Hoe implementeren we de AVG binnen de instelling? Sessieronde 3

1. 1|13-06-2019
1|
bureau van de universiteit abjz
13-06-2019
Invoering AVG bij Rijksuniversiteit Groningen
HO conferentie juni 2019

2. 2|13-06-2019
Introductie
› Noor van Schaik, beleidsmedewerker Privacy & Security
Rijksuniversiteit Groningen

3. 3|13-06-2019
Wat ik met jullie wil delen
› AVG in notendop
› Hoe project binnen RUG is opgetuigd
› Wat heeft het opgeleverd
› Waar staan we nu en hoe verder
› Uitwisseling ervaringen

4. 4|13-06-2019
AVG algemeen
Vanaf 25 mei 2018 van toepassing
Grootste verandering: verantwoordelijken moeten aantonen compliant te zijn
Risico boetes bij niet nakomen verordening

5. 5|13-06-2019
AVG principes
Basisprincipes:
• Transparantie
• Dataminimalisatie
• Gegevens vastleggen in Register
• Recht op inzage, correctie en verwijderen,
• Recht op vergetelheid
• Doelbinding
• Grondslag
• Verwijderen gegevens na verwerking

6. 6|13-06-2019
Grondslagen
A. Toestemming
B. Overeenkomst
C. Wettelijke verplichting
D. Vitaal belang
E. Algemeen belang; vervullen van taak in kader uitoefening van het
openbaar gezag of taak op grond van algemeen belang
F. Rechtvaardig belang
G. …
H. …
Hoe bewaartermijnen vast te stellen?

7. 7|13-06-2019
Hoe aan de slag gegaan?
• Project AVG ingericht:
• Privacy-team
• Securitymanager
• Privacy-en Securitycoördinatoren
• Beleid opgezet
• Registertool
• Privacyportal
• Communicatieplan awareness
• AVG- cursussen

8. 8|13-06-2019
Schematisch overzicht structuur

9. 9|13-06-2019
Werkzaamheden, centraal en decentraal
› Beleid maken
› Inventarisatie processen
› Register vullen
› Risicoanalyse maken
› (Ondersteunen bij) het uitvoeren van een DPIA
› Verwerkersovereenkomsten
› Inzageverzoeken afhandelen
› Datalekken afhandelen
› Communicatie
› Coördinatorenplatforms
› FG: Adviseren CvB

10. 10|13-06-2019
Faculteiten en diensten; waar verantwoordelijk voor?
● Werkplan opstellen
● Coördinatoren aanwijzen voor de uitvoering van beleid
● Overzicht processen met verhoogd risico ligt; DPIA uitvoeren
● Beschrijven te nemen technische en organisatorische maatregelen
● Periodieke evaluatie en bijstelling belegd binnen de PDCA-cyclus
● Domein onderzoek:
● Inzicht in- en registratie van welke onderzoeken plaatsvinden
● Aandacht voor studenten die binnen opleiding onderzoek doen
● Relatie met Ethische toetsing en zorgplicht GWI

11. 11|13-06-2019
P&S Coördinatoren: taken
De coördinator:
› is eerste aanspreekpunt binnen faculteit of dienst
› informeert over privacy en security
› stelt faculteits- of dienstbeleid op (werkplan)
› stelt gezamenlijk themabeleid/procedures op bij overstijgend beleid
› stelt een privacyverklaring op per domein/categorie
› faciliteert bij het uitvoeren van een DPIA
› voor onderzoek ondersteunt Research Data Office ism Privacyteam
› ondersteunt bij het vullen van het Register en houdt dit bij
› faciliteert bij het afsluiten van verwerkersovereenkomsten
› coördineert en/of adviseert over de uitvoering van de PDCA-cyclus
informatiebeveiliging en privacybeleid
› inventariseert compliance risks; registreert deze en zet acties uit
› ondersteunt bij inzageverzoeken

12. 12|13-06-2019
Wat na een jaar concreet opgeleverd?
› Werkprogramma CvB en werkplannen faculteiten en diensten
› Algemene Beleid Privacy en Privacyverklaring
› P&S coördinatoren aangewezen; structuur platforms opgetuigd
› Aanbevelingen uit Jaarrapportage FG door CvB overgenomen
› Register aangeschaft, nog niet volledig gevuld
In mei hebben we (opnieuw) aandacht besteed aan
bewustwordingscampagne gericht op medewerkers.

13. 13|13-06-2019
Week van de Privacy

14. 14|13-06-2019
Week van de privacy
› Activiteitencoordinatoren in het zonnetje
› Voorjaarsschoonmaak:

15. 15|13-06-2019
Wat kunnen medewerkers doen

16. 16|13-06-2019
Voorbeeld plan van aanpak bewustwording AVG
onder medewerkers van faculteit
› informatie op intranet over Research Data Management en Ethiek bij
Onderzoek
› inrichting van een intranetpagina met informatie over de AVG
› voorlichting over het gebruik van Surf file sender, Google-drive, y-drive en
F-accounts
› de organisatie van een ’voorjaarsschoonmaak AVG’
› introductie van een jaarlijks password-wijzigingsweek (met tips over een
goed wachtwoord)
› informatiepakket voor nieuwe medewerkers over omgaan met
persoonsgegevens, informatiebeveiligingsbeleid en de baseline security
› peiling van de stand van zaken AVG (kennis, toepassing) bij faculteit

17. 17|13-06-2019
En wat staat komende periode op de rol?
› werkplannen (jaarlijks) onderdeel van PDCA cyclus
› De platforms coördinatoren rond de drie domeinen handen en voeten
geven
› Protocollen en richtlijnen vaststellen
› Bewustwordingscampagne studenten
› Aandacht voor onderzoek
› Externe platforms oprichten om kennis te delen

18. 18|13-06-2019
Waar lopen we risico’s?
› Afgesloten verwerkersovereenkomsten nog niet op peil
› DPIA’s uitvoeren is tijdrovend proces(en kost dus geld)
› Onvoldoende inzicht in processen, dus de risico’s
› Er zijn > dan 100 systemen waarin met persoonsgegevens wordt verwerkt
› Geen inzicht in aantal en impact onderzoeken
› Bewaartermijnen niet vastgesteld en gehandhaafd

19. 19|13-06-2019
Waar lopen we tegenaan?
› Draagvlak
› Motivatie
› Veel ’achterstallig onderhoud
› De coördinatoren hebben onvoldoende tijd
› Onvoldoende afstemming
› Hoe bewaartermijnen vast te stellen?
› Praktisch: e-mail wordt als archief gebruikt
› Uniformering is ‘’tegennatuurlijk’’ aan autonomie van faculteiten

20. 20|13-06-2019
Herkenbaar?
Herkennen jullie dit?
Hoe kunnen we gebruik maken van elkaars expertise?
Ideeën:
› Documenten delen
› Gezamenlijk domein op Drive of ander digitaal platform?