---
Version: "2022"
---
# 8 Operationele uitvoering

## 8.1 Inzicht in de verwerkte persoonsgegevens / gegevensbestanden

-  methode voor volgen / traceren van persoonsgegevens (§8.1.a)

## 8.2 Interactie met de betrokkene 

- de betrokkene moet passende informatie en communicatie over de verwerking ontvangen (§8.2.1)
	- taal (§8.2.1.a)
	- taalgebruik (§8.2.1.b)
	- verantwoordelijkheid voor de informatie (§8.2.1.c)
- voorafgaande informatieverstrekking (§8.2.2)
	- informatieverstrekking meenemen in de ontwerpfase / informatie by design (§8.2.2.a)
	- eisen aan de informatie (§8.2.2.b)
	- proces van verstrekking (§8.2.2.c)
	- vastleggen van uitzonderingen (§8.2.2.d)
	- openbaarmaking (§8.2.2.e)
	- archiveren van de verstrekte informatie (§8.2.2.f)
	- informatieverstrekking door een verwerker (§8.2.2.1)
		- ondersteunen van de verwerkingsverantwoordelijke (§8.2.2.1.a)
- Klachtenprocedure (§8.2.3)
	- eisen aan de procedure (§8.2.3.a)
	- klachtenregeling: uitleg van de klachtenprocedure aan de betrokkenen (§8.2.3.b)

## 8.3 Aantoonbaarheid van toestemming

### 8.3.1 Borgen van de rechtmatigheid bij toestemming

- verkrijgen van toestemming (§8.3.1.1)
	- proces voor voorafgaand informeren (§8.3.1.1.a)
	- proces voor toestemmingsverzoek en verlening (§8.3.1.1.b)
	- in bijzondere situaties (§8.3.1.1.c)
	- vastleggen van de toestemming (§8.3.1.1.d)
	- verlengen van de toestemming (verifiëren)(§8.3.1.1.e)
	- proces waarmee de betrokkene de toestemming kan beheren (§8.3.1.1.f)
	- proces voor doorvoeren van wijziging toestemming (§8.3.1.1.g)
- toestemming bij jongeren (§8.3.1.2)
	- leeftijdscheck (§8.3.1.2.a)
	- machtiging door een vertegenwoordiger (§8.3.1.2.b)
	- hernieuwing na passeren leeftijdsgrens (§8.3.1.2.c)

### 8.3.2 Borgen van de rechtmatigheid bij  andere rechtsgronden

- uitvoering van een overeenkomst (§8.3.2.a)
- wettelijke verplichting (§8.3.2.b)
- vitaal belang (§8.3.2.c)
- algemeen belang (§8.3.2.d)
- gerechtvaardigd belang (§8.3.2.e)
- audittrail (§8.3.2.f)

## 8.4 Uitoefening Rechten van de betrokkenen

De organisatie moet zorgen dat ieder beroep van een betrokkene op zijn rechten adequaat wordt gehonoreerd.

- interne borging: aantoonbaar correct afhandelen (§8.4.1)
	- beleid (§8.4.1.a)
	- contactpunt (§8.4.1.b)
	- proces voor afhandeling (§8.4.1.c)
	- evalueren van de performance van de afhandeling (§8.4.1.d)
	- voor Verwerkers:
		- ondersteuning van de verwerkingsverantwoordelijke (§8.4.1.1, §8.4.1.1.a)
- Recht van inzage (§8.4.2)
	- proces van verstrekking (§8.4.2.a)
- Recht op rectificatie (§8.4.3)
	- onderzoeken onjuistheid (§8.4.3.a)
	- proces voor uitvoering (§8.4.3.b)
	- aanvullende verklaring bij niet inwilligen (§8.4.3.c)
- Recht op wissing (§8.4.4)
	- toepasselijkheid (§8.4.4.a)
	- proces voor uitvoering (§8.4.4.b)
- Recht op beperking (§8.4.5)
	- toepasselijkheid (§8.4.5.a)
	- proces voor uitvoering (§8.4.5.b)
	- proces voor informeren over terugdraaien beperking (§8.4.5.c)
- Recht op overdraagbaarheid (§8.4.6)
	- toepasselijkheid (§8.4.6.a)
	- proces voor uitvoering (§8.4.6.b)
- Recht van bezwaar tegen verwerking (§8.4.7)
	- toepasselijkheid (§8.4.7.a)
	- beoordeling (§8.4.7.b)
	- voorzieningen voor indienen beroep (§8.4.7.c)
	- proces voor uitvoering bezwaar (§8.4.7.d)
	- proces voor informeren betrokkene over uitvoering (§8.4.7.e)
- Recht op uitsluiting van geautomatiseerde besluitvorming (§8.4.8)
	- toepasselijkheid (§8.4.8.a)
	- beleid voor bescherming betrokkenen (§8.4.8.b)
	- proces voor informeren betrokkenen over geautomatiseerd besluit (§8.4.8.c)
	- proces voor verzoek tot menselijke interventie (§8.4.8.d)
	- proces voor uitvoering van menselijke interventie (§8.4.8.e)
	- check op bias (§8.4.8.f)
- Kennisgeving aan ontvangers (§8.4.9)
	- proces voor doorgeven aan ontvangers (§8.4.9.a)
	- proces voor informeren van betrokkenen over doorgifte (§8.4.9.b)
- Buitensporige verzoeken (§8.4.10)
	- beleid (§8.4.10.a)

## 8.5 Uitbesteden van verwerkingen

In te schakelen verwerkers moeten voldoen aan de AVG en de BC 5701

- beleid voor het aangaan en onderhouden van verwerkingsrelaties (§8.5.a)
- vaststellen van eisen aan de verwerkers (§8.5.b)
- voorafgaand onderzoek van de verwerker (§8.5.c)
- overeenkomen van meetwaarden (§8.5.d)
- verwerkersovereenkomsten en inhoud (§8.5.e)
- beheer van verwerkersovereenkomsten (§8.5.f)
- toestemming voor inschakelen subverwerkers (§8.5.g)

Borging van conformiteit aan eisen door verwerkers (§8.5.1)
- monitoren (§8.5.1.a)
- toetsen (§8.5.1.b)

## 8.6 Verwerking onder gezag van de VVW

Verwerkers moeten zorgen dat de verwerking wordt uitgevoerd cf. de instructies van de opdrachtgever.

- vaststellen rechtmatigheid van de verwerking (§8.6.a)
- op basis van overeenkomsten, en die overeenkomsten ook beheren (§8.6.b)
- informeren van de VVW over wettelijke verplichtingen (§8.6.c)
- processen om te borgen dat de instructies van de opdrachtgever worden gevolgd (§8.6.d)
- borgen dat de opdrachtgever heldere instructies geeft over terugbezorgen of vernietiging bij beëindiging van de opdracht (§8.6.e)
- uitvoering van de vernietiging bij beëindiging van de opdracht (§8.6.f)
- beleid en procedure voor uitbesteding aan subverwerker (§8.6.g)


## 8.7 Internationale doorgifte

Beschrijft voorwaarden waaronder doorgifte van persoonsgegevens is toegestaan (zonder toestemming van de autoriteiten).

- beleid voor overdracht naar landen buiten de EER (§8.7.a)
- borging van een passend beschermingsniveau (§8.7.b)
- verkrijgen van toestemming voor doorgifte van VVW's (§8.7.c)

## 8.8 Inbreuk en incidenten

- monitoren op incidenten, inbreuken en kwetsbaarheden (§8.8.1)
	- beleid voor detecteren, opleiden van medewerkers, escaleren, afhandelen en leren (§8.8.1.a)
	- procedure voor doeltreffende behandeling van incidenten, inbreuken en kwetsbaarheden (§8.8.1.b)
	- incidentenregister bijhouden incidenten, inbreuken en kwetsbaarheden (§8.8.1.c)
- Melding aan de toezichthoudende autoriteit (§8.8.2)
	- procedure melding datalekken (§8.8.2.a)
- Mededeling aan de betrokkene: wanneer? (§8.8.3)
	- proces (§8.8.3.a)
- Melding aan de verwerkingsverantwoordelijke (§8.8.4)
	- proces (§8.8.4.a)

## 8.9 Wijzigingen in de context van het OvC

Wijzigingen in de context van het Object van Certificering moeten planmatig geïmplementeerd worden, rekening houdend met de principes van privacy by design en privacy by default ([zie §7.5](BC5701_H7_Bescherming.md#7.5%20Privacy%20by%20design%20&%20by%20default)).

Bepaald moet worden:
a) doel en mogelijke gevolgen van de wijziging
b) invloed op de inzet van middelen
c) toewijzing van verantwoordelijkheden en bevoegdheden
d) communicatie aan de betrokkenen, verwerkers en VVW's

- monitoren omgeving van het OvC (§8.9.a)
- monitoren van interne ontwikkelingen (§8.9.b)
- beoordelen impact van veranderingen (§8.9.c)
- wijzigingsprocedure voor verwerkingen (§8.9.d)
- proces voor communiceren aan de betrokkenen (§8.9.e)
- proces voor communiceren aan de opdrachtgevers (§8.9.f)