Terug naar normen

Naar de normenkaderwijzer >>

PR.06 Gegevensbescherming door privacy by design en privacy by default

Bij de ontwikkeling, het ontwerp, de selectie en het gebruik van toepassingen, diensten en producten houdt de organisatie zo vroeg mogelijk in het proces rekening met de privacybeginselen en privacyrisico’s en past gegevensbescherming door ontwerp en standaardinstellingen toe. Toepassingen zijn standaard privacyvriendelijk ingesteld.

Volwassenheidsniveau 3 met betrekking tot norm PR.06

Om een digitaal veilige omgeving te creëren voor leerlingen en medewerkers moet je minimaal streven naar volwassenheidsniveau 3. Norm PR.06 Gegevensbescherming door privacy by design en privacy by default beschrijft volwassenheidsniveau 3 als volgt:

In het kader van risicomanagement hanteert de organisatie gedocumenteerde eisen en beginselen voor privacy by design en privacy by default. Dit omvat de ontwikkeling, het ontwerp, de selectie, en het gebruik van toepassingen, diensten en producten.
Voorafgaand aan de inkoop of de ontwikkeling van toepassingen, diensten en producten vindt systematisch een beoordeling plaats van de privacyrisico’s. Hierbij worden de benodigde maatregelen vastgesteld om de privacybeginselen van art. 5 lid 1 AVG na te leven.
Bij samenwerking met externe partijen stelt de organisatie consequent eisen op het gebied van privacy by design.
Privacy by default is consequent geïntegreerd als een standaard aspect van de configuratie voor toepassingen, diensten en producten waarin verwerking met een hoog risico plaatsvindt.
Er zijn gedocumenteerde richtlijnen opgesteld die betrekking hebben op zowel de verwerking als de bescherming van gegevens, waarbij de principes van privacy by default centraal staan.

Normbeschrijving Kennisnet

Hoe ga je aan de slag met Norm PR.06?

Wat doet Cloudwise?

Deze norm beschrijft dat organisaties bij het ontwerpen, ontwikkelen, selecteren en gebruiken van systemen en diensten al in een vroeg stadium rekening moeten houden met privacy. Dit wordt privacy by design genoemd. Daarnaast moeten systemen standaard zo zijn ingesteld dat alleen de noodzakelijke persoonsgegevens worden verwerkt en zo privacyvriendelijk mogelijk zijn geconfigureerd (privacy by default).

Het vaststellen van beleid, eisen en processen rondom privacy by design en privacy by default is een verantwoordelijkheid van de onderwijsorganisatie als verwerkingsverantwoordelijke en valt buiten onze dienstverlening.

Wat wij wél doen binnen onze dienstverlening:

Bij de ontwikkeling en inrichting van onze oplossingen houden wij rekening met privacy- en beveiligingsprincipes.
Wij bieden transparantie over de functionaliteit van onze systemen en de typen persoonsgegevens die daarin worden verwerkt. Deze informatie is opgenomen in onze verwerkersovereenkomst (link naar onze verwerkersovereenkomst) en bijlagen.

Wij stellen geen beleid voor privacy by design of privacy by default op namens de onderwijsorganisatie en beoordelen ook niet of de organisatie deze principes correct toepast.

De onderwijsinstelling is zelf verantwoordelijk voor:

het vaststellen van beleid en richtlijnen rondom privacy by design en privacy by default;
het borgen van deze principes bij de inkoop, ontwikkeling, selectie en het gebruik van systemen en processen;
het beoordelen of toepassingen en processen voldoen aan de privacyprincipes uit de AVG;
het configureren en gebruiken van systemen op een manier die aansluit bij het eigen privacybeleid.

Alle normen van Domein 2: Processen

Fasering

Fase 4 - Verfijnen

Domein

PRIV Domein 2 - Processen

Dienst

Privacy

Normfocus

Visie, beleid en organisatie

Verantwoordelijkheid

Onderwijsorganisatie

Een compleet pakket aan dienstverlening

Cloudwise helpt het onderwijs vooruit

We spelen een belangrijke rol voor scholen om de digitale veiligheid te realiseren en bewaken, en bieden een reeks oplossingen die zowel op techniek als op de mens gericht zijn. Met de integrale aanpak van Cloudwise versterk je de digitale veiligheid op jouw school en realiseer je digitaal veilig onderwijs voor iedereen.

Visie, beleid en organisatie

Een veilige (ICT-)omgeving begint met een visie, passend beleid en het neerzetten van een juiste organisatie. Alle rollen (privacy officer, security officer en functionaris gegevensbescherming) moeten zijn belegd en afspraken moeten worden geborgd.

De menselijke factor

Hoe goed je de techniek ook voor elkaar hebt, uiteindelijk geeft de mens de doorslag. Het zijn vooral de gebruikers van ICT-oplossingen die de deur openzetten voor ransomware-aanvallen en andere cybercriminaliteit.

De techniek op orde

Met onze veilige ICT-oplossingen kunnen scholen direct veilig aan de slag. In onze standaardconfiguraties hebben we al een heleboel solide securityservices ingebouwd.

Uitgebreide beveiliging

Er zijn situaties – met name op bestuursniveau – waarin het raadzaam kan zijn om extra securitymaatregelen te treffen. Daarin bieden wij diverse opties.

Digitaal Veilig Onderwijs

Aan de slag met Privacy & Security?

Hoe krijg je grip op veilig digitaal onderwijs? En dat op zo’n manier dat je er zelf zo min mogelijk omkijken naar hebt? Plan direct een adviesgesprek in met onze Privacy Officers. Zij helpen op dagelijkse basis scholen verder vooruit met digitaal veilig onderwijs.

Plan een adviesgeprek