NOREA-Handreiking Data Protection Impact Assessment (DPIA)
NOREA, de beroepsorganisatie van IT-Auditors, heeft een handreiking gepubliceerd voor het uitvoeren van een 'data protection impact assessment'.
Deze assessments zijn verplicht als een organisatie persoonsgegevens wil gaan verwerken, terwijl het privacyrisico hoog is. Dit volgt uit de Algemene Verordening Gegevensbescherming (AVG). De handreiking sluit ook aan bij ISO 31000/31010, de internationale standaard voor risicomanagement.
"De NOREA-handreiking onderscheidt zich op een cruciaal punt van alle andere beschikbare DPIA-handreikingen. Terwijl in de andere handleidingen risicomanagement een black box blijft, beschrijft NOREA een concrete, praktische methode om de risico's te beoordelen (risk assessment) en te behandelen (risk treatment). Dit leidt tot doordachte maatregelen. Bovendien ontstaat voor iedereen een herkenbaar risicobeeld, wat bijdraagt aan een breed draagvlak bij alle stakeholders van de DPIA. Illustratieve praktijksituaties vereenvoudigen het toepassen van de handreiking", aldus de beroepsorganisatie.
De handreiking (bestaande uit twee documenten) is de actualisatie van de PIA-handreiking van de NOREA-Kennisgroep Privacy. De eerder gepubliceerde PIA was nog gebaseerd op de WBP (Wet Bescherming Persoonsgegevens). De nieuwe DPIA-aanpak sluit dan ook op onderdelen aan op het eerder gepubliceerde NOREA Privacy Control Framework.
Ook de nieuwe Handreiking DPIA is weer bestemd voor een brede doelgroep, bestaande uit opdrachtgevers en opdrachtnemers van DPIA's – waaronder de IT-auditor in de rol van adviseur. De aanpak is geschikt voor elk type organisatie, aldus NOREA.
Gerelateerd
Autoriteit Persoonsgegevens stelt nieuwe voorwaarden aan organisaties voor melden van fraude
De Autoriteit Persoonsgegevens (AP) heeft recent een advies gepubliceerd over het verwerken van persoonsgegevens bij signalen en meldingen van mogelijke fraude.
Toezichthouders pleiten voor meewegen digitale autonomie bij inkoopkeuzes
Nederlandse toezichthouders roepen organisaties en overheden op om digitale autonomie nadrukkelijk mee te wegen bij de inkoop van IT-diensten. Die aanbeveling doen...
Kabinet stelt inwerkingtreding artikel wet Gegevensbescherming uit, na oproep NBA
Het kabinet meldt dat een artikel in de Verzamelwet Gegevensbescherming niet in werking zal treden, in verband met gevolgen voor de controleerbaarheid van de zorgsector....
Fiscus stopt met vermelding BSN in betalingen
De Belastingdienst stopt uiterlijk eind dit jaar met het vermelden van het burgerservicenummer (BSN) van personen in betalingen. Het BSN wordt straks vervangen door...
Staatssecretaris verbiedt overname bedrijf achter DigiD
De overname van Solvinity, het bedrijf achter DigiD, door het Amerikaanse Kyndryl wordt door staatssecretaris Willemijn Aerdts (Economische Zaken) verboden. Ze doet...