{"text_format":"1","workbook":"xlsx","n_sheets":9,"sheets":["Inleiding","Contact persoon evaluatie","Risk Register","Maps","Radars","Referentie data user","Referentie data","Referentie data 3","Referentie data 4"],"not_rendered":{"charts":4,"images":0,"macros":1,"external_links":1,"defined_names":15,"comments":1,"pivot_tables":2},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"Inleiding","index":0,"n_rows":5,"n_cols":2,"rows_kept":5,"cut":false,"hidden":false,"merged":[]}
[]
[null,"INLEIDING"]
[null,"Doel\n\nDeze zelfevaluatie heeft als doel om een idee te hebben over de 'aantoonbaarheid' dat je organisatie conform is met bepaalde punten uit de AVG regelgeving.\n\nWe bekijken hier een aantal punten (risico's) die we geselecteerd hebben uit :\n- de gepubliceerde beslissingen  van de 'geschillenkamer' en 'het algemeen secretariaat' naar aanleiding van klachten (website GBA inspectiedienst – vaststelling cases 2020)\n- de aandachtspunten cases 2020 (website GBA en overheden)\n- onderwerpen uit GBA strategisch plan 2020 – 2025 (website GBA en strategisch plan)\n- risico's die voortkomen doordat begrippen in de regelgeving en richtlijnen niet éénduidig omschreven zijn zoals  de 'deskundigheid' en het 'vermogen' van een DPO',  de 'middelen' die een verwerkingsverantwoordelijke dient ter beschikking te stellen van de DPO  of de ' passende' technische en organisatorische maatregelen  in de regelgeving en in de richtlijnen.  De verwerker en de verwerkingsverantwoordelijke  dient  zijn interpretatie ervan te kunnen argumenten."]
[null,"Methodologie\n\nIn een eerste stap zal je inschatten in hoeverre je aan het punt uit de regelgeving voldoet en in hoeverre het punt toepasbaar is voor je organisatie.  Dit gebeurt door de 'ernst' in te schatten. Deze 'ernst' is in functie van 'de mate waarin je voldoet aan de vraag die wordt gesteld ' en 'de mate dat de vraag relevant is in je context'. Een hoge score voor de  'ernst'  betekent dat men er niet aan voldoet en dat het punt relevant is voor je context. \n\nVervolgens  ga je inschatten in hoeverre je de 2 inschattingen kunt staven ten opzicht van derden. Dit laatste , toegepast op de ernst, geeft je een idee van de 'aantoonbaarheid' (het residueel risico) van je inschattingen in verband met het betreffende punt.  \nOpmerking : \n- het staven van je inschatting in 'hoeverre je aan de regelgeving voldoet' heeft geen nut indien je inschat dat je voor het punt aan de regelgeving niet voldoet (waarde 5 voor kans)\n- het staven van je inschattingen heeft geen nut indien je inschat dat je aan het punt aan de regelgeving niet voldoet (kans 5) en dat het punt relevant is in je context (impact >2). De waarde van de staving is dan '1' (zie drop down keuze mogelijkheden)."]
[null,"\nInterpretatie resultaat\nWanneer het residueel risico 2 of meer is , is het een relatief ernstig risico en moeilijk te staven voor dat punt. \nWanneer de ernst 2 en meer is , kan dit een ernstig risico zijn op het niet naleven van de GDPR voor dat punt. \n"]

{"sheet":"Contact persoon evaluatie","index":1,"n_rows":19,"n_cols":2,"rows_kept":19,"cut":false,"hidden":false,"merged":[]}
[null,"Naam en de contactgegevens verantwoordelijke van de organisatie die eigenaar is van deze register(s) : "]
[null,"Naam organisatie : "]
[null,"algemeen e-mailadres: "]
[null,"Naam verwerkingsverantwoordelijke en/of verwerker :"]
[null,"GSM:"]
[null,"e-mail:"]
[]
[null,"Naam en de contactgegevens van de functionaris voor de gegevensbescherming (DPO) : "]
[null,"Naam : "]
[null,"GSM:"]
[null,"e-mail:"]
[null,"behoort tot personeel: "]
[]
[null,"Naam en de verantwoordelijk voor het beantwoorden vragenlijst :"]
[null,"Naam : "]
[null,"adres:"]
[null,"GSM:"]
[null,"e-mail:"]
[null,"behoort tot personeel: "]

{"sheet":"Risk Register","index":2,"n_rows":32,"n_cols":22,"rows_kept":32,"cut":false,"hidden":false,"merged":[]}
["Domain","Risk ID",{"$f":"'Referentie data user'!B1","v":"User Radar"},"       Severity","Risk Name (risk of a vulnerability from a cause with an impact of)","Risk description","Owner","       Prob. (1-5)","       Imp. (1-5)","Maturity description","      Controle","       Residual","       Tolerate","       Treat","       Transfer","       Terminate","Treatement type","Treatement category","Plans proposal","Date","Status","Review comment"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-01","DPO",{"$f":"FLOOR((H2+I2)/2,1)","v":1},"Is het mogelijk om op éénvoudige en vlugge manier een copy te overhandigen van het register ?","argumenten voor keuze  'Kans' :\n- 2 : register met de verwerking van persoonsgegevens van 'externe betrokkene' zit centraal, verwerkingen van persoonsgegevens 'interne betrokkene' zit verspreid. \n- 3 : register met de verwerking van persoonsgegevens van 'externe' en 'interne' betrokkene' zit verspreid maar alle departementen hebben werkmeetings gehad voor het opstellen ervan\n- 4 : register met de verwerking van persoonsgegevens van 'externe' en 'interne' betrokkene' zit verspreid en niet alle departementen hebben werkmeetings gehad voor het opstellen ervan\n'argumenten voor keuze  'Impact' :  \n- 5 : ik moet een register hebben volgens de regelgeving\n- 2 : ik denk dat ik geen register moet hebben en verwerk ook geen specifieke persoonsgegevens\n- 1 : ik moet geen register hebben",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J2,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},{"$f":"MAX(0,D2-K2)","v":1},null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-02","Management",{"$f":"FLOOR((H3+I3)/2,1)","v":1},"Zijn er controlemaatregelingen genomen om aan te tonen dat men alle verwerkingen van persoonsgegevens in het verwerkingsregister heeft opgenomen ?","argumenten voor keuze  'Kans' = 2 :  \n- Jaarlijks doorsturen lijst naar VWV ter controle op volledigheid ?\n- Coherentie tussen website – privacy statement & register\n- bij incidenten / advies DPO – controle op aanwezigheid verwerking in register ? \n- Alle informatie staat op een centraal platform dat toegankelijk is voor de VWV , de DPO en de personen die het register dienen up-to-date te houden \n- …..\n",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J3,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},{"$f":"MAX(0,D3-K3)","v":1},null,null,null,null,null,null,null,null,"Identified"]
["Controller","NF-8-03C","Verwerkingsverantwoordelijke",{"$f":"FLOOR((H4+I4)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\n- Zijn de doeleinden van de verwerking welbepaald en duidelijk opgenomen in het register ?\n","argumenten voor keuze  'Kans' :\n1 : alle doeleinden zijn ingevuld\n2 : alle doeleinden zijn ingevuld voor de verwerking  van persoonsgegevens van 'externe betrokkenen', en de belangrijkste  'interne verwerkingen' (HR, ICT, ..)  \n3 : alle doeleinden zijn ingevuld voor de verwerking  van persoonsgegevens van 'externe betrokkenen', en geen   'interne verwerkingen'  \n4 : niet alle doeleinden zijn ingevuld voor de verwerking  van persoonsgegevens van 'externe betrokkenen' \n5 : er is minder dan 20 % van de doeleinden ingevuld oor de verwerking  van persoonsgegevens van 'externe betrokkenen' \n'argumenten voor keuze  impact' :\n2 : doeleinden voor de verwerking zijn niet zeer specifiek.",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J4,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["The processing (systems and related processes)  ","NF-8-04","Management",{"$f":"FLOOR((H5+I5)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\n- Is de categorie van gegevens duidelijk (gevoelige versus niet gevoelige gegevens) ?","argumenten voor keuze  'Kans' :\n1 : alle type gegevens zijn duidelijk aangegeven : functionele categorie, AVG categorie en organisatie interne categorie\n2 : de volgende types zijn duidelijk aangegeven : AVG categorie en organisatie interne categorie\n3 : Het AVG type (specifiek (Art 9) of niet specifiek (Art 9)) is aangegeven\n4 : de functionele categorie of interne categorie is aangegeven\n5 : geen enkele categorie is aangegeven\n'argumenten voor keuze  impact' :\n5 : ik verwerk veel AVG specifieke persoonsgegevens\n4 : ik verwerk AVG specifieke persoonsgegevens\n3 : ik verwerk veel persoonsgegevens maar geen AVG specifieke persoonsgegevens\n2 : ik verwerk persoonsgegevens maar geen AVG specifieke persoonsgegevens\n1 : ik verwerk zeer weinig persoonsgegevens",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J5,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-05","Management",{"$f":"FLOOR((H6+I6)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\n- Worden de rechtstreeks verkregen persoonsgegevens niet verder op een met die doeleinden onverenigbare wijze verwerkt (in andere verwerkingen) (doelbinding);","argumenten voor keuze  'Kans' :\n1 : de gegevens worden niet verder verwerkt\n2 : de gegevens worden verder verwerkt maar met die doeleinden verenigbare wijze\n3 : de gegevens worden verder verwerkt maar met die doeleinden waarschijnlijk verenigbare wijze\n4 : de gegevens worden verder verwerkt maar met die doeleinden onwaarschijnlijk verenigbare wijze\n5 : de gegevens worden verder verwerkt met die doeleinden onverenigbare wijze  \n'argumenten voor keuze  impact' :\n5 : de doeleinden zijn er die buiten de verwachtingen liggen van de betrokkene en de 'rechten van de betrokkene' zeker kunnen schaden\n4 : de doeleinden zijn er die buiten de verwachtingen liggen van de betrokkene en de 'rechten van de betrokkene'  kunnen schaden\n3 : de doeleinden zijn er die mogelijks in de verwachtingen liggen van de betrokkene en de 'rechten van de betrokkene' mogelijks  kunnen schaden\n2 : de doeleinden zijn er die  in de verwachtingen liggen van de betrokkene en de 'rechten van de betrokkene' mogelijks kunnen schaden\n1 : de doeleinden zijn er die  in de verwachtingen liggen van de betrokkene en de 'rechten van de betrokkene' (waarschijnlijk) niet zullen schaden",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J6,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","NF-8-06","Verwerkingsverantwoordelijke",{"$f":"FLOOR((H7+I7)/2,1)","v":1}," Voor elke verwerking in het verwerkingsregister (rechtmatigheid van de verwerking) :\n-  Is er een rechtsgrond voor de verwerking ?\n","argumenten voor keuze  'Kans' :\n3 : de keuze is  besproken geweest en geen enkele regelgeving gevonden  (ook niet in gelijkaardige context). ",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J7,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","NF-8-28","Management",{"$f":"FLOOR((H8+I8)/2,1)","v":1},"Voor elke verwerking waarvan de rechtmatige  rechtsgrond  'gerechtvaardigde belang' is :  heeft men de 3 testen uitgevoerd : de “doeltoets”, de “noodzakelijkheidstoets” en “de afwegingstoets” en heeft men de nodige informatie in een privacy statement transparant gecommuniceerd naar de betrokkene. \n","argumenten voor keuze  'Kans' :\n1 : alle toetsen zijn uitgevoerd en geargumenteerd\n5 : geen enkele toets is uitgevoerd ",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J8,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Processor","NF-8-07","Management",{"$f":"FLOOR((H9+I9)/2,1)","v":1}," Voor elke verwerking in het verwerkingsregister (rechtmatigheid van de verwerking) :\n-  zijn alle verwerkersovereenkomsten (contracten) voor de verwerkers beschikbaar (kwantitatieve controle) ? (anders worden de verwerkers verwerkingsverantwoordelijken)","argumenten voor keuze  'Kans' :\n1 : de verwerkersovereenkomsten zijn er allemaal , ondertekend , aangepast aan de AVG en centraal opgeslagen\n2 : de verwerkersovereenkomsten zijn er allemaal en centraal opgeslagen\n3 : de verwerkersovereenkomsten zijn er allemaal maar niet centraal opgeslagen\n4 : enkel de  verwerkersovereenkomsten met verwerkers voor ondersteunende diensten/verwerkingen zijn centraal opgeslagen, de andere verwerkingsovereenkomsten zijn er niet.\n5 : er is geen enkele verwerkersovereenkomst in orde  \n\n'argumenten voor keuze  impact' :\n5 : bij alle verwerkingen heb ik externe verwerkers gebruikt (waar dus een verwerkingsovereenkomst noodzakelijk voor is) \n4 :  bij verwerkingen met AVG specifieke gegevens heb ik externe verwerkers gebruikt \n3 :  bij specifieke business verwerkingen zonder AVG specifieke gegevens heb ik externe verwerkers gebruikt \n2 : bij organisatie ondersteunende diensten/verwerkingen (IT, HR, Financiën, ..) die geen AVG specifieke persoonsgegevens verwerken heb ik externe verwerkers gebruikt \n1 : ik heb geen enkele verwerker ingeschakeld of heb dus geen verwerkingsovereenkomst nodig",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J9,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Data transfer (third party & international)","NF-8-08","Verwerkingsverantwoordelijke",{"$f":"FLOOR((H10+I10)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister (rechtmatigheid van de verwerking) :\n-  Is er een basis (de juiste middelen) bij eventueel internationaal transfer van persoonsgegevens ?","argumenten voor keuze  'Kans' :\n1 : er is een basis die niet ter discussie kan staan\n4 : er is een basis die mogelijks ter discussie kan staan\n5 : er is gen basis ",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J10,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-09","Management",{"$f":"FLOOR((H11+I11)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\n-  Worden de ontvangers of categorie van de ontvangers van de persoonsgegevens duidelijk opgesomd ?","argumenten voor keuze  'Kans' :\n1 : alle interne als externe ontvangers zijn gedefinieerd\n2 : enkel de externe ontvangers van de gegevens zijn gedefinieerd\n3 : enkel de externe ontvangers van AVG specifieke gegevens zijn gedefinieerd\n4 : enkele externe ontvangers met veel gegevens zijn gedefinieerd\n5 : er zijn geen ontvangers gedefinieerd",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J11,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Data subject","F-8-10","Operations",{"$f":"FLOOR((H12+I12)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\nIs er voldaan aan de informatieplicht ? Komt de verwerking ,zoals ze in het register is opgenomen (doel verwerking, rechtmatige basis , ontvangers van informatie, retentietijd,..) ook voor in\nofwel  Extern privacy statement\nofwel  Intern privacy statement\nofwel Cookie statement",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J12,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Data subject","F-8-11","Operations",{"$f":"FLOOR((H13+I13)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister waarbij men de gegevens oorspronkelijk voor een ander doel heeft verzameld,  heeft men de betrokkene hierover geïnformeerd voordat men de rechtmatige verwerking heeft opgestart ? ",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J13,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-12","Operations",{"$f":"FLOOR((H14+I14)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\nIs er voldaan aan data minimalisatie ?\n• Zijn de gebruikte gegevens voldoende gespecifieerd in het register om de vraag van data minimalisatie te kunnen beantwoorden ?  \n• Zijn er net voldoende gegevens gebruikt voor de doeleinden (gegevens zijn beperkt tot wat noodzakelijk is) ? \n",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J14,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-13","Operations",{"$f":"FLOOR((H15+I15)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister :\nHeeft men een systeem voorzien om de juistheid van de gegevens te kunnen verzekeren ","argumenten voor keuze  'Kans' :\n'1' :  Rechtstreekse update gegevens door betrokkene is mogelijk\n'2' : Jaarlijkse uitnodiging van de betrokkene voor het controleren van de juistheid\n'3' : Technisch door verificatie met authentieke bronnen\n'3' : Technische controle op juistheid van de gegevens (controle op dubbele data, referentie lijsten, , ..)\n",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J15,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-14","Operations",{"$f":"FLOOR((H16+I16)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister : \nIs de periode voor het bewaren van de gegevens gekend ?","argumenten voor keuze  'Kans' :\n'1' juiste regelgeving gevonden\n'2' regelgeving gevonden maar niet exact toepasbaar op mijn situatie\n'3' geen duidelijke regelgeving gevonden (onzeker), keuze op basis van andere voorbeelden\n'4' geen duidelijke voorbeelden gevonden (onzeker), eigen keuze\n'5' geen keuze gemaakt",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J16,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-15","Operations",{"$f":"FLOOR((H17+I17)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister : \nZijn er technisch of organisatorisch maatregelingen voorzien om de  retentietijd te garanderen ","argumenten voor keuze  'Kans' :\n'1' maatregelingen geïmplementeerd die op elk moment de retentietijd voor elke data waarborgen (data in rust, in transit en in gebruik) \n'2' maatregelingen geïmplementeerd die op elk moment de retentietijd voor elke data waarborgen (data in rust en in gebruik) \n'3' maatregelingen geïmplementeerd maar die periodiek (vb. 'jaarlijks') de retentietijd voor elke data waarborgen (data in rust en in gebruik) \n'4' geen maatregeling geïmplementeerd omdat de kosten ten opzichte van de impact te hoog zijn \n'5' geen maatregeling geïmplementeerd (en er bestaan technische / organisatorische maatregelingen)",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J17,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["the processing (systems and related processes)  ","NF-8-16","ICT",{"$f":"FLOOR((H18+I18)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister : \nHeeft men een systeem voorzien om de logische en fysieke toegang tot de gegevens te beschermen ?",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J18,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","G-8-17","Verwerkingsverantwoordelijke",{"$f":"FLOOR((H19+I19)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister : \n• Kan men aantonen (via documenten) dat men onderzocht heeft of een DPIA dient uitgevoerd te worden ? ",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J19,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-18","DPO",{"$f":"FLOOR((H20+I20)/2,1)","v":1},"Voor elke verwerking in het verwerkingsregister : \n Kan men aantonen dat de uitvoering van de DPIA gebeurt is volgens de kwaliteitscriteria opgelegd door de GDPR ?  (Risico opgesomd en impact ingeschat, contact met GBA indien nodig bij hoge risico’s, indien noodzakelijk maatregelingen opgesomd om de risico te beheren, aantonen advies DPO gevraagd, (eventueel) aantonen betrokkene geraadpleegd)",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J20,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Processor","F-8-19A","Management",{"$f":"FLOOR((H21+I21)/2,1)","v":1},"Is er een kwalitatieve validatie gebeurt van de inhoud (statements) van de verwerkingsovereenkomsten (contracten) en werden alle tekortkomingen of tegenstrijdigheden met de GDPR minstens gecommuniceerd naar de verwerkers (copy bijhouden)?",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J21,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["The processing (systems and related processes)  ","NF-8-20","ICT",{"$f":"FLOOR((H22+I22)/2,1)","v":1}," Kan men aantonen dat de cookie informatie in de websites gepresenteerd is geweest aan de betrokkene voordat de verwerking is opstart",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J22,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["The processing (systems and related processes)  ","NF-8-21","ICT",{"$f":"FLOOR((H23+I23)/2,1)","v":1},"Heeft men gecontroleerd (en heeft men  een bewijs van deze controle) dat de toestemming voor de cookies voldoet aan de volgende kwaliteitseisen :\n- Je kan bewijzen dat de betrokkene zijn toestemming heeft gegeven \n- Je kan aantonen dat de toestemming vrij is gegeven\n- Je kan aantonen dat de toestemming is gegeven met een duidelijke bevestigende actie (opt in)\n- Je kan aantonen dat het intrekken van de toestemming te allen tijde mogelijk is\n- Je kan aantonen dat het intrekken van de toestemming even éénvoudig is als het geven van de toestemming. \n",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J23,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","F-8-22","DPO",{"$f":"FLOOR((H24+I24)/2,1)","v":1},"Kan men op éénvoudige en vlugge manier aantonen dat men beschikt over\n- Een register met de aanvragen van de betrokkenen (met detail info van tijdslijn)",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J24,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-23","DPO",{"$f":"FLOOR((H25+I25)/2,1)","v":1},"Kan men op éénvoudige en vlugge manier aantonen dat men beschikt over\n- Een register met de veiligheidsincidenten en de data inbreuken ",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J25,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-24","DPO",{"$f":"FLOOR((H26+I26)/2,1)","v":1},"Kan men op éénvoudige en vlugge manier aantonen dat men beschikt over\n- Een register van de adviezen van de DPO (met indicatie of ze al of niet gevolgd zijn geweest)\n",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J26,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["De GDPR (continue) governance (Law, guidelines, rules)","G-8-25","Management",{"$f":"FLOOR((H27+I27)/2,1)","v":1}," Is het voor interne en externe personen duidelijk zichtbaar hoe ze de DPO kunnen contacteren ?",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J27,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","G-8-26","Verwerkingsverantwoordelijke",1,"Heeft de verwerkingsverantwoordelijke een DPO gekozen die voldoende competent is om zijn taak uit te voeren.","argumenten voor keuze van de 'Kans'  :  \nde Kans wordt gemeten aan de hand van 3 parameters : (1) jaren ervaring in ICT security of Privacy / (2) mogelijkheid van ondersteuning door specialisten in ICT security / privacy (3) gevolgde (zelf)opleiding in ICT security - Privacy\nKans :\n'5':  kan geen enkel van de  3 parameters positief beantwoorden\n'4' : kan 1 van de  3 parameters positief beantwoorden\n'3' : kan 2 van de  3 parameters positief beantwoorden \n'2' : kan 2 van de  3 parameters positief beantwoorden en heeft een DPO opleiding gevolgd\n'1' : kan de  3 parameters positief beantwoorden en heeft een DPO opleiding gevolgd",null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J28,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","G-8-26A","Verwerkingsverantwoordelijke",{"$f":"FLOOR((H29+I29)/2,1)","v":1},"Heeft de DPO een onafhankelijk positie t.o.v. de verwerkingsverantwoordelijke en indien onvoldoende zijn er systemen op punt gezet om deze alsnog te garanderen (vb. een procedure / interne regels (beleid) voor het omgaan met ‘belangenconflicten’).",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J29,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},1,null,null,null,null,null,null,null,null,"Identified"]
["Controller","G-8-27","Verwerkingsverantwoordelijke",1,"Kan men aantonen dat de DPO (on)voldoende middelen ter beschikking heeft ? Aantal uren opleiding ? Aantal informatievergadering over de (ver)nieuwde verwerkingen ? …",null,null,1,1,"1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",{"$f":"MATCH(J30,'Referentie data 3'!$E$2:$E$6,0)-1","v":0},{"$f":"MAX(0,D30-K30)","v":1},null,null,null,null,null,null,null,null,"Identified"]
[null,null,null,null,null,null,null,null,null,null,null,null,null," "]
[null,null,null,null,"Add a specific risk"]

{"sheet":"Maps","index":3,"n_rows":22,"n_cols":13,"rows_kept":22,"cut":false,"hidden":false,"merged":[[14,10,14,11],[3,10,3,11],[1,0,1,12],[12,0,12,12]]}
[]
["Risk Heatmap (do not forget to refresh table)"]
[]
[null,"Count of Risk ID","Prob.",null,null,null,null,null,null,null,"Summary"]
[null,"Imp.",1,2,3,4,5,"Grand Total",null,null,"Negligeable Risks",{"$f":"ColorFunction(K5,$C$6:$G$10,TRUE)","v":29}]
[null,5,null,null,null,null,null,null,null,null,"Acceptable Risks",{"$f":"ColorFunction(K6,$C$6:$G$10,TRUE)","v":0}]
[null,4,null,null,null,null,null,null,null,null,"Moderate Risks",{"$f":"ColorFunction(K7,$C$6:$G$10,TRUE)","v":0}]
[null,3,null,null,null,null,null,null,null,null,"Important Risks",{"$f":"ColorFunction(K8,$C$6:$G$10,TRUE)","v":0}]
[null,2,null,null,null,null,null,null,null,null,"Critical Risks",{"$f":"ColorFunction(K9,$C$6:$G$10,TRUE)","v":0}]
[null,1,29,null,null,null,null,29]
[null,"Grand Total",29,null,null,null,null,29]
[]
["Control Heatmap (do not forget to refresh table)"]
[]
[null,"Count of Risk ID","Controls",null,null,null,null,null,null,null,"Summary",null,"Appetite"]
[null,"Risk",0,1,2,3,4,5,"Grand Total",null,"Negligeable Risks",{"$f":"ColorFunction(K16,$C$17:$H$21,TRUE)","v":29},{"$f":"-1","v":-1}]
[null,5,null,null,null,null,null,null,null,null,"Acceptable Risks",{"$f":"ColorFunction(K17,$C$17:$G$21,TRUE)","v":0},{"$f":"0","v":0}]
[null,4,null,null,null,null,null,null,null,null,"Moderate Risks",{"$f":"ColorFunction(K18,$C$17:$G$21,TRUE)","v":0},0]
[null,3,null,null,null,null,null,null,null,null,"Critical Risks",{"$f":"ColorFunction(K19,$C$17:$G$21,TRUE)","v":0},1]
[null,2,null,null,null,null,null,null,null,null,"Important Risks",{"$f":"ColorFunction(K20,$C$17:$G$21,TRUE)","v":0},2]
[null,1,29,null,null,null,null,null,29]
[null,"Grand Total",29,null,null,null,null,null,29]

{"sheet":"Radars","index":4,"n_rows":67,"n_cols":22,"rows_kept":67,"cut":false,"hidden":false,"merged":[[0,0,0,8],[17,0,17,8],[34,0,34,8],[51,0,51,8],[7,21,7,29],[7,11,7,19]]}
["Minimal coverage"]
[]
[null,{"$f":"'Referentie data'!C1","v":"Domain"},"#"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B4)","v":2}]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B5)","v":2}]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B6)","v":7}]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B7)","v":7}]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B8)","v":10},null,null,null,null,null,null,null,null,"Standard Radars",null,null,null,null,null,null,null,null,null,"User Radars"]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$1025, Radars!B9)","v":1}]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"#"]
[null,{"$f":"'Referentie data user'!B2","v":"Verwerkingsverantwoordelijke"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$1025, Radars!B12)","v":7}]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$1025, Radars!B13)","v":8}]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$1025, Radars!B14)","v":6}]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$1025, Radars!B15)","v":3}]
[null,{"$f":"'Referentie data user'!B6","v":"DPO"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$1025, Radars!B16)","v":5}]
[]
["Severity Level Radar"]
[]
[null,{"$f":"'Referentie data'!$C1","v":"Domain"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B21)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B21,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B21))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B21,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B21,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B22)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B22,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B22))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B22,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B22,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B23)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B23,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B23))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B23,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B23,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B24)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B24,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B24))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B24,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B24,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B25)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B25,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B25))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B25,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B25,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B26)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B26,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B26))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B26,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B26,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data user'!B2","v":"Verwerkingsverantwoordelijke"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B29)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B29,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B29))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B29,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B29,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B30)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B30,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B30))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B30,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B30,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B31)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B31,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B31))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B31,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B31,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B32)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B32,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B32))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B32,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B32,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B6","v":"DPO"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B33)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B33,'Risk Register'!$D$2:$D$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B33))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B33,'Risk Register'!$D$2:$D$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B33,'Risk Register'!$D$2:$D$30))","v":1},0.8,2,3,4,5]
[]
["Residual Risk Level Radar"]
[]
[null,{"$f":"'Referentie data'!$C1","v":"Domain"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B38)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B38,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B38))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B38,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B38,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B39)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B39,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B39))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B39,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B39,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B40)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B40,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B40))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B40,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B40,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B41)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B41,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B41))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B41,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B41,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B42)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B42,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B42))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B42,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B42,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B43)=0,0,SUMIF('Risk Register'!$A$2:$A$30,Radars!B43,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B43))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B43,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B43,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data user'!B2","v":"Verwerkingsverantwoordelijke"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B46)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B46,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B46))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B46,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B46,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B47)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B47,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B47))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B47,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B47,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B48)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B48,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B48))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B48,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B48,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B49)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B49,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B49))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B49,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B49,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B6","v":"DPO"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B50)=0,0,SUMIF('Risk Register'!$C$2:$C$30,Radars!B50,'Risk Register'!$L$2:$L$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B50))","v":1},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B50,'Risk Register'!$L$2:$L$30))","v":1},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B50,'Risk Register'!$L$2:$L$30))","v":1},0.8,2,3,4,5]
[]
["Control Level Radar"]
[]
[null,"Domein","Average","Min","Max"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B55)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B55,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B55),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B55,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B55,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B56)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B56,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B56),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B56,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B56,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B57)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B57,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B57),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B57,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B57,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data'!$C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B58)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B58,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B58),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B58,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B58,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data'!$C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B59)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B59,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B59),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B59,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B59,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data'!$C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$30,Radars!B60)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$30,Radars!B60,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$A$2:$A$30,Radars!B60),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$30=Radars!B60,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$30=Radars!B60,'Risk Register'!$K$2:$K$30))","v":0}]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max"]
[null,{"$f":"'Referentie data user'!B2","v":"Verwerkingsverantwoordelijke"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B63)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$30,Radars!B63,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B63),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B63,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B63,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B64)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$30,Radars!B64,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B64),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B64,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B64,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B65)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$30,Radars!B65,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B65),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B65,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B65,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B66)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$30,Radars!B66,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B66),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B66,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B66,'Risk Register'!$K$2:$K$30))","v":0}]
[null,{"$f":"'Referentie data user'!B6","v":"DPO"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$30,Radars!B67)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$30,Radars!B67,'Risk Register'!$K$2:$K$30)/COUNTIF('Risk Register'!$C$2:$C$30,Radars!B67),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$30=Radars!B67,'Risk Register'!$K$2:$K$30))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$30=Radars!B67,'Risk Register'!$K$2:$K$30))","v":0}]

{"sheet":"Referentie data user","index":5,"n_rows":30,"n_cols":2,"rows_kept":30,"cut":false,"hidden":false,"merged":[]}
["STATUS","User Radar"]
["Identified","Verwerkingsverantwoordelijke"]
["Open","Management"]
["In Progress","Operations"]
["On Hold","ICT"]
["Closed (archived)","DPO"]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null," "]

{"sheet":"Referentie data","index":6,"n_rows":38,"n_cols":5,"rows_kept":38,"cut":false,"hidden":false,"merged":[]}
["STATUS (zie ref data user)","R user (zie ref data user)","Domain","Requirement","ISO Groep / Beleidslijn / contrôle"]
[" "," ","Data subject","Security & privacy (Non Functional requirements) ","05 Informatieveiligheidsbeleid"]
[" "," ","Processor","Security (Non Functional requirements) ","06 Organisatie van informatieveiligheid"]
[" "," ","Controller","Confidentiality","07 Personeelsgerelateerde aspecten "]
[" "," ","The processing (systems and related processes)  ","Integrity","08 Beheer van middelen"]
[" "," ","Data transfer (third party & international)","Availability","09 Logische toegangsbeveiliging"]
[null,null,"De GDPR (continue) governance (Law, guidelines, rules)","Authenticity","11 Fysieke toegangsbeveiliging"]
[null,null,null,"Reliability","12 Operationele aspecten"]
[null,null,null,"Resilience","13 Communicatieveiligheid"]
[null,null,null,"Privacy (Non Functional requirements)","14 Verwerven, ontwikkelen en onderhouden van informatiesystemen"]
[null,null,null,"Data subject control","15 Uitbesteding aan derden"]
[null,null,null,"Lawfulness processing","16 Incidentenbeheer"]
[null,null," ","Fairness processing","17 Continuïteitsbeheer"]
[null,null," ","Transparency","18 Naleving"]
[null,null," ","Purpose limitation"]
[null,null,null,"Data minimization"]
[null,null,null,"Accuracy"]
[null,null,null,"Storage limitation"]
[null,null,null,"Data subject rights (Functional requirements) "]
[null,null,null,"Give and withdraw consent "]
[null,null,null,"Information"]
[null,null,null,"Notification"]
[null,null," ","Access by the data subject of the data "]
[null,null," ","Rectification "]
[null,null," ","Erasure"]
[null,null,null,"Restriction of processing "]
[null,null,null,"Portability"]
[null,null,null,"Object"]
[null,null,null,"not to be subject to automated individual decision-making"]
[null,null,null,"Data breach uses-case "]
[null,null,null,"Data protection by default"]
[null,null,null,"GDPR products"]
[null,null,null,"Contract"]
[null,null,null,"Record"]
[null,null,null,"Contract"]
[null,null,null,"DPIA"]
[null,null,null,"International transfer"]
[null,null,null,"Accountability"]

{"sheet":"Referentie data 3","index":7,"n_rows":8,"n_cols":6,"rows_kept":8,"cut":false,"hidden":false,"merged":[]}
["Type of treatment","Comments","category of tratement","Comments","Maturity description","Impact / Kans"]
["Directive. ","(Richtlijn door organisatorische, technische of fysieke acties). Begeleiden van personeel, aannemers en bezoekers over het verwachte gedrag binnen de beveiligingsomgeving","Administr. ","Handmatige / administratieve controles verwijzen meestal naar acties die personen al dan niet kunnen uitvoeren.","1 Bewijsstukken zijn er  niet en /of hebben geen nut (kans = 5 en impact > 2)",1]
["Deterrent.","(Afschrikken door organisatorische, technische of fysieke acties). Ontwerp zo dat de inspanning om de besturing te omzeilen of te compromitteren groter is dan de waarde die wordt waargenomen bij het breken ervan; ontmoedigt overtredingen.","Technical","Geautomatiseerde / technische handelingen worden beheerd of uitgevoerd door computersystemen.","2 Aantoonbaar bewijs (dat ter beschikking is) dat andere organisaties dezelfde interpretatie toepassen of eenzelfde antwoord hebben op de vraag.",2]
["Preventive.","(preventief door organisatorische, technische of fysieke acties). Om te voorkomen dat een evenement plaatsvindt / zal voltooid worden. \nvoorkomen dat wijzigingen in systemen en procedures per ongeluk de CIA gaan verminderen","Physical","Fysieke controles omvatten sloten, hekken en zelfs geografisch specifieke bedieningselementen.","3 geschriften (die ter beschikking zijn) die aantonen dat men het aldus uitvoert of dat men een zorgvuldig onderzoek heeft uitgevoerd van alle relevante feiten alvorens men een beslissing heeft genomen : mails, verslagen van meetings, registers, ..",3]
["Compensating.","(Compenseren door organisatorische, technische of fysieke acties). Zal ingeschakeld worden wanneer de bestaande besturingselementen niet voldoende voldoen aan de vereisten die worden beschreven in het beveiligingsbeleid",null,null,"4 bewijs (dat ter beschikking is) door een regelgeving of acte in een gelijkaardige context of interpretatie van een toezichthoudende autoriteit (inspectie rapporten, ..).",4]
["Detective. ","detective door organisatorische, technische of fysieke acties).: kennisgeving aan geschikt personeel (als de afschrikkende en preventieve controles niet hebben gewerkt op een aanval)",null,null,"5 bewijs (dat ter beschikking is) door een regelgeving of authentieke of onderhandse acte die toepasbaar is.",5]
["Corrective.  ","correctief door organisatorische, technische of fysieke acties). : maatregelen om effect terug te draaien als er iets is gebeurd. "]
["Recovery.","herstel door organisatorische, technische of fysieke acties).. Zodra de veiligheidsgerelateerde gebeurtenis voorbij is, is het noodzakelijk om het systeem terug te brengen naar 'normale operaties'"]

{"sheet":"Referentie data 4","index":8,"n_rows":55,"n_cols":2,"rows_kept":55,"cut":false,"hidden":false,"merged":[]}
["Treatement (control)","Objectives / comments "]
["strategische privacy & security policies / principes  vastleggen  ","Kernprincipes minimale normen (https://www.ksz-bcss.fgov.be/nl/gegevensbescherming/informatieveiligheidsbeleid)\nVastleggen van principe 'least privilege’\nVastleggen van principe 'Need to know’\nVastleggen van principe ' Separation of Privilege '\nVastleggen van principe 'Fail-save default'\nVastleggen van principe 'Simplicity of the design' & 'Psychological acceptable '\nVastleggen van principe 'Defense-in-Depth Approach'\nVastleggen van principe 'Layered Security (defense) Approach'\nVastleggen van principe 'passive or dynamic security approach '\nVastleggen van principe 'A threat based defense Approach'\nVastleggen van principe 'Zero trust approach'"]
["Verminder het identificerende karakter van persoonsgegevens","Mogelijkheden\n- de gebruiker kan een bron of een dienst gebruiken zonder het risico te lopen zijn / haar identiteit bekend te maken door het het identificerende karakter van persoonsgegevens wegnemen (anonieme gegevens) (gedeeltelijke verwijdering, codering , hashing,  de link en de correlatie tussen gebeurtenissen, personen en gegevens verbreken, de gegevens anonimiseren door ze op een default waarde te zetten ...);\nvb. Tor, the onion router, maakt websurfen anoniem. Je browser maakt niet direct contact met de webserver. De verbinding wordt opgezet via drie tussenliggende Tor nodes. Deze verbinding zijn versleuteld. Zo kan de webserver, je internet service provider, of een willekeurige derde partij (zelfs de Tor nodes) niet meer zien welke websites je bezoekt\n- de gebruiker kan een bron of dienst gebruiken zonder zijn identiteit bekend te maken, maar blijft identificeerbaar (pseudonieme gegevens);\n- de gebruiker kan meerdere keren gebruik maken van bronnen of diensten zonder het risico dat dit gebruik aan elkaar kan worden gekoppeld (niet-correleerbare gegevens);\n- de gebruiker kan een bron of dienst gebruiken zonder risico dat anderen, met name derden, kunnen waarnemen dat de bron of dienst wordt gebruikt (niet-observeerbaarheid).\n\nDe keuze van een methode zal afhangen van de bedreigingen/ risico's. Voor sommige soorten bedreigingen is pseudonimisering geschikter dan anonimisering (bijvoorbeeld als er traceerbaarheid vereist is).Sommige privacyrisico's worden aangepakt door een combinatie van verschillende methoden.\n\n\n\n\n"]
["Archiveren","methoden voor het bewaren en beheren van elektronische archieven die persoonsgegevens bevatten met als bedoeling onder andere de de noodzakelijke duur van de bewaring (retentie tijd) te garanderen (opslag, migratie, toegankelijkheid, verwijdering, archiveringsbeleid, bescherming van vertrouwelijkheid, enz.)."]
["Encryptie","(Versleutelen) persoonsgegevens onbegrijpelijk maken voor onbevoegden wanneer ze bijvoorbeeld toegang hebben tot de gegevens (symmetrische of asymmetrische codering, gebruik van krachtige openbare algoritmen, certificaat van authenticatie, enz.) of beschikken (bij herstellen, hergebruik, transfer) over de hardware waar de gegevens op staan (werkstation, server, verwisselbare media, etc.) of bij serverdiefstal, onwettige fysieke toegang tot het werkstation of de server en directe toegang tot servergegevens door een admin beheerder of bij onderschepping van elektronische berichten (mailsysteem of dataflux) (vb. IPSEC, TLS, SSH (VPN)).\n\nZie ook beleidslijn 'Vercijferen' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["Scheiden van de persoonsgegevens en van de verwerking van persoonsgegevens","om de mogelijkheid te verkleinen om persoonlijke gegevens met elkaar te correleren of om een inbreuk te voorkomen op alle gegevens tegelijkertijd ((bedrijfswijd) Conceptueel informatiemodel (met afhankelijkheidsrelaties) als basis voor de groepering, logische informatiemodel, fysisch modellen, … enz.)."]
["Fysieke toegangscontrole verbeteren","onbevoegden geen fysiek toegang geven tot persoonlijke gegevens (verschillende veiligheidszones in het gebouw, lijst van geautoriseerde personen, authenticatie van werknemers en bezoekers, traceer toegang, waarschuwing in geval van inbraak, enz.).\nZie ook beleidslijn 'Fysieke toegangsbeveiliging'  (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["Integriteitscontrole op de gegevens implementeren","gewaarschuwd worden als er een ongewenste wijziging of verdwijning van persoonlijke gegevens is (hashfunctie (genereren van een vingerafdruk (hash) van de gegevens vb. SHA-256), authenticatiecode aan een bericht toekennen (MAC), elektronische handtekening (om veranderingen van gegevens door andere dan de ondertekenaar te voorkomen), voorkoming van SQL-injectie, enz.)."]
["Logische toegangscontrole tot de persoonsgegevens implementeren","onbevoegden geen elektronisch toegang geven tot de persoonsgegevens (beheer van gebruikersprofielen, authenticatiemechanisme (eIDAS, electronisch certificaat (éénmalig gebruik), 2 factor authenticatie, ..),  wachtwoordbeleid voor gewone gebruikers of administrateurs, enz.).\nGeef personen alleen toegang tot persoonsgegevens die ze strikt gesproken nodig hebben (‘need to know’)"]
["(fysieke) oorzaken wegwerken die onbeschikbaarheid kunnen veroorzaken","voorkomen van menselijk of niet menselijk oorzaken die het risico op de beschikbaarheid van persoonsgegevens kunnen versterken (voor de HW/SW gevaarlijke producten in de buurt van de gegevens voorkomen (ontvlambare stoffen , water, ...) , gevaarlijke geografische gebieden waar de gegevens worden opgeslagen (luchthavens, chemische bedrijven ..), gegevensoverdracht buiten de EU, enz.)."]
["middelen om de rechten van de betrokkene te garanderen","recht om vergeten te worden, recht op transfer van data,  recht op verbetering, recht op informatie, recht op bezwaar, ... : \n- maak een gemakkelijk toegankelijk formulier met keuzes (aanvinken), specificeer het adres waarnaar de vraag moet worden verzonden\n- documenteer de datum van de aanvraag (dit als bewijsstuk van de wettelijke doorlooptijd)\n- verzeker je van de identiteit van de aanvrager bij de start van het proces : controleren of verzoeken om uitoefening van het recht (op rectificatie) per post worden ondertekend en vergezeld gaan van een fotokopie van een identiteitsbewijs (dat niet bewaard mag worden tenzij het nodig is om bewijsmateriaal te bewaren in het kader van de aanvraag); elektronisch (gebruikmakend van een gecodeerd kanaal als de verzending via internet gebeurt) gaat vergezeld van een gescand identiteitsbewijs (dat niet bewaard mag worden, tenzij het nodig is om bewijsmateriaal te bewaren en versleuteld),  verifieer de identiteit van de aanvragers die ter plaatse komen en de personen die zij mogen machtigen of de erfgenamen van een overledene, etc"]
["transparantie en rechtmatige verwerking verzekeren","Aandachtspunten :\n- controleer de inhoud van de communicatie (privacy statement) met een checklijst (op basis van art 12,13 en 14 AVG regelgeving)\n- de informatie is in een taal uitgedrukt die begrijpelijk is vanuit het oogpunt van een persoon die niet is opgeleid in computertechnologie of internet.\n- gebruik eventueel iconen om de privacy policies samen te vatten \n- zoek alternatieve oplossingen voor het geval dat de gekozen oplossing niet langer operationeel is\n- plaats de informatie op een plaats en op een moment (tijdens de verschillende contacten met de betrokkene) waarbij je zeker bent dat de verschillende betrokkene ze hebben gezien "]
["De duurtijd van het gebruik van de gegevens beperken","de gegevens niet langer bewaren dan nodig voor het doel van de verwerking\nEnkele voorbeelden : \n- de verwerking (inclusief de logs) toont de datum weer waarop de gegevens moeten worden verwijderd.\n- een tussentijdse termijn instellen om de gegevens na deze periode alleen door een beperkte lijst van personen te laten verwerken\n- een geautomatiseerde functie die de gegevens wist/onbruikbaar maakt waarvan de retentietijd bereikt is, inclusief de back-ups, de functionele logs en het gebruik door ICT systemen (technische logs). In het geval van handmatige wissen, voorzie mogelijks een  batch toepassing.\n- anonimiseer de gegevens na de retentietijd of als het een specifiek veld uit een record betreft dat verder nog wel bewaard moet worden, zet dat veld dan op een default waarde. \n- Een efficiënte methode om data op backups te vernietigen is om de data te versleutelen voordat de backup gemaakt wordt. Door bepaalde sleutels met een bepaalde bewaarperiode te associëren kan alle data voor die periode simpelweg vernietigd worden door deze specifieke sleutel te vernietigen."]
["Het recht van bezwaar implementeren","recht op bezwaar met tijdelijke stopzetting verwerking (Art 38) . \n- bestudeer de situatie waarin de verwerking 'bevroren' is en de impact op andere verwerkingen, waar nodig 'noodoplossingen' uitwerken.\n- controleer , waar mogelijk, of een betrokkene dit recht kan uitoefenen en documenteer waarom het eventueel niet kan (uitz. regelgeving) "]
["middelen implementeren voor de instemming voor een verwerking (consent)","Aandachtspunten :\n- uitdrukkelijke toestemming voor registratie; gesegmenteerde toestemming per verwerking; uitdrukkelijke toestemming alvorens gegevens met derden te delen;\n- bewaar de toestemming voor eventuele controle\n- voorzie de mogelijkheid om je uit te schrijven voor een dienst (verwijdering van een account).\n- (mobiele toepassing) waarschuw de gebruiker (pictogram, indicatielampje) wanneer het apparaat \"luistert\" met de microfoon, wanneer de locatie wordt verzameld, enz. en sta hem toe om zich ertegen te verzetten\n- vraag toestemming op een begrijpelijke manier en aangepast aan de doelpersoon (vooral voor kinderen);\n- voorzie een ouderlijke toestemming (controlesysteem voor de ouders) bij kinderen onder de 13 jaar\n- voorzie alternatieve oplossingen wanneer de gekozen oplossing niet langer operationeel is\n- vraag eventueel aan de betrokken persoon na een lange periode van niet-gebruik opnieuw toestemming te geven;\n- zorg ervoor dat de toestemming vrij kan gekozen worden (is er een alternatief (een andere keuze moet mogelijk zijn), is er geen relatie van ondergeschiktheid (bijvoorbeeld tussen werknemer en werkgever) ).\n- (web-form) geef een selectievakjes dat niet standaard is aangevinkt (\"opt-in\" genoemd)."]
["Incident procedure uitwerken","Aandachtspunten :\n- beschijf duidelijk de verantwoordelijkheden en de type incidenten (niet ernstig, ernstig, kritisch)\n- voorzie steeds een controle op eventuele melding bij  de gegevensbeschermingsautoriteit\n- test het plan (bij belangrijke incidenten) minstens één keer in de twee jaar.\n- valideer de inhoud van het plan om het jaar\n\nzie ook beleidslijn 'Incidentenbeheer' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["beveiliging van maatregelen mobiele toepassingen - apparaten","Aandachtspunten :\n- (mobiel) apparaat : duidelijke instructies en eenvoudige stappen geven om gegevens te wissen bij verkoop van het apparaat of bij de-installatie van een app ; om gegevens op afstand te wissen als het apparaat wordt gestolen.\n- de telefoons moeten automatisch worden vergrendeld na een periode van inactiviteit (1 tot 5 minuten), de geheugenkaart (microSD) waarop de e-mails zijn opgeslagen, moet best gecodeerd zijn, de externe vergrendeling moet worden geactiveerd om de inhoud te kunnen verwijderen in geval van verlies of diefstal, de installatie van nieuwe toepassingen indien mogelijk beperken of geen software installeren op het apparaat, tenzij ze afkomstig zijn van een vertrouwde bron, gebruikers mogen het beveiligingsniveau niet verlagen door de configuratie van de telefoon te wijzigen, ze mogen de mails van onbekende oorsprong niet openen, ze mogen geen gevoelige bestanden opslaan (behalve het lezen van de mails), ze moeten regelmatig het cachegeheugen en cookies wissen, moeten de IT-afdeling onmiddellijk op de hoogte brengen in geval van een incident; voor de servers : isoleer de server van de rest van het netwerk in een specifieke DMZ of VLAN, gebruik een up-to-date anti-virus, anti-spyware en anti-spam, installeer beveiligingsupdates van het besturingssysteem onmiddellijk, authenticeer apparaten door elektronisch certificaat (indien mogelijk) ..\n\nZie ook beleidslijn 'Mobiele toestellen' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)  \n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n"]
["beveiliging van de netwerk infrastructuur"," de toegang tot openbare (internet) of ongecontroleerde (partner) netwerken, evenals werkstations en servers beschermen tegen code die de beveiliging van persoonlijke gegevens zou kunnen beïnvloeden : \n- antivirus : de gebruiker moet niet in staat zijn de antivirus op zijn station uit te schakelen of de parameters ervan te wijzigen, regelmatig (wekelijks , maandelijks) een volledige analyse van lokale schijven uitvoeren ( dit bijvoorbeeld tijdens daluren of bij beperkte systeembelasting) , voer automatisch updates voor antivirus databases en -engines uit op de servers en werkstations, voorzie procedure voor noodupdates, stockeer de beveiligings acties van de antivirus op een centrale server voor statistische analyse en a posteriori. beheer van de problemen , ...\n- gebruik middelen zoals DMZ zones, firewall, proxy, anti-spyware ,enz.."]
["beveiliging van onderhoud op servers en werkstations","Algemeen :\n- duidelijke beveiligingsregels contractuel vastleggen indien uitgevoerd door externe partijen (met confidentialiteit overeenkomst)\n- noteer alle onderhoudswerkzaamheden in een logboek.\nonderhoud op afstand :\n- gebruik altijd gecodeerde communicatiekanalen, gebruik sterke wachtwoorden of authenticatiesmiddelen, log de toegang en acties\nonderhoud werkstation :\n- voor interventies waarbij op afstand de overname van het werkstation vereist is :  voer de interventie alleen uit nadat u de toestemming van de gebruiker hebt gekregen en vertelt hem op het scherm wanneer overname effectief begint en eindigt."]
["minimale gegevensverwerking voor de persoonsgegevens voorzien","persoonsgegevens dienen toereikend te zijn, ter zake en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (art 5.1.C)\nAandachtspunten :\n:: minimalisering van de gegevens verzameling : \n- rechtvaardig de verzameling van elk gegeven  (selectiecriteria: selecteer alleen dat wat strikt noodzakelijk - whitelist) : definieer het doel van de verwerking,  identificeer vervolgens de gegevens die voor dit doel nodig zijn en motiveer waarom elke gegevenscategorie essentieel is en verwijder ten slotte alle gegevens die niet noodzakelijk zijn voor het doel ; verifieer indien nodig het doel als er gegevens nodig zijn voor iets anders dan het oorspronkelijk beoogde doel.\n- vermijd invoervelden met vrije tekst (bijv. Velden met \"opmerkingen\"), vanwege het risico dat gebruikers informatie invoeren die niet voldoen aan de minimaliseringsprincipes. Daarom geven we de voorkeur aan invoervelden op basis van vervolgkeuzelijsten. Als we de vrije tekstinvoer niet kunnen vermijden, moet gebruikers bewust worden gemaakt van het gebruik van deze velden, van de algemene voorwaarden van de regelgeving.\n- controleer regelmatig of er geen aanvullende gegevens zijn verzameld in vergelijking met wat oorspronkelijk was gepland (systeem test)\n- beperk waar mogelijk het detail waarin persoonsgegevens worden verwerkt : \n-- Groepeer (group) Aggregeer informatie over categorieën personen in plaats van ieder individu. Stel een groepsprofiel op (met de gemiddelde waarde van de gegevens van alle mensen van een bepaalde leeftijd of een bepaald postcode gebied).\n-- Vat samen, generaliseer (summarize) Vat gedetailleerde informatie samen in meer algemene gegevens. Registreer bijvoorbeeld een leeftijdscategorie in plaats van een geboortedatum, of een woonplaats\nin plaats van het precieze adres.\n-- Ruis toevoegen, verstoren (perturb) Gebruik niet de precieze waarde van een gegeven. Gebruik een benadering van de waarde, of pas de waarde aan met een kleine hoeveelheid ruis.\n:: verminder de mogelijkheid om gegevens samen  te voegen (te correleren) : het ICT systeem kan worden gestructureerd in onafhankelijke delen met afzonderlijke toegangscontrole, het systeem kan de toegang tot gegevens beperken volgens het \"need to know\" -principe; het systeem kan gevoelige gegevens scheiden en specifieke toegangscontrole toepassen; man kan gevoelige gegevens coderen om hun vertrouwelijkheid tijdens verzending en opslag te beschermen; de toegang tot tijdelijk verborgen bestanden (cash) moet ook worden beschermd.\n:: let goed op als tijdens de verwerking van gegevens nieuwe gegevens ontstaan: selecteer of sluit ook dan uit welke nieuwe gegevens noodzakelijk zijn (Data mining, deep learning of andere Big Data technieken genereren nieuwe inzichten. Selecteer alleen die inzichten die relevant zijn. Gooi ander gegevens weg, en bewaar die niet onder het motto “baat het niet dan schaadt het niet”: het schaadt soms wel degelijk.)"]
["verzekeren van  de \"juistheid\" van persoonsgegevens","Aandachtspunten :\n- Geef gebruikers controle over de verwerking van hun persoonsgegevens : om persoonsgegevens te corrigeren / te verwijderen .\n- Controleer regelmatig de juistheid van de persoonlijke gegevens van de gebruiker (via een authentieke bron).\n- Nodig de gebruiker uit om zijn gegevens regelmatig te controleren en, indien nodig, bij te werken.\n- Zorg voor de traceerbaarheid van elke wijziging van de gegevens."]
["Samenwerkingscontract met verwerkers uitwerken","Aandachtspunt :\n- voorzie een controle systeem (toezicht) op de maatregelen die ze nemen op het gebied van de veiligheid (zie vragenlijst minimale normen voor leveranciers - https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen) \n- contract dient de gegevens te bevatten zoals aangegeven in Art 28 van de AVG ( duur en reikwijdte van uitbesteding, doel van onderaanneming,  voorafgaande toestemming in geval van een beroep op een andere onderaannemer; verstrekking van documentatie waaruit blijkt dat wordt voldaan aan de AVG; onmiddellijke kennisgeving van een datalek, ..)\n- cloudserviceproviders specificeren vaak de locaties van gegevensopslag, maar geven zelden de geografische gebieden aan waar hun beheerders toegang tot hun platform hebben; dit punt moet in het contract worden gespecificeerd\nzie ook beleidslijn 'Uitbesteding aan derden'   (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["Back-up implementeren","Aandachtspunten : \n- voorzie zowel back-up voor elektronische als voor niet-elektronische persoonsgegevens\n- voorzie een incrementele back-up (vb dagelijks) en een volledige back-up (vb wekelijkse).\n- voozie een verificatie van de back-ups .\n- beveilig back-up gegevens op hetzelfde beveiligingsniveau als tijdens de verwerking\n- overdracht en daarmee ook de back-ups van gegevens naar landen buiten de Europese Unie zijn onderhevig aan specifieke regelgeving"]
["opzetten van een veilighiedsmonitoring systeem","doel : in staat zijn om incidenten met persoonsgegevens vroegtijdig op te sporen en bruikbare informatie te hebben om het incident te onderzoeken of een bewijs te leveren in de onderzoeken.\nAandachtspunten :\n- een logging-architectuur om beveiligings events bij te houden en wanneer ze zich hebben voorgedaan : timestamping van de logging  met behulp van Coordinated Universal Time (UTC) als referentie, met behulp van een betrouwbare tijdsbron waarop apparaten zullen worden gesynchroniseerd, zoals een Network Time Protocol (NTP) -server of een radiosynchronisatie, lokaal centraliseren (groepeer alle logboeken op een relatief geïsoleerde sever met een speciaal consult werkstation), voorzie voldoende capaciteit , een archief- en back-upsysteem , bescherm de loggingapparatuur en logs tegen manipulatie en ongeautoriseerde toegang, enz.\n- keuze van de gebeurtenissen die je wilt loggen : de acties op een werkstations waar er een hoog risico is (verbindingen met het systeem , wijziging van beveiligingsparameters, privileges, gebruikersaccounts en groepen, ..) ,  de logs van de post- en elektronische communicatie in het geval van het opzetten van een openbare internettoegang ( informatie ter identificatie van de gebruiker en de beoogde ontvanger van de communicatie), (de datum, het tijdstip en de duur van een gesprek) , ...\n- Implementeer een filterbeleid dat directe communicatie tussen intern en de buitenkant verbiedt (alleen verbindingen toestaan via de firewall) en alleen expliciete geautoriseerde flows toestaat (blokkeer, door de firewall, elke verbinding die niet toegelaten of noodzakelijk is).\n- voor een netwerk component : Logs van de activiteit op elke poort van een switch of router; exporteer logboeken naar een speciale server met een geïntegreerde syslog-client; controleer de volumetrie en volg de toegangscontrolelijsten (ACL's) voor routers.\n- voor servers : Log zoveel mogelijk informatie over de toegang  van Clients op webservers om configuratiestoringen, SQL-queryinjecties, enz. te identificeren zoals : succesvolle verbindingen, verbindingsmethoden, query's, volumetrics, landverdeling van vragen, enz."]
["Uitwerken van het operationeel beheer van de beveiliging van de ICT systemen","Aanbevelingen :\n- implementeer een CMDB\n- onderzoek regelmatig op kwetsbaarheden die in de software (inclusief firmware) en corrigeer ze zo snel mogelijk.\n- activeer zoveel mogelijk automatische software-update(systemen)\n- Formaliseer hardware- en software-updateprocedures.\n- Verbied het gebruik van productieservers (databaseservers, webserver, mailserver, enz.) voor andere dan de oorspronkelijk geplande doeleinden\n- installeer alleen de strikt noodzakelijke software op de servers, beperk het netwerkverkeer tot de strikt noodzakelijke poorten.\n- Gebruik gegevensopslagapparaten die gebruikmaken van hardware-redundantiemechanismen (zoals RAID) of mechanismen voor het dupliceren van gegevens tussen meerdere servers en / of sites.\n- Controleer of de opslag- en verwerkingscapaciteit voldoende is om de juiste werking te garanderen, zelfs in het geval van piekactiviteit.\n- Controleer of de fysieke hosting voorwaarden (temperatuur, vochtigheid, stroomtoevoer, enz.) geschikt zijn voor het beoogde gebruik van de apparatuur en oinstalleer back-up mechanismen ( batterij, generator, ...)."]
["Uitwerken van beveiliging van de communicatiekanalen (netwerken)","doel : de mogelijkheid verkleinen dat de communicatie kanalen (netwerk, wifi, radiogolven, glasvezel, enz.) worden misbruikt om persoonsgegevens onrechtmatig te verwerken ( documentatie netwerk, firewalls, detectie en inbraakpreventie, SSH-protocol, stream-encryptie, sterke authenticatie, etc.).\nAandachtspunten :\n- draadloze communicatie met de lokale infrastructuur en met de openbare internettoegang volledig scheiden van elkaar \n- gebruik het SFTP protocol voor file transfer "]
["Beveiliging van papieren documenten en flows","Aandachtspunten : \n- voeg in de kop- of voettekst van de documenten die worden gebruikt in de loop van de verwerking de vermelding \"Gevoelige persoonlijke gegevens\", of \"Dit document bevat persoonsgegevens, beschermd door de wet\".\n- voeg \"[Persoonsgegevens]\" toe aan de titel van e-mails die deze decoumenten bevatten voor het geval ze worden afgedrukt\n- voeg in de kop- of voettekst van de toepassing de woorden toe: \"deze toepassing biedt toegang tot persoonlijke gegevens, beschermd door de AVG regelgeving\" ,\n- in de brieven waaraan de samengevoegde gegevens zijn toegevoegd de afzender eraan herinneren dat hij gegevens verwerkt die alleen aan de beoogde ontvangers moeten worden doorgegeven en die aan het einde van de geplande bewaarperiode moeten worden vernietigd\n- gebruik een afsluitbare kast, een kluis, enz. voor de opslag van de documenten\n- gebruik een gecertificeerde versnipperings machien van minimaal klasse 3 van DIN 32757105. \n- noteer op een daartoe bestemd document een logging van de zending (lijst van verzonden documenten, identiteit van de afzender en zijn handtekening, transmissiekanaal, identiteit van de vervoerder, indien van toepassing en de handtekening, datum en tijdstip van verzending) en ontvangst van documenten met gegevens (lijst van ontvangen documenten, identiteit van de ontvanger en zijn handtekening, datum en tijdstip van ontvangst), enz.\n- sensibiliseer de medewerkers\n- stuur documenten in dubbele enveloppen per aangetekend schrijven, bevestig een \"zeer vertrouwelijk\" teken op de enveloppen, ...\n"]
["Beveiliging van de activiteiten uitgevoerd door interne of externe medewerkers","Voorzie een confidentialiteitsverklaring"]
["Beveiliging van een ICT proces ","Controleer de beschrijving met internationale standaarden zoals de ITIL processen.\nControleer de mogelijke verantwoordelijkheidsconflicten op basis RACI techniek."]
["beleidslijn 'Aankopen, ontwerpen, ontwikkelen en onderhouden van informatiesystemen '","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Authenticatiemiddel bepaling voor toepassing '","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Continuïteitsbeheer'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Clean en Clear Desk' ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Cloud'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Naleving'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Data classificatie'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Data veiligheid'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Wissen van informatiedragers'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Gedragscode voor informatiebeheerders'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Personeelsgerelateerde aspecten van informatieveiligheid'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Incidentenbeheer'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Gebruik van het internet om toegang te krijgen tot het netwerk van de KSZ '","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Logbeheer'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Mobiele toestellen'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Email, online communicatiemiddelen en internet gebruik'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Uitbesteding aan derden'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Fysieke toegangsbeveiliging'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Toegangsbeheer van portalen'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Verwerking van persoonsgebonden gegevens'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Risico-beoordeling'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Veilig telewerken'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Draadloze netwerken'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["beleidslijn 'Beveiliging Medische Gegevens'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["Minimale Normen vragenlijst leveranciers v2017","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
["NOTA 'Synthese en Vuistregels Beveiliging Medische Gegevens'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]