De wetgever vraagt om een register van verwerkingen en vraagt van de verwerkingsverantwoordelijke zich te verantwoorden voor het effectief beschermen van persoonsgegevens. Uitgaande van de eisen aan het vastleggen van fiscale feiten en de professionele eisen van registeraccountants en IT-Auditors aan afgeleide objecten van onderzoeken ontstaat een PSCa. Deze risico gedreven administratie vormt een fundament voor het organiseren van de privacybescherming zoals in de wet bedoeld en guidelines van de toezichthouders uit gewerkt is.
Voor de bedrijfsleiding en het afdelingsmanagement kunnen wij de waarde van een PSCa vergelijken met een financiële administratie waarin alle financiële en fiscale feiten systematisch zijn vastgelegd.
Doelgroep
De bedrijfsleiding en het management begrijpen dat er een systematische vastlegging nodig is voor financiële en fiscale feiten in een financiële administratie. De vastleggingen in deze administratie vormen de basis voor managementrapportages. De eisen aan een financiële administratie zijn ook verwerkt in een PSCa omdat deze administratie niet door toezichthouders verworpen mag worden.
De Reputatiemanager onderhoudt de corporate family, werkt met het management de afdelingen en rollen uit en doet dat ook voor de bedrijfsactiviteiten en bedrijfsprocessen waarin de rollen zijn opgenomen.
In de bedrijfsprocessen zijn “by design” beheers-, beveiligings-, en compliance-maatregelen opgenomen. De compliance manager plant en voert assessments/ onderzoeken uit en neemt de resultaten op in de PSCa. De compliance-manager gebruikt risicoregister aandachtsgebieden voor verbetering aan te wijzen.
Vanuit het perspectief van de bedrijfsvoering is het evident dat er een accountingsysteem nodig is voor het verzamelen en vastleggen van privacy-, security-, en compliance-feiten. De verwerkingsverantwoordelijke heeft ook een verantwoordelijkheid naar de betrokkene die regie uit oefent over de eigene gegevens. Beschikt de betrokkene over een systeem waarmee effectief regie over eigen gegevens kan worden uitgeoefend?
Doelen
Centrale vraag in deze cursus is: waarom heeft de bedrijfsleiding privacy-, security-, en compliance-accounting nodig? De wet vraagt slechts om een register met verwerkingen! Wij verzamelen de argumenten uit de AVG, plaatsen deze in een perspectief en leiden de noodzaak voor privacy, security en compliance accounting af. De belangrijkste argumenten:
- De bedrijfsleiding van een verwerkingsverantwoordelijke verantwoordt zich voor het effectief beschermen van persoonsgegevens. Deze verantwoording is een resultaat- en geen inspanningsverplichting. De bedrijfsleiding kan zich verantwoorden over de werking van de getroffen maatregelen als het bewijs van effectieve werking systematisch en ondubbelzinnig is verzameld en vastgelegd zoals dit ook voor financiële en fiscale verantwoordingen plaatsvindt;
- De verwerkingsverantwoordelijke kent haar verantwoordelijkheids- en aansprakelijkheidsdomein. De verwerkingsverantwoordelijke draagt verantwoordelijkheid voor verwerkers die in opdracht persoonsgegevens verwerken. Wij kunnen dit beschouwen als een vorm van ketenverantwoordelijkheid en -aansprakelijkheid;
- Er is sprake van een risicogerichte organisatie van beheers-, beveiligings-, en compliance-maatregelen. De accounting is gericht op een model van ‘comply or explain not to comply’ met wettelijke en contractuele verplichtingen gericht op het effectief beschermen van persoonsgegevens. Het documenteren van de risicogerichte afwegingen is essentieel achteraf verantwoording af te leggen; en
- De accounting beschouwen wij vanuit het bedrijfs- en betrokkene perspectief.
De accounting faciliteert een risicoregister waar de bevindingen van interne compliance-maatregelen en incidenten/ datalekken en onderzoeken spiegelen in de controledoelstellen die afgeleid zijn uit wettelijke, contractuele en beleidsmatige compliance verplichtingen.
Professionals van Duthler Associates beheren de functionele en non-functionele eisen aan een Privacy-, Security en Compliance-administratie (PSCa) en SBR Powerhouse werkt deze eisen uit in een IT-systeem. Het SBC Managementsysteem. In de workshop maken de cursisten desgewenst kennis met het managementsysteem en beoordeelt in hoeverre de functionaliteiten ondersteund worden.
MYOBI gebruikt ten behoeve van gebruikers de functionele en non-functionele eisen aan een Privacy-, Security en Compliance-administratie (PSCa) voor het organiseren van de verantwoordingsplicht van een verwerkingsverantwoordelijke op basis van een gedragscode. In de workshop bespreken wij de randvoorwaardelijke betekenis van de PSCa voor het organiseren van de verantwoordingsplicht.
Door operationele systemen te bespreken maken wij het accountingmodel tastbaar. Desgewenst kunnen wij andere voorbeelden van accounting bespreken.
Wij bereiden graag casussituaties van deelnemers aan de cursus voor en bespreken mogelijke oplossingen.
Cursuscategorie Assessment & Audit
Het toepassen van een accounting model is een context voor het plannen en uitvoeren van assessments en organiseren van de verantwoordingsverplichting. Het operationaliseren van de accounting in een Privacy-, Security-, en Compliance-administratie (PSCa) biedt de mogelijkheid systematische het bewijs van effectieve werking van getroffen maatregelen te verzamelen en vast te leggen waardoor een risicogerichte organisatie van de privacy van betrokkenen mogelijk wordt.
De PSCa is essentieel voor de bedrijfsleiding te voldoen aan de verantwoordingsplicht en geeft de mogelijkheid de verantwoording te voorzien van een bevestiging van een (IT-)Auditor.
