---
Version: "2022"
---
Normreferentie: §7.1 en §7.2

# Risicomanagement

*Nieuwe paragraaf 7.2.1 Risicomanagement: de risicoinschatting van de verwerkingsverantwoordelijke is leidend, de verwerker moet de verwerkingsverantwoordelijke bijstaan om een goede inschatting te maken* – zie sheet 96.

Er zijn 3 soorten risico's m.b.t. de AVG:
- IB-risico's
- Compliance risico's 
- Inherente verwerkingsrisico's 

IB-risico's zijn "risico's verbonden aan inbreuken op de beschikbaarheid, integriteit en vertrouwelijkheid" (§7.2)

Bij compliance risico's gaat het om compliance aan de AVG, zoals bijv. onrechtmatige verwerking, en *niet* om compliance aan de BC 5701.

Inherente verwerkingsrisico's zijn risico's verbonden aan de verwerking zèlf. De verwerking geschiedt dus in principe cf. de AVG, maar creëert toch privacy risico's[^1]. 

De norm is het *instrument* om compliance risico's te managen, daarom worden alleen de IB-risico's en de inherente verwerkingsrisico's *inhoudelijk behandeld* in de norm. Compliance risico's worden dus niet besproken, omdat het dan in feite gaat op het risico dat de norm zèlf niet correct en volledig geïmplementeerd wordt.

## Borging risico's

- IB-risico's worden geborgd door standaarden voor informatiebeveiliging
- Compliance risico's worden geborgd door de implementatiecriteria
- Inherente verwerkingsrisico's worden geborgd door het risicomanagementproces van de BC 5701

## Standaard voor informatiebeveiliging 

In §7.1 staat dat de organisatie zich moet *conformeren* aan passende standaarden voor informatiebeveiliging. *Certificering* daarop is geen eis, maar als je niet gecertificeerd bent wordt je informatiebeveiliging óók onderwerp van de BC 5701 certificeringsaudit (dus in de praktijk is het een verplichting; adequate informatiebeveiliging moet kunnen worden vastgesteld).

De ISO 27701 gaat over controle van het proces, en is agnostisch voor specifieke wetgeving. De BC 5701 gaat over compliance aan de AVG.

Als er geen passende standaard is (denk aan anonimiseren of privacy by design), dan moet de organisatie zich baseren op wetenschappelijke publicaties.

## Het risicomanagementproces

Zie sheet 104 voor de stappen (groot diagram in bijlage p. 4).

De PDCA cyclus speelt zich af op 2 niveaus:
- in het risicomanagementproces zèlf, van beleid tot evaluatie
- voor specifieke maatregelen, van behandelplan tot het verbeteren van de effectiviteit.

De te hanteren methode voor risicomanagement moet in het beleid worden vastgelegd (§7.2a).

Een goede methode voorkómt willekeur (zie sheet 106), draagt bij aan kwaliteit en heeft bewijskracht.
Herhaalbaarheid is niet de essentie, want een methode is per definitie herhaalbaar.

Voor privacy risicomanagement baseer je bij voorkeur op een (D)PIA-methode zoals de CNIL-(D)PIA, ISO 29134 of LINDDUN; deze laatste is meer systeemgericht.

Generieke methodes als de ISO 31000 zijn minder geschikt omdat ze een organisatieperspectief hanteren (ipv het perspectief van de betrokkenen/belanghebbenden) en gaan voorbij aan de inherente verwerkingsrisico's (ze nemen de verwerking als gegeven).

Je zult altijd zelf moeten zorgen voor het managen van de inherente verwerkingsrisico's en de informatiebeveiligingsrisico's.

Overigens richten ook (D)PIA-methodes zich op BIV-risico's en compliance risico's, en onderkennen geen inherente verwerkingsrisico's.

### Verwerkingen in kaart brengen
(in deze context om risico's te identificeren)

Methodes:
- data flow diagrams
- processchema's
- IPO schema's (Input Proces Output)
- workflow diagrams
- use cases

Dit hoeft geen aparte activiteit te zijn, maar kan gecombineerd worden met §6.3.b Documenteren van het verwerkingsproces [(Tab 4)](BC5701_Training_Tab_04_DV.md).

Je moet in ieder geval de volgende **aspecten** in beeld hebben (sheet 113-114):
- actoren
- gegevens(stromen)
- gegevensopslag
- verwerkingsfuncties

### Risicomanagement team

Bestaat uit een **verantwoordelijke** en tenminste de volgende **perspectieven** zijn vertegenwoordigd: betrokkenen, verwerking, privacy en techniek.

Om het proces af te stemmen moeten de **uitgangspunten** duidelijk zijn (i.e. beleid en procedure) en de **aanpak** (vaststellen en borgen van de perspectieven).

### Overleg met de doelgroep

Twee zaken moeten worden vastgesteld:
1. Hoe is de interactie van de doelgroep met de verwerking – gebruiksdoel, gebruik, gebruikers, gebruikscontext
2. Wat is de risicoperceptie van de doelgroep – welke risico's zien ze wel/niet, en hoe waarderen ze die.

## Het echte werk start hier

### Identificatie van verwerkingsrisico's

- Input: (1) het in kaart gebrachte verwerkingsproces, en (2) risico checklijsten[^2][^4]. 
- Proces: met een multidisciplinair team alle aspecten (zie hierboven) langslopen en mogelijke privacyrisico's bedenken
- Output: lijst met mogelijke privacyrisico's

Zoom hierbij in op kleine, specifieke processen: te ver uitzoomen levert alleen generieke risico's op.

### Analyseren van (privacy) risico's

Doelstelling: de gevolgen van de geïdentificeerde verwerkingsrisico's en potentiële bedreigingen analyseren, en hun kans en impact inschatten.

*Zie sheet 123*

Risico = Kans * Impact:
- kans wordt bepaald door de waarschijnlijkheid dat een actor (evt. onbedoeld) succesvol is in het exploiteren van een kwetsbaarheid.
- impact wordt bepaald door de (mogelijke) negatieve gevolgen voor het individu, àls de actie (exploitatie) uitgevoerd wordt met of op persoonsgegevens.

*Zie sheet 124 voor invulling met voorbeeld*

Om kans en impact te bepalen moet je eerst een kwalitatieve normering hebben.

Bij het vaststellen moet je zorgen voor:
- een multidisciplinair team
- een methode van vaststelling/analyse
- vastlegging van de methode in de RM-procedure

Om de relatieve impact te bepalen, moet je altijd het perspectief van één individu kiezen. 

### Evalueren van risico's

Met de risicoscore (kans * impact) kun je een 'heatmap' voor behandeling maken. Daarbij beïnvloeden keuzes en perceptie van de organisatie de kwalificering van kans en impact (maar niet de acceptatie, zie hieronder).

### Herbeoordelen van de IB-risico's

Aansluiten van de IB-risico's op de AVG:
1. Matchen van de scope (qua OvC en Toepassingsgebied)
2. Herbeoordelen van de impact[^3] van bedreigignen vanuit het perspectief van de betrokkenen 
3. Opnieuw die risico's evalueren

### Beheersmaatregelen bepalen

Als de organisatie centraal staat, zijn de generieke risicostrategieën:
- Vermijden
- Mitigeren / afzwakken
- Accepteren
- Overdragen / delen

Die laatste is niet passend vanuit het belang van de betrokkene, omdat zij het belang van de organisatie centraal stelt (voor de betrokkene blijft het risico bestaan).

**M.b.t. acceptatie**
BC 5701 §7.2.a bepaalt dat *alle* privacyrisico's teruggebracht moeten worden tot het niveau 'verwaarloosbaar of beperkt' – pas dan mogen ze geaccepteerd worden.

Acceptatie van een risico *groter dan beperkt* vereist een onderbouwing waaruit blijkt dat:
- het risico niet met redelijke middelen verder verlaagd kan worden
- de belangen van de verwerking (sic) evident zwaarder wegen dan de belangen van de betrokkenen.

Voor risico's met een CNIL risicoscore >= 8 moet een *voorafgaande* raadpleging worden gedaan. *Zie sheet 142, en Bijlage 6 voor normering*.

Het belangrijkste criterium voor de selectie van beheersmaatregelen is de effectiviteit m.b.t. het terugdringen van de privacyrisico's.

### Risicobehandelplan opstellen

Twee doelen:
- goedkeuring voor uitvoering verkrijgen van het verantwoordelijke management
- voorbereiden van effectieve risicobeheersing

Het behandelplan bestaat uit een risico-deel en een maatregel-deel.

Het doel van het **risico-deel** is het operationeel managen van het risico. Dit deel bevat:
1. Risicodoelstelling
2. De ratio tussen risico en maatregelen
3. Monitoring en evaluatie van het (rest)risico
4. Verantwoordelijkheden m.b.t. het risico
5. Goedkeuring risicobehandeling

Het doel van het **maatregel-deel** is het operationeel managen van de maatregel. Dit deel bevat:
1. Maatregeldoelstelling
2. Eventuele nieuwe risico's
3. Uit te voeren activiteiten
4. Benodigde mensen en middelen
5. Planning van de activiteiten
6. Monitoring en evaluatie van de beheersmaatregel
7. Verantwoordelijkheden t.a.v. de activiteiten

### Documentatie van de RM-uitvoeringsfase
Zie Bijlage 5.

### Categorieën van privacy impact
Zie Bijlage 7.



[^1]: Als je persoonsgegevens verwerkt creëer je *altijd* risico's. Voorbeelden zijn de casus van fitness apps in gebruik bij militairen in een conflictgebied, en publiceren op social media (secundaire verwerking is een inherent risico). 

[^2]: zie bijlagen 2 t/m 4 van Tab 5: Privacy schendingen van Daniel Solove, Kwetsbaarheden van ondersteunende bedrijfsmiddelen van de CNIL, Onvoorzien eigenlijk gebruik van Piims.

[^3]: de kans wordt niet gewijzigd door de verandering van perspectief

[^4]: bestaande checklists hebben twee beperkingen: ze beschouwen de verwerking als een gegeven, en zijn niet gericht op inherente privacy risico's