Privacy voor Informatiebeveiliging

Privacy en informatiebeveiliging raken elkaar op vrijwel ieder moment waarop persoonsgegevens worden verzameld, verwerkt, opgeslagen of gedeeld. De Algemene verordening gegevensbescherming (AVG) stelt eisen aan de bescherming van persoonsgegevens, maar hoe vertaal je die naar concrete technische en organisatorische maatregelen? Welke verantwoordelijkheden liggen bij de security officer, welke bij de privacyprofessional en hoe zorg je ervoor dat gegevensbescherming vanaf het ontwerp goed is geregeld?

In de tweedaagse training Privacy voor Informatiebeveiliging volg je de verwerking van persoonsgegevens van ontwerp tot en met de samenwerking met externe partijen. Je leert hoe privacyvereisten en beveiligingsmaatregelen samenhangen, hoe je passende bescherming organiseert en hoe je risico's rondom persoonsgegevens herkent en beheerst. Daarbij kijken we zowel naar de inrichting van systemen en processen als naar de verantwoordelijkheden binnen de organisatie en de verwerkingsketen.

Het programma bestaat uit de volgende onderwerpen:

1. Waar privacy en informatiebeveiliging elkaar raken

Privacy en informatiebeveiliging hebben verschillende doelstellingen, maar versterken elkaar in de praktijk. Je leert waar de AVG concrete eisen stelt aan de beveiliging van persoonsgegevens en hoe je deze vertaalt naar passende maatregelen. Daarbij bespreken we het onderscheid tussen rechtmatige gegevensverwerking en adequate informatiebeveiliging, en onderzoeken we welke beveiligingsrisico's ook privacyrisico's met zich meebrengen.

2. Rollen en verantwoordelijkheden

Wie is waarvoor verantwoordelijk bij de bescherming van persoonsgegevens? Je maakt kennis met de rollen van de verwerkingsverantwoordelijke, verwerker, functionaris gegevensbescherming (FG) en security officer. We bespreken hoe deze verantwoordelijkheden zich tot elkaar verhouden, waar samenwerking noodzakelijk is en hoe je voorkomt dat belangrijke beveiligingsvraagstukken tussen verschillende functies blijven liggen.

3. Privacy by design: gegevensbescherming vanaf het ontwerp

Privacy by design betekent dat je gegevensbescherming niet achteraf toevoegt, maar vanaf het begin meeneemt bij het ontwerpen van systemen, applicaties en processen. Je leert hoe je privacyvereisten vertaalt naar concrete ontwerpkeuzes en welke vragen je moet stellen bij nieuwe of gewijzigde gegevensverwerkingen. Daarbij besteden we aandacht aan het beperken van risico's door bewuste keuzes in gegevensverzameling, toegang, opslag en verwerking.

4. Dataminimalisatie en bewaartermijnen

Gegevens die je niet verzamelt of niet langer bewaart dan noodzakelijk, kunnen ook niet onnodig worden blootgesteld. Je leert hoe het principe van dataminimalisatie bijdraagt aan zowel privacybescherming als informatiebeveiliging. Daarnaast behandelen we het vaststellen en toepassen van bewaartermijnen, het beperken van onnodige gegevensopslag en het zorgvuldig verwijderen van persoonsgegevens wanneer deze niet langer nodig zijn.

5. Technische maatregelen voor gegevensbescherming

Welke technische beveiligingsmaatregelen zijn geschikt voor de bescherming van persoonsgegevens? Je verdiept je in pseudonimisering, versleuteling, gegevensmaskering en toegangsbeperking. We bespreken hoe deze maatregelen werken, welke risico's ze helpen beperken en welke afwegingen belangrijk zijn bij het kiezen van passende bescherming. Daarbij leer je rekening houden met de aard van de persoonsgegevens, de verwerking en de bijbehorende risico's.

6. Datalekken herkennen, beoordelen en melden

Een beveiligingsincident waarbij persoonsgegevens betrokken zijn, vraagt om een zorgvuldige beoordeling. Je leert hoe je een mogelijk datalek herkent, welke informatie nodig is om de gevolgen vast te stellen en hoe je bepaalt of een melding noodzakelijk is. Daarbij behandelen we de interne meldroute, de wettelijke meldtermijnen en de samenwerking tussen securityprofessionals, privacy officers en andere betrokkenen bij het afhandelen van een datalek.

7. Gegevensbescherming in de verwerkingsketen

Persoonsgegevens blijven niet altijd binnen de grenzen van de eigen organisatie. Externe verwerkers, onderaannemers en internationale gegevensdoorgifte brengen aanvullende verantwoordelijkheden en risico's met zich mee. Je leert welke beveiligingsafspraken thuishoren in een verwerkersovereenkomst, hoe je de maatregelen van externe partijen beoordeelt en waar je op moet letten bij het inschakelen van subverwerkers en het doorgeven van persoonsgegevens aan andere landen.

Na afloop van de training begrijp je hoe privacywetgeving en informatiebeveiliging in de praktijk samenkomen. Je kunt privacyvereisten vertalen naar concrete beveiligingsmaatregelen, bijdragen aan privacybewuste ontwerpkeuzes en de bescherming van persoonsgegevens beoordelen gedurende de volledige verwerkingsketen. Daarmee versterk je de samenwerking tussen privacy- en securityprofessionals en draag je bij aan een zorgvuldige en aantoonbaar veilige verwerking van persoonsgegevens.

De training Privacy voor Informatiebeveiliging is bedoeld voor security officers en IT-architecten die werken met persoonsgegevens en verantwoordelijk zijn voor het adviseren over, ontwerpen of beoordelen van passende beveiligingsmaatregelen.

Daarnaast is de training bijzonder geschikt voor privacy officers en functionarissen gegevensbescherming (FG's) die hun kennis van de technische en organisatorische kant van gegevensbescherming willen verdiepen. Je leert hoe je privacyvereisten vertaalt naar concrete beveiligingsmaatregelen en hoe je effectief samenwerkt met securityprofessionals om persoonsgegevens gedurende de volledige verwerkingsketen te beschermen.

Voor deze training heb je een van de drie basistrainingen gevolgd, of beschik je over vergelijkbare kennis en ervaring op het gebied van informatiebeveiliging.

• Uitleggen waar privacywetgeving, waaronder de AVG, concrete eisen stelt aan de beveiliging van persoonsgegevens en wat dit betekent voor jouw organisatie;
• De principes van privacy by design vertalen naar praktische ontwerpkeuzes voor systemen, applicaties en bedrijfsprocessen;
• Passende technische en organisatorische beveiligingsmaatregelen selecteren, zoals pseudonimisering, versleuteling, gegevensmaskering en toegangsbeperking;
• Een mogelijk datalek herkennen en beoordelen, vaststellen welke vervolgstappen nodig zijn en de juiste meldprocedure doorlopen;
• Beveiligingsafspraken in verwerkersovereenkomsten beoordelen en risico's rondom externe verwerkers, subverwerkers en internationale gegevensdoorgifte herkennen.