TL;DR
In het verwerkingsregister: een catalogus met 35 maatregelen uit art. 32 om aan te vinken en aan te vullen, 26 soorten gegevens onder de zes juridische categorieën, en een land van bestemming uit een lijst die de positie onder hoofdstuk V vermeldt. Geen van de drie beslist voor u.
Het probleem: dezelfde zin, bij elke verwerking
Wie voor meerdere verwerkingsverantwoordelijken een register uit art. 30 bijhoudt, kent het tafereel: het veld voor beveiligingsmaatregelen is een leeg vak, en er wordt telkens hetzelfde in overgetypt. Toegangscontrole, back-ups, antivirus. Dan de volgende verwerking, en weer van voren af aan. Het is niet alleen een kwestie van tijd: een haastig geschreven maatregel is slecht geschreven, en bij een controle valt een ongelijke lijst binnen dezelfde verantwoordelijke als eerste op.
Een catalogus die voorstelt, en niets afsluit
De 35 maatregelen staan in negen groepen, verankerd aan het artikel dat ze noemt: toegangscontrole, versleuteling en pseudonimisering, back-ups, continuïteit, netwerkbeveiliging, apparaten, organisatorische maatregelen, logging, toetsing en wissing. U vinkt ze aan, ze worden labels op de kaart, en het tekstveld blijft ernaast voor wat in het concrete geval anders is. Geen enkel al ingevuld register verliest een regel.
- De suggesties bovenaan komen uit de verwerking zelf: bijzondere categorieën halen versleuteling in rust, toegangslogging en sterke authenticatie naar voren; een doorgifte buiten de EU roept de na Schrems II besproken aanvullende maatregelen op.
- Tot de posten hoort de periodieke toetsing van de doeltreffendheid, die art. 32, lid 1, onder d) vereist en die vrijwel geen register vermeldt.
- De CSV-export voegt de gekozen maatregelen en de vrije tekst samen: wie het bestand opent, ziet wat op het scherm staat.
Gegevenscategorieën: de zes juridische blijven, het detail komt eronder
De zes vakjes — gewone gegevens, bijzondere categorieën, veroordelingen, minderjarigen, biometrisch, genetisch — zeggen op welke grondslag de gegevens worden verwerkt, en dienen om de grondslag uit art. 6 en de voorwaarde uit art. 9, lid 2, te koppelen. Ze zeggen niet welke gegevens. Onder elk staan nu 26 beschrijvende soorten, plus een veld voor eigen soorten. Het versnelt het invullen, maar helpt vooral om een betrokkene te antwoorden die vraagt welke gegevens hem betreffen, zoals art. 15, lid 1, onder b) verlangt.
«De Verenigde Staten zijn adequaat» is de zin die de meeste schade doet
In de doorgiftekaart — en in die van de verwerker — is het land geen tekstvak meer. U kiest uit een lijst gegroepeerd op status, en daaronder verschijnt wat dat betekent. Het geval dat telt is de gedeeltelijke adequaatheid: het besluit over de Verenigde Staten geldt alleen voor organisaties die zijn gecertificeerd onder het Data Privacy Framework, voor de in de certificering verklaarde verwerkingen; dat over Canada alleen voor commerciële organisaties die onder PIPEDA vallen. Daarbuiten is een instrument uit art. 46 met een doorgifte-effectbeoordeling nodig.
Wat het programma niet doet
Het stelt niet vast of de maatregelen passend zijn: passendheid hangt af van risico, stand van de techniek en kosten (art. 32, lid 1), en die beoordeling ligt bij wie tekent. Het leidt de juridische kwalificatie van de gegevens niet af: vult u gezondheidsgegevens in zonder «bijzondere categorieën» aan te vinken, dan signaleert het formulier dat en houdt het daarbij. En het vervangt niet de lijst van de Commissie met adequaatheidsbesluiten, die de te raadplegen bron blijft: de bewegende gevallen — het Verenigd Koninkrijk en de Verenigde Staten — dragen een markering die daaraan herinnert.
Alle drie de wijzigingen komen voort uit feedback tijdens een gratis proefperiode. Als iets u ophoudt bij het werken met het platform, helpt het dat te zeggen: zo komen dingen in beweging.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
