• Nieuw topic openen?
  
• Voortborduren op dit topic?
  
• ...?
  

Hallo allen, 

Na een lange radiostilte is het weer hoog tijd voor een update. Inmiddels kan ik melden dat Infoland de inrichting van het verwerkingsregister AVG voor het Erasmus MC, heeft afgerond. Op 17 oktober is dit door de gebruikers in de business geaccepteerd. Hiermee is de implementatie die op 19 november vorig jaar is gestart, tot een goed eind gebracht. In verschillende intensieve implementatiesessies van 1 of 2 consultants van Infoland (@Bart Bolwijn  en  @ronno  Ron Osvath), 2 of 3 interne en externe privacy juristen en 2 functioneel beheerders van iProva, heeft Infoland in nauwe samenwerking met de gebruikers, het verwerkingsregister gebouwd. Op dit moment wordt het verwerkingsregister alleen nog in kleine kring gebruikt door de juristen van onze Privacy Kennisorganisatie (PKO)/Juridische Zaken (JZ) en de Privacy Contact Personen (PCP´ers) van de thema´s. Dit zijn bij elkaar circa 20 personen. 

Uniek aan het verwerkingsregister is dat hierin een privacy impact assessment (PIA) is geintegreerd waarbij de melder van een nieuwe verwerking van persoonsgegevens door de beantwoording van vragen zelf een PIA uitvoert. Via een risicoberekening achter de schermen die door Infoland als meerwerk is gerealiseerd, voert iProva een automatische schifting uit tussen laag/midden- en hoog risico verwerkingen. Alleen de verwerkingen die als hoog risico verwerkingen uit de PIA naar voren zijn gekomen, worden door iProva direct bij onze privacy specialisten neergelegd. In het Erasmus MC zijn dat de collega´s van het PKO. In iProva-taal: Zij zijn de coordinatoren van het meldingstype verwerking persoonsgegevens. De PKO-juristen beoordelen elke nieuwe hoog risico verwerking en bepalen of de Functionaris Gegevens Bescherming (FG) en/of de Chief Information Security Officer (CISO) via iProva betrokken worden. De risicoscores en -verdeling zijn naar behoefte instelbaar. 

Een ander belangrijk kenmerk van het verwerkingsregister is dat de beantwoording van sommige vragen, acties triggert. Zo verstuurt iProva als uit de beantwoording blijkt dat er een verwerkers-overeenkomst nodig is, automatisch de actie aan de melder om hem/haar te adviseren eerst een verwerkersovereenkomst te sluiten voordat de verwerking van persoonsgegevens wordt gestart. 

In de woorden van een collega van een ander ziekenhuis aan wie ik het verwerkingsregister dit voorjaar heb laten zien: “Het verwerkingsregister neemt administratief werk uit handen. Dan kan ik mij focussen op de belangrijke nieuwe verwerkingen”. 

De AVG-module - nu alleen nog het verwerkingsregister, inclusief PIA - wordt binnenkort uitgebreid met drie andere AVG-deelprocessen. Te beginnen met het proces Datalekken. Dit proces is naar verwachting komende december gereed. Begin 2020 volgen nog het Proces registreren van nieuwe verwerkers van persoonsgegevens en het Proces afhandelen van verzoeken van betrokkenen. Vanzelfsprekend maakt de AVG-module het ook mogelijk om managementinformatie te genereren over de control & compliance van de AVG. 

Tijdens het implementatietraject zijn wij benaderd door diverse geïnteresseerde ziekenhuizen en andere zorginstellingen die zich oriënteren op een verwerkingsregister AVG. Zelf heb ik aan vijf ziekenhuizen/zorginstellingen, het verwerkingsregister “in aanbouw” laten zien. Twee ziekenhuizen hebben aangegeven in principe van het verwerkingsregister gebruik te willen gaan maken.

Mochten andere ziekenhuizen ook belangstelling hebben om het verwerkingsregister (met aanpas-singen voor de eigen organisatie) over te nemen, staan wij daar zeker voor open. In verband met de relatief hoge kosten van deze implementatie (25 k Euro voor m.n. consultancy Infoland), vragen wij in dit uitzonderlijke geval, vooralsnog een bijdrage in de kosten van max. 2,5 k Euro. Als er meer dan 10 ziekenhuizen geïnteresseerd zijn, worden de gedeelde kosten navenant lager. Ik vraag jullie vriendelijk als je belangstelling hebt in het verwerkingsregister dat voor en door het Erasmus MC is ontwikkeld, mij dit even te laten weten via m.slooff@erasmusmc.nl of 06-24170323. Bij mij ben je vanzelfspre-kend ook van harte welkom voor nadere informatie. 

Ik houd jullie uiteraard verder op de hoogte over onze AVG-module!

Vriendelijke groet,

Martin Slooff 

Interessant om te lezen!

Wij hebben het dan toch een stuk kleinschaliger aangepakt zo te lezen:

• Verwerkingsregister staat in een kaartenbak, incl. overeenkomsten in PDF. Indien van toepassing, inclusief PIA.
• Datalek meldingen gaan via Incidenten route, ISO en FG worden daarbij betrokken bij de melding en vullen een eigen formulier hierbij in.
• Alle lopende risico's, uitkomsten DPIA, PEN testen en certificering komt in een risico register met eigen sjabloon. (nog te bouwen) Deze worden daarin gekoppeld aan de normen (NEN 751x), beheer ligt bij ISO & FG. Dit is nog in ontwikkeling.

Nu is dit een prima compacte oplossing voor ons, omdat we uiteindelijk maar één klein team hebben dat zich hiermee bezig houd. Maar ik snap goed dat voor een groot stedelijk academisch ziekenhuis dit een stuk meer werk is. Zou dit graag een keer willen zien eigenlijk, hoewel de kans dat we instappen bij deze module vrij klein is.

Bedankt voor de update!

Dank @Martin Slooff voor de uitgebreide terugkoppeling. Mooi dat je op deze manier je kennis en ervaring wilt delen met de community 

@JesseV Graag zou ik willen weten hoe jullie dat ingericht hebben. Wij willen wel de connectie met verbeteren en meldingen hebben.