Privacy · Domein 5

SW.03 Doorgifte buiten de EER

Norm SW.03 gaat over iedere gegevensdeling vooraf toetsen op doel, grondslag, rolverdeling, beveiliging, locatie en noodzakelijkheid. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent SW.03 in de praktijk?

Bij delen en uitbesteden moet steeds duidelijk zijn wie welke AVG-rol, grondslag en verantwoordelijkheid heeft.

Voor doorgifte buiten de eer betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een gegevensdelingsbesluit met doel, grondslag en proportionaliteit.

Bewijsvoorbeeld 2

Passende overeenkomsten en toetsing van doorgifte of derde partijen.

Bewijsvoorbeeld 3

Een actueel overzicht van ontvangers, locaties, waarborgen en reviews.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Bepaal gegevens, doel, ontvanger en AVG-rollen

Bepaal gegevens, doel, ontvanger en AVG-rollen.

Toets grondslag, noodzakelijkheid, beveiliging en doorgiftelocatie

Toets grondslag, noodzakelijkheid, beveiliging en doorgiftelocatie.

Leg afspraken, waarborgen en meldplichten contractueel vast

Leg afspraken, waarborgen en meldplichten contractueel vast.

Herbeoordeel periodiek wijzigingen in dienst, subverwerkers en landen

Herbeoordeel periodiek wijzigingen in dienst, subverwerkers en landen.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat iedere gegevensdeling vooraf toetsen op doel, grondslag, rolverdeling, beveiliging, locatie en noodzakelijkheid, inclusief mandaat en vervanging?
Kan proceseigenaar, privacy officer en contracteigenaar zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een gegevensdelingsbesluit met doel, grondslag en proportionaliteit. en passende overeenkomsten en toetsing van doorgifte of derde partijen. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘vooraf en minimaal jaarlijks herbeoordelen’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Een verwerkersovereenkomst gebruiken bij iedere gegevensdeling.
Alleen naar het vestigingsland van de leverancier kijken.
Nieuwe subverwerkers of ondersteuningslocaties niet herbeoordelen.

In Edufort

Leveranciersmanagement: van norm naar opvolging

Beheer afspraken, beoordelingen, assurance, risico's en opvolging per leverancier. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk Leveranciersmanagement →

Veelgestelde vragen

Vragen over SW.03

Wat betekent norm SW.03 voor een schoolbestuur?

Deze norm vraagt om iedere gegevensdeling vooraf toetsen op doel, grondslag, rolverdeling, beveiliging, locatie en noodzakelijkheid. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij SW.03?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij doorgifte buiten de eer.

Wie is eigenaar van SW.03?

Een passende inrichting is: Proceseigenaar, privacy officer en contracteigenaar. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.