bijvoorbeeld het bedrijf aan wie je personeelsadministratie uitbesteedt. Om als verwerker gekwalificeerd te kunnen worden, zijn er twee criteria waaraan een partij moet voldoen. Allereerst moet de partij een afzonderlijke entiteit zijn ten opzichte van de verwerkingsverantwoordelijke. Daarnaast moet de verwerker persoonsgegevens verwerken ten behoeve van de verwerkingsverantwoordelijke. Dit houdt in dat de verwerker enkel op basis van instructies van de verwerkingsverantwoordelijke mag handelen, waarbij er wel wat ruimte voor de verwerker is om zelf de meest passende technische en organisatorische middelen te kiezen om de gegevens te verwerken. In ieder geval mag de verwerker niet zelf het doel en de middelen van de verwerking vaststellen.

== Subverwerker ==
Een '''subverwerker''' is een partij die door een verwerker wordt ingeschakeld om te helpen bij het verwerken van persoonsgegevens. Je kunt het zien als een onderaannemer: de verwerker besteedt een deel van het werk uit aan een andere partij.

Stel je voor:

# Een school (verwerkingsverantwoordelijke) huurt een administratiekantoor in om de leerlingadministratie te verzorgen
# Het administratiekantoor (verwerker) gebruikt voor de opslag van gegevens een clouddienst
# Die clouddienst is dan de subverwerker

In dit voorbeeld:

* De school bepaalt wat er met de gegevens gebeurt
* Het administratiekantoor voert de opdracht uit
* De clouddienst zorgt alleen voor de opslag

== Betrokkene ==
'''Betrokkenen''' zijn de geïdentificeerde of identificeerbare natuurlijk persoon op wie de verwerkte en/of de te verwerken persoonsgegevens betrekking hebben. Dit zijn bijvoorbeeld klanten, werknemers of websitebezoekers. De AVG heeft mede als doel dat de betrokkenen goed worden beschermd. Om de betrokkene te beschermen zijn er in de AVG een aantal [[Rechten van betrokkenen|rechten]] opgenomen welke de betrokkenen tegen de verwerkingsverantwoordelijken kunnen uitoefenen. Zie voor meer informatie de pagina [[Betrokkenen]].

Rolverdeling verschillende partijen

2024-11-19T16:53:55Z

Editor 7: /* Verwerkingsverantwoordelijke */

Bij het verwerken van persoonsgegevens kunnen verschillende partijen betrokken zijn. Het gaat hierbij om de verwerkingsverantwoordelijke, de verwerker en eventuele subverwerkers. Maar het kan ook gaan om betrokkenen.

== Verwerkingsverantwoordelijke ==
Een '''verwerkingsverantwoordelijke''' is degene die 'de baas is over de persoonsgegevens'. Het is de organisatie die bepaalt waarom persoonsgegevens worden verzameld en wat ermee gebeurt. Dit kan een bedrijf zijn, maar ook een overheidsinstantie of een vereniging.

Denk bijvoorbeeld aan een webwinkel die klantgegevens verzamelt om bestellingen te kunnen leveren. De webwinkel bepaalt welke gegevens ze nodig hebben (zoals naam en adres) en wat ze ermee doen (zoals het versturen van pakketten). De webwinkel is dan de verwerkingsverantwoordelijke.

=== Verantwoordelijkheden ===
Als verwerkingsverantwoordelijke heb je belangrijke taken en plichten. Je bent namelijk eindverantwoordelijk voor een goede omgang met persoonsgegevens. Dit betekent dat je bepaalt:

* Welke persoonsgegevens je verzamelt;
* Waarom je deze gegevens nodig hebt;
* Hoe lang je de gegevens bewaart;
* Wie toegang krijgt tot de gegevens;
* Hoe de gegevens worden beveiligd.

Daarnaast moet je als verwerkingsverantwoordelijke kunnen laten zien dat je de regels uit de AVG volgt. Dit heet de '''verantwoordingsplicht'''. Het betekent dat je onder meer:

* Een privacyverklaring opstelt;
* Aantoont dat een betrokkene daadwerkelijk toestemming heeft gegeven voor een verwerking waar je toestemming voor nodig hebt;
* Een datalekregister bijhoudt;
* Een verwerkingsregister bijhoudt;
* Een Data Protection Impact Assessment (DPIA) uitvoert bij gegevensverwerkingen met een hoog privacyrisico;
* Goed onderbouwt waarom je al dan niet een Functionaris Gegevensbescherming (FG) hebt aangesteld wanneer onduidelijk is of je verplicht bent om een FG aan te stellen.

=== Verwerker ===
Een instelling, organisatie of onderzoeker kan ook optreden als '''verwerker.''' Een verwerker verwerkt persoonsgegevens in opdracht van een de verwerkingsverantwoordelijke. Je kunt het vergelijken met een postbode: die bezorgt brieven volgens de instructies van het postbedrijf, maar bepaalt niet zelf wat ermee gebeurt. Het is belangrijk om alle afspraken tussen verwerkingsverantwoordelijke(n) en verwerker(s) of tussen verwerker(s) en subverwerkers vast te leggen in een overeenkomst, zoals in een [[verwerkersovereenkomst]].

Je bent een verwerker als je:

* Persoonsgegevens verwerkt in opdracht van een verwerkingsverantwoordelijke;
* Alleen doet wat de opdrachtgever vraagt;
* De gegevens niet voor eigen doeleinden gebruikt;
* Geen belangrijke beslissingen neemt over het gebruik van de gegevens.

Een voorbeeld van een verwerker is bijvoorbeeld het bedrijf aan wie je personeelsadministratie uitbesteedt. Om als verwerker gekwalificeerd te kunnen worden, zijn er twee criteria waaraan een partij moet voldoen. Allereerst moet de partij een afzonderlijke entiteit zijn ten opzichte van de verwerkingsverantwoordelijke. Daarnaast moet de verwerker persoonsgegevens verwerken ten behoeve van de verwerkingsverantwoordelijke. Dit houdt in dat de verwerker enkel op basis van instructies van de verwerkingsverantwoordelijke mag handelen, waarbij er wel wat ruimte voor de verwerker is om zelf de meest passende technische en organisatorische middelen te kiezen om de gegevens te verwerken. In ieder geval mag de verwerker niet zelf het doel en de middelen van de verwerking vaststellen.

=== Subverwerker ===
Een '''subverwerker''' is een partij die door een verwerker wordt ingeschakeld om te helpen bij het verwerken van persoonsgegevens. Je kunt het zien als een onderaannemer: de verwerker besteedt een deel van het werk uit aan een andere partij.

Stel je voor:

# Een school (verwerkingsverantwoordelijke) huurt een administratiekantoor in om de leerlingadministratie te verzorgen
# Het administratiekantoor (verwerker) gebruikt voor de opslag van gegevens een clouddienst
# Die clouddienst is dan de subverwerker

In dit voorbeeld:

* De school bepaalt wat er met de gegevens gebeurt
* Het administratiekantoor voert de opdracht uit
* De clouddienst zorgt alleen voor de opslag

=== Betrokkene ===
'''Betrokkenen''' zijn de geïdentificeerde of identificeerbare natuurlijk persoon op wie de verwerkte en/of de te verwerken persoonsgegevens betrekking hebben. Dit zijn bijvoorbeeld klanten, werknemers of websitebezoekers. De AVG heeft mede als doel dat de betrokkenen goed worden beschermd. Om de betrokkene te beschermen zijn er in de AVG een aantal [[Rechten van betrokkenen|rechten]] opgenomen welke de betrokkenen tegen de verwerkingsverantwoordelijken kunnen uitoefenen. Zie voor meer informatie de pagina [[Betrokkenen]].

Persoonsgegevens

2024-11-19T16:28:11Z

Editor 7:

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

'''Voorbeelden van persoonsgegevens''' zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De resultaten van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus '''geen persoonsgegevens''':

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands:

* Ras of etnische afkomst
* Gezondheidsgegevens
* Seksuele voorkeur
* Politieke opvattingen
* Religieuze of levensbeschouwelijke overtuigingen
* Lidmaatschap van een vakbond
* Genetische gegevens
* Biometrische gegevens

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[Passende beveiliging|passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Let op: het is niet altijd direct duidelijk of iets een bijzonder persoonsgegeven is. Neem als voorbeeld een verzuimreden. Of een '''verzuimreden''' een bijzonder persoonsgegeven is, hangt af van de aard van de reden: een griep of gebroken been is een gezondheidsgegeven (en dus een bijzondere persoonsgegeven), maar een bruiloft of verhuizing niet.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende beveiliging|Passende technische en organisatorische maatregelen]].

Persoonsgegevens

2024-11-19T16:23:31Z

Editor 7: /* Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' */

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

'''Voorbeelden van persoonsgegevens''' zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De resultaten van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus '''geen persoonsgegevens''':

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands '''ras''', '''etnische afkomst''', '''politieke opvattingen''', '''lidmaatschap aan een vakbond''', '''religieuze of levensbeschouwelijke overtuigingen''', '''gezondheid''', '''seksuele voorkeur''', '''genetische gegevens''' en '''biometrische gegevens'''.

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[Passende beveiliging|passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Samenvattend zijn bijzondere persoonsgegevens persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Organisaties dienen zich bewust te zijn van de bijzondere status van deze gegevens en de verplichtingen die daarbij horen om de privacy en rechten van betrokkenen te waarborgen.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende beveiliging|Passende technische en organisatorische maatregelen]].

Persoonsgegevens

2024-11-19T16:21:58Z

Editor 7: /* Bijzondere persoonsgegevens */

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

'''Voorbeelden van persoonsgegevens''' zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De resultaten van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus '''geen persoonsgegevens''':

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands ras, '''etnische afkomst''', politieke opvattingen, '''lidmaatschap aan een vakbond''', religieuze of levensbeschouwelijke overtuigingen, '''gezondheid''', seksuele voorkeur, genetische gegevens en biometrische gegevens.

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[Passende beveiliging|passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Samenvattend zijn bijzondere persoonsgegevens persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Organisaties dienen zich bewust te zijn van de bijzondere status van deze gegevens en de verplichtingen die daarbij horen om de privacy en rechten van betrokkenen te waarborgen.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende technische en organisatorische maatregelen]].

Spelregel: beveiligingsmaatregelen

2024-11-19T16:21:34Z

Editor 7: /* Spelregel 1: verantwoord gebruik apparatuur */

== Algemeen ==
In deze spelregels m.b.t. beveiligingsmaatregelen binnen Het Handje wordt een overzicht gegeven van de spelregels waar jij je als medewerker van Het Handje aan dient te houden, om ervoor te zorgen dat de organisatie veilig blijft, alsook de gevoelige informatie die wij verwerken. Denk hierbij aan bedrijfsgevoelige informatie, maar ook persoonsgegevens van onze klanten, medewerkers of studenten. Door deze maatregelen na te leven voorkomen we dreigingen, zoals [[Phishing|phishing en malware]].

Voordat wij kunnen uitleggen hoe wij de gegevens, waarover Het Handje beschikt, beveiligen, is het van belang om eerst duidelijk vast te stellen wat onder het begrip ‘informatiebeveiliging’ wordt verstaan. Onder informatiebeveiliging wordt verstaan: het treffen en onderhouden van een samenhangend pakket aan maatregelen om de vier aspecten beschikbaarheid, integriteit en vertrouwelijkheid en veerkracht van de informatievoorzieningen te garanderen.

In deze definitie wordt verwezen naar beschikbaarheid, integriteit, vertrouwelijkheid en veerkracht. Deze begrippen kunnen als volgt uitgelegd worden:
*'''Beschikbaarheid''': de beschikbaarheid van informatie. Bepalend voor de beschikbaarheid van informatie is de mate waarin beveiligingsmaatregelen ervoor zorgen dat ICT-middelen ongestoord gebruikt kunnen worden.

*'''Integriteit''': het in overeenstemming zijn van informatie met de werkelijkheid. Is informatie juist, volledig en actueel? Dit wordt bepaald door de mate waarin de beveiligingsmaatregelen de juistheid, volledigheid en actualiteit van gegevens, verwerkt in ICT-middelen, waarborgen.
*'''Vertrouwelijkheid''': de mate waarin uitsluitend geautoriseerde personen de bevoegdheid en mogelijkheid hebben om toegang te verkrijgen tot de informatie. Dit al dan niet gereguleerd door (geautomatiseerde) procedures en/of technische maatregelen.
*'''Veerkracht:''' de mate waarin Het Handje over de mogelijkheden beschikt om dreigingen te identificeren, hierop te reageren en te herstellen na een informatiebeveiligingsincident. Om dit te bewerkstelligen kunnen zowel organisatorische als technische maatregelen getroffen worden.
Iedere categorie informatie kent zijn eigen eisen ten aanzien van de hierboven genoemde kwaliteitsaspecten. Sommige informatie is bijvoorbeeld zeer vertrouwelijk (persoonsgegevens van onze klanten), terwijl andere informatie juist is bedoeld om publiekelijk bekend te maken (informatie over lopende collecties van Het Handje). Bepaalde informatie heeft een hoge integriteitseis, terwijl andere informatie niet geverifieerd hoeft te zijn. Hetzelfde geldt voor beschikbaarheid. Voor sommige informatie geldt dat het essentieel is dat deze beschikbaar is, terwijl andere informatie als “aanvullend” of “niet noodzakelijk” kan worden aangemerkt.

Per categorie informatie dient er daarom bepaald te worden in welke mate beschikbaarheid, integriteit, vertrouwelijkheid en veerkracht van belang zijn, om de juiste beveiligingsmaatregelen te kunnen treffen.

'''Let op:''' het volledige informatiebeveiligingsdocument dat ten grondslag ligt aan deze spelregels kan opgevraagd worden bij Pieter Goudsmit. Op deze Wiki-pagina zijn de belangrijkste spelregels op een rij gezet die volgen uit dit document.

== Spelregel 1: verantwoord gebruik apparatuur ==
Gebruik apparatuur verantwoord.

Dit is een brede spelregel maar betekent praktisch dat je:

* '''software alleen installeert als het ''echt'' nodig is''' en bij voorkeur via de website van de ontwikkelaar.
* '''updates dient te installeren.''' Zowel voor individuele programma’s als voor het besturingssysteem.
* '''je laptop dient te vergrendelen''' als je bij je laptop wegloopt.
* '''gebruik maakt van beveiligd mailen'''. Gewone e-mail is te vergelijken met het versturen van een briefkaart - iedereen die de briefkaart onderschept, kan meelezen. Dit is geen probleem voor alledaagse communicatie, maar wel als je gevoelige informatie verstuurt zoals persoonsgegevens.

== Spelregel 2: gebruik van sterke wachtwoorden ==
Een sterk wachtwoordbeleid is essentieel voor de beveiliging van persoonsgegevens. Er zijn drie belangrijke aspecten voor veilig wachtwoordgebruik:

* '''Lengte''': De lengte van een wachtwoord is de belangrijkste factor voor de veiligheid ervan. Een lang wachtwoord is veel moeilijker te kraken dan een kort wachtwoord, zelfs als het korte wachtwoord allerlei speciale tekens bevat. Een veilig wachtwoord bestaat uit minimaal 12 tekens. Hoe langer het wachtwoord, hoe beter. Een handige manier om een lang maar makkelijk te onthouden wachtwoord te maken is door een wachtzin te gebruiken. Bijvoorbeeld: "MijnHondEetGraag3BrokjesPerDag!" Dit wachtwoord is lang genoeg, makkelijk te onthouden, moeilijk te raden en bevat bovendien hoofdletters, kleine letters, cijfers en leestekens.
* '''Periodiek wijzigen''': Ververs je wachtwoorden regelmatig, bijvoorbeeld elke 90 dagen. Dit vermindert het risico dat een gelekt wachtwoord langdurig misbruikt kan worden. Gebruik hierbij nooit eerder gebruikte wachtwoorden en kies ook compleet nieuw en sterk wachtwoord uit (verander dus niet alleen het laatste teken).
* '''Password manager:''' Een password manager (wachtwoordbeheerder) is een beveiligd programma dat je helpt bij het maken en bewaren van sterke wachtwoorden. Het werkt als een digitale kluis waarin al je wachtwoorden veilig worden opgeslagen. Je hoeft zelf nog maar één sterk hoofdwachtwoord te onthouden om toegang te krijgen tot al je andere wachtwoorden. Een password manager genereert doorgaans automatisch sterke en unieke wachtwoorden en slaat deze dan veilig en versleuteld op. Bovendien waarschuwen de meeste password managers je als je een wachtwoord hergebruikt. Het voordeel van deze programma's is dat ze vaak beschikbaar zijn op al je apparaten.

=== Extra veiligheidstips ===

* Gebruik nooit voor de hand liggende wachtwoorden, zoals '1234', je naam of je geboortedatum.
* Zorg er ook altijd voor dat de [[Passende beveiliging|tweestapsverificatie]] aanstaat wanneer de applicatie of het systeem dat je gebruikt dit ondersteunt. Tweestapsverificatie, ook wel 2FA (een vorm van multifactorauthenticatie), is een extra beveiligingsmaatregel. Met tweestapsverificatie heb je niet alleen een wachtwoord nodig om in te loggen, maar zul je bijvoorbeeld ook een code in moeten vullen die afkomstig is uit een bijbehorende authenticatie-app op je telefoon, of een code die je per sms ontvangt op jouw mobiele nummer.
* Controleer regelmatig of je wachtwoorden niet zijn gelekt.
* Maak het hoofdwachtwoord voor de password manager extra sterk en goed onthoudbaar.

'''Let op''': twijfel je over de toereikendheid van jouw wachtwoord? Check dan de app '''Passmate''' en controleer jouw wachtwoord!

== Spelregel 3: vermijd onveilige verbindingen ==
Vermijd onveilige internetverbindingen als je buiten de Campus van Het Handje bent.

Gebruik nooit een onbekend/onbeveiligd/publiek Wifi-netwerk, maar maak buiten de Campus gebruik van je thuisaansluiting of een 4G hotspot.

== Spelregel 4: pas op met externe tools ==
Gebruik geen externe tools behalve de tools die door Het Handje beschikbaar zijn gemaakt. Heb je toch specifieke wensen, neem dan contact op met het privacyaanspreekpunt.

== Spelregel 5: pas op voor phishing (etc.) ==
Wees alert op verdachte e-mails, bijlages en websites. Reageer nooit op verzoeken om wachtwoorden of andere gevoelige gegevens te delen met derden.

Als hippe organisatie in het publieke oog is Het Handje een veel gezocht doelwit voor o.a. phishingmails. Twijfel je over de echtheid van een e-mail of website, open/bezoek deze dan niet.

== Spelregel 6: meld incidenten in RegiServ ==
Meld (mogelijke) incidenten als je denkt dat er iets niet in de haak is via '''RegiServ''', maar geef het ook aan wanneer je (per ongeluk) één van de spelregels niet na hebt kunnen leven. Ook wanneer iets geen [[Datalekken|datalek]] is, maar wel een beveiligingsincident, meld je dit in '''RegiServ'''.

Heb je vragen over deze beveiligingsmaatregelen, of gebruik je zelf nog een aanvullende goede maatregel die mogelijk ook handig is? Neem dan contact op met het privacyaanspreekpunt.

Europese privacywetgeving

2024-11-19T16:18:50Z

Editor 7:

== De geschiedenis van de Nederlandse en Europese privacywetgeving ==
[[Bestand:DALL·E 2024-09-06 19.12.34 - A detailed timeline of European and Dutch privacy legislation history, starting with early data protection laws in the Netherlands and Europe, such as.webp|miniatuur|De geschiedenis van de Nederlandse en Europese privacywetgeving.]]
De [[AVG|Algemene Verordening Gegevensbescherming (AVG)]], of in het Engels de General Data Protection Regulation (GDPR), is een uitgebreide Europese wet die regelt hoe organisaties met jouw [[persoonsgegevens]] moeten omgaan. Maar hoe zijn we bij de AVG gekomen? Hiervoor maken we een reis door de geschiedenis van de Europese privacywetgeving.

=== Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (1981) ===
In 1981 kwam het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens tot stand. Dit is het eerste juridisch bindende internationale instrument op het gebied van gegevensbescherming. Het verdrag bestaat uit 27 artikelen. Het kost weinig moeite om in die 27 artikelen de blauwdruk van de huidige Europese privacywetgeving te herkennen. Het verdrag zorgde er namelijk voor dat:

* Gegevens eerlijk en volgens de wet gebruikt moesten worden;
* Er een duidelijk doel moest zijn voor het gebruik van persoonsgegevens;
* Er niet te veel persoonsgegevens verzameld mochten worden;
* De gegevens juist moesten zijn;
* De gegevens goed beschermd moesten worden;
* Gegevens niet te lang bewaard mochten worden.

Tot slot kregen burgers het recht om informatie te krijgen over het gebruik van hun persoonsgegevens, deze gegevens in te zien en fouten te laten verbeteren.

=== Wet persoonsregistraties (1989) ===
Bij de herziening van de Nederlandse Grondwet in 1983 werd de bescherming van de persoonlijke levenssfeer uitdrukkelijk als een 'klassiek' grondrecht opgenomen. Daarnaast kreeg de wetgever de verplichting opgelegd om regels op te stellen voor de bescherming van persoonsgegevens. De Wet persoonsregistraties (WPR) is daarvan het resultaat. Deze wet trad op 1 juli 1989 in werking, maar inhoudelijk veranderde er eigenlijk niet al te veel.

Nieuw waren de regels over de aanmeldingsplicht. Bedrijven moeten zich voortaan bij de toezichthouder melden als er persoonsgegevens worden verzameld en zij moeten hierbij de registratie bekendmaken en inzage bieden. Publieke organisaties moeten een privacyreglement vaststellen en dit melden bij de toezichthouder. De WPR bracht tevens de Registratiekamer in leven. De Registratiekamer ziet toe op de naleving van de wet. Zij kan een onderzoek instellen en aanbevelingen doen, maar heeft niet de bevoegdheid om sancties op te leggen.

=== Wet bescherming persoonsgegevens (2001) ===
In 1995 ondertekenen de voorzitters van het Europees Parlement een nieuwe richtlijn over de bescherming van burgers in verband met de verwerking van hun persoonsgegevens. De lidstaten werden verplicht om hun wetgevingen te wijzigen binnen de grenzen van deze richtlijn. Nederland implementeert de richtlijn, na een lang wetgevingstraject, in 2001 met de Wet bescherming persoonsgegevens (Wbp). Een aantal definities werd aangepast, enkele inhoudelijke punten zoals de informatieverplichtingen werden aangescherpt, het recht om bezwaar te maken werd geïntroduceerd en de aanmeldingsplicht wordt versoepeld.

De Wbp bracht de functionaris gegevensbescherming (FG) tot leven. De FG heeft tot taak om op onafhankelijke wijze toezicht uit te oefenen op de toepassing van de Wbp binnen een organisatie. De benoeming van een FG is echter niet verplicht. De Registratiekamer veranderde in het College bescherming persoonsgegevens (Cbp). Het Cbp kreeg meer bevoegdheden, zoals de bevoegdheid om nader onderzoek te doen naar verwerkingen met bijzondere risico's en de bevoegdheid om sancties op te leggen aan organisaties. Hier tegenover stond dat de rechtsbescherming tegen beslissingen van het Cbp werd verbeterd. Er kon bezwaar en beroep worden aangetekend tegen beslissingen genomen door het Cbp.

Begin 2016 voegde de wetgever de meldplicht datalekken toe aan de Wbp. De toezichthouder verandert wederom van naam en gaat nu Autoriteit Persoonsgegevens (AP) heten. De AP krijgt meer bevoegdheden en kan nu zelfs boetes opleggen tot €820.000.

=== Algemene verordening gegevensbescherming (2018) ===
In 2016 namen de Europese wetgevers de Verordening de Algemene verordening gegevensbescherming (AVG) aan. De AVG is vanaf '''25 mei 2018''' rechtstreeks van toepassing in de rechtsorde van de lidstaten van de '''Europese Unie'''. Omzetting van deze wet naar nationale wetten is dus niet nodig.

Nieuw in de AVG is vooral de verantwoordingsplicht. Organisaties hoeven gegevensverwerkingen niet meer aan te melden bij de toezichthouder. Wel krijgen zij er flink wat administratielast bij. Zij moeten vanaf nu namelijk kunnen aantonen dat zij aan de nieuwe wet voldoen. Hiervoor moeten zij onder andere een verwerkingsregister hebben, een datalek-register en onder omstandigheden ook een privacybeleid. Wanneer persoonsgegevens worden verwerkt op basis van toestemming moeten zij ook kunnen aantonen dat die toestemming daadwerkelijk is gegeven.

Betrokkenen krijgen er weer een recht bij: het recht op overdraagbaarheid van gegevens. Onder omstandigheden is het aanstellen van een FG voortaan verplicht. Tot slot worden de boetes die door de AP kunnen worden opgelegd weer verhoogd, tot een bedrag van 20 miljoen euro of 4% van de wereldwijde jaaromzet aan toe.

Persoonsgegevens

2024-11-19T16:17:38Z

Editor 7:

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

'''Voorbeelden van persoonsgegevens''' zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De resultaten van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus '''geen persoonsgegevens''':

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands ras, '''etnische afkomst''', politieke opvattingen, '''lidmaatschap aan een vakbond''', religieuze of levensbeschouwelijke overtuigingen, '''gezondheid''', seksuele voorkeur, genetische gegevens en biometrische gegevens.

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Samenvattend zijn bijzondere persoonsgegevens persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Organisaties dienen zich bewust te zijn van de bijzondere status van deze gegevens en de verplichtingen die daarbij horen om de privacy en rechten van betrokkenen te waarborgen.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende technische en organisatorische maatregelen]].

Phishing

2024-11-19T16:11:30Z

Editor 7:

Social engineering is een verzamelnaam voor trucs die cybercriminelen gebruiken om mensen te misleiden. Ze doen zich voor als iemand anders om zo toegang te krijgen tot jouw persoonlijke gegevens of geld. Het gevaarlijke aan social engineering is dat criminelen inspelen op menselijke emoties zoals angst, nieuwsgierigheid of behulpzaamheid.

Criminelen kunnen zich voordoen als:

* Medewerkers van je bank
* Collega's of leidinggevenden
* Helpdesk medewerkers
* Medewerkers van bekende bedrijven (Microsoft, PostNL, etc.)
* Overheidsinstanties

== Vormen van social engineering ==

=== Wat is phishing? ===
Phishing is een vorm van digitale oplichting waarbij criminelen proberen om mensen te verleiden tot het delen van persoonlijke gegevens of het overmaken van geld. Ze doen dit door zich voor te doen als een betrouwbare organisatie, zoals een bank, overheidsinstantie of bekend bedrijf. De naam 'phishing' komt van het Engelse 'fishing' (vissen), omdat criminelen met een lokaas proberen om slachtoffers te 'vangen'. Bij phishing ontvang je meestal een '''e-mail''' die er betrouwbaar uitziet, met daarin een dringend verzoek om actie te ondernemen. Vaak moet je op een link klikken die naar een valse website leidt, waar je vervolgens je gegevens moet invullen. Deze gegevens komen dan direct in handen van de criminelen.

'''Veelvoorkomende phishing-trucs:'''

# Bankfraude
#* Nep e-mails over "verdachte transacties"
#* Verzoeken om in te loggen via een link
#* Waarschuwingen over verlopen passen of accounts
# CEO-fraude
#* E-mails die lijken te komen van je directeur
#* Verzoeken om dringende betalingen
#* Vaak persoonlijk geschreven met details over je organisatie
# '''Inloggegevens'''-phishing
#* Verzoeken om je wachtword te vernieuwen
#* Meldingen over volle mailboxen
#* Waarschuwingen over geblokkeerde accounts

'''Voorbeelden:'''<blockquote>Je krijgt een e-mail die lijkt te komen van je bank. Er staat dat er verdachte activiteit is gezien op je rekening en dat je direct moet inloggen om je rekening te controleren. De link in de mail leidt naar een nepwebsite die sprekend lijkt op die van je bank.

Je ontvangt een e-mail van "de baas" waarin staat dat er met spoed een betaling moet worden gedaan aan een leverancier. Het rekeningnummer is anders dan normaal, maar er wordt benadrukt dat het zeer dringend is.</blockquote>

=== Smishing ===
Smishing is eigenlijk 'phishing via SMS'. De term is een combinatie van 'SMS' en 'phishing'. Bij smishing ontvang je een SMS-bericht dat lijkt te komen van een betrouwbare organisatie. Deze berichten zijn vaak kort en krachtig en spelen in op je nieuwsgierigheid of bezorgdheid. Ze bevatten bijna altijd een link waar je op moet klikken. Criminelen gebruiken smishing vaak om zich voor te doen als pakketbezorgers of banken. De berichten suggereren dat er iets mis is - bijvoorbeeld dat een pakket niet bezorgd kon worden of dat er een probleem is met je bankrekening - en dat je snel actie moet ondernemen. Als je op de link klikt, kom je op een valse website terecht waar criminelen je persoonlijke gegevens of bankgegevens proberen te stelen.

'''Veelvoorkomende smishing-berichten:'''

# Pakketbezorging
#* "Je pakket kan niet bezorgd worden"
#* Kleine bedragen voor "herbezorging"
#* Tracking-links voor nepzendingen
# Bankberichten
#* Waarschuwingen over geblokkeerde rekeningen
#* Verzoeken om je bankapp te updaten
#* Meldingen over verdachte transacties
# Overheidsberichten
#* Nepberichten over toeslagen
#* Valse belasingteruggaven
#* Boetes die direct betaald moeten worden

'''Voorbeelden:'''<blockquote>Je krijgt een SMS: "PostNL: Uw pakket kon niet bezorgd worden. Betaal €1,50 verzendkosten via: [link]". De link leidt naar een nepwebsite waar criminelen je bankgegevens proberen te stelen.

Je ontvangt een SMS: "DigiD: Uw account wordt geblokkeerd. Update nu via [link]". Ze proberen zo je DigiD-gegevens te stelen.</blockquote>

=== Helpdeskfraude ===
Helpdeskfraude, ook wel bekend als 'tech support scam', is een vorm van oplichting waarbij criminelen zich voordoen als medewerkers van een technische helpdesk. Ze '''bellen mensen onverwacht''' op en beweren dat ze van Microsoft, Windows of een andere bekende organisatie zijn. De oplichters vertellen hun slachtoffers dat er een ernstig probleem is met hun computer, zoals een virus of een beveiligingslek. Ze proberen mensen bang te maken door te suggereren dat hun gegevens in gevaar zijn. Vervolgens bieden ze aan om het probleem op te lossen, maar daarvoor moeten ze wel toegang krijgen tot de computer van het slachtoffer. Als ze die toegang krijgen, kunnen ze persoonlijke gegevens stelen, schadelijke software installeren of zelfs je computer vergrendelen en losgeld eisen.

'''Veelvoorkomende scenarios:'''

# Microsoft/Windows support
#* Beweren dat je computer geïnfecteerd is
#* Willen op afstand meekijken
#* Vragen om software te installeren
# Bankmedewerkers
#* Zeggen dat er verdachte transacties zijn
#* Vragen om geld "veilig te stellen"
#* Willen je pincode of inloggegevens
# IT-helpdesk
#* Doen zich voor als interne IT-afdeling
#* Melden problemen met je account
#* Vragen om inloggegevens te verifiëren

'''Voorbeelden:'''<blockquote>Je wordt gebeld door "Microsoft": er zou een virus op je computer zitten. Ze willen je helpen door op afstand in te loggen op je computer. In werkelijkheid willen ze toegang tot je gegevens of software installeren om je computer over te nemen.

Een "bankmedewerker" belt je over verdachte transacties. Ze vragen je om geld over te maken naar een "veilige rekening" of om je bankpas door te knippen. Dit is altijd nep - een echte bank vraagt dit nooit.</blockquote>

== Preventie en bescherming ==

=== Herkenning ===
Het herkennen van phishing- of spoofing-pogingen is cruciaal om jezelf te beschermen tegen deze vorm van cybercriminaliteit. Hoewel phishing-aanvallen steeds geavanceerder worden, zijn er enkele aanwijzingen en waarschuwingssignalen die je kunnen helpen om potentiële phishing-pogingen te identificeren. Hier zijn enkele belangrijke punten om op te letten:

==== Verdachte e-mails en berichten ====
Let goed op verdachte e-mails en berichten die je ontvangt, vooral als ze afkomstig lijken te zijn van bekende organisaties. Enkele indicatoren van een phishing-e-mail kunnen zijn:

* '''Afzenderadres''': Controleer het e-mailadres van de afzender. Let op spelfouten, ongebruikelijke domeinen of vreemde tekens die kunnen wijzen op een '''valse afzender'''.
* '''Spelfouten en grammaticale fouten''': Phishing-e-mails bevatten vaak spelfouten, grammaticale fouten of onjuistheden die niet gebruikelijk zijn in legitieme communicatie van professionele organisaties.
* '''Dringende en dreigende toon''': Phishing-e-mails proberen vaak angst of urgentie op te wekken om je te dwingen snel te handelen zonder goed na te denken.
* '''Verzoek om persoonlijke informatie''': Wees voorzichtig met e-mails die vragen om persoonlijke informatie, zoals wachtwoorden, pincodes of creditcardgegevens. Legitieme organisaties vragen niet naar dergelijke informatie via e-mail.

==== Valse websites ====
Phishing-aanvallers creëren vaak valse websites die er identiek uitzien aan legitieme websites om slachtoffers te misleiden. Hier zijn enkele punten om op te letten bij het beoordelen van de legitimiteit van een website:

* '''[[Phishing - Herkenning - URL|URL-controle]]''': Controleer zorgvuldig de URL (het webadres) van de website. Phishing-aanvallers gebruiken soms vergelijkbare domeinnamen met kleine wijzigingen om legitiem te lijken, dus let goed op spelfouten, extra tekens of afwijkende domeinextensies.
* '''Beveiligingspictogrammen''': Controleer of er beveiligingspictogrammen, zoals een hangslotje of een "https://" -protocol, aanwezig zijn in de adresbalk van de browser. Dit geeft aan dat de verbinding met de website veilig is en dat je gegevens versleuteld worden verzonden.
* '''Algemene lay-out en inhoud''': Valse websites kunnen er visueel vergelijkbaar uitzien met legitieme websites, maar let op inconsistenties in de lay-out, taalgebruik en algemene presentatie van de inhoud.

==== Sociale manipulatie ====
Phishing-aanvallers maken gebruik van sociale manipulatie (ook wel social engineering genoemd) om slachtoffers te misleiden en hun vertrouwen te winnen. Hier zijn enkele tactieken die ze kunnen gebruiken:

* '''Spoofing van bekende contacten''': Wees voorzichtig met berichten of oproepen van bekende contacten die om ongebruikelijke verzoeken of vertrouwelijke informatie vragen. Hun accounts kunnen zijn gecompromitteerd door phishing-aanvallers.
* '''Emotionele manipulatie''': Phishing-aanvallen kunnen inspelen op je emoties door bijvoorbeeld te beweren dat er een probleem is met je account of dat er dringende hulp nodig is. Wees op je hoede voor berichten die proberen angst, nieuwsgierigheid of medeleven op te wekken zonder duidelijke reden. Deze sociale manipulatie is ook wel bekend in de vorm van 'helpdeskfraude'. Hierbij belt een nep-medewerker van bijvoorbeeld Microsoft op om je te 'helpen' bij een niet-bestaand beveiligingsrisico in jouw programma.

=== Maatregelen ===

==== Beveiligingssoftware ====
Gebruik up-to-date beveiligingssoftware, zoals antivirusprogramma's, firewalls en anti-phishing-tools. Deze software kan helpen bij het detecteren en blokkeren van phishing-pogingen, evenals andere vormen van malware (virussen, scahdelijke software, etc.). Zorg ervoor dat je de software regelmatig bijwerkt om ervoor te zorgen dat je beschermd bent tegen de nieuwste bedreigingen. Check ook onze [[Spelregel: beveiligingsmaatregelen|spelregels]] met betrekking tot te nemen beveiligingsmaatregelen.

==== Tweefactorauthenticatie (2FA) ====
Gebruik [[Spelregel: beveiligingsmaatregelen|tweefactorauthenticatie (2FA)]] wanneer mogelijk. 2FA voegt een extra beveiligingslaag toe aan je online accounts door te vereisen dat je naast een wachtwoord een tweede vorm van verificatie verstrekt, zoals een unieke code die naar je mobiele apparaat wordt gestuurd. Hierdoor wordt het voor aanvallers moeilijker om toegang te krijgen tot je accounts, zelfs als ze je wachtwoord hebben verkregen.

== Help! Phishing. Wat nu? ==
Het melden van phishing- of spoofing-aanvallen is een belangrijke stap om niet alleen jezelf te beschermen, maar ook anderen te helpen. Je organisatie kan collega's waarschuwen en zorgen dat de e-mail in het vervolg door spam-filters wordt tegengehouden. Indien er iemand in de e-mail is getrapt, kan de organisatie proberen de schade te beperken. Daarnaast moet het in sommige gevallen ook gemeld worden aan de toezichthouder. Daar zal de organisatie voor zorgen.

Pseudonimiseren en anonimiseren

2024-11-19T16:00:19Z

Editor 7: /* Pseudonimiseren */

Zoals we zagen bij het onderdeel '[[persoonsgegevens]]' zijn gegevens in principe al heel snel persoonsgegevens. Ook als er geen namen of contactgegevens beschikbaar zijn. Dat maakt dat de AVG breed toepasbaar is. Om als organisatie te voorkomen dat je vastzit aan de regels uit de AVG, zit er maar één ding op en dat is de persoonsgegevens te anonimiseren. Dat wil zeggen dat ze op geen enkele wijze meer tot een persoon te herleiden zijn. Een truc om gegevens minder gevoelig te laten zijn, is het pseudonimiseren van persoonsgegevens. Let wel, het zijn nog steeds persoonsgegevens en je hebt dus nog altijd te maken met de AVG.

Hieronder een uitwerking van beide technieken.

== Anonimiseren vs. pseudonimiseren ==

=== Anonimiseren ===
Soms kan het handig zijn om gegevens te anonimiseren. Bijvoorbeeld omdat je bepaalde informatie onbeperkt wil bewaren of verder wil gebruiken. Het kan dan mogelijk zijn om de gegevens te 'strippen' van alle identificerende elementen. Als dat lukt, werk je niet langer met persoonsgegevens, maar met anonieme gegevens. Klinkt goed natuurlijk, maar het is niet altijd werkbaar. Bijvoorbeeld omdat je simpelweg persoonsgegevens nodig hebt om wat nuttigs met de informatie te kunnen doen. Dit is afhankelijk van het doel dat je hebt bij het verwerken van de gegevens.

Enkele praktische tips om persoonsgegevens te anonimiseren:

* Verwissel gegevens tussen personen
* Voeg ruis toe aan gegevens
* Vervang specifieke gegevens door bandbreedtes

=== Pseudonimiseren ===
Een veelgebruikte truc om gegevens minder gevoelig te laten zijn, is namen en adressen te vervangen door nummers. Je kunt dan uitspraken doen op klantniveau – klant 1 koopt vaker horloges en de bijbehorende gekleurde groene bandjes, klant 15 koopt veel horloges, laten we die eens een aanbieding met de bijgehorende gekleurde bandjes doen. Onder de AVG is dit echter niet genoeg. Wanneer je enkel namen vervangt door getallen of nepnamen, noemt de AVG dit ''pseudonimiseren.'' De wet blijft dan gewoon van toepassing, iemands pseudoniem is nog steeds een gegeven over die iemand en de gegevens blijven dan dus persoonsgegevens. Pas als de koppeling tussen klantnamen en -nummers volledig verbroken is (de lijst met namen en getallen is vernietigd) én de resterende gegevens te weinig zijn om daadwerkelijk over één persoon te spreken.

Pseudonimiseren is een goede [[Passende beveiliging|beveiligingsmaatregel]]. Het vermindert de risico's voor de privacy van mensen, maar maakt het nog wel mogelijk om de gegevens te gebruiken. Het is als het ware een extra slot op de deur: ook als iemand onbevoegd toegang krijgt tot de gegevens, kan diegene niet direct zien om wie het gaat. Er is immers '''geen sprake meer van directe herleidbaarheid.'''

Een belangrijk punt om te onthouden is dat gepseudonimiseerde gegevens nog steeds persoonsgegevens zijn. Ook al zie je niet direct wie het is, zolang er ergens een mogelijkheid bestaat om terug te vinden wie bij welke gegevens hoort, moet je ze behandelen als persoonsgegevens. Dit betekent dat alle regels van de privacywetgeving blijven gelden.

Je kunt pseudonimiseren op verschillende manieren:

* Namen vervangen door codes of nummers
* E-mailadressen omzetten naar unieke identificatienummers
* Adressen vervangen door postcodegebieden
* Geboortedatums vervangen door leeftijdscategorieën

=== Het verschil tussen anonimiseren en pseudonimiseren ===
Bij pseudonimiseren bewaar je de sleutel om terug te kunnen vinden wie het is. Bij anonimiseren maak je die sleutel definitief onbruikbaar of gooi je hem weg. Het verschil is belangrijk:

* Gepseudonimiseerde gegevens kun je nog herleiden tot personen
* Geanonimiseerde gegevens kun je nooit meer herleiden tot personen
* Voor geanonimiseerde gegevens geldt de privacywetgeving niet meer

== Hoe anonimiseer ik persoonsgegevens? ==

=== Verwisselen ===
Verwisselen van gegevens is een vrij eenvoudige manier. Als je bijvoorbeeld leeftijden en woonplaatsen willekeurig van plaats verwisselt in een lijst met klanten of personeel, is het niet meer mogelijk te achterhalen om welke personen het ging. Een voorbeeld met gemeten lichaamslengtes en gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''Met verwisseling'''
|-
|Jansen: 1 meter 70 en 82 kg

Pietersen: 1 meter 92 en 95 kg

De Vries: 1 meter 62 en 108 kg

Van den Berg: 1 meter 73 en 73 kg
|Patiënt 1: 1 meter 92 en 108 kg

Patiënt 2: 1 meter 62 en 95 kg

Patiënt 3: 1 meter 70 en 73 kg

Patiënt 4: 1 meter 73 en 108 kg
|}
Let op dat bij het willekeurig wisselen mogelijk is dat gegevens bij bepaalde personen blijven staan. Dit is onvermijdelijk en tast de kwaliteit niet aan. Verder is het van groot belang dat de verwisseling écht willekeurig gebeurt. Als je volgens een vast plan wisselt, dan is de wisseling ongedaan te maken en dan heb je geen anonieme gegevens. Daarnaast moeten de gegevens natuurlijk individueel te weinig zijn om de persoon alsnog te identificeren. Een burgerservicenummer of personeelsnummer verwisselen maakt de lijst natuurlijk niet anoniem.

Een nadeel van deze methode is natuurlijk dat correlaties tussen verschillende elementen verloren gaan. Je kunt uit de tabel van het voorbeeld bijvoorbeeld geen uitspraken meer halen over lengte versus gewicht.

=== Ruis toevoegen ===
Ruis toevoegen is een snelle manier om gegevens te anonimiseren. Als je bijvoorbeeld locaties registreert, kun je deze willekeurig een aantal meter (bijvoorbeeld vijf tot vijftien) laten afwijken. Voor de meeste toepassingen is dat goed genoeg, maar de locatie is nu niet meer exact genoeg om te herleiden tot een individu. Een voorbeeld met gemeten lichaamslengtes:
{| class="wikitable"
|'''Zonder ruis'''
|'''Met ruis'''
|-
|Jansen: 1 meter 70

Pietersen: 1 meter 92

De Vries: 1 meter 62

Van den Berg: 1 meter 73
|Patiënt 1: 1 meter 62

Patiënt 2: 1 meter 93

Patiënt 3: 1 meter 69

Patiënt 4: 1 meter 70

''NB alle metingen +/- 10 centimeter''
|}
Ook hier is het mogelijk dat de toegevoegde ruis soms zo klein is dat de uitkomst niet of nauwelijks afwijkt. Vergeet niet te melden wat de maximale omvang van de ruis is.

=== Bandbreedtes ===
Ook specifieke gegevens door bandbreedtes vervangen is effectief om herleidbaarheid veel moeilijker te maken. Een voorbeeld met gemeten gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''In bandbreedte'''
|-
|Jansen: 82 kg

Pietersen: 95 kg

De Vries: 108 kg

Van den Berg: 73 kg
|Patiënt 1: 70-90 kg

Patiënt 2: 90-110 kg

Patiënt 3: 90-110 kg

Patiënt 4: 70-90 kg
|}
Let op dat je alle bandbreedtes in principe even groot kiest. Je kunt de onderste of bovenste bandbreedtes uiteraard aanduiden als “tot 50 kilo” of “meer dan 130 kilo”. Je kunt natuurlijk ook werken met namen zoals “klein”, “middel” en “groot” in plaats van getalsmatige reeksen.

Persoonsgegevens kunnen hun status als persoonsgegeven ook verliezen wanneer ze worden geaggregeerd oftewel samengevoegd tot een groepsuitspraak. Uitspraken over een groep – de leden van onze vereniging zijn gemiddeld 45,3 jaar oud – zeggen immers niets over de leden van die groep. Het is dus ook mogelijk (en vaak verstandig) om gegevens samen te voegen om zo te voorkomen dat de gegevens nog onder de AVG vallen. Natuurlijk verlies je hiermee wel een deel van je informatie.

Hoe veel gegevens nodig zijn voor een zinnige aggregatie, is in het algemeen moeilijk te zeggen. Een veelgehoorde vuistregel is dat groepen ten minste 10 à 12 personen moeten tellen. Zijn er te weinig gegevens voor een groep, dan gebruik je deze groep niet. Het Handje kan bijvoorbeeld haar abonnees per postcode groeperen en dan uitspraken per postcodegebied doen. Wanneer een bepaalde postcode slechts twee of drie klanten kent, blijft deze buiten beschouwing.

Pseudonimiseren en anonimiseren

2024-11-19T15:58:21Z

Editor 7: /* Anonimiseren vs. pseudonimiseren */

Zoals we zagen bij het onderdeel '[[persoonsgegevens]]' zijn gegevens in principe al heel snel persoonsgegevens. Ook als er geen namen of contactgegevens beschikbaar zijn. Dat maakt dat de AVG breed toepasbaar is. Om als organisatie te voorkomen dat je vastzit aan de regels uit de AVG, zit er maar één ding op en dat is de persoonsgegevens te anonimiseren. Dat wil zeggen dat ze op geen enkele wijze meer tot een persoon te herleiden zijn. Een truc om gegevens minder gevoelig te laten zijn, is het pseudonimiseren van persoonsgegevens. Let wel, het zijn nog steeds persoonsgegevens en je hebt dus nog altijd te maken met de AVG.

Hieronder een uitwerking van beide technieken.

== Anonimiseren vs. pseudonimiseren ==

=== Anonimiseren ===
Soms kan het handig zijn om gegevens te anonimiseren. Bijvoorbeeld omdat je bepaalde informatie onbeperkt wil bewaren of verder wil gebruiken. Het kan dan mogelijk zijn om de gegevens te 'strippen' van alle identificerende elementen. Als dat lukt, werk je niet langer met persoonsgegevens, maar met anonieme gegevens. Klinkt goed natuurlijk, maar het is niet altijd werkbaar. Bijvoorbeeld omdat je simpelweg persoonsgegevens nodig hebt om wat nuttigs met de informatie te kunnen doen. Dit is afhankelijk van het doel dat je hebt bij het verwerken van de gegevens.

Enkele praktische tips om persoonsgegevens te anonimiseren:

* Verwissel gegevens tussen personen
* Voeg ruis toe aan gegevens
* Vervang specifieke gegevens door bandbreedtes

=== Pseudonimiseren ===
Een veelgebruikte truc om gegevens minder gevoelig te laten zijn, is namen en adressen te vervangen door nummers. Je kunt dan uitspraken doen op klantniveau – klant 1 koopt vaker horloges en de bijbehorende gekleurde groene bandjes, klant 15 koopt veel horloges, laten we die eens een aanbieding met de bijgehorende gekleurde bandjes doen. Onder de AVG is dit echter niet genoeg. Wanneer je enkel namen vervangt door getallen of nepnamen, noemt de AVG dit ''pseudonimiseren.'' De wet blijft dan gewoon van toepassing, iemands pseudoniem is nog steeds een gegeven over die iemand en de gegevens blijven dan dus persoonsgegevens. Pas als de koppeling tussen klantnamen en -nummers volledig verbroken is (de lijst met namen en getallen is vernietigd) én de resterende gegevens te weinig zijn om daadwerkelijk over één persoon te spreken. Pseudonimiseren is een goede [[Passende beveiliging|beveiligingsmaatregel]]. Je kunt pseudonimiseren op verschillende manieren:

* Namen vervangen door codes of nummers
* E-mailadressen omzetten naar unieke identificatienummers
* Adressen vervangen door postcodegebieden
* Geboortedatums vervangen door leeftijdscategorieën

Pseudonimiseren vermindert de risico's voor de privacy van mensen, maar maakt het nog wel mogelijk om de gegevens te gebruiken. Het is als het ware een extra slot op de deur: ook als iemand onbevoegd toegang krijgt tot de gegevens, kan diegene niet direct zien om wie het gaat. Een belangrijk punt om te onthouden is dat gepseudonimiseerde gegevens nog steeds persoonsgegevens zijn. Ook al zie je niet direct wie het is, zolang er ergens een mogelijkheid bestaat om terug te vinden wie bij welke gegevens hoort, moet je ze behandelen als persoonsgegevens. Dit betekent dat alle regels van de privacywetgeving blijven gelden.

=== Het verschil tussen anonimiseren en pseudonimiseren ===
Bij pseudonimiseren bewaar je de sleutel om terug te kunnen vinden wie het is. Bij anonimiseren maak je die sleutel definitief onbruikbaar of gooi je hem weg. Het verschil is belangrijk:

* Gepseudonimiseerde gegevens kun je nog herleiden tot personen
* Geanonimiseerde gegevens kun je nooit meer herleiden tot personen
* Voor geanonimiseerde gegevens geldt de privacywetgeving niet meer

== Hoe anonimiseer ik persoonsgegevens? ==

=== Verwisselen ===
Verwisselen van gegevens is een vrij eenvoudige manier. Als je bijvoorbeeld leeftijden en woonplaatsen willekeurig van plaats verwisselt in een lijst met klanten of personeel, is het niet meer mogelijk te achterhalen om welke personen het ging. Een voorbeeld met gemeten lichaamslengtes en gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''Met verwisseling'''
|-
|Jansen: 1 meter 70 en 82 kg

Pietersen: 1 meter 92 en 95 kg

De Vries: 1 meter 62 en 108 kg

Van den Berg: 1 meter 73 en 73 kg
|Patiënt 1: 1 meter 92 en 108 kg

Patiënt 2: 1 meter 62 en 95 kg

Patiënt 3: 1 meter 70 en 73 kg

Patiënt 4: 1 meter 73 en 108 kg
|}
Let op dat bij het willekeurig wisselen mogelijk is dat gegevens bij bepaalde personen blijven staan. Dit is onvermijdelijk en tast de kwaliteit niet aan. Verder is het van groot belang dat de verwisseling écht willekeurig gebeurt. Als je volgens een vast plan wisselt, dan is de wisseling ongedaan te maken en dan heb je geen anonieme gegevens. Daarnaast moeten de gegevens natuurlijk individueel te weinig zijn om de persoon alsnog te identificeren. Een burgerservicenummer of personeelsnummer verwisselen maakt de lijst natuurlijk niet anoniem.

Een nadeel van deze methode is natuurlijk dat correlaties tussen verschillende elementen verloren gaan. Je kunt uit de tabel van het voorbeeld bijvoorbeeld geen uitspraken meer halen over lengte versus gewicht.

=== Ruis toevoegen ===
Ruis toevoegen is een snelle manier om gegevens te anonimiseren. Als je bijvoorbeeld locaties registreert, kun je deze willekeurig een aantal meter (bijvoorbeeld vijf tot vijftien) laten afwijken. Voor de meeste toepassingen is dat goed genoeg, maar de locatie is nu niet meer exact genoeg om te herleiden tot een individu. Een voorbeeld met gemeten lichaamslengtes:
{| class="wikitable"
|'''Zonder ruis'''
|'''Met ruis'''
|-
|Jansen: 1 meter 70

Pietersen: 1 meter 92

De Vries: 1 meter 62

Van den Berg: 1 meter 73
|Patiënt 1: 1 meter 62

Patiënt 2: 1 meter 93

Patiënt 3: 1 meter 69

Patiënt 4: 1 meter 70

''NB alle metingen +/- 10 centimeter''
|}
Ook hier is het mogelijk dat de toegevoegde ruis soms zo klein is dat de uitkomst niet of nauwelijks afwijkt. Vergeet niet te melden wat de maximale omvang van de ruis is.

=== Bandbreedtes ===
Ook specifieke gegevens door bandbreedtes vervangen is effectief om herleidbaarheid veel moeilijker te maken. Een voorbeeld met gemeten gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''In bandbreedte'''
|-
|Jansen: 82 kg

Pietersen: 95 kg

De Vries: 108 kg

Van den Berg: 73 kg
|Patiënt 1: 70-90 kg

Patiënt 2: 90-110 kg

Patiënt 3: 90-110 kg

Patiënt 4: 70-90 kg
|}
Let op dat je alle bandbreedtes in principe even groot kiest. Je kunt de onderste of bovenste bandbreedtes uiteraard aanduiden als “tot 50 kilo” of “meer dan 130 kilo”. Je kunt natuurlijk ook werken met namen zoals “klein”, “middel” en “groot” in plaats van getalsmatige reeksen.

Persoonsgegevens kunnen hun status als persoonsgegeven ook verliezen wanneer ze worden geaggregeerd oftewel samengevoegd tot een groepsuitspraak. Uitspraken over een groep – de leden van onze vereniging zijn gemiddeld 45,3 jaar oud – zeggen immers niets over de leden van die groep. Het is dus ook mogelijk (en vaak verstandig) om gegevens samen te voegen om zo te voorkomen dat de gegevens nog onder de AVG vallen. Natuurlijk verlies je hiermee wel een deel van je informatie.

Hoe veel gegevens nodig zijn voor een zinnige aggregatie, is in het algemeen moeilijk te zeggen. Een veelgehoorde vuistregel is dat groepen ten minste 10 à 12 personen moeten tellen. Zijn er te weinig gegevens voor een groep, dan gebruik je deze groep niet. Het Handje kan bijvoorbeeld haar abonnees per postcode groeperen en dan uitspraken per postcodegebied doen. Wanneer een bepaalde postcode slechts twee of drie klanten kent, blijft deze buiten beschouwing.

Pseudonimiseren en anonimiseren

2024-11-19T15:57:19Z

Editor 7: /* Pseudonimiseren */

Zoals we zagen bij het onderdeel '[[persoonsgegevens]]' zijn gegevens in principe al heel snel persoonsgegevens. Ook als er geen namen of contactgegevens beschikbaar zijn. Dat maakt dat de AVG breed toepasbaar is. Om als organisatie te voorkomen dat je vastzit aan de regels uit de AVG, zit er maar één ding op en dat is de persoonsgegevens te anonimiseren. Dat wil zeggen dat ze op geen enkele wijze meer tot een persoon te herleiden zijn. Een truc om gegevens minder gevoelig te laten zijn, is het pseudonimiseren van persoonsgegevens. Let wel, het zijn nog steeds persoonsgegevens en je hebt dus nog altijd te maken met de AVG.

Hieronder een uitwerking van beide technieken.

== Anonimiseren vs. pseudonimiseren ==

=== Anonimiseren ===
Soms kan het handig zijn om gegevens te anonimiseren. Bijvoorbeeld omdat je bepaalde informatie onbeperkt wil bewaren of verder wil gebruiken. Het kan dan mogelijk zijn om de gegevens te 'strippen' van alle identificerende elementen. Als dat lukt, werk je niet langer met persoonsgegevens, maar met anonieme gegevens. Klinkt goed natuurlijk, maar het is niet altijd werkbaar. Bijvoorbeeld omdat je simpelweg persoonsgegevens nodig hebt om wat nuttigs met de informatie te kunnen doen. Dit is afhankelijk van het doel dat je hebt bij het verwerken van de gegevens.

Enkele praktische tips om persoonsgegevens te anonimiseren:

* Verwissel gegevens tussen personen
* Voeg ruis toe aan gegevens
* Vervang specifieke gegevens door bandbreedtes

=== Pseudonimiseren ===
Een veelgebruikte truc om gegevens minder gevoelig te laten zijn, is namen en adressen te vervangen door nummers. Je kunt dan uitspraken doen op klantniveau – klant 1 koopt vaker horloges en de bijbehorende gekleurde groene bandjes, klant 15 koopt veel horloges, laten we die eens een aanbieding met de bijgehorende gekleurde bandjes doen. Onder de AVG is dit echter niet genoeg. Wanneer je enkel namen vervangt door getallen of nepnamen, noemt de AVG dit ''pseudonimiseren.'' De wet blijft dan gewoon van toepassing, iemands pseudoniem is nog steeds een gegeven over die iemand en de gegevens blijven dan dus persoonsgegevens. Pas als de koppeling tussen klantnamen en -nummers volledig verbroken is (de lijst met namen en getallen is vernietigd) én de resterende gegevens te weinig zijn om daadwerkelijk over één persoon te spreken. Pseudonimiseren is wel een goede [[Beveiligingsmaatregelen|beveiligingstechniek]].
Je kunt pseudonimiseren op verschillende manieren:

* Namen vervangen door codes of nummers
* E-mailadressen omzetten naar unieke identificatienummers
* Adressen vervangen door postcodegebieden
* Geboortedatums vervangen door leeftijdscategorieën

Pseudonimiseren vermindert de risico's voor de privacy van mensen, maar maakt het nog wel mogelijk om de gegevens te gebruiken. Het is als het ware een extra slot op de deur: ook als iemand onbevoegd toegang krijgt tot de gegevens, kan diegene niet direct zien om wie het gaat. Een belangrijk punt om te onthouden is dat gepseudonimiseerde gegevens nog steeds persoonsgegevens zijn. Ook al zie je niet direct wie het is, zolang er ergens een mogelijkheid bestaat om terug te vinden wie bij welke gegevens hoort, moet je ze behandelen als persoonsgegevens. Dit betekent dat alle regels van de privacywetgeving blijven gelden.

=== Het verschil tussen anonimiseren en pseudonimiseren ===
Bij pseudonimiseren bewaar je de sleutel om terug te kunnen vinden wie het is. Bij anonimiseren maak je die sleutel definitief onbruikbaar of gooi je hem weg. Het verschil is belangrijk:

* Gepseudonimiseerde gegevens kun je nog herleiden tot personen
* Geanonimiseerde gegevens kun je nooit meer herleiden tot personen
* Voor geanonimiseerde gegevens geldt de privacywetgeving niet meer

== Hoe anonimiseer ik persoonsgegevens? ==

=== Verwisselen ===
Verwisselen van gegevens is een vrij eenvoudige manier. Als je bijvoorbeeld leeftijden en woonplaatsen willekeurig van plaats verwisselt in een lijst met klanten of personeel, is het niet meer mogelijk te achterhalen om welke personen het ging. Een voorbeeld met gemeten lichaamslengtes en gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''Met verwisseling'''
|-
|Jansen: 1 meter 70 en 82 kg

Pietersen: 1 meter 92 en 95 kg

De Vries: 1 meter 62 en 108 kg

Van den Berg: 1 meter 73 en 73 kg
|Patiënt 1: 1 meter 92 en 108 kg

Patiënt 2: 1 meter 62 en 95 kg

Patiënt 3: 1 meter 70 en 73 kg

Patiënt 4: 1 meter 73 en 108 kg
|}
Let op dat bij het willekeurig wisselen mogelijk is dat gegevens bij bepaalde personen blijven staan. Dit is onvermijdelijk en tast de kwaliteit niet aan. Verder is het van groot belang dat de verwisseling écht willekeurig gebeurt. Als je volgens een vast plan wisselt, dan is de wisseling ongedaan te maken en dan heb je geen anonieme gegevens. Daarnaast moeten de gegevens natuurlijk individueel te weinig zijn om de persoon alsnog te identificeren. Een burgerservicenummer of personeelsnummer verwisselen maakt de lijst natuurlijk niet anoniem.

Een nadeel van deze methode is natuurlijk dat correlaties tussen verschillende elementen verloren gaan. Je kunt uit de tabel van het voorbeeld bijvoorbeeld geen uitspraken meer halen over lengte versus gewicht.

=== Ruis toevoegen ===
Ruis toevoegen is een snelle manier om gegevens te anonimiseren. Als je bijvoorbeeld locaties registreert, kun je deze willekeurig een aantal meter (bijvoorbeeld vijf tot vijftien) laten afwijken. Voor de meeste toepassingen is dat goed genoeg, maar de locatie is nu niet meer exact genoeg om te herleiden tot een individu. Een voorbeeld met gemeten lichaamslengtes:
{| class="wikitable"
|'''Zonder ruis'''
|'''Met ruis'''
|-
|Jansen: 1 meter 70

Pietersen: 1 meter 92

De Vries: 1 meter 62

Van den Berg: 1 meter 73
|Patiënt 1: 1 meter 62

Patiënt 2: 1 meter 93

Patiënt 3: 1 meter 69

Patiënt 4: 1 meter 70

''NB alle metingen +/- 10 centimeter''
|}
Ook hier is het mogelijk dat de toegevoegde ruis soms zo klein is dat de uitkomst niet of nauwelijks afwijkt. Vergeet niet te melden wat de maximale omvang van de ruis is.

=== Bandbreedtes ===
Ook specifieke gegevens door bandbreedtes vervangen is effectief om herleidbaarheid veel moeilijker te maken. Een voorbeeld met gemeten gewicht:
{| class="wikitable"
|'''Originele gegevens'''
|'''In bandbreedte'''
|-
|Jansen: 82 kg

Pietersen: 95 kg

De Vries: 108 kg

Van den Berg: 73 kg
|Patiënt 1: 70-90 kg

Patiënt 2: 90-110 kg

Patiënt 3: 90-110 kg

Patiënt 4: 70-90 kg
|}
Let op dat je alle bandbreedtes in principe even groot kiest. Je kunt de onderste of bovenste bandbreedtes uiteraard aanduiden als “tot 50 kilo” of “meer dan 130 kilo”. Je kunt natuurlijk ook werken met namen zoals “klein”, “middel” en “groot” in plaats van getalsmatige reeksen.

Persoonsgegevens kunnen hun status als persoonsgegeven ook verliezen wanneer ze worden geaggregeerd oftewel samengevoegd tot een groepsuitspraak. Uitspraken over een groep – de leden van onze vereniging zijn gemiddeld 45,3 jaar oud – zeggen immers niets over de leden van die groep. Het is dus ook mogelijk (en vaak verstandig) om gegevens samen te voegen om zo te voorkomen dat de gegevens nog onder de AVG vallen. Natuurlijk verlies je hiermee wel een deel van je informatie.

Hoe veel gegevens nodig zijn voor een zinnige aggregatie, is in het algemeen moeilijk te zeggen. Een veelgehoorde vuistregel is dat groepen ten minste 10 à 12 personen moeten tellen. Zijn er te weinig gegevens voor een groep, dan gebruik je deze groep niet. Het Handje kan bijvoorbeeld haar abonnees per postcode groeperen en dan uitspraken per postcodegebied doen. Wanneer een bepaalde postcode slechts twee of drie klanten kent, blijft deze buiten beschouwing.

De beginselen bij het verwerken van persoonsgegevens

2024-11-19T15:49:58Z

Editor 7:

In onze dynamische digitale omgeving is het van essentieel belang dat we zorgvuldig omgaan met persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) legt zes fundamentele beginselen op, waaraan al onze [[Verwerking|gegevensverwerkingen]] moeten voldoen. Deze principes dienen als leidraad voor elke stap die we nemen en bepalen hoe we [[persoonsgegevens]] behandelen.

De zes fundamentele beginselen zijn: rechtmatigheid en transparantie, welbepaaldheid en duidelijkheid, dataminimalisatie, juistheid, bewaartermijnen en integriteit en veiligheid. Op deze pagina zullen de beginselen nader worden toegelicht.

== Rechtmatigheid en transparantie ==
Het eerste beginsel vereist dat de gegevensverwerking rechtmatig en '''transparant''' is. Praktisch vertaald: het moet netjes en maatschappelijk aanvaard zijn wat we van plan zijn, en we moet er duidelijk over zijn. Dit betekent dus dat wij zo veel mogelijk informatie geven over wat er gebeurt (vermijdt hierbij natuurlijk het vermelden van bedrijfsgeheimen). Ook moeten we een specifieke [[Grondslagen|grondslag]] kunnen aanwijzen, zoals [[Grondslagen#Toestemming|toestemming]], [[Grondslagen#Uitvoering van een overeenkomst|de uitvoering van een overeenkomst]] of een [[Grondslagen#Wettelijke verplichting|wettelijke plicht]]. De uitwerking hiervan in de wet vind je in artikelen 13 en 14 AVG.

'''Wat betekent dit voor jou als medewerker?'''
* Wees transparant en volledig in je communicatie.
* Onderbouw waarom je bepaalde gegevens verwerkt.
* Zorg voor een heldere privacyverklaring en verwijs hiernaar bij gegevensverzameling.
* Zorg dat de betrokken medewerkers kennis hebben van de rechten omtrent persoonsgegevens en klanten de juiste informatie geven. Uiteraard krijgen zij hiervoor bewustwordingstrainingen op maat, maar help je collega's een handje als je merkt dat de kennis onverhoopt ontbreekt.
'''Praktijkvoorbeeld:'''

Bij het opstarten van een nieuwe marketingcampagne moet je eerst bepalen op welke grondslag je de gegevens mag gebruiken (bijvoorbeeld toestemming) en dit vervolgens duidelijk communiceren naar de klanten.

== Welbepaaldheid en duidelijkheid ==
Dit beginsel vereist dat '''vooraf concrete doelen''' zijn bepaald voor gegevensverwerking en dat deze in '''begrijpelijke taal''' worden gecommuniceerd naar betrokkenen: in het geval van Het Handje veelal klanten, maar denk hierbij ook aan collega's.

'''Wat betekent dit voor jou als medewerker?'''
* Zet een register op waarin je iedere verwerking documenteert. Deel dit register met onze privacyaanspreekpunten. Zij nemen het op in het register van Het Handje.
* Zorg ervoor dat het doel van alle gegevensverzamelingen in het register is opgenomen.
* Benoem ook afgeleide doelen. (Bij 'versturen van nieuwsbrief' kan horen 'doen van marktonderzoek op basis van e-mailadressen in database'.)
* Hanteer eenvoudig en duidelijk taalgebruik (Europees taalniveau B1/B2) in je privacyverklaring.
* Verwijs bij elk inschrijfformulier en andere plekken waar je gegevens verzamelt naar de privacyverklaring.
'''Praktijkvoorbeeld:'''

Dit beginsel vertaalt zich met name naar de '''privacyverklaring''': in klare taal specifiek benoemen wat we gaan doen en waarom (dus niet: “Wij verzamelen gegevens ten behoeve van een geoptimaliseerde gebruikservaring” maar “Wij tonen de producten die je waarschijnlijk het leukst vindt bovenaan”).

== Dataminimalisatie ==
Vanuit de eis van dataminimalisatie mag je '''niet meer gegevens verzamelen of gebruiken dan noodzakelijk''' voor je doelen. Dit vereist dus een kritische blik: waarom vragen wij eigenlijk al deze gegevens, kan het niet een onsje minder zijn? Het credo is dan ook: "Het gaat om ''need to have'', niet om ''nice to have!"''. Alleen gegevens die echt noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld.

Dit principe rust op drie belangrijke pijlers:

# '''Vooraf bepaald doel''': Voordat je start met het verzamelen van gegevens, moet je een duidelijk en legitiem doel hebben vastgesteld. Het is niet toegestaan om gegevens te verzamelen voor eventueel toekomstig gebruik of "voor het geval dat".
# '''Need to have''': Alleen die gegevens die absoluut noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld. Voor elk persoonsgegevens moet je kunnen verantwoorden waarom het onmisbaar is.
# '''Beperkte gegevensverzameling''': De verzameling moet zo beperkt mogelijk blijven. Dit betekent dat je:
#* Regelmatig beoordeelt of je nog steeds alle gegevens nodig hebt
#* Gegevens verwijdert zodra ze niet meer nodig zijn
#* Waar mogelijk kiest voor geanonimiseerde of gepseudonimiseerde gegevens
'''Wat betekent dit voor jou als medewerker?'''
* Benoem bij elke verwerking welke persoonsgegevens je verzamelt en per persoonsgegeven waarom dit nodig en onmisbaar is voor die verwerking.
* Benoem bij elke stap in een verwerkingsproces welke persoonsgegevens hier kunnen worden verwijderd of geanonimiseerd.
'''Let op''': je beoordeelt de noodzakelijkheid van de verwerking van persoonsgegevens altijd voorafgaand aan de verwerking. Je moet dus vooraf weten of er überhaupt een '''doel''' is voor de verwerking van die specifieke persoonsgegevens. En zo ja, of dan al die persoonsgegevens nodig zijn voor dat doel. Het verzamelen van gegevens omdat je hier mogelijk ooit een doel aan kunt koppelen is dus een echte ''no go'' binnen Het Handje!

'''Praktijkvoorbeeld:'''

Bij het organiseren van een evenement komt een heleboel registratie kijken. Hierbij is het erg belangrijk om rekening te houden met het beginsel van dataminimalisatie. Welke data heb je nou echt nodig? Nadat je deze vraag hebt gesteld, kan het zo zijn dat de '''need to haves''' bijvoorbeeld alleen maar de namen, e-mailadressen en dieetwensen van aanwezigen zijn. De '''nice to haves''' zoals geboortedatum, hobby's en privé telefoonnummers mag je dan niet verzamelen.

== Juistheid ==
Dit beginsel vereist dat persoonsgegevens correct zijn en ook blijven. De eis van juistheid is ook relevant bij het bewaren van persoonsgegevens. Immers, hoe ouder persoonsgegevens zijn hoe groter de kans dat ze verouderd of irrelevant worden. Het zal dus nodig zijn om te rechtvaardigen dat je gegevens langdurig bewaart.

'''Wat betekent dit voor jou als medewerker?'''
* Zorg voor validatie van nieuw ontvangen gegevens, zoals een controle of postcode en straatnaam wel bij elkaar horen.
* Controleer periodiek of steekproefsgewijs of gegevens nog kloppen.
* Bied mensen de mogelijkheid zelf hun gegevens te controleren, stuur ze bijvoorbeeld periodiek een overzicht of nodig ze uit in te loggen om de gegevens na te lopen.
* Zorg dat bij processen met lange bewaartermijnen een periodieke controle op juistheid wordt uitgevoerd. (Personeelsgegevens, maar ook studentengegevens worden jaarlijks gecontroleerd binnen Het Handje.)
'''Praktijkvoorbeeld'''

Dit doen Het Handje bijvoorbeeld door de laatste 4 cijfers van iemands IBAN te delen in de betalingsherinnering wanneer een incasso binnen ons Membershipprogramma is mislukt. Op die manier laten we de ontvanger van de betalingsherinnering controleren of er misschien verouderde gegevens gehanteerd worden door ons.

== Bewaartermijnen ==
Dit beginsel vereist dat persoonsgegevens '''niet langer mogen worden bewaard dan noodzakelijk''' voor het doel waarvoor ze zijn verzameld. Dit betekent dat je moet vaststellen hoe lang je gegevens nodig hebt, en dat je ook daadwerkelijk de gegevens daarna verwijdert. Het is niet genoeg om te wachten tot mensen een verzoek tot verwijdering indienen of te stellen dat je zaken in de toekomst wellicht nog nodig hebt en ze daarom voor de zekerheid bewaart. Kort gezegd: gegevens moeten weg tenzij je ze nog echt nodig hebt.

'''Wat betekent dit voor jou als medewerker?'''
* Ga na welke bewaartermijn je nodig hebt voor welke gegevens en documenteer ook dit.
* Zorg dat je gegevens ook daadwerkelijk verwijdert als ze niet meer nodig zijn.
'''Let op:''' niet alle bewaartermijnen worden door onszelf bepaald. Sommige bewaartermijnen liggen besloten in een bepaalde wet (denk aan een bewaartermijn die voorkomt uit een bewaarplicht voor de Belastingdienst bij facturatiegegevens).

== Integriteit en Veiligheid ==
Als laatste eisen de beginselen van integriteit en veiligheid dat gegevens [[Passende beveiliging|adequaat beveiligd]] moeten zijn, waarmee wordt geborgd dat deze niet zomaar kunnen lekken of worden gebruikt voor niet-toegestane doeleinden. Samenhangend hiermee zijn de eisen van '''privacy by design''' en '''privacy by default'''. Dit gaat niet alleen over beveiliging tegen hacken, maar ook over borgen van geautoriseerd gebruik, kunnen zien wat er gebeurt en voorkomen dat gegevens worden aangetast of gewist terwijl dat niet de bedoeling is.

'''Wat betekenen de eisen van integriteit en veiligheid betekenen voor jou als medewerker?'''
* Implementeer beveiligingsbeleid om toegang tot persoonsgegevens aan banden te leggen.
* Implementeer logging waarmee je kunt zien wie wat doet met persoonsgegevens, in ieder geval voor ongebruikelijke of ongewenste vormen van gebruik.
* Verlang van jouw leveranciers documentatie over privacy by design in hun systemen.
* Verlang van jouw leveranciers dat geleverde systemen volgens privacy by default afgeschermd zijn.

De beginselen bij het verwerken van persoonsgegevens

2024-11-19T15:49:10Z

Editor 7:

In onze dynamische digitale omgeving is het van essentieel belang dat we zorgvuldig omgaan met persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) legt zes fundamentele beginselen op, waaraan al onze [[Verwerking|gegevensverwerkingen]] moeten voldoen. Deze principes dienen als leidraad voor elke stap die we nemen en bepalen hoe we [[persoonsgegevens]] behandelen.

De zes fundamentele beginselen zijn: rechtmatigheid en transparantie, welbepaaldheid en duidelijkheid, dataminimalisatie, juistheid, bewaartermijnen en integriteit en veiligheid. Op deze pagina zullen de beginselen nader worden toegelicht.

== Rechtmatigheid en transparantie ==
Het eerste beginsel vereist dat de gegevensverwerking rechtmatig en '''transparant''' is. Praktisch vertaald: het moet netjes en maatschappelijk aanvaard zijn wat we van plan zijn, en we moet er duidelijk over zijn. Dit betekent dus dat wij zo veel mogelijk informatie geven over wat er gebeurt (vermijdt hierbij natuurlijk het vermelden van bedrijfsgeheimen). Ook moeten we een specifieke [[Grondslagen|grondslag]] kunnen aanwijzen, zoals [[Grondslagen#Toestemming|toestemming]], [[Grondslagen#Uitvoering van een overeenkomst|de uitvoering van een overeenkomst]] of een [[Grondslagen#Wettelijke verplichting|wettelijke plicht]]. De uitwerking hiervan in de wet vind je in artikelen 13 en 14 AVG.

'''Wat betekent dit voor jou als medewerker?'''
* Wees transparant en volledig in je communicatie.
* Onderbouw waarom je bepaalde gegevens verwerkt.
* Zorg voor een heldere privacyverklaring en verwijs hiernaar bij gegevensverzameling.
* Zorg dat de betrokken medewerkers kennis hebben van de rechten omtrent persoonsgegevens en klanten de juiste informatie geven. Uiteraard krijgen zij hiervoor bewustwordingstrainingen op maat, maar help je collega's een handje als je merkt dat de kennis onverhoopt ontbreekt.
'''Praktijkvoorbeeld:'''

Bij het opstarten van een nieuwe marketingcampagne moet je eerst bepalen op welke grondslag je de gegevens mag gebruiken (bijvoorbeeld toestemming) en dit vervolgens duidelijk communiceren naar de klanten.

== Welbepaaldheid en duidelijkheid ==
Dit beginsel vereist dat vooraf concrete doelen zijn bepaald voor gegevensverwerking en dat deze in '''begrijpelijke taal''' worden gecommuniceerd naar betrokkenen: in het geval van Het Handje veelal klanten, maar denk hierbij ook aan collega's.

'''Wat betekent dit voor jou als medewerker?'''
* Zet een register op waarin je iedere verwerking documenteert. Deel dit register met onze privacyaanspreekpunten. Zij nemen het op in het register van Het Handje.
* Zorg ervoor dat het doel van alle gegevensverzamelingen in het register is opgenomen.
* Benoem ook afgeleide doelen. (Bij 'versturen van nieuwsbrief' kan horen 'doen van marktonderzoek op basis van e-mailadressen in database'.)
* Hanteer eenvoudig en duidelijk taalgebruik (Europees taalniveau B1/B2) in je privacyverklaring.
* Verwijs bij elk inschrijfformulier en andere plekken waar je gegevens verzamelt naar de privacyverklaring.
'''Praktijkvoorbeeld:'''

Dit beginsel vertaalt zich met name naar de '''privacyverklaring''': in klare taal specifiek benoemen wat we gaan doen en waarom (dus niet: “Wij verzamelen gegevens ten behoeve van een geoptimaliseerde gebruikservaring” maar “Wij tonen de producten die je waarschijnlijk het leukst vindt bovenaan”).

== Dataminimalisatie ==
Vanuit de eis van dataminimalisatie mag je niet meer gegevens verzamelen of gebruiken dan nodig voor je doelen. Dit vereist dus een kritische blik: waarom vragen wij eigenlijk al deze gegevens, kan het niet een onsje minder zijn? Het credo is dan ook: "Het gaat om ''need to have'', niet om ''nice to have!"''. Alleen gegevens die echt noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld.

Dit principe rust op drie belangrijke pijlers:

# '''Vooraf bepaald doel''': Voordat je start met het verzamelen van gegevens, moet je een duidelijk en legitiem doel hebben vastgesteld. Het is niet toegestaan om gegevens te verzamelen voor eventueel toekomstig gebruik of "voor het geval dat".
# '''Need to have''': Alleen die gegevens die absoluut noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld. Voor elk persoonsgegevens moet je kunnen verantwoorden waarom het onmisbaar is.
# '''Beperkte gegevensverzameling''': De verzameling moet zo beperkt mogelijk blijven. Dit betekent dat je:
#* Regelmatig beoordeelt of je nog steeds alle gegevens nodig hebt
#* Gegevens verwijdert zodra ze niet meer nodig zijn
#* Waar mogelijk kiest voor geanonimiseerde of gepseudonimiseerde gegevens
'''Wat betekent dit voor jou als medewerker?'''
* Benoem bij elke verwerking welke persoonsgegevens je verzamelt en per persoonsgegeven waarom dit nodig en onmisbaar is voor die verwerking.
* Benoem bij elke stap in een verwerkingsproces welke persoonsgegevens hier kunnen worden verwijderd of geanonimiseerd.
'''Let op''': je beoordeelt de noodzakelijkheid van de verwerking van persoonsgegevens altijd voorafgaand aan de verwerking. Je moet dus vooraf weten of er überhaupt een '''doel''' is voor de verwerking van die specifieke persoonsgegevens. En zo ja, of dan al die persoonsgegevens nodig zijn voor dat doel. Het verzamelen van gegevens omdat je hier mogelijk ooit een doel aan kunt koppelen is dus een echte ''no go'' binnen Het Handje!

'''Praktijkvoorbeeld:'''

Bij het organiseren van een evenement komt een heleboel registratie kijken. Hierbij is het erg belangrijk om rekening te houden met het beginsel van dataminimalisatie. Welke data heb je nou echt nodig? Nadat je deze vraag hebt gesteld, kan het zo zijn dat de '''need to haves''' bijvoorbeeld alleen maar de namen, e-mailadressen en dieetwensen van aanwezigen zijn. De '''nice to haves''' zoals geboortedatum, hobby's en privé telefoonnummers mag je dan niet verzamelen.

== Juistheid ==
Dit beginsel vereist dat persoonsgegevens correct zijn en ook blijven. De eis van juistheid is ook relevant bij het bewaren van persoonsgegevens. Immers, hoe ouder persoonsgegevens zijn hoe groter de kans dat ze verouderd of irrelevant worden. Het zal dus nodig zijn om te rechtvaardigen dat je gegevens langdurig bewaart.

'''Wat betekent dit voor jou als medewerker?'''
* Zorg voor validatie van nieuw ontvangen gegevens, zoals een controle of postcode en straatnaam wel bij elkaar horen.
* Controleer periodiek of steekproefsgewijs of gegevens nog kloppen.
* Bied mensen de mogelijkheid zelf hun gegevens te controleren, stuur ze bijvoorbeeld periodiek een overzicht of nodig ze uit in te loggen om de gegevens na te lopen.
* Zorg dat bij processen met lange bewaartermijnen een periodieke controle op juistheid wordt uitgevoerd. (Personeelsgegevens, maar ook studentengegevens worden jaarlijks gecontroleerd binnen Het Handje.)
'''Praktijkvoorbeeld'''

Dit doen Het Handje bijvoorbeeld door de laatste 4 cijfers van iemands IBAN te delen in de betalingsherinnering wanneer een incasso binnen ons Membershipprogramma is mislukt. Op die manier laten we de ontvanger van de betalingsherinnering controleren of er misschien verouderde gegevens gehanteerd worden door ons.

== Bewaartermijnen ==
Dit beginsel vereist dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Dit betekent dat je moet vaststellen hoe lang je gegevens nodig hebt, en dat je ook daadwerkelijk de gegevens daarna verwijdert. Het is niet genoeg om te wachten tot mensen een verzoek tot verwijdering indienen of te stellen dat je zaken in de toekomst wellicht nog nodig hebt en ze daarom voor de zekerheid bewaart. Kort gezegd: gegevens moeten weg tenzij je ze nog echt nodig hebt.

'''Wat betekent dit voor jou als medewerker?'''
* Ga na welke bewaartermijn je nodig hebt voor welke gegevens en documenteer ook dit.
* Zorg dat je gegevens ook daadwerkelijk verwijdert als ze niet meer nodig zijn.
'''Let op:''' niet alle bewaartermijnen worden door onszelf bepaald. Sommige bewaartermijnen liggen besloten in een bepaalde wet (denk aan een bewaartermijn die voorkomt uit een bewaarplicht voor de Belastingdienst bij facturatiegegevens).

== Integriteit en Veiligheid ==
Als laatste eisen de beginselen van integriteit en veiligheid dat gegevens [[Passende beveiliging|adequaat beveiligd]] moeten zijn, waarmee wordt geborgd dat deze niet zomaar kunnen lekken of worden gebruikt voor niet-toegestane doeleinden. Samenhangend hiermee zijn de eisen van '''privacy by design''' en '''privacy by default'''. Dit gaat niet alleen over beveiliging tegen hacken, maar ook over borgen van geautoriseerd gebruik, kunnen zien wat er gebeurt en voorkomen dat gegevens worden aangetast of gewist terwijl dat niet de bedoeling is.

'''Wat betekenen de eisen van integriteit en veiligheid betekenen voor jou als medewerker?'''
* Implementeer beveiligingsbeleid om toegang tot persoonsgegevens aan banden te leggen.
* Implementeer logging waarmee je kunt zien wie wat doet met persoonsgegevens, in ieder geval voor ongebruikelijke of ongewenste vormen van gebruik.
* Verlang van jouw leveranciers documentatie over privacy by design in hun systemen.
* Verlang van jouw leveranciers dat geleverde systemen volgens privacy by default afgeschermd zijn.

De beginselen bij het verwerken van persoonsgegevens

2024-11-19T15:48:20Z

Editor 7:

In onze dynamische digitale omgeving is het van essentieel belang dat we zorgvuldig omgaan met persoonsgegevens. De Algemene Verordening Gegevensbescherming (AVG) legt zes fundamentele beginselen op, waaraan al onze [[Verwerking|gegevensverwerkingen]] moeten voldoen. Deze principes dienen als leidraad voor elke stap die we nemen en bepalen hoe we [[persoonsgegevens]] behandelen.

De zes fundamentele beginselen zijn:

# Rechtmatigheid en transparantie
# Welbepaaldheid en duidelijkheid
# Dataminimalisatie
# Juistheid
# Bewaartermijnen
# Integriteit en veiligheid 

== Rechtmatigheid en transparantie ==
Het eerste beginsel vereist dat de gegevensverwerking rechtmatig en '''transparant''' is. Praktisch vertaald: het moet netjes en maatschappelijk aanvaard zijn wat we van plan zijn, en we moet er duidelijk over zijn. Dit betekent dus dat wij zo veel mogelijk informatie geven over wat er gebeurt (vermijdt hierbij natuurlijk het vermelden van bedrijfsgeheimen). Ook moeten we een specifieke [[Grondslagen|grondslag]] kunnen aanwijzen, zoals [[Grondslagen#Toestemming|toestemming]], [[Grondslagen#Uitvoering van een overeenkomst|de uitvoering van een overeenkomst]] of een [[Grondslagen#Wettelijke verplichting|wettelijke plicht]]. De uitwerking hiervan in de wet vind je in artikelen 13 en 14 AVG.

'''Wat betekent dit voor jou als medewerker?'''
* Wees transparant en volledig in je communicatie.
* Onderbouw waarom je bepaalde gegevens verwerkt.
* Zorg voor een heldere privacyverklaring en verwijs hiernaar bij gegevensverzameling.
* Zorg dat de betrokken medewerkers kennis hebben van de rechten omtrent persoonsgegevens en klanten de juiste informatie geven. Uiteraard krijgen zij hiervoor bewustwordingstrainingen op maat, maar help je collega's een handje als je merkt dat de kennis onverhoopt ontbreekt.
'''Praktijkvoorbeeld:'''

Bij het opstarten van een nieuwe marketingcampagne moet je eerst bepalen op welke grondslag je de gegevens mag gebruiken (bijvoorbeeld toestemming) en dit vervolgens duidelijk communiceren naar de klanten.

== Welbepaaldheid en duidelijkheid ==
Dit beginsel vereist dat vooraf concrete doelen zijn bepaald voor gegevensverwerking en dat deze in '''begrijpelijke taal''' worden gecommuniceerd naar betrokkenen: in het geval van Het Handje veelal klanten, maar denk hierbij ook aan collega's.

'''Wat betekent dit voor jou als medewerker?'''
* Zet een register op waarin je iedere verwerking documenteert. Deel dit register met onze privacyaanspreekpunten. Zij nemen het op in het register van Het Handje.
* Zorg ervoor dat het doel van alle gegevensverzamelingen in het register is opgenomen.
* Benoem ook afgeleide doelen. (Bij 'versturen van nieuwsbrief' kan horen 'doen van marktonderzoek op basis van e-mailadressen in database'.)
* Hanteer eenvoudig en duidelijk taalgebruik (Europees taalniveau B1/B2) in je privacyverklaring.
* Verwijs bij elk inschrijfformulier en andere plekken waar je gegevens verzamelt naar de privacyverklaring.
'''Praktijkvoorbeeld:'''

Dit beginsel vertaalt zich met name naar de '''privacyverklaring''': in klare taal specifiek benoemen wat we gaan doen en waarom (dus niet: “Wij verzamelen gegevens ten behoeve van een geoptimaliseerde gebruikservaring” maar “Wij tonen de producten die je waarschijnlijk het leukst vindt bovenaan”).

== Dataminimalisatie ==
Vanuit de eis van dataminimalisatie mag je niet meer gegevens verzamelen of gebruiken dan nodig voor je doelen. Dit vereist dus een kritische blik: waarom vragen wij eigenlijk al deze gegevens, kan het niet een onsje minder zijn? Het credo is dan ook: "Het gaat om ''need to have'', niet om ''nice to have!"''. Alleen gegevens die echt noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld.

Dit principe rust op drie belangrijke pijlers:

# '''Vooraf bepaald doel''': Voordat je start met het verzamelen van gegevens, moet je een duidelijk en legitiem doel hebben vastgesteld. Het is niet toegestaan om gegevens te verzamelen voor eventueel toekomstig gebruik of "voor het geval dat".
# '''Need to have''': Alleen die gegevens die absoluut noodzakelijk zijn voor het bereiken van je doel mogen worden verzameld. Voor elk persoonsgegevens moet je kunnen verantwoorden waarom het onmisbaar is.
# '''Beperkte gegevensverzameling''': De verzameling moet zo beperkt mogelijk blijven. Dit betekent dat je:
#* Regelmatig beoordeelt of je nog steeds alle gegevens nodig hebt
#* Gegevens verwijdert zodra ze niet meer nodig zijn
#* Waar mogelijk kiest voor geanonimiseerde of gepseudonimiseerde gegevens
'''Wat betekent dit voor jou als medewerker?'''
* Benoem bij elke verwerking welke persoonsgegevens je verzamelt en per persoonsgegeven waarom dit nodig en onmisbaar is voor die verwerking.
* Benoem bij elke stap in een verwerkingsproces welke persoonsgegevens hier kunnen worden verwijderd of geanonimiseerd.
'''Let op''': je beoordeelt de noodzakelijkheid van de verwerking van persoonsgegevens altijd voorafgaand aan de verwerking. Je moet dus vooraf weten of er überhaupt een '''doel''' is voor de verwerking van die specifieke persoonsgegevens. En zo ja, of dan al die persoonsgegevens nodig zijn voor dat doel. Het verzamelen van gegevens omdat je hier mogelijk ooit een doel aan kunt koppelen is dus een echte ''no go'' binnen Het Handje!

'''Praktijkvoorbeeld:'''

Bij het organiseren van een evenement komt een heleboel registratie kijken. Hierbij is het erg belangrijk om rekening te houden met het beginsel van dataminimalisatie. Welke data heb je nou echt nodig? Nadat je deze vraag hebt gesteld, kan het zo zijn dat de '''need to haves''' bijvoorbeeld alleen maar de namen, e-mailadressen en dieetwensen van aanwezigen zijn. De '''nice to haves''' zoals geboortedatum, hobby's en privé telefoonnummers mag je dan niet verzamelen.

== Juistheid ==
Dit beginsel vereist dat persoonsgegevens correct zijn en ook blijven. De eis van juistheid is ook relevant bij het bewaren van persoonsgegevens. Immers, hoe ouder persoonsgegevens zijn hoe groter de kans dat ze verouderd of irrelevant worden. Het zal dus nodig zijn om te rechtvaardigen dat je gegevens langdurig bewaart.

'''Wat betekent dit voor jou als medewerker?'''
* Zorg voor validatie van nieuw ontvangen gegevens, zoals een controle of postcode en straatnaam wel bij elkaar horen.
* Controleer periodiek of steekproefsgewijs of gegevens nog kloppen.
* Bied mensen de mogelijkheid zelf hun gegevens te controleren, stuur ze bijvoorbeeld periodiek een overzicht of nodig ze uit in te loggen om de gegevens na te lopen.
* Zorg dat bij processen met lange bewaartermijnen een periodieke controle op juistheid wordt uitgevoerd. (Personeelsgegevens, maar ook studentengegevens worden jaarlijks gecontroleerd binnen Het Handje.)
'''Praktijkvoorbeeld'''

Dit doen Het Handje bijvoorbeeld door de laatste 4 cijfers van iemands IBAN te delen in de betalingsherinnering wanneer een incasso binnen ons Membershipprogramma is mislukt. Op die manier laten we de ontvanger van de betalingsherinnering controleren of er misschien verouderde gegevens gehanteerd worden door ons.

== Bewaartermijnen ==
Dit beginsel vereist dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Dit betekent dat je moet vaststellen hoe lang je gegevens nodig hebt, en dat je ook daadwerkelijk de gegevens daarna verwijdert. Het is niet genoeg om te wachten tot mensen een verzoek tot verwijdering indienen of te stellen dat je zaken in de toekomst wellicht nog nodig hebt en ze daarom voor de zekerheid bewaart. Kort gezegd: gegevens moeten weg tenzij je ze nog echt nodig hebt.

'''Wat betekent dit voor jou als medewerker?'''
* Ga na welke bewaartermijn je nodig hebt voor welke gegevens en documenteer ook dit.
* Zorg dat je gegevens ook daadwerkelijk verwijdert als ze niet meer nodig zijn.
'''Let op:''' niet alle bewaartermijnen worden door onszelf bepaald. Sommige bewaartermijnen liggen besloten in een bepaalde wet (denk aan een bewaartermijn die voorkomt uit een bewaarplicht voor de Belastingdienst bij facturatiegegevens).

== Integriteit en Veiligheid ==
Als laatste eisen de beginselen van integriteit en veiligheid dat gegevens [[Passende beveiliging|adequaat beveiligd]] moeten zijn, waarmee wordt geborgd dat deze niet zomaar kunnen lekken of worden gebruikt voor niet-toegestane doeleinden. Samenhangend hiermee zijn de eisen van '''privacy by design''' en '''privacy by default'''. Dit gaat niet alleen over beveiliging tegen hacken, maar ook over borgen van geautoriseerd gebruik, kunnen zien wat er gebeurt en voorkomen dat gegevens worden aangetast of gewist terwijl dat niet de bedoeling is.

'''Wat betekenen de eisen van integriteit en veiligheid betekenen voor jou als medewerker?'''
* Implementeer beveiligingsbeleid om toegang tot persoonsgegevens aan banden te leggen.
* Implementeer logging waarmee je kunt zien wie wat doet met persoonsgegevens, in ieder geval voor ongebruikelijke of ongewenste vormen van gebruik.
* Verlang van jouw leveranciers documentatie over privacy by design in hun systemen.
* Verlang van jouw leveranciers dat geleverde systemen volgens privacy by default afgeschermd zijn.

Passende beveiliging

2024-11-19T15:46:59Z

Editor 7: /* Encryptie */

Datalekken

2024-11-19T11:58:41Z

Editor 7: /* Beveiligingsincident vs datalek */

Sinds 25 mei 2018 zitten we met de [[AVG]]. In de AVG wordt het begrip ‘datalekken’ gekoppeld aan een meldplicht voor [[Over de organisatie|Het Handje]] wanneer een datalek plaatsvindt dat ernstig genoeg is. Een organisatie die [[persoonsgegevens]] niet goed beveiligt (en daarmee een risico op datalekken loopt), of een bij haar bekend geworden datalek niet meldt, loopt kans op flinke boetes. Om maar niet te spreken over de mogelijke reputatieschade die het gevolg kan zijn van het onzorgvuldig omgaan met een (mogelijk) datalek. Wat betekent dit nou allemaal voor [[Over de organisatie|Het Handje]]? Hieronder staan we stil bij vragen zoals: wanneer is iets een datalek? Wat doe je als een datalek plaatsvindt en wanneer/hoe moet je melden? En, aan wie eigenlijk?

Wil je meer weten over de concrete stappen die je binnen Het Handje moet nemen wanneer je een datalek hebt gespot of vermoedt? Check dan [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken]]'.

=== Wat is een datalek? ===
In de [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken']] werd de definitie al even toegelicht. Een datalek wordt in de AVG een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging ('''voorbeeld''': het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

==== Beveiligingsincident vs. datalek ====
Een datalek ontstaat dus altijd doordat er een inbreuk op de beveiliging heeft plaatsgevonden. Zo'n inbreuk kan ontstaan doordat er sprake is van een beveiligingslek (denk aan het niet op slot doen van een kast met gevoelige documenten). Leidt een zwakke beveiliging (een beveiligingslek) tot een beveiligingsincident én zijn daar persoonsgegevens bij betrokken (iemand zonder de bevoegdheid opent de kast en neemt documenten met persoonsgegevens mee) dan is er dus sprake van een datalek.

Je kan dus beveiligingsincidenten hebben die geen datalekken zijn, maar je hebt andersom geen datalekken die geen beveiligingsincident zijn.

==== Aard van de inbreuk en aard van het incident ====
De aard van de inbreuk is terug te herleiden tot het type of de aard van het beveiligingsincident dat heeft plaatsgevonden. Hier zijn verschillende type inbreuken mogelijk:

* Een inbreuk op de vertrouwelijkheid
* Een inbreuk op de integriteit
* Een inbreuk op de beschikbaarheid

De aard van de inbreuk volgt uit dus uit de aard van het ''beveiligingsincident''.

* Een inbreuk op de vertrouwelijkheid (inbreuk) kan bijvoorbeeld ontstaan doordat een ''e-mail met informatie verstuurd is aan een verkeerde ontvanger'' (incident).
* Een inbreuk op de integriteit (inbreuk) kan bijvoorbeeld ontstaan doordat er ''een hack plaats heeft gevonden en er informatie in systemen door onbevoegden is gewijzigd'' (incident).
* Een inbreuk op de beschikbaarheid (inbreuk) vindt plaats wanneer er bijvoorbeeld ''brand uitbreekt in een datacenter en informatie verloren gaat'' (incident).

Zoals we hierboven hebben kunnen lezen is er sprake van een datalek wanneer er persoonsgegevens betrokken zijn bij het beveiligingsincident. Bijvoorbeeld wanneer de verstuurde e-mail persoonsgegevens bevatte die onbekend waren voor de ontvanger (en ook zouden moeten zijn), of wanneer er bij de brand in het datacenter persoonsgegevens verloren gaan.

Logischerwijs kan er bij één incident sprake zijn van meerdere inbreuken. Bij een hack waarbij gegevens worden gewijzigd (integriteit) moet de onbevoegde deze gegevens dus ook in kunnen zien (vertrouwelijkheid). Zo zijn er nog meer voorbeelden te bedenken.

=== Wanneer moet Het Handje een datalek melden en aan wie? ===
Zoals we hebben gelezen bestaat een datalek uit een beveiligingsinbreuk waar persoonsgegevens bij betrokken zijn. Organisaties zijn op basis van de AVG verplicht om alle datalekken intern te registreren. Niet alleen leer je hierdoor van incidenten uit het verleden, maar incidenten kunnen zich over de tijd heen ook ontwikkelen wanneer nieuwe informatie naar boven komt. Het is dan goed om alle informatie op één plek te hebben staan. Ook kan een toezichthouder zoals de Nederlandse Autoriteit Persoonsgegevens toegang vragen tot die informatie, die te vinden is in je datalekkenregister.

Wanneer een datalek ook daadwerkelijk een risico met zich meebrengt voor de betrokkene, dan dien je het datalek te melden bij de Autoriteit Persoonsgegevens. Dit is verplicht omdat de Autorteit op die manier datalekken kan monitoren en in kan grijpen wanneer de meldende partij onvoldoende passende maatregelen neemt t.a.v. het lek, of wanneer het lek blijkt gevaarlijk te zijn voor de betrokkenen.

Is er sprake van een hoog risico? Dan moet je niet alleen aan de Autoriteit Persoonsgegevens melding maken van het datalek, maar zul je ook de betrokkenen moeten informeren over het lek. Bij een hoog risico is dat noodzakelijk omdat betrokkenen moeten weten wat er is gebeurd en hoe ze zich eventueel kunnen beschermen tegen de negatieve gevolgen van het datalek. Een hoog risico ontstaat bijvoorbeeld bij een datalek waar bijzondere persoonsgegevens bij betrokken waren, bij phishing, hacking en ransomware-aanvallen (omdat de gevolgen vaak onduidelijk zijn) en bij incidenten die mogelijk identiteitsdiefstal of discriminatie tot gevolg hebben voor de betrokkenen. Een hoog risico kan echter ook uit andere factoren volgen, zoals de groep tot wie de betrokkenen behoren (leden van bepaalde groepen of minderheden). Risico's moeten daarom per geval ingeschat worden.

In RegiServ word je niet gevraagd om te oordelen over de ernst van het incident en dus hoe hoog het risico is. Daarover beslissen de privacy aanspreekpunten.

=== Voorbeelden recente datalekken ===

== Verder lezen: ==

* [[Wat is een datalek?]]
* [[Wanneer moet Het Handje een datalek melden?]]
* [[Uitleg melden datalek]]
* [[Voorbeelden recente datalekken]]

Datalekken

2024-11-19T11:57:36Z

Editor 7: /* Wat is een datalek? */

Sinds 25 mei 2018 zitten we met de [[AVG]]. In de AVG wordt het begrip ‘datalekken’ gekoppeld aan een meldplicht voor [[Over de organisatie|Het Handje]] wanneer een datalek plaatsvindt dat ernstig genoeg is. Een organisatie die [[persoonsgegevens]] niet goed beveiligt (en daarmee een risico op datalekken loopt), of een bij haar bekend geworden datalek niet meldt, loopt kans op flinke boetes. Om maar niet te spreken over de mogelijke reputatieschade die het gevolg kan zijn van het onzorgvuldig omgaan met een (mogelijk) datalek. Wat betekent dit nou allemaal voor [[Over de organisatie|Het Handje]]? Hieronder staan we stil bij vragen zoals: wanneer is iets een datalek? Wat doe je als een datalek plaatsvindt en wanneer/hoe moet je melden? En, aan wie eigenlijk?

Wil je meer weten over de concrete stappen die je binnen Het Handje moet nemen wanneer je een datalek hebt gespot of vermoedt? Check dan [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken]]'.

=== Wat is een datalek? ===
In de [[Omgang met datalekken binnen Het Handje|'Spelregel: omgang met datalekken']] werd de definitie al even toegelicht. Een datalek wordt in de AVG een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging ('''voorbeeld''': het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

==== Beveiligingsincident vs datalek ====
Een datalek ontstaat dus altijd doordat er een inbreuk op de beveiliging heeft plaatsgevonden. Zo'n inbreuk kan ontstaan doordat er sprake is van een beveiligingslek (denk aan het niet op slot doen van een kast met gevoelige documenten). Leidt een zwakke beveiliging (een beveiligingslek) tot een beveiligingsincident én zijn daar persoonsgegevens bij betrokken (iemand zonder de bevoegdheid opent de kast en neemt documenten met persoonsgegevens mee) dan is er dus sprake van een datalek.

Je kan dus beveiligingsincidenten hebben die geen datalekken zijn, maar je hebt andersom geen datalekken die geen beveiligingsincident zijn.

==== Aard van de inbreuk en aard van het incident ====
De aard van de inbreuk is terug te herleiden tot het type of de aard van het beveiligingsincident dat heeft plaatsgevonden. Hier zijn verschillende type inbreuken mogelijk:

* Een inbreuk op de vertrouwelijkheid
* Een inbreuk op de integriteit
* Een inbreuk op de beschikbaarheid

De aard van de inbreuk volgt uit dus uit de aard van het ''beveiligingsincident''.

* Een inbreuk op de vertrouwelijkheid (inbreuk) kan bijvoorbeeld ontstaan doordat een ''e-mail met informatie verstuurd is aan een verkeerde ontvanger'' (incident).
* Een inbreuk op de integriteit (inbreuk) kan bijvoorbeeld ontstaan doordat er ''een hack plaats heeft gevonden en er informatie in systemen door onbevoegden is gewijzigd'' (incident).
* Een inbreuk op de beschikbaarheid (inbreuk) vindt plaats wanneer er bijvoorbeeld ''brand uitbreekt in een datacenter en informatie verloren gaat'' (incident).

Zoals we hierboven hebben kunnen lezen is er sprake van een datalek wanneer er persoonsgegevens betrokken zijn bij het beveiligingsincident. Bijvoorbeeld wanneer de verstuurde e-mail persoonsgegevens bevatte die onbekend waren voor de ontvanger (en ook zouden moeten zijn), of wanneer er bij de brand in het datacenter persoonsgegevens verloren gaan.

Logischerwijs kan er bij één incident sprake zijn van meerdere inbreuken. Bij een hack waarbij gegevens worden gewijzigd (integriteit) moet de onbevoegde deze gegevens dus ook in kunnen zien (vertrouwelijkheid). Zo zijn er nog meer voorbeelden te bedenken.

=== Wanneer moet Het Handje een datalek melden en aan wie? ===
Zoals we hebben gelezen bestaat een datalek uit een beveiligingsinbreuk waar persoonsgegevens bij betrokken zijn. Organisaties zijn op basis van de AVG verplicht om alle datalekken intern te registreren. Niet alleen leer je hierdoor van incidenten uit het verleden, maar incidenten kunnen zich over de tijd heen ook ontwikkelen wanneer nieuwe informatie naar boven komt. Het is dan goed om alle informatie op één plek te hebben staan. Ook kan een toezichthouder zoals de Nederlandse Autoriteit Persoonsgegevens toegang vragen tot die informatie, die te vinden is in je datalekkenregister.

Wanneer een datalek ook daadwerkelijk een risico met zich meebrengt voor de betrokkene, dan dien je het datalek te melden bij de Autoriteit Persoonsgegevens. Dit is verplicht omdat de Autorteit op die manier datalekken kan monitoren en in kan grijpen wanneer de meldende partij onvoldoende passende maatregelen neemt t.a.v. het lek, of wanneer het lek blijkt gevaarlijk te zijn voor de betrokkenen.

Is er sprake van een hoog risico? Dan moet je niet alleen aan de Autoriteit Persoonsgegevens melding maken van het datalek, maar zul je ook de betrokkenen moeten informeren over het lek. Bij een hoog risico is dat noodzakelijk omdat betrokkenen moeten weten wat er is gebeurd en hoe ze zich eventueel kunnen beschermen tegen de negatieve gevolgen van het datalek. Een hoog risico ontstaat bijvoorbeeld bij een datalek waar bijzondere persoonsgegevens bij betrokken waren, bij phishing, hacking en ransomware-aanvallen (omdat de gevolgen vaak onduidelijk zijn) en bij incidenten die mogelijk identiteitsdiefstal of discriminatie tot gevolg hebben voor de betrokkenen. Een hoog risico kan echter ook uit andere factoren volgen, zoals de groep tot wie de betrokkenen behoren (leden van bepaalde groepen of minderheden). Risico's moeten daarom per geval ingeschat worden.

In RegiServ word je niet gevraagd om te oordelen over de ernst van het incident en dus hoe hoog het risico is. Daarover beslissen de privacy aanspreekpunten.

=== Voorbeelden recente datalekken ===

== Verder lezen: ==

* [[Wat is een datalek?]]
* [[Wanneer moet Het Handje een datalek melden?]]
* [[Uitleg melden datalek]]
* [[Voorbeelden recente datalekken]]

DPIA

2024-11-19T11:55:49Z

Editor 7:

== DPIA in het kort ==
Een Data Protection Impact Assessment (DPIA) wordt ook wel een gegevensbeschermingseffectbeoordeling (GEB) genoemd. Wanneer een organisatie persoonsgegevens gaat verwerken en zij beoordelen dat hierbij een hoog privacy risico ontstaat, moet een DPIA worden uitgevoerd. De DPIA is een instrument waarbij de organisatie inzicht verkrijgt in de privacy risico’s die een gegevensverwerking met zich mee brengt. De DPIA wordt dus uitgevoerd, voordat de gegevensverwerking plaatsvindt. Uit de DPIA volgen de maatregelen die een organisatie moet treffen om de ingeschatte risico’s te verkleinen. Het uitvoeren van DPIA’s valt onder de verantwoordingsplicht.

== Wanneer een DPIA uitvoeren? ==
Een organisatie moet zelf de inschatting maken óf een DPIA uitgevoerd moet worden. Hierin is leidend of er een hoog privacyrisico ontstaat bij de gegevensverwerking. De Europese privacytoezichthouders hebben een handreiking opgesteld voor de gevallen waarin in ieder geval een DPIA uitgevoerd moet worden.

Uitgangspunt hierbij is dat een DPIA moet worden uitgevoerd als de verwerking aan 2 of meer van de onderstaande criteria voldoet:

# Beoordelen van mensen op basis van persoonskenmerken
# Geautomatiseerde besluiten
# Stelselmatige en grootschalige monitoring
# Gevoelige gegevens (bijvoorbeeld bijzondere persoonsgegevens, zoals strafrechtelijke gegevens)
# Grootschalige gegevensverwerkingen
# Gekoppelde databases
# Gegevens over kwetsbare personen
# Gebruik van nieuwe technologieën
# Blokkering van een recht, dienst of contract
De DPIA moet worden uitgevoerd vóór de gegevensverwerking en is een belangrijk onderdeel van de verantwoordingsplicht van organisaties in het kader van de gegevensbescherming. Het helpt organisaties aan te tonen dat ze de nodige stappen hebben ondernomen om de privacy van de betrokkenen te beschermen.

=== DPIA in de ontwerpfase ===
De AVG gaat uit van het privacy by design en privacy by default principe. Om aan deze principes te voldoen, is het van belang dat een DPIA al in de ontwerpfase van de gegevensverwerking wordt uitgevoerd. Zo voorkomt de organisatie dat er onrechtmatig te grote privacy risico’s worden genomen. Het uitvoeren van een DPIA is geen eenmalige taak, maar een continu proces. Verandert er iets in het proces van gegevensverwerking, moet er een nieuwe DPIA uitgevoerd worden.
Als de organisatie een Functionaris Gegevensbescherming (FG) heeft aangesteld, is het verplicht om bij deze advies in te winnen met betrekking tot de DPIA. De FG houdt intern toezicht op de gegevensverwerkingen en naleving van de AVG.

=== Aandachtspunten bij het uitvoeren van een DPIA ===
Het uitvoeren van een DPIA is een belangrijk proces dat zorgvuldig moet worden aangepakt. Een van de meest cruciale aspecten is de timing. Begin altijd met de DPIA voordat je start met de gegevensverwerking. Dit is niet alleen een wettelijke verplichting, maar geeft je ook de mogelijkheid om privacy direct vanaf het begin goed te regelen.

Ook is het essentieel om de juiste mensen bij het proces te betrekken. Een DPIA is geen individuele taak, maar een teamproject. Betrek experts uit verschillende disciplines zoals IT, beveiliging en juridische zaken. Vergeet ook niet de Functionaris Gegevensbescherming te consulteren - zijn/haar expertise en onafhankelijke blik zijn waardevol voor een goede beoordeling. Als het mogelijk is, is het ook zinvol om input te vragen van de mensen wiens gegevens je gaat verwerken. Zij kunnen vaak praktische inzichten bieden die je anders over het hoofd zou zien.
Documentatie is een ander cruciaal aspect van de DPIA. Leg alle stappen en overwegingen zorgvuldig vast. Dit is niet alleen belangrijk voor de verantwoording, maar helpt ook bij:

* Het evalueren en bijstellen van maatregelen
* Het overdragen van kennis binnen de organisatie
* Het aantonen van compliance aan toezichthouders
* Het verbeteren van toekomstige DPIA's

Bij het uitvoeren van de DPIA is het belangrijk om:

* Realistisch te zijn over de risico's - onderschatting kan later problemen opleveren
* Zowel naar technische als organisatorische aspecten te kijken
* Concrete en haalbare maatregelen te bedenken voor gevonden risico's
* Regelmatig te evalueren of de beoordeling nog actueel is

Bedenk ook dat een DPIA geen eenmalige activiteit is. Technologie, processen en risico's veranderen continu. Plan daarom periodieke evaluaties in om te beoordelen of de DPIA nog actueel is en of de genomen maatregelen nog effectief zijn. Stel de DPIA bij als er significante veranderingen zijn in de manier waarop je persoonsgegevens verwerkt.

DPIA

2024-11-19T11:41:25Z

Editor 7:

Een Data Protection Impact Assessment (DPIA) wordt ook wel een gegevensbeschermingseffectbeoordeling (GEB) genoemd. Wanneer een organisatie persoonsgegevens gaat verwerken en zij beoordelen dat hierbij een hoog privacy risico ontstaat, moet een DPIA worden uitgevoerd.

== Waarom een DPIA uitvoeren? ==
De DPIA is een instrument waarbij de organisatie inzicht verkrijgt in de privacy risico’s die een gegevensverwerking met zich mee brengt. De DPIA wordt dus uitgevoerd, voordat de gegevensverwerking plaatsvindt. Uit de DPIA volgen de maatregelen die een organisatie moet treffen om de ingeschatte risico’s te verkleinen. Het uitvoeren van DPIA’s valt onder de verantwoordingsplicht.

== Wanneer een DPIA uitvoeren? ==
Een organisatie moet zelf de inschatting maken óf een DPIA uitgevoerd moet worden. Hierin is leidend of er een hoog privacyrisico ontstaat bij de gegevensverwerking. De Europese privacytoezichthouders hebben een handreiking opgesteld voor de gevallen waarin in ieder geval een DPIA uitgevoerd moet worden.

Uitgangspunt hierbij is dat een DPIA moet worden uitgevoerd als de verwerking aan 2 of meer van de onderstaande criteria voldoet:

# Beoordelen van mensen op basis van persoonskenmerken
# Geautomatiseerde besluiten
# Stelselmatige en grootschalige monitoring
# Gevoelige gegevens (bijvoorbeeld bijzondere persoonsgegevens, zoals strafrechtelijke gegevens)
# Grootschalige gegevensverwerkingen
# Gekoppelde databases
# Gegevens over kwetsbare personen
# Gebruik van nieuwe technologieën
# Blokkering van een recht, dienst of contract

==== DPIA in de ontwerpfase ====
De AVG gaat uit van het privacy by design en privacy by default principe. Om aan deze principes te voldoen, is het van belang dat een DPIA al in de ontwerpfase van de gegevensverwerking wordt uitgevoerd. Zo voorkomt de organisatie dat er onrechtmatig te grote privacy risico’s worden genomen. Het uitvoeren van een DPIA is geen eenmalige taak, maar een continu proces. Verandert er iets in het proces van gegevensverwerking, moet er een nieuwe DPIA uitgevoerd worden.
Als de organisatie een Functionaris Gegevensbescherming (FG) heeft aangesteld, is het verplicht om bij deze advies in te winnen met betrekking tot de DPIA. De FG houdt intern toezicht op de gegevensverwerkingen en naleving van de AVG.

Betrokkene

2024-11-19T11:36:12Z

Editor 7: Nieuwe pagina aangemaakt met 'Een betrokkene is simpel gezegd iemand van wie persoonsgegevens worden verwerkt. Het gaat altijd om een levend persoon - niet om bedrijven of organisaties. Als een organisatie gegevens over jou verzamelt of gebruikt, ben jij de betrokkene. == Wanneer ben je (g)een betrokkene? == Je bent een betrokkene als een organisatie persoonsgegevens van jou heeft die: * Direct naar jou verwijzen (zoals je naam of BSN-nummer) * Indirect naar jou kunnen leiden (zoals...'

Een betrokkene is simpel gezegd iemand van wie persoonsgegevens worden verwerkt. Het gaat altijd om een levend persoon - niet om bedrijven of organisaties. Als een organisatie gegevens over jou verzamelt of gebruikt, ben jij de betrokkene.

== Wanneer ben je (g)een betrokkene? ==
Je bent een betrokkene als een organisatie [[persoonsgegevens]] van jou heeft die:

* Direct naar jou verwijzen (zoals je naam of BSN-nummer)
* Indirect naar jou kunnen leiden (zoals je IP-adres)

Het maakt niet uit of de organisatie je op dit moment kan identificeren. Als ze je met wat extra moeite kunnen identificeren, ben je al een betrokkene.

Let op: ook als je maar een klein beetje informatie over iemand hebt, kan diegene al een betrokkene zijn. Het gaat er niet om hoeveel gegevens je hebt, maar of je de persoon kunt identificeren - nu of in de toekomst. Een voorbeeld: als je alleen iemands IP-adres hebt, is die persoon al een betrokkene. Ook al ken je hun naam niet, met het IP-adres zou je kunnen achterhalen wie het is. Daarom moet je ook met dit soort gegevens zorgvuldig omgaan.

=== Voorbeelden uit de praktijk ===
Als je werknemer bent, ben je betrokkene bij je werkgever. Je werkgever verwerkt namelijk je persoonsgegevens zoals je naam, adres, salarisgegevens en functioneringsbeoordelingen. Wanneer je als klant aan het winkelen bent, ben je betrokkene bij de winkel. De winkel verwerkt namelijk je aankoopgeschiedenis, je klantkaartgegevens en je bezorgadres. En als burger ben je betrokkene bij verschillende overheidsinstantie, zij verwerken namelijk onder meer je identiteitsgegevens, belastinggegevens en zorggegevens.

=== Wanneer ben je geen betrokkene? ===
Er kan niet over een betrokkene worden gesproken als het om de gegevens van een bedrijf gaat, het om volledig anonieme gegevens gaat of wanneer iemand overleden is.

Let op: als gegevens zijn gepseudonimiseerd (bijvoorbeeld als je naam is vervangen door een code), blijf je wel een betrokkene. Zolang de organisatie je nog kan identificeren, ook al is dat via een omweg, val je onder de bescherming van de Europese privacywetgeving.

== Waarom is het van belang? ==
Als je betrokkene bent, heb je bepaalde rechten waar je je op kan beroepen. Zie voor meer info hierover de pagina [[Rechten van betrokkenen]]. Deze rechten zorgen ervoor dat je de controle houdt over je persoonsgegevens. Organisaties moeten deze rechten respecteren en je helpen als je er gebruik van wil maken.

Als organisatie is het daarom belangrijk om:

* Duidelijk vast te leggen wie je betrokkenen zijn;
* Te weten welke gegevens je van hen verwerkt;
* Een procedure te hebben voor als betrokkenen hun rechten willen gebruiken;
* Zorgvuldig om te gaan met alle persoonsgegevens;
* Alert te zijn op situaties waarin je indirect iemand kunt identificeren.

Welkom bij de Wiki van Het Handje

2024-11-19T11:36:05Z

Editor 7: /* Privacy: de basis */

Welkom bij de Wiki van '''[[Over de organisatie|Het Handje]] 💎.''' Hier kun je informatie vinden over de [[Over de organisatie|organisatie]] en over de [[Europese privacywetgeving#Algemene verordening gegevensbescherming (2018)|AVG]].

Alle informatie is bedoeld ter instructie van medewerkers van Het Handje. Met een gezamenlijk doel werken wij toe naar de slogan van onze privacyaanspreekpunten:

"Samen slimmer dan onze slimste horloges!" 🥸⌚
----Om het navigeren 🧭 door de Wiki een stukje eenvoudiger te maken volgt hieronder een korte '''leeswijzer 📖''':

''"'''Het Handje'''": hier is alle informatie te vinden over onze prachtige organisatie. Van wat meer informatie over het ontstaan tot informatie over specifieke onderdelen van de organisatie, alsook de mogelijkheid voor medewerkers om als eerste op de hoogte te zijn van onze nieuwste collectie 💍: het is hier allemaal te vinden!''

''"'''Privacy en Het Handje: spelregels & procedures'''": omdat geen enkele organisatie zonder iets van regeltjes kan, vind je hier alle informatie waar je rekening mee dient te houden als medewerker van Het Handje. Geen zorgen, je vindt hier geen dik boekwerk, maar handige spelregels en procedures die van toepassing zijn op thema's rondom privacy en security. Zo weet iedereen wat er van ze verwacht wordt en werken we toe naar een privacyvriendelijke werkwijze.''

''"'''Privacy: de basis'''": soms is het gewoon fijn om naslagwerk te hebben waarin kort en bondig uitgelegd wordt wat de regeltjes zijn uit de AVG en andere belangrijke wet- en regelgeving op het gebied van privacy en security. In "Privacy: de basis" vind je daarom de belangrijkste uitgangspunten m.b.t. essentiële privacy en security definities en eisen uit de AVG. Om het zo gemakkelijk mogelijk te maken vind je hier ook het boek "De AVG: artikelsgewijs commentaar" geschreven door een aantal juristen van juridisch advieskantoor ICTRecht 🌳. Erg handig wanneer je net wat meer uitleg wil bij de regeltjes uit de AVG.''

''"'''Veelgestelde vragen'''" 🤔: lijkt me duidelijk deze. Alle veelgestelde vragen zijn hier gebundeld, zodat je nooit lang hoeft te zoeken naar het antwoord op jouw prangende vragen.''
----➡️ Alle informatie in de Wiki is met elkaar verbonden. Dat wil zeggen dat je makkelijk kan klikken op linkjes in de tekst, die je kunt herkennen aan hun blauwe kleur. Klik je hierop dan kom je op een andere pagina in de Wiki uit met meer informatie over dat specifieke onderwerp. De Wiki staat vol met korte stappenplannen, diepgaande uitleg en leuke instructievideo's 📺. Zoek je naar een specifiek begrip of concept, overweeg dan ook om de zoekfunctie te gebruiken rechtsboven in beeld. Veel succes gewenst!

== Het Handje ==

* [[Over de organisatie]]
* [[Het Handje: Vakschool]]
* [[Het Handje: Campus]]
* [[Het Handje: Nieuwe collectie]]
* [[Het Handje: Onze mensen]]

== Privacy en Het Handje: spelregels & procedures ==

* [[Omgang met datalekken binnen Het Handje|Spelregel: omgang met datalekken]]
* [[Spelregel: omgang met rechten van betrokkenen]]
* [[Spelregel: intern en extern delen van persoonsgegevens]]
* [[Spelregel: sollicitatie(s)]]
* [[Camerabeleid|Procedure: camerabeleid]]
* [[Spelregel: beveiligingsmaatregelen]]
* [[Procedure: computernetwerk, internetgebruik en social media]]

== Privacy: de basis ==

* [[Alle artikelen uitgelegd|De AVG: artikelsgewijs commentaar]] (E-Boek)
* [[Europese privacywetgeving]]
* [[Persoonsgegevens]]
* [[Pseudonimiseren en anonimiseren]]
* [[De beginselen bij het verwerken van persoonsgegevens]]
* [[Grondslagen]]
* [[Datalekken]]
* [[Verwerking]]
* [[Passende beveiliging]]
* [[Handhaving en sancties]]
* [[Rechten van betrokkenen]]
* [[Rolverdeling verschillende partijen]]
* [[Bewaartermijnen]]
* [[DPIA]]
* [[Malware]]
* [[Phishing]]
* [[Privacy en security professionals]]
* [[Privacy bewustwording]]
* [[Niet-naleving AVG]]
* [[Informatiebeveiliging]]
* [[Betrokkene]]

== Veelgestelde vragen ==

[[Veelgestelde vragen]]
* [[Toepassingsbereik|Wanneer is de AVG van toepassing?]]
* [[Zijn zakelijke gegevens van klanten van Het Handje ook persoonsgegevens?]]
* [[Heeft het Handje altijd een grondslag voor het verwerken van persoonsgegevens?]]
* [[Waarom gebruikt Het Handje biometrische toegangsbeveiliging op de Campus, en mag dit wel?]]
* [[Wat is een leerlingenvolgsysteem en waarom maakt Het Handje hier gebruik van op de Vakschool?]]
* [[Is er altijd toestemming nodig bij het maken van beeldmateriaal op de Campus of in de Vakschool?]]
* [[Wat moet ik doen wanneer ik een (mogelijk) beveiligingsincident en/of datalek op het oog heb?]]
* [[Zijn er naast de bewaartermijnen die door Het Handje zelf zijn vastgesteld ook nog wettelijke bewaartermijnen?]]
* [[Mag ik een identiteitsbewijs (paspoort/ID-kaart) opvragen om de identiteit vast te stellen bij een verzoek van een klant onder de AVG?]]
* [[Wat gebeurt er met mijn melding over een (mogelijke) phishing-mail?]]
* [[Mag Het Handje nieuwsbrieven, dan wel commerciële berichten, via e-mail versturen?]]
* [[Hoe ga ik om met een vraag van een betrokkene over het recht op rectificatie?]]
* [[Wanneer is Het Handje de verwerkingsverantwoordelijke en in welk geval de verwerker?]]

Betrokkenen

2024-11-19T11:35:29Z

Editor 7: Tekst vervangen door "{{DISPLAYTITLE:Betrokkene}} {{STANDAARDSORTERING:Betrokkene}}"

Betrokkenen

2024-11-19T11:34:44Z

Welkom bij de Wiki van Het Handje

2024-11-19T11:18:24Z

Editor 7: /* Privacy: de basis */

Welkom bij de Wiki van '''[[Over de organisatie|Het Handje]] 💎.''' Hier kun je informatie vinden over de [[Over de organisatie|organisatie]] en over de [[Europese privacywetgeving#Algemene verordening gegevensbescherming (2018)|AVG]].

Alle informatie is bedoeld ter instructie van medewerkers van Het Handje. Met een gezamenlijk doel werken wij toe naar de slogan van onze privacyaanspreekpunten:

"Samen slimmer dan onze slimste horloges!" 🥸⌚
----Om het navigeren 🧭 door de Wiki een stukje eenvoudiger te maken volgt hieronder een korte '''leeswijzer 📖''':

''"'''Het Handje'''": hier is alle informatie te vinden over onze prachtige organisatie. Van wat meer informatie over het ontstaan tot informatie over specifieke onderdelen van de organisatie, alsook de mogelijkheid voor medewerkers om als eerste op de hoogte te zijn van onze nieuwste collectie 💍: het is hier allemaal te vinden!''

''"'''Privacy en Het Handje: spelregels & procedures'''": omdat geen enkele organisatie zonder iets van regeltjes kan, vind je hier alle informatie waar je rekening mee dient te houden als medewerker van Het Handje. Geen zorgen, je vindt hier geen dik boekwerk, maar handige spelregels en procedures die van toepassing zijn op thema's rondom privacy en security. Zo weet iedereen wat er van ze verwacht wordt en werken we toe naar een privacyvriendelijke werkwijze.''

''"'''Privacy: de basis'''": soms is het gewoon fijn om naslagwerk te hebben waarin kort en bondig uitgelegd wordt wat de regeltjes zijn uit de AVG en andere belangrijke wet- en regelgeving op het gebied van privacy en security. In "Privacy: de basis" vind je daarom de belangrijkste uitgangspunten m.b.t. essentiële privacy en security definities en eisen uit de AVG. Om het zo gemakkelijk mogelijk te maken vind je hier ook het boek "De AVG: artikelsgewijs commentaar" geschreven door een aantal juristen van juridisch advieskantoor ICTRecht 🌳. Erg handig wanneer je net wat meer uitleg wil bij de regeltjes uit de AVG.''

''"'''Veelgestelde vragen'''" 🤔: lijkt me duidelijk deze. Alle veelgestelde vragen zijn hier gebundeld, zodat je nooit lang hoeft te zoeken naar het antwoord op jouw prangende vragen.''
----➡️ Alle informatie in de Wiki is met elkaar verbonden. Dat wil zeggen dat je makkelijk kan klikken op linkjes in de tekst, die je kunt herkennen aan hun blauwe kleur. Klik je hierop dan kom je op een andere pagina in de Wiki uit met meer informatie over dat specifieke onderwerp. De Wiki staat vol met korte stappenplannen, diepgaande uitleg en leuke instructievideo's 📺. Zoek je naar een specifiek begrip of concept, overweeg dan ook om de zoekfunctie te gebruiken rechtsboven in beeld. Veel succes gewenst!

== Het Handje ==

* [[Over de organisatie]]
* [[Het Handje: Vakschool]]
* [[Het Handje: Campus]]
* [[Het Handje: Nieuwe collectie]]
* [[Het Handje: Onze mensen]]

== Privacy en Het Handje: spelregels & procedures ==

* [[Omgang met datalekken binnen Het Handje|Spelregel: omgang met datalekken]]
* [[Spelregel: omgang met rechten van betrokkenen]]
* [[Spelregel: intern en extern delen van persoonsgegevens]]
* [[Spelregel: sollicitatie(s)]]
* [[Camerabeleid|Procedure: camerabeleid]]
* [[Spelregel: beveiligingsmaatregelen]]
* [[Procedure: computernetwerk, internetgebruik en social media]]

== Privacy: de basis ==

* [[Alle artikelen uitgelegd|De AVG: artikelsgewijs commentaar]] (E-Boek)
* [[Europese privacywetgeving]]
* [[Persoonsgegevens]]
* [[Pseudonimiseren en anonimiseren]]
* [[De beginselen bij het verwerken van persoonsgegevens]]
* [[Grondslagen]]
* [[Datalekken]]
* [[Verwerking]]
* [[Passende beveiliging]]
* [[Handhaving en sancties]]
* [[Rechten van betrokkenen]]
* [[Rolverdeling verschillende partijen]]
* [[Bewaartermijnen]]
* [[DPIA]]
* [[Malware]]
* [[Phishing]]
* [[Privacy en security professionals]]
* [[Privacy bewustwording]]
* [[Niet-naleving AVG]]
* [[Informatiebeveiliging]]
* [[Betrokkenen]]

== Veelgestelde vragen ==

[[Veelgestelde vragen]]
* [[Toepassingsbereik|Wanneer is de AVG van toepassing?]]
* [[Zijn zakelijke gegevens van klanten van Het Handje ook persoonsgegevens?]]
* [[Heeft het Handje altijd een grondslag voor het verwerken van persoonsgegevens?]]
* [[Waarom gebruikt Het Handje biometrische toegangsbeveiliging op de Campus, en mag dit wel?]]
* [[Wat is een leerlingenvolgsysteem en waarom maakt Het Handje hier gebruik van op de Vakschool?]]
* [[Is er altijd toestemming nodig bij het maken van beeldmateriaal op de Campus of in de Vakschool?]]
* [[Wat moet ik doen wanneer ik een (mogelijk) beveiligingsincident en/of datalek op het oog heb?]]
* [[Zijn er naast de bewaartermijnen die door Het Handje zelf zijn vastgesteld ook nog wettelijke bewaartermijnen?]]
* [[Mag ik een identiteitsbewijs (paspoort/ID-kaart) opvragen om de identiteit vast te stellen bij een verzoek van een klant onder de AVG?]]
* [[Wat gebeurt er met mijn melding over een (mogelijke) phishing-mail?]]
* [[Mag Het Handje nieuwsbrieven, dan wel commerciële berichten, via e-mail versturen?]]
* [[Hoe ga ik om met een vraag van een betrokkene over het recht op rectificatie?]]
* [[Wanneer is Het Handje de verwerkingsverantwoordelijke en in welk geval de verwerker?]]

Phishing

2024-11-19T08:50:56Z

Editor 7: /* Herkenning */

Social engineering is een verzamelnaam voor trucs die cybercriminelen gebruiken om mensen te misleiden. Ze doen zich voor als iemand anders om zo toegang te krijgen tot jouw persoonlijke gegevens of geld. Het gevaarlijke aan social engineering is dat criminelen inspelen op menselijke emoties zoals angst, nieuwsgierigheid of behulpzaamheid.

Criminelen kunnen zich voordoen als:

* Medewerkers van je bank
* Collega's of leidinggevenden
* Helpdesk medewerkers
* Medewerkers van bekende bedrijven (Microsoft, PostNL, etc.)
* Overheidsinstanties

== Vormen van social engineering ==

=== Wat is phishing? ===
Phishing is een vorm van digitale oplichting waarbij criminelen proberen om mensen te verleiden tot het delen van persoonlijke gegevens of het overmaken van geld. Ze doen dit door zich voor te doen als een betrouwbare organisatie, zoals een bank, overheidsinstantie of bekend bedrijf. De naam 'phishing' komt van het Engelse 'fishing' (vissen), omdat criminelen met een lokaas proberen om slachtoffers te 'vangen'. Bij phishing ontvang je meestal een '''e-mail''' die er betrouwbaar uitziet, met daarin een dringend verzoek om actie te ondernemen. Vaak moet je op een link klikken die naar een valse website leidt, waar je vervolgens je gegevens moet invullen. Deze gegevens komen dan direct in handen van de criminelen.

'''Veelvoorkomende phishing-trucs:'''

# Bankfraude
#* Nep e-mails over "verdachte transacties"
#* Verzoeken om in te loggen via een link
#* Waarschuwingen over verlopen passen of accounts
# CEO-fraude
#* E-mails die lijken te komen van je directeur
#* Verzoeken om dringende betalingen
#* Vaak persoonlijk geschreven met details over je organisatie
# '''Inloggegevens'''-phishing
#* Verzoeken om je wachtword te vernieuwen
#* Meldingen over volle mailboxen
#* Waarschuwingen over geblokkeerde accounts

'''Voorbeelden:'''<blockquote>Je krijgt een e-mail die lijkt te komen van je bank. Er staat dat er verdachte activiteit is gezien op je rekening en dat je direct moet inloggen om je rekening te controleren. De link in de mail leidt naar een nepwebsite die sprekend lijkt op die van je bank.

Je ontvangt een e-mail van "de baas" waarin staat dat er met spoed een betaling moet worden gedaan aan een leverancier. Het rekeningnummer is anders dan normaal, maar er wordt benadrukt dat het zeer dringend is.</blockquote>

=== Smishing ===
Smishing is eigenlijk 'phishing via SMS'. De term is een combinatie van 'SMS' en 'phishing'. Bij smishing ontvang je een SMS-bericht dat lijkt te komen van een betrouwbare organisatie. Deze berichten zijn vaak kort en krachtig en spelen in op je nieuwsgierigheid of bezorgdheid. Ze bevatten bijna altijd een link waar je op moet klikken. Criminelen gebruiken smishing vaak om zich voor te doen als pakketbezorgers of banken. De berichten suggereren dat er iets mis is - bijvoorbeeld dat een pakket niet bezorgd kon worden of dat er een probleem is met je bankrekening - en dat je snel actie moet ondernemen. Als je op de link klikt, kom je op een valse website terecht waar criminelen je persoonlijke gegevens of bankgegevens proberen te stelen.

'''Veelvoorkomende smishing-berichten:'''

# Pakketbezorging
#* "Je pakket kan niet bezorgd worden"
#* Kleine bedragen voor "herbezorging"
#* Tracking-links voor nepzendingen
# Bankberichten
#* Waarschuwingen over geblokkeerde rekeningen
#* Verzoeken om je bankapp te updaten
#* Meldingen over verdachte transacties
# Overheidsberichten
#* Nepberichten over toeslagen
#* Valse belasingteruggaven
#* Boetes die direct betaald moeten worden

'''Voorbeelden:'''<blockquote>Je krijgt een SMS: "PostNL: Uw pakket kon niet bezorgd worden. Betaal €1,50 verzendkosten via: [link]". De link leidt naar een nepwebsite waar criminelen je bankgegevens proberen te stelen.

Je ontvangt een SMS: "DigiD: Uw account wordt geblokkeerd. Update nu via [link]". Ze proberen zo je DigiD-gegevens te stelen.</blockquote>

=== Helpdeskfraude ===
Helpdeskfraude, ook wel bekend als 'tech support scam', is een vorm van oplichting waarbij criminelen zich voordoen als medewerkers van een technische helpdesk. Ze bellen mensen onverwacht op en beweren dat ze van Microsoft, Windows of een andere bekende organisatie zijn. De oplichters vertellen hun slachtoffers dat er een ernstig probleem is met hun computer, zoals een virus of een beveiligingslek. Ze proberen mensen bang te maken door te suggereren dat hun gegevens in gevaar zijn. Vervolgens bieden ze aan om het probleem op te lossen, maar daarvoor moeten ze wel toegang krijgen tot de computer van het slachtoffer. Als ze die toegang krijgen, kunnen ze persoonlijke gegevens stelen, schadelijke software installeren of zelfs je computer vergrendelen en losgeld eisen.

'''Veelvoorkomende scenarios:'''

# Microsoft/Windows support
#* Beweren dat je computer geïnfecteerd is
#* Willen op afstand meekijken
#* Vragen om software te installeren
# Bankmedewerkers
#* Zeggen dat er verdachte transacties zijn
#* Vragen om geld "veilig te stellen"
#* Willen je pincode of inloggegevens
# IT-helpdesk
#* Doen zich voor als interne IT-afdeling
#* Melden problemen met je account
#* Vragen om inloggegevens te verifiëren

'''Voorbeelden:'''<blockquote>Je wordt gebeld door "Microsoft": er zou een virus op je computer zitten. Ze willen je helpen door op afstand in te loggen op je computer. In werkelijkheid willen ze toegang tot je gegevens of software installeren om je computer over te nemen.

Een "bankmedewerker" belt je over verdachte transacties. Ze vragen je om geld over te maken naar een "veilige rekening" of om je bankpas door te knippen. Dit is altijd nep - een echte bank vraagt dit nooit.</blockquote>

== Preventie en bescherming ==

=== Herkenning ===
Het herkennen van phishing- of spoofing-pogingen is cruciaal om jezelf te beschermen tegen deze vorm van cybercriminaliteit. Hoewel phishing-aanvallen steeds geavanceerder worden, zijn er enkele aanwijzingen en waarschuwingssignalen die je kunnen helpen om potentiële phishing-pogingen te identificeren. Hier zijn enkele belangrijke punten om op te letten:

==== Verdachte e-mails en berichten ====
Let goed op verdachte e-mails en berichten die je ontvangt, vooral als ze afkomstig lijken te zijn van bekende organisaties. Enkele indicatoren van een phishing-e-mail kunnen zijn:

* '''Afzenderadres''': Controleer het e-mailadres van de afzender. Let op spelfouten, ongebruikelijke domeinen of vreemde tekens die kunnen wijzen op een '''valse afzender'''.
* '''Spelfouten en grammaticale fouten''': Phishing-e-mails bevatten vaak spelfouten, grammaticale fouten of onjuistheden die niet gebruikelijk zijn in legitieme communicatie van professionele organisaties.
* '''Dringende en dreigende toon''': Phishing-e-mails proberen vaak angst of urgentie op te wekken om je te dwingen snel te handelen zonder goed na te denken.
* '''Verzoek om persoonlijke informatie''': Wees voorzichtig met e-mails die vragen om persoonlijke informatie, zoals wachtwoorden, pincodes of creditcardgegevens. Legitieme organisaties vragen niet naar dergelijke informatie via e-mail.

==== Valse websites ====
Phishing-aanvallers creëren vaak valse websites die er identiek uitzien aan legitieme websites om slachtoffers te misleiden. Hier zijn enkele punten om op te letten bij het beoordelen van de legitimiteit van een website:

* '''[[Phishing - Herkenning - URL|URL-controle]]''': Controleer zorgvuldig de URL (het webadres) van de website. Phishing-aanvallers gebruiken soms vergelijkbare domeinnamen met kleine wijzigingen om legitiem te lijken, dus let goed op spelfouten, extra tekens of afwijkende domeinextensies.
* '''Beveiligingspictogrammen''': Controleer of er beveiligingspictogrammen, zoals een hangslotje of een "https://" -protocol, aanwezig zijn in de adresbalk van de browser. Dit geeft aan dat de verbinding met de website veilig is en dat je gegevens versleuteld worden verzonden.
* '''Algemene lay-out en inhoud''': Valse websites kunnen er visueel vergelijkbaar uitzien met legitieme websites, maar let op inconsistenties in de lay-out, taalgebruik en algemene presentatie van de inhoud.

==== Sociale manipulatie ====
Phishing-aanvallers maken gebruik van sociale manipulatie (ook wel social engineering genoemd) om slachtoffers te misleiden en hun vertrouwen te winnen. Hier zijn enkele tactieken die ze kunnen gebruiken:

* '''Spoofing van bekende contacten''': Wees voorzichtig met berichten of oproepen van bekende contacten die om ongebruikelijke verzoeken of vertrouwelijke informatie vragen. Hun accounts kunnen zijn gecompromitteerd door phishing-aanvallers.
* '''Emotionele manipulatie''': Phishing-aanvallen kunnen inspelen op je emoties door bijvoorbeeld te beweren dat er een probleem is met je account of dat er dringende hulp nodig is. Wees op je hoede voor berichten die proberen angst, nieuwsgierigheid of medeleven op te wekken zonder duidelijke reden. Deze sociale manipulatie is ook wel bekend in de vorm van 'helpdeskfraude'. Hierbij belt een nep-medewerker van bijvoorbeeld Microsoft op om je te 'helpen' bij een niet-bestaand beveiligingsrisico in jouw programma.

=== Maatregelen ===

==== Beveiligingssoftware ====
Gebruik up-to-date beveiligingssoftware, zoals antivirusprogramma's, firewalls en anti-phishing-tools. Deze software kan helpen bij het detecteren en blokkeren van phishing-pogingen, evenals andere vormen van malware (virussen, scahdelijke software, etc.). Zorg ervoor dat je de software regelmatig bijwerkt om ervoor te zorgen dat je beschermd bent tegen de nieuwste bedreigingen. Check ook onze [[Spelregel: beveiligingsmaatregelen|spelregels]] met betrekking tot te nemen beveiligingsmaatregelen.

==== Tweefactorauthenticatie (2FA) ====
Gebruik [[Spelregel: beveiligingsmaatregelen|tweefactorauthenticatie (2FA)]] wanneer mogelijk. 2FA voegt een extra beveiligingslaag toe aan je online accounts door te vereisen dat je naast een wachtwoord een tweede vorm van verificatie verstrekt, zoals een unieke code die naar je mobiele apparaat wordt gestuurd. Hierdoor wordt het voor aanvallers moeilijker om toegang te krijgen tot je accounts, zelfs als ze je wachtwoord hebben verkregen.

== Help! Phishing. Wat nu? ==
Het melden van phishing- of spoofing-aanvallen is een belangrijke stap om niet alleen jezelf te beschermen, maar ook anderen te helpen. Je organisatie kan collega's waarschuwen en zorgen dat de e-mail in het vervolg door spam-filters wordt tegengehouden. Indien er iemand in de e-mail is getrapt, kan de organisatie proberen de schade te beperken. Daarnaast moet het in sommige gevallen ook gemeld worden aan de toezichthouder. Daar zal de organisatie voor zorgen.

Phishing

2024-11-19T08:50:40Z

Editor 7: /* Vormen van social engineering */

Social engineering is een verzamelnaam voor trucs die cybercriminelen gebruiken om mensen te misleiden. Ze doen zich voor als iemand anders om zo toegang te krijgen tot jouw persoonlijke gegevens of geld. Het gevaarlijke aan social engineering is dat criminelen inspelen op menselijke emoties zoals angst, nieuwsgierigheid of behulpzaamheid.

Criminelen kunnen zich voordoen als:

* Medewerkers van je bank
* Collega's of leidinggevenden
* Helpdesk medewerkers
* Medewerkers van bekende bedrijven (Microsoft, PostNL, etc.)
* Overheidsinstanties

== Vormen van social engineering ==

=== Wat is phishing? ===
Phishing is een vorm van digitale oplichting waarbij criminelen proberen om mensen te verleiden tot het delen van persoonlijke gegevens of het overmaken van geld. Ze doen dit door zich voor te doen als een betrouwbare organisatie, zoals een bank, overheidsinstantie of bekend bedrijf. De naam 'phishing' komt van het Engelse 'fishing' (vissen), omdat criminelen met een lokaas proberen om slachtoffers te 'vangen'. Bij phishing ontvang je meestal een '''e-mail''' die er betrouwbaar uitziet, met daarin een dringend verzoek om actie te ondernemen. Vaak moet je op een link klikken die naar een valse website leidt, waar je vervolgens je gegevens moet invullen. Deze gegevens komen dan direct in handen van de criminelen.

'''Veelvoorkomende phishing-trucs:'''

# Bankfraude
#* Nep e-mails over "verdachte transacties"
#* Verzoeken om in te loggen via een link
#* Waarschuwingen over verlopen passen of accounts
# CEO-fraude
#* E-mails die lijken te komen van je directeur
#* Verzoeken om dringende betalingen
#* Vaak persoonlijk geschreven met details over je organisatie
# '''Inloggegevens'''-phishing
#* Verzoeken om je wachtword te vernieuwen
#* Meldingen over volle mailboxen
#* Waarschuwingen over geblokkeerde accounts

'''Voorbeelden:'''<blockquote>Je krijgt een e-mail die lijkt te komen van je bank. Er staat dat er verdachte activiteit is gezien op je rekening en dat je direct moet inloggen om je rekening te controleren. De link in de mail leidt naar een nepwebsite die sprekend lijkt op die van je bank.

Je ontvangt een e-mail van "de baas" waarin staat dat er met spoed een betaling moet worden gedaan aan een leverancier. Het rekeningnummer is anders dan normaal, maar er wordt benadrukt dat het zeer dringend is.</blockquote>

=== Smishing ===
Smishing is eigenlijk 'phishing via SMS'. De term is een combinatie van 'SMS' en 'phishing'. Bij smishing ontvang je een SMS-bericht dat lijkt te komen van een betrouwbare organisatie. Deze berichten zijn vaak kort en krachtig en spelen in op je nieuwsgierigheid of bezorgdheid. Ze bevatten bijna altijd een link waar je op moet klikken. Criminelen gebruiken smishing vaak om zich voor te doen als pakketbezorgers of banken. De berichten suggereren dat er iets mis is - bijvoorbeeld dat een pakket niet bezorgd kon worden of dat er een probleem is met je bankrekening - en dat je snel actie moet ondernemen. Als je op de link klikt, kom je op een valse website terecht waar criminelen je persoonlijke gegevens of bankgegevens proberen te stelen.

'''Veelvoorkomende smishing-berichten:'''

# Pakketbezorging
#* "Je pakket kan niet bezorgd worden"
#* Kleine bedragen voor "herbezorging"
#* Tracking-links voor nepzendingen
# Bankberichten
#* Waarschuwingen over geblokkeerde rekeningen
#* Verzoeken om je bankapp te updaten
#* Meldingen over verdachte transacties
# Overheidsberichten
#* Nepberichten over toeslagen
#* Valse belasingteruggaven
#* Boetes die direct betaald moeten worden

'''Voorbeelden:'''<blockquote>Je krijgt een SMS: "PostNL: Uw pakket kon niet bezorgd worden. Betaal €1,50 verzendkosten via: [link]". De link leidt naar een nepwebsite waar criminelen je bankgegevens proberen te stelen.

Je ontvangt een SMS: "DigiD: Uw account wordt geblokkeerd. Update nu via [link]". Ze proberen zo je DigiD-gegevens te stelen.</blockquote>

=== Helpdeskfraude ===
Helpdeskfraude, ook wel bekend als 'tech support scam', is een vorm van oplichting waarbij criminelen zich voordoen als medewerkers van een technische helpdesk. Ze bellen mensen onverwacht op en beweren dat ze van Microsoft, Windows of een andere bekende organisatie zijn. De oplichters vertellen hun slachtoffers dat er een ernstig probleem is met hun computer, zoals een virus of een beveiligingslek. Ze proberen mensen bang te maken door te suggereren dat hun gegevens in gevaar zijn. Vervolgens bieden ze aan om het probleem op te lossen, maar daarvoor moeten ze wel toegang krijgen tot de computer van het slachtoffer. Als ze die toegang krijgen, kunnen ze persoonlijke gegevens stelen, schadelijke software installeren of zelfs je computer vergrendelen en losgeld eisen.

'''Veelvoorkomende scenarios:'''

# Microsoft/Windows support
#* Beweren dat je computer geïnfecteerd is
#* Willen op afstand meekijken
#* Vragen om software te installeren
# Bankmedewerkers
#* Zeggen dat er verdachte transacties zijn
#* Vragen om geld "veilig te stellen"
#* Willen je pincode of inloggegevens
# IT-helpdesk
#* Doen zich voor als interne IT-afdeling
#* Melden problemen met je account
#* Vragen om inloggegevens te verifiëren

'''Voorbeelden:'''<blockquote>Je wordt gebeld door "Microsoft": er zou een virus op je computer zitten. Ze willen je helpen door op afstand in te loggen op je computer. In werkelijkheid willen ze toegang tot je gegevens of software installeren om je computer over te nemen.

Een "bankmedewerker" belt je over verdachte transacties. Ze vragen je om geld over te maken naar een "veilige rekening" of om je bankpas door te knippen. Dit is altijd nep - een echte bank vraagt dit nooit.</blockquote>

== Preventie en bescherming ==

=== Herkenning ===
Het herkennen van phishing- of spoofing-pogingen is cruciaal om jezelf te beschermen tegen deze vorm van cybercriminaliteit. Hoewel phishing-aanvallen steeds geavanceerder worden, zijn er enkele aanwijzingen en waarschuwingssignalen die je kunnen helpen om potentiële phishing-pogingen te identificeren. Hier zijn enkele belangrijke punten om op te letten:

==== Verdachte e-mails en berichten ====
Let goed op verdachte e-mails en berichten die je ontvangt, vooral als ze afkomstig lijken te zijn van bekende organisaties. Enkele indicatoren van een phishing-e-mail kunnen zijn:

* '''Afzenderadres''': Controleer het e-mailadres van de afzender. Let op spelfouten, ongebruikelijke domeinen of vreemde tekens die kunnen wijzen op een valse afzender.
* '''Spelfouten en grammaticale fouten''': Phishing-e-mails bevatten vaak spelfouten, grammaticale fouten of onjuistheden die niet gebruikelijk zijn in legitieme communicatie van professionele organisaties.
* '''Dringende en dreigende toon''': Phishing-e-mails proberen vaak angst of urgentie op te wekken om je te dwingen snel te handelen zonder goed na te denken.
* '''Verzoek om persoonlijke informatie''': Wees voorzichtig met e-mails die vragen om persoonlijke informatie, zoals wachtwoorden, pincodes of creditcardgegevens. Legitieme organisaties vragen niet naar dergelijke informatie via e-mail.

==== Valse websites ====
Phishing-aanvallers creëren vaak valse websites die er identiek uitzien aan legitieme websites om slachtoffers te misleiden. Hier zijn enkele punten om op te letten bij het beoordelen van de legitimiteit van een website:

* '''[[Phishing - Herkenning - URL|URL-controle]]''': Controleer zorgvuldig de URL (het webadres) van de website. Phishing-aanvallers gebruiken soms vergelijkbare domeinnamen met kleine wijzigingen om legitiem te lijken, dus let goed op spelfouten, extra tekens of afwijkende domeinextensies.
* '''Beveiligingspictogrammen''': Controleer of er beveiligingspictogrammen, zoals een hangslotje of een "https://" -protocol, aanwezig zijn in de adresbalk van de browser. Dit geeft aan dat de verbinding met de website veilig is en dat je gegevens versleuteld worden verzonden.
* '''Algemene lay-out en inhoud''': Valse websites kunnen er visueel vergelijkbaar uitzien met legitieme websites, maar let op inconsistenties in de lay-out, taalgebruik en algemene presentatie van de inhoud.

==== Sociale manipulatie ====
Phishing-aanvallers maken gebruik van sociale manipulatie (ook wel social engineering genoemd) om slachtoffers te misleiden en hun vertrouwen te winnen. Hier zijn enkele tactieken die ze kunnen gebruiken:

* '''Spoofing van bekende contacten''': Wees voorzichtig met berichten of oproepen van bekende contacten die om ongebruikelijke verzoeken of vertrouwelijke informatie vragen. Hun accounts kunnen zijn gecompromitteerd door phishing-aanvallers.
* '''Emotionele manipulatie''': Phishing-aanvallen kunnen inspelen op je emoties door bijvoorbeeld te beweren dat er een probleem is met je account of dat er dringende hulp nodig is. Wees op je hoede voor berichten die proberen angst, nieuwsgierigheid of medeleven op te wekken zonder duidelijke reden. Deze sociale manipulatie is ook wel bekend in de vorm van 'helpdeskfraude'. Hierbij belt een nep-medewerker van bijvoorbeeld Microsoft op om je te 'helpen' bij een niet-bestaand beveiligingsrisico in jouw programma.

=== Maatregelen ===

==== Beveiligingssoftware ====
Gebruik up-to-date beveiligingssoftware, zoals antivirusprogramma's, firewalls en anti-phishing-tools. Deze software kan helpen bij het detecteren en blokkeren van phishing-pogingen, evenals andere vormen van malware (virussen, scahdelijke software, etc.). Zorg ervoor dat je de software regelmatig bijwerkt om ervoor te zorgen dat je beschermd bent tegen de nieuwste bedreigingen. Check ook onze [[Spelregel: beveiligingsmaatregelen|spelregels]] met betrekking tot te nemen beveiligingsmaatregelen.

==== Tweefactorauthenticatie (2FA) ====
Gebruik [[Spelregel: beveiligingsmaatregelen|tweefactorauthenticatie (2FA)]] wanneer mogelijk. 2FA voegt een extra beveiligingslaag toe aan je online accounts door te vereisen dat je naast een wachtwoord een tweede vorm van verificatie verstrekt, zoals een unieke code die naar je mobiele apparaat wordt gestuurd. Hierdoor wordt het voor aanvallers moeilijker om toegang te krijgen tot je accounts, zelfs als ze je wachtwoord hebben verkregen.

== Help! Phishing. Wat nu? ==
Het melden van phishing- of spoofing-aanvallen is een belangrijke stap om niet alleen jezelf te beschermen, maar ook anderen te helpen. Je organisatie kan collega's waarschuwen en zorgen dat de e-mail in het vervolg door spam-filters wordt tegengehouden. Indien er iemand in de e-mail is getrapt, kan de organisatie proberen de schade te beperken. Daarnaast moet het in sommige gevallen ook gemeld worden aan de toezichthouder. Daar zal de organisatie voor zorgen.

Phishing

2024-11-19T08:50:27Z

Editor 7:

Social engineering is een verzamelnaam voor trucs die cybercriminelen gebruiken om mensen te misleiden. Ze doen zich voor als iemand anders om zo toegang te krijgen tot jouw persoonlijke gegevens of geld. Het gevaarlijke aan social engineering is dat criminelen inspelen op menselijke emoties zoals angst, nieuwsgierigheid of behulpzaamheid.

Criminelen kunnen zich voordoen als:

* Medewerkers van je bank
* Collega's of leidinggevenden
* Helpdesk medewerkers
* Medewerkers van bekende bedrijven (Microsoft, PostNL, etc.)
* Overheidsinstanties

== Vormen van social engineering ==

=== Wat is phishing? ===
Phishing is een vorm van digitale oplichting waarbij criminelen proberen om mensen te verleiden tot het delen van persoonlijke gegevens of het overmaken van geld. Ze doen dit door zich voor te doen als een betrouwbare organisatie, zoals een bank, overheidsinstantie of bekend bedrijf. De naam 'phishing' komt van het Engelse 'fishing' (vissen), omdat criminelen met een lokaas proberen om slachtoffers te 'vangen'. Bij phishing ontvang je meestal een e-mail die er betrouwbaar uitziet, met daarin een dringend verzoek om actie te ondernemen. Vaak moet je op een link klikken die naar een valse website leidt, waar je vervolgens je gegevens moet invullen. Deze gegevens komen dan direct in handen van de criminelen.

'''Veelvoorkomende phishing-trucs:'''

# Bankfraude
#* Nep e-mails over "verdachte transacties"
#* Verzoeken om in te loggen via een link
#* Waarschuwingen over verlopen passen of accounts
# CEO-fraude
#* E-mails die lijken te komen van je directeur
#* Verzoeken om dringende betalingen
#* Vaak persoonlijk geschreven met details over je organisatie
# '''Inloggegevens'''-phishing
#* Verzoeken om je wachtword te vernieuwen
#* Meldingen over volle mailboxen
#* Waarschuwingen over geblokkeerde accounts

'''Voorbeelden:'''<blockquote>Je krijgt een e-mail die lijkt te komen van je bank. Er staat dat er verdachte activiteit is gezien op je rekening en dat je direct moet inloggen om je rekening te controleren. De link in de mail leidt naar een nepwebsite die sprekend lijkt op die van je bank.

Je ontvangt een e-mail van "de baas" waarin staat dat er met spoed een betaling moet worden gedaan aan een leverancier. Het rekeningnummer is anders dan normaal, maar er wordt benadrukt dat het zeer dringend is.</blockquote>

=== Smishing ===
Smishing is eigenlijk 'phishing via SMS'. De term is een combinatie van 'SMS' en 'phishing'. Bij smishing ontvang je een SMS-bericht dat lijkt te komen van een betrouwbare organisatie. Deze berichten zijn vaak kort en krachtig en spelen in op je nieuwsgierigheid of bezorgdheid. Ze bevatten bijna altijd een link waar je op moet klikken. Criminelen gebruiken smishing vaak om zich voor te doen als pakketbezorgers of banken. De berichten suggereren dat er iets mis is - bijvoorbeeld dat een pakket niet bezorgd kon worden of dat er een probleem is met je bankrekening - en dat je snel actie moet ondernemen. Als je op de link klikt, kom je op een valse website terecht waar criminelen je persoonlijke gegevens of bankgegevens proberen te stelen.

'''Veelvoorkomende smishing-berichten:'''

# Pakketbezorging
#* "Je pakket kan niet bezorgd worden"
#* Kleine bedragen voor "herbezorging"
#* Tracking-links voor nepzendingen
# Bankberichten
#* Waarschuwingen over geblokkeerde rekeningen
#* Verzoeken om je bankapp te updaten
#* Meldingen over verdachte transacties
# Overheidsberichten
#* Nepberichten over toeslagen
#* Valse belasingteruggaven
#* Boetes die direct betaald moeten worden

'''Voorbeelden:'''<blockquote>Je krijgt een SMS: "PostNL: Uw pakket kon niet bezorgd worden. Betaal €1,50 verzendkosten via: [link]". De link leidt naar een nepwebsite waar criminelen je bankgegevens proberen te stelen.

Je ontvangt een SMS: "DigiD: Uw account wordt geblokkeerd. Update nu via [link]". Ze proberen zo je DigiD-gegevens te stelen.</blockquote>

=== Helpdeskfraude ===
Helpdeskfraude, ook wel bekend als 'tech support scam', is een vorm van oplichting waarbij criminelen zich voordoen als medewerkers van een technische helpdesk. Ze bellen mensen onverwacht op en beweren dat ze van Microsoft, Windows of een andere bekende organisatie zijn. De oplichters vertellen hun slachtoffers dat er een ernstig probleem is met hun computer, zoals een virus of een beveiligingslek. Ze proberen mensen bang te maken door te suggereren dat hun gegevens in gevaar zijn. Vervolgens bieden ze aan om het probleem op te lossen, maar daarvoor moeten ze wel toegang krijgen tot de computer van het slachtoffer. Als ze die toegang krijgen, kunnen ze persoonlijke gegevens stelen, schadelijke software installeren of zelfs je computer vergrendelen en losgeld eisen.

'''Veelvoorkomende scenarios:'''

# Microsoft/Windows support
#* Beweren dat je computer geïnfecteerd is
#* Willen op afstand meekijken
#* Vragen om software te installeren
# Bankmedewerkers
#* Zeggen dat er verdachte transacties zijn
#* Vragen om geld "veilig te stellen"
#* Willen je pincode of inloggegevens
# IT-helpdesk
#* Doen zich voor als interne IT-afdeling
#* Melden problemen met je account
#* Vragen om inloggegevens te verifiëren

'''Voorbeelden:'''<blockquote>Je wordt gebeld door "Microsoft": er zou een virus op je computer zitten. Ze willen je helpen door op afstand in te loggen op je computer. In werkelijkheid willen ze toegang tot je gegevens of software installeren om je computer over te nemen.

Een "bankmedewerker" belt je over verdachte transacties. Ze vragen je om geld over te maken naar een "veilige rekening" of om je bankpas door te knippen. Dit is altijd nep - een echte bank vraagt dit nooit.</blockquote>

== Preventie en bescherming ==

=== Herkenning ===
Het herkennen van phishing- of spoofing-pogingen is cruciaal om jezelf te beschermen tegen deze vorm van cybercriminaliteit. Hoewel phishing-aanvallen steeds geavanceerder worden, zijn er enkele aanwijzingen en waarschuwingssignalen die je kunnen helpen om potentiële phishing-pogingen te identificeren. Hier zijn enkele belangrijke punten om op te letten:

==== Verdachte e-mails en berichten ====
Let goed op verdachte e-mails en berichten die je ontvangt, vooral als ze afkomstig lijken te zijn van bekende organisaties. Enkele indicatoren van een phishing-e-mail kunnen zijn:

* '''Afzenderadres''': Controleer het e-mailadres van de afzender. Let op spelfouten, ongebruikelijke domeinen of vreemde tekens die kunnen wijzen op een valse afzender.
* '''Spelfouten en grammaticale fouten''': Phishing-e-mails bevatten vaak spelfouten, grammaticale fouten of onjuistheden die niet gebruikelijk zijn in legitieme communicatie van professionele organisaties.
* '''Dringende en dreigende toon''': Phishing-e-mails proberen vaak angst of urgentie op te wekken om je te dwingen snel te handelen zonder goed na te denken.
* '''Verzoek om persoonlijke informatie''': Wees voorzichtig met e-mails die vragen om persoonlijke informatie, zoals wachtwoorden, pincodes of creditcardgegevens. Legitieme organisaties vragen niet naar dergelijke informatie via e-mail.

==== Valse websites ====
Phishing-aanvallers creëren vaak valse websites die er identiek uitzien aan legitieme websites om slachtoffers te misleiden. Hier zijn enkele punten om op te letten bij het beoordelen van de legitimiteit van een website:

* '''[[Phishing - Herkenning - URL|URL-controle]]''': Controleer zorgvuldig de URL (het webadres) van de website. Phishing-aanvallers gebruiken soms vergelijkbare domeinnamen met kleine wijzigingen om legitiem te lijken, dus let goed op spelfouten, extra tekens of afwijkende domeinextensies.
* '''Beveiligingspictogrammen''': Controleer of er beveiligingspictogrammen, zoals een hangslotje of een "https://" -protocol, aanwezig zijn in de adresbalk van de browser. Dit geeft aan dat de verbinding met de website veilig is en dat je gegevens versleuteld worden verzonden.
* '''Algemene lay-out en inhoud''': Valse websites kunnen er visueel vergelijkbaar uitzien met legitieme websites, maar let op inconsistenties in de lay-out, taalgebruik en algemene presentatie van de inhoud.

==== Sociale manipulatie ====
Phishing-aanvallers maken gebruik van sociale manipulatie (ook wel social engineering genoemd) om slachtoffers te misleiden en hun vertrouwen te winnen. Hier zijn enkele tactieken die ze kunnen gebruiken:

* '''Spoofing van bekende contacten''': Wees voorzichtig met berichten of oproepen van bekende contacten die om ongebruikelijke verzoeken of vertrouwelijke informatie vragen. Hun accounts kunnen zijn gecompromitteerd door phishing-aanvallers.
* '''Emotionele manipulatie''': Phishing-aanvallen kunnen inspelen op je emoties door bijvoorbeeld te beweren dat er een probleem is met je account of dat er dringende hulp nodig is. Wees op je hoede voor berichten die proberen angst, nieuwsgierigheid of medeleven op te wekken zonder duidelijke reden. Deze sociale manipulatie is ook wel bekend in de vorm van 'helpdeskfraude'. Hierbij belt een nep-medewerker van bijvoorbeeld Microsoft op om je te 'helpen' bij een niet-bestaand beveiligingsrisico in jouw programma.

=== Maatregelen ===

==== Beveiligingssoftware ====
Gebruik up-to-date beveiligingssoftware, zoals antivirusprogramma's, firewalls en anti-phishing-tools. Deze software kan helpen bij het detecteren en blokkeren van phishing-pogingen, evenals andere vormen van malware (virussen, scahdelijke software, etc.). Zorg ervoor dat je de software regelmatig bijwerkt om ervoor te zorgen dat je beschermd bent tegen de nieuwste bedreigingen. Check ook onze [[Spelregel: beveiligingsmaatregelen|spelregels]] met betrekking tot te nemen beveiligingsmaatregelen.

==== Tweefactorauthenticatie (2FA) ====
Gebruik [[Spelregel: beveiligingsmaatregelen|tweefactorauthenticatie (2FA)]] wanneer mogelijk. 2FA voegt een extra beveiligingslaag toe aan je online accounts door te vereisen dat je naast een wachtwoord een tweede vorm van verificatie verstrekt, zoals een unieke code die naar je mobiele apparaat wordt gestuurd. Hierdoor wordt het voor aanvallers moeilijker om toegang te krijgen tot je accounts, zelfs als ze je wachtwoord hebben verkregen.

== Help! Phishing. Wat nu? ==
Het melden van phishing- of spoofing-aanvallen is een belangrijke stap om niet alleen jezelf te beschermen, maar ook anderen te helpen. Je organisatie kan collega's waarschuwen en zorgen dat de e-mail in het vervolg door spam-filters wordt tegengehouden. Indien er iemand in de e-mail is getrapt, kan de organisatie proberen de schade te beperken. Daarnaast moet het in sommige gevallen ook gemeld worden aan de toezichthouder. Daar zal de organisatie voor zorgen.

Persoonsgegevens

2024-11-19T08:49:11Z

Editor 7: /* Bijzondere persoonsgegevens */

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

Voorbeelden van persoonsgegevens zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De uitkomst van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus geen persoonsgegevens:

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands ras, '''etnische afkomst''', politieke opvattingen, '''lidmaatschap aan een vakbond''', religieuze of levensbeschouwelijke overtuigingen, '''gezondheid''', seksuele voorkeur, genetische gegevens en biometrische gegevens.

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Samenvattend zijn bijzondere persoonsgegevens persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Organisaties dienen zich bewust te zijn van de bijzondere status van deze gegevens en de verplichtingen die daarbij horen om de privacy en rechten van betrokkenen te waarborgen.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende technische en organisatorische maatregelen]].

Spelregel: omgang met rechten van betrokkenen

2024-11-19T08:46:29Z

Editor 7: /* Rechten van Betrokkenen */

=== '''Achtergrond''' ===
Bij Het Handje verwerken we persoonsgegevens om onze diensten en producten te kunnen leveren. [[Persoonsgegevens]] omvatten alle informatie die het mogelijk maakt om een individu te identificeren, zoals naam, adres, geboortedatum en IP-adres, maar ook informatie over aankopen die gedaan zijn door specifieke klanten. Personen wiens persoonsgegevens door Het Handje worden verwerkt, worden '[[betrokkenen]]' genoemd.

Volgens de privacywetgeving hebben betrokkenen bepaalde rechten met betrekking tot hun persoonsgegevens. Hieronder staan deze rechten opgesomd. Als je een dergelijk verzoek ontvangt of twijfelt, neem dan contact op met de privacyaanspreekpunten van Het Handje. Zij zullen het verzoek beoordelen en verdere stappen ondernemen. Houd er rekening mee dat een verzoek niet absoluut is en mogelijk niet altijd ingewilligd hoeft te worden.

'''Let op:''' momenteel wordt RegiServ uitgebreid om het mogelijk te maken ook alle verzoeken van betrokkenen aangaande hun rechten daar te kunnen registreren. Zo lang die mogelijkheid er nog niet is blijft een melding aan de privacyaanspreekpunten van toepassing.

Het Handje heeft een maand de tijd om te reageren op een verzoek, dus het is belangrijk om verzoeken direct door te sturen.

=== '''Rechten van betrokkenen''' ===
Het onderstaande overzicht weergeeft de te nemen stappen wanneer je bij je werkzaamheden te maken krijgt met een verzoek van een betrokkene. De te nemen stappen zijn hierbij opgedeeld per recht waarop een betrokkene zich kan beroepen. Voor meer informatie over wat de verschillende rechten inhouden kun je terecht op de pagina [[rechten van betrokkenen]].

==== '''Recht op inzage''' ====

* Een betrokkene heeft het recht om zijn of haar gegevens in te zien.

* Het Handje moet de betrokkene een (digitale) kopie van de verwerkte persoonsgegevens verstrekken.

==== '''Recht op verwijdering''' ====
* Een betrokkene kan verzoeken zijn of haar gegevens te laten verwijderen. (Niet van toepassing als Het Handje goede redenen heeft om de gegevens te behouden, zoals bijvoorbeeld een wettelijke plicht om gegevens te bewaren).

==== '''Recht op rectificatie''' ====
* De betrokkene heeft het recht om eventuele fouten in de administratie van Het Handje te laten corrigeren.

==== '''Recht op dataportabiliteit''' ====
* De betrokkene kan Het Handje verzoeken om persoonsgegevens over te dragen aan een andere organisatie.

==== '''Recht op beperking van de verwerking''' ====
* Betrokkenen kunnen Het Handje vragen om tijdelijk de verwerking van hun gegevens stop te zetten.

==== '''Recht van bezwaar''' ====
* Wanneer Het Handje persoonsgegevens verwerkt op basis van een gerechtvaardigd belang, kan de betrokkene bezwaar maken na een schriftelijke belangenafweging.

==== '''Recht om een klacht in te dienen''' ====
* De betrokkene kan een klacht indienen bij een van de privacyaanspreekpunten van Het Handje.
* Daarnaast kan de betrokkene altijd contact opnemen met de Autoriteit Persoonsgegevens om een klacht in te dienen.
'''Let op:''' Hoewel er voor betrokkenen een e-mailadres is dat zij kunnen gebruiken om verzoeken aangaande hun rechten bij Het Handje neer te leggen, kan het voorkomen dat de verzoeken elders terecht komen. Let dan ook altijd goed op bij contact met betrokkenen, dat een verzoek ten aanzien van hun rechten onder de AVG besloten kan liggen in dat contact.

'''Voorbeeld''': Een mailtje van een klant dat vooral lijkt op een boos bericht naar aanleiding van een (te) laat geleverd product kan ook gericht zijn op een verwijderverzoek onder de AVG. "Ik wil niks meer met jullie te maken hebben, verwijder alles dat jullie over mij geregistreerd hebben" kan zo'n verwijderverzoek zijn. Neem in dergelijke gevallen altijd contact op met de afdeling Customer Succes. Zij zullen de relatie proberen te herstellen en controleren of ze gebruik willen maken van hun rechten onder de AVG.

Omgang met datalekken binnen Het Handje

2024-11-17T15:09:46Z

Editor 7: /* Stappen bij een beveiligingsincident en datalek */

=== '''Achtergrond''' ===
Binnen Het Handje vinden we de bescherming van persoonsgegevens van het grootste belang. In het geval van een '''datalek''', dienen alle medewerkers zich bewust te zijn van de juiste stappen om het incident aan te pakken. Hier volgen gedetailleerde instructies om ervoor te zorgen dat datalekken correct worden behandeld en gemeld.

=== '''Definitie van een Datalek''' ===
Een datalek wordt in de Algemene verordening gegevensbescherming (AVG) een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging (voorbeeld: het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

Meer informatie over wat een datalek is, of wil je voorbeelden van datalekken? Raadpleeg dan de pagina [[Datalekken]].

=== '''Stappen bij een beveiligingsincident en datalek''' ===
Heb je te maken met een beveiligingsincident en datalek? Registreer het incident dan altijd in RegiServ. Ook bij twijfel of je wel te maken hebt met een beveiligingsincident of datalek. De reden hiervoor is dat we liever het zekere voor het onzekere nemen. Ook kan het zomaar zijn dat een incident wat nu (nog) geen datalek is, zich alsnog ontwikkelt in een datalek (voorbeeld: een beveiligde laptop die is blijven liggen op een onbeheerde plaats, waarop ingebroken wordt ondanks de genomen beveiligingsmaatregelen). De registratie in RegiServ dient daarnaast als wettelijk verplichte interne registratie van een eventueel datalek.

Vervolgens zijn de volgende acties enorm belangrijk wanneer een incident geregistreerd is:
# ''De registratie in RegiServ controleren (door privacyaanspreekpunten) en hierbij:''
#* Geconstateerde datalek(ken) oplossen.
#* Maatregelen treffen om herhaling te voorkomen.
# ''Administratieve Handelingen:''
#* De melding in RegiServ aanpassen en updaten bij nieuwe of aangepaste informatie.
#* In geval van een risico voor de betrokkene(n), het datalek melden bij de Autoriteit Persoonsgegevens.
#* In geval van een hoog risico voor de betrokkene(n), het datalek ook melden aan de betrokkene(n).
Meer informatie over hoe bepaald wordt of er een risico is voor de betrokkene(n) en hoe hoog dat risico is? Raadpleeg dan de pagina [[Datalekken]].

=== '''Informatie en registratie in RegiServ''' ===
Om zo snel en passend mogelijk actie te kunnen ondernemen op een eventueel datalek, is het van belang dat de juiste informatie wordt opgenomen in RegiServ bij het doen van een melding. Probeer daarom in ieder geval de volgende informatie op te nemen wanneer je een incident meldt/registreert in RegiServ:
* Omschrijving van het incident (en datalek).
* Wanneer van toepassing: categorieën persoonsgegevens en betrokkenen.
* Wanneer duidelijk: mogelijke gevolgen.
* Partijen betrokken bij het incident en het (mogelijke) datalek.
* Wanneer van toepassing: de genomen maatregelen om het incident (of datalek) te verhelpen.
Na het doen van de interne registratie is het aan de privacyaanspreekpunten binnen Het Handje om met zekerheid te bepalen of:

* het gaat om een datalek;
* er een melding gemaakt dient te worden aan de Autoriteit Persoonsgegevens (bij risico);
* er eveneens een melding gemaakt dient te worden aan de betrokkene(n) (bij hoog risico).

=== '''Melden aan de Autoriteit Persoonsgegevens''' ===
* Niet elk datalek hoeft gemeld te worden. Alleen als er sprake is van een risico voor de rechten en vrijheden van betrokkenen.
* Melden moet zo snel mogelijk, uiterlijk binnen '''72 uur''' na ontdekking, via de website van de Autoriteit Persoonsgegevens.
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Melden aan Betrokkenen''' ===
* Bij een hoog risico voor betrokkenen, onmiddellijk melden aan de toezichthouder en betrokkenen.
* Informeer betrokkenen schriftelijk (per e-mail of brief).
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Verantwoordelijkheid''' ===
Alle medewerkers van Het Handje hebben de verantwoordelijkheid om zich bewust te zijn van deze instructies en ze nauwgezet te volgen in geval van een incident wat (mogelijk) leidt tot een datalek. Bij vragen of onduidelijkheden, neem direct contact op met een van de privacyaanspreekpunten.

Bedankt voor jullie toewijding aan de bescherming van persoonsgegevens bij Het Handje. Samen zorgen we voor een veilige digitale omgeving!

Omgang met datalekken binnen Het Handje

2024-11-17T15:09:27Z

Editor 7:

=== '''Achtergrond''' ===
Binnen Het Handje vinden we de bescherming van persoonsgegevens van het grootste belang. In het geval van een '''datalek''', dienen alle medewerkers zich bewust te zijn van de juiste stappen om het incident aan te pakken. Hier volgen gedetailleerde instructies om ervoor te zorgen dat datalekken correct worden behandeld en gemeld.

=== '''Definitie van een Datalek''' ===
Een datalek wordt in de Algemene verordening gegevensbescherming (AVG) een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging (voorbeeld: het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

Meer informatie over wat een datalek is, of wil je voorbeelden van datalekken? Raadpleeg dan de pagina [[Datalekken]].

=== '''Stappen bij een beveiligingsincident en datalek''' ===
Heb je te maken met een beveiligingsincident en datalek? Registreer het incident dan altijd in RegiServ. Ook bij twijfel of je wel te maken hebt met een beveiligingsincident of datalek. De reden hiervoor is dat we liever het zekere voor het onzekere nemen. Ook kan het zomaar zijn dat een incident wat nu (nog) geen datalek is, zich alsnog ontwikkelt in een datalek (voorbeeld: een beveiligde laptop die is blijven liggen op een onbeheerde plaats, waarop ingebroken wordt ondanks de genomen beveiligingsmaatregelen). De registratie in RegiServ dient daarnaast als wettelijk verplichte interne registratie van een eventueel datalek.

Vervolgens zijn de volgende acties enorm belangrijk wanneer een incident geregistreerd is:
# ''De registratie in RegiServ controleren (door privacyaanspreekpunten) en hierbij:''
#* Geconstateerde datalek(ken) oplossen.
#* Maatregelen treffen om herhaling te voorkomen.
# ''Administratieve Handelingen:''
#* De melding in RegiServ aanpassen en updaten bij nieuwe of aangepaste informatie.
#* In geval van een risico voor de betrokkene(n), het datalek melden bij de Autoriteit Persoonsgegevens.
#* In geval van een hoog risico voor de betrokkene(n), het datalek ook melden aan de betrokkene(n).
Meer informatie over hoe bepaald wordt of er een risico is voor de betrokkene(n) en hoe hoog dat risico is? Check dan: [[Datalekken]].

=== '''Informatie en registratie in RegiServ''' ===
Om zo snel en passend mogelijk actie te kunnen ondernemen op een eventueel datalek, is het van belang dat de juiste informatie wordt opgenomen in RegiServ bij het doen van een melding. Probeer daarom in ieder geval de volgende informatie op te nemen wanneer je een incident meldt/registreert in RegiServ:
* Omschrijving van het incident (en datalek).
* Wanneer van toepassing: categorieën persoonsgegevens en betrokkenen.
* Wanneer duidelijk: mogelijke gevolgen.
* Partijen betrokken bij het incident en het (mogelijke) datalek.
* Wanneer van toepassing: de genomen maatregelen om het incident (of datalek) te verhelpen.
Na het doen van de interne registratie is het aan de privacyaanspreekpunten binnen Het Handje om met zekerheid te bepalen of:

* het gaat om een datalek;
* er een melding gemaakt dient te worden aan de Autoriteit Persoonsgegevens (bij risico);
* er eveneens een melding gemaakt dient te worden aan de betrokkene(n) (bij hoog risico).

=== '''Melden aan de Autoriteit Persoonsgegevens''' ===
* Niet elk datalek hoeft gemeld te worden. Alleen als er sprake is van een risico voor de rechten en vrijheden van betrokkenen.
* Melden moet zo snel mogelijk, uiterlijk binnen '''72 uur''' na ontdekking, via de website van de Autoriteit Persoonsgegevens.
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Melden aan Betrokkenen''' ===
* Bij een hoog risico voor betrokkenen, onmiddellijk melden aan de toezichthouder en betrokkenen.
* Informeer betrokkenen schriftelijk (per e-mail of brief).
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Verantwoordelijkheid''' ===
Alle medewerkers van Het Handje hebben de verantwoordelijkheid om zich bewust te zijn van deze instructies en ze nauwgezet te volgen in geval van een incident wat (mogelijk) leidt tot een datalek. Bij vragen of onduidelijkheden, neem direct contact op met een van de privacyaanspreekpunten.

Bedankt voor jullie toewijding aan de bescherming van persoonsgegevens bij Het Handje. Samen zorgen we voor een veilige digitale omgeving!

Omgang met datalekken binnen Het Handje

2024-11-17T15:09:12Z

Editor 7: /* Definitie van een Datalek */

=== '''Achtergrond''' ===
Binnen Het Handje vinden we de bescherming van persoonsgegevens van het grootste belang. In het geval van een '''datalek''', dienen alle medewerkers zich bewust te zijn van de juiste stappen om het incident aan te pakken. Hier volgen gedetailleerde instructies om ervoor te zorgen dat datalekken correct worden behandeld en gemeld.

=== '''Definitie van een Datalek''' ===
Een datalek wordt in de Algemene verordening gegevensbescherming (AVG) een 'inbreuk in verband met persoonsgegevens' genoemd. Een inbreuk in verband met persoonsgegevens ontstaat bij een inbreuk op de beveiliging (voorbeeld: het laten liggen van een laptop op een onbeheerde plaats) die leidt tot het verlies, ongeoorloofd wijzigen, verstrekken, inzien of anderszins verwerken van persoonsgegevens. Een datalek vereist dus dat er niet alleen een inbreuk op de beveiliging heeft plaatsgevonden, maar ook dat hierbij persoonsgegevens betrokken zijn.

Meer informatie over wat een datalek is, of wil je voorbeelden van datalekken? Raadpleeg dan even de pagina [[Datalekken]].

=== '''Stappen bij een beveiligingsincident en datalek''' ===
Heb je te maken met een beveiligingsincident en datalek? Registreer het incident dan altijd in RegiServ. Ook bij twijfel of je wel te maken hebt met een beveiligingsincident of datalek. De reden hiervoor is dat we liever het zekere voor het onzekere nemen. Ook kan het zomaar zijn dat een incident wat nu (nog) geen datalek is, zich alsnog ontwikkelt in een datalek (voorbeeld: een beveiligde laptop die is blijven liggen op een onbeheerde plaats, waarop ingebroken wordt ondanks de genomen beveiligingsmaatregelen). De registratie in RegiServ dient daarnaast als wettelijk verplichte interne registratie van een eventueel datalek.

Vervolgens zijn de volgende acties enorm belangrijk wanneer een incident geregistreerd is:
# ''De registratie in RegiServ controleren (door privacyaanspreekpunten) en hierbij:''
#* Geconstateerde datalek(ken) oplossen.
#* Maatregelen treffen om herhaling te voorkomen.
# ''Administratieve Handelingen:''
#* De melding in RegiServ aanpassen en updaten bij nieuwe of aangepaste informatie.
#* In geval van een risico voor de betrokkene(n), het datalek melden bij de Autoriteit Persoonsgegevens.
#* In geval van een hoog risico voor de betrokkene(n), het datalek ook melden aan de betrokkene(n).
Meer informatie over hoe bepaald wordt of er een risico is voor de betrokkene(n) en hoe hoog dat risico is? Check dan: [[Datalekken]].

=== '''Informatie en registratie in RegiServ''' ===
Om zo snel en passend mogelijk actie te kunnen ondernemen op een eventueel datalek, is het van belang dat de juiste informatie wordt opgenomen in RegiServ bij het doen van een melding. Probeer daarom in ieder geval de volgende informatie op te nemen wanneer je een incident meldt/registreert in RegiServ:
* Omschrijving van het incident (en datalek).
* Wanneer van toepassing: categorieën persoonsgegevens en betrokkenen.
* Wanneer duidelijk: mogelijke gevolgen.
* Partijen betrokken bij het incident en het (mogelijke) datalek.
* Wanneer van toepassing: de genomen maatregelen om het incident (of datalek) te verhelpen.
Na het doen van de interne registratie is het aan de privacyaanspreekpunten binnen Het Handje om met zekerheid te bepalen of:

* het gaat om een datalek;
* er een melding gemaakt dient te worden aan de Autoriteit Persoonsgegevens (bij risico);
* er eveneens een melding gemaakt dient te worden aan de betrokkene(n) (bij hoog risico).

=== '''Melden aan de Autoriteit Persoonsgegevens''' ===
* Niet elk datalek hoeft gemeld te worden. Alleen als er sprake is van een risico voor de rechten en vrijheden van betrokkenen.
* Melden moet zo snel mogelijk, uiterlijk binnen '''72 uur''' na ontdekking, via de website van de Autoriteit Persoonsgegevens.
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Melden aan Betrokkenen''' ===
* Bij een hoog risico voor betrokkenen, onmiddellijk melden aan de toezichthouder en betrokkenen.
* Informeer betrokkenen schriftelijk (per e-mail of brief).
'''Let op''': bovenstaande stappen worden doorlopen door het privacyaanspreekpunt. Een melding wordt nooit op eigen initiatief gedaan door andere personen.

=== '''Verantwoordelijkheid''' ===
Alle medewerkers van Het Handje hebben de verantwoordelijkheid om zich bewust te zijn van deze instructies en ze nauwgezet te volgen in geval van een incident wat (mogelijk) leidt tot een datalek. Bij vragen of onduidelijkheden, neem direct contact op met een van de privacyaanspreekpunten.

Bedankt voor jullie toewijding aan de bescherming van persoonsgegevens bij Het Handje. Samen zorgen we voor een veilige digitale omgeving!

Persoonsgegevens

2024-11-17T15:08:14Z

Editor 7:

De [[AVG]] is van toepassing op iedere [[verwerking]] van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

{{TOC}}

== Persoonsgegevens in het kort ==
Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om ''''informatie'''<nowiki/>' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende '''natuurlijke persoon'''. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

Voorbeelden van persoonsgegevens zijn dus:

* Namen en adressen
* IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
* Locatiegegevens van mensen (zoals een GPS-locatie)
* De uitkomst van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus geen persoonsgegevens:

* De jaarcijfers van een BV
* Metingen van het geluidsniveau van de nabijgelegen snelweg
* Een foto van een voordeur waarbij het huisnummer niet in beeld is
* De overlijdensdatum van een oud-medewerker

== Identificeerbaar (herleidbaar) ==
De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand '''herleidbaar''' is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

== Bijzondere persoonsgegevens ==
Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands ras, etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, gezondheid, seksuele voorkeur, genetische gegevens en biometrische gegevens.

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals [[toestemming]] van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om [[passende technische en organisatorische maatregelen]] te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Samenvattend zijn bijzondere persoonsgegevens persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Organisaties dienen zich bewust te zijn van de bijzondere status van deze gegevens en de verplichtingen die daarbij horen om de privacy en rechten van betrokkenen te waarborgen.

== Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens' ==
Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: [[Passende technische en organisatorische maatregelen]].

Welkom bij de Wiki van Het Handje

2024-11-15T09:24:03Z

Editor 7: /* Privacy: de basis */

Welkom bij de Wiki van '''[[Over de organisatie|Het Handje]] 💎.''' Hier kun je informatie vinden over de [[Over de organisatie|organisatie]] en over de [[Europese privacywetgeving#Algemene verordening gegevensbescherming (2018)|AVG]].

Alle informatie is bedoeld ter instructie van medewerkers van Het Handje. Met een gezamenlijk doel werken wij toe naar de slogan van onze privacyaanspreekpunten:

"Samen slimmer dan onze slimste horloges!" 🥸⌚
----Om het navigeren 🧭 door de Wiki een stukje eenvoudiger te maken volgt hieronder een korte '''leeswijzer 📖''':

''"'''Het Handje'''": hier is alle informatie te vinden over onze prachtige organisatie. Van wat meer informatie over het ontstaan tot informatie over specifieke onderdelen van de organisatie, alsook de mogelijkheid voor medewerkers om als eerste op de hoogte te zijn van onze nieuwste collectie 💍: het is hier allemaal te vinden!''

''"'''Privacy en Het Handje: spelregels & procedures'''": omdat geen enkele organisatie zonder iets van regeltjes kan, vind je hier alle informatie waar je rekening mee dient te houden als medewerker van Het Handje. Geen zorgen, je vindt hier geen dik boekwerk, maar handige spelregels en procedures die van toepassing zijn op thema's rondom privacy en security. Zo weet iedereen wat er van ze verwacht wordt en werken we toe naar een privacyvriendelijke werkwijze.''

''"'''Privacy: de basis'''": soms is het gewoon fijn om naslagwerk te hebben waarin kort en bondig uitgelegd wordt wat de regeltjes zijn uit de AVG en andere belangrijke wet- en regelgeving op het gebied van privacy en security. In "Privacy: de basis" vind je daarom de belangrijkste uitgangspunten m.b.t. essentiële privacy en security definities en eisen uit de AVG. Om het zo gemakkelijk mogelijk te maken vind je hier ook het boek "De AVG: artikelsgewijs commentaar" geschreven door een aantal juristen van juridisch advieskantoor ICTRecht 🌳. Erg handig wanneer je net wat meer uitleg wil bij de regeltjes uit de AVG.''

''"'''Veelgestelde vragen'''" 🤔: lijkt me duidelijk deze. Alle veelgestelde vragen zijn hier gebundeld, zodat je nooit lang hoeft te zoeken naar het antwoord op jouw prangende vragen.''
----➡️ Alle informatie in de Wiki is met elkaar verbonden. Dat wil zeggen dat je makkelijk kan klikken op linkjes in de tekst, die je kunt herkennen aan hun blauwe kleur. Klik je hierop dan kom je op een andere pagina in de Wiki uit met meer informatie over dat specifieke onderwerp. De Wiki staat vol met korte stappenplannen, diepgaande uitleg en leuke instructievideo's 📺. Zoek je naar een specifiek begrip of concept, overweeg dan ook om de zoekfunctie te gebruiken rechtsboven in beeld. Veel succes gewenst!

== Het Handje ==

* [[Over de organisatie]]
* [[Het Handje: Vakschool]]
* [[Het Handje: Campus]]
* [[Het Handje: Nieuwe collectie]]
* [[Het Handje: Onze mensen]]

== Privacy en Het Handje: spelregels & procedures ==

* [[Omgang met datalekken binnen Het Handje|Spelregel: omgang met datalekken]]
* [[Spelregel: omgang met rechten van betrokkenen]]
* [[Spelregel: intern en extern delen van persoonsgegevens]]
* [[Spelregel: sollicitatie(s)]]
* [[Camerabeleid|Procedure: camerabeleid]]
* [[Spelregel: beveiligingsmaatregelen]]
* [[Procedure: computernetwerk, internetgebruik en social media]]

== Privacy: de basis ==

* [[Alle artikelen uitgelegd|De AVG: artikelsgewijs commentaar]] (E-Boek)
* [[Europese privacywetgeving]]
* [[Persoonsgegevens]]
* [[Pseudonimiseren en anonimiseren]]
* [[De beginselen bij het verwerken van persoonsgegevens]]
* [[Grondslagen]]
* [[Datalekken]]
* [[Verwerking]]
* [[Passende beveiliging]]
* [[Handhaving en sancties]]
* [[Rechten van betrokkenen]]
* [[Rolverdeling verschillende partijen]]
* [[Bewaartermijnen]]
* [[DPIA]]
* [[Malware]]
* [[Phishing]]
* [[Privacy en security professionals]]
* [[Privacy bewustwording]]
* [[Niet-naleving AVG]]
* [[Informatiebeveiliging]]

== Veelgestelde vragen ==

[[Veelgestelde vragen]]
* [[Toepassingsbereik|Wanneer is de AVG van toepassing?]]
* [[Zijn zakelijke gegevens van klanten van Het Handje ook persoonsgegevens?]]
* [[Heeft het Handje altijd een grondslag voor het verwerken van persoonsgegevens?]]
* [[Waarom gebruikt Het Handje biometrische toegangsbeveiliging op de Campus, en mag dit wel?]]
* [[Wat is een leerlingenvolgsysteem en waarom maakt Het Handje hier gebruik van op de Vakschool?]]
* [[Is er altijd toestemming nodig bij het maken van beeldmateriaal op de Campus of in de Vakschool?]]
* [[Wat moet ik doen wanneer ik een (mogelijk) beveiligingsincident en/of datalek op het oog heb?]]
* [[Zijn er naast de bewaartermijnen die door Het Handje zelf zijn vastgesteld ook nog wettelijke bewaartermijnen?]]
* [[Mag ik een identiteitsbewijs (paspoort/ID-kaart) opvragen om de identiteit vast te stellen bij een verzoek van een klant onder de AVG?]]
* [[Wat gebeurt er met mijn melding over een (mogelijke) phishing-mail?]]
* [[Mag Het Handje nieuwsbrieven, dan wel commerciële berichten, via e-mail versturen?]]
* [[Hoe ga ik om met een vraag van een betrokkene over het recht op rectificatie?]]
* [[Wanneer is Het Handje de verwerkingsverantwoordelijke en in welk geval de verwerker?]]

Handhaving en sancties

2024-11-15T08:16:26Z

Editor 7:

== De Autoriteit Persoonsgegevens als toezichthouder ==
De Autoriteit Persoonsgegevens (AP) is de Nederlandse onafhankelijke '''toezichthoudende autoriteit''' die verantwoordelijk is voor de handhaving van de AVG. De AP speelt een cruciale rol bij het waarborgen van de naleving van de privacywetgeving en het beschermen van de privacyrechten van individuen aangezien het de Nederlandse toezichthouder is.

De AP speelt een actieve rol bij het '''bevorderen van bewustwording''' over gegevensbescherming en het afdwingen van naleving van de AVG. Zo publiceert de AP regelmatig praktische richtlijnen voor organisaties, handreikingen voor specifieke sectoren en nieuwsberichten over actuele privacykwesties. Daarnaast organiseert de AP verschillende activiteiten zoals webinars en voorlichtingsbijeenkomsten om privacy onder de aandacht te brengen. Door middel van onderzoeken, voorlichting en het opleggen van sancties zorgt de AP ervoor dat organisaties de privacyrechten van individuen respecteren en een hoge standaard van gegevensbescherming handhaven.

== Taken en bevoegdheden AP ==
De AP speelt een cruciale rol bij het waarborgen van de bescherming van persoonsgegevens in Nederland. Door middel van toezicht, handhaving, voorlichting en samenwerking draagt de AP bij aan het bevorderen van een verantwoorde en respectvolle omgang met persoonsgegevens door organisaties en instanties. De AP heeft een breed scala aan taken en bevoegdheden om de AVG te handhaven en toezicht te houden op de verwerking van persoonsgegevens.

Hieronder worden een aantal belangrijke taken en bevoegdheden van de AP beschreven:

=== Toezicht houden op de naleving van de privacywetgeving ===
De belangrijkste taak van de AP is toezicht houden op de naleving van de privacyregelgeving en AVG. De AP controleert of organisaties persoonsgegevens op een rechtmatige en behoorlijke manier verwerken. Dit omvat het onderzoeken van klachten van betrokkenen, het uitvoeren van eigen onderzoeken en audits bij organisaties, en het opleggen van sancties indien nodig.

=== Behandelen van klachten ===
De AP heeft de bevoegdheid om klachten van individuen te ontvangen en te onderzoeken over de verwerking van hun persoonsgegevens. Als blijkt dat een organisatie in strijd handelt met de privacywetgeving, kan de AP passende maatregelen nemen om de overtredingen te corrigeren.

=== Voorlichting en advies ===
De AP heeft een rol in het verstrekken van voorlichting en advies aan het publiek, organisaties en overheidsinstanties over hun rechten en plichten met betrekking tot gegevensbescherming. Ze geven richtlijnen en publiceren informatie om bewustzijn te creëren over privacykwesties.

=== Autorisatie en goedkeuring van gegevensverwerking ===
In sommige gevallen moeten organisaties specifieke gegevensverwerkingen vooraf aanmelden bij de AP of om goedkeuring vragen. Dit geldt bijvoorbeeld voor bepaalde verwerkingen van bijzondere categorieën persoonsgegevens of bij verwerkingen met een hoog risico voor de rechten en vrijheden van betrokkenen.

=== Onderzoek doen naar datalekken ===
De AP is verantwoordelijk voor het onderzoeken van datalekken die door organisaties worden gemeld. Als er sprake is van een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, kan de AP passende maatregelen opleggen om herhaling te voorkomen.

=== Handhavingsbevoegdheden ===
Als de AP overtredingen van de privacywetgeving vaststelt heeft zij verschillende handhavingsbevoegdheden tot haar beschikking. Dit kan variëren van het opleggen van waarschuwingen en berispingen tot het opleggen van boetes, dwangsommen, of het verbieden van gegevensverwerkingen.

=== Internationale samenwerking ===
De AP werkt samen met andere Europese toezichthoudende autoriteiten en neemt deel aan de samenwerking binnen de European Data Protection Board (EDPB).

== Boetes opgelegd door de AP ==
De Autoriteit Persoonsgegevens kan een '''boete''' opleggen wanneer een organisatie de AVG heeft overtreden. Er zijn een aantal voorbeelden van spraakmakende boetes opgelegd door de Autoriteit Persoonsgegevens.

In 2021 heeft de AP bijvoorbeeld TikTok een boete opgelegd van 750.000 euro. TikTok, de populaire social media-applicatie die voornamelijk door jongeren wordt gebruikt, is een voorbeeld van een organisatie die de afgelopen jaren te maken heeft gehad met verschillende boetes in verband met privacyschendingen en overtredingen. Er zijn boetes opgelegd door verschillende nationale toezichthouders, zo ook door AP. Veel kinderen in Nederland hebben de applicatie TikTok op hun telefoon staan. In 2021 telde de applicatie ongeveer 1,7 miljoen gebruikers, waarvan naar schatting ongeveer een kwart minderjarig was. De AP startte een onderzoek naar TikTok omdat er zorgen waren over de privacy van kinderen, mede omdat kinderen als extra kwetsbare groep worden gezien en zij zich minder bewust zijn van de gevolgen van hun handelen. Kinderen krijgen volgens de privacywetgeving dan ook extra bescherming. De boete van de AP is opgelegd voor het schenden van de privacy van kinderen. TikTok bood de privacyverklaring enkel in het Engels aan en niet in het Nederlands. Het platform handelde daarom in strijd met het uitgangspunt van de privacywetgeving dat altijd duidelijk moet zijn wat er met je persoonsgegevens gebeurt. TikTok voldeed niet aan de transparantie- en informatieplicht zoals vastgelegd in de AVG en kreeg hiervoor een boete van 750.000 euro.

Het andere voorbeeld is een boete die in april 2022 is opgelegd aan de Belastingdienst. Het gaat daarbij om een boete van 3,7 miljoen euro vanwege de jarenlange illegale verwerking van persoonsgegevens in de Fraude Signalering Voorziening (FSV). Het ging om een zwarte lijst waarop de Belastingdienst signalen van fraude bijhield. Deze lijst leidde tot grote gevolgen voor mensen die onterecht op de lijst stonden. Het is een forse boete omdat de boete gebaseerd is op meerdere boetes voor in totaal zes overtredingen. Een van die overtredingen lag in het feit dat de Belastingdienst geen wettelijke grondslag had voor het verwerken van de persoonsgegevens op de lijst, waardoor de verwerking van persoonsgegevens illegaal was. Daarnaast had de FSV het doel van de verwerking vooraf niet specifiek omschreven en was de beveiliging van de lijst niet op orde. Ook bevatte de database van de FSV onjuiste en niet-geactualiseerde gegevens en werden signalen te lang bewaard. Tot slot had de Belastingdienst pas na ruim een jaar een interne privacytoezichthouder om advies gevraagd. Dit feitencomplex leidde tot een forse boete van 3,7 miljoen euro. Bij het bedrag van de boete woog de AP ook mee dat de Belastingdienst al vaker ernstige overtredingen van de AVG beging.

Grondslagen

2024-10-29T12:57:55Z

Editor 7:

In de AVG staan zes zogeheten 'grondslagen' - dit zijn redenen waarom een organisatie persoonsgegevens mag verwerken:

* Toestemming
* Uitvoering van een overeenkomst
* Wettelijke verplichting
* Vitale belangen
* Uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag
* Gerechtvaardigd belang

Deze grondslagen vormen de juridische basis voor gegevensverwerking en moeten worden nageleefd om aan de privacywetgeving te voldoen. Organisaties moeten zich op minstens één van deze grondslagen kunnen beroepen om je gegevens te mogen verwerken. Het is van belang op te merken dat organisaties ervoor moeten zorgen dat de grondslag passend en rechtmatig is voor elke specifieke verwerking van persoonsgegevens. Bovendien moeten ze transparant zijn naar betrokkenen over welke grondslag wordt gebruikt en voor welk doel de gegevens worden verwerkt. Dit kan worden opgenomen in de privacyverklaring van de desbetreffende organisatie. Een zorgvuldige afweging van de juiste grondslag is cruciaal om te voldoen aan de vereisten van de AVG en om de privacy van individuen te waarborgen. Hieronder wordt bij elke grondslag kort stilgestaan.

== Toestemming ==
De grondslag toestemming houdt eigenlijk in dat een betrokkene uitdrukkelijk 'ja' heeft gezegd tegen het gebruik van zijn of haar persoonsgegevens. Voor deze toestemming gelden wel een aantal vereisten.

Er zijn vier vereisten om te spreken van een geldige toestemming op grond van de AVG:

* De toestemming moet '''vrijwillig''' gegeven zijn. Dit houdt eigenlijk in dat de toestemming '''in vrijheid''' wordt gegeven, dus zonder dat er enige vorm van druk of negatieve gevolgen aan verbonden zijn indien een betrokkene weigert. Daarnaast mag er geen sprake zijn van een ongelijke machtsverhouding tussen de partijen: het is dus eigenlijk niet de bedoeling dat een werkgever toestemming uitvraagt bij een werknemer voor de verwerking van persoonsgegevens.
* De toestemming moet betrekking hebben op een '''specifiek''' doel van de gegevensverwerking. Het moet dus duidelijk zijn waarvoor iemand toestemming geeft, zodat de betrokkene hierover een weloverwogen beslissing kan nemen.
* De betrokkene moet goed '''geïnformeerd''' worden over alle relevante informatie betrekking tot de verwerking van de persoonsgegevens, zoals: de identiteit van de verwerkingsverantwoordelijke, het doel van de verwerking en de ontvangers van de gegevens.
* De toestemming moet '''ondubbelzinnig''' zijn: er mag geen twijfel bestaan over de vraag of de betrokkene daadwerkelijk heeft ingestemd met de verwerking van zijn of haar persoonsgegevens. Neem bijvoorbeeld de vraag over het al dan niet mogen versturen van een nieuwsbrief: de betrokkene moet hierbij zelf het vakje aanvinken (''''opt-in'''<nowiki/>'). Er mag geen gebruik worden gemaakt van een 'opt-out': in andere woorden, het vakje mag niet al vooraf aangevinkt zijn.

=== Recht op intrekking ===
Toestemming is niet voor eeuwig - mensen hebben altijd het recht om hun toestemming weer in te trekken. Dit recht op intrekking is een belangrijk onderdeel van de AVG en moet aan verschillende eisen voldoen:

* Het intrekken moet net zo makkelijk zijn als het geven van toestemming
* De mogelijkheid tot intrekking moet vooraf duidelijk worden gecommuniceerd
* Na intrekking moet de verwerking van persoonsgegevens direct stoppen.
* Intrekking heeft geen terugwerkende kracht: verwerkingen uit het verleden blijven rechtmatig.

'''Praktijkvoorbeeld:'''

Als iemand zich via één klik kan aanmelden voor een nieuwsbrief, moet uitschrijven ook met één klik kunnen. Het mag niet zo zijn dat iemand voor uitschrijving eerst moet inloggen, een formulier moet invullen en een reden moet opgeven.

== Uitvoering van een overeenkomst ==
Dit is een grondslag die het voor organisaties mogelijk maakt om persoonsgegevens te verwerken wanneer dat noodzakelijk is voor het uitvoeren van een overeenkomst. Het geldt ook voor stappen die genomen (dienen te) worden vóór het sluiten van een overeenkomst. Dit biedt organisaties dus de mogelijkheid om persoonsgegevens te verzamelen en te gebruiken wanneer dat nodig is om te voldoen aan de verplichtingen die voortvloeien uit een overeenkomst '''met de betrokkene'''.

Neem bijvoorbeeld als voorbeeld een situatie waarin je online iets koopt en de winkel het adres nodig heeft om het pakketje te bezorgen. Of als je een hypotheek aanvraagt en de bank bepaalde financiële gegevens nodig heeft om de aanvraag te beoordelen.

== Wettelijke verplichting ==
Deze grondslag houdt verband met verwerkingen die noodzakelijk zijn om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Een voorwaarde hiervan is wel dat deze verplichting moet zijn gebaseerd op Europese en nationale wetgeving en dat de organisatie kan aantonen welke wet deze verwerking vereist. Een voorbeeld hiervan is de verstrekking van gegevens door een organisatie over haar werknemers aan de Belastingdienst.

== Vitale belangen ==
Hierbij gaat het om de noodzaak om de vitale belangen van de betrokkene of van een andere natuurlijk persoon (zoals het kind van een betrokkene) te beschermen. Een vitaal belang raakt aan het leven van die persoon. Het gaat daarbij bijvoorbeeld om het verwerken van medische gegevens bij een ongeval. Het is van belang op te merken dat de verwerking van persoonsgegevens op grond van het vitale belang voor een ander natuurlijke persoon in beginsel alleen is toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Deze grondslag wordt dus eigenlijk alleen gebruikt in noodsituaties.

== Algemeen belang of openbaar gezag ==
De AVG schrijft voor dat een verwerking van persoonsgegevens ook gerechtvaardigd is als deze noodzakelijk is voor een taak van algemeen belang of een taak voor het openbaar gezag. Het algemeen belang wordt verder niet gedefinieerd in de AVG. Het algemeen belang is in ieder geval niet beperkt tot overheidsinstanties. Gezondheidsdoelen zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten worden ook genoemd. Van openbaar gezag is sprake wanneer overheidsinstanties hun bij wet geregelde taak uitvoeren.

== Gerechtvaardigd belang ==
Dit gaat om het gerechtvaardigd belang van de verwerkingsverantwoordelijke. Het is van belang dat hierbij een belangenafweging met de grondrechten van de betrokkene wordt gemaakt. In deze belangenafweging wordt het belang van de verwerkingsverantwoordelijke tegenover de belangen of grondrechten en de fundamentele vrijheden van betrokkene afgewogen. Het is een open norm en de afweging wordt uitgevoerd op basis van alle omstandigheden van het geval. Een belangrijke factor hierbij is in hoeverre de betrokkene redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. Bij deze verwachtingen speelt de verhouding tot de verwerkingsverantwoordelijke een belangrijke rol. Het is van belang dat de verwerkingsverantwoordelijke deze afweging toelicht bij het gebruik van deze grondslag.

Grondslagen

2024-10-29T12:57:35Z

Editor 7:

In de AVG staan zes zogeheten 'grondslagen' - dit zijn redenen waarom een organisatie persoonsgegevens mag verwerken:

* Toestemming
* Uitvoering van een overeenkomst
* Wettelijke verplichting
* Vitale belangen
* Uitvoering van een taak van algemeen belang of uitoefening van openbaar gezag
* Gerechtvaardigd belang

Deze grondslagen vormen de juridische basis voor gegevensverwerking en moeten worden nageleefd om aan de privacywetgeving te voldoen. Organisaties moeten zich op minstens één van deze grondslagen kunnen beroepen om je gegevens te mogen verwerken. Het is van belang op te merken dat organisaties ervoor moeten zorgen dat de grondslag passend en rechtmatig is voor elke specifieke verwerking van persoonsgegevens. Bovendien moeten ze transparant zijn naar betrokkenen over welke grondslag wordt gebruikt en voor welk doel de gegevens worden verwerkt. Dit kan worden opgenomen in de privacyverklaring van de desbetreffende organisatie. Een zorgvuldige afweging van de juiste grondslag is cruciaal om te voldoen aan de vereisten van de AVG en om de privacy van individuen te waarborgen. Hieronder wordt bij elke grondslag kort stilgestaan.

== Toestemming ==
De grondslag toestemming houdt eigenlijk in dat een betrokkene uitdrukkelijk 'ja' heeft gezegd tegen het gebruik van zijn of haar persoonsgegevens. Voor deze toestemming gelden wel een aantal vereisten.

Er zijn vier vereisten om te spreken van een geldige toestemming op grond van de AVG:

* De toestemming moet '''vrijwillig''' gegeven zijn. Dit houdt eigenlijk in dat de toestemming vrijelijk wordt gegeven, dus zonder dat er enige vorm van druk of negatieve gevolgen aan verbonden zijn indien een betrokkene weigert. Daarnaast mag er geen sprake zijn van een ongelijke machtsverhouding tussen de partijen: het is dus eigenlijk niet de bedoeling dat een werkgever toestemming uitvraagt bij een werknemer voor de verwerking van persoonsgegevens.
* De toestemming moet betrekking hebben op een '''specifiek''' doel van de gegevensverwerking. Het moet dus duidelijk zijn waarvoor iemand toestemming geeft, zodat de betrokkene hierover een weloverwogen beslissing kan nemen.
* De betrokkene moet goed '''geïnformeerd''' worden over alle relevante informatie betrekking tot de verwerking van de persoonsgegevens, zoals: de identiteit van de verwerkingsverantwoordelijke, het doel van de verwerking en de ontvangers van de gegevens.
* De toestemming moet '''ondubbelzinnig''' zijn: er mag geen twijfel bestaan over de vraag of de betrokkene daadwerkelijk heeft ingestemd met de verwerking van zijn of haar persoonsgegevens. Neem bijvoorbeeld de vraag over het al dan niet mogen versturen van een nieuwsbrief: de betrokkene moet hierbij zelf het vakje aanvinken (''''opt-in'''<nowiki/>'). Er mag geen gebruik worden gemaakt van een 'opt-out': in andere woorden, het vakje mag niet al vooraf aangevinkt zijn.

=== Recht op intrekking ===
Toestemming is niet voor eeuwig - mensen hebben altijd het recht om hun toestemming weer in te trekken. Dit recht op intrekking is een belangrijk onderdeel van de AVG en moet aan verschillende eisen voldoen:

* Het intrekken moet net zo makkelijk zijn als het geven van toestemming
* De mogelijkheid tot intrekking moet vooraf duidelijk worden gecommuniceerd
* Na intrekking moet de verwerking van persoonsgegevens direct stoppen.
* Intrekking heeft geen terugwerkende kracht: verwerkingen uit het verleden blijven rechtmatig.

'''Praktijkvoorbeeld:'''

Als iemand zich via één klik kan aanmelden voor een nieuwsbrief, moet uitschrijven ook met één klik kunnen. Het mag niet zo zijn dat iemand voor uitschrijving eerst moet inloggen, een formulier moet invullen en een reden moet opgeven.

== Uitvoering van een overeenkomst ==
Dit is een grondslag die het voor organisaties mogelijk maakt om persoonsgegevens te verwerken wanneer dat noodzakelijk is voor het uitvoeren van een overeenkomst. Het geldt ook voor stappen die genomen (dienen te) worden vóór het sluiten van een overeenkomst. Dit biedt organisaties dus de mogelijkheid om persoonsgegevens te verzamelen en te gebruiken wanneer dat nodig is om te voldoen aan de verplichtingen die voortvloeien uit een overeenkomst '''met de betrokkene'''.

Neem bijvoorbeeld als voorbeeld een situatie waarin je online iets koopt en de winkel het adres nodig heeft om het pakketje te bezorgen. Of als je een hypotheek aanvraagt en de bank bepaalde financiële gegevens nodig heeft om de aanvraag te beoordelen.

== Wettelijke verplichting ==
Deze grondslag houdt verband met verwerkingen die noodzakelijk zijn om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Een voorwaarde hiervan is wel dat deze verplichting moet zijn gebaseerd op Europese en nationale wetgeving en dat de organisatie kan aantonen welke wet deze verwerking vereist. Een voorbeeld hiervan is de verstrekking van gegevens door een organisatie over haar werknemers aan de Belastingdienst.

== Vitale belangen ==
Hierbij gaat het om de noodzaak om de vitale belangen van de betrokkene of van een andere natuurlijk persoon (zoals het kind van een betrokkene) te beschermen. Een vitaal belang raakt aan het leven van die persoon. Het gaat daarbij bijvoorbeeld om het verwerken van medische gegevens bij een ongeval. Het is van belang op te merken dat de verwerking van persoonsgegevens op grond van het vitale belang voor een ander natuurlijke persoon in beginsel alleen is toegestaan indien de verwerking kennelijk niet op een andere rechtsgrond kan worden gebaseerd. Deze grondslag wordt dus eigenlijk alleen gebruikt in noodsituaties.

== Algemeen belang of openbaar gezag ==
De AVG schrijft voor dat een verwerking van persoonsgegevens ook gerechtvaardigd is als deze noodzakelijk is voor een taak van algemeen belang of een taak voor het openbaar gezag. Het algemeen belang wordt verder niet gedefinieerd in de AVG. Het algemeen belang is in ieder geval niet beperkt tot overheidsinstanties. Gezondheidsdoelen zoals volksgezondheid, sociale bescherming en het beheer van gezondheidszorgdiensten worden ook genoemd. Van openbaar gezag is sprake wanneer overheidsinstanties hun bij wet geregelde taak uitvoeren.

== Gerechtvaardigd belang ==
Dit gaat om het gerechtvaardigd belang van de verwerkingsverantwoordelijke. Het is van belang dat hierbij een belangenafweging met de grondrechten van de betrokkene wordt gemaakt. In deze belangenafweging wordt het belang van de verwerkingsverantwoordelijke tegenover de belangen of grondrechten en de fundamentele vrijheden van betrokkene afgewogen. Het is een open norm en de afweging wordt uitgevoerd op basis van alle omstandigheden van het geval. Een belangrijke factor hierbij is in hoeverre de betrokkene redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. Bij deze verwachtingen speelt de verhouding tot de verwerkingsverantwoordelijke een belangrijke rol. Het is van belang dat de verwerkingsverantwoordelijke deze afweging toelicht bij het gebruik van deze grondslag.