Privacy Consultant/Compliance Specialist

Dit ga je doen

Opdracht
De gemeente Gooise Meren is op zoek naar een professional die de organisatie helpt om het beheer van DPIA's en verwerkersovereenkomsten verder te professionaliseren. Daarbij kan het inzicht in de opvolging van mitigerende maatregelen worden versterkt en kan het DPIA-proces verder worden geborgd conform de PDCA-cyclus. De opdracht richt zich op het optimaliseren, completeren en duurzaam inrichten van het beheer van DPIA's en verwerkersovereenkomsten, inclusief een stevige verankering binnen het ISMS.

Doel van de opdracht
Het transparant, aantoonbaar en beheerst maken van:

• Uitgevoerde DPIA's.
• Opvolging van DPIA-maatregelen.
• Beheer van verwerkersovereenkomsten.
• Vastlegging binnen het verwerkingsregister.
• Integratie van DPIA’s binnen het ISMS.
• Hoog-risico verwerkingen waarvoor nog een DPIA vereist is.

1         Werkzaamheden (in volgorde van urgentie)
DPIA-inventarisatie en opschoning

• Inventariseren van 34 DPIA's.
• Controleren of deze DPIA's bestuurlijk zijn vastgesteld en gedeeld, of alsnog vastleggen en delen met verantwoordelijke managers.
• Vaststellen in een DPIA-opvolgnotitie welke aanbevelingen uit DPIA's nog openstaan.
• Najagen op mitigerende maatregelen van verantwoordelijke managers.
• Opstellen van een overzicht van openstaande acties, risico's en verantwoordelijken.

Inrichten en verankeren DPIA PDCA-proces

• Inrichten en beschrijving van monitoring op DPIA- aanbevelingen en maatregelen.
• Vastleggen van managementrapportages en reviewmomenten.
• Verankeren van het proces binnen de PDCA-cyclus van de organisatie.

Verwerkersovereenkomstenbeheer

• Inventariseren van bestaande verwerkersovereenkomsten (er zijn in totaal 280 verwerkingen in het register), dan wel actualiseren.
• Opsporen van noodzakelijke ontbrekende of verouderde overeenkomsten.
• Structureren en centraliseren van de verwerkersovereenkomsten.
• Koppelen van verwerkersovereenkomsten aan verwerkingen in het register.
• Opstellen van verbeteradvies voor structureel leveranciers- en verwerkersbeheer.

Actualiseren verwerkingsregister

• Actualiseren van de kolom "DPIA".
• Actualiseren van de kolom "Verwerkersovereenkomst".
• Toevoegen van hyperlinks/vindplaatsen naar de juiste documenten.
• Controleren van consistentie tussen register, DPIA's en verwerkersovereenkomsten.

Verankering in het ISMS Trustbound

• Onderbrengen van de bestaande DPIA's in Trustbound.
• Vastleggen van eigenaarschap en reviewfrequenties.
• Inrichten van beheerprocessen en controles.
• Afstemmen met en overdracht aan team IB&P.

Het uitvoeren van DPIA’s op hoog-risico verwerkingen

• Op basis van privacy- en compliance-risico's prioriteren van openstaande DPIA's.
• Leiden van DPIA's voor geïdentificeerde hoog-risico verwerkingen.
• Afstemmen mitigerende maatregelen met proceseigenaren, managers, leveranciers en betrokken stakeholders.
• Opstellen van DPIA-rapportages conform AVG-richtlijnen.
• Vastleggen van risico's, maatregelen en rest-risico's.
• Najagen dat de beheersmaatregelen worden opgevolgd.

2         Resultaat van de opdracht

• 34 DPIA’s  zijn geïnventariseerd en beoordeeld.
• Van de 34 DPIA’s zijn de maatregelen inzichtelijk gemaakt aan de hand van een DPIA-opvolgnotitie en de verantwoordelijke managers hebben gerapporteerd op mitigerende maatregelen.  
• Het DPIA-PDCA-proces is verankerd en gedocumenteerd.
• De beschikbare verwerkersovereenkomsten zijn centraal beheerd en gekoppeld aan verwerkingen.
• Het verwerkingsregister is compleet.
• Er is een managementrapportage opgeleverd met resterende risico's en aanbevelingen.
• Het DPIA-beheer is opgenomen in het ISMS.
• DPIA’s op hoog risicoverwerkingen zijn uitgevoerd.
• Verwerkersovereenkomsten zijn actueel en beheersbaar.
• Kennisoverdracht aan de Privacy Officer, proceseigenaren en beheerders zodat de organisatie het beheer zelfstandig kan voortzetten.

Je rapporteert periodiek aan de PO en de afdelingsmanager over de voortgang. De PO is het primaire aanspreekpunt voor inhoudelijke afstemming en advisering.

• DPIA-inventarisatie en opschoning

  Inventariseren van 34 DPIA's.

• Controleren of deze DPIA's bestuurlijk zijn vastgesteld en gedeeld, of alsnog vastleggen en delen met verantwoordelijke managers.
• Vaststellen in een DPIA-opvolgnotitie welke aanbevelingen uit DPIA's nog openstaan.
• Najagen op mitigerende maatregelen van verantwoordelijke managers.
• Opstellen van een overzicht van openstaande acties, risico's en verantwoordelijken.

  Inrichten en verankeren DPIA PDCA-proces

  Inrichten en beschrijving van monitoring op DPIA- aanbevelingen en maatregelen.

• Vastleggen van managementrapportages en reviewmomenten.
• Verankeren van het proces binnen de PDCA-cyclus van de organisatie.

  Verwerkersovereenkomstenbeheer

  Inventariseren van bestaande verwerkersovereenkomsten (er zijn in totaal 280 verwerkingen in het register), dan wel actualiseren.

• Opsporen van noodzakelijke ontbrekende of verouderde overeenkomsten.
• Structureren en centraliseren van de verwerkersovereenkomsten.
• Koppelen van verwerkersovereenkomsten aan verwerkingen in het register.
• Opstellen van verbeteradvies voor structureel leveranciers- en verwerkersbeheer.

  Actualiseren verwerkingsregister

  Actualiseren van de kolom "DPIA".

• Actualiseren van de kolom "Verwerkersovereenkomst".
• Toevoegen van hyperlinks/vindplaatsen naar de juiste documenten.
• Controleren van consistentie tussen register, DPIA's en verwerkersovereenkomsten.

  Verankering in het ISMS Trustbound

  Onderbrengen van de bestaande DPIA's in Trustbound.

• Vastleggen van eigenaarschap en reviewfrequenties.
• Inrichten van beheerprocessen en controles.
• Afstemmen met en overdracht aan team IB&P.

  Het uitvoeren van DPIA’s op hoog-risico verwerkingen

  Op basis van privacy- en compliance-risico's prioriteren van openstaande DPIA's.

• Leiden van DPIA's voor geïdentificeerde hoog-risico verwerkingen.
• Afstemmen mitigerende maatregelen met proceseigenaren, managers, leveranciers en betrokken stakeholders.
• Opstellen van DPIA-rapportages conform AVG-richtlijnen.
• Vastleggen van risico's, maatregelen en rest-risico's.
• Najagen dat de beheersmaatregelen worden opgevolgd.

  2 Resultaat van de opdracht

  34 DPIA’s zijn geïnventariseerd en beoordeeld.

• Van de 34 DPIA’s zijn de maatregelen inzichtelijk gemaakt aan de hand van een DPIA-opvolgnotitie en de verantwoordelijke managers hebben gerapporteerd op mitigerende maatregelen.
• Het DPIA-PDCA-proces is verankerd en gedocumenteerd.
• De beschikbare verwerkersovereenkomsten zijn centraal beheerd en gekoppeld aan verwerkingen.
• Het verwerkingsregister is compleet.
• Er is een managementrapportage opgeleverd met resterende risico's en aanbevelingen.
• Het DPIA-beheer is opgenomen in het ISMS.
• DPIA’s op hoog risicoverwerkingen zijn uitgevoerd.
• Verwerkersovereenkomsten zijn actueel en beheersbaar.
• Kennisoverdracht aan de Privacy Officer, proceseigenaren en beheerders zodat de organisatie het beheer zelfstandig kan voortzetten.

  Je rapporteert periodiek aan de PO en de afdelingsmanager over de voortgang. De PO is het primaire aanspreekpunt voor inhoudelijke afstemming en advisering.