# Vragenlijst COA project Privacy Impact Assessment Rijksdienst (PIA)

- Type: Tools
- Source: Rijksoverheid
- Date: 2021-01-29
- Original: https://open.overheid.nl/details/ronl-07875f55-f15c-4470-bfb1-b75d814f25c3
- Canonical: https://overview.legal/posts/615082
- Topics: DPIA, Anonymization, Personal Data, Security, Pseudonymization, Processing, Accuracy, Consent, Legitimate Interest, Transparency

## Sections (27)

### ¶1

COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Datum laatst gewijzigd: wo 16 sep 2015 PIA-Kort - Onderdeel 2: Vragenlijst Stap 2 (van 3). Vul onderstaande vragenlijst in en beargumenteer helder je keuzes. Bepaal indien nodig (in overleg met een informatiebeveiligingsdeskundige) gepaste maatregelen om de risico's te mitigeren. Code Nr Gp Vraag Voorbeeld / specificatie van vraag Ja/ Nee - 1 1 Groep 1: Het Traject 1.4 6 1 Is het doel van de verwerking van persoonsgegevens binnen het traject voldoende SMART omschreven? SMART staat voor: - Specifiek; de doelstelling moet eenduidig zijn. - Meetbaar; onder welke (meetbare /observeerbare) voorwaarden of vorm is het doel bereikt. - Acceptabel; of deze acceptabel genoeg is voor de doelgroep en/of het management; is er iemand verantwoordelijk voor het realiseren van het doel? - Realistisch; of de doelstelling haalbaar is. - Tijdgebonden; wanneer (in de tijd) het doel bereikt moet zijn.

> Topics: Personal Data, DPIA, Processing

### ¶2

JA 1.5.e 11 1 Is er sprake van: Een nieuwe verwerking van persoonsgegevens? Het gebruik van gegevens voor andere bedrijfsprocessen dan waarvoor ze zijn verzameld, of bredere verspreiding van de gegevens binnen of buiten de organisatie NEE 1.5.f 12 1 Is er sprake van: Het verzamelen van meer of andere persoonsgegevens dan voorheen of van een nieuwe manier van verzamelen? Voorbeeld: gegevensverrijking door enquêtes en klantonderzoek of benadering van klanten/burgers op basis van beschikbare gegevens voor nieuwe producten of diensten JA 1.5.g 13 1 Is er sprake van: Gebruik van al verzamelde gegevens voor een nieuw doel of een nieuwe manier van gebruiken? Voorbeeld: het samenvoegen van interne databases om klantprofielen op te stellen NEE - 19 2 Groep 2: De Gegevens 2.1 20 2 Zijn alle gegevens nodig om het doel te bereiken (worden er zo min mogelijk gegevens verzameld)? Houd bij de beantwoording rekening met: 1.

> Topics: Personal Data, Processing

### ¶3

Is per data-element vastgesteld wat de toegevoegde waarde is en waarom dit noodzakelijk is? 2. Kan volstaan worden met het gebruik van alleen ja/nee in plaats van het volledige gegeven? 3. Kan volstaan worden met het verschil tussen twee waarden in plaats van beide waarden afzonderlijk? 4. Kan gebruikgemaakt worden van andere wiskundige methodieken (Voorbeeld: voor het bepalen van afwijkingen)? JA 2.2 21 2 Kan het doel met geanonimiseerde of pseudo- anonieme gegevens worden bereikt terwijl daar op dit moment geen gebruik van wordt gemaakt? Door gegevens pseudoanoniem te maken, worden de direct identificerende gegevens van de betrokkene op een eenduidige wijze vervangen, waardoor in de toekomst bepaalde partijen nog steeds gegevens kunnen toevoegen, maar de uniek identificerende gegevens niet meer teruggehaald kunnen worden. Door anonimiseren worden alle direct uniek identificerende gegevens verwijderd NEE - 30 3 Groep 3: De Betrokken partijen PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 1 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Code Nr Gp Vraag Voorbeeld / specificatie van vraag Ja/ Nee 3.2 32 3 Zijn er (na afronding van het traject) bij het verzamelen en verder verwerken van de gegevens meerdere externe partijen betrokken?

> Topics: DPIA, Anonymization, Personal Data

### ¶4

Houd bij beantwoording rekening met: 1. Voor en door wie het traject wordt uitgevoerd. 2. Welke partijen gebruikmaken van de gegevens. 3. Of andere partijen worden ingeschakeld voor het bereiken van het doel (wordt de verwerking van gegevens geoutsourced). 4. Of de gegevens worden verkocht. 5. Welke personen buiten de organisatie toegang hebben tot de gegevens. NEE 3.2.2 34 3 Is de verstrekking van de gegevens aan derde partijen in lijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld? Houd bij beantwoording rekening met: 1. Wat het doel is/zijn voor het gebruik van de gegevens. 2. Welke gegevens aan wie worden verstrekt voor welk doel. 3. Of de verstrekking aan andere partijen een wettelijke verplichting is. 4. Of de gegevens verkocht worden aan andere partijen. 5. Of andere partijen ingeschakeld worden voor het bereiken van het doel (outsourcing). 6. Hoe vaak (frequentie) worden de gegevens aan andere partijen verstrekt (eenmalig, periodieke update, continue). 7.

> Topics: Recipient

### ¶5

Op welke wijze gegevens worden verstrekt aan andere partijen. 8. Of wordt vastgelegd aan welke partijen gegevens worden verstrekt. 9. Of de andere partij soortgelijke gegevens ontvangt op basis waarvan te herleiden valt op wie de gegevens betrekking hebben (indien deze geanonimiseerd of gepseudonimiseerd zijn). JA - 36 4 Groep 4: Verzamelen van gegevens 4.3 39 4 Verzamelt u de gegevens op basis van een van de wettelijke grondslagen? De Wbp kent een beperkt aantal grondslagen op basis waarvan gegevens mogen worden verwerkt: 1. U vraagt toestemming. 2. De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene een partij is. 3. De gegevens zijn nodig voor het volgen van een wettelijke verplichting. 4. De betrokkene heeft er een vitaal belang bij dat u de gegevens verzamelt. 5. De gegevens zijn nodig voor de goede vervulling van een publiekrechtelijke taak. 6.

> Topics: Personal Data, Consent

### ¶6

U hebt een gerechtvaardigd belang bij de verwerking. JA 4.4 43 4 Informeert u de betrokkene dat de gegevens worden verzameld? Houd bij de beantwoording rekening met: 1. Waar de gegevens vandaan komen (van de betrokkene, een interne afdeling, een andere partij, uit eigen waarneming, et cetera). 2. Op welke wijze de gegevens worden verzameld. 3. De mogelijkheid dat de betrokkene redelijkerwijs op de hoogte kan zijn van de verwerking van de gegevens. 4. De mate waarin de betrokkene wordt geïnformeerd. 5. De gebruikte technologie. 6. Wat het doel is/ doelen zijn voor het gebruik. 7. Of de gegevens of uitkomsten van gegevensbewerking intern binnen het bedrijf verspreid worden. 8. Op welke wijze (mondeling, schriftelijk, automatisch, elektronisch, waarneming, papier) worden de gegevens aan andere partijen verstrekt. 9. Hoe lang de gegevens worden bewaard. JA PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 2 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Code Nr Gp Vraag Voorbeeld / specificatie van vraag Ja/ Nee 4.4.1 44 4 Bij Nee op vraag 43: Kunnen de betrokkenen op de hoogte zijn van het verzamelen van de gegevens?

> Topics: DPIA, Legitimate Interest, Personal Data

### ¶7

JA 4.4.2 45 4 Bij Ja op vraag 43: Laat u de betrokkene weten waarom de gegevens worden verzameld (wat u er mee gaat doen)? NEE 4.4.3 46 4 Bij Ja op vraag 43: Laat u de betrokkene weten aan wie de gegevens worden verstrekt (daar waar dit geen wettelijke verplichting is)? JA - 48 5 Groep 5: Gebruik van gegevens 5.1 49 5 Is het gebruik van de gegevens verenigbaar (in lijn) met het doel van het verzamelen? Houd bij beantwoording rekening met: 1. Wat het verzameldoel is. 2. Waarvoor de gegevens worden gebruikt. 3. Welke gegevens worden verzameld. 4. Of deze gegevens bijzondere gegevens betreffen. 5. Waar gegevens vandaan komen, van de betrokkene, een interne afdeling, een andere partij, uit eigen waarneming, et cetera. 6. Hoe vaak (frequentie) de gegevens worden verzameld (eenmalig, regelmatig of voortdurend). 7. Op welke wijze (mondeling, schriftelijk, automatisch, elektronisch, waarneming, papier) de gegevens worden verzameld en verspreid. 8.

> Topics: Personal Data

### ¶8

Welke afdelingen/personen en andere partijen toegang hebben tot de gegevens. JA 5.4 53 5 Worden op basis van de gegevens beslissingen genomen over de betrokkenen? NEE 5.4.1 54 5 Bij "Ja" op vraag 53: leveren de gegevens een juist, volledig, en actueel beeld op van de betrokkene? Houd bij beantwoording rekening met: 1. Wat het doel is van het verzamelen van de gegevens. 2. Welke gegevens (data-elementen) er worden verzameld. 3. Of gegevens worden gecontroleerd (frequentie en aspecten). 4. Of de gegevens kunnen worden gecorrigeerd. 5. Hoe vaak de gegevens worden geüpdatetet. 6. Hoe de gegevens worden gecheckt op betrouwbaarheid (actualiteit, volledigheid, juistheid) en op relevantie voor het doel. 7. Wat de gevolgen (kunnen) zijn van het gebruiken van onjuiste gegevens. 8. Of de gegevens gebruikt worden om profielen op te stellen. 9. Of de profielen op individueel niveau worden opgeslagen. 10.

> Topics: Accuracy, Personal Data

### ¶9

Welke profielen worden gebruikt. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 3 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Code Nr Gp Vraag Voorbeeld / specificatie van vraag Ja/ Nee 5.7.1 58 5 Is het doorgeven van de gegevens aan partijen buiten de organisatie in lijn met de verwachtingen van de betrokkene? Houd bij beantwoording rekening met: 1. Voor en door wie het project wordt uitgevoerd. 2. Wat voor technologie wordt gebruikt. 3. Of de betrokkene redelijkerwijs op de hoogte kan zijn van de verwerking van de gegevens. 4. Of betrokkenen toestemming geven om gegevens te verzamelen. 5. Wat het doel/de doelen is/zijn voor het gebruik. 6. Of alle gegevens noodzakelijk zijn voor het doel. 7. Welke personen toegang hebben tot de gegevens. 8.

> Topics: DPIA, Personal Data, Consent

### ¶10

Andere partijen die ook gebruikmaken van de gegevens. 9. Welke gegevens (data elementen) aan andere partijen worden verstrekt. 10.Hoelang de gegevens bewaard worden nadat ze voor het (primaire) doel zijn gebruikt. JA - 68 7 Groep 7: Beveiliging 7.1 69 7 Is duidelijk hoe het traject er voor zorgt dat aan de op het gebied van privacy gestelde eisen in het beveiligingsbeleid gaat worden voldaan? Ten aanzien van privacy volgt uit het informatiebeveiligingsbeleid dat de persoonsgegevens geclassificeerd dienen te zijn en de beveiliging van deze gegevens passend dient te zijn bij deze classificatie en bij de privacyrisico’s. Indien dat niet het geval is dienen aanvullende beveiligingsmaatregelen te worden genomen. De classificatie en de beveiligingsmaatregelen dienen bepaald te worden middels een risicoanalyse.Deze risicoanalyse dient dus in het projectvoortbrengingsproces (indien het om een nonstandaard change gaat in het change proces) uitgevoerd te worden.

> Topics: Personal Data, Security

### ¶11

Informatie over een risicoanalyse methodiek is in te winnen bij de CISO. JA PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 4 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Datum laatst gewijzigd: PIA-Kort - Onderdeel 2: Vragenlijst Stap 2 (van 3). Vul onderstaande vragenlijst in en beargumenteer helder je keuzes. Bepaal indien nodig (in overleg met een informatiebeveiligingsdeskundige) gepaste maatregelen om de risico's te mitigeren. Nr Gp Vraag 1 1 Groep 1: Het Traject 6 1 Is het doel van de verwerking van persoonsgegevens binnen het traject voldoende SMART omschreven? 11 1 Is er sprake van: Een nieuwe verwerking van persoonsgegevens? 12 1 Is er sprake van: Het verzamelen van meer of andere persoonsgegevens dan voorheen of van een nieuwe manier van verzamelen? 13 1 Is er sprake van: Gebruik van al verzamelde gegevens voor een nieuw doel of een nieuwe manier van gebruiken? 19 2 Groep 2: De Gegevens 20 2 Zijn alle gegevens nodig om het doel te bereiken (worden er zo min mogelijk gegevens verzameld)? 21 2 Kan het doel met geanonimiseerde of pseudo- anonieme gegevens worden bereikt terwijl daar op dit moment geen gebruik van wordt gemaakt? 30 3 Groep 3: De Betrokken partijen Argumentatie (Verplicht!)

> Topics: Personal Data, DPIA, Processing, Anonymization

### ¶12

Enerzijds kan verwezen worden naar het Juridisch document (Juridisch kader Gegevensverwerking in het kader van project IGTV). Specifiek inzicht krijgen in vreemdelingenpopulaties voor het garanderen van Nat. Veiligheid. Op Persoonsniveau worden er rapportages aan de AVIM's geleverd. Indien het een opsporingszaak betreft moet de gegevenslevering Juridisch worden geborgd> er wordt dan navraag gedaan bij het COA. Er is geen sprake van een nieuwe verwerking maar van een uitbreiding De gegevenslevering aan het NVIK wordt uitgebreid. Ja, de Politie heeft in een onderhoud d.d. 01.06.2017 aan COA duidelijk gemaakt dat een totaal overzicht van de gevraagde gegevens nodig is voor het monitoren van de nationale veiligheid. zie de vorige vraag PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 5 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 32 3 Zijn er (na afronding van het traject) bij het verzamelen en verder verwerken van de gegevens meerdere externe partijen betrokken? 34 3 Is de verstrekking van de gegevens aan derde partijen in lijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld? 36 4 Groep 4: Verzamelen van gegevens 39 4 Verzamelt u de gegevens op basis van een van de wettelijke grondslagen? 43 4 Informeert u de betrokkene dat de gegevens worden verzameld?

> Topics: Law Enforcement, DPIA, Personal Data

### ¶13

Argumentatie (Verplicht!) De NVIK gebruikt de gegevens voor het analyseren van veiligheidsvraagstukken. Voor opsporingszaken wordt nooit gebruik gemaakt van de gegevens in de informatiepostbus. De NVIK deelt de gegevens niet met derden. Wet COA Ja bij binnenkomst bij het COA wordt de asielzoeker op de hoogte gesteld dat zijn/haar gegevens gedeeld worden met de ketenpartners. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 6 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 44 4 Bij Nee op vraag 43: Kunnen de betrokkenen op de hoogte zijn van het verzamelen van de gegevens? 45 4 Bij Ja op vraag 43: Laat u de betrokkene weten waarom de gegevens worden verzameld (wat u er mee gaat doen)? 46 4 Bij Ja op vraag 43: Laat u de betrokkene weten aan wie de gegevens worden verstrekt (daar waar dit geen wettelijke verplichting is)? 48 5 Groep 5: Gebruik van gegevens 49 5 Is het gebruik van de gegevens verenigbaar (in lijn) met het doel van het verzamelen? 53 5 Worden op basis van de gegevens beslissingen genomen over de betrokkenen? 54 5 Bij "Ja" op vraag 53: leveren de gegevens een juist, volledig, en actueel beeld op van de betrokkene?

> Topics: DPIA, Personal Data

### ¶14

Argumentatie (Verplicht!) zie vraag 43. regelement rondom de BVV is openbaar. Gegevensuitwisseling in de Grote Keten. zie vraag 43. zie vraag 1. nvt PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 7 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 58 5 Is het doorgeven van de gegevens aan partijen buiten de organisatie in lijn met de verwachtingen van de betrokkene? 68 7 Groep 7: Beveiliging 69 7 Is duidelijk hoe het traject er voor zorgt dat aan de op het gebied van privacy gestelde eisen in het beveiligingsbeleid gaat worden voldaan? Argumentatie (Verplicht!) zie vraag 43 en 45. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 8 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Datum laatst gewijzigd: PIA-Kort - Onderdeel 2: Vragenlijst Stap 2 (van 3).

> Topics: DPIA, Personal Data

### ¶15

Vul onderstaande vragenlijst in en beargumenteer helder je keuzes. Bepaal indien nodig (in overleg met een informatiebeveiligingsdeskundige) gepaste maatregelen om de risico's te mitigeren. Nr Gp Vraag 1 1 Groep 1: Het Traject 6 1 Is het doel van de verwerking van persoonsgegevens binnen het traject voldoende SMART omschreven? 11 1 Is er sprake van: Een nieuwe verwerking van persoonsgegevens? 12 1 Is er sprake van: Het verzamelen van meer of andere persoonsgegevens dan voorheen of van een nieuwe manier van verzamelen? 13 1 Is er sprake van: Gebruik van al verzamelde gegevens voor een nieuw doel of een nieuwe manier van gebruiken? 19 2 Groep 2: De Gegevens 20 2 Zijn alle gegevens nodig om het doel te bereiken (worden er zo min mogelijk gegevens verzameld)? 21 2 Kan het doel met geanonimiseerde of pseudo- anonieme gegevens worden bereikt terwijl daar op dit moment geen gebruik van wordt gemaakt? 30 3 Groep 3: De Betrokken partijen Toelichting bij antwoord Ja / Nee Als nee: Een SMART omschreven doelstelling is essentieel voor het maken van keuzes voor het inrichten van een kwalitatief goede gegevensverwerking.

> Topics: Personal Data, Processing, Anonymization

### ¶16

Bovendien loopt jouw organisatie compliance risico’s als het doel niet voldoende precies is omschreven.(zie Art. 7 Wbp) Als nee: Het verwerken van zo min mogelijk gegevens heeft een aantal voordelen: - De benodigde opslag en rekencapaciteit van je computer systemen is lager, waardoor prestaties, hersteltijden en service niveaus kunnen worden verhoogd. - Je hoeft minder gegevens te onderhouden en updaten, en de kans op fouten wordt verkleind. - Bovendien loopt jouw organisatie compliance risico’s als je te veel gegevens voor het doel verzamelt. (zie Art 9, lid 1 en 2 Wbp) Als ja: Je loopt een verhoogd risico door het gebruiken van persoonsgegevens. Door het gebruik van geanonimiseerde en/ of gepseudonimiseerde gegevens val je niet meer onder het regime van de Wbp. Je verwerkt immers geen persoonsgegevens meer. Door gegevens te anonimiseren of te pseudonimiseren kan je het nemen van verdere maatregelen ter bescherming van de privacy van de betrokkenen minimaliseren.

> Topics: Pseudonymization, Personal Data

### ¶17

Je wordt geadviseerd periodiek na te gaan of de gegevens niet indirect herleidbaar zijn. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 9 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 32 3 Zijn er (na afronding van het traject) bij het verzamelen en verder verwerken van de gegevens meerdere externe partijen betrokken? 34 3 Is de verstrekking van de gegevens aan derde partijen in lijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld? 36 4 Groep 4: Verzamelen van gegevens 39 4 Verzamelt u de gegevens op basis van een van de wettelijke grondslagen? 43 4 Informeert u de betrokkene dat de gegevens worden verzameld? Toelichting bij antwoord Ja / Nee Als ja: Je loopt een verhoogd risico. Hoe meer partijen betrokken zijn, hoe groter de kans op verlies van gegevens, onduidelijkheden in verantwoordelijkheden, het gebruik van de gegevens voor andere doelen en de kans op fouten.

> Topics: DPIA, Personal Data

### ¶18

Zorg voor een duidelijke beschrijving van de taken en verantwoordelijkheden met betrekking tot de gegevens waarbij onder andere wordt beschreven: - Beveiligen van gegevens en de afstemming daarvan tussen de partijen, - De gegevenskwaliteit - Afhandeling van fouten, - Terugmelden van fouten, - Controle, Zorg ook voor een duidelijke gegevensbeschrijving. Leg afspraken contractueel vast. Als nee: Indien gegevens verstrekt worden aan andere partijen zonder dat deze gegevens daarvoor verzameld zijn bestaat het risico dat deze gegevens niet geschikt zijn voor het doel en dat betrokkenen worden geschaad door de verdere verspreiding van de gegevens. Je hebt mogelijk een compliance risico (Zie art. 9 lid 1 en 2 Wbp). Als nee: Voor het verwerken van persoonsgegevens is een grondslag noodzakelijk. Indien deze ontbreekt, loop je een compliance risico (art. 8 Wbp). PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 10 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 44 4 Bij Nee op vraag 43: Kunnen de betrokkenen op de hoogte zijn van het verzamelen van de gegevens? 45 4 Bij Ja op vraag 43: Laat u de betrokkene weten waarom de gegevens worden verzameld (wat u er mee gaat doen)? 46 4 Bij Ja op vraag 43: Laat u de betrokkene weten aan wie de gegevens worden verstrekt (daar waar dit geen wettelijke verplichting is)? 48 5 Groep 5: Gebruik van gegevens 49 5 Is het gebruik van de gegevens verenigbaar (in lijn) met het doel van het verzamelen? 53 5 Worden op basis van de gegevens beslissingen genomen over de betrokkenen? 54 5 Bij "Ja" op vraag 53: leveren de gegevens een juist, volledig, en actueel beeld op van de betrokkene?

> Topics: Personal Data, DPIA

### ¶19

Toelichting bij antwoord Ja / Nee Als nee: Het verstrekken van informatie over welke gegevens worden verzameld draagt bij aan de transparantie en wekt vertrouwen bij de betrokkenen. Bovendien loop je een compliance risico indien de informatie niet wordt verstrekt (zie art 33 e.v. Wbp). Als nee: Het verstrekken van informatie over wat je met de verzamelde gegevens gaat doen draagt bij aan de transparantie en wekt vertrouwen bij de betrokkenen. Bovendien loop je een compliance risico indien de informatie niet wordt verstrekt (zie art. 33 e.v. Wbp). Als nee: Je wordt geadviseerd (per verstrekking) vast te leggen aan wie gegevens worden verstrekt. Eveneens wordt je geadviseerd om op het moment dat de gegevens worden verzameld, de betrokkenen te vertellen aan welke partijen de gegevens verstrekt zullen worden. Als laatste wordt je geadviseerd om als betrokkenen daarom vraagt hem te vertellen welke informatie wanneer aan wie is verstrekt.

> Topics: Transparency

### ¶20

Als nee: Het gebruik van de gegevens moet in overeenstemming met het doel van de verwerking zijn. Indien dit niet het geval is bestaat het risico dat de gegevens niet geschikt zijn voor het doel omdat bijvoorbeeld de kwaliteit niet goed is. Je loopt een compliance risico indien je hier niet aan voldoet (zie art. 9 lid 1 en 2 Wbp). Als nee: Er bestaat een verhoogd risico dat er foutieve beslissingen genomen worden op basis van de gegevens waardoor schade voor betrokkenen of de organisatie kan ontstaan als gegevens onjuist, verouderd of onvolledig zijn. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 11 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 58 5 Is het doorgeven van de gegevens aan partijen buiten de organisatie in lijn met de verwachtingen van de betrokkene? 68 7 Groep 7: Beveiliging 69 7 Is duidelijk hoe het traject er voor zorgt dat aan de op het gebied van privacy gestelde eisen in het beveiligingsbeleid gaat worden voldaan?

> Topics: DPIA, Personal Data

### ¶21

Toelichting bij antwoord Ja / Nee Als nee: Je loopt een verhoogd risico. Bij verstrekking van gegevens buiten de organisatie is het van belang dat de betrokkene hiervan op de hoogte is en dat maatregelen zijn getroffen om de gegevens te beschermen. Je loopt ook een compliance risico (zie art. 34 lid 1 onder b Wbp). Als nee: Je wordt geadviseerd tijdens het project een informatiebeveiligingsplan op te stellen met daarin beveiligingsmaatregelen / maatregelen die voor een passende bescherming van de gegevens zorgen. PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 12 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Datum laatst gewijzigd: PIA-Kort - Onderdeel 2: Vragenlijst Stap 2 (van 3). Vul onderstaande vragenlijst in en beargumenteer helder je keuzes.

> Topics: DPIA, Security, Personal Data

### ¶22

Bepaal indien nodig (in overleg met een informatiebeveiligingsdeskundige) gepaste maatregelen om de risico's te mitigeren. Nr Gp Vraag 1 1 Groep 1: Het Traject 6 1 Is het doel van de verwerking van persoonsgegevens binnen het traject voldoende SMART omschreven? 11 1 Is er sprake van: Een nieuwe verwerking van persoonsgegevens? 12 1 Is er sprake van: Het verzamelen van meer of andere persoonsgegevens dan voorheen of van een nieuwe manier van verzamelen? 13 1 Is er sprake van: Gebruik van al verzamelde gegevens voor een nieuw doel of een nieuwe manier van gebruiken? 19 2 Groep 2: De Gegevens 20 2 Zijn alle gegevens nodig om het doel te bereiken (worden er zo min mogelijk gegevens verzameld)? 21 2 Kan het doel met geanonimiseerde of pseudo- anonieme gegevens worden bereikt terwijl daar op dit moment geen gebruik van wordt gemaakt? 30 3 Groep 3: De Betrokken partijen Maatregelen Actie j/n n n n n n n PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 13 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 32 3 Zijn er (na afronding van het traject) bij het verzamelen en verder verwerken van de gegevens meerdere externe partijen betrokken? 34 3 Is de verstrekking van de gegevens aan derde partijen in lijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld? 36 4 Groep 4: Verzamelen van gegevens 39 4 Verzamelt u de gegevens op basis van een van de wettelijke grondslagen? 43 4 Informeert u de betrokkene dat de gegevens worden verzameld?

> Topics: Personal Data, DPIA, Anonymization, Processing

### ¶23

Maatregelen Actie j/n n n n n PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 14 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 44 4 Bij Nee op vraag 43: Kunnen de betrokkenen op de hoogte zijn van het verzamelen van de gegevens? 45 4 Bij Ja op vraag 43: Laat u de betrokkene weten waarom de gegevens worden verzameld (wat u er mee gaat doen)? 46 4 Bij Ja op vraag 43: Laat u de betrokkene weten aan wie de gegevens worden verstrekt (daar waar dit geen wettelijke verplichting is)? 48 5 Groep 5: Gebruik van gegevens 49 5 Is het gebruik van de gegevens verenigbaar (in lijn) met het doel van het verzamelen? 53 5 Worden op basis van de gegevens beslissingen genomen over de betrokkenen? 54 5 Bij "Ja" op vraag 53: leveren de gegevens een juist, volledig, en actueel beeld op van de betrokkene?

> Topics: DPIA, Personal Data

### ¶24

Maatregelen Actie j/n n n n n n n PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 15 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 58 5 Is het doorgeven van de gegevens aan partijen buiten de organisatie in lijn met de verwachtingen van de betrokkene? 68 7 Groep 7: Beveiliging 69 7 Is duidelijk hoe het traject er voor zorgt dat aan de op het gebied van privacy gestelde eisen in het beveiligingsbeleid gaat worden voldaan? Maatregelen Actie j/n n n PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 16 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Datum laatst gewijzigd: PIA-Kort - Onderdeel 2: Vragenlijst Stap 2 (van 3).

> Topics: DPIA, Personal Data

### ¶25

Vul onderstaande vragenlijst in en beargumenteer helder je keuzes. Bepaal indien nodig (in overleg met een informatiebeveiligingsdeskundige) gepaste maatregelen om de risico's te mitigeren. Nr Gp Vraag 1 1 Groep 1: Het Traject 6 1 Is het doel van de verwerking van persoonsgegevens binnen het traject voldoende SMART omschreven? 11 1 Is er sprake van: Een nieuwe verwerking van persoonsgegevens? 12 1 Is er sprake van: Het verzamelen van meer of andere persoonsgegevens dan voorheen of van een nieuwe manier van verzamelen? 13 1 Is er sprake van: Gebruik van al verzamelde gegevens voor een nieuw doel of een nieuwe manier van gebruiken? 19 2 Groep 2: De Gegevens 20 2 Zijn alle gegevens nodig om het doel te bereiken (worden er zo min mogelijk gegevens verzameld)? 21 2 Kan het doel met geanonimiseerde of pseudo- anonieme gegevens worden bereikt terwijl daar op dit moment geen gebruik van wordt gemaakt? 30 3 Groep 3: De Betrokken partijen Voorlopige tekst van de actie PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 17 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 32 3 Zijn er (na afronding van het traject) bij het verzamelen en verder verwerken van de gegevens meerdere externe partijen betrokken? 34 3 Is de verstrekking van de gegevens aan derde partijen in lijn met het doel waarvoor de gegevens oorspronkelijk zijn verzameld? 36 4 Groep 4: Verzamelen van gegevens 39 4 Verzamelt u de gegevens op basis van een van de wettelijke grondslagen? 43 4 Informeert u de betrokkene dat de gegevens worden verzameld?

> Topics: Personal Data, DPIA, Anonymization, Processing

### ¶26

Voorlopige tekst van de actie PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 18 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 44 4 Bij Nee op vraag 43: Kunnen de betrokkenen op de hoogte zijn van het verzamelen van de gegevens? 45 4 Bij Ja op vraag 43: Laat u de betrokkene weten waarom de gegevens worden verzameld (wat u er mee gaat doen)? 46 4 Bij Ja op vraag 43: Laat u de betrokkene weten aan wie de gegevens worden verstrekt (daar waar dit geen wettelijke verplichting is)? 48 5 Groep 5: Gebruik van gegevens 49 5 Is het gebruik van de gegevens verenigbaar (in lijn) met het doel van het verzamelen? 53 5 Worden op basis van de gegevens beslissingen genomen over de betrokkenen? 54 5 Bij "Ja" op vraag 53: leveren de gegevens een juist, volledig, en actueel beeld op van de betrokkene?

> Topics: DPIA, Personal Data

### ¶27

Voorlopige tekst van de actie PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 19 - Afdrukdatum: 5-11-2020 COA, project Privacy Impact Assessment Rijksdienst (PIA) PIA-workshop, Stap 2 - Vragenlijst Proj.nr OIT/0207-01 / BEH-P0126 0020 (oud: OIT/0108-01) Nr Gp Vraag 58 5 Is het doorgeven van de gegevens aan partijen buiten de organisatie in lijn met de verwachtingen van de betrokkene? 68 7 Groep 7: Beveiliging 69 7 Is duidelijk hoe het traject er voor zorgt dat aan de op het gebied van privacy gestelde eisen in het beveiligingsbeleid gaat worden voldaan? Voorlopige tekst van de actie PIA NVIK gegevens uitbreiding 01062017 (002).xlsx, Stap 2 - Vragenlijst - 20 - Afdrukdatum: 5-11-2020

> Topics: DPIA, Personal Data

---
Generated by overview.legal · https://overview.legal/posts/615082 · 2026-11-14