Title: wetten.nl - Regeling - CBP richtsnoeren: beveiliging van persoonsgegevens - BWBR0033572

Source: https://wetten.overheid.nl/BWBR0033572/

Content:
{"title": "wetten.nl - Regeling - CBP richtsnoeren: beveiliging van persoonsgegevens - BWBR0033572", "content": "CBP richtsnoeren: beveiliging van persoonsgegevens\n\nVerantwoord omgaan met persoonsgegevens valt of staat met een adequate beveiliging\n                                       van de gegevens. In de praktijk blijkt dat de aandacht voor beveiliging nogal eens\n                                       tekortschiet. In de media zijn vrijwel dagelijks berichten te vinden over datalekken\n                                       door onvoldoende beveiliging, waardoor persoonsgegevens op straat liggen. Het College\n                                       bescherming persoonsgegevens (CBP) ontvangt ook regelmatig signalen over tekortschietende\n                                       beveiliging en de kwalijke gevolgen ervan.\n\nBeveiliging van persoonsgegevens is een van de speerpunten van het handhavingsbeleid\n                                       van het CBP. Het CBP houdt toezicht op de naleving van de Wet bescherming persoonsgegevens (Wbp). Artikel 13 van de Wbp eist dat bedrijven en overheden die persoonsgegevens verwerken, \u2018passende technische\n                                       en organisatorische maatregelen\u2019 nemen om persoonsgegevens te beveiligen.\n\nWanneer zijn beveiligingsmaatregelen nu \u2018passend\u2019 zoals de Wbp eist? Deze richtsnoeren leggen uit hoe het CBP bij het onderzoeken en beoordelen\n                                          van beveiliging van persoonsgegevens in individuele gevallen de beveiligingsnormen\n                                          uit de Wbp toepast. De richtsnoeren vormen de verbindende schakel tussen enerzijds\n                                          het juridisch domein, met daarbinnen de eisen uit de Wbp, en anderzijds het domein\n                                          van de informatiebeveiliging, waarin de noodzakelijke kennis en kunde aanwezig is\n                                          om daadwerkelijk aan die eisen te voldoen.\n\nDat betekent dat de richtsnoeren in samenhang moeten worden gebruikt met algemeen\n                                          geaccepteerde beveiligingsstandaarden binnen de praktijk van de informatiebeveiliging,\n                                          zoals de Code voor Informatiebeveiliging of de ict-beveiligingsrichtlijnen voor webapplicaties\n                                          van het Nationaal Cyber Security Centrum.\n\nHet uitgangspunt om tot een passende beveiliging te komen is dat in een organisatie\n                                          bestuurders en de mensen die verantwoordelijk zijn voor de informatiesystemen en -beveiliging\n                                          gezamenlijk nadenken over de wijze van beveiliging, al v\u00f3\u00f3rdat ze persoonsgegevens\n                                          gaan verzamelen. De beveiliging van persoonsgegevens binnen een organisatie moet gedurende\n                                          de gehele levensduur van een infor\u00admatiesysteem punt van aandacht zijn, van het allereerste\n                                          ontwerp tot aan het onomkeerbaar wissen van het laatste back-up-bestand na afloop\n                                          van de bewaartermijn. De beveiliging past binnen het bredere verband van privacy by design, waarbij de bescherming van persoonsgegevens en de borging van de rechten van de\n                                          betrokkenen vanaf het allereerste begin in de informatiesystemen wordt ingebouwd.\n\nVoor een blijvend passend beveiligingsniveau is inbedding van de zogeheten plan-do-check-act-cyclus\n                                          in de dagelijkse praktijk van de organisatie noodzakelijk. Dat komt kort gezegd op\n                                          het volgende neer:\n\n1. \nBeoordeel de risico\u2019s\n\nBeoordeel de risico\u2019s die de gegevens en de aard van de verwerking met zich meebrengen\n                                                voor de betrokkenen en bepaal op basis daarvan het gewenste beveiligingsniveau. Inventariseer\n                                                vervolgens de dreigingen die kunnen leiden tot een beveiligingsincident, de gevolgen\n                                                die het beveiligingsincident kan hebben en de kans dat deze gevolgen zich voor zullen\n                                                doen. Tref op basis daarvan gericht beveiligingsmaatregelen die het gewenste beveiligingsniveau\n                                                kunnen waarborgen.\n\n2. \nMaak gebruik van algemeen geaccepteerde beveiligingsstandaarden\n\nHet vakgebied informatiebeveiliging kent vele beveiligingsmethoden, -standaarden en\n                                                -maatregelen die zijn gebaseerd op ervaringen uit de dagelijkse beveiligingspraktijk.\n                                                Gebruik bij het nemen van beveiligingsmaatregelen de richtsnoeren in samenhang met\n                                                de beschikbare beveiligingsstandaarden. Deze standaarden geven houvast bij het daadwerkelijk\n                                                treffen van passende maatregelen om de beveiligingsrisico\u2019s af te dekken.\n\n3. \nControleer en evalueer regelmatig\n\nControleer met zekere regelmaat of de beveiligingsmaatregelen daadwerkelijk zijn getroffen\n                                                en worden nageleefd. Beoordeel periodiek of het beveiligingsniveau nog steeds past\n                                                bij de risico\u2019s die de verwerking en de aard van de te verwerken gegevens met zich\n                                                meebrengen en of de beveiligingsmaatregelen nog steeds voldoen. Betrek daarbij ook\n                                                de stand van de techniek en de nieuwste inzichten binnen het vakgebied informatiebeveiliging.\n                                                Pas waar nodig de beveiligingsmaatregelen aan.\n\nMet deze richtsnoeren wil het CBP duidelijk maken wat het van de beveiliging van persoonsgegevens\n                                          verwacht. Daarbij heeft een organisatie de ruimte om de beveiliging van persoonsgegevens\n                                          in te richten op de wijze en met de middelen die in de specifieke situatie van deze\n                                          organisatie het meest passend zijn. Een organisatie dient hierbij altijd de rechten\n                                          van de betrokkenen te waarborgen en er moet sprake zijn van adequate, vakkundig toegepaste\n                                          beveiliging waarbij de organisatie optimaal benut wat het vakgebied informatiebeveiliging\n                                          te bieden heeft.\n\nIedereen moet erop kunnen vertrouwen dat zijn of haar persoonsgegevens voldoende worden\n                                       beveiligd. Als dit niet zo is, kan dat leiden tot schade voor de betrokkenen (degenen\n                                       op wie de persoonsgegevens betrekking hebben). Datalekken kunnen bijvoorbeeld tot\n                                       gevolg hebben dat betrokkenen het slachtoffer worden van identiteitsfraude, oplichting\n                                       of andere vormen van misbruik van hun persoonsgegevens. Ook als persoonsgegevens incorrect,\n                                       verouderd of onvolledig zijn, kan dit de betreffende personen ernstig belemmeren in\n                                       hun deelname aan het maatschappelijk leven. Een consequentie van het gebruik van foutieve\n                                       of achterhaalde persoonsgegevens kan bijvoorbeeld zijn dat mensen geen toegang krijgen\n                                       tot voorzieningen waar ze recht op hebben. Een van de belangrijkste doelstellingen\n                                       van de beveiliging van persoonsgegevens is het voorkomen van dergelijke schade en\n                                       waar deze zich toch voordoet, de gevolgen voor de betrokkenen zo veel mogelijk te\n                                       beperken.\n\nHet College bescherming persoonsgegevens (CBP) houdt toezicht op de naleving van de\n                                       Wet bescherming persoonsgegevens (Wbp) en aanverwante wetten. Hoofdstuk 1 van deze richtsnoeren geeft de eisen weer die de Wbp stelt aan het beveiligen van\n                                       persoonsgegevens. Hoofdstuk 2, 3 en 4 geven aan hoe het CBP de beveiliging van persoonsgegevens beoordeelt en hoofdstuk 5 gaat nader in op het toezicht door het CBP. Deze richtsnoeren dienen voor het CBP\n                                       als uitgangspunt bij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens\n                                       en bij het toepassen van handhavende maatregelen.\n\nDe beveiliging van persoonsgegevens wordt in deze richtsnoeren in algemene zin beschreven,\n                                       waarbij is aangesloten op standaarden, methoden en maatregelen die in het vakgebied\n                                       informatiebeveiliging gebruikelijk zijn. In specifieke situaties kunnen organisaties\n                                       ook met andere standaarden, methoden en maatregelen het vereiste beveiligingsniveau\n                                       bereiken. Bij onderzoeken en beoordelingen van de beveiliging van persoonsgegevens\n                                       zijn deze richtsnoeren voor het CBP evenwel het uitganspunt.\n\nIn deze richtsnoeren is een aantal praktijkvoorbeelden opgenomen. Deze praktijkvoorbeelden\n                                       dienen uitsluitend ter illustratie. De voorbeelden gaan uit van de situatie bij het\n                                       verschijnen van deze richtsnoeren en kunnen in de loop van de tijd door nieuwe ontwikkelingen\n                                       worden achterhaald.\n\nDeze richtsnoeren gelden voor verwerkingen van persoonsgegevens waarop de Wbp van toepassing is, zowel in de publieke als in de private sector. De richtsnoeren\n                                       richten zich primair op de bestuurlijke verankering van de beveiliging van persoonsgegevens\n                                       in organisaties. Bij het implementeren, controleren en evalueren van beveiligingsmaatregelen\n                                       binnen een organisatie dient de organisatie deze richtsnoeren te gebruiken in samenhang\n                                       met de algemeen geaccepteerde beveiligingsstandaarden die binnen het vakgebied informatiebeveiliging\n                                       beschikbaar zijn.\n\nHet beveiligen van persoonsgegevens is een van de verplichtingen die de Wbp oplegt aan verant\u00adwoordelijken voor de verwerking van persoonsgegevens. De beveiligingsmaatregelen\n                                       die de verantwoordelijke treft, zijn onderdeel van het totaal aan maatregelen dat\n                                       de verantwoordelijke neemt om te voldoen aan de Wbp. Bij de beoordeling van de rechtmatigheid\n                                       van een verwerking spelen ook de overige bepalingen uit de Wbp een rol. Deze richtsnoeren\n                                       gaan niet uitputtend in op deze andere bepalingen.\n\nBehalve de Wbp kunnen op verwerkingen van persoonsgegevens nog andere wetten of regels van toepassing\n                                       zijn. Voorbeelden van dergelijke regels zijn het Besluit voorschrift informatiebeveiliging rijksdienst 2007 (hierna: vir 2007)1 en het Besluit voorschrift rijksdienst \u2013 bijzondere informatie (hierna: vir-bi)2. Organisaties dienen bij de beveiliging van persoonsgegevens te voldoen aan alle\n                                       wetten en regels die van toepassing zijn. Deze richtsnoeren gaan niet in op deze overige\n                                       wet- en regelgeving.\n\nDe Registratiekamer, de voorloper van het CBP, bracht in 2001 een publicatie uit over\n                                       de beveiliging van persoonsgegevens (hierna: a&v 23).3 Deze richtsnoeren vervangen a&v 23.\n\na&v 23 schreef op basis van een risicoclassificatie beveiligingsmaatregelen voor.\n                                       De risico\u00adclassificatie was gebaseerd op de aard van de verwerkte persoonsgegevens\n                                       in combinatie met de hoeveelheid verwerkte persoonsgegevens en de complexiteit van\n                                       de verwerking. Een risicogerichte benadering, waarbij op basis van analyse van de\n                                       risico\u2019s gericht beveiligingsmaatregelen worden getroffen, ontbrak. Als gevolg daarvan\n                                       is a&v 23, in ieder geval waar het gaat om het concreet treffen van beveiligingsmaatregelen,\n                                       in de loop der jaren steeds verder af komen te staan van de beveiligingspraktijk.\n                                       In deze richtsnoeren is daarom gekozen voor een methodiek die aansluit bij de gangbare\n                                       praktijk van de informatiebeveiliging en die verantwoordelijken de flexibiliteit biedt\n                                       om die beveiligingsmaatregelen te treffen die in hun situatie het meest passend zijn.\n\nRechterlijke uitspraken kunnen naast wetswijzigingen, technische ontwikkelingen en\n                                       praktijk\u00adervaringen aanleiding geven tot aanvulling of herziening van deze richtsnoeren.\n                                       Het CBP herziet de richtsnoeren in ieder geval bij de invoering van de algemene verordening\n                                       gegevensbescherming.4\n\nBij het opstellen van de richtsnoeren is overigens zo veel mogelijk rekening gehouden\n                                       met de relevante bepalingen uit de verordening.\n\nDeze richtsnoeren treden in werking met ingang van 1 maart 2013, zijnde de datum van\n                                       publicatie in de Staatscourant.\n\nDit hoofdstuk gaat in op de wettelijke verplichting om persoonsgegevens te beveiligen\n                                       zoals die is opgenomen in de Wet bescherming persoonsgegevens (Wbp). De eisen uit de Wbp die voor deze richtsnoeren relevant zijn staan in dit\n                                       hoofdstuk weergegeven, voorzien van de relevante onderdelen uit de memorie van toelichting\n                                       bij de Wbp.5De volledige tekst van de geciteerde wetsartikelen is opgenomen in een bijlage bij\n                                       deze richtsnoeren.\n\nDe beveiliging van persoonsgegevens is onderdeel van de informationele privacy: de\n                                          bescherming van de persoonlijke levenssfeer bij het verzamelen en verwerken van persoonsgegevens.\n                                          De bescherming van de persoonlijke levenssfeer is een van de grondrechten van onze\n                                          rechtsorde.6 Sinds 2001 wordt hieraan uitvoering gegeven door de Wbp, die tevens de implementatie vormt van de Europese richtlijn 95/46/eg.\n\nVoor deze richtsnoeren zijn de volgende begrippen uit de Wbp relevant:\n\n\u2022 \nPersoonsgegevens\n\nPersoonsgegevens in de zin van de Wbp zijn alle gegevens \u201cbetreffende een ge\u00efdentificeerde of identificeerbare natuurlijke\n                                                persoon\u2019.7 Een persoon is identificeerbaar \u201cindien zijn identiteit redelijkerwijs, zonder onevenredige\n                                                inspanning, vastgesteld kan worden\u201d.8,9\n\n\u2022 \nVerwerking\n\nEen verwerking van persoonsgegevens in de zin van de Wbp is \u201celke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens\u201d.10 Verwerkingen zijn \u201cin ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken,\n                                                wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending,\n                                                verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar\n                                                in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens\u201d.11\n\n\u2022 \nVerantwoordelijke\n\nDe verantwoordelijke in de zin van de Wbp is degene die \u201chet doel van en de middelen voor de verwerking van persoonsgegevens\n                                                vaststelt\u201d.12 De verantwoordelijke bepaalt welke persoonsgegevens, voor welk doel, op welke manier\n                                                en met welke middelen worden verwerkt.13\n\n\u2022 \nBetrokkene\n\nDe betrokkene is degene \u201cop wie een persoonsgegeven betrekking heeft\u201d14 of \u201cwaarover de gegevens informatie bevatten\u201d.15\n\n\u2022 \nBewerker\n\nBij de verwerking van persoonsgegevens kan de verantwoordelijke een bewerker inschakelen.\n\n\u201cDe bewerker is [...] een buiten de organisatie van de verantwoordelijke staande persoon\n                                                of instelling\u201d.16 Hij \u201cbewerkt gegevens ten behoeve van de verantwoordelijke, dat wil zeggen overeenkomstig\n                                                diens instructies en onder diens (uitdrukkelijke) verantwoordelijkheid\u201d.17 De bewerker \u201cbeperkt [...] zich tot het verwerken van persoonsgegevens zonder zeggenschap\n                                                te hebben over het doel van en de middelen voor de verwerking van persoonsgegevens.\n                                                Hij neemt geen beslissingen over het gebruik van de gegevens, de verstrekking aan\n                                                derden en andere ontvangers, de duur van de opslag van de gegevens enz.\u201d18\n\nArtikel 12 Wbp richt zich op de bewerker en op hen die onder het gezag van de verantwoordelijke\n                                          of de bewerker werkzaam zijn. Zij verwerken uitsluitend persoonsgegevens in opdracht\n                                          van de verantwoordelijke:\n\n\u201cEen ieder die handelt onder het gezag van de verantwoordelijke of van de bewerker,\n                                             alsmede de bewerker zelf, voor zover deze toegang hebben tot persoonsgegevens, verwerkt\n                                             deze slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke\n                                             verplichtingen.\u201d19\n\n\u201cHet uitgangspunt is dat de verantwoordelijke verantwoordelijk en aansprakelijk is\n                                          voor de gegevensverwerking. Deze verantwoordelijkheid kan hij slechts dragen wanneer\n                                          zijn ondergeschikten of degenen die in opdracht van de verantwoordelijke gegevens\n                                          verwerken, zich naar zijn aanwijzingen richten.\u201d20\n\nVerder wordt aan hen een geheimhoudingsplicht opgelegd:\n\n\u201cDe personen, bedoeld in het eerste lid, voor wie niet reeds uit hoofde van ambt,\n                                             beroep of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot\n                                             geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover\n                                             enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak\n                                             tot mededeling voortvloeit.\u201d21\n\n\u201c[Deze] bepaling legt een geheimhoudingsplicht op aan de bewerker, alsmede degenen\n                                          die onder het gezag van de verantwoordelijke of de bewerker werkzaam zijn. In beginsel\n                                          kan slechts een uitdrukkelijke wettelijke verplichting op de geheimhoudingsplicht\n                                          een inbreuk maken.\u201d22\n\nDe verantwoordelijke treft passende beveiligingsmaatregelen:\n\n\u201cDe verantwoordelijke legt passende technische en organisatorische maatregelen ten\n                                             uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige\n                                             verwerking.\u201d23\n\n\u201cOnder onrechtmatige vormen van verwerking vallen de aantasting van de gegevens, onbevoegde\n                                          kennisneming, wijziging, of verstrekking daarvan.\u201d24\n\nDe maatregelen garanderen een passend beveiligingsniveau:\n\n\u201cDeze maatregelen garanderen, rekening houdend met de stand van de techniek en de\n                                             kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico\u201ds\n                                             die de verwerking en de aard van te beschermen gegevens met zich meebrengen.\u201d25\n\n\u201cIn het begrip \u2018passend\u2019 ligt besloten dat de beveiliging in overeenstemming is met\n                                          de stand van de techniek. [...] Het begrip \u2018passend\u2019 duidt mede op een proportionaliteit\n                                          tussen de beveiligingsmaatregelen en de te beschermen gegevens. Naarmate bijvoorbeeld\n                                          de gegevens een gevoeliger karakter hebben, of de context waarin deze worden gebruikt\n                                          een grotere bedreiging voor de persoonlijke levenssfeer betekenen, worden zwaardere\n                                          eisen gesteld aan de beveiliging van de gegevens. Er is geen verplichting om steeds\n                                          de allerzwaarste beveiliging te nemen. Daarom duidt ook het feit dat inbreuken zijn\n                                          gemaakt op het beveiligingsniveau niet noodzakelijkerwijs op nalatigheid in de beveiliging.\n\nEr moet sprake zijn van een adequate beveiliging.\u201d26\n\n\u201cEr kunnen geen algemene uitspraken worden gedaan over wat als een \u2018passende beveiligingsmaatregel\u2019\n                                          kan worden beschouwd. [...] Dit criterium moet in het licht van de concrete omstandigheden\n                                          worden ingevuld en is voor een deel dynamisch. Het vereiste niveau van bescherming\n                                          is hoger naarmate er meer mogelijkheden voorhanden zijn om dat niveau te waarborgen.\n                                          [...] In het algemeen kan worden gesteld dat indien met naar verhouding geringe extra\n                                          kosten meer beveiliging kan worden bewerkstelligd deze als \u2018passend\u2019 moeten worden\n                                          beschouwd, terwijl kosten die disproportioneel zijn aan de extra beveiliging die daardoor\n                                          zou worden verkregen, niet worden vereist. Met zich ontwikkelende techniek zal periodiek\n                                          een nieuwe afweging moeten worden gemaakt.\u201d27\n\nVoor de maatregelen geldt verder:\n\n\u201cTechnische en organisatorische maatregelen dienen cumulatief te worden getroffen.\n                                          Software is een belangrijk instrument tot beveiliging. [De Wbp] geeft de normen die mede met behulp van software dienen te worden gehandhaafd.\u201d28\n\nNaast de beveiliging van persoonsgegevens ziet artikel 13 Wbp ook op de toepassing van privacy enhancing technologies (pet):\n\n\u201cDe maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking\n                                             van persoonsgegevens te voorkomen.\u201d29\n\n\u201cDe beveiligingsverplichting die in dit artikel is opgenomen strekt zich uit tot alle\n                                          onderdelen van het proces van gegevensverwerking. Juridische normen zullen moeten\n                                          worden vertaald in de feitelijke inrichting en verdere ontwikkeling van informatiesystemen.\n                                          Steeds meer zullen \u2018privacy enhancing technologies\u2019 (pet) daarvoor onmisbaar zijn.\n                                          Door te eisen dat de inrichting van systemen mede gericht moet zijn op het voorkomen\n                                          van onnodige verzameling en verdere verwerking van persoonsgegevens, wordt bewerkstelligd\n                                          dat in plaats van een voortdurende controle op individuele gevallen van onrechtmatig\n                                          gegevensgebruik het accent meer gelegd kan worden op de structuur van informatiesystemen.\u201d30\n\npet is de verzamelnaam voor een aantal technieken die de verantwoordelijke kan toepassen\n                                          om bij het verwerken van persoonsgegevens de risico\u201ds voor de betrokkenen te beperken.\n                                          Een centraal principe van pet is het verminderen van de herleidbaarheid: de mate waarin\n                                          persoonsgegevens kunnen worden herleid tot de betrokkenen.\n\nDe zwaarste vorm van pet is anonimisering van de verwerkte persoonsgegevens. Van anonimisering\n                                          is sprake als de gegevens op geen enkele manier meer tot de betrokkene te herleiden\n                                          zijn. Er is dan geen sprake meer van persoonsgegevens en de Wbp is niet meer van toepassing op de gegevens.\n\nEen lichtere vorm van pet is het scheiden van de verwerkte persoonsgegevens in (zeer\n                                          goed beveiligde) identificerende gegevens en niet-identificerende gegevens. Alleen\n                                          met behulp van de identifi\u00adcerende gegevens kan de identiteit van de betrokkenen worden\n                                          achterhaald.31\n\nBij verwerking door een bewerker zorgt de verantwoordelijke voor voldoende waarborgen\n                                          en ziet deze toe op naleving:\n\n\u201cIndien de verantwoordelijke persoonsgegevens te zijnen behoeve laat verwerken door\n                                             een bewerker, draagt hij zorg dat deze voldoende waarborgen biedt ten aanzien van\n                                             de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te\n                                             verrichten verwerkingen. De verantwoordelijke ziet toe op de naleving van die maatregelen.\u201d32\n\n\u201cDe verantwoordelijke draagt zorg dat de bewerker\n\na. \nde persoonsgegevens verwerkt in overeenstemming met artikel 12, eerste lid en\n\nb. \nde verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.\u201d\n33\n\n\u201cDe strekking van de bepaling is te voorkomen dat bij eventuele tekortkomingen in\n                                          de gegevens\u00adverwerking, verantwoordelijke en bewerker zich wat betreft hun verantwoordelijkheden\n                                          achter elkaar zouden kunnen verschuilen. De verplichtingen moeten over en weer duidelijk\n                                          zijn neergelegd. Op de verantwoordelijke rust een zorgplicht daarvoor zorg te dragen.\n                                          Niet alleen dient hij civielrechtelijk de bewerker voldoende te hebben duidelijk gemaakt\n                                          hoe met de persoonsgegevens wordt omgegaan, tevens dient hij toe te zien op de feitelijke\n                                          naleving van de aldus gecre\u00eberde verplichtingen.\u201d34\n\nDe te treffen beveiligingsmaatregelen worden vastgelegd in de bewerkersovereenkomst:\n\n\u201cDe uitvoering van verwerkingen door een bewerker wordt geregeld in een overeenkomst\n                                             of krachtens een andere rechtshandeling waardoor een verbintenis ontstaat tussen de\n                                             bewerker en de verantwoordelijke.\u201d35\n\n\u201cMet het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst\n                                             of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens,\n                                             alsmede de beveiligingsmaatregelen als bedoeld in artikel 13 schriftelijk of in een\n                                             andere, gelijkwaardige vorm vastgelegd.\u201d36\n\n\u201cDe ratio is dat de betrokkene als een soort impliciete derde belanghebbende, in geval\n                                          jegens hem onrechtmatig wordt gehandeld, over de nodige bewijsstukken kan beschikken\n                                          wanneer deze overeenkomstig de regels van het procesrecht een rol gaan spelen. Klassiek\n                                          zou daartoe een schriftelijke neerslag van de afspraken, van belang kunnen zijn. In\n                                          de toekomstige informatiemaatschappij zijn ook andere, gelijkwaardige vormen van gegevensopslag\n                                          denkbaar [...].\u201d37\n\nDe bewerker kan bij de verwerking van persoonsgegevens een subbewerker inschakelen.\n                                          Dit gebeurt uitsluitend met uitdrukkelijke instemming van de verantwoordelijke:\n\n\u201cUit de verantwoordelijkheid van de opdrachtgever \u2013 die in de zin van de wet geldt\n                                          als verantwoordelijke voor de gegevensverwerking \u2013 vloeit voort dat hij uitdrukkelijk\n                                          heeft ingestemd met het subbewerkerschap. Indien de verantwoordelijke daarvoor in\n                                          zijn overeenkomst met de bewerker uitdrukkelijk ruimte heeft gegeven, kan de bewerker\n                                          \u2013 met behoud van zijn volle aansprakelijkheid voor de naleving van zijn contract met\n                                          de verantwoordelijke \u2013 delen van de verwerking uitbesteden aan \u2018subbewerkers\u2019.\u201d38\n\nDe door de subbewerker te treffen beveiligingsmaatregelen worden vastgelegd in de\n                                          overeenkomst tussen de bewerker en de subbewerker en de verantwoordelijke wordt in\n                                          staat gesteld om toe te zien op naleving:\n\n\u201cDe bewerker dient [...] contractueel verzekerd te hebben dat de subbewerker zich\n                                          eveneens richt naar de instructies van de verantwoordelijke, tot geheimhouding verplicht\n                                          is en de nodige beveiligingsmaatregelen ten opzichte van de gegevensverwerking neemt.\n                                          De verantwoordelijke dient hiervan wel op de hoogte te worden gesteld opdat deze in\n                                          staat is toe te zien op de naleving van zijn afspraken met de bewerker.\u201d39\n\nDe verantwoordelijke kan op de meest effici\u00ebnte en effectieve wijze aan de Wbp voldoen door al bij het ontwerp van de verwerking rekening te houden met de wettelijke\n                                          eisen (privacy by design).\n\nDe beveiliging van persoonsgegevens is een van de aspecten waarmee de verantwoordelijke\n                                          bij de toepassing van privacy by design rekening moet houden. Andere aspecten zijn\n                                          onder meer data\u00adminimalisatie (het beperken van de verwerking van persoonsgegevens\n                                          tot het hoogst noodzakelijke) en transparantie (het adequaat informeren van de betrokkenen\n                                          over wat er met hun persoonsgegevens gebeurt). Deze aspecten van privacy by design\n                                          vallen buiten het bereik van deze richtsnoeren.\n\nDe Wbp geeft verantwoordelijken en brancheorganisaties de mogelijkheid om een interne toezicht\u00adhouder\n                                          aan te stellen: de functionaris voor de gegevensbescherming (fg).40 Bij de beveiliging van persoonsgegevens kan deze een belangrijke rol spelen, onder\n                                          meer bij de controle op naleving van beveiligingsmaatregelen (zie paragraaf 3.3 en\n                                          4.3 van deze richtsnoeren) en bij evaluatie en aan\u00adpassing van de beveiliging (zie\n                                          paragraaf 3.4 en 4.4). Het is echter aan de organisatie en aan de fg zelf om hier\n                                          invulling aan te geven.\n\nDe beveiliging van persoonsgegevens valt uiteen in twee aspecten: de bescherming van\n                                       persoons\u00adgegevens en het beveiligen van informatie. Dit hoofdstuk gaat in op het laatste.\n                                       Het hoofdstuk richt zich met name op drie elementen uit het vakgebied informatiebeveiliging\n                                       die het CBP beschouwt als randvoorwaarden om tot passende maatregelen te komen zoals\n                                       de wet die voorschrijft: maatregelen treffen op basis van risicoanalyse, beveiligingsstandaarden\n                                       toepassen en de inbedding in een plan-do-check-act-cyclus.\n\nInformatiebeveiliging omvat het geheel aan maatregelen waarmee organisaties hun informatie\n                                          beveiligen. Het gaat daarbij om alle informatie die de organisatie verwerkt, zowel\n                                          digitaal als niet-digitaal. Persoonsgegevens, zoals het klantenbestand en de personeelsadministratie,\n                                          maken hier deel van uit. Organisaties hebben niet alleen informatie nodig om hun bedrijfsprocessen\n                                          uit te voeren, maar ook om hun interne bedrijfsvoering bij te sturen en strategische\n                                          beslissingen te nemen. De term \u2018informatiebeveiliging\u2019 wordt ook gebruikt voor het\n                                          vakgebied dat zich bezighoudt met het beveiligen van informatie.\n\nEen centraal begrip uit het vakgebied informatiebeveiliging is:\n\n\u2022 \nBetrouwbaarheid en betrouwbaarheidseisen\n\nBetrouwbaarheid is de mate waarin een organisatie voor de informatievoorziening kan\n                                                rekenen op een informatiesysteem. De betrouwbaarheid van een informatiesysteem is\n                                                de verzamelterm voor drie aspecten van beveiliging die binnen het vakgebied informatiebeveiliging\n                                                algemeen zijn geaccepteerd: beschikbaarheid, integriteit en vertrouwelijkheid. De\n                                                betrouwbaarheidseisen geven weer aan welke eisen het informatiesysteem moet voldoen\n                                                met betrekking tot deze drie aspecten.\n\nDe hierboven genoemde aspecten beschikbaarheid, integriteit en vertrouwelijkheid worden\n                                          binnen het vakgebied informatiebeveiliging als volgt gedefinieerd:\n\n\u2022 \nBeschikbaarheid\n\nBeschikbaarheid betreft het waarborgen dat geautoriseerde gebruikers op de juiste\n                                                momenten toegang hebben tot informatie en aanverwante bedrijfsmiddelen (informatiesystemen).\n\n\u2022 \nIntegriteit\n\nIntegriteit betreft het waarborgen van de juistheid, tijdigheid (actualiteit) en volledigheid\n                                                van informatie en de verwerking ervan.\n\n\u2022 \nVertrouwelijkheid\n\nMet vertrouwelijkheid wordt gedoeld op het waarborgen dat informatie alleen toegankelijk\n                                                is voor degenen die hiertoe zijn geautoriseerd.\n\nNaast de drie bovengenoemde aspecten, die betrekking hebben op de informatie en de\n                                                verwerking ervan, wordt nog een vierde aspect onderkend:\n\n\u2022 \nControleerbaarheid\n\nControleerbaarheid betreft de mogelijkheid om met voldoende zekerheid vast te kunnen\n                                                stellen of wordt voldaan aan de eisen ten aanzien van beschikbaarheid, integriteit\n                                                en vertrouwelijkheid.\n\nHet begrip \u2018betrouwbaarheid\u2019 uit het vakgebied informatiebeveiliging komt overeen\n                                          met het begrip \u2018beveiligingsniveau\u2019 dat in de memorie van toelichting bij de Wbp wordt gehanteerd, met daarbij de kanttekening dat het aspect \u2018beschikbaarheid\u2019 deels\n                                          buiten de reikwijdte van artikel 13 Wbp valt.\n\nHet begrip \u2018beschikbaarheid\u2019 uit het vakgebied informatiebeveiliging valt uiteen in\n                                          twee aspecten:\n\n\u2022 Het waarborgen dat informatiesystemen op de juiste momenten beschikbaar zijn voor\n                                                de gebruiker, bijvoorbeeld door extra machinecapaciteit in te zetten, zodat bedrijfskritische\n                                                informatiesystemen 7 dagen per week, 24 uur per dag gebruikt kunnen worden. Dit aspect\n                                                valt buiten de reikwijdte van artikel 13 Wbp.\n\n\u2022 Het beveiligen van gegevens tegen verlies, waarbij onder \u2018verlies\u2019 het definitief\n                                                verloren gaan van de gegevens wordt verstaan. Bedrijfscontinu\u00efteitsbeheer is mede\n                                                gericht op dit aspect.41 Dit aspect komt overeen met het \u201cbeveiligen tegen verlies\u201d uit artikel 13 Wbp.\n\nHet begrip \u2018integriteit\u2019 komt binnen de context van de beveiliging van persoonsgegevens\n                                          overeen met de beveiliging tegen \u201caantasting van de gegevens [of onbevoegde wijziging]\u201d42 uit de Wbp.\n\nHet begrip \u2018vertrouwelijkheid\u2019 komt overeen met de beveiliging tegen \u201conbevoegde kennisneming\n                                          [...] of verstrekking\u201d43 uit de Wbp.\n\nInbedding van de plan-do-check-act-cyclus of kwaliteitscirkel in de dagelijkse praktijk\n                                          van de organisatie stelt de verantwoordelijke in staat om tot een blijvend passend\n                                          beveiligingsniveau te komen.\n\nHet onderstaande schema geeft deze cyclus weer.\n\nNa het vaststellen van de betrouwbaarheidseisen treft de verantwoordelijke maatregelen\n                                          waarmee hij waarborgt dat aan de betrouwbaarheidseisen wordt voldaan. Vervolgens controleert\n                                          de verantwoor\u00addelijke of de maatregelen daadwerkelijk getroffen zijn en het gewenste\n                                          effect sorteren. Het totaal aan betrouwbaarheidseisen, maatregelen en controle wordt\n                                          regelmatig ge\u00ebvalueerd en waar nodig aan\u00adgepast, waardoor een blijvend passend beveiligingsniveau\n                                          wordt bereikt.\n\nDe volgende paragrafen gaan nader in op twee elementen die het CBP beschouwt als noodzakelijke\n                                          randvoorwaarden om tot passende maatregelen te komen: het treffen van maatregelen\n                                          op basis van risicoanalyse en het toepassen van beveiligingsstandaarden. De risicoanalyse\n                                          geeft aan welke risico\u201ds moeten worden afgedekt om aan de betrouwbaarheidseisen te\n                                          voldoen. Beveiligingsstandaarden geven aan welke maatregelen daarbij ter beschikking\n                                          staan.\n\nHet treffen van maatregelen op basis van een risicoanalyse stelt de verantwoordelijke\n                                          in staat om passende maatregelen te treffen die een passend beveiligingsniveau garanderen.44\n\nOnderstaand schema geeft de belangrijkste elementen uit de risicoanalyse weer, met\n                                          daarbij de verschillende typen maatregelen die de verantwoordelijke kan treffen om\n                                          de risico\u201ds af te dekken.\n\nDe verantwoordelijke inventariseert de dreigingen die kunnen leiden tot een beveiligingsincident,\n                                          de gevolgen die dit incident kan hebben en de kans dat deze gevolgen zich voordoen.\n                                          De dreigingen kunnen onder meer samenhangen met de specifieke kenmerken van de verwerking\n                                          en de gebruikte technologie. Bij verwerking via internet is bijvoorbeeld hacking een\n                                          dreiging waarmee rekening moet worden gehouden; bij verwerking op draagbare computers\n                                          en opslag op draagbare geheugenmedia zijn vermissing en diefstal dreigingen die de\n                                          verantwoordelijke in de risicoanalyse moet betrekken.\n\nDe verantwoordelijke treft maatregelen op basis van de uitgevoerde risicoanalyse en\n                                          kiest de maat\u00adregelen zodanig dat wordt voldaan aan de vastgestelde betrouwbaarheidseisen.\n\nOnderstaand voorbeeld illustreert wat in het vakgebied informatiebeveiliging wordt\n                                                verstaan onder een herstelmaatregel.\n\nHackers plegen twee grootschalige inbraken bij een grote fabrikant van spelcomputers\n                                             en computerspellen en stelen daarbij de accountgegevens van meer dan honderd miljoen\n                                             abonnees. Bij de inbraken zijn er mogelijk tien miljoen creditcardnummers buitgemaakt\n                                             en hebben de hackers bovendien toegang gekregen tot een oude database met daarin de\n                                             incassogegevens van ruim 10.000 mensen. De fabrikant besluit om ervoor te zorgen dat\n                                             Amerikaanse abonnees eventuele schade als gevolg van identiteitsfraude door de inbraken\n                                             vergoed krijgen tot een miljoen dollar per gebruiker. Voor dit doel maakt de fabrikant\n                                             afspraken met een bedrijf dat gespecialiseerd is in het monitoren van identiteitsfraude.\n\nOok andere delen van de wereld krijgen een dergelijke regeling.\n\nDe risicoanalyse geeft aan welke risico\u201ds moeten worden afgedekt; beveiligingsstandaarden\n                                          geven houvast bij het daadwerkelijk treffen van passende maatregelen om de risico\u201ds\n                                          af te dekken. Veel beveiligingsstandaarden bevatten ook een \u2018basisset\u2019 aan maatregelen\n                                          die in de meeste situaties noodzakelijk zijn om tot adequate beveiliging te komen.\n\nBeveiligingsstandaarden vormen een weerslag van de lessons learned die bij de beveiliging in een specifieke branche of in een specifieke technologische\n                                          omgeving zijn opgedaan. Ze geven weer welke maatregelen door beveiligingsdeskundigen\n                                          binnen de betreffende context in het algemeen als \u2018passend\u2019 worden beschouwd en, in\n                                          het geval van de meer technisch gerichte standaarden, welke technologische middelen\n                                          bij de beveiliging worden toegepast. Er worden ook met grote regelmaat nieuwe beveiligingsstandaarden\n                                          en nieuwe versies van bestaande beveiligingsstandaarden gepubliceerd, waarmee wordt\n                                          aangesloten op de nieuwste ontwikkelingen binnen het vakgebied. Correct gebruik van\n                                          actuele beveiligingsstandaarden stelt de verantwoordelijke in staat om passende maatregelen\n                                          te treffen en om tot een evenwichtig en effectief geheel aan technische en organisatorische\n                                          maatregelen te komen. Het vervolg van deze paragraaf licht het gebruik van standaarden\n                                          toe aan de hand van concrete voorbeelden.\n\nEen zeer veel gebruikte beveiligingsstandaard is de Code voor Informatiebeveiliging\n                                          (nen-iso/iec 27002:2007 nl).45 Deze standaard is onderdeel van een groep onderling samenhangende standaarden voor\n                                          het initi\u00ebren, implementeren, handhaven en verbeteren van de informatiebeveiliging\n                                          in een organisatie. Evenals de standaard nen-iso/iec 27001:2005 nl, die tot dezelfde\n                                          groep behoort, is de Code voor Informatiebeveiliging opgenomen in de \u201clijst met open\n                                          standaarden waarvoor voor overheids\u00adorganisaties een \u2018pas-toe-of-leg-uit- regime\u2019\n                                          geldt\u201d46 van het College en Forum Standaardisatie.47\n\nDe Code voor Informatiebeveiliging is een technologieneutrale standaard die binnen\n                                          de informatiebeveiliging breed wordt toegepast bij het formuleren en implementeren\n                                          van beveiligingsmaatregelen. Daarom wordt in deze richtsnoeren, waar deze ingaan op\n                                          concrete beveiligingsmaatregelen, verwezen naar de betreffende onderdelen van de Code\n                                          voor Informatiebeveiliging. De relevante informatie is daarbij opgenomen in de tekst\n                                          van de richtsnoeren.\n\nVoor de zorgsector is de Code voor Informatiebeveiliging nader uitgewerkt in de standaard\n                                          nen 7510.48 De Code voor Informatiebeveiliging en nen 7510 zijn beveiligingsstandaarden die het\n                                          hele terrein van de informatiebeveiliging binnen een organisatie afdekken. Het zijn\n                                          algemene, technologieneutrale standaarden, wat betekent dat ze niet ingaan op de maatregelen\n                                          die moeten worden getroffen bij een specifiek type verwerking of bij het gebruik van\n                                          een specifieke technologie.\n\nEr zijn ook beveiligingsstandaarden die dit wel doen. Voorbeelden zijn de Data Security\n                                          Standard van de Payment Card Industry voor de veilige afhandeling van creditcardbetalingen49 en de standaarden voor de beveiliging van cloud computing van het Amerikaanse National Institute of Standards and Technology.50 Voor de beveiliging van webapplicaties zijn er de ict-beveiligingsrichtlijnen voor\n                                          web\u00adapplicaties van het Nationaal Cyber Security Centrum (ncsc) van het ministerie\n                                          van Veiligheid en Justitie51 en voor de beveiliging van mobiele apparaten zijn er de beveiligingsrichtlijnen voor\n                                          mobiele apparaten van het ncsc.52 Over het algemeen wordt een optimale beveiliging bereikt door de informatiebeveiliging\n                                          binnen de organisatie in te richten op basis van een algemene beveiligingsstandaard\n                                          zoals de Code voor Informatiebeveiliging en bijvoorbeeld bij de ontwikkeling en het\n                                          beheer van web\u00adapplicaties uit te gaan van de ict-beveiligingsrichtlijnen voor webapplicaties\n                                          van het ncsc.\n\nDit hoofdstuk geeft per onderdeel van de plan-do-check-act-cyclus weer hoe het CBP\n                                       de beveiliging van persoonsgegevens beoordeelt. Het hoofdstuk beschrijft de beveiliging\n                                       van persoonsgegevens in algemene zin, waarbij wordt aangesloten op standaarden, methoden\n                                       en maatregelen die in het vakgebied informatiebeveiliging gebruikelijk zijn. In specifieke\n                                       situaties kunnen organisaties ook met andere standaarden, methoden en maat\u00adregelen\n                                       het vereiste beveiligingsniveau bereiken. Bij onderzoeken en beoordelingen van de\n                                       beveiliging van persoonsgegevens is het onderstaande voor het cbp evenwel het uitgangspunt.\n\nArtikel 13 Wbp vereist bij de beveiliging van persoonsgegevens een risicogerichte benadering.\n\nHet artikel vraagt om \u201cpassende technische en organisatorische maatregelen\u201d die \u201crekening\n                                       houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend\n                                       beveiligingsniveau [garanderen] gelet op de risico\u201ds die de verwerking en de aard\n                                       van de te beschermen gegevens met zich meebrengen\u201d. Deze risicogerichte benadering\n                                       valt in de praktijk uiteen in een aantal onderdelen, die worden weergegeven in onderstaand\n                                       schema. In het vervolg van deze paragraaf worden deze onderdelen nader toegelicht.\n\nHet uitvoeren van een privacy impact assessment (pia) helpt de verantwoordelijke om\n                                       de risico\u201ds te beoordelen die een verwerking van persoonsgegevens met zich meebrengt\n                                       voor de rechten en vrijheden van de betrokkenen en om maatregelen te treffen die deze\n                                       risico\u201ds beperken.53 Een pia wordt als regel uitgevoerd in het eerste ontwerpstadium van een verwerking.\n                                       De uitkomsten van de pia kunnen van invloed zijn op de beveiliging van de persoonsgegevens\n                                       die worden verwerkt, maar kunnen bijvoorbeeld ook leiden tot de keuze om minder persoonsgegevens\n                                       te verzamelen dan in eerste instantie was voorzien of tot het uitbreiden van de mogelijkheden\n                                       voor de betrokkenen om zeggenschap uit te oefenen over het gebruik van hun gegevens.\n                                       De pia valt buiten de reikwijdte van artikel 13 Wbp en van deze richtsnoeren. Wel geeft het uitvoeren van een pia een totaalbeeld van\n                                       de risico\u201ds voor de betrokkenen en helpt het de verantwoordelijke om beveiligingsmaatregelen\n                                       te treffen als onderdeel van een samenhangend geheel aan maatregelen waarmee hij de\n                                       risico\u201ds voor de betrokkenen afdekt en voldoet aan de Wbp.54\n\nIn het vakgebied informatiebeveiliging vormen de betrouwbaarheidseisen \u2013 de eisen\n                                       aan beschikbaarheid, integriteit en vertrouwelijkheid \u2013 het uitgangspunt voor de te\n                                       treffen beveiligingsmaatregelen.55 Bij het verwerken van persoonsgegevens dienen de betrouwbaarheidseisen niet uitsluitend\n                                       te worden vastgesteld vanuit het belang van de verantwoordelijke, maar met name ook\n                                       vanuit het belang van de betrokkenen. Er is sprake van een \u201cpassend beveiligingsniveau\n                                       gelet op de risico\u201ds die de verwerking en de aard van de te beschermen gegevens met\n                                       zich meebrengen\u201d. Het vaststellen van de betrouwbaarheidseisen vanuit het belang van\n                                       de betrokkenen wordt nader beschreven in paragraaf 3.1 van deze richtsnoeren.\n\nIn het vakgebied informatiebeveiliging is het gangbaar dat de verantwoordelijke beveiligingsmaat\u00adregelen\n                                       treft op basis van een risicoanalyse, waarbij hij de dreigingen inventariseert die\n                                       kunnen leiden tot een beveiligingsincident, de gevolgen die het beveiligingsincident\n                                       kan hebben en de kans dat deze gevolgen zich voordoen. De verantwoordelijke kiest\n                                       de maatregelen zodanig dat wordt voldaan aan de vastgestelde betrouwbaarheidseisen.56 De risicoanalyse is een belangrijke randvoorwaarde voor \u201c[maatregelen die], rekening\n                                       houdend met de stand van de techniek en de kosten van de tenuitvoer\u00adlegging, een passend\n                                       beveiligingsniveau [garanderen]\u201d.57 Paragraaf 3.2 van deze richtsnoeren gaat hier nader op in.\n\nDe verantwoordelijke stelt vast aan welke eisen betreffende beschikbaarheid, integriteit\n                                          en vertrouwelijkheid het informatiesysteem moet voldoen. Daarbij draagt hij er zorg\n                                          voor dat er sprake is van een \u201cpassend beveiligingsniveau gelet op de risico\u201ds die\n                                          de verwerking en de aard van de te beschermen gegevens met zich meebrengen.\u201d58\n\nHet bovenstaande betekent dat de verantwoordelijke een vertaalslag moet maken van\n                                          de risico\u201ds voor de betrokkene(n) naar de betrouwbaarheidseisen zoals het vakgebied\n                                          informatiebeveiliging die kent. Deze vertaalslag is weergegeven in bovenstaand schema.\n                                          Voor deze vertaalslag zijn vooral de gevolgen relevant die betrokkenen kunnen ondervinden\n                                          van verlies of onrechtmatige verwerking van hun persoonsgegevens. Deze gevolgen kunnen,\n                                          afhankelijk van de aard van de verwerking en van de verwerkte persoonsgegevens, onder\n                                          meer bestaan uit stigmatisering of uitsluiting, schade aan de gezondheid of blootstelling\n                                          aan (identiteits)fraude.\n\nVoor het vaststellen van de betrouwbaarheidseisen zijn, vanuit de beveiliging van\n                                          persoonsgegevens en het belang van de betrokkenen bezien, de risico\u201ds voor \u00e9\u00e9n, individuele\n                                          betrokkene maatgevend.\n\nDe schade die betrokkenen ondervinden van verlies of onrechtmatige verwerking van\n                                          hun persoonsgegevens wordt bepaald door de aard van de gegevens en de aard van de\n                                          verwerking en niet door het aantal anderen van wie de persoonsgegevens eveneens verloren\n                                          zijn gegaan of onrechtmatig zijn verwerkt.\n\nVoor de genoemde vertaalslag zijn geen algemene regels te geven. Bij verwerkingen\n                                          met een hoog risico voor de betrokkene(n) is over het algemeen een hoge mate van vertrouwelijkheid\n                                          vereist. Afhankelijk van de aard van de verwerking geldt hetzelfde voor de integriteit\n                                          en voor de beveiliging van de persoonsgegevens tegen verlies.\n\nDe rest van deze paragraaf gaat nader in op de risico\u201ds die de verwerking en de aard\n                                          van de te beschermen gegevens met zich meebrengen.\n\nEr is sprake van \u201ceen passend beveiligingsniveau gelet op de risico\u201ds die [...] de\n                                             aard van de te beschermen gegevens met zich meebreng[t]\u201d.59\n\nDe stand van de techniek, ontwikkelingen in de maatschappij en andere factoren kunnen\n                                          van invloed zijn op de gevolgen die verlies of onrechtmatige verwerking van persoonsgegevens\n                                          met zich mee kunnen brengen voor de betrokkenen. Onderstaande opsomming van categorie\u00ebn\n                                          van persoonsgegevens waar deze gevolgen ernstig kunnen zijn, is daarom niet uitputtend:\n\n\u2022 \nBijzondere persoonsgegevens zoals bedoeld in \nartikel 16 Wbp\n\nHet gaat daarbij om persoonsgegevens over iemands godsdienst of levensovertuiging,\n                                                ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging\n                                                en om strafrechte\u00adlijke persoonsgegevens en persoonsgegevens over onrechtmatig of\n                                                hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag.\n\n\u2022 \nGegevens over de financi\u00eble of economische situatie van de betrokkene\n\nHieronder vallen bijvoorbeeld gegevens over (problematische) schulden.\n\n\u2022 \n(Andere) gegevens die kunnen leiden tot stigmatisering of uitsluiting van de betrokkene\n\nHieronder vallen bijvoorbeeld gegevens over gokverslaving, prestaties op school of\n                                                werk of relatieproblemen.\n\n\u2022 \nGegevens die betrekking hebben op mensen uit kwetsbare groepen\n\nHet gaat hier bijvoorbeeld om mensen die te maken hebben met stalking of die in een\n                                                blijf-van-mijn-lijfhuis verblijven, om klokkenluiders of om informanten van de politie\n                                                of het Openbaar Ministerie.\n\n\u2022 \nGebruikersnamen, wachtwoorden en andere inloggegevens\n\nDe mogelijke gevolgen voor betrokkenen hangen af van de verwerkingen en van de persoons\u00adgegevens\n                                                waar de inloggegevens toegang toe geven. Bij de afweging moet worden betrokken dat\n                                                veel mensen wachtwoorden hergebruiken voor verschillende verwerkingen.\n\n\u2022 \nGegevens die kunnen worden misbruikt voor (identiteits)fraude\n\nHet gaat hierbij onder meer om biometrische gegevens, kopie\u00ebn van identiteitsbewijzen\n                                          en om het burgerservicenummer (bsn).\n\nHet onderstaande voorbeeld illustreert dat een persoonsgegeven dat op zichzelf niet\n                                                in de categorie van bijzondere persoonsgegevens valt (het e-mailadres) alsnog een\n                                                bijzonder persoonsgegeven kan worden door de context waarbinnen het wordt gebruikt.\n\nEen organisatie voor jongeren met belangstelling voor sadomasochisme (sm) organiseert\n                                             een feest en verstuurt per e-mail een bevestiging van deelname aan iedereen die zich\n                                             voor dit feest heeft aangemeld. Bij de verzending van de mailing maakt de organisatie\n                                             een fout, waardoor alle e-mailadressen zichtbaar zijn voor alle 65 ontvangers van\n                                             de e-mail.\n\nEen e-mailadres is een persoonsgegeven en kan, bijvoorbeeld als het de voor- en achternaam\n                                             van de betrokkene bevat, de betrokkene direct identificeren. Normaal gesproken is\n                                             een e-mailadres geen gevoelig gegeven maar in dit geval ontstaat er door de context,\n                                             deelname aan een sm-feest, een relatie met het seksuele leven van de betrokkene en\n                                             wordt het gegeven alsnog gevoelig. De verantwoordelijke moet in zo\u201dn geval extra beveiligingsmaatregelen\n                                             treffen om het uitlekken van de e-mailadressen te voorkomen.\n\nEr is sprake van \u201ceen passend beveiligingsniveau gelet op de risico\u201ds die de verwerking\n                                                [...] met zich meebreng[t]\u201d.60\n\nBehalve de aard van de verwerkte gegevens, kan ook de verwerking zelf risico\u201ds met\n                                             zich meebrengen voor de betrokkenen. Factoren die een rol spelen zijn onder meer:\n\n\u2022 \nHoeveelheid verwerkte persoonsgegevens per persoon\n\nNaarmate er per persoon meer persoonsgegevens worden verwerkt, kan verlies of onrechtmatige\n                                                   verwerking leiden tot een grotere inbreuk op de persoonlijke levenssfeer. Bijvoorbeeld:\n                                                   het uit\u00adlekken van een compleet medisch dossier leidt over het algemeen tot een grotere\n                                                   inbreuk dan het uitlekken van een herhaalrecept.\n\n\u2022 \nDoel of doelen waarvoor de persoonsgegevens worden verwerkt\n\nNaarmate de beslissingen die op basis van de verwerkte persoonsgegevens worden genomen\n                                                   ingrijpender zijn, is ook de impact van verlies of onrechtmatige verwerking groter.\n                                                   Bijvoorbeeld: als een organisatie financi\u00eble gegevens gebruikt om iemands kredietwaardigheid\n                                                   te bepalen zijn de gevolgen ingrijpender dan bij gebruik van dezelfde gegevens voor\n                                                   marketingdoeleinden.\n\nOnderstaand voorbeeld illustreert hoe de combinatie van de aard van de verwerkte gegevens\n                                                (bijzondere persoonsgegevens) en de risico\u201ds die de verwerking met zich meebrengt\n                                                (grote hoeveelheid gegevens per persoon) leidt tot zwaardere eisen aan de beveiliging\n                                                en, in combinatie met de aanwezige dreigingen, tot aanscherping van de beveiligingsmaatregelen.\n\nBeveiligingsonderzoekers komen erachter dat een webapplicatie die toegang geeft tot\n                                             elektronische dossiers met persoonsgegevens beveiligingslekken bevat, waardoor onbevoegden\n                                             toegang kunnen krijgen tot de achterliggende database. De applicatie wordt gebruikt\n                                             door een groot aantal organisaties. In de applicatie worden bijzondere persoonsgegevens\n                                             (medische gegevens) en het BSN verwerkt en de hoeveelheid gegevens die per persoon\n                                             wordt verwerkt is in sommige gevallen aanzienlijk. Onrechtmatige toegang tot de dossiers\n                                             kan voor de betrokkenen dus grote schade met zich meebrengen. Daarbij gaat het om\n                                             een webapplicatie, waarbij altijd rekening moet worden gehouden met de mogelijkheid\n                                             dat een hacker onrecht\u00admatig toegang krijgt tot de verwerkte persoonsgegevens.\n\nDe leverancier van de applicatie besluit daarom om niet alleen de beveiligingslekken\n                                             te dichten, maar ook de beveiliging van de toegang tot de dossiers met persoonsgegevens\n                                             aan te scherpen door gebruik te maken van zogeheten tweefactorauthenticatie. Gebruikers\n                                             kunnen in het vervolg alleen nog maar toegang krijgen tot de applicatie als ze beschikken\n                                             over een combinatie van een wachtwoord en een fysiek herkenningsmiddel (token). Door\n                                             het gebruik van tweefactorauthenticatie wordt voorkomen dat een hacker door het wachtwoord\n                                             te achterhalen zich toegang verschaft tot de verwerkte persoonsgegevens.\n\nBepaalde verwerkingen brengen door de combinatie van de aard van de verwerkte gegevens,\n                                             de hoeveelheid gegevens die per persoon wordt verwerkt en de doelen waarvoor de persoonsgegevens\n                                             worden verwerkt dusdanige risico\u201ds met zich mee dat het hoogste beveiligingsniveau\n                                             is vereist. Verwerkingen in deze categorie zijn onder meer verwerkingen bij opsporingsdiensten\n                                             met bijzondere bevoegdheden of verwerkingen waarbij de belangen van een grote groep\n                                             betrokkenen zeer ernstig kunnen worden geschaad indien de verwerkingen onzorgvuldig\n                                             of onbevoegd geschieden, zoals bij dna-databanken. Daarnaast vallen ook verwerkingen\n                                             waarop een bijzondere geheimhoudingsplicht van toepassing is binnen deze categorie.\n                                             Deze geheimhoudingsplicht kan door de overheid zowel wettelijk als anderszins formeel\n                                             zijn geregeld of door een private organisatie zijn ingevoerd voor haar medewerkers.\n\nBij dergelijke verwerkingen wordt er al in het vroegste ontwerpstadium rekening gehouden\n                                             met het vereiste beveiligingsniveau (security by design) en het vereiste niveau van\n                                             gegevensbescherming (privacy by design). Privacy enhancing technologies (pet) zijn\n                                             bij dergelijke verwerkingen onmisbaar. Bij de keuze van de beveiligingsmaatregelen\n                                             is het vereiste beveiligingsniveau leidend. Indien het realiseren van het vereiste\n                                             beveiligingsniveau tegen acceptabele kosten niet mogelijk is, wordt van verwerking\n                                             afgezien.\n\nNa het vaststellen van de betrouwbaarheidseisen treft de verantwoordelijke passende\n                                          beveiligingsmaatregelen die waarborgen dat aan de betrouwbaarheidseisen wordt voldaan.\n\n\u201cDe verantwoordelijke legt passende technische en organisatorische maatregelen ten\n                                             uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige\n                                             verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek\n                                             en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau.\u201d 61\n\nDe maatregelen zijn gebaseerd op een risicoanalyse en dekken de risico\u201ds zodanig af\n                                          dat aan de betrouwbaarheidseisen wordt voldaan.62 Naarmate de vereiste betrouwbaarheid c.q. het vereiste beveiligingsniveau hoger is,\n                                          treft de verantwoordelijke meer en zwaardere beveiligingsmaatregelen om de aanwezige\n                                          risico\u201ds af te dekken en het vereiste beveiligingsniveau daadwerkelijk te garanderen.\n\nOnderstaand voorbeeld is ontleend aan de toezichtpraktijk van het CBP\n\nHet geeft onder meer weer welke aandachtspunten het CBP in het betreffende onderzoek\n                                                hanteerde bij de beoordeling van de uitgevoerde risico-analyses.\n\nGezamenlijk met de Inspectie voor de Gezondheidszorg (IGZ) voert het CBP in 2007 een\n                                             onderzoek uit naar de mate waarin de normen voor de informatiebeveiliging worden nageleefd\n                                             door twintig ziekenhuizen.\n\nBij vijf van de onderzochte ziekenhuizen concluderen IGZ en CBP dat er geen sprake\n                                             is van een passend beveiligingsniveau zoals bedoeld in artikel 13 Wbp. Na nader onderzoek in 2008 legt het CBP in 2009 aan vier van de ziekenhuizen een\n                                             last onder dwangsom op, waarbij het CBP de ziekenhuizen onder meer sommeert om een\n                                             risicoanalyse informatiebeveiliging uit te voeren en daarvan een rapportage op te\n                                             stellen.\n\nAls toelichting op deze maatregelen verwijst het CBP naar de NEN 7510, waarin de Code\n                                             voor Informatiebe-veiliging voor de zorgsector nader is uitgewerkt en die als een\n                                             gezaghebbende en sectorale uitwerking van artikel 13 Wbp wordt beschouwd.\n\nHet CBP geeft daarbij het volgende aan:\n\n\u201cEen risicoanalyse vormt de basis voor het informatiebeveiligingsbeleid van een organisatie.\n                                             Zonder risicoanalyse is het niet mogelijk om een adequaat informatiebeveiligingsbeleid\n                                             te formuleren: pas na een risicoanalyse kunnen de prioritaire maatregelen voor informatiebeveiliging\n                                             worden bepaald.\n\nDe definitie van een risicoanalyse in NEN 7510 \u2013 \u2018beoordeling van de bedreigingen\n                                             voor, effecten op en kwetsbaarheid van informatiesystemen en gegevens en de waarschijnlijkheid\n                                             van het optreden van deze bedreigingen\u2019 is gangbaar binnen het vakgebied informatiebeveiliging\n                                             en geeft een organisatie \u2013 binnen de grenzen van de definitie \u2013 de vrijheid zelf een\n                                             risicoanalysemethode te kiezen. Zodra echter elementen uit de definitie ontbreken\n                                             is de risicoanalyse ontoereikend en wordt gezien het bovenstaande niet voldaan aan\n                                             de norm van artikel 13 Wbp.\u201d\n\nHet cbp constateert dat twee van de vier ziekenhuizen in eerste instantie een risicoanalyse\n                                             hebben uitge\u00advoerd die niet voldoet aan de last. In de risicoanalyse van \u00e9\u00e9n ziekenhuis\n                                             ontbreekt een inventarisatie van de (re\u00eble) bedreigingen, is er geen zicht op de kwetsbaarheid\n                                             van de informatiesystemen en is er onvol\u00addoende zicht op de beveiligingsmaatregelen\n                                             die al zijn ge\u00efmplementeerd, waardoor er niet kan worden afgebakend welke maatregelen\n                                             er uiteindelijk nog moeten worden getroffen. Het tweede ziekenhuis heeft aan de hand\n                                             van een checklist in kaart gebracht hoe informatiebeveiliging volgens NEN7510 in de\n                                             dagelijkse praktijk wordt toegepast, wat geen of hooguit zeer beperkt inzicht geeft\n                                             in de concrete ICT-risico\u201ds die het ziekenhuis loopt.\n\nBeide ziekenhuizen vullen de risicoanalyse aan, zodat zij uiteindelijk alsnog aan\n                                             de last voldoen.\n\nDe risicoanalyse geeft aan welke risico\u201ds moeten worden afgedekt; beveiligingsstandaarden\n                                             geven houvast bij het daadwerkelijk treffen van passende maatregelen om de risico\u201ds\n                                             af te dekken. Welke beveiligingsstandaarden voor een bepaalde verwerking relevant\n                                             zijn en welke beveiligingsmaatregelen op grond van deze beveiligingsstandaarden moeten\n                                             worden getroffen, moet van geval tot geval worden bepaald.\n\nBij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert\n                                             het CBP als uitgangspunt een aantal beveiligingsmaatregelen die binnen het vakgebied\n                                             informatiebeveiliging gebruikelijk zijn en die in veel situaties in een of andere\n                                             vorm noodzakelijk zijn. Het gaat om de volgende maatregelen:\n\n\u2022 \nBeleidsdocument voor informatiebeveiliging\n63\n\nHet beleidsdocument gaat expliciet in op de maatregelen die de verantwoordelijke treft\n                                                   om de verwerkte persoonsgegevens te beveiligen. Het document is goedgekeurd op bestuurlijk\n                                                   c.q. leidinggevend niveau en kenbaar gemaakt aan alle werknemers en relevante externe\n                                                   partijen.\n\n\u2022 \nToewijzen van verantwoordelijkheden voor informatiebeveiliging\n64\n\nAlle verantwoordelijkheden, zowel op sturend als op uitvoerend niveau, zijn duidelijk\n                                                   gedefinieerd en belegd.\n\n\u2022 \nBeveiligingsbewustzijn\n65\n\nAlle werknemers van de organisatie en, voor zover van toepassing, ingehuurd personeel\n                                                   en externe gebruikers krijgen geschikte training en regelmatige bijscholing over het\n                                                   informatiebeveiligings\u00adbeleid en de informatiebeveiligingsprocedures van de organisatie,\n                                                   voor zover relevant voor hun functie. Binnen de training en bijscholing wordt expliciet\n                                                   aandacht besteed aan de omgang met (bijzondere of anderszins gevoelige) persoonsgegevens.\n\n\u2022 \nFysieke beveiliging en beveiliging van apparatuur\n66\n\nIT-voorzieningen en apparatuur zijn fysiek beschermd tegen toegang door onbevoegden\n                                                   en tegen schade en storingen. De geboden bescherming is in overeenstemming met de\n                                                   vastgestelde risico\u201ds.\n\n\u2022 \nToegangsbeveiliging\n67\n\nEr zijn procedures om bevoegde gebruikers toegang te geven tot de informatiesystemen\n                                                   en -diensten die ze voor de uitvoering van hun taken nodig hebben en om onbevoegde\n                                                   toegang tot informatiesystemen te voorkomen. De procedures omvatten alle fasen in\n                                                   de levenscyclus van de gebruikerstoegang, van de eerste registratie van nieuwe gebruikers\n                                                   tot de uiteindelijke afmelding van gebruikers die niet langer toegang tot informatiesystemen\n                                                   en -diensten nodig hebben. Waar van toepassing wordt bijzondere aandacht besteed aan\n                                                   het beheren van toegangsrechten van gebruikers met extra ruime bevoegdheden, zoals\n                                                   systeembeheerders.\n\n\u2022 \nLogging en controle\n68\n\nActiviteiten die gebruikers uitvoeren met persoonsgegevens worden vastgelegd in logbestanden.\n                                                   Hetzelfde geldt voor andere relevante gebeurtenissen, zoals pogingen om ongeautoriseerd\n                                                   toegang te krijgen tot persoonsgegevens en verstoringen die kunnen leiden tot verminking\n                                                   of verlies van persoonsgegevens. De logbestanden worden periodiek gecontroleerd op\n                                                   indicaties van onrechtmatige toegang of onrechtmatig gebruik van de persoonsgegevens\n                                                   en waar nodig wordt actie ondernomen.\n\nDe verantwoordelijke moet er rekening mee houden dat er, als de gegevens in de logbestanden\n                                                   tot personen herleidbaar zijn, sprake is van een verwerking van persoonsgegevens in\n                                                   de zin van de Wbp waarop de verplichtingen uit deze wet van toepassing zijn. In dat geval kan er ook\n                                                   sprake zijn van een personeelsvolgsysteem in de zin van artikel 27 lid 1 van de Wet op de ondernemingsraden (WOR), waarvoor instemming van de ondernemingsraad is vereist.\n\n\u2022 \nCorrecte verwerking in toepassingssystemen\n69\n\nIn alle toepassingssystemen, inclusief toepassingen die door gebruikers zelf zijn\n                                                   ontwikkeld, zijn beveiligingsmaatregelen ingebouwd. Tot deze beveiligingsmaatregelen\n                                                   behoort de controle dat de invoer, de interne verwerking en de uitvoer aan vooraf\n                                                   gestelde eisen voldoen (validatie). Voor systemen waarin gevoelige persoonsgegevens\n                                                   worden verwerkt of die invloed hebben op de verwerking van gevoelige persoonsgegevens,\n                                                   kunnen aanvullende beveiligingsmaatregelen nodig zijn.\n\n\u2022 \nBeheer van technische kwetsbaarheden\n70\n\nSoftware, zoals browsers, virusscanners en operating systems, wordt up-to-date gehouden.\n                                                   Ook installeert de verantwoordelijke tijdig oplossingen die de leverancier uitbrengt\n                                                   voor beveiligingslekken in deze software. Meer in het algemeen verkrijgt de verantwoordelijke\n                                                   tijdig informatie over technische kwetsbaarheden van de gebruikte informatiesystemen.\n                                                   De mate waarin de organisatie blootstaat aan dergelijke kwetsbaarheden wordt ge\u00ebvalueerd\n                                                   en de verantwoordelijke treft geschikte maatregelen getroffen voor de behandeling\n                                                   van de risico\u201ds die daarmee samenhangen.\n\n\u2022 \nIncidentenbeheer\n71\n\nEr zijn procedures voor het tijdig en doeltreffend behandelen van informatiebeveiligingsincidenten\n                                                   en zwakke plekken in de beveiliging, zodra ze zijn gerapporteerd. Het beoordelen van\n                                                   de risico\u201ds voor de betrokkenen en het effectief informeren van de betrokkenen en,\n                                                   waar van toepassing, de toezichthouder is in deze procedures opgenomen. De lessen\n                                                   getrokken uit de afgehandelde incidenten worden gebruikt om de beveiliging waar mogelijk\n                                                   structureel te verbeteren. Als een vervolgprocedure na een informatiebeveiligingsincident\n                                                   juridische maatregelen omvat (civiel- of strafrechtelijk), wordt het bewijsmateriaal\n                                                   verzameld, bewaard en gepresenteerd overeenkomstig de voorschriften voor bewijs die\n                                                   voor het relevante rechtsgebied zijn vastgelegd.\n\n\u2022 \nAfhandeling van datalekken en beveiligingsincidenten\n72\n\nDe verantwoordelijke meldt datalekken die onder een wettelijke meldplicht vallen bij\n                                                   de betreffende toezichthouder.73 Als hij daartoe wettelijk verplicht is, of als er anderszins aanleiding voor is,\n                                                   informeert hij ook de betrokkenen over het beveiligingsincident of het datalek.\n\n\u2022 \nContinu\u00efteitsbeheer\n74\n\nDoor natuurrampen, ongevallen, uitval van apparatuur of opzettelijk handelen kunnen\n                                                   persoonsgegevens verloren gaan. Door in de organisatie continu\u00efteitsbeheer in te richten\n                                                   worden de gevolgen tot een aanvaardbaar niveau beperkt, waarbij gebruik wordt gemaakt\n                                                   van een combinatie van preventieve maatregelen en herstelmaatregelen.\n\nEr is pas sprake van een passend beveiligingsniveau als de gekozen maatregelen onderdeel\n                                             zijn van de dagelijkse praktijk van de organisatie. De eerste stap is documentatie:\n                                             de relevante beveiligings\u00admaatregelen zijn gespecificeerd en ge\u00efntegreerd in functionele\n                                             en technische beschrijvingen van ict-systemen, in gebruikershandleidingen, werkinstructies,\n                                             contracten, dienstenniveauovereenkomsten en andere relevante documenten. De tweede\n                                             stap is daadwerkelijke implementatie van de gekozen maatregelen.\n\n\u201cEen ieder die handelt onder het gezag van de verantwoordelijke of van de bewerker,\n                                                alsmede de bewerker zelf, voor zover deze toegang hebben tot persoonsgegevens, verwerkt\n                                                deze slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke\n                                                verplichtingen.\u201d75\n\nDe hierboven genoemde maatregelen \u2018beveiligingsbewustzijn\u2019, \u2018toegangsbeveiliging\u2019\n                                             en \u2018logging en controle\u2019 zijn er mede op gericht om ongeoorloofde omgang met persoonsgegevens\n                                             binnen de organisatie tegen te gaan.\n\n\u201cDe personen, bedoeld in het eerste lid, voor wie niet reeds uit hoofde van ambt,\n                                                beroep of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot\n                                                geheimhouding van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover\n                                                enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak\n                                                tot mededeling voortvloeit.\u201d76\n\nBij het onderzoeken en beoordelen van de beveiliging van persoonsgegevens hanteert\n                                             het CBP, waar het gaat om de geheimhouding van de verwerkte persoonsgegevens, als\n                                             uitgangspunt een aantal maatregelen die in het vakgebied informatiebeveiliging gangbaar\n                                             zijn. Deze maatregelen zijn:\n\n\u2022 \nGegevensbescherming en geheimhouding van persoonsgegevens\n77\n\nDe organisatie heeft beleid ontwikkeld voor de bescherming en voor de geheimhouding\n                                                   van persoonsgegevens. Dit beleid is vastgelegd en ge\u00efmplementeerd en de organisatie\n                                                   communiceert dit naar alle personen die betrokken zijn bij het verwerken van persoonsgegevens.\n                                                   In het beleid is opgenomen dat persoonsgegevens uitsluitend worden verwerkt in opdracht\n                                                   van de verantwoordelijke.\n\n\u2022 \nGeheimhoudingsovereenkomsten\n78\n\nDe verplichting tot geheimhouding van persoonsgegevens is vastgelegd in geheimhoudingsovereenkomsten.\n\nOnderstaand voorbeeld illustreert wat wordt bedoeld met ongeoorloofde omgang met persoonsgegevens\n                                                binnen de organisatie.\n\nIn 2007 doet het cbp samen met de Inspectie voor de Gezondheidszorg (IGZ) onderzoek\n                                             naar de informatiebeveiliging bij een aantal ziekenhuizen. Uit het onderzoek blijkt\n                                             dat de directie van een van de onderzochte ziekenhuizen wel heel persoonlijk is geconfronteerd\n                                             met het belang van informatiebeveiliging. Tijdens een opname van de voorzitter van\n                                             de Raad van Bestuur in zijn eigen ziekenhuis hebben namelijk verschillende medewerkers\n                                             die hem niet behandelden zich toegang verschaft tot zijn elektronisch medisch dossier.79\n\n\u201cDe maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking\n                                                van persoonsgegevens te voorkomen.\u201d80\n\nBij het onderzoeken en beoordelen van de naleving van de wettelijke verplichting tot\n                                             het toepassen van pet hanteert het CBP als uitgangspunt een aantal gangbare pet-maatregelen.\n                                             Deze maatregelen zijn:\n\n\u2022 \nEncryptie (versleuteling) en hashing\n81\n\nDe verantwoordelijke maakt gebruik van cryptografische bewerkingen om de persoonsgegevens\n                                                   die hij verwerkt te beveiligen. Hij past encryptie (versleuteling) toe bij verzending\n                                                   van persoonsgegevens via het internet, bij de opslag van persoonsgegevens op draagbare\n                                                   apparatuur en op verwijderbare media zoals usb-sticks en in andere situaties waar\n                                                   persoonsgegevens kwetsbaar zijn voor toegang door onbevoegden (bijvoorbeeld persoonsgegevens\n                                                   die via het world wide web kunnen worden benaderd). Bij de opslag en verwerking van\n                                                   wachtwoorden maakt hij gebruik van hashing. Bij het toepassen van cryptografische\n                                                   technieken past hij alle gangbare voorzorgsmaatregelen toe, zoals goed ingericht sleutelbeheer\n                                                   en het gebruik van sleutellengten en versleutelingstechnieken die in overeenstemming\n                                                   zijn met de actuele stand van de techniek.\n\n\u2022 \nOmgang met e-waste (afgedankte apparatuur en opslagmedia)\n\nAlle apparatuur die opslagmedia bevat, zoals laptops of smartphones, wordt ontdaan\n                                                   van de nog eventueel aanwezige persoonsgegevens alvorens het apparaat te verwijderen\n                                                   of hergebruiken. Opslagmedia met gevoelige persoonsgegevens worden fysiek vernietigd\n                                                   of de persoonsgegevens worden vernietigd, verwijderd of overschreven met technieken\n                                                   die het onmogelijk maken om de oorspronkelijke persoonsgegevens terug te halen.82 Hetzelfde geldt voor verwijderbare media zoals usb-sticks.83\n\nOnderstaand worden de cryptografische bewerkingen encryptie en hashing toegelicht.\n                                                Verder wordt aangegeven dat toepassing van deze cryptografische bewerkingen op zichzelf\n                                                leidt tot pseudonimisering (het vervangen van een identificerend gegeven door een\n                                                ander identificerend gegeven) en niet tot anonimisering.\n\nEncryptie (versleuteling) en hashing (het omzetten van gegevens in een unieke code)\n                                             zijn cryptografische bewerkingen die worden toegepast op gegevens met onder meer als\n                                             doel om deze onbruikbaar te maken voor onbevoegden.\n\nKenmerkend voor encryptie is dat deze bewerking omkeerbaar is: door gebruik van de\n                                             juiste sleutel kan de oorspronkelijke informatie worden verkregen (decryptie). Encryptie\n                                             wordt onder meer gebruikt om gegevens te beveiligen bij verzending van gegevens via\n                                             het internet, bij de opslag van gegevens op draagbare apparatuur en op verwijderbare\n                                             media zoals USB-sticks en in andere situaties waar gegevens kwetsbaar zijn voor toegang\n                                             door onbevoegden (bijvoorbeeld gegevens die via het world wide web kunnen worden benaderd).\n\nHashing is een bewerking die van informatie, ongeacht de lengte, een unieke hashcode\n                                             maakt die altijd even lang is (de lengte is afhankelijk van de gebruikte hashingmethode).\n                                             Hashing wordt onder meer gebruikt bij de opslag en verwerking van wachtwoorden: op\n                                             het moment dat de gebruiker een (nieuw) wachtwoord kiest, wordt de bijbehorende hashcode\n                                             opgeslagen. Wanneer de gebruiker vervolgens inlogt, wordt de hashcode van het ingevoerde\n                                             wachtwoord vergeleken met de opgeslagen hashcode en krijgt de gebruiker toegang tot\n                                             het informatiesysteem als de codes overeenkomen.\n\nCryptografische bewerkingen zijn in principe te \u2018kraken\u2019, wat inhoudt dat onbevoegden\n                                             toegang kunnen krijgen tot de oorspronkelijke gegevens. Kraken wordt tegengegaan door\n                                             het gebruik van (combinaties van) de nieuwste cryptografische technieken en door toepassing\n                                             van zogenoemde salts (extra informatie die bij hashing wordt toegevoegd aan het oorspronkelijke\n                                             gegeven om het kraken van de hashcode te bemoeilijken). Dit terrein ontwikkelt zich\n                                             voortdurend en het is zeer goed mogelijk dat een cryptografische bewerking die in\n                                             de huidige situatie veilig genoeg is dat over een aantal jaren niet meer is. Bij gebruik\n                                             van cryptografische bewerkingen wordt daarom periodiek beoordeeld of nog steeds wordt\n                                             voldaan aan de betrouwbaarheidseisen.\n\nDoor toepassing van encryptie en hashing kan de mate waarin de verwerkte persoonsgegevens\n                                             kunnen worden herleid naar \u201ceen ge\u00efdentificeerde of identificeerbare natuurlijke persoon\u201d\n                                             worden verminderd. Een voorbeeld is het versleutelen of hashen van klantnummers. Het\n                                             toepassen van cryptografische bewerkingen op identificerende gegevens leidt op zichzelf\n                                             tot pseudonimisering (het identificerende gegeven wordt vervangen door een ander identificerend\n                                             gegeven) en niet tot anonimisering (de gegevens worden omgezet naar \u201ceen vorm die\n                                             identificatie van de betrokkene feitelijk niet langer mogelijk maakt\u201d84).\n\nNog afgezien van de mogelijkheid dat de gebruikte cryptografische bewerkingen gekraakt\n                                             worden, leidt het toepassen van cryptografische bewerkingen op identificerende gegevens\n                                             om de volgende redenen tot pseudonimisering en niet tot anonimisering:\n\n\u2022 Encryptie is omkeerbaar. De verantwoordelijke beschikt over de juiste sleutel en is daarmee in staat om decryptie\n                                                   toe te passen op het versleutelde gegeven en daardoor het oorspronkelijke identificerende\n                                                   gegeven te achterhalen.\n\n\u2022 Encryptie en hashing zijn herhaalbaar. De verantwoordelijke beschikt over de oorspronkelijke gegevens en kan door deze\n                                                   opnieuw te versleutelen of hashen de bijbehorende versleutelde gegevens of hashcodes\n                                                   achterhalen.\n\nDe verantwoordelijke kan maatregelen treffen om bij gebruik van encryptie of hashing\n                                             de herleidbaarheid van de betreffende persoonsgegevens te beperken, bijvoorbeeld door\n                                             de cryptografische bewerking uit te laten voeren door een derde die als enige over\n                                             de juiste sleutel beschikt. Van geval tot geval moet een verantwoordelijke vaststellen\n                                             of dergelijke maatregelen daadwerkelijk leiden tot anonimisering.\n\nVoor anonimisering zijn niet alleen de direct identificerende gegevens van belang.\n                                             \u201cHet verwijderen van de direct identificerende kenmerken biedt op zichzelf niet altijd\n                                             voldoende garantie dat geen sprake meer is van persoonsgegevens. Door middel van spontane\n                                             herkenning, vergelijking van gegevens en/of koppeling aan gegevens uit andere bron,\n                                             kan immers desondanks, soms zonder bijzonder inspanning, identificatie tot stand worden\n                                             gebracht.\u201d85 Verder moet bij anonimisering rekening worden gehouden met de stand van de techniek.\n                                             \u201cWat [...] bij een bepaalde stand van de techniek als anoniem, want redelijkerwijs\n                                             niet op een persoon herleidbaar gegeven, kan worden beschouwd, kan door technische\n                                             ontwikkelingen alsnog een persoonsgegeven worden gelet op de toegenomen mogelijkheden\n                                             tot herleiding.\u201d86\n\nDe verantwoordelijke stelt vast of de maatregelen daadwerkelijk getroffen zijn en\n                                          worden nageleefd en of de organisatie door het treffen van deze maatregelen aan de\n                                          betrouwbaarheidseisen voldoet.\n\nDe verantwoordelijke stelt vast of de technische en organisatorische maatregelen in\n                                          de praktijk worden nageleefd en of deze een passend beveiligingsniveau garanderen.\n                                          Waar nodig voert hij aanpassingen door.\n\nBij onderzoek en beoordeling hanteert het CBP als uitgangspunt de volgende controles\n                                          die in het vakgebied informatiebeveiliging gangbaar zijn:\n\n\u2022 \nControle op naleving van de maatregelen binnen de organisatie\n87\n\nDe verantwoordelijke beoordeelt regelmatig of de beveiligingsmaatregelen binnen de\n                                                organisatie daadwerkelijk worden nageleefd. Waar dit niet gebeurt, treft de verantwoordelijke\n                                                corrigerende maatregelen.\n\n\u2022 \nControle op technische naleving\n88\n\nDe verantwoordelijke beoordeelt regelmatig of de beveiligingsmaatregelen binnen de\n                                                technische systemen daadwerkelijk worden nageleefd.\n\nVerder betrekt het CBP hierbij de inzet van de volgende gangbare middelen voor de\n                                          controle op uitvoering en naleving van de beveiligingsmaatregelen:\n\n\u2022 \nWerkplekcontroles\n\nBuiten kantooruren laat de verantwoordelijke controleren of er documenten met gevoelige\n                                                persoonsgegevens aanwezig zijn op werkplekken, in vergaderruimtes, bij printers of\n                                                kopieer\u00adapparaten of in niet-afgesloten papierbakken. Op deze manier kan de verantwoordelijke\n                                                vaststellen of de gedragsregels voor de omgang met documenten met gevoelige persoonsgegevens\n                                                effectief zijn en afdoende bekend zijn gemaakt binnen de organisatie.\n\n\u2022 \nSocial engineering tests\n\nIn deze tests proberen experts per telefoon of per e-mail om, vaak onder valse voorwendselen,\n                                                persoonsgegevens \u2018los te krijgen\u2019. Door dergelijke tests uit te laten voeren kan de\n                                                verantwoordelijke vaststellen in hoeverre gedragsregels voor het verstrekken van persoonsgegevens\n                                                daadwerkelijk worden nageleefd.\n\n\u2022 \nBeoordeling van de beveiligingsmaatregelen in toepassingssystemen\n89\n\nDe verantwoordelijke laat een code review (een inspectie van de programmacode) uitvoeren\n                                                om vast te stellen of de beveiligingsmaatregelen die zijn ingebouwd in de toepassingssystemen\n                                                nog steeds toereikend zijn of dat deze bijvoorbeeld moeten worden aangepast aan de\n                                                stand van de techniek of aan de nieuwste inzichten in de informatiebeveiliging. Bij\n                                                toepassingen die worden onderhouden door een externe partij worden daarnaast ook de\n                                                werkzaamheden van deze derde partij beoordeeld: hoe snel verhelpt deze bijvoorbeeld\n                                                geconstateerde kwetsbaarheden of beveiligings\u00adlekken in het toepassingssysteem?\n\n\u2022 \nTests van nieuwe en gewijzigde informatiesystemen\n90\n\nDe bekendste vorm hiervan is waarschijnlijk de penetratietest, waarin experts proberen\n                                                om de beveiliging van een informatiesysteem te doorbreken. Over het algemeen gaat\n                                                hier een aantal andere tests aan vooraf, waarin de experts per informatiesysteem of\n                                                per subsysteem vaststellen of de gespecificeerde beveiligingsmaatregelen daadwerkelijk\n                                                zijn getroffen. De functie van de penetratietest is vooral het blootleggen van onvoorziene\n                                                risico\u201ds of zwakke plekken in de beveiliging.\n\n\u2022 \nBeveiligingsassessments\n\nIn dergelijke assessments wordt vastgesteld in hoeverre de gekozen beveiligingsmaatregelen\n                                                daadwerkelijk zijn ge\u00efmplementeerd en worden nageleefd. Bovengenoemde controlemiddelen\n                                                kunnen hier deel van uitmaken.\n\nOnderstaand wordt ingegaan op de beveiliging van persoonsgegevens die op papier worden\n                                                verwerkt en wordt aangegeven hoe de controle op naleving past binnen het totaal aan\n                                                beveiligingsmaatregelen.\n\nDe meeste organisaties verwerken persoonsgegevens niet alleen in geautomatiseerde\n                                             systemen maar ook op papier. Bij dat laatste gaat het niet alleen om papieren dossiers\n                                             maar bijvoorbeeld ook om documenten uit een elektronisch dossier die worden uitgeprint\n                                             om ze in een vergadering te bespreken. Als de organisatie hier onvoldoende zorgvuldig\n                                             mee omgaat, kunnen er ondanks alle overige beveiligingsmaatregelen alsnog persoonsgegevens\n                                             weglekken.\n\nPreventieve maatregelen bestaan allereerst uit het opstellen en binnen de organisatie\n                                             bekend maken van gedragsregels. Middelen waarvan de organisatie gebruik kan maken\n                                             bij een veilige omgang met persoonsgegevens op papier zijn afsluitbare dossierkasten\n                                             en papierversnipperaars of afsluitbare prullen\u00adbakken voor vertrouwelijke stukken,\n                                             waarvan de inhoud door een gespecialiseerd bedrijf wordt verwijderd en vernietigd.\n                                             Controle op de naleving van de gedragsregels is noodzakelijk, met name voor organisaties\n                                             die gevoelige gegevens op papier verwerken. Door werkplekcontroles wordt vastgesteld\n                                             dat er aan het einde van de werkdag geen documenten met gevoelige persoonsgegevens\n                                             op werkplekken zijn achter\u00adgebleven, dat er geen gevoelige informatie bij printers\n                                             of kopieerapparaten of in vergaderkamers ligt en dat alle dossier\u00adkasten zijn afgesloten.\n                                             Deze controle is extra belangrijk als de organisatie gebruikmaakt van een locatie\n                                             die toegankelijk is voor het publiek, zoals een gemeentehuis, of die gedeeld wordt\n                                             met andere organisaties.\n\nIn de evaluatie bepaalt de verantwoordelijke onder meer of de vastgestelde betrouwbaarheidseisen\n                                          nog steeds aansluiten bij de risico\u201ds die de verwerking en de aard van de te verwerken\n                                          gegevens met zich meebrengen en of door de getroffen maatregelen nog steeds aan de\n                                          betrouwbaarheidseisen wordt voldaan.\n\nDe verantwoordelijke stelt periodiek, of wanneer de omstandigheden daar aanleiding\n                                             toe geven, vast of de getroffen \u201ctechnische en organisatorische maatregelen\u201d nog steeds\n                                             een \u201cpassend beveiligingsniveau [garanderen]\u201d.91 (\u201cMet zich ontwikkelende techniek zal periodiek een nieuwe afweging moeten worden\n                                             gemaakt.\u201d)92 Waar nodig voert hij aanpassingen door.\n\nBij grote veranderingen in de organisatie of in de informatiesystemen stelt de verantwoordelijke\n                                          vast of het bestaande pakket aan beveiligingsmaatregelen nog steeds voldoet aan het\n                                          vereiste beveiligingsniveau. Voorbeelden van dergelijke veranderingen zijn:\n\n\u2022 \nNieuwe locatie\n\nDe organisatie verhuist van een eigen gebouw, dat met elektronische toegangspasjes\n                                                was beveiligd, naar werkplekken in een open kantoortuin die wordt gedeeld met medewerkers\n                                                van een andere organisatie.\n\n\u2022 \nNieuwe taken\n\nDe organisatie krijgt nieuwe taken, waardoor er per betrokkene veel meer persoonsgegevens\n                                                worden verwerkt.\n\n\u2022 \nNieuwe functionaliteit\n\nDe organisatie besluit om een internetportaal te cre\u00ebren waarmee betrokkenen inzage\n                                                kunnen krijgen in de persoonsgegevens die de organisatie van hen verwerkt.\n\n\u2022 \nNieuwe werkwijze en technologie\n\nDe organisatie introduceert \u2018het nieuwe werken\u2019, wat onder meer inhoudt dat medewerkers\n                                          hun eigen apparatuur aan kunnen sluiten op het interne netwerk van de organisatie.\n\nWaar nodig stelt de verantwoordelijke de betrouwbaarheidseisen bij op basis van de\n                                          nieuwe situatie en/of past hij het pakket beveiligingsmaatregelen aan.\n\nVerder kunnen de stand van de techniek en de kosten van de uitvoering van beveiligingsmaatregelen\n                                          in de loop van de tijd veranderen. Ook kan de aard van de verwerking of van de verwerkte\n                                          persoonsgegevens in de loop van de tijd leiden tot nieuwe of andere risico\u201ds voor\n                                          de betrokkenen, bijvoorbeeld als gevolg van maatschappelijke ontwikkelingen. Om te\n                                          kunnen blijven spreken van passende maatregelen, of van die maatregelen die in redelijkheid\n                                          mogen worden verwacht, is het dan ook noodzakelijk om periodiek te bepalen of de vastgestelde\n                                          betrouwbaarheidseisen nog steeds aansluiten bij de risico\u201ds die de verwerking en de\n                                          aard van de te beschermen gegevens met zich meebrengen en de beveiligingsmaatregelen\n                                          waar nodig bij te stellen. Bij dit laatste neemt de verantwoordelijke ook de getrokken\n                                          lessen uit de opgetreden beveiligingsincidenten mee.\n\nVeel verantwoordelijken (organisaties die persoonsgegevens verwerken) laten hun persoonsgegevens\n                                       verwerken door een zogeheten bewerker. Van verwerking door een bewerker is bijvoorbeeld\n                                       sprake bij gebruik van een extern callcenter voor klantcontacten, bij het verwerken\n                                       van persoonsgegevens in de cloud of bij externe hosting van een website waarbij persoonsgegevens\n                                       worden verwerkt.93,94,95 Dit hoofdstuk geeft weer hoe het CBP de beveiliging van persoonsgegevens beoordeelt\n                                       bij verwerking door een bewerker. Het hoofdstuk moet worden gelezen in samenhang met\n                                       hoofdstuk 3:\n\nhoofdstuk 3 geeft in het algemeen weer hoe het CBP de beveiliging van persoons\u00adgegevens beoordeelt\n                                       en hoofdstuk 4 bevat de specifieke uitgangspunten voor verwerking door een bewerker.\n\nDe verantwoordelijke voert een risicoanalyse uit betreffende de verwerking door een\n                                          bewerker.\n\nIn de risicoanalyse stelt de verantwoordelijke vast of en zo ja, onder welke voorwaarden,\n                                             de bewerker \u201cvoldoende waarborgen biedt ten aanzien van de technische en organisatorische\n                                             beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen\u201d en de verantwoordelijke\n                                             voldoende in staat is om \u201ctoe [te zien] op de naleving van die maatregelen.\u201d96 Verder stelt hij vast of en zo ja, onder welke voorwaarden, er voldoende waarborgen\n                                             zijn dat de bewerker \u201cde verplichtingen nakomt die op de verantwoordelijke rusten\n                                             ingevolge artikel 13.\u201d97\n\nIn de risicoanalyse betrekt de verantwoordelijke in ieder geval de gangbaarste dreigingen\n                                          en kwetsbaarheden die samenhangen met verwerking door een bewerker en de mogelijke\n                                          gevolgen voor de betrokkenen. Welke dreigingen en kwetsbaarheden in een specifieke\n                                          situatie daadwerkelijk aanwezig zijn, hangt onder meer af van de aard van de dienstverlening.\n                                          Het vervolg van deze paragraaf geeft de gangbaarste dreigingen en kwetsbaarheden weer\n                                          die samenhangen met de verwerking van persoonsgegevens door een bewerker.\n\nAls de bewerker onvoldoende beveiligingsmaatregelen treft, dan kan dat leiden tot\n                                          verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens. Onder meer\n                                          zijn hier de volgende kwetsbaarheden te onderkennen:\n\n\u2022 \nOnvoldoende beveiliging van de verwerkte persoonsgegevens\n\nVerwerking door een bewerker betekent dat de verantwoordelijke, behalve de bewerking\n                                                zelf, ook de beveiliging van de verwerkte persoonsgegevens uit handen geeft. Als de\n                                                verantwoordelijke bijvoorbeeld gebruikmaakt van de diensten van een hostingprovider,\n                                                dan zal deze ook een groot deel van de beveiliging van de betreffende website voor\n                                                zijn rekening nemen.98 Daarbij gaat het onder meer om maatregelen zoals logging en controle (het vastleggen\n                                                van belangrijke gebeurtenissen en het controleren op tekenen van onrechtmatige toegang\n                                                tot de verwerkte gegevens) en het up-to-date houden van de systeemprogrammatuur op\n                                                de webserver. Dit zijn beveiligingsmaatregelen die de verantwoordelijke niet zelf\n                                                kan treffen, omdat hij slechts in beperkte mate toegang heeft tot de webserver en\n                                                in veel gevallen ook de benodigde expertise mist. Als de bewerker hierin tekortschiet,\n                                                kan dat leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens.\n\n\u2022 \nOnvoldoende beveiliging van de dienstverlening door de bewerker\n\nDe bewerker biedt in veel gevallen faciliteiten waarmee de verantwoordelijke de persoonsgegevens\n                                                kan uploaden die door de bewerker moeten worden bewerkt of waarmee de verantwoordelijke\n                                                de verwerkte persoonsgegevens kan raadplegen of aanpassen. Onvoldoende beveiliging\n                                                van deze faciliteiten kan leiden tot verlies of onrechtmatige verwerking van de persoonsgegevens.\n\nOnderstaande voorbeelden illustreren de dreiging van onvoldoende beveiliging van de\n                                                verwerkte gegevens door de bewerker.\n\nDe onderstaande praktijkvoorbeelden kwamen in 2012 in het nieuws:\n\n\u2022 Door een beveiligingsfout in een website kan een hacker zich toegang verschaffen tot\n                                                   de server waarop de website zich bevindt. Op de server treft de hacker ruim 150 databases\n                                                   aan die toebehoren aan verschillende organisaties, waaronder een database met 12.000\n                                                   e-mailadressen die afkomstig zijn uit een marketingactie. De databases zijn allemaal\n                                                   volledig toegankelijk als gevolg van een menselijke fout van de ICT-dienstverlener\n                                                   die de server beheert.\n\n\u2022 Een hacker breekt in bij een online verkoper van theaterkaarten. Hij ontdekt op de\n                                                   server een database die zonder wachtwoord te benaderen is, met daarin ruim vierenhalfmiljoen\n                                                   databaseregels die onder meer (deels verouderde) creditcardgegevens bevatten. Hij\n                                                   constateert dat de database zonder wachtwoord toegankelijk is als gevolg van aanpassingen\n                                                   op de server die zijn uitgevoerd bij een eerdere hack. De ICT-dienstverlener die de\n                                                   server beheert, heeft de eerdere hack niet bemerkt.\n\nNaast onvoldoende beveiliging kan onvoldoende transparantie van de kant van de bewerker\n                                             ertoe leiden dat de verantwoordelijke niet voldoet aan zijn wettelijke verplichtingen.\n                                             Hierbij zijn onder meer de volgende situaties te onderkennen:\n\n\u2022 \nOnvoldoende transparantie over de beveiliging\n\nDe verantwoordelijke moet zorgen dat de bewerker voldoende technische en organisatorische\n                                                   beveiligingsmaatregelen treft en hij moet toezien op de naleving. Als de verantwoordelijke\n                                                   onvoldoende inzicht heeft in het geboden beveiligingsniveau of als hij niet vast kan\n                                                   stellen of de bewerker de overeengekomen beveiligingsmaatregelen daadwerkelijk heeft\n                                                   getroffen, dan kan hij niet aan deze wettelijke verplichting voldoen. Ook kan hij\n                                                   ten onrechte veronderstellen dat de bewerker bepaalde beveiligingsmaatregelen heeft\n                                                   getroffen, wat kan leiden tot verlies of onrechtmatige verwerking van de verwerkte\n                                                   persoonsgegevens.\n\n\u2022 \nOnvoldoende transparantie over opgetreden beveiligingsincidenten\n\nAls de bewerker de verantwoordelijke niet tijdig en adequaat informeert over opgetreden\n                                                   beveiligingsincidenten, dan kan dat tot gevolg hebben dat de betreffende persoonsgegevens\n                                                   onrechtmatig worden verwerkt. Als een hostingprovider de verantwoordelijke bijvoorbeeld\n                                                   niet informeert over een inbraak in diens online database met creditcardgegevens,\n                                                   dan kan de verantwoordelijke vervolgens de betrokkenen niet informeren en zullen de\n                                                   betrokkenen hun creditcard pas laten blokkeren wanneer ze constateren dat er ten onrechte\n                                                   bedragen van hun rekening worden afgeschreven. Dit stelt de dief onnodig lang in staat\n                                                   om te frauderen met de gestolen creditcardgegevens.\n\nNaast onvoldoende beveiliging en onvoldoende transparantie kan het aanpassen of staken\n                                             van de dienstverlening onder meer leiden tot verlies van de verwerkte persoonsgegevens:\n\n\u2022 \nOnvoldoende continu\u00efteit van de dienstverlening door de bewerker\n\nOvername of faillissement van de bewerker kunnen ertoe leiden dat de bewerker zijn\n                                                   dienst\u00adverlening aanpast of staakt. Het gevolg kan onder meer zijn dat de persoonsgegevens\n                                                   die de bewerker verwerkte tijdelijk of permanent niet meer toegankelijk zijn voor\n                                                   de verantwoordelijke.\n\n\u2022 \nOnvoldoende portabiliteit van de verwerkte persoonsgegevens\n\nBewerkers maken bij het verwerken van persoonsgegevens niet altijd gebruik van standaard\u00adtechnologie\u00ebn\n                                                   en -oplossingen. Door de bewerker verwerkte persoonsgegevens kunnen daardoor niet\n                                                   altijd zonder meer overgebracht worden naar een database van een andere bewerker of\n                                                   van de verantwoordelijke zelf. Als de bewerker zijn dienstverlening staakt, kan dit\n                                                   betekenen dat de verwerkte persoonsgegevens verloren gaan.\n\nOnderstaand praktijkvoorbeeld illustreert de dreiging van onvoldoende continu\u00efteit\n                                                van de dienstverlening door de bewerker.\n\nEen Nederlandse clouddienstverlener biedt een aantal huisartseninformatiesystemen\n                                             aan. Afnemers van de diensten kunnen deze informatiesystemen gebruiken om op de servers\n                                             van het bedrijf hun pati\u00ebntendossiers bij te houden. Honderden huisartsenpraktijken\n                                             en zorgcentra maken gebruik van deze diensten en in totaal beheert de dienstverlener\n                                             zo\u201dn anderhalf tot twee miljoen elektronische pati\u00ebntendossiers.\n\nAls de dienstverlener failliet dreigt te gaan, ontstaat er onder de afnemers van de\n                                             diensten grote onrust. Niet alleen zijn de klanten bang dat ze niet meer bij hun gegevens\n                                             kunnen, maar ook de communicatie met verzekeraars over registraties en declaraties\n                                             dreigt te stagneren als de huisartseninformatiesystemen niet meer beschikbaar zijn.\n                                             Een aantal klanten van de dienstverlener, tevens lid van gebruikersverenigingen van\n                                             de betreffende systemen, besluit in allerijl om de door de clouddienstverlener verwerkte\n                                             gegevens elders onder te brengen. Ook Kamerleden maken zich zorgen, onder meer over\n                                             wat er bij een eventuele overname met de pati\u00ebntgegevens gebeurt en wat dit betekent\n                                             voor de privacy van de betrokkenen.\n\nUiteindelijk wordt er een passende overnamepartij gevonden.\n\nBewerkers kunnen bij het uitvoeren van hun dienstverlening gebruikmaken van de diensten\n                                             van subbewerkers, die zelf ook weer bewerkers kunnen inschakelen. Bij bewerking door\n                                             subbewerkers zijn de bovengenoemde dreigingen en kwetsbaarheden in versterkte mate\n                                             aanwezig. Dit geldt in ieder geval voor:\n\n\u2022 \nOnvoldoende beveiliging door de subbewerker(s)\n\nOm voor de verwerking als geheel te kunnen spreken van een adequaat beveiligingsniveau,\n                                                   moeten de bewerker en de eventuele subbewerkers de juiste beveiligingsmaatregelen\n                                                   treffen en moeten de beveiligingsmaatregelen gezamenlijk de belangrijkste dreigingen\n                                                   afdekken. Naarmate het aantal subbewerkers toeneemt, wordt ook de kans groter op lacunes\n                                                   in de beveiliging.99\n\n\u2022 \nOnvoldoende transparantie over de verwerking en de beveiliging door de subbewerker(s)\n\nOm aan zijn wettelijke verplichtingen te kunnen voldoen moet de verantwoordelijke\n                                                   voldoende inzicht hebben in welke subbewerkers welke taken uitvoeren bij de verwerking\n                                                   en in het daarbij geboden beveiligingsniveau. Als hij hier niet voldoende inzicht\n                                                   in heeft of als hij niet vast kan stellen of alle subbewerkers de overeengekomen beveiligingsmaatregelen\n                                                   daadwerkelijk hebben getroffen, kan hij niet aan deze wettelijke verplichting voldoen.\n                                                   Ook kan hij dan ten onrechte veronderstellen dat een subbewerker bepaalde beveiligingsmaatregelen\n                                                   heeft getroffen, wat kan leiden tot verlies of onrechtmatige verwerking van de verwerkte\n                                                   persoonsgegevens.\n\nOnderstaand voorbeeld geeft weer hoe een bewerker afhankelijk kan zijn van een subbewerker.\n\nEen clouddienstverlener biedt kantoorautomatiseringsapplicaties aan. Afnemers van\n                                             de diensten kunnen met deze applicaties onder meer hun klantenbestand beheren. De\n                                             gegevens worden opgeslagen in databases van de dienstverlener. Voor de opslag van\n                                             de gegevens maakt de clouddienstverlener gebruik van de diensten van een subbewerker,\n                                             een grote aanbieder van gegevensopslag in de cloud.\n\nEen blikseminslag in een transformator in de buurt van een van de datacentra van de\n                                             subbewerker veroorzaakt een explosie waarna brand uitbreekt, met als gevolg dat de\n                                             subbewerker ook zijn noodgeneratoren niet op kan starten en de stroom volledig uitvalt.\n                                             Doordat de servers van de subbewerker niet beschikbaar zijn, kunnen ook de kantoorautomatiseringsapplicaties\n                                             van de clouddienstverlener een aantal uren niet worden gebruikt. Uiteindelijk blijkt\n                                             de schade bij de subbewerker zo groot te zijn dat deze er niet in slaagt om alle gegevens\n                                             terug te halen.\n\nNaast de verwerking door subbewerkers is een tweede aandachtspunt de verwerking van\n                                             persoonsgegevens buiten Nederland. Hiervan is sprake in de volgende situaties:\n\n\u2022 \nBewerker (deels) buiten Nederland\n\nDe verantwoordelijke stelt persoonsgegevens ter beschikking aan een bewerker die is\n                                                   gevestigd buiten Nederland of die een of meer vestigingen heeft buiten Nederland,\n                                                   om deze gegevens daar door de bewerker te laten verwerken.\n\n\u2022 \nSubbewerker (deels) buiten Nederland\n\nDe bewerker stelt persoonsgegevens ter beschikking aan een subbewerker die is gevestigd\n                                                   buiten Nederland of die een of meer vestigingen heeft buiten Nederland, om deze gegevens\n                                                   daar door de subbewerker te laten verwerken.\n\n\u2022 \nCloud computing met gegevensopslag buiten Nederland\n\nDe verantwoordelijke, de bewerker of een of meer subbewerkers maken gebruik van cloud\n                                                   com\u00adputing, waarbij persoonsgegevens worden opgeslagen buiten Nederland.\n\nBij verwerking van persoonsgegevens buiten Nederland moet in de risicoanalyse rekening\n                                             worden gehouden met het volgende:\n\n\u2022 \nNiet-naleving van de Wbp\n\nDe Wbp bevat regels voor doorgifte van persoonsgegevens aan landen buiten de Europese Unie.\n                                                   Het is aan de verantwoordelijke om te zorgen dat deze worden nageleefd.100 De regels voor doorgifte van persoonsgegevens vallen buiten het bestek van deze richtsnoeren.101\n\n\u2022 \nOnvoldoende beveiliging, transparantie, continu\u00efteit en/of portabiliteit\n\nBij verwerking van persoonsgegevens buiten Nederland kunnen alle eerder in deze paragraaf\n                                                   genoemde dreigingen en kwetsbaarheden in versterkte mate aanwezig zijn. Dit geldt\n                                                   met name voor de mate waarin de verantwoordelijke vast kan stellen of afgesproken\n                                                   beveiligingsmaatregelen daadwerkelijk zijn getroffen. De geografische afstand kan\n                                                   dusdanig zijn dat de verantwoordelijke dit niet zelf kan onderzoeken, waardoor hij\n                                                   afhankelijk wordt van voldoende gekwalificeerde, lokale partijen die dit namens hem\n                                                   vast kunnen stellen.\n\nDe verantwoordelijke stelt vast welke beveiligingsmaatregelen de bewerker moet treffen\n                                          om aan de betrouwbaarheidseisen te voldoen en op welke wijze de verantwoordelijke\n                                          toeziet op naleving.\n\nDe afspraken hierover legt hij vast in de overeenkomst met de bewerker.\n\n\u201c[De verantwoordelijke] draagt zorg dat [de bewerker] voldoende waarborgen biedt ten\n                                             aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking\n                                             tot de te verrichten verwerkingen.\u201d102\n\n\u201cDe verantwoordelijke draagt zorg dat de bewerker de persoonsgegevens verwerkt in\n                                             overeenstemming met artikel 12, eerste lid en de verplichtingen nakomt die op de verantwoordelijke\n                                             rusten ingevolge artikel 13.\u201d 103\n\n\u201cDe uitvoering van verwerkingen door een bewerker wordt geregeld in een overeenkomst\n                                             of krachtens een andere rechtshandeling waardoor een verbintenis ontstaat tussen de\n                                             bewerker en de verantwoordelijke.\u201d104\n\n\u201cMet het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst\n                                             of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens,\n                                             alsmede de beveiligingsmaatregelen als bedoeld in artikel 13 schriftelijk of in een\n                                             andere, gelijkwaardige vorm vastgelegd.\u201d105\n\nBij de beoordeling hanteert het CBP de volgende uitgangspunten:\n\n\u2022 \nBeveiligingseisen in de bewerkersovereenkomst\n106\n\nEr is een bewerkersovereenkomst waarin alle relevante afspraken zijn vastgelegd over\n                                                de beveiligingsmaatregelen die de bewerker moet treffen en over de wijze waarop de\n                                                verantwoordelijke toeziet op naleving.\n\n\u2022 \nDifferentiatie van de verwerkte persoonsgegevens\n107\n\nHet kan voorkomen dat niet alle persoonsgegevens die de bewerker verwerkt even gevoelig\n                                                zijn en dat niet voor alle verwerkte persoonsgegevens dezelfde afspraken van toepassing\n                                                zijn. In de bewerkersovereenkomst is in dergelijke gevallen vastgelegd welke afspraken\n                                                van toepassing zijn op welke persoonsgegevens.\n\nOnderstaand voorbeeld illustreert hoe specifieke afspraken in de bewerkersovereenkomst\n                                                de dienst\u00adverlening door de bewerker kunnen be\u00efnvloeden.\n\nEen datacentrum wordt getroffen door een stroomstoring, die iets minder dan drie kwartier\n                                             duurt. Het datacentrum beschikt over verschillende noodstroomvoorzieningen in de vorm\n                                             van een uninterruptible power supply (UPS) en dieselaggregaten. In een van de datahallen verloopt de overgang op noodstroom\n                                             niet helemaal soepel: de batterijen van de noodstroomvoorziening houden er na zes\n                                             seconden mee op en het duurt twintig seconden voordat het dieselaggregaat is aangeslagen.\n\nEen aantal websites dat gebruikmaakt van servers in de getroffen datahal is na veertien\n                                             seconden weer online. Bij andere klanten, waaronder een groot sociaal netwerk, duurt\n                                             dit aanzienlijk langer. Het verschil wordt bepaald door de afspraken die de klanten\n                                             in het bewerkerscontract hebben gemaakt over de noodstroomvoorziening. Websites van\n                                             klanten die hebben gekozen voor een zogenoemde dubbele voeding komen weer online op\n                                             het moment dat het dieselaggregaat aanslaat; de overige klanten moeten handmatig worden\n                                             overgezet op noodstroom en voor hen duurt de storing ruim een uur.\n\nBij de beoordeling van de afspraken in de bewerkersovereenkomst betrekt het CBP in\n                                             ieder geval de volgende onderwerpen:\n\n\u2022 \nDe dienstverlening door de bewerker\n\nOmschrijving van de dienst(en) die de bewerker verleent en de persoonsgegevens die\n                                                   de bewerker daarbij verwerkt (eventueel gedifferentieerd op basis van gevoeligheid).\n                                                   Verder wordt omschreven welke (groepen) medewerkers van de bewerker toegang hebben\n                                                   tot welke persoonsgegevens en welke handelingen deze medewerkers uit mogen voeren\n                                                   met de persoonsgegevens. Er is een expliciet verbod opgenomen om andere handelingen\n                                                   met de persoonsgegevens uit te voeren dan wat hier is omschreven.\n\n\u2022 \nDe betrouwbaarheidseisen die op de verwerking van toepassing zijn\n\nWeergave van de betrouwbaarheidseisen die op de verwerking van toepassing zijn, waar\n                                                   van toepassing gedifferentieerd op basis van de gevoeligheid van de verwerkte persoonsgegevens.\n\n\u2022 \nDe beveiliging door de bewerker\n\nAfspraken over de technische en organisatorische beveiligingsmaatregelen waarmee de\n                                                   bewerker invulling geeft aan de betrouwbaarheidseisen. Deze maatregelen liggen in\n                                                   het verlengde van de beveiligingsmaatregelen die de verantwoordelijke moet treffen.\n                                                   Deze worden nader toegelicht in paragraaf 3.2 van deze richtsnoeren.108\n\n\u2022 \nTransparantie over de beveiliging\n\nAfspraken over de inhoud en de frequentie van de rapportages die de bewerker aan de\n                                                   verantwoordelijke oplevert over de beveiliging; omschrijving van het recht van de\n                                                   verantwoordelijke om de naleving van de beveiligingsmaatregelen door onafhankelijke\n                                                   deskundigen vast te laten stellen. Onafhankelijke deskundigen kunnen bijvoorbeeld\n                                                   it-auditors of penetratietesters zijn.\n\n\u2022 \nTransparantie over opgetreden beveiligingsincidenten\n\nAfspraken over de inhoud van rapportages over beveiligingsincidenten en datalekken,\n                                                   de criteria voor rapportage van incidenten en de snelheid waarmee wordt gerapporteerd.\n                                                   In de afspraken is opgenomen dat de bewerker beveiligingsincidenten en datalekken\n                                                   die (mogelijk) gevolgen hebben voor betrokkenen meteen rapporteert en dat de bewerker\n                                                   waar nodig ook meewerkt aan het adequaat informeren van de betrokkenen.\n\n\u2022 \nVerwerking door subbewerkers\n\nAfspraken over het al dan niet toestaan van verwerking door subbewerkers, met daarbij\n                                                   de eventuele beperkingen. Beperkingen zijn bijvoorbeeld dat de bewerker subbewerkers\n                                                   mag inschakelen maar dat de subbewerkers geen subsubbewerkers in mogen schakelen of\n                                                   dat bij de verwerking van specifieke klassen van persoonsgegevens geen subbewerkers\n                                                   mogen worden ingeschakeld.\n\nAls bewerking door subbewerkers is toegestaan, dan is in de bewerkersovereenkomst\n                                                   opgenomen dat met de subbewerkers overeenkomsten moeten worden afgesloten en dat alle\n                                                   verplichtingen uit het bewerkerscontract die relevant zijn voor de beveiliging van\n                                                   de verwerkte persoonsgegevens daarin moeten worden overgenomen.\n\n\u2022 \nVerwerking van de persoonsgegevens buiten Nederland\n\nAfspraken over welke persoonsgegevens in welke landen worden verwerkt.\n\n\u2022 \nVoorwaarden voor heronderhandeling of be\u00ebindiging van de overeenkomst\n\nAfspraken over heronderhandeling van de bewerkersovereenkomst als een wijziging in\n                                             de verwerkte persoonsgegevens of in de betrouwbaarheidseisen daar aanleiding toe geeft.\n                                             Bij de afspraken is ook een noodplan opgenomen voor het geval een van de partijen\n                                             de relatie wil be\u00ebindigen voor het einde van de looptijd van de overeenkomst. Verder\n                                             is vastgelegd hoe en in welke vorm de verantwoordelijke de verwerkte persoonsgegevens\n                                             weer ter beschikking krijgt en hoe wordt geborgd dat de bewerker na het be\u00ebindigen\n                                             van de relatie niet meer over de persoons\u00adgegevens kan beschikken.\n\nZoals aangegeven moet de bewerker als hij gebruikmaakt van subbewerkers, met deze\n                                             subbewerkers overeenkomsten afsluiten. In deze overeenkomsten moeten bovengenoemde\n                                             onderwerpen worden afgedekt en moeten alle bepalingen uit het bewerkerscontract worden\n                                             overgenomen die relevant zijn voor de beveiliging van de verwerkte persoonsgegevens.\n\nBewerkers die gevestigd zijn buiten de eu of die persoonsgegevens verwerken buiten\n                                             de eu, hebben in veel gevallen maatregelen getroffen om de doorvoer van persoonsgegevens\n                                             vanuit de eu mogelijk te maken. Een voorbeeld van een dergelijke maatregel, die door\n                                             Amerikaanse bedrijven wordt gebruikt, is certificering van de bewerker op basis van\n                                             het Safe Harbor-raamwerk.109 Deze maatregelen worden getroffen in aanvulling op bovenstaande beveiligingsmaatregelen\n                                             en vormen op zichzelf geen waarborg voor de adequate beveiliging van de verwerkte\n                                             persoonsgegevens. Evenmin biedt de Safe Harbor-certificering zekerheid over de waarborgen\n                                             bij de eventuele subbewerkers.\n\nDe verantwoordelijke stelt vast dat de afspraken in de bewerkersovereenkomst daadwerkelijk\n                                          worden nageleefd.\n\n\u201cDe verantwoordelijke ziet toe op de naleving van [de technische en organisatorische\n                                             beveiligingsmaatregelen door de bewerker].\u201d110\n\nBij de beoordeling van het toezicht op naleving van de gemaakte afspraken onderkent\n                                          het CBP in ieder geval de volgende kernpunten:\n\n\u2022 \nControle en beoordeling van de dienstverlening door de bewerker\n111\n\nDe verantwoordelijke stelt vast dat de afspraken uit de bewerkersovereenkomst daadwerkelijk\n                                                worden nageleefd. Hij stelt in ieder geval vast dat de bewerker overeengekomen rapportages\n                                                daadwerkelijk levert en beoordeelt deze ook inhoudelijk. Verder maakt hij om voldoende\n                                                zekerheid te krijgen over de naleving gebruik van bijvoorbeeld audits of andere onderzoeken\n                                                door onafhankelijke partijen.\n\n\u2022 \nBeoordeling en afhandeling van beveiligingsincidenten en datalekken\n112\n\nDe verantwoordelijke beoordeelt de beveiligingsincidenten en datalekken die worden\n                                                gerapporteerd door de bewerker of door eventuele subbewerkers. Datalekken die onder\n                                                een wettelijke meldplicht vallen, meldt hij bij de betreffende toezichthouder. Als\n                                                hij daartoe wettelijk verplicht is of als er anderszins aanleiding voor is, informeert\n                                                hij ook de betrokkenen over het beveiligingsincident of het datalek.\n\n\u2022 \nBeheer van wijzigingen in de dienstverlening door de bewerker\n113\n\nDe verantwoordelijke stelt periodiek vast dat de beveiligingsmaatregelen die met de\n                                                bewerker zijn overeengekomen nog steeds aantoonbaar overeenstemmen met de betrouwbaarheidseisen\n                                                en neemt het initiatief tot aanpassing als dat niet meer het geval is. Van wijzigingen\n                                                die de bewerker initieert stelt de verantwoordelijke vast dat na implementatie nog\n                                                steeds aan de betrouwbaarheidseisen wordt voldaan.\n\nEffectieve controle en beoordeling van de dienstverlening vereisen een samenspel tussen\n                                                twee partijen: de verantwoordelijke, die daadwerkelijk moet controleren en beoordelen,\n                                                en de bewerker, die de verantwoordelijke daartoe de mogelijkheid moet bieden. Naast\n                                                rapportages door de bewerker en onderzoek door een onafhankelijke derde in opdracht\n                                                van de verantwoordelijke, staat beide partijen daarbij nog een aantal andere instrumenten\n                                                ter beschikking. Deze instrumenten worden onderstaand toegelicht.\n\nHet eerste instrument is de Third Party Mededeling (TPM). Een TPM is een verklaring\n                                             van een onafhankelijke externe deskundige, waarin deze een oordeel geeft over de maatregelen\n                                             die een bewerker heeft getroffen. De TPM wordt opgesteld in opdracht van de bewerker\n                                             en wordt verstrekt aan de verantwoordelijken die gebruikmaken van de diensten van\n                                             de bewerker. Het doel van het verstrekken van een TPM is om de verantwoordelijken\n                                             inzicht te bieden in de getroffen maatregelen, zonder dat iedere verantwoordelijke\n                                             daar zelf onderzoek naar hoeft te (laten) doen. Afspraken over te verstrekken TPM\u201ds\n                                             worden vastgelegd in het bewerkerscontract.\n\nHet tweede instrument is certificering. Certificering houdt in dat de maatregelen\n                                             van de bewerker door een geaccrediteerde onafhankelijke externe deskundige worden\n                                             getoetst aan een norm. Relevante normen in dit verband zijn NEN-ISO/IEC 27001:2005\n                                             nl, die betrekking heeft op de wijze waarop de bewerker de informatiebeveiliging stuurt\n                                             en beheerst, en NEN-ISO-IEC 20000-1:2011 en, die betrekking heeft op de sturing en\n                                             beheer\u00adsing van de dienstverlening door de bewerker. Certificering vindt plaats op\n                                             initiatief van de bewerker. Als de verantwoordelijke dit instrument in wil zetten,\n                                             kiest hij voor een bewerker die tegen de relevante norm(en) is gecertificeerd.\n\nHet is aan de verantwoordelijke om voor zijn specifieke situatie vast te stellen hoe\n                                             veel zekerheid hij aan het gebruik van deze instrumenten kan ontlenen en of hij met\n                                             alle middelen die hij tot zijn beschikking heeft in staat is om te voldoen aan zijn\n                                             wettelijke verplichting om toezicht te houden op de naleving van de technische en\n                                             organisatorische beveiligingsmaatregelen door de bewerker.\n\nDe verantwoordelijke voert periodiek een evaluatie uit van de bewerking door een bewerker\n                                          en past deze bewerking waar nodig aan. Als zich tussentijds grote veranderingen voordoen,\n                                          beoordeelt hij deze en voert hij de eventueel noodzakelijke aanpassingen door.\n\nDe verantwoordelijke stelt periodiek, of wanneer de omstandigheden daar aanleiding\n                                             toe geven, vast of er nog steeds sprake is van \u201cvoldoende waarborgen [...] ten aanzien\n                                             van de technische en organisatorische beveiligingsmaatregelen\u201d114 en of de bewerker nog steeds \u201cde verplichtingen nakomt die op de verantwoordelijke\n                                             rusten ingevolge artikel 13.\u201d115 Waar nodig voert hij aanpassingen door.\n\nBij grote veranderingen in de dienstverlening door de bewerker en eventuele subbewerkers\n                                          stelt de verantwoordelijke vast of de gemaakte afspraken nog steeds toereikend zijn.\n                                          Van dergelijke veranderingen is bijvoorbeeld sprake als de bewerker wordt overgenomen\n                                          of een ingrijpende aanpassing doorvoert in zijn algemene voorwaarden. Ook grote veranderingen\n                                          bij de verantwoordelijke zelf kunnen hier aanleiding toe geven, bijvoorbeeld als in\n                                          de nieuwe situatie de persoonsgegevens die de bewerker verwerkt veel gevoeliger zijn\n                                          dan voorheen het geval was.\n\nHet aanbod aan dienstverlening kan in de loop van de tijd veranderen en ook kunnen\n                                          de ervaringen die de verantwoordelijke met de bewerker heeft opgedaan aanleiding zijn\n                                          om voor een andere bewerker of een andere vorm van dienstverlening te kiezen. Verder\n                                          kan de aard van de verwerking of van de verwerkte persoonsgegevens in de loop van\n                                          de tijd leiden tot nieuwe of andere risico\u201ds voor de betrokkenen, bijvoorbeeld als\n                                          gevolg van maatschappelijke ontwikkelingen. De verantwoordelijke voert daarom een\n                                          periodieke evaluatie uit en kiest op basis daarvan zo nodig voor een andere bewerker,\n                                          een andere vorm van dienstverlening of voor aanscherping van de afspraken in het bewerkerscontract.\n                                          Bij dit laatste neemt de verantwoordelijke ook de getrokken lessen uit de opgetreden\n                                          beveiligings\u00adincidenten mee.\n\nVerantwoordelijken die in strijd handelen met het bepaalde in de Wbp kunnen op verschillende manieren in rechte worden aangesproken, zowel civiel-, bestuurs-\n                                       als strafrechtelijk. Betrokkenen hebben een aantal mogelijkheden om zelf hun recht\n                                       te halen, zowel op grond van de Wbp als op grond van het algemene bestuursrecht en\n                                       het civiele recht. Daarnaast heeft het CBP als toezichthouder een aantal bestuursrechtelijke\n                                       mogelijkheden om te handhaven op het bepaalde in de Wbp.\n\nWaar van toepassing kunnen betrokkenen zelf een belangrijke bijdrage leveren aan de\n                                          beveiliging van hun persoonsgegevens, bijvoorbeeld door te kiezen voor sterke (moeilijk\n                                          te raden) wachtwoorden en door gebruikte apparatuur voldoende te beveiligen. Betrokkenen\n                                          die menen dat hun persoons\u00adgegevens onvoldoende worden beveiligd, kunnen actie ondernemen\n                                          door hun vraag of klacht voor te leggen aan de verantwoordelijke. Verder kunnen zij\n                                          gebruikmaken van het recht op inzage, correctie, verwijdering en verzet.116 Het recht op inzage en correctie kan betrokkenen helpen bij het achterhalen en laten\n                                          corrigeren van fouten of onvolledigheden in hun persoonsgegevens. Het recht op verwijdering\n                                          en verzet geeft betrokkenen onder bepaalde voorwaarden de mogelijkheid om zich te\n                                          onttrekken aan verwerkingen die voor hen risicovol zijn. Het CBP heeft op www.mijnprivacy.nl\n                                          concrete hulp\u00admiddelen voor betrokkenen gepubliceerd, waaronder voorbeeldbrieven aan\n                                          verantwoordelijken.\n\nAls een verantwoordelijke zich niet houdt aan het bepaalde in de Wbp, kan een betrokkene ook zelf de rechter vragen om een verbod op te leggen op het\n                                          verder verwerken van bepaalde persoonsgegevens117 of om hem/haar een schadevergoeding toe te kennen.118\n\nDe Wbp biedt betrokkenen daarnaast in een aantal specifieke gevallen (onder meer bij weigering\n                                          van inzage in persoonsgegevens en bij weigering van een verzoek tot verbetering, aanvulling\n                                          of verwijdering van gegevens) de mogelijkheid een verzoekschrift in te dienen bij\n                                          de rechtbank, mits de verantwoordelijke een bedrijf of een burger is.\n\nAls de verantwoordelijke een bestuursorgaan is, zijn de bezwaar- en beroepsregels\n                                          uit de Algemene wet bestuursrecht (Awb) van toepassing.\n\nHet CBP heeft de wettelijke taak om toe te zien op de naleving van de Wbp.119 Daartoe beschikt het CBP over een aantal middelen.\n\nDe signalen die het CBP ontvangt via de signaalfunctie op www.mijnprivacy.nl, het\n                                          telefonisch spreekuur en per post geven een beeld van de naleving van de wettelijke\n                                          regels die zien op de bescherming van persoonsgegevens en kunnen voor het CBP aanleiding\n                                          zijn om een onderzoek in te stellen.\n\nHet CBP kan op grond van een klacht van een belanghebbende of op eigen initiatief\n                                          een onderzoek instellen naar de naleving van de Wbp.120 Daarbij kan het CBP zijn toezichthoudende bevoegdheden inzetten,121 waarbij een verantwoordelijke verplicht is alle gevraagde medewerking te verlenen.\n\nHet CBP kan inlichtingen vorderen, inzage vorderen in zakelijke gegevens, zaken en\n                                          middelen onderzoeken (waaronder computerapparatuur) en ruimtes betreden, waaronder\n                                          woningen.122 Het aantal aangedragen zaken en de complexiteit daarvan neemt echter voortdurend\n                                          toe, terwijl de middelen die het CBP ter beschikking staan begrensd zijn. Het CBP\n                                          kan derhalve niet alle zaken die worden aangebracht in behandeling nemen en moet keuzes\n                                          maken. Het CBP geeft prioriteit aan zaken waarbij het een vermoeden heeft van ernstige,\n                                          structurele overtredingen die veel mensen treffen en waarbij het CBP door de inzet\n                                          van handhavingsinstrumenten effectief verschil kan maken.123\n\nIndien de Wbp niet wordt nageleefd, kan het CBP bestuursdwang toepassen. Onder een last onder bestuursdwang\n                                          wordt verstaan het met feitelijk handelen optreden door een bestuursorgaan tegen een\n                                          illegale situatie, doorgaans op kosten van de overtreder. Ook kan het CBP een last\n                                          onder dwangsom opleggen. Een last onder dwangsom kan bijvoorbeeld inhouden dat een\n                                          verantwoordelijke bepaalde beveiligingsmaatregelen moet treffen binnen een vastgestelde\n                                          termijn op straffe van een dwangsom van een bepaald bedrag per dag. Als de verantwoordelijke\n                                          niet voldoet aan de last, kan het te betalen geldbedrag fors oplopen, tot een vooraf\n                                          vastgesteld maximumbedrag.\n\nHet CBP werkt bij onderzoeken naar overtredingen van de Wbp met een internationaal karakter samen met collega-toezichthouders binnen en buiten\n                                          de eu.\n\nDeze bijlage bevat de volledige tekst van artikel 12, 13 en 14 Wbp.\n\n1 Een ieder die handelt onder het gezag van de verantwoordelijke of van de bewerker,\n                                          alsmede de bewerker zelf, voor zover deze toegang hebben tot persoonsgegevens, verwerkt\n                                          deze slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke\n                                          verplichtingen.\n\n2 De personen, bedoeld in het eerste lid, voor wie niet reeds uit hoofde van ambt, beroep\n                                          of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot geheimhouding\n                                          van de persoonsgegevens waarvan zij kennis nemen, behoudens voor zover enig wettelijk\n                                          voorschrift hen tot mede\u00addeling verplicht of uit hun taak de noodzaak tot mededeling\n                                          voortvloeit. Artikel 272, tweede lid, van het Wetboek van Strafrecht is niet van toepassing.\n\nDe verantwoordelijke legt passende technische en organisatorische maatregelen ten\n                                    uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige\n                                    verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek\n                                    en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de\n                                    risico\u201ds die de verwerking en de aard van te beschermen gegevens met zich meebrengen.\n                                    De maatregelen zijn er mede op gericht onnodige ver\u00adzameling en verdere verwerking\n                                    van persoonsgegevens te voorkomen.\n\n1 Indien de verantwoordelijke persoonsgegevens te zijnen behoeve laat verwerken door\n                                          een bewerker, draagt hij zorg dat deze voldoende waarborgen biedt ten aanzien van\n                                          de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te\n                                          verrichten verwerkingen. De verantwoordelijke ziet toe op de naleving van die maatregelen.\n\n2 De uitvoering van verwerkingen door een bewerker wordt geregeld in een overeenkomst\n                                          of krachtens een andere rechtshandeling waardoor een verbintenis ontstaat tussen de\n                                          bewerker en de verantwoordelijke.\n\n3 De verantwoordelijke draagt zorg dat de bewerker\n\na de persoonsgegevens verwerkt in overeenstemming met artikel 12, eerste lid en\n\nb de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.\n\n4 Is de bewerker gevestigd in een ander land van de Europese Unie, dan draagt de verantwoordelijke\n                                          zorg dat de bewerker het recht van dat andere land nakomt, in afwijking van het derde\n                                          lid, onder b.\n\n5 Met het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst\n                                          of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens,\n                                          alsmede de beveiligingsmaatregelen als bedoeld in artikel 13 schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.\n\nHet College bescherming persoonsgegevens houdt onder de Wet bescherming persoonsgegevens toezicht op de naleving van wetten die het gebruik van persoonsgegevens regelen.\n                                 Onduidelijkheid over wet- en regelgeving kan ten koste gaan van de bescherming van\n                                 de gegevens van burgers. Daarom geeft het College in zijn Richtsnoeren ten behoeve\n                                 van toepassing in de praktijk nadere invulling aan de geldende wettelijke normen.\n\nRechterlijke uitspraken kunnen naast wetswijzigingen, technische ontwikkelingen en\n                                 praktijkervaringen aanleiding geven tot aanvulling of herziening van deze richtsnoeren.\n                                 Deze richtsnoeren treden in werking met ingang van 1 maart 2013, zijnde de datum van\n                                 publicatie in de Staatscourant."}