Opnieuw verzwaring privacyeisen arbodiensten
Arbodiensten die bij (her)certificering hun certificaat willen behouden moeten aan de (privacy) bak! Want wederom worden de eisen voor arbodiensten aangescherpt. Eerder gebeurde dat eerder al door de invoering van de AVG. Nu worden er ook extra eisen gesteld aan alle (gecertificeerde) arbodiensten. Het nieuwe certificatieschema voor arbodiensten is per 1 januari van dit jaar gepubliceerd. Alle gecertificeerde arbodiensten moeten hier dit jaar aan gaan voldoen. Vrijwel alle wijzigingen in het schema liggen op het gebied van privacy. In sommige gevallen zijn deze zelfs nog een tandje strenger dan de AVG.
BELANGRIJKSTE WIJZIGINGEN
Van de wijzigingen in het nieuwe certificatieschema hebben de volgende de grootste impact:
- Eens in de 3 jaar een Risicoanalyse voor informatiebeveiliging uitvoeren;
- Jaarlijks een DPIA uitvoeren;
- Verplichtte 27001 certificering van ICT en software leveranciers;
- Extra eisen aan privacy verklaringen (strenger dan de AVG).
Vooral de DPIA en de risico analyse zijn belangrijk en hier is specialistische kennis vereist. Ze dwingen arbodiensten om de risico’s voor privacy en informatiebeveiliging in beeld te krijgen en hier maatregelen op te nemen. Ze moeten daarmee onderdeel worden van de PDCA cyclus van het managementsysteem.
GROTE IMPACT LEVERANCIERSEISEN
Maakt u nog gebruik van software of ICT leveranciers die niet beschikken over een ISO 27001 certificaat? Dan is het zaak om snel in actie te komen. Bij de eerstvolgende audit onder het nieuwe schema mag dit immers simpelweg niet meer. Hiermee wordt een hoge beveiligingsstandaard in de keten afgedwongen. Noodzaak dus om een scan te doen van uw leveranciers voor o.a. hosting en arbosoftware. Waar nodig dient u wellicht een pittig gesprek met deze leveranciers te voeren of zelfs over te stappen.
VERPLICHTING FG BEKRACHTIGD
Er is het afgelopen jaar veel gediscussieerd over de vraag of een FG nou wel of geen harde verplichting was voor een arbodienst. Die discussie wordt tevens beslecht met het nieuwe schema, daar wordt deze immers genoemd als de functionaris waar verwerkingen moeten worden gemeld. Arbodiensten kunnen er dan ook niet meer onder uit om een functionaris gegevensbescherming aan te stellen.
Kortom een flinke verzwaring van de eisen rondom privacy voor arbodiensten die ook na 2019 hun certificaat willen behouden. Heeft u hulp nodig bij de uitvoering van een PIA of risico analyse of wilt u verder sparren over de impact van de wijzigingen, neem dan gerust contact met ons op via info@privacyhelder.nl