NOREA-Handreiking Data Protection Impact Assessment (DPIA)
NOREA, de beroepsorganisatie van IT-Auditors, heeft een handreiking gepubliceerd voor het uitvoeren van een 'data protection impact assessment'.
Deze assessments zijn verplicht als een organisatie persoonsgegevens wil gaan verwerken, terwijl het privacyrisico hoog is. Dit volgt uit de Algemene Verordening Gegevensbescherming (AVG). De handreiking sluit ook aan bij ISO 31000/31010, de internationale standaard voor risicomanagement.
"De NOREA-handreiking onderscheidt zich op een cruciaal punt van alle andere beschikbare DPIA-handreikingen. Terwijl in de andere handleidingen risicomanagement een black box blijft, beschrijft NOREA een concrete, praktische methode om de risico's te beoordelen (risk assessment) en te behandelen (risk treatment). Dit leidt tot doordachte maatregelen. Bovendien ontstaat voor iedereen een herkenbaar risicobeeld, wat bijdraagt aan een breed draagvlak bij alle stakeholders van de DPIA. Illustratieve praktijksituaties vereenvoudigen het toepassen van de handreiking", aldus de beroepsorganisatie.
De handreiking (bestaande uit twee documenten) is de actualisatie van de PIA-handreiking van de NOREA-Kennisgroep Privacy. De eerder gepubliceerde PIA was nog gebaseerd op de WBP (Wet Bescherming Persoonsgegevens). De nieuwe DPIA-aanpak sluit dan ook op onderdelen aan op het eerder gepubliceerde NOREA Privacy Control Framework.
Ook de nieuwe Handreiking DPIA is weer bestemd voor een brede doelgroep, bestaande uit opdrachtgevers en opdrachtnemers van DPIA's – waaronder de IT-auditor in de rol van adviseur. De aanpak is geschikt voor elk type organisatie, aldus NOREA.
Gerelateerd
AP gaat beveiliging data bij ICT-leveranciers controleren
De Autoriteit Persoonsgegevens (AP) gaat bij een aantal ICT-leveranciers in Nederland preventief controleren hoe zij de digitale beveiliging hebben geregeld. Zo...
'Datalekken veroorzaakt door te weinig controle'
Meer controles zijn nodig om ervoor te zorgen dat bedrijven en organisaties hun gegevens goed beschermen. Dat is de conclusie van Bits of Freedom, de stichting die...
Versoepelingen Europese privacywet gaan volgens kabinet hun doel voorbij
De Europese Commissie heeft in een ‘Digital Omnibus’ versoepelingen voorgesteld op het gebied van privacywetgeving. Volgens het Nederlandse kabinet schieten die...
ADR presenteert vernieuwd kader voor inzicht in IT-beheer
De Auditdienst Rijk (ADR) introduceert een vernieuwd IT General Controls (ITGC)-kader, als basisraamwerk voor IT-onderzoeken. Het kader wordt onder andere gebruikt...
Telecomprovider Odido onderzoekt of klantgegevens te lang zijn bewaard
Telecomprovider Odido onderzoekt of het oude gegevens te lang heeft bewaard. Het telecombedrijf zegt vragen te hebben gekregen van mensen die zeggen al jaren weg...