# Procedure privacy-eisen bij aanbesteding en zelfontwikkeling

### Afkortingen

| Afkorting | Omschrijving |
|---|---|
| PvE | Programma van Eisen |
| DPIA | Data Protection Impact Assessment |

### Relevante beleidsdocumenten

- Integrale projectaanpak

- Verwerkersovereenkomsten

### 1. Het belang van privacy-eisen bij aanbestedingen

Het is belangrijk om de privacy-eisen in het programma van eisen (PvE) van een aanbesteding mee te nemen. Hierdoor zorgen we als organisatie ervoor dat privacy al vroeg in het proces gebord wordt. Dit heeft als meerwaarde dat er geen vragen tijdens of na de aanbesteding hierover terugkomen. Daarnaast zorgt dit ervoor dat de opdrachtnemer haar professionaliteit op deze punten kan tentoonstellen en laat het zien dat wij dit belangrijk vinden. Daarom raden wij aan om minimaal onderstaande punten mee te nemen in het programma van eisen.

### 2. Checklist privacy eisen

| Eis of Wens | STANDAARD/ AFSTEMMEN PRIVACY | Omschrijving | Toelichting van Opdrachtgever |
|---|---|---|---|
| E | AFSTEMMEN PRIVACY (Voorbeelden Privacy by design en default toevoegen) | Opdrachtnemer werkt volgens de principes Privacy by Design en Privacy by Default. Dit wil zeggen dat opdrachtnemer bijvoorbeeld persoonsgegevens anonimiseert wanneer dit mogelijk is, dat er bewaartermijnen zijn ingeregeld en dat standaardinstellingen zo privacyvriendelijk mogelijk worden ingericht. |  |
| E | STANDAARD | Opdrachtnemer werkt in lijn met het beginsel van dataminimalisatie en verwerkt alleen persoonsgegevens die strikt noodzakelijk zijn om het vooraf bepaalde doel te bereiken. |  |
| E | STANDAARD | Opdrachtnemer is transparant over de manier waarop zij persoonsgegevens verwerkt en met wie persoonsgegevens worden gedeeld. |  |
| E | STANDAARD | Opdrachtnemer informeert, indien dit wettelijk verplicht is, betrokkenen over wat er met hun persoonsgegevens gebeurt of ondersteunt Opdrachtgever daar indien nodig bij. |  |
| E | STANDAARD | Opdrachtnemer zorgt voor een duidelijke rollen en rechtenstructuur. Dat betekent dat alleen personen bij persoonsgegevens kunnen die dat nodig hebben voor hun werk. |  |
| E | STANDAARD | Opdrachtnemer overhandigt geen persoonsgegevens aan externe partijen zonder uitdrukkelijke toestemming van Opdrachtgever. Tenzij deze verstrekking wettelijk verplicht is. |  |
| E | STANDAARD | Opdrachtnemer verwerkt alleen persoonsgegevens binnen de Europese Economische Ruimte (EER). Ook ingeschakelde partijen mogen geen persoonsgegevens buiten de EER verwerken. |  |
| E | STANDAARD | Opdrachtnemer heeft procedures ingericht voor het melden van datalekken en het nemen van passende maatregelen om datalekken te voorkomen. |  |
| E | STANDAARD | Opdrachtnemer werkt mee aan verzoeken die inwoners doen om hun rechten uit de AVG uit te oefenen. |  |
| E | STANDAARD | Opdrachtnemer werkt indien nodig mee aan het uitvoeren van een Data Protection Impact Assessment (DPIA). |  |
| E | AFSTEMMEN PRIVACY (Type overeenkomst) | Opdrachtnemer is bereid om een overeenkomst af te sluiten waarin afspraken worden gemaakt over het zorgvuldig omgaan met persoonsgegevens. Het bijgevoegde format wordt daarbij getekend. |  |
| E | STANDAARD | Opdrachtnemer heeft als uitgangspunt om zoveel als mogelijk met fictieve data te testen. Als dit niet mogelijk is wordt dit onderbouwd en met anonieme data getest. Als ook dat niet mogelijk is wordt dit wederom onderbouwd en met pseudonoieme data getest. Als ook dat niet mogelijk is wordt dit onderbouwd en met productiedata getest. Daarbij wordt aan alle eisen aan de AVG voldaan. | Volgens het regionale beleid testdata is het uitgangspunt dat wordt getest met fictieve data. |
| E | AFSTEMMEN PRIVACY (wel/niet opnemen als eis) | Opdrachtnemer zorgt voor het loggen en monitoren wie toegang heeft gehad tot persoonsgegevens en wie persoonsgegevens heeft gewijzigd en verwijderd. |  |

### Checklist privacy eisen zelf ontwikkeling

Alleen van toepassing indien er persoonsgegevens in de applicatie worden verwerkt.

| # | Omschrijving |
|---|---|
| 1 | De applicatie wordt gemaakt volgens de principes Privacy by Design en Privacy by Default. Dit wil zeggen dat je bijvoorbeeld persoonsgegevens anonimiseert wanneer dit mogelijk is, dat er bewaartermijnen zijn ingeregeld en dat standaardinstellingen zo privacyvriendelijk mogelijk worden ingericht. Betrek hierbij een privacy officer. |
| 2 | De applicatie is gemaakt in lijn met het beginsel van dataminimalisatie en verwerkt alleen persoonsgegevens die strikt noodzakelijk zijn om het vooraf bepaalde doel te bereiken. |
| 3 | Het is in de applicatie duidelijk welke persoonsgegevens worden vastgelegd en wat daarvan het doel is. Dit gebeurt alleen als er een rechtmatige grondslag is om persoonsgegevens vast te leggen. Bespreek dit met een privacy officer. |
| 4 | In de applicatie zit een duidelijke rollen en rechtenstructuur. Dat betekent dat alleen personen bij persoonsgegevens kunnen die dat nodig hebben voor hun werk. |
| 5 | Er worden alleen persoonsgegevens verwerkt binnen de Europese Economische Ruimte (EER). |
| 6 | Het uitgangspunt is om zoveel als mogelijk met fictieve data te testen. Als dit niet mogelijk is wordt dit onderbouwd en met anonieme data getest. Als ook dat niet mogelijk is wordt dit wederom onderbouwd en met pseudonoieme data getest. Als ook dat niet mogelijk is wordt dit onderbouwd en met productiedata getest. Daarbij wordt aan alle eisen aan de AVG voldaan. Er wordt door het team IB&P een toets gedaan als er met herleidbare gegevens wordt getest. |
| 7 | Er wordt gelogd en gemonitord wie toegang heeft gehad tot persoonsgegevens en wie persoonsgegevens heeft gewijzigd en verwijderd. |