Norm PR.05 gaat over hoog-risicoverwerkingen vóór uitvoering systematisch beoordelen en restrisico's aantoonbaar laten besluiten. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.
Vaste privacyprocessen maken verwerkingen, risico's, DPIA's, bewaartermijnen en ontwerpkeuzes aantoonbaar beheerst.
Voor dpia's betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.
Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.
Een onderbouwde DPIA-voorcheck met besluit en beoordelaar.
Een volledige DPIA met noodzaak, proportionaliteit, risico's en maatregelen.
FG-advies, managementbesluit en bewaakte opvolging van maatregelen.
Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.
Beoordeel vroeg of de verwerking waarschijnlijk een hoog risico oplevert.
Beschrijf context, noodzaak, proportionaliteit en betrokkenen.
Beoordeel risico's en passende maatregelen samen met deskundigen.
Laat restrisico, FG-advies en implementatiebesluit formeel vastleggen.
Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.
Van voorcheck en broninformatie naar beoordeling, FG-advies, maatregelen en besluit. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.
Bekijk DPIA-workflow →Deze norm vraagt om hoog-risicoverwerkingen vóór uitvoering systematisch beoordelen en restrisico's aantoonbaar laten besluiten. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.
Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij dpia's.
Een passende inrichting is: Proceseigenaar, privacy officer en FG. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.
