COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Datum laatst gewijzigd: wo 16 sep 2015

PIA-Kort - Onderdeel 2: Vragenlijst
Stap 2 (van 3). Vul onderstaande vragenlijst in
en beargumenteer helder je keuzes. Bepaal
indien nodig (in overleg met een
informatiebeveiligingsdeskundige) gepaste
maatregelen om de risico's te mitigeren.

Code

Nr

Gp Vraag

Voorbeeld / specificatie van vraag

Ja/ Nee

-

1

1 Groep 1: Het Traject

1.4

6

1 Is het doel van de verwerking van persoonsgegevens
binnen het traject voldoende SMART omschreven?

SMART staat voor:
- Specifiek; de doelstelling moet eenduidig zijn.
- Meetbaar; onder welke (meetbare /observeerbare)
voorwaarden of vorm is het doel bereikt.
- Acceptabel; of deze acceptabel genoeg is voor de doelgroep
en/of het management; is er iemand verantwoordelijk voor het
realiseren van het doel?
- Realistisch; of de doelstelling haalbaar is.
- Tijdgebonden; wanneer (in de tijd) het doel bereikt moet zijn.

JA

1.5.e

11

1 Is er sprake van:
Een nieuwe verwerking van persoonsgegevens?

Het gebruik van gegevens voor andere bedrijfsprocessen dan
waarvoor ze zijn verzameld, of bredere verspreiding van de
gegevens binnen of buiten de organisatie

NEE

1.5.f

12

1 Is er sprake van:
Het verzamelen van meer of andere
persoonsgegevens dan voorheen of van een nieuwe
manier van verzamelen?

Voorbeeld: gegevensverrijking door enquêtes en
klantonderzoek of benadering van klanten/burgers op basis van
beschikbare gegevens voor nieuwe producten of diensten

JA

1.5.g

13

1 Is er sprake van:
Gebruik van al verzamelde gegevens voor een nieuw
doel of een nieuwe manier van gebruiken?

Voorbeeld: het samenvoegen van interne databases om
klantprofielen op te stellen

NEE

-

19

2 Groep 2: De Gegevens

2.1

20

2 Zijn alle gegevens nodig om het doel te bereiken
(worden er zo min mogelijk gegevens verzameld)?

Houd bij de beantwoording rekening met:
1. Is per data-element vastgesteld wat de toegevoegde waarde
is en waarom dit noodzakelijk is?
2. Kan volstaan worden met het gebruik van alleen ja/nee in
plaats van het volledige gegeven?
3. Kan volstaan worden met het verschil tussen twee waarden in
plaats van beide waarden afzonderlijk?
4. Kan gebruikgemaakt worden van andere wiskundige
methodieken (Voorbeeld: voor het bepalen van afwijkingen)?

JA

2.2

21

2 Kan het doel met geanonimiseerde of pseudoanonieme gegevens worden bereikt terwijl daar op dit
moment geen gebruik van wordt gemaakt?

Door gegevens pseudoanoniem te maken, worden de direct
identificerende gegevens van de betrokkene op een eenduidige
wijze vervangen, waardoor in de toekomst bepaalde partijen nog
steeds gegevens kunnen toevoegen, maar de uniek
identificerende gegevens niet meer teruggehaald kunnen
worden. Door anonimiseren worden alle direct uniek
identificerende gegevens verwijderd

NEE

- 30

3 Groep 3: De Betrokken partijen

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-1-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

Code
3.2

Nr
32

3.2.2

34

- 36

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Voorbeeld / specificatie van vraag
Ja/ Nee
Gp Vraag
3 Zijn er (na afronding van het traject) bij het verzamelen Houd bij beantwoording rekening met:
NEE
en verder verwerken van de gegevens meerdere
1. Voor en door wie het traject wordt uitgevoerd.
externe partijen betrokken?
2. Welke partijen gebruikmaken van de gegevens.
3. Of andere partijen worden ingeschakeld voor het bereiken
van het doel (wordt de verwerking van gegevens geoutsourced).
4. Of de gegevens worden verkocht.
5. Welke personen buiten de organisatie toegang hebben tot de
gegevens.

3 Is de verstrekking van de gegevens aan derde partijen Houd bij beantwoording rekening met:
in lijn met het doel waarvoor de gegevens
1. Wat het doel is/zijn voor het gebruik van de gegevens.
oorspronkelijk zijn verzameld?
2. Welke gegevens aan wie worden verstrekt voor welk doel.
3. Of de verstrekking aan andere partijen een wettelijke
verplichting is.
4. Of de gegevens verkocht worden aan andere partijen.
5. Of andere partijen ingeschakeld worden voor het bereiken
van het doel (outsourcing).
6. Hoe vaak (frequentie) worden de gegevens aan andere
partijen verstrekt (eenmalig, periodieke update, continue).
7. Op welke wijze gegevens worden verstrekt aan andere
partijen.
8. Of wordt vastgelegd aan welke partijen gegevens worden
verstrekt.
9. Of de andere partij soortgelijke gegevens ontvangt op basis
waarvan te herleiden valt op wie de gegevens betrekking
hebben (indien deze geanonimiseerd of gepseudonimiseerd
zijn).

JA

4 Groep 4: Verzamelen van gegevens

4.3

39

4 Verzamelt u de gegevens op basis van een van de
wettelijke grondslagen?

De Wbp kent een beperkt aantal grondslagen op basis waarvan
gegevens mogen worden verwerkt:
1. U vraagt toestemming.
2. De gegevens zijn noodzakelijk voor de uitvoering van een
overeenkomst waarbij de betrokkene een partij is.
3. De gegevens zijn nodig voor het volgen van een wettelijke
verplichting.
4. De betrokkene heeft er een vitaal belang bij dat u de
gegevens verzamelt.
5. De gegevens zijn nodig voor de goede vervulling van een
publiekrechtelijke taak.
6. U hebt een gerechtvaardigd belang bij de verwerking.

JA

4.4

43

4 Informeert u de betrokkene dat de gegevens worden
verzameld?

Houd bij de beantwoording rekening met:
1. Waar de gegevens vandaan komen (van de betrokkene, een
interne afdeling, een andere partij, uit eigen waarneming, et
cetera).
2. Op welke wijze de gegevens worden verzameld.
3. De mogelijkheid dat de betrokkene redelijkerwijs op de
hoogte kan zijn van de verwerking van de gegevens.
4. De mate waarin de betrokkene wordt geïnformeerd.
5. De gebruikte technologie.
6. Wat het doel is/ doelen zijn voor het gebruik.
7. Of de gegevens of uitkomsten van gegevensbewerking intern
binnen het bedrijf verspreid worden.
8. Op welke wijze (mondeling, schriftelijk, automatisch,
elektronisch, waarneming, papier) worden de gegevens aan
andere partijen verstrekt.
9. Hoe lang de gegevens worden bewaard.

JA

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-2-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Code
4.4.1

Nr
44

Gp Vraag
4 Bij Nee op vraag 43:
Kunnen de betrokkenen op de hoogte zijn van het
verzamelen van de gegevens?

4.4.2

45

4 Bij Ja op vraag 43:
Laat u de betrokkene weten waarom de gegevens
worden verzameld (wat u er mee gaat doen)?

NEE

4.4.3

46

4 Bij Ja op vraag 43:
Laat u de betrokkene weten aan wie de gegevens
worden verstrekt (daar waar dit geen wettelijke
verplichting is)?

JA

- 48

Voorbeeld / specificatie van vraag

Ja/ Nee
JA

5 Groep 5: Gebruik van gegevens

5.1

49

5 Is het gebruik van de gegevens verenigbaar (in lijn)
met het doel van het verzamelen?

5.4

53

5.4.1

54

5 Worden op basis van de gegevens beslissingen
genomen over de betrokkenen?
5 Bij "Ja" op vraag 53: leveren de gegevens een juist,
volledig, en actueel beeld op van de betrokkene?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Houd bij beantwoording rekening met:
1. Wat het verzameldoel is.
2. Waarvoor de gegevens worden gebruikt.
3. Welke gegevens worden verzameld.
4. Of deze gegevens bijzondere gegevens betreffen.
5. Waar gegevens vandaan komen, van de betrokkene, een
interne afdeling, een andere partij, uit eigen waarneming, et
cetera.
6. Hoe vaak (frequentie) de gegevens worden verzameld
(eenmalig, regelmatig of voortdurend).
7. Op welke wijze (mondeling, schriftelijk, automatisch,
elektronisch, waarneming, papier) de gegevens worden
verzameld en verspreid.
8. Welke afdelingen/personen en andere partijen toegang
hebben tot de gegevens.

JA

NEE
Houd bij beantwoording rekening met:
1. Wat het doel is van het verzamelen van de gegevens.
2. Welke gegevens (data-elementen) er worden verzameld.
3. Of gegevens worden gecontroleerd (frequentie en aspecten).
4. Of de gegevens kunnen worden gecorrigeerd.
5. Hoe vaak de gegevens worden geüpdatetet.
6. Hoe de gegevens worden gecheckt op betrouwbaarheid
(actualiteit, volledigheid, juistheid) en op relevantie voor het
doel.
7. Wat de gevolgen (kunnen) zijn van het gebruiken van onjuiste
gegevens.
8. Of de gegevens gebruikt worden om profielen op te stellen.
9. Of de profielen op individueel niveau worden opgeslagen.
10. Welke profielen worden gebruikt.

-3-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

Code
5.7.1

Nr
58

- 68
7.1

69

PIA-workshop,
Stap 2 - Vragenlijst

Gp Vraag
5 Is het doorgeven van de gegevens aan partijen buiten
de organisatie in lijn met de verwachtingen van de
betrokkene?

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Voorbeeld / specificatie van vraag
Houd bij beantwoording rekening met:
1. Voor en door wie het project wordt uitgevoerd.
2. Wat voor technologie wordt gebruikt.
3. Of de betrokkene redelijkerwijs op de hoogte kan zijn van de
verwerking van de gegevens.
4. Of betrokkenen toestemming geven om gegevens te
verzamelen.
5. Wat het doel/de doelen is/zijn voor het gebruik.
6. Of alle gegevens noodzakelijk zijn voor het doel.
7. Welke personen toegang hebben tot de gegevens.
8. Andere partijen die ook gebruikmaken van de gegevens.
9. Welke gegevens (data elementen) aan andere partijen
worden verstrekt.
10.Hoelang de gegevens bewaard worden nadat ze voor het
(primaire) doel zijn gebruikt.

Ja/ Nee
JA

Ten aanzien van privacy volgt uit het
informatiebeveiligingsbeleid dat de persoonsgegevens
geclassificeerd dienen te zijn en de beveiliging van deze
gegevens passend dient te zijn bij deze classificatie en bij de
privacyrisico’s. Indien dat niet het geval is dienen aanvullende
beveiligingsmaatregelen te worden genomen. De classificatie
en de beveiligingsmaatregelen dienen bepaald te worden
middels een risicoanalyse.Deze risicoanalyse dient dus in het
projectvoortbrengingsproces (indien het om een nonstandaard
change gaat in het change proces) uitgevoerd te worden.
Informatie over een risicoanalyse methodiek is in te winnen bij
de CISO.

JA

7 Groep 7: Beveiliging
7 Is duidelijk hoe het traject er voor zorgt dat aan de op
het gebied van privacy gestelde eisen in het
beveiligingsbeleid gaat worden voldaan?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-4-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Datum laatst gewijzigd:

PIA-Kort - Onderdeel 2: Vragenlijst
Stap 2 (van 3). Vul onderstaande vragenlijst in
en beargumenteer helder je keuzes. Bepaal
indien nodig (in overleg met een
informatiebeveiligingsdeskundige) gepaste
maatregelen om de risico's te mitigeren.

Nr

Gp Vraag

1

1 Groep 1: Het Traject

6

1 Is het doel van de verwerking van persoonsgegevens
binnen het traject voldoende SMART omschreven?

Enerzijds kan verwezen worden naar het
Juridisch document (Juridisch kader
Gegevensverwerking in het kader van project
IGTV). Specifiek inzicht krijgen in
vreemdelingenpopulaties voor het
garanderen van Nat. Veiligheid. Op
Persoonsniveau worden er rapportages aan
de AVIM's geleverd. Indien het een
opsporingszaak betreft moet de
gegevenslevering Juridisch worden geborgd>
er wordt dan navraag gedaan bij het COA.

11

1 Is er sprake van:
Een nieuwe verwerking van persoonsgegevens?

Er is geen sprake van een nieuwe verwerking
maar van een uitbreiding

12

1 Is er sprake van:
Het verzamelen van meer of andere
persoonsgegevens dan voorheen of van een nieuwe
manier van verzamelen?

De gegevenslevering aan het NVIK wordt
uitgebreid.

13

1 Is er sprake van:
Gebruik van al verzamelde gegevens voor een nieuw
doel of een nieuwe manier van gebruiken?

19

2 Groep 2: De Gegevens

20

2 Zijn alle gegevens nodig om het doel te bereiken
(worden er zo min mogelijk gegevens verzameld)?

Ja, de Politie heeft in een onderhoud d.d.
01.06.2017 aan COA duidelijk gemaakt dat
een totaal overzicht van de gevraagde
gegevens nodig is voor het monitoren van de
nationale veiligheid.

21

2 Kan het doel met geanonimiseerde of pseudoanonieme gegevens worden bereikt terwijl daar op dit
moment geen gebruik van wordt gemaakt?

zie de vorige vraag

30

3 Groep 3: De Betrokken partijen

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Argumentatie (Verplicht!)

-5-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

Nr
32

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Argumentatie (Verplicht!)
Gp Vraag
3 Zijn er (na afronding van het traject) bij het verzamelen De NVIK gebruikt de gegevens voor het
en verder verwerken van de gegevens meerdere
analyseren van veiligheidsvraagstukken. Voor
externe partijen betrokken?
opsporingszaken wordt nooit gebruik gemaakt
van de gegevens in de informatiepostbus. De
NVIK deelt de gegevens niet met derden.

34

3 Is de verstrekking van de gegevens aan derde partijen
in lijn met het doel waarvoor de gegevens
oorspronkelijk zijn verzameld?

36

4 Groep 4: Verzamelen van gegevens

39

4 Verzamelt u de gegevens op basis van een van de
wettelijke grondslagen?

Wet COA

43

4 Informeert u de betrokkene dat de gegevens worden
verzameld?

Ja bij binnenkomst bij het COA wordt de
asielzoeker op de hoogte gesteld dat zijn/haar
gegevens gedeeld worden met de
ketenpartners.

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-6-

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Nr
44

Gp Vraag
4 Bij Nee op vraag 43:
Kunnen de betrokkenen op de hoogte zijn van het
verzamelen van de gegevens?

45

4 Bij Ja op vraag 43:
Laat u de betrokkene weten waarom de gegevens
worden verzameld (wat u er mee gaat doen)?

regelement rondom de BVV is openbaar.
Gegevensuitwisseling in de Grote Keten.

46

4 Bij Ja op vraag 43:
Laat u de betrokkene weten aan wie de gegevens
worden verstrekt (daar waar dit geen wettelijke
verplichting is)?

zie vraag 43.

48

5 Groep 5: Gebruik van gegevens

49

5 Is het gebruik van de gegevens verenigbaar (in lijn)
met het doel van het verzamelen?

53

5 Worden op basis van de gegevens beslissingen
genomen over de betrokkenen?
5 Bij "Ja" op vraag 53: leveren de gegevens een juist,
volledig, en actueel beeld op van de betrokkene?

54

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-7-

Argumentatie (Verplicht!)
zie vraag 43.

zie vraag 1.

nvt

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
58

Argumentatie (Verplicht!)
Gp Vraag
5 Is het doorgeven van de gegevens aan partijen buiten zie vraag 43 en 45.
de organisatie in lijn met de verwachtingen van de
betrokkene?

68

7 Groep 7: Beveiliging

69

7 Is duidelijk hoe het traject er voor zorgt dat aan de op
het gebied van privacy gestelde eisen in het
beveiligingsbeleid gaat worden voldaan?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

-8-

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Datum laatst gewijzigd:

PIA-Kort - Onderdeel 2: Vragenlijst
Stap 2 (van 3). Vul onderstaande vragenlijst in
en beargumenteer helder je keuzes. Bepaal
indien nodig (in overleg met een
informatiebeveiligingsdeskundige) gepaste
maatregelen om de risico's te mitigeren.

Nr

Gp Vraag

1

1 Groep 1: Het Traject

6

1 Is het doel van de verwerking van persoonsgegevens
binnen het traject voldoende SMART omschreven?

11

1 Is er sprake van:
Een nieuwe verwerking van persoonsgegevens?

12

1 Is er sprake van:
Het verzamelen van meer of andere
persoonsgegevens dan voorheen of van een nieuwe
manier van verzamelen?

13

1 Is er sprake van:
Gebruik van al verzamelde gegevens voor een nieuw
doel of een nieuwe manier van gebruiken?

19

2 Groep 2: De Gegevens

20

2 Zijn alle gegevens nodig om het doel te bereiken
(worden er zo min mogelijk gegevens verzameld)?

Als nee: Het verwerken van zo min mogelijk gegevens
heeft een aantal voordelen:
- De benodigde opslag en rekencapaciteit van je
computer systemen is lager, waardoor prestaties,
hersteltijden en service niveaus kunnen worden
verhoogd.
- Je hoeft minder gegevens te onderhouden en
updaten, en de kans op fouten wordt verkleind.
- Bovendien loopt jouw organisatie compliance risico’s
als je te veel gegevens voor het doel verzamelt. (zie Art
9, lid 1 en 2 Wbp)

21

2 Kan het doel met geanonimiseerde of pseudoanonieme gegevens worden bereikt terwijl daar op dit
moment geen gebruik van wordt gemaakt?

Als ja: Je loopt een verhoogd risico door het gebruiken
van persoonsgegevens. Door het gebruik van
geanonimiseerde en/ of gepseudonimiseerde gegevens
val je niet meer onder het regime van de Wbp. Je
verwerkt immers geen persoonsgegevens meer. Door
gegevens te anonimiseren of te pseudonimiseren kan
je het nemen van verdere maatregelen ter bescherming
van de privacy van de betrokkenen minimaliseren. Je
wordt geadviseerd periodiek na te gaan of de gegevens
niet indirect herleidbaar zijn.

30

3 Groep 3: De Betrokken partijen

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Toelichting bij antwoord Ja / Nee

-9-

Als nee: Een SMART omschreven doelstelling is
essentieel voor het maken van keuzes voor het
inrichten van een kwalitatief goede
gegevensverwerking. Bovendien loopt jouw organisatie
compliance risico’s als het doel niet voldoende precies
is omschreven.(zie Art. 7 Wbp)

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

Nr
32

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Toelichting bij antwoord Ja / Nee
Gp Vraag
3 Zijn er (na afronding van het traject) bij het verzamelen Als ja: Je loopt een verhoogd risico. Hoe meer partijen
en verder verwerken van de gegevens meerdere
betrokken zijn, hoe groter de kans op verlies van
externe partijen betrokken?
gegevens, onduidelijkheden in verantwoordelijkheden,
het gebruik van de gegevens voor andere doelen en de
kans op fouten. Zorg voor een duidelijke beschrijving
van de taken en verantwoordelijkheden met betrekking
tot de gegevens waarbij onder andere wordt
beschreven:
- Beveiligen van gegevens en de afstemming daarvan
tussen de partijen,
- De gegevenskwaliteit
- Afhandeling van fouten,
- Terugmelden van fouten,
- Controle,
Zorg ook voor een duidelijke gegevensbeschrijving. Leg
afspraken contractueel vast.

34

3 Is de verstrekking van de gegevens aan derde partijen Als nee: Indien gegevens verstrekt worden aan andere
in lijn met het doel waarvoor de gegevens
partijen zonder dat deze gegevens daarvoor verzameld
oorspronkelijk zijn verzameld?
zijn bestaat het risico dat deze gegevens niet geschikt
zijn voor het doel en dat betrokkenen worden geschaad
door de verdere verspreiding van de gegevens.
Je hebt mogelijk een compliance risico (Zie art. 9 lid 1
en 2 Wbp).

36

4 Groep 4: Verzamelen van gegevens

39

4 Verzamelt u de gegevens op basis van een van de
wettelijke grondslagen?

43

4 Informeert u de betrokkene dat de gegevens worden
verzameld?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 10 -

Als nee: Voor het verwerken van persoonsgegevens is
een grondslag noodzakelijk. Indien deze ontbreekt, loop
je een compliance risico (art. 8 Wbp).

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Nr
44

Gp Vraag
4 Bij Nee op vraag 43:
Kunnen de betrokkenen op de hoogte zijn van het
verzamelen van de gegevens?

Toelichting bij antwoord Ja / Nee
Als nee: Het verstrekken van informatie over welke
gegevens worden verzameld draagt bij aan de
transparantie en wekt vertrouwen bij de betrokkenen.
Bovendien loop je een compliance risico indien de
informatie niet wordt verstrekt (zie art 33 e.v. Wbp).

45

4 Bij Ja op vraag 43:
Laat u de betrokkene weten waarom de gegevens
worden verzameld (wat u er mee gaat doen)?

Als nee: Het verstrekken van informatie over wat je met
de verzamelde gegevens gaat doen draagt bij aan de
transparantie en wekt vertrouwen bij de betrokkenen.
Bovendien loop je een compliance risico indien de
informatie niet wordt verstrekt (zie art. 33 e.v. Wbp).

46

4 Bij Ja op vraag 43:
Laat u de betrokkene weten aan wie de gegevens
worden verstrekt (daar waar dit geen wettelijke
verplichting is)?

Als nee: Je wordt geadviseerd (per verstrekking) vast te
leggen aan wie gegevens worden verstrekt. Eveneens
wordt je geadviseerd om op het moment dat de
gegevens worden verzameld, de betrokkenen te
vertellen aan welke partijen de gegevens verstrekt
zullen worden. Als laatste wordt je geadviseerd om als
betrokkenen daarom vraagt hem te vertellen welke
informatie wanneer aan wie is verstrekt.

48

5 Groep 5: Gebruik van gegevens

49

5 Is het gebruik van de gegevens verenigbaar (in lijn)
met het doel van het verzamelen?

53

5 Worden op basis van de gegevens beslissingen
genomen over de betrokkenen?
5 Bij "Ja" op vraag 53: leveren de gegevens een juist,
volledig, en actueel beeld op van de betrokkene?

54

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 11 -

Als nee: Het gebruik van de gegevens moet in
overeenstemming met het doel van de verwerking zijn.
Indien dit niet het geval is bestaat het risico dat de
gegevens niet geschikt zijn voor het doel omdat
bijvoorbeeld de kwaliteit niet goed is.
Je loopt een compliance risico indien je hier niet aan
voldoet (zie art. 9 lid 1 en 2 Wbp).

Als nee: Er bestaat een verhoogd risico dat er foutieve
beslissingen genomen worden op basis van de
gegevens waardoor schade voor betrokkenen of de
organisatie kan ontstaan als gegevens onjuist,
verouderd of onvolledig zijn.

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
58

Gp Vraag
5 Is het doorgeven van de gegevens aan partijen buiten
de organisatie in lijn met de verwachtingen van de
betrokkene?

68

7 Groep 7: Beveiliging

69

7 Is duidelijk hoe het traject er voor zorgt dat aan de op
het gebied van privacy gestelde eisen in het
beveiligingsbeleid gaat worden voldaan?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 12 -

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Toelichting bij antwoord Ja / Nee
Als nee: Je loopt een verhoogd risico. Bij verstrekking
van gegevens buiten de organisatie is het van belang
dat de betrokkene hiervan op de hoogte is en dat
maatregelen zijn getroffen om de gegevens te
beschermen. Je loopt ook een compliance risico (zie
art. 34 lid 1 onder b Wbp).

Als nee: Je wordt geadviseerd tijdens het project een
informatiebeveiligingsplan op te stellen met daarin
beveiligingsmaatregelen / maatregelen die voor een
passende bescherming van de gegevens zorgen.

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Datum laatst gewijzigd:

PIA-Kort - Onderdeel 2: Vragenlijst
Stap 2 (van 3). Vul onderstaande vragenlijst in
en beargumenteer helder je keuzes. Bepaal
indien nodig (in overleg met een
informatiebeveiligingsdeskundige) gepaste
maatregelen om de risico's te mitigeren.

Gp Vraag

1

1 Groep 1: Het Traject

6

1 Is het doel van de verwerking van persoonsgegevens
binnen het traject voldoende SMART omschreven?

n

11

1 Is er sprake van:
Een nieuwe verwerking van persoonsgegevens?

n

12

1 Is er sprake van:
Het verzamelen van meer of andere
persoonsgegevens dan voorheen of van een nieuwe
manier van verzamelen?

n

13

1 Is er sprake van:
Gebruik van al verzamelde gegevens voor een nieuw
doel of een nieuwe manier van gebruiken?

n

19

2 Groep 2: De Gegevens

20

2 Zijn alle gegevens nodig om het doel te bereiken
(worden er zo min mogelijk gegevens verzameld)?

n

21

2 Kan het doel met geanonimiseerde of pseudoanonieme gegevens worden bereikt terwijl daar op dit
moment geen gebruik van wordt gemaakt?

n

30

3 Groep 3: De Betrokken partijen

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Maatregelen

Actie
j/n

Nr

- 13 -

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

Nr
32

PIA-workshop,
Stap 2 - Vragenlijst

Maatregelen
Gp Vraag
3 Zijn er (na afronding van het traject) bij het verzamelen
en verder verwerken van de gegevens meerdere
externe partijen betrokken?

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)
Actie
j/n
n

34

3 Is de verstrekking van de gegevens aan derde partijen
in lijn met het doel waarvoor de gegevens
oorspronkelijk zijn verzameld?

36

4 Groep 4: Verzamelen van gegevens

39

4 Verzamelt u de gegevens op basis van een van de
wettelijke grondslagen?

n

43

4 Informeert u de betrokkene dat de gegevens worden
verzameld?

n

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 14 -

n

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Actie
j/n
n

Nr
44

Gp Vraag
4 Bij Nee op vraag 43:
Kunnen de betrokkenen op de hoogte zijn van het
verzamelen van de gegevens?

45

4 Bij Ja op vraag 43:
Laat u de betrokkene weten waarom de gegevens
worden verzameld (wat u er mee gaat doen)?

n

46

4 Bij Ja op vraag 43:
Laat u de betrokkene weten aan wie de gegevens
worden verstrekt (daar waar dit geen wettelijke
verplichting is)?

n

48

5 Groep 5: Gebruik van gegevens

49

5 Is het gebruik van de gegevens verenigbaar (in lijn)
met het doel van het verzamelen?

n

53

5 Worden op basis van de gegevens beslissingen
genomen over de betrokkenen?
5 Bij "Ja" op vraag 53: leveren de gegevens een juist,
volledig, en actueel beeld op van de betrokkene?

n

54

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Maatregelen

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

- 15 -

n

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
58

Maatregelen
Gp Vraag
5 Is het doorgeven van de gegevens aan partijen buiten
de organisatie in lijn met de verwachtingen van de
betrokkene?

68

7 Groep 7: Beveiliging

69

7 Is duidelijk hoe het traject er voor zorgt dat aan de op
het gebied van privacy gestelde eisen in het
beveiligingsbeleid gaat worden voldaan?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 16 -

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)
Actie
j/n
n

n

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Datum laatst gewijzigd:

PIA-Kort - Onderdeel 2: Vragenlijst
Stap 2 (van 3). Vul onderstaande vragenlijst in
en beargumenteer helder je keuzes. Bepaal
indien nodig (in overleg met een
informatiebeveiligingsdeskundige) gepaste
maatregelen om de risico's te mitigeren.

Nr

Gp Vraag

1

1 Groep 1: Het Traject

6

1 Is het doel van de verwerking van persoonsgegevens
binnen het traject voldoende SMART omschreven?

11

1 Is er sprake van:
Een nieuwe verwerking van persoonsgegevens?

12

1 Is er sprake van:
Het verzamelen van meer of andere
persoonsgegevens dan voorheen of van een nieuwe
manier van verzamelen?

13

1 Is er sprake van:
Gebruik van al verzamelde gegevens voor een nieuw
doel of een nieuwe manier van gebruiken?

19

2 Groep 2: De Gegevens

20

2 Zijn alle gegevens nodig om het doel te bereiken
(worden er zo min mogelijk gegevens verzameld)?

21

2 Kan het doel met geanonimiseerde of pseudoanonieme gegevens worden bereikt terwijl daar op dit
moment geen gebruik van wordt gemaakt?

30

3 Groep 3: De Betrokken partijen

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Voorlopige tekst van de actie

- 17 -

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
32

Gp Vraag
3 Zijn er (na afronding van het traject) bij het verzamelen
en verder verwerken van de gegevens meerdere
externe partijen betrokken?

34

3 Is de verstrekking van de gegevens aan derde partijen
in lijn met het doel waarvoor de gegevens
oorspronkelijk zijn verzameld?

36

4 Groep 4: Verzamelen van gegevens

39

4 Verzamelt u de gegevens op basis van een van de
wettelijke grondslagen?

43

4 Informeert u de betrokkene dat de gegevens worden
verzameld?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 18 -

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Voorlopige tekst van de actie

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
44

Gp Vraag
4 Bij Nee op vraag 43:
Kunnen de betrokkenen op de hoogte zijn van het
verzamelen van de gegevens?

45

4 Bij Ja op vraag 43:
Laat u de betrokkene weten waarom de gegevens
worden verzameld (wat u er mee gaat doen)?

46

4 Bij Ja op vraag 43:
Laat u de betrokkene weten aan wie de gegevens
worden verstrekt (daar waar dit geen wettelijke
verplichting is)?

48

5 Groep 5: Gebruik van gegevens

49

5 Is het gebruik van de gegevens verenigbaar (in lijn)
met het doel van het verzamelen?

53

5 Worden op basis van de gegevens beslissingen
genomen over de betrokkenen?
5 Bij "Ja" op vraag 53: leveren de gegevens een juist,
volledig, en actueel beeld op van de betrokkene?

54

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Voorlopige tekst van de actie

- 19 -

Afdrukdatum: 5-11-2020

COA, project
Privacy Impact Assessment Rijksdienst (PIA)

PIA-workshop,
Stap 2 - Vragenlijst

Nr
58

Gp Vraag
5 Is het doorgeven van de gegevens aan partijen buiten
de organisatie in lijn met de verwachtingen van de
betrokkene?

68

7 Groep 7: Beveiliging

69

7 Is duidelijk hoe het traject er voor zorgt dat aan de op
het gebied van privacy gestelde eisen in het
beveiligingsbeleid gaat worden voldaan?

PIA NVIK gegevens uitbreiding 01062017 (002).xlsx,
Stap 2 - Vragenlijst

- 20 -

Proj.nr OIT/0207-01 / BEH-P0126 0020
(oud: OIT/0108-01)

Voorlopige tekst van de actie

Afdrukdatum: 5-11-2020