---
Version: "2022"
---
Normreferentie: Inleiding bij de standaard

# Juridische vaststellingen en eisen

De juridische vaststelling is de bepaling hoe de AVG van toepassing is op onze organisatie. Bijvoorbeeld: welke onderdelen van de AVG hebben betrekking op ons, of: wat is de juiste grondslag voor de verwerkingen.

De organisatie moet de juridische vaststelling laten uitwerken. De juridische vaststellingen moeten worden gedaan door juristen. Die identificeren ook de criteria die voor een goede analyse van belang zijn.

Het gaat hierbij niet om het zoeken naar waarheid, maar om de verdedigbaarheid: een navolgbare argumentatie op basis van feiten en rechtsregels.

De certificatiestandaard kijkt naar een juiste en consistente *uitvoering* van de juridische vaststelling. Hierbij help een goede structuur (zie hieronder).

## Juridische vaststelling en de certificering

De juiste toepassing van de wettelijke eisen is een belangrijk aspect. Daarbij. gaat het om (1) de rechtmatigheid van de verwerkingsactiviteiten en (2) welke AVG bepalingen van toepassing zijn en onder welke omstandigheden.

De organisatie is zelf verantwoordelijk voor de borging van deze uitwerking.

Binnen het certificatieproces wordt dit opgelost door de samenstelling van het auditteam, waarin een ter zake kundig jurist is opgenomen.

## Structuur juridische vaststelling

Een goed navolgbare analyse:
- beschrijving van de feiten en omstandigheden
- analyse en interpretatie van relevante rechtsregels
- argumentatie op basis van de feiten en het recht
- gemotiveerd oordeel

Gebaseerd op gedegen onderzoek: zie sheet 81.

## Uitwerking aanvullende eisen
De EDPB heeft aangegeven dat een organisatie ook aan aanvullende eisen moet voldoen, zoals sectorale wetgeving, eisen van leveranciers, etc.

In de cursus zijn met name genoemd: de AVG, de UAVG, sectorale wet- en regelgeving, jurisprudentie, guidelines, recommendations & best practices van de EDPB, en besluiten, richtlijnen en adviezen van de AP ( slide 81 van Cursusmap tab 2).

Bij het bepalen van de aanvullende eisen is ook weer de *navolgbaarheid* essentieel, en wel op 3 aspecten:
- volledigheid van de **inventarisatie** (Art. 4.2.b-f)[^1]
- juistheid van de **toewijzing** (i.e. de betrekking van eisen op specifieke verwerkingen of aspecten daarvan – zie ook [scope](BC5701_Training_Tab_01_OvC.md#Toepassingsgebied%20(Scope)))
- eenduidigheid van de **betekenisgeving**: wat betekent deze eis voor de organisatie

Organisaties moeten dus aantoonbaar voldoen aan de aanvullende eisen; ze moeten laten zien dat ze in control zijn op deze eisen.

Een hulpmiddel hierbij is de **Traceability Matrix** (zie p.5 van deze tab). Hierin staan op 2 assen de eisen uit de verschillende wetgevingen, en de aspecten van de verwerkingen in het object van certificering. In de cellen kun je dan verwijzen naar specifiek opgestelde bedrijfsregels.

Zonder verband tussen eisen en verwerkingen is een statement over de volledigheid van toewijzing niet navolgbaar.

Een auditor zal als steekproef een eis pakken, en kijken waar die wel en niet adequaat in de organisatie wordt toegepast.

**Eisen aan navolgbaarheid** worden gegeven in sheet 88.

## Stappenplan: van eisen naar bedrijfsregels

Zie tab 2, pp. 3-6

1. Inventariseer alle van toepassing zijnde eisen
2. Bepaal waar de eisen van invloed zijn (Traceability Matrix)
3. Stel bedrijfsregels op om de betekenis van de eis concreet te maken voor betreffende aspecten (zie p.6 voor uitwerking)

[^1]: §4.2g 'Betekenis geven aan de eisen' is niet langer een criterium maar een advies