De AVG gaat uit van een lifecycle data protection management system, zie artikel 25 AVG – Gegevensbescherming door ontwerp en door standaardinstellingen (ook wel Privacy by Design en Privacy by Default). De verwerkingsverantwoordelijke treft risk based beheersmaatregelen én zorgt voor compliance met wettelijke en contractuele verplichtingen.
In de cursus ‘Governance en Compliance, wetgeving in breed perspectief‘ bespreken wij de juridische compliance vereisten die nader in beheersdoelen zijn uitgewerkt en concreet zijn gemaakt in beheer- en beveiligingsmaatgelen. Nu staan wij voor de taak na te gaan of de maatregelen effectief zijn geweest en dat de verwerkingsverantwoordelijke kan voldoen aan de verantwoordingsplicht. Hiermee sluiten wij AVG-regelkring; dit wordt ook aangegeven met de lifecycle data protection management system.
De FG ziet toe op de volkomenheid van de lifecycle en het bewijs van effectieve werking. De FG zal samenwerken met de CISO en compliance managers. De bedrijfsleiding doet een operationeel beroep de FG als een organisaties bestaat uit een beperkte bezetting van rollen.
De bedrijfsleiding en het afdelingsmanagement en -coördinatoren zijn betrokken bij het samenstellen van de verantwoording op basis van het systematisch verzamelde bewijs van effectieve werking van beheers- en beveiligingsmaatregelen.
Er ontstaat voor de accountant, belast met de controle (of samenstellen) van de jaarrekening, in het lifecycle data protection management system een object van onderzoek voor het afgeven van een verklaring bij de verantwoording door de bedrijfsleiding (in het bestuursverslag).
Doelgroep
De bedrijfsleiding kan de wettelijke en contractuele verplichtingen met betrekking tot het effectief beschermen van persoonsgegevens afleiden (zie de cursus Governance en Compliance, wetgeving in breed perspectief). Voor het concretiseren van de verplichtingen maken wij gebruik van de door de wetgever aangereikte gedragscode (artikel 40 – 43 AVG) die wij plaatsen binnen de cyclus van de maatschappelijke verantwoording. Hiermee ontstaat een genuanceerd lifecycle data protection management system.
De cursist maakt kennis met deze concepten en legt verbanden. Ter illustratie behandelen wij een voorbeeld van het toepassen van een gedragscode en een lifecycle data protection management system waar de compliace requirements, control objectives, en controls in business processes zijn opgenomen.
Voor het afleggen van verantwoording over de effectiviteit van beheersmaatregelen waarmee de persoonsgegevens effectief zijn beschermd zullen een aantal essentiële vraagstukken worden besproken:
- Voor de bedrijfsleiding is het verantwoordingsmodel en de lifecycle data protection management system volkomen om een verantwoording af te leggen. Met name het afleiden van beheersdoelen, het verzamelen van bewijs van effectieve werking van beheers- en beveiligingsmaatregelen en reageren van incidenten en datalekken vormen onderwerpen van gesprek;
- Het Risk Register geeft gemotiveerd aan al dan niet nadere onderzoeken in te stellen. Hoe bedient de bedrijfsleiding het management het Risk Register en wat zijn objectieve maatregelen van belang? en
- Het inrichten van de compliance cyclus dat leidt tot een verantwoording van de leiding kan op verschillende manieren worden georganiseerd. Een aantal scenario’s.
Het organiseren van governance, risk en compliance met wettelijke en contractuele verplichting op het vlak van beschermen persoonsgegevens en over de uitkomsten verantwoording aan het maatschappelijk verkeer afleggen vraagt op een duidelijk projectplan, strakke planning en doortastende leiding van de compliance manager in samenwerking met de FG.
In de cursus behandelen wij verschillende varianten van plannen van aanpak, de uitwerking, het beoordelen van bevindingen en uiteindelijk risk based opstellen van de verantwoording van de bedrijfsleiding, het verslag van bevindingen voor het bestuursverslag en managen van de accountant belast met de controle van de maatschappelijke verantwoording waarbinnen de verantwoordingsplicht AVG is opgenomen.
Cursisten nemen wij mee in het paradigma van registeraccountants en IT-Auditors en wat de scope en reikwijdte van hun bevestiging van de verantwoording van de bedrijfsleiding kan zijn.
Cursuscategorie governance en compliance
De bedrijfsleiding wenst het organiseren van de verantwoordingsplicht beschermen persoonsgegevens praktisch uit te voeren. Wij sluiten daarom aan bij het samenstellen van de interne en externe privacypolicy als is een resultaat van een beleidsvoorbereidingscyclus.
De rol van de FG is bij het uitschrijven of toezien op governance en compliance is niet vrijblijvend of kan naar believen worden ingericht. De wetgever en de toezichthouder verwachten inbreng van de FG én de FG ziet erop toe dat het organiseren van de verantwoordingsplicht adequaat plaatsvindt.
