Privacy · Domein 2

PR.06 Gegevensbescherming door privacy by design en privacy by default

Norm PR.06 gaat over gegevensbescherming als aantoonbare ontwerpkeuze opnemen vóór aanschaf, bouw en inrichting van processen en systemen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent PR.06 in de praktijk?

Vaste privacyprocessen maken verwerkingen, risico's, DPIA's, bewaartermijnen en ontwerpkeuzes aantoonbaar beheerst.

Voor gegevensbescherming door privacy by design en privacy by default betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Ontwerpcriteria en privacy-eisen in project- en inkoopdocumenten.

Bewijsvoorbeeld 2

Beslis- en reviewrecords over dataminimalisatie, toegang en standaardinstellingen.

Bewijsvoorbeeld 3

Acceptatietesten en configuratiebewijs van privacyvriendelijke defaults.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Bepaal privacy-eisen voordat oplossing of leverancier wordt gekozen

Bepaal privacy-eisen voordat oplossing of leverancier wordt gekozen.

Minimaliseer gegevens, toegang, bewaartermijnen en standaarddeling

Minimaliseer gegevens, toegang, bewaartermijnen en standaarddeling.

Beoordeel ontwerpbesluiten en afwijkingen met privacydeskundigheid

Beoordeel ontwerpbesluiten en afwijkingen met privacydeskundigheid.

Test vóór ingebruikname of instellingen en proces werkelijk voldoen

Test vóór ingebruikname of instellingen en proces werkelijk voldoen.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat gegevensbescherming als aantoonbare ontwerpkeuze opnemen vóór aanschaf, bouw en inrichting van processen en systemen, inclusief mandaat en vervanging?
Kan product-/proceseigenaar, privacy officer en architect zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn ontwerpcriteria en privacy-eisen in project- en inkoopdocumenten. en beslis- en reviewrecords over dataminimalisatie, toegang en standaardinstellingen. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘bij ieder ontwerp- en wijzigingsbesluit’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Privacy als juridische controle aan het einde plannen.
Een leveranciersclaim zonder configuratiecontrole accepteren.
Standaardinstellingen na updates niet opnieuw toetsen.

In Edufort

DPIA-workflow: van norm naar opvolging

Van voorcheck en broninformatie naar beoordeling, FG-advies, maatregelen en besluit. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk DPIA-workflow →

Veelgestelde vragen

Vragen over PR.06

Wat betekent norm PR.06 voor een schoolbestuur?

Deze norm vraagt om gegevensbescherming als aantoonbare ontwerpkeuze opnemen vóór aanschaf, bouw en inrichting van processen en systemen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij PR.06?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij gegevensbescherming door privacy by design en privacy by default.

Wie is eigenaar van PR.06?

Een passende inrichting is: Product-/proceseigenaar, privacy officer en architect. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.