Veel verantwoordelijken (organisaties die persoonsgegevens verwerken) laten hun persoonsgegevens verwerken door een zogeheten bewerker. Van verwerking door een bewerker is bijvoorbeeld sprake bij gebruik van een extern callcenter voor klantcontacten, bij het verwerken van persoonsgegevens in de cloud of bij externe hosting van een website waarbij persoonsgegevens worden verwerkt.93Het CBP heeft een zienswijze uitgebracht waarin een aantal vragen over cloud computing wordt beantwoord. CBP, Zienswijze inzake de toepassing van de Wet bescherming persoonsgegevens bij een overeenkomst met betrekking tot cloud computing diensten van een Amerikaanse leverancier, 7 augustus 2012 (http://www.cbpweb.nl/Pages/med_20120910-zienswijze-cbp-cloudcomputing.aspx)., 94Het onafhankelijk overlegorgaan van de privacytoezichthouders van de lidstaten van de Europese Unie heeft een advies uitgebracht over de privacyaspecten van cloud computing. Groep Gegevensbescherming Artikel 29 (WP29), Advies 05/2012 over Cloud Computing, Goedgekeurd op 1 juli 2012(http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp196_nl.pdf)., 95Het NCSC heeft een publicatie uitgebracht over cloud computing en beveiliging. NCSC, Cloud computing & security, januari 2012(https://www.ncsc.nl/dienstverlening/expertise-advies/kennisdeling/whitepapers/whitepaper-cloudcomputing.html). Dit hoofdstuk geeft weer hoe het CBP de beveiliging van persoonsgegevens beoordeelt bij verwerking door een bewerker. Het hoofdstuk moet worden gelezen in samenhang met hoofdstuk 3:
hoofdstuk 3 geeft in het algemeen weer hoe het CBP de beveiliging van persoonsgegevens beoordeelt en hoofdstuk 4 bevat de specifieke uitgangspunten voor verwerking door een bewerker.
De verantwoordelijke voert een risicoanalyse uit betreffende de verwerking door een bewerker.
In de risicoanalyse stelt de verantwoordelijke vast of en zo ja, onder welke voorwaarden, de bewerker “voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen” en de verantwoordelijke voldoende in staat is om “toe [te zien] op de naleving van die maatregelen.”96Artikel 14 lid 1 Wbp. Verder stelt hij vast of en zo ja, onder welke voorwaarden, er voldoende waarborgen zijn dat de bewerker “de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.”97Artikel 14 lid 3 sub b Wbp.
In de risicoanalyse betrekt de verantwoordelijke in ieder geval de gangbaarste dreigingen en kwetsbaarheden die samenhangen met verwerking door een bewerker en de mogelijke gevolgen voor de betrokkenen. Welke dreigingen en kwetsbaarheden in een specifieke situatie daadwerkelijk aanwezig zijn, hangt onder meer af van de aard van de dienstverlening. Het vervolg van deze paragraaf geeft de gangbaarste dreigingen en kwetsbaarheden weer die samenhangen met de verwerking van persoonsgegevens door een bewerker.
Als de bewerker onvoldoende beveiligingsmaatregelen treft, dan kan dat leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens. Onder meer zijn hier de volgende kwetsbaarheden te onderkennen:
Onvoldoende beveiliging van de verwerkte persoonsgegevens
Verwerking door een bewerker betekent dat de verantwoordelijke, behalve de bewerking zelf, ook de beveiliging van de verwerkte persoonsgegevens uit handen geeft. Als de verantwoordelijke bijvoorbeeld gebruikmaakt van de diensten van een hostingprovider, dan zal deze ook een groot deel van de beveiliging van de betreffende website voor zijn rekening nemen.98Een hostingprovider stelt webruimte ter beschikking aan partijen die een website op het internet willen plaatsen en die geen gebruik kunnen of willen maken van een eigen webserver. Daarbij gaat het onder meer om maatregelen zoals logging en controle (het vastleggen van belangrijke gebeurtenissen en het controleren op tekenen van onrechtmatige toegang tot de verwerkte gegevens) en het up-to-date houden van de systeemprogrammatuur op de webserver. Dit zijn beveiligingsmaatregelen die de verantwoordelijke niet zelf kan treffen, omdat hij slechts in beperkte mate toegang heeft tot de webserver en in veel gevallen ook de benodigde expertise mist. Als de bewerker hierin tekortschiet, kan dat leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens.
Onvoldoende beveiliging van de dienstverlening door de bewerker
De bewerker biedt in veel gevallen faciliteiten waarmee de verantwoordelijke de persoonsgegevens kan uploaden die door de bewerker moeten worden bewerkt of waarmee de verantwoordelijke de verwerkte persoonsgegevens kan raadplegen of aanpassen. Onvoldoende beveiliging van deze faciliteiten kan leiden tot verlies of onrechtmatige verwerking van de persoonsgegevens.
Onderstaande voorbeelden illustreren de dreiging van onvoldoende beveiliging van de verwerkte gegevens door de bewerker.
De onderstaande praktijkvoorbeelden kwamen in 2012 in het nieuws:
Door een beveiligingsfout in een website kan een hacker zich toegang verschaffen tot de server waarop de website zich bevindt. Op de server treft de hacker ruim 150 databases aan die toebehoren aan verschillende organisaties, waaronder een database met 12.000 e-mailadressen die afkomstig zijn uit een marketingactie. De databases zijn allemaal volledig toegankelijk als gevolg van een menselijke fout van de ICT-dienstverlener die de server beheert.
Een hacker breekt in bij een online verkoper van theaterkaarten. Hij ontdekt op de server een database die zonder wachtwoord te benaderen is, met daarin ruim vierenhalfmiljoen databaseregels die onder meer (deels verouderde) creditcardgegevens bevatten. Hij constateert dat de database zonder wachtwoord toegankelijk is als gevolg van aanpassingen op de server die zijn uitgevoerd bij een eerdere hack. De ICT-dienstverlener die de server beheert, heeft de eerdere hack niet bemerkt.
Naast onvoldoende beveiliging kan onvoldoende transparantie van de kant van de bewerker ertoe leiden dat de verantwoordelijke niet voldoet aan zijn wettelijke verplichtingen. Hierbij zijn onder meer de volgende situaties te onderkennen:
Onvoldoende transparantie over de beveiliging
De verantwoordelijke moet zorgen dat de bewerker voldoende technische en organisatorische beveiligingsmaatregelen treft en hij moet toezien op de naleving. Als de verantwoordelijke onvoldoende inzicht heeft in het geboden beveiligingsniveau of als hij niet vast kan stellen of de bewerker de overeengekomen beveiligingsmaatregelen daadwerkelijk heeft getroffen, dan kan hij niet aan deze wettelijke verplichting voldoen. Ook kan hij ten onrechte veronderstellen dat de bewerker bepaalde beveiligingsmaatregelen heeft getroffen, wat kan leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens.
Onvoldoende transparantie over opgetreden beveiligingsincidenten
Als de bewerker de verantwoordelijke niet tijdig en adequaat informeert over opgetreden beveiligingsincidenten, dan kan dat tot gevolg hebben dat de betreffende persoonsgegevens onrechtmatig worden verwerkt. Als een hostingprovider de verantwoordelijke bijvoorbeeld niet informeert over een inbraak in diens online database met creditcardgegevens, dan kan de verantwoordelijke vervolgens de betrokkenen niet informeren en zullen de betrokkenen hun creditcard pas laten blokkeren wanneer ze constateren dat er ten onrechte bedragen van hun rekening worden afgeschreven. Dit stelt de dief onnodig lang in staat om te frauderen met de gestolen creditcardgegevens.
Naast onvoldoende beveiliging en onvoldoende transparantie kan het aanpassen of staken van de dienstverlening onder meer leiden tot verlies van de verwerkte persoonsgegevens:
Onvoldoende continuïteit van de dienstverlening door de bewerker
Overname of faillissement van de bewerker kunnen ertoe leiden dat de bewerker zijn dienstverlening aanpast of staakt. Het gevolg kan onder meer zijn dat de persoonsgegevens die de bewerker verwerkte tijdelijk of permanent niet meer toegankelijk zijn voor de verantwoordelijke.
Onvoldoende portabiliteit van de verwerkte persoonsgegevens
Bewerkers maken bij het verwerken van persoonsgegevens niet altijd gebruik van standaardtechnologieën en -oplossingen. Door de bewerker verwerkte persoonsgegevens kunnen daardoor niet altijd zonder meer overgebracht worden naar een database van een andere bewerker of van de verantwoordelijke zelf. Als de bewerker zijn dienstverlening staakt, kan dit betekenen dat de verwerkte persoonsgegevens verloren gaan.
Onderstaand praktijkvoorbeeld illustreert de dreiging van onvoldoende continuïteit van de dienstverlening door de bewerker.
Een Nederlandse clouddienstverlener biedt een aantal huisartseninformatiesystemen aan. Afnemers van de diensten kunnen deze informatiesystemen gebruiken om op de servers van het bedrijf hun patiëntendossiers bij te houden. Honderden huisartsenpraktijken en zorgcentra maken gebruik van deze diensten en in totaal beheert de dienstverlener zo”n anderhalf tot twee miljoen elektronische patiëntendossiers.
Als de dienstverlener failliet dreigt te gaan, ontstaat er onder de afnemers van de diensten grote onrust. Niet alleen zijn de klanten bang dat ze niet meer bij hun gegevens kunnen, maar ook de communicatie met verzekeraars over registraties en declaraties dreigt te stagneren als de huisartseninformatiesystemen niet meer beschikbaar zijn. Een aantal klanten van de dienstverlener, tevens lid van gebruikersverenigingen van de betreffende systemen, besluit in allerijl om de door de clouddienstverlener verwerkte gegevens elders onder te brengen. Ook Kamerleden maken zich zorgen, onder meer over wat er bij een eventuele overname met de patiëntgegevens gebeurt en wat dit betekent voor de privacy van de betrokkenen.
Uiteindelijk wordt er een passende overnamepartij gevonden.
Bewerkers kunnen bij het uitvoeren van hun dienstverlening gebruikmaken van de diensten van subbewerkers, die zelf ook weer bewerkers kunnen inschakelen. Bij bewerking door subbewerkers zijn de bovengenoemde dreigingen en kwetsbaarheden in versterkte mate aanwezig. Dit geldt in ieder geval voor:
Onvoldoende beveiliging door de subbewerker(s)
Om voor de verwerking als geheel te kunnen spreken van een adequaat beveiligingsniveau, moeten de bewerker en de eventuele subbewerkers de juiste beveiligingsmaatregelen treffen en moeten de beveiligingsmaatregelen gezamenlijk de belangrijkste dreigingen afdekken. Naarmate het aantal subbewerkers toeneemt, wordt ook de kans groter op lacunes in de beveiliging.99Zie ook WP29, Advies 1/2010 over de begrippen “voor de verwerking verantwoordelijke” en “verwerker”, p. 31-32: “De richtlijn belet geenszins dat om organisatorische redenen meerdere entiteiten als gegevensverwerker of (sub-)verwerker worden aangewezen of dat de desbetreffende taken worden onderverdeeld. Zij moeten zich echter allen bij de verwerking houden aan de opdrachten van de voor de verwerking verantwoordelijke. [...] Het strategische punt is hier dat – wanneer meerdere partijen bij het proces betrokken zijn – de verplichtingen en verantwoordelijkheden uit de wetgeving duidelijk behoren te worden belegd en niet versnipperd mogen raken over de keten van uitbesteding/onderaanneming.” (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp169_nl.pdf).
Onvoldoende transparantie over de verwerking en de beveiliging door de subbewerker(s)
Om aan zijn wettelijke verplichtingen te kunnen voldoen moet de verantwoordelijke voldoende inzicht hebben in welke subbewerkers welke taken uitvoeren bij de verwerking en in het daarbij geboden beveiligingsniveau. Als hij hier niet voldoende inzicht in heeft of als hij niet vast kan stellen of alle subbewerkers de overeengekomen beveiligingsmaatregelen daadwerkelijk hebben getroffen, kan hij niet aan deze wettelijke verplichting voldoen. Ook kan hij dan ten onrechte veronderstellen dat een subbewerker bepaalde beveiligingsmaatregelen heeft getroffen, wat kan leiden tot verlies of onrechtmatige verwerking van de verwerkte persoonsgegevens.
Onderstaand voorbeeld geeft weer hoe een bewerker afhankelijk kan zijn van een subbewerker.
Een clouddienstverlener biedt kantoorautomatiseringsapplicaties aan. Afnemers van de diensten kunnen met deze applicaties onder meer hun klantenbestand beheren. De gegevens worden opgeslagen in databases van de dienstverlener. Voor de opslag van de gegevens maakt de clouddienstverlener gebruik van de diensten van een subbewerker, een grote aanbieder van gegevensopslag in de cloud.
Een blikseminslag in een transformator in de buurt van een van de datacentra van de subbewerker veroorzaakt een explosie waarna brand uitbreekt, met als gevolg dat de subbewerker ook zijn noodgeneratoren niet op kan starten en de stroom volledig uitvalt. Doordat de servers van de subbewerker niet beschikbaar zijn, kunnen ook de kantoorautomatiseringsapplicaties van de clouddienstverlener een aantal uren niet worden gebruikt. Uiteindelijk blijkt de schade bij de subbewerker zo groot te zijn dat deze er niet in slaagt om alle gegevens terug te halen.
Naast de verwerking door subbewerkers is een tweede aandachtspunt de verwerking van persoonsgegevens buiten Nederland. Hiervan is sprake in de volgende situaties:
Bewerker (deels) buiten Nederland
De verantwoordelijke stelt persoonsgegevens ter beschikking aan een bewerker die is gevestigd buiten Nederland of die een of meer vestigingen heeft buiten Nederland, om deze gegevens daar door de bewerker te laten verwerken.
Subbewerker (deels) buiten Nederland
De bewerker stelt persoonsgegevens ter beschikking aan een subbewerker die is gevestigd buiten Nederland of die een of meer vestigingen heeft buiten Nederland, om deze gegevens daar door de subbewerker te laten verwerken.
Cloud computing met gegevensopslag buiten Nederland
De verantwoordelijke, de bewerker of een of meer subbewerkers maken gebruik van cloud computing, waarbij persoonsgegevens worden opgeslagen buiten Nederland.
Bij verwerking van persoonsgegevens buiten Nederland moet in de risicoanalyse rekening worden gehouden met het volgende:
Niet-naleving van de Wbp
De Wbp bevat regels voor doorgifte van persoonsgegevens aan landen buiten de Europese Unie. Het is aan de verantwoordelijke om te zorgen dat deze worden nageleefd.100Artikel 76, 77 en 78 Wbp. De regels voor doorgifte van persoonsgegevens vallen buiten het bestek van deze richtsnoeren.101Meer informatie is beschikbaar op de website van het CBP. CBP, Regels voor doorgifte van persoonsgegevens(http://www.cbpweb.nl/Pages/th_doo_regels.aspx).
Onvoldoende beveiliging, transparantie, continuïteit en/of portabiliteit
Bij verwerking van persoonsgegevens buiten Nederland kunnen alle eerder in deze paragraaf genoemde dreigingen en kwetsbaarheden in versterkte mate aanwezig zijn. Dit geldt met name voor de mate waarin de verantwoordelijke vast kan stellen of afgesproken beveiligingsmaatregelen daadwerkelijk zijn getroffen. De geografische afstand kan dusdanig zijn dat de verantwoordelijke dit niet zelf kan onderzoeken, waardoor hij afhankelijk wordt van voldoende gekwalificeerde, lokale partijen die dit namens hem vast kunnen stellen.
De verantwoordelijke stelt vast welke beveiligingsmaatregelen de bewerker moet treffen om aan de betrouwbaarheidseisen te voldoen en op welke wijze de verantwoordelijke toeziet op naleving.
De afspraken hierover legt hij vast in de overeenkomst met de bewerker.
“[De verantwoordelijke] draagt zorg dat [de bewerker] voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen.”102Artikel 14 lid 1 Wbp.
“De verantwoordelijke draagt zorg dat de bewerker de persoonsgegevens verwerkt in overeenstemming met artikel 12, eerste lid en de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.” 103Artikel 14 lid 3 Wbp.
“De uitvoering van verwerkingen door een bewerker wordt geregeld in een overeenkomst of krachtens een andere rechtshandeling waardoor een verbintenis ontstaat tussen de bewerker en de verantwoordelijke.”104Artikel 14 lid 2 Wbp.
“Met het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens, alsmede de beveiligingsmaatregelen als bedoeld in artikel 13 schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.”105Artikel 14 lid 5 Wbp.
Bij de beoordeling hanteert het CBP de volgende uitgangspunten:
Beveiligingseisen in de bewerkersovereenkomst106Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 6.2.3.
Er is een bewerkersovereenkomst waarin alle relevante afspraken zijn vastgelegd over de beveiligingsmaatregelen die de bewerker moet treffen en over de wijze waarop de verantwoordelijke toeziet op naleving.
Differentiatie van de verwerkte persoonsgegevens107Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 7.2.
Het kan voorkomen dat niet alle persoonsgegevens die de bewerker verwerkt even gevoelig zijn en dat niet voor alle verwerkte persoonsgegevens dezelfde afspraken van toepassing zijn. In de bewerkersovereenkomst is in dergelijke gevallen vastgelegd welke afspraken van toepassing zijn op welke persoonsgegevens.
Onderstaand voorbeeld illustreert hoe specifieke afspraken in de bewerkersovereenkomst de dienstverlening door de bewerker kunnen beïnvloeden.
Een datacentrum wordt getroffen door een stroomstoring, die iets minder dan drie kwartier duurt. Het datacentrum beschikt over verschillende noodstroomvoorzieningen in de vorm van een uninterruptible power supply (UPS) en dieselaggregaten. In een van de datahallen verloopt de overgang op noodstroom niet helemaal soepel: de batterijen van de noodstroomvoorziening houden er na zes seconden mee op en het duurt twintig seconden voordat het dieselaggregaat is aangeslagen.
Een aantal websites dat gebruikmaakt van servers in de getroffen datahal is na veertien seconden weer online. Bij andere klanten, waaronder een groot sociaal netwerk, duurt dit aanzienlijk langer. Het verschil wordt bepaald door de afspraken die de klanten in het bewerkerscontract hebben gemaakt over de noodstroomvoorziening. Websites van klanten die hebben gekozen voor een zogenoemde dubbele voeding komen weer online op het moment dat het dieselaggregaat aanslaat; de overige klanten moeten handmatig worden overgezet op noodstroom en voor hen duurt de storing ruim een uur.
Bij de beoordeling van de afspraken in de bewerkersovereenkomst betrekt het CBP in ieder geval de volgende onderwerpen:
De dienstverlening door de bewerker
Omschrijving van de dienst(en) die de bewerker verleent en de persoonsgegevens die de bewerker daarbij verwerkt (eventueel gedifferentieerd op basis van gevoeligheid). Verder wordt omschreven welke (groepen) medewerkers van de bewerker toegang hebben tot welke persoonsgegevens en welke handelingen deze medewerkers uit mogen voeren met de persoonsgegevens. Er is een expliciet verbod opgenomen om andere handelingen met de persoonsgegevens uit te voeren dan wat hier is omschreven.
De betrouwbaarheidseisen die op de verwerking van toepassing zijn
Weergave van de betrouwbaarheidseisen die op de verwerking van toepassing zijn, waar van toepassing gedifferentieerd op basis van de gevoeligheid van de verwerkte persoonsgegevens.
De beveiliging door de bewerker
Afspraken over de technische en organisatorische beveiligingsmaatregelen waarmee de bewerker invulling geeft aan de betrouwbaarheidseisen. Deze maatregelen liggen in het verlengde van de beveiligingsmaatregelen die de verantwoordelijke moet treffen. Deze worden nader toegelicht in paragraaf 3.2 van deze richtsnoeren.108Bij gebruik van specifieke vormen van dienstverlening kunnen aanvullende afspraken in het bewerkerscontract noodzakelijk zijn.Zie bijvoorbeeld voor afspraken over (technische) beveiligingsmaatregelen in bewerkersovereenkomsten met betrekking tot cloud computing: ENISA, Procure Secure – A guide to monitoring of security service levels in cloud contracts(http://www.enisa.europa.eu/activities/Resilience-and-CIIP/cloud-computing/procure-secure-a-guide-to-monitoring-of-security-service-levels-in-cloud-contracts).
Transparantie over de beveiliging
Afspraken over de inhoud en de frequentie van de rapportages die de bewerker aan de verantwoordelijke oplevert over de beveiliging; omschrijving van het recht van de verantwoordelijke om de naleving van de beveiligingsmaatregelen door onafhankelijke deskundigen vast te laten stellen. Onafhankelijke deskundigen kunnen bijvoorbeeld it-auditors of penetratietesters zijn.
Transparantie over opgetreden beveiligingsincidenten
Afspraken over de inhoud van rapportages over beveiligingsincidenten en datalekken, de criteria voor rapportage van incidenten en de snelheid waarmee wordt gerapporteerd. In de afspraken is opgenomen dat de bewerker beveiligingsincidenten en datalekken die (mogelijk) gevolgen hebben voor betrokkenen meteen rapporteert en dat de bewerker waar nodig ook meewerkt aan het adequaat informeren van de betrokkenen.
Verwerking door subbewerkers
Afspraken over het al dan niet toestaan van verwerking door subbewerkers, met daarbij de eventuele beperkingen. Beperkingen zijn bijvoorbeeld dat de bewerker subbewerkers mag inschakelen maar dat de subbewerkers geen subsubbewerkers in mogen schakelen of dat bij de verwerking van specifieke klassen van persoonsgegevens geen subbewerkers mogen worden ingeschakeld.
Als bewerking door subbewerkers is toegestaan, dan is in de bewerkersovereenkomst opgenomen dat met de subbewerkers overeenkomsten moeten worden afgesloten en dat alle verplichtingen uit het bewerkerscontract die relevant zijn voor de beveiliging van de verwerkte persoonsgegevens daarin moeten worden overgenomen.
Verwerking van de persoonsgegevens buiten Nederland
Afspraken over welke persoonsgegevens in welke landen worden verwerkt.
Voorwaarden voor heronderhandeling of beëindiging van de overeenkomst
Afspraken over heronderhandeling van de bewerkersovereenkomst als een wijziging in de verwerkte persoonsgegevens of in de betrouwbaarheidseisen daar aanleiding toe geeft. Bij de afspraken is ook een noodplan opgenomen voor het geval een van de partijen de relatie wil beëindigen voor het einde van de looptijd van de overeenkomst. Verder is vastgelegd hoe en in welke vorm de verantwoordelijke de verwerkte persoonsgegevens weer ter beschikking krijgt en hoe wordt geborgd dat de bewerker na het beëindigen van de relatie niet meer over de persoonsgegevens kan beschikken.
Zoals aangegeven moet de bewerker als hij gebruikmaakt van subbewerkers, met deze subbewerkers overeenkomsten afsluiten. In deze overeenkomsten moeten bovengenoemde onderwerpen worden afgedekt en moeten alle bepalingen uit het bewerkerscontract worden overgenomen die relevant zijn voor de beveiliging van de verwerkte persoonsgegevens.
Bewerkers die gevestigd zijn buiten de eu of die persoonsgegevens verwerken buiten de eu, hebben in veel gevallen maatregelen getroffen om de doorvoer van persoonsgegevens vanuit de eu mogelijk te maken. Een voorbeeld van een dergelijke maatregel, die door Amerikaanse bedrijven wordt gebruikt, is certificering van de bewerker op basis van het Safe Harbor-raamwerk.109Export.gov, U.S.-EU Safe Harbor (http://export.gov/safeharbor/eu/index.asp). Deze maatregelen worden getroffen in aanvulling op bovenstaande beveiligingsmaatregelen en vormen op zichzelf geen waarborg voor de adequate beveiliging van de verwerkte persoonsgegevens. Evenmin biedt de Safe Harbor-certificering zekerheid over de waarborgen bij de eventuele subbewerkers.
De verantwoordelijke stelt vast dat de afspraken in de bewerkersovereenkomst daadwerkelijk worden nageleefd.
“De verantwoordelijke ziet toe op de naleving van [de technische en organisatorische beveiligingsmaatregelen door de bewerker].”110Artikel 14 lid 1 Wbp.
Bij de beoordeling van het toezicht op naleving van de gemaakte afspraken onderkent het CBP in ieder geval de volgende kernpunten:
Controle en beoordeling van de dienstverlening door de bewerker111Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.2.2.
De verantwoordelijke stelt vast dat de afspraken uit de bewerkersovereenkomst daadwerkelijk worden nageleefd. Hij stelt in ieder geval vast dat de bewerker overeengekomen rapportages daadwerkelijk levert en beoordeelt deze ook inhoudelijk. Verder maakt hij om voldoende zekerheid te krijgen over de naleving gebruik van bijvoorbeeld audits of andere onderzoeken door onafhankelijke partijen.
Beoordeling en afhandeling van beveiligingsincidenten en datalekken112Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 13.1.2.
De verantwoordelijke beoordeelt de beveiligingsincidenten en datalekken die worden gerapporteerd door de bewerker of door eventuele subbewerkers. Datalekken die onder een wettelijke meldplicht vallen, meldt hij bij de betreffende toezichthouder. Als hij daartoe wettelijk verplicht is of als er anderszins aanleiding voor is, informeert hij ook de betrokkenen over het beveiligingsincident of het datalek.
Beheer van wijzigingen in de dienstverlening door de bewerker113Deze maatregel wordt nader uitgewerkt in NEN-ISO/IEC 27002:2007 nl, paragraaf 10.2.3.
De verantwoordelijke stelt periodiek vast dat de beveiligingsmaatregelen die met de bewerker zijn overeengekomen nog steeds aantoonbaar overeenstemmen met de betrouwbaarheidseisen en neemt het initiatief tot aanpassing als dat niet meer het geval is. Van wijzigingen die de bewerker initieert stelt de verantwoordelijke vast dat na implementatie nog steeds aan de betrouwbaarheidseisen wordt voldaan.
Effectieve controle en beoordeling van de dienstverlening vereisen een samenspel tussen twee partijen: de verantwoordelijke, die daadwerkelijk moet controleren en beoordelen, en de bewerker, die de verantwoordelijke daartoe de mogelijkheid moet bieden. Naast rapportages door de bewerker en onderzoek door een onafhankelijke derde in opdracht van de verantwoordelijke, staat beide partijen daarbij nog een aantal andere instrumenten ter beschikking. Deze instrumenten worden onderstaand toegelicht.
Het eerste instrument is de Third Party Mededeling (TPM). Een TPM is een verklaring van een onafhankelijke externe deskundige, waarin deze een oordeel geeft over de maatregelen die een bewerker heeft getroffen. De TPM wordt opgesteld in opdracht van de bewerker en wordt verstrekt aan de verantwoordelijken die gebruikmaken van de diensten van de bewerker. Het doel van het verstrekken van een TPM is om de verantwoordelijken inzicht te bieden in de getroffen maatregelen, zonder dat iedere verantwoordelijke daar zelf onderzoek naar hoeft te (laten) doen. Afspraken over te verstrekken TPM”s worden vastgelegd in het bewerkerscontract.
Het tweede instrument is certificering. Certificering houdt in dat de maatregelen van de bewerker door een geaccrediteerde onafhankelijke externe deskundige worden getoetst aan een norm. Relevante normen in dit verband zijn NEN-ISO/IEC 27001:2005 nl, die betrekking heeft op de wijze waarop de bewerker de informatiebeveiliging stuurt en beheerst, en NEN-ISO-IEC 20000-1:2011 en, die betrekking heeft op de sturing en beheersing van de dienstverlening door de bewerker. Certificering vindt plaats op initiatief van de bewerker. Als de verantwoordelijke dit instrument in wil zetten, kiest hij voor een bewerker die tegen de relevante norm(en) is gecertificeerd.
Het is aan de verantwoordelijke om voor zijn specifieke situatie vast te stellen hoe veel zekerheid hij aan het gebruik van deze instrumenten kan ontlenen en of hij met alle middelen die hij tot zijn beschikking heeft in staat is om te voldoen aan zijn wettelijke verplichting om toezicht te houden op de naleving van de technische en organisatorische beveiligingsmaatregelen door de bewerker.
De verantwoordelijke voert periodiek een evaluatie uit van de bewerking door een bewerker en past deze bewerking waar nodig aan. Als zich tussentijds grote veranderingen voordoen, beoordeelt hij deze en voert hij de eventueel noodzakelijke aanpassingen door.
De verantwoordelijke stelt periodiek, of wanneer de omstandigheden daar aanleiding toe geven, vast of er nog steeds sprake is van “voldoende waarborgen [...] ten aanzien van de technische en organisatorische beveiligingsmaatregelen”114Artikel 14 lid 1 Wbp. en of de bewerker nog steeds “de verplichtingen nakomt die op de verantwoordelijke rusten ingevolge artikel 13.”115Artikel 14 lid 3 Wbp. Waar nodig voert hij aanpassingen door.
Bij grote veranderingen in de dienstverlening door de bewerker en eventuele subbewerkers stelt de verantwoordelijke vast of de gemaakte afspraken nog steeds toereikend zijn. Van dergelijke veranderingen is bijvoorbeeld sprake als de bewerker wordt overgenomen of een ingrijpende aanpassing doorvoert in zijn algemene voorwaarden. Ook grote veranderingen bij de verantwoordelijke zelf kunnen hier aanleiding toe geven, bijvoorbeeld als in de nieuwe situatie de persoonsgegevens die de bewerker verwerkt veel gevoeliger zijn dan voorheen het geval was.
Het aanbod aan dienstverlening kan in de loop van de tijd veranderen en ook kunnen de ervaringen die de verantwoordelijke met de bewerker heeft opgedaan aanleiding zijn om voor een andere bewerker of een andere vorm van dienstverlening te kiezen. Verder kan de aard van de verwerking of van de verwerkte persoonsgegevens in de loop van de tijd leiden tot nieuwe of andere risico”s voor de betrokkenen, bijvoorbeeld als gevolg van maatschappelijke ontwikkelingen. De verantwoordelijke voert daarom een periodieke evaluatie uit en kiest op basis daarvan zo nodig voor een andere bewerker, een andere vorm van dienstverlening of voor aanscherping van de afspraken in het bewerkerscontract. Bij dit laatste neemt de verantwoordelijke ook de getrokken lessen uit de opgetreden beveiligingsincidenten mee.
Artikel 4
Beveiliging bij verwerking door een bewerker
Onderdeel van CBP richtsnoeren: beveiliging van persoonsgegevens· Privacy
Deze tekst geldt sinds 1 maart 2013