{"text_format":"1","workbook":"xlsx","n_sheets":14,"sheets":["Hoe gebruiken","Record register","Screening","RBS","Risk Register","Maps","Radars","Scales","AVG kort","Referentie data user","Referentie data","Referentie data 1","Referentie data 2","Referentie data 3"],"not_rendered":{"charts":4,"images":1,"macros":1,"external_links":4,"defined_names":16,"comments":1,"pivot_tables":2},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"Hoe gebruiken","index":0,"n_rows":11,"n_cols":2,"rows_kept":11,"cut":false,"hidden":false,"merged":[]}
[null,"Korte gebruiksaanwijzing"]
[null,"Gebruiksvoorwaarden  : macro's uit het Excel-bestand toestaan"]
[null,"Doelstelling\n\nDit Excel bestand  is een hulpmiddel voor \n- het bepalen van de risico's voor de rechten en vrijheden van natuurlijke personen die gerelateerd zijn aan de verwerking van de persoonsgegevens van de betrokkene.\n- het bepalen van de risico's in verband met de waarborgen dat de verwerking in overeenstemming met de AVG verordening wordt uitgevoerd   (Art 24 AVG). \n- het uitvoeren van een  gegevensbeschermingseffectbeoordeling  (art 35 AVG) en het verzamelen van informatie voor de voorafgaande raadpleging (Art 36).\n\nDeze tool is aanvullend aan de template  'AVG register van de verwerkingsactiviteiten'. \n\nHet hulpmiddel bestaat uit : \n- de beschrijving van de verwerking van persoonsgegevens (met de informatie uit het 'register van de verwerkingsactiviteiten').\n- een lijst met risico's nuttig voor een gegevensbeschermingseffectbeoordeling (gebaseerd op de AVG regelgeving)\n- een techniek / scoring systeem om de risiconiveaus te bepalen\n- de minimale informatie nodig bij een voorafgaande raadpleging  (Art 36)\n- de mogelijkheid tot opvolging van een risico tijdens zijn levenscyclus\n\nDeze excelsheet is enkel een voorbeeld en heeft niet de pretentie om volledig te zijn bij de uiteindelijke beoordeling . \n\nDe makers van deze excelsheet nemen geen verantwoordelijkheid in verband met het resultaat dat men bereikt bij het gebruik van deze excelsheet. "]
[null,"Aannamens en afhankelijkheden \n\nHet gaat hier over een verwerking die beschreven is in het tabblad 'record register' . Het ontbreken van noodzakelijke informatie in het tabblad 'record register'  kan leiden tot een risico omdat het onderwerp (de 'scope') van de risico analyse niet correct is omschreven. Dit risico dient dan toegevoegd te worden aan de lijst van de risico's in het tabblad 'Risk Register'.\n\nWe veronderstellen dat : \n- dit rapport wordt opgemaakt vanuit de rol van verwerkingsverantwoordelijke\n- er een DPO is voor de verwerkingsverantwoordelijke en/of verwerker\n- de DPO van de verwerkingsverantwoordelijke alsook de betrokkene (indien noodzakelijk) een advies geeft op het resultaat van de risicoanalyse.\n- het gegevensbeschermingsbeleid van de organisatie van de verwerkingsverantwoordelijke en/of verwerker reeds aangepast is aan de AVG regelgeving\n- er een 'gegevens inbreuk' procedure bestaat bij de verwerkingsverantwoordelijke  en de verwerker conform de AVG regelgeving\n\n DPIA proces"]
[null,"\n\n\n\n\n\n\n\n\n\n\n\n"]
[null,"BS - Basic screening (sheet 'Screening') : \n\nDe Basic screening heeft als doel om na te gaan of er, volgens de AVG regelgeving,  een gegevensbeschermingseffectbeoordeling dient uitgevoerd te worden.\n\nDe belangrijkste criteria voor deze beslissing zijn opgenomen in de sheet 'Screening'. Voor elk evaluatie criteria dat van toepassing is geef je een 1 in de column 'SCORE'. De TOTALE SCORE A of B geeft dan een indicatie voor het al of niet uitvoeren van een gegevensbeschermingseffectbeoordeling  (WP 248)\n\nOpmerking : bepaalde criteria omsluiten elkaar maar niet volledig , bijvoorbeeld het criteria 'Verwerking van persoonsgegevens van kwetsbare natuurlijke personen' en het criteria 'Verwerking van persoonsgegevens van Kinderen'. In het geval dat je 'persoonsgegevens van kinderen' verwerkt dien je dus maar één van de twee criteria te gebruiken bij de score.  "]
[null,"Gegevensbeschermingseffectbeoordeling :\n\nHier wordt het 'resterende risico niveau' berekend op basis van de opgesomde risico's."]
[null,"(Stap IDENTIFICATIE van de risico's) \nHier worden de risico's opgesomd. Dit kan gebeuren op 2 manieren :\n− Aanmaken of verwijderen van risico’s rechtsreeks in het 'risk register'  (tabblad 'Risk Register'). Toevoegen van een risico via het aanklikken van de link ‘Add a specific risk’ in het tabblad. \n− Selectie van een risico uit een vooraf gedefinieerde lijst van risico’s die afkomstig zijn van een risico container (tabblad ‘RBS’). Selectie via het aanklikken van de link in de column ‘Risk-ID’. We merken op dat de velden die niet overgenomen worden in het tabblad 'Risk Register' verder dienen aangevuld te worden.\nIn het tabblad ‘RBS’ is hier de container opgenomen met de ‘algemene’ risico’s (29 tal risico’s). Andere containers (voorbeeld risico’ in verband met ‘cloud services’) kunnen aangevraagd worden bij de veiligheidsdienst van KSZ. \n\nAlle functionaliteiten uit deze template (zoals deze uit tabblad ‘radars’ en ‘maps’) blijven werken indien je minimum 2 risico’s hebt in je 'risk register'  (tabblad 'Risk Register'). \n"]
[null,"(Stap ANALYSEvan de risico's) \nVoor elke risico in het 'risk register'  bepalen we achtereenvolgens :\n- de kans     (column 'Prob. (1-5)')  : waarde van 1 tot 5\n- de impact (column 'Imp. (1-5)')   : waarde van 1 tot 5 \nOp basis van deze waarden wordt de 'severity' (ernst) berekend via de formule : (Kans + Impact) / 2 (column 'Severity') \nVervolgens geven we een waarde aan de huidige controle maatregelingen : waarde van 0 tot 5 in de column (column 'Cont. (1-5)'). Controle met een waarde 0 betekent dat er geen controle maatregelingen zijn.\nHet 'resterende risico niveau' wordt dan berekend via de formule : severity - controle (column 'Residual')  \nDe betekenis van de waarden van 1 tot 5 voor de verschillende variabelen kan men terugvinden in de sheet 'Scales'."]
[null,"Het resultaat van de gegevensbeschermingseffectbeoordeling.\n\nHet resultaat van de risico analyse wordt grafisch weergegeven in het tabblad ‘Maps’ en het tabblad ‘Radars’. \n\n− Tabblad ‘Maps’ : om , bij veranderende waarden  (of bij afvoer / toevoegen van risico's) in het 'risk register' correcte waarde te bekomen in het tabblad 'Maps' (tabellen 'heatmaps') dien je de Heatmaps te actualiseren (cursor op de 'heatmap', rechtse muisknop en druk op 'refresh').\n\n− Tabblad ‘Radars’ :  dit tabblad wordt automatisch aangepast op basis van de inhoud van het 'risk register'. De van toepassing zijnde waarden van een risico worden overgenomen op één van de assen van de radars. De selectie van de assen gebeurt op basis van de inhoud van de column ‘Domain’ (voor de standaard radar) en ‘User radar’ (voor de User radar). De benaming van de assen van de ‘User radar’ kunnen aangepast worden in de column ‘User Radar’ van het tabblad ‘Referentie data user’. De stippellijn in de radars geeft de maximale waarden weer, de volle lijn de gemiddelde waarde voor alle risico’s behorende tot de as van de radar.\n\nHet tabblad 'record register' bevat alle gegevens die je nodig hebt voor het rapport naar de GBA.\n"]
[null,"De standaard risico 'lifecycle' \n\nDe standaard risico lifecycle bestaat uit de volgende stappen :\n\nStap IDENTIFICATIE : voeg risico's toe of verwijder ze. Pas eventueel de beschrijving van het risico aan aan de context.\n\nStap  ANALYSE : analyseer alle in het register voorgestelde risico's, dwz schat voor elk risico de waarschijnlijkheid en impact, controle (beschrijf de relevante elementen indien nodig), bepaal de risico-eigenaar en geef een aanbeveling voor de mogelijke risico 'response'. \nOpmerking : het bepalen van de 'risico bereidheid'  in de sheet 'record register' kan je helpen bij de keuze van de mogelijke reacties op het risico (risico 'response'). Ter herinnering: alle risico's waarvan de ernst groter is dan of gelijk is aan de mate van de 'risico bereidheid'  moeten worden verminderd of overgedragen\n\nStap EVALUTIE : bepaal de kost van de te nemen maatregeling en beslis de uiteindelijke actie. \n\nStap OPVOLGING : bepaal op regelmatige tijden de status van de vooruitgang van de uitvoering van de maatregelingen en verander eventueel geschatte waarden. (Status Risk 'In Progress'). De waarden van de benamingen van de ‘status’ kunnen aangepast worden in de column ‘Status’ van het tabblad ‘Referentie data user’.\n"]

{"sheet":"Record register","index":1,"n_rows":75,"n_cols":3,"rows_kept":75,"cut":false,"hidden":false,"merged":[]}
["Beschrijving van de scope","Criteria voor en aanvaaardbare gegevensbeschermingseffectbeoordeling volgens 'WP248 - EU'\n(*)  gegevensbeschermingseffectbeoordeling  (Art 35) \n(*)  + (**) de informatie bij een voorafgaande raadpleging (Art 36)\n(+) standaard inhoud register verwerkingsverantwoordelijke (op basis template KSZ)"," "]
["Proces",null," "]
[" ","Naam proces / de naam van de verwerkingsactiviteiten (+)"]
[" ","Beschrijving van het businessproces / verwerkingsactiviteit  (grenzen, context, eventueel type, versie, ….)  (+) (*)"]
[" ","De verwerkingsdoeleinden  (*) (**)"," "]
[null,"In voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd (*)"]
[" ","Eigenaar proces (+)"]
[null,"Type verwerking (+)"]
[null,"Opmerkingen ","voorbeeld : de reden waarom de analyse NIET is uitgevoerd, de bevestiging dat de DPO heeft toegezien of de uitvoering ervan in overeenstemming is met (artikel 35 van) de AVG;"]
["Personen betrokken bij de analyse",null," "]
[null,"De naam en contactgegevens van de DPO('s) (*) als adviseur"]
[null,"De naam van de geraadpleegde betrokkene of hun vertegenwoordiger als adviseurs (*)"]
["(Gezamenlijke) verwerkingsverantwoordelijken "]
[null,"Verwerkingsverantwoordelijke organisatie 1 (**) (+)"]
[null,"Naam eigenaar proces in organisatie 1 (**) (+)"]
[null,"Verantwoordelijkheden van de verwerkingsverantwoordelijke 1 (**)"]
[null,"Contact gegevens van de DPO (**)"]
[null,"Gezamenlijke verwerkingsverantwoordelijke organisatie 2 (**) (+)"]
[null,"Contract referentie (als van toepassing) (+)"]
[null,"Naam eigenaar proces in organisatie 2 (**) (+)"]
[null,"Verantwoordelijkheden van de verwerkingsverantwoordelijke 2 (**)"]
[null,"Contact gegevens van de DPO (**)"]
["Verwerkers"]
[null,"Organisatie die verwerker is (**) (+)"]
[null,"Identificatie gegevensverwerkingscontract met verwerker (+)"]
[null,"Naam verwerker in organisatie (**)"]
[null,"Verantwoordelijkheden van de verwerker (**)"]
["Verwerkingsgrond"]
[null,"Verwerkingsgrond (+)"]
[null,"Verduidelijking verwerkingsgrond (+)"]
["Specificaties verwerking"]
[null,"beoordeling dat de gebruikte gegevens toereikend , ter zake dienend en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (*) "]
[null,"Is er een waarborg dat de verwerking evenredig is met het nagestreefde doel (evenredigheidspincipe) (*) "]
[null,"persoonsgegevens worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is (opslagbeperking) ;  "]
["Andere wettelijke en policy vereisten buiten de AVG"]
[null,"Regelgeving van toepassing op de verwerking"]
[null,"Specifieke (veiligheid en privacy) policies van toepassing op de verwerking"]
["Gebruikte gegevens (groep) en betrokkenen"]
[null,"Functionele gegevenscategorie  (+)"]
[null,"AVG-gegevenscategorie (+)"]
[null,"Classificatieniveau  (+)","\n"]
[null,"categorie(ën) betrokkenen (+)"]
[null,"Naam van de (groep van de ) betrokkene (+)"]
[null,"(gedeeltelijke) koppeling met andere (interne) gegevens(groep) (+)"]
[null,"Authentieke bron (+)"]
[null,"Policy bewaartijd gegevens  (+)"]
[null,"Benaderend aantal betrokkenen"]
["De dragers van de persoonsgegevens  "]
[null,"Naam drager van de verwerking vb. naam software toepassing of data base (**) (+)"]
[null,"Soort drager van de persoonsgegevens (+)"]
[null,"Verwerker van de drager van de persoonsgegevens  (+)"]
[null,"Type van drager context AVG (+)"]
["Gegevens uitwisseling met ontvangers en/of derde landen"]
[null,"categorie(ën) gegevens  (+)"]
[null,"categorie(ën) ontvangers (+)"]
[null,"Derde land/internationale organisatie (+)"]
[null,"Aard van de doorgifte naar een  derde land/internationale organisatie (+)"]
[null,"referentie naar documenten inzake de passende waarborgen (+)"]
[null,"Formaat ter bestemming  (+)"]
[null,"De frequentie (+)"]
[null,"Transfer protocol (+)"]
[null,"Supporterend kanaal (+)"]
["Rechten betrokkenen"]
[null,"Toestemming betrokkenen : hoe uitgewerkt ? (+) "," "]
[null,"Het informeren van de betrokkenen van de verwerking , van zijn rechten :  is het van toepassing / hoe uitgewerkt ? (+)","vb. Privacy notice"]
[null,"Recht op rectificatie :  is het van toepassing / proces bestaat ?"]
[null,"Recht op gegevenswissing (\"recht op vergetelheid\") :  is het van toepassing / proces bestaat ?"]
[null,"Recht op beperking van de verwerking : is het van toepassing / proces bestaat ?"]
[null,"Recht van bezwaar : is het van toepassing / proces bestaat ?"]
[null,"Recht op toegang : is het van toepassing / proces bestaat ?"]
[null,"Recht op overdraagbaarheid :is het van toepassing / proces bestaat ?"]
["Risico analyse",null,"Zie andere sheets"]
[null,"Risk appetijt (Risico bereidheid)",0]
[null,"de beoordeling van het risico van de verwerking voor de rechten en vrijheden van natuurlijke personen (*) ","Zie tabblad 'Radar'"]
[null,"de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. (*) ","Zie 'Column R' 'Plans proposal' van tabblad 'Risk register'"]

{"sheet":"Screening","index":2,"n_rows":45,"n_cols":3,"rows_kept":45,"cut":false,"hidden":false,"merged":[]}
["EVALUATIE CRITERIA\n(Gebruik de bron van herkomst bij onduidelijkheid - tussen haakjes bij de criteria)","SCORE\nVul een 1 in indien het criteria van toepassing is voor de verwerking.","VOORBEELD"]
["Een verwerking van persoonsgegevens die een evaluatie uitvoert en/of een score toekent inclusief profilering en voorspelling  (WP 248 EEC)",null,"Het verzamelen van publieke sociale media profielgegevens die worden gebruikt door particuliere bedrijven om profielen voor contact directories aan te maken. "]
["Automatische besluitvorming op basis van persoonsgegevens  met wettelijk of vergelijkbaar wezenlijk gevolg (WP 248 EEC)"]
["Stelselmatige monitoring van persoonsgegevens (waarneming, monitoring of controle van de betrokkene) (Audio-, beeld- of video-opname) (WP 248 EEC)",null,"- Het gebruik van een camerasysteem om het rijgedrag op de snelwegen te controleren en de licentieplaten automatisch af te geven.\n- Een bedrijf dat de activiteiten van haar medewerkers controleert, inclusief de monitoring van het werkstation van de werknemers, internetactiviteit, enz .."]
["Verplicht wanneer er sprake is van grootschalige verwerkingen van persoonsgegevens waarbij op systematische wijze via geautomatiseerde verwerking gedrag (Bijv. kijk-, luister-, surf-, klik-, fysiek-, of aankoopgedrag) van natuurlijke personen geobserveerd, verzameld, vastgelegd of beïnvloed wordt, inclusief voor advertentiedoeleinden.(GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Genetische gegevens die worden verwerkt met als doel het uniek identificeren van een natuurlijke persoon (AVG Art 9)"]
["Biometrische gegevens die worden verwerkt met als doel het uniek identificeren van een natuurlijke persoon (AVG Art 9)"]
["Verplicht wanneer de verwerking gebruikt maakt van biometrische gegevens met het oog op de unieke identificatie van betrokkenen die zich in een openbare ruimte bevinden of in privéruimten die toegankelijk zijn voor het publiek. (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019). Voor de definitie van biometrische gegevens, zie artikel 4(14) AVG regelgeving."]
["Verwerking van gegevens betreffende de gezondheid  (AVG Art 9)",null,"- Een ziekenhuis dat de genetische en gezondheidsdata van zijn patiënten verwerkt (ziekenhuisinformatiesysteem)"]
["Verplicht wanneer gezondheidsgegevens van een betrokkene op geautomatiseerde wijze worden ingezameld aan de hand van een actieve inplantbare medische voorziening (actieve medische voorziening die is ontworpen om geheel of gedeeltelijk te worden ingeplant in het menselijk lichaam of in een natuurlijke opening en bedoeld is om er te blijven na de interventie).  (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Verwerking van gegevens die raciale of etnische afkomst onthullen (AVG Art 9)"]
["Verwerking van gegevens die politieke meningen onthullen  (AVG Art 9)"]
["Verwerking van gegevens die religieuze of filosofische overtuigingen onthullen  (AVG Art 9)"]
["Verwerking van gegevens die vakbond lidmaatschap onthullen (AVG Art 9)"]
["Verwerking van gegevens over seksuele leven of de seksuele geaardheid  ( AVG Art 9)"]
["Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of aanverwante veiligheidsmaatregelen  (AVG Art 10)"]
["Verplicht wanneer er op systematische wijze bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG of gegevens van zeer persoonlijke aard (zoals gegevens over armoede, werkloosheid, betrokkenheid van jeugdzorg of maatschappelijk werk, gegevens omtrent huishoudelijke en privé-activiteiten, locatiegegevens) systematisch worden uitgewisseld tussen meerdere verwerkingsverantwoordelijken; (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Grootschalige gegevensverwerking of verwerking heeft gevolgen voor een groot aantal belanghebbenden (WP 248 EEC). Grootschalig door : \n- groot aantal betrokkenen (aantal of percentage van de bevolking);\n- groot volume of het bereik van verschillende gegevensitems, duur (of permanent) van de gegevensverwerkende activiteiten, \n- de geografische omvang van de verwerkingsactiviteit",null,"Het verzamelen van publieke sociale media profielgegevens die worden gebruikt door particuliere bedrijven om profielen voor contact directories aan te maken. "]
["Verplicht wanneer  er op grote schaal gegevens ingezameld worden bij derden teneinde de economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van natuurlijke personen te analyseren of voorspellen;  (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Matching of samenvoeging van datasets (WP 248 EEC), bijvoorbeeld: wanneer apart verzameld voor andere doeleinde of redelijke verwachting van de betrokkenen zou overschrijden"]
["Verwerkingen met betrekking tot persoonsgegevens van kinderen (AVG Art 6., Art 8, ..) "]
["Verwerkingen met betrekking tot persoonsgegevens van patiënten (WP 248)"]
["Verwerkingen met betrekking tot persoonsgegevens van geesteszieken (WP 248) "]
["Verwerkingen met betrekking tot persoonsgegevens van asielzoekers (WP 248) "]
["Verwerkingen met betrekking tot persoonsgegevens van bejaarden (WP 248)"]
["Gegevens met betrekking tot  kwetsbare betrokkenen die een bescherming van persoonlijke gegevens vereist (AVG Art 6)"]
["Overdracht van persoonsgegevens buiten de grenzen van de Europese Unie  (WP 248 EEC)"]
["Wanneer als gevolg van de verwerking de betrokkenen hun rechten niet kunnen uitoefenen of geen beroep kunnen doen op een dienst of overeenkomst",null,"- screening tegen een kredietreferentie DB om te beslissen of een lening mag aangeboden worden"]
["Verplicht wanneer persoonsgegevens ingezameld worden bij derden om vervolgens in aanmerking te worden genomen bij de beslissing om een welbepaalde dienstverleningsovereenkomst met een natuurlijk persoon te weigeren of stop te zetten. (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Behandeling met innovatief gebruik of het toepassen van innovatieve technische of organisatorische oplossingen (WP 248 EEC)",null,"- Het gebruik van een camerasysteem om het rijgedrag op de snelwegen te controleren en de licentieplaten automatisch af te geven."]
["Verplicht wanneer er sprake is van een grootschalige verwerking van gegevens die gegeneerd worden door middel van toestellen met sensoren die via het internet of via een ander medium gegevens versturen (`internet of things'- toepassingen, zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities, slimme energiemeters, enz.) en deze verwerking dient om de economische situatie, de gezondheid, de persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van natuurlijke personen te analyseren of te voorspellen (GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"]
["Er wordt Cloud technologie gebruikt bij de verwerking "]
["\"Internet of Things\" -technologie wordt gebruikt tijdens de verwerking (Bron WP 248 EEC)"]
["Verwerking of een proces voor een hele sector, of voor een segment ervan, of voor een gemeenschappelijke activiteit over sectoren en daarbij gebruik makend van gevoelige gegevens (WP 248 EEC)"]
["Verwerking die kan (risico) leiden tot identiteitsdiefstal of fraude en reputatie schade"]
["Verwerking van persoonsgegevens van medewerker die, wanneer ze de verwerking  willen tegengaan die door de werkgever wordt uitgevoerd, gekoppeld worden met aan het HR beheer  (WP 248 EEC)",null,"- Een bedrijf dat de activiteiten van haar medewerkers controleert, inclusief de monitoring van het werkstation van de werknemers, internetactiviteit, enz .."]
["Verwerking van persoonsgegevens van betrokkene waarbij er een onevenwichtigheid kan worden geïdentificeerd in de relatie tussen de positie van de betrokkene en de verwerkingsverantwoordelijke (WP 248 EEC)",null,"particuliere onderzoekers die gegevens bijhoudend van overtreders "]
["Gegevensverwerking voor direct marketingdoeleinden (onder andere om persoonlijke profielen op te stellen of te gebruiken) (AVG overweging 70)"]
["Verwerking van gegevens die beschermd zijn door beroepsgeheim  (AVG overweging 75)"]
["Elektronische communicatiegegevens (WP 248 EEC)"]
["Persoonsgegevens in verband met locatie  (WP 248 EEC)"]
["Verplicht wanneer er sprake is van een grootschalige en/of systematische verwerking van telefonie-, internet- of andere communicatiegegevens, metagegevens of locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld wifi-tracking of verwerking van locatiegegevens van reizigers in het openbaar vervoer) wanneer de verwerking niet strikt noodzakelijk is voor een door de betrokkene gevraagde dienst;(GBA - beslissing van het algemeen secretariaat nr 1/2019 van 16 jan 2019)"," "]
["Persoonsgegevens in verband met financiele gegevens  (WP 248 EEC)"]
[]
["Vuistregel : als de TOTALE SCORE   > 1 of er is een score in een 'blauw veld' is een gegevensbeschermingseffectbeoordeling verplicht",{"$f":"SUM(B2:B43)","v":0}," "]

{"sheet":"RBS","index":3,"n_rows":119,"n_cols":6,"rows_kept":119,"cut":false,"hidden":false,"merged":[]}
["Domain","Requirement (direct cause)","Domain details","RISK ID","Risk Name ( [impact] due to [event / threat / vulnerability])","Risk description"]
["the processing (systems and related processes)  ","Confidentiality","Paper storage (documents)","NF-1-01A","Is er een risico dat de vertrouwelijkheid van de verwerking van de persoonsgegevens niet wordt gegarandeerd door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- onvoldoende 'Fysieke toegangsbeveiliging'  van de dossiers,  de dossiers liggen in een niet afgesloten of beschermde omgeving \n- dat men de papieren documenten ongewettigde ter beschikking heeft door bijvoorbeeld het lezen van documenten ; het fotokopiëren; het fotograferen, enz.\n- de papieren documenten verdwijnen door diefstal van de dossiers uit kantoren of thuis; Verlies of verwijdering van de dossiers tijdens een verplaatsing van de dossiers,  enz.\n- ophalen van weggegooide documenten, enz.\n- de gegevens verdwijnen door de eliminatie van een proces na een reorganisatie; verlies van de leverancier van de documenten, enz\n- de personen die de gegevens kennen verdwijnen door bijvoorbeeld de herplaatsing van personen; contract beëindiging of ontslag; overname van alle of een deel van de organisatie, enz\n"]
["the processing (systems and related processes)  ","Confidentiality","IT systeem (SW, HW, Infra)","NF-1-01B","Is er een risico dat de vertrouwelijkheid van de verwerking van de persoonsgegevens niet wordt gegarandeerd door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n(Software)\n- dat men via de SW ongewettigde de persoonsgegevens bekijkt door bijvoorbeeld dat ze niet geanonimiseerd zijn wanneer dit zou moeten, het scannen van netwerkadressen en poorten; het verzamelen van configuratiegegevens; de analyse van de broncodes om exploitabele fouten te lokaliseren; kwetsbaarheden in de SW gaat uitbuiten, het testen van hoe databases reageren op kwaadaardige query’s, door diefstal van mails uit mailboxen; enz.\n-  dat men via de elektronische communicatie kanalen ongewettigde de gegevens bekijkt door bijvoorbeeld Interceptie van het Ethernet-verkeer of via een Wi-Fi netwerk, enz.\n- ongewettigde toegang tot de PD doordat de SW anders wordt gebruikt , voorbeeld scanning van de Inhoud ; poorten omzeilen;  versturen van spam via een e-mail programma; misbruik van netwerkfuncties, enz.\n- de SW verdwijnt door bijvoorbeeld het niet-verlenging van de licentie van de software die toegang heeft tot gegevens, enz.\n- we geen adequate maatregelen hebben getroffen voor het beschermen van de gegevens bij het rechtmatig opslaan van persoonsgegevens voor langere perioden (vb archivering; back-up) \n(Hardware)\n- de HW verdwijnt door bijvoorbeeld diefstal (van een laptop - gegevens op de schijven of een mobiele telefoon) (diefstal van een laptop uit een hotelkamer of diefstal van een professionele mobiele telefoon door een pickpocket) ;  het verwijderen van een apparaat en het ophalen van een weggegooid opslagapparaat of hardware door onbevoegden, enz.\n - doordat de HW in een andere context wordt gebruikt , bijvoorbeeld : gebruik van USB-flash drivers of schijven die slecht geschikt zijn voor de gevoeligheid van de informatie; gebruik of transport van gevoelige hardware voor persoonlijk gebruik.\n- dat de dragers (*) van de persoonsgegevens verkocht of weggegeven zijn zodat de persoonsgegevens in het bezit komen van onbevoegden\n(*) Dragers van informatie : de HW en SW geleverd door gebruikers (smartphones, tabletten, internetbrowser software op thuiscomputer, internet tv, enz.),  de Hardware (computers, communicatie relais, USB drivers, harde schijven, enz. ); de Software (OS, messaging, DB, zakelijke applicaties, enz.); de Elektronische communicatie kanalen (kabel, draadloos, glasvezel, enz.)"]
["the processing (systems and related processes)  ","Confidentiality","User business processen","NF-1-01C","Is er een risico dat de vertrouwelijkheid van de verwerking van de persoonsgegevens niet wordt gegarandeerd door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  : \n- ongeoorloofde verstrekking van doorgezonden, opgeslagen of anderszins verwerkte gegevens \n- ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens \n- doordat personen de vertrouwelijkheid van gevevens (of de toegang tot gegevens) niet correct beschermen door bijvoorbeeld beinvloeden (door phishing mails, sociale engineering, omkoping, enz.); het onder druk zetten (chantage, psychische intimidatie, enz.), Enz.\n- dat men via de worflow de gegevens ongewettigd kan inzien door bijvoorbeeld het lezen van handtekeningen, reproductie van documenten in transit, enz\n- de personen die de gegevens kennen verdwijnen door bijvoorbeeld de herplaatsing van personen; contract beëindiging of ontslag; overname van alle of een deel van de organisatie, enz\n- onvoldoende 'Logische toegangsbeveiliging' \n- door verhogen van gebruikers voorrechten\n- personen krijgen ongewettigd toegang tot de gegevens doordat hun opdracht verandert; er een overname is van een geheel of een deel van de organisatie, enz.\n- dat de gegevens ongeoorloofd worden ge-exporteert en op die manier de privacy rechten van de betrokken geschonden worden \n- gegevens onrechtmatig geopenbaard werden en dit per ongeluk of moedwillig (door derden).\n- dat men via de personen zelf ongewettigde de gegevens te weten komt en dit bijvoorbeeld door onopzettelijke bekendmaking van informatie tijdens het praten; gebruik van luisterapparaten om op vergaderingen af te luisteren, enz.\n- via de HW ongewettigde de gegevens bekijkt door bijvoorbeeld het scherm van een portable te bekijken zonder dat de eigenaar het weet (vb. op de trein); ongewettigd een foto van het scherm wordt gemaakt, Remote detectie van elektromagnetische signalen, enz."]
["the processing (systems and related processes)  ","Integrity","Paper storage (documents)","NF-1-02A","Is er een risico dat (per ongeluk of moedwillig) de persoonsgegevens vernietigd werden, verloren raakten, onterecht gewijzigd of getransformeerd werden door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- ongewilde verandering van de persoonsgegevens op de papieren documenten , bijvoorbeeld wijzigingen van cijfers/gegevens in een dossier; vervanging van een origineel door een vervalsing, enz."]
["the processing (systems and related processes)  ","Integrity","IT systeem (SW, HW, Infra)","NF-1-02B","Is er een risico dat (per ongeluk of moedwillig) de persoonsgegevens vernietigd werden, verloren raakten, onterecht gewijzigd of getransformeerd werden door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de  rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n(Software)\n- verandering van de SW heeft tot gevolg dat men ongewettigde toegang heeft tot de persoonsgegevens , bijvoorbeeld : tracking door een software-gebaseerde 'key logger'; Infectie door malware; Installatie van een remote management tool; Vervanging van componenten, enz.\n- verandering van SW heeft tot gevolg dat de persoonsgegevens verdwijnen / veranderd worden, bijvorbeeld : fouten tijdens updates, configuratie of onderhoud; Infectie door malware; Vervanging van onderdelen, enz.\n- ongewettigde verandering van de persoonsgegevens doordat de SW  anders wordt gebruikt , bijvoorbeeld ongewenste wijzigingen van gegevens in databases; Het wissen van bestanden die nodig zijn voor de correcte werking van de software; Operatorfouten die gegevens wijzigen, enz\n(Hardware)\n- verandering van de HW heeft tot gevolg dat men ongewettigde toegang heeft tot de persoonsgegevens , bijvoorbeeld : tracking door een hardware-gebaseerde 'key logger'; Verwijdering van hardware componenten; Verbinding van apparaten (zoals USB-flash drives) om een besturingssysteem te starten of gegevens op te halen, enz.\n- verandering van HW zodat de persoonsgegevens verdwijnen , bijvoorbeeld : de toevoeging van incompatibele hardware, resulterend in storingen; Verwijdering van onderdelen die essentieel zijn voor de goede werking van het systeem, enz.\n(Communicatie)\n- ongewilde wijzigingen in de elektronische communicatie kanalen zoals de Man-in-het-midden of verandering in de browser (aanval om gegevens aan te passen of toe te voegen aan netwerkverkeer), enz.\n- dat de gegevens niet correct werden ingevoerd / gewijzigd (door eventueel gebrek aan doeltreffende controle bij het communiceren via mail of IOT) : voorbeeld medische gegevens worden omgewisseld met andere betrokkene of verkeerd ingevuld."]
["the processing (systems and related processes)  ","Integrity","User business processen","NF-1-02C","Is er een risico dat (per ongeluk of moedwillig) de persoonsgegevens vernietigd werden, verloren raakten, onterecht gewijzigd of getransformeerd werden door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- ongewettigde verandering van de persoonsgegevens doordat de personen hun functie niet correct uitoefenen door bijvoorbeeld  de context (rumoer, disinformation, etc.), etc.\n- ongewilde verandering van de persoonsgegevens tijdens de flow van documenten / het proces , bijvoorbeeld : wijzigingen in een memo zonder de kennis van de auteur; info veranderen/toevoegen tussen twee processtappen zonder controle; verzenden van meerdere tegenstrijdige informatie / documenten tussen de processtappen, wijzigen in hoe mail wordt verzonden, reorganisatie van de overdracht van documenten op basis van geschreven instructies; verandering van de werktaal, enz."]
["the processing (systems and related processes)  ","Availability","Paper storage (documents)","NF-1-03AA","Is er een risico dat de persoonsgegevens geheel of gedeeltelijk  niet meer beschikbaar zijn door de werking van het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32).\n\n","Wat is de kans dat één van de volgende gebeurtenissen zich voordoet zodat de persoonsgegevens niet meer beschikbaar zijn : \n- de papieren documenten waarop de persoonsgegevens staan worden geleidelijk over de tijd verwijderd; vrijwillige verwijdering van delen van een document, enz.\n- de papieren documenten waarop deze gegevens staan door veroudering (vb. van gearchiveerde documenten) of door een brand enz. niet meer beschikbaar zijn"]
["the processing (systems and related processes)  ","Availability","IT systeem (SW, HW, Infra)","NF-1-03AB","Is er een risico dat de persoonsgegevens geheel of gedeeltelijk  niet meer beschikbaar zijn door de werking van het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32).\n\n","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n(Software)\n- de SW die de gegevens verwerkt niet meer beschikbaar is door bijvoorbeeld het wissen van broncode of uitvoerbare code of daar het verouderd is geworden en niet meer compatibel met OS systeem of ...;\n- de SW is niet beschikbaar (verdwijnt) doordat  bijvoorbeeld de limieten van de grootte van de database overschreden worden; de injectie van gegevens in de DB buiten het normale waardenbereik, enz.\n- de SW wordt niet juist gebruikt en hierdoor verdwijnen persoonsgegevens, bijvoorbeeld :  gebruik van valse of gekopieerde software; Operatorfouten die per ongeluk gegevens verwijderen, enz.\n(Hardware)\n- de HW is niet beschikbaar (verdwijnt) doordat bijvoorbeeld de opslagruimte is opgebruikt (capaciteit); stroomuitval; Overbelasting van de verwerkingscapaciteit; oververhitting; Buitensporige temperaturen, door vandalisme, natuurlijke slijtage van de HW, storingen op het opslagmedium,  overstroming; brand; enz.\n- het gebruik van de HW verandert en dus opslag van persoonlijke bestanden verdwijnen,\n(Elektronische communicatie)\n- de elektronische communicatie kanalen niet beschikbaar (verdwijnt)  is door bijvoorbeeld onvoldoende bandbreedte; onbevoegd downloaden; verlies van internetverbinding, enz\n- de elektronische communicatie niet optimaal werkt door bijvoorbeeld slechte ontvangst via WiFi of het doorknippen van bedrading, enz. \n\n"]
["the processing (systems and related processes)  ","Availability","User business processen","NF-1-03AC","Is er een risico dat de persoonsgegevens geheel of gedeeltelijk  niet meer beschikbaar zijn door de werking van het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32).\n\n","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- de personen die de persoonsgegevens verwerken werken onder hoge werklast, stress of negatieve veranderingen in de arbeidsomstandigheden; Toewijzing van werknemers aan taken buiten hun vaardigheden; Slecht gebruik van vaardigheden, enz.\n- de personen die deze de persoonsgegevens ter beschikking hebben niet meer ter beschikking zijn door beroepsongeval; beroepsziekte; ander letsel of ziekte; dood; neurologische, psychologische of psychiatrische aandoening, enz\n- de documenten flow / werkproces niet meer actief is door bijvoorbeeld een reorganisatie of door stopzetting of door een staking etc.\n- de workflow wordt overbelast, bijvoorbeeld overbelasting van mail; overbelaste validatieproces, enz.\n\n"]
["the processing (systems and related processes)  ","Resilience","General","NF-1-03B","Is er een risico dat de persoonsgegevens geheel of gedeeltelijk niet , binnen een aanvaardbare tijd, opnieuw beschikaaar zijn na een onbeschikbaarheid  met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32).","Wat is de impact op de rechten en vrijheden wanneer de persoonsgegevens langer dan aanvaardbaar niet beschikbaar zijn ?  \nWat is de kans dat één van de volgende gebeurtenissen zich voordoet zodat de persoonsgegevens niet tijdig beschikbaar zijn : \n- dat  men bij het bepalen van de RTO (de termijn waarbinnen het proces hersteld moet zijn-) en of de RPO (Hoeveel data men aanvaard om te verliezen) niet heeft rekening gehouden met het moment dat voor de betrokkene (bij niet beschikbaarheid van data) onherstelbare schade wordt aangericht aan zijn  rechten en vrijheden. \n- dat na een incident (fysiek of technisch) (normaal of 'disaster') de processen en tools niet gekend zijn om de beschikbaarheid  en de toegang tot de persoonsgegevens  tijdig terug op een aanvaardbaar niveau te brengen.\n\n\n"]
["the processing (systems and related processes)  ","Authenticity","General","NF-1-03C","Is er een risico dat de  betrouwbaarheid van de originaliteit en herkomst  van de persoonsgegevens niet wordt gegarandeerd door het verwerkingssysteem en de operationele processen met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ( Art 05; Art 32.2).","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- dat men de originaliteit en herkomst van data, een document, bericht of ander object niet kan (heeft) nagaan \n\n"]
["the processing (systems and related processes)  ","Security (Non Functional requirements) ","General","G-1-01","Is er een risico dat het gepaste beveiligingsniveau onvoldoende wordt gewaarborgd door  het verwerkingssysteem en de operationele processen  (inclusief de medewerkers ( '(eind)gebruikers', ' de systeembeheerders', 'call center', ..) met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt. (Art 32.4)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- de medewerkers (natuurlijk persoon) die handelen onder het gezag van de verwerkingsverantwoordelijke, onwetend of doelbewust, conflicterende handelingen stellen in verband met de veiligheid van de 'verwerking van persoonsgegevens' (32.4)\n- de medewerkers (van de verwerkingsverantwoordelijke ) die betrokken zijn bij de verwerking ((eind)gebruikers, 'systeembeheerders', 'call center' ..) handelingen verrichten (in meer) die niet niet in lijn zijn met het doel van de verwerking of  bijvoorbeeld meer gegevens verwerken dan noodzakelijk is. \n- de medewerkers  van de verwerkingsverantwoordelijke onvoldoende geïnformeerd zijn over de privacy regels (of de AVG in het algemeen) in verband met de 'verwerking van persoonsgegevens'  (32.4)\n- is er een risico dat de verwerking niet beantwoordt aan de veiligheidspolicy ‘s van de organisatie (fysieke veiligheid, loggen, ...)"]
["the processing (systems and related processes)  ","Purpose limitation","General","NF-1-05A","Is er een risico op verwerking van gegevens  niet verenigbaar zijn met het doel met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt  (Art 35.7(b))","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- dat het doel van de verwerking niet specifiek (éénduidig), niet expliciet en legitiem is (Art 05.1(B)),  niet meetbaar (onder welke voorwaarden of vorm is het doel bereikt), niet tijdsgebonden (wanneer is het doel bereikt) (Smart) is gedefinieerd (Art 13-13.2)\n- dat de verwerking 'niet' juist voldoende, relevant is voor de doelstelling (Art 05.1(B) ;Art 35.7(b))\n- dat de gegevens worden verwerkt voor een doeleinde dat afwijkt van (en onverenigbaar is met) het oorspronkelijk gesteld doel waarvoor deze persoonsgegevens zijn verworven / verzameld ? Bijvoorbeeld dat men de gegevens ook gebruikt voor gerichte marketing, het uitsluiten van bepaalde 'markten' of het controleren van andere 'doeleinden' ? "]
["the processing (systems and related processes)  ","Data minimization","General","NF-1-05B","Is er een risico op verwerking van meer gegevens dan nodig voor het doel met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt  (Art 05)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :\n- dat er meer persoonsgegevens werden opgevraagd/verzameld dan strikt noodzakelijk voor het vooropgesteld doeleinde (Art 05; 25)\n- dat de verwerking niet beperkt is tot de noodzakelijke gegevens - of de granulariteit van de gegevens is niet correct voor het doel. (Art 05.1(B))\n- dat de gegevens niet geschikt zijn voor het doel omdat bijvoorbeeld de kwaliteit niet goed is (Art 05)"]
["the processing (systems and related processes)  ","Storage limitation","General","NF-1-05C","Is er een risico dat we de gegevens langer dan nodig gaan verwerken met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt  (Art 05)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  : \n- dat de periode waarin de gegevens worden opgeslagen en toegankelijk zijn niet beperkt is tot wat noodzakelijk is voor het specifieke doel van de verwerking (25)\n- dat we niet hebben voorzien hoe we (technisch) de gegevens niet langer dan gewettigd gaan opslagen of bewaren zodat ze bijvoorbeeld nadien niet kunnen gebruikt worden in een andere context ? (05)  \n- dat we niet hebben voorzien hoe we (technisch) de gegevens niet langer beschikbaar/leesbaar maken (of de betrokkenen niet meer identificeerbaar is) wanneer ze niet meer noodzakelijk zijn voor de specifieke doeleinden waarvoor ze werden aangewend? (05)\n "]
["the processing (systems and related processes)  ","Data subject rights (Functional requirements) ","General","F-1-01","Is er een risico dat we de de rechten van de betrokkene niet correct hebben geïmplementeerd met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt. (Art 05; Art 16; Art 17; Art 19) ","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  : \n(zijn rechten)\n- we niet hebben nagegaan welke rechten van toepassing zijn en dat we dus bepaalde rechten van de betrokkene , in bepaalde omstandigheden, kunnen  weigeren (in functie rechtsgrond verwerking en in functie van de beperkingen op zijn rechten) - uitleg naar de betrokkene toe (in privacy verklaring) is in dit geval wenselijk (art 23)) \n(Informatie over zijn rechten en de verwerkingen)\n- het niet duidelijk is voor alle betrokkene van hoe en waar hij/zij zijn/haar aanvraag moet doen aan de organisatie om zijn rechten toe te passen  (Art 15)\n- we niet hebben voorzien hoe we (procedureel - technisch) de betrokkene gaan informeren / aan zijn rechten gaan voldoen wanneer zijn/haar persoonsgegevens niet door hem/haar zelf worden verstrekt aan je organisatie, (14)\n(rechten in het algemeen)\n- we geen éénvoudige methode (proces) hebben voorzien waar hij zijn rechten kan uitoefenen en dit binnen de tijd (authenticatie, ..).  \n- dat we niet binnen de maand de vraag van de betrokkene voor het corrigeren , informeren, .... van de hem betreffende gegevens kunnen realiseren.(16,19)\n(inzage in gegevens)\n- dat we op vraag van 'inzage' in zijn gegevens, ook deze gegevens tonen die we zelf gegenereerd hebben voor hem \n(Rectificatie) : \n- we (de verwerkingsverantwoordelijke) niet kunnen aantonen dat we het nodige gedaan hebben om (op aanvraag van de betrokkene) de persoonsgegevens te corrigeren of onverwijld te wissen de doeleinden, waarvoor ze werden opgevraagd, indachtig ? (Art 05)\n(consistent informatiesysteem )\n- dat we niet hebben voorzien bij rectificatie, wissen of beperking van de verwerking hoe we , na het uitvoeren ervan op een permanente wijze,  een consistent informatie systeem gaan achterlaten (15 tot 20)"]
["the processing (systems and related processes)  ","Portability","General","F-1-02","Is er een risico dat de overdracht van gegevens aan de betrokkene niet worden uitgevoerd volgens de door de AVG gevraagde kwaliteitscriteria en/of technisch niet haalbaar zijn. (Art 20)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  : \n- dat we bij overdacht van gegevens niet één van de volgende criteria hebben nagegaan  :\n+ overdracht is op vraag van de betrokkene\n+ het zijn enkel persoonsgegevens die door de betrokkene zelf zijn verstrekt op basis van toestemming of overeenkomst die we overdagen.\n+ de persoonsgegevens worden getransfereerd in een gestructureerde, gangbare en leesbare vorm\n+ de transfer is gratis\n+ de persoonsgegevens worden getransfereerd binnen de tijdspanne van 1 maand (verlengbaar met 2 maanden).\n+ bij het overdragen dient men een consistent informatie systeem achter te laten , de overdracht is daarbij permanent.   "]
["Data transfer (third party & international)","Security & privacy (Non Functional requirements) ","General","NF-1-04","Is er een risico dat de transfert van de persoonsgevens van derden en naar derden onvoldoende beveiligd of erover gecommuniceerd is geweest ? (Art 13-15, Art 19, Art 48-49, Art 44 tot 50)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  : \n- de 'onweerlegbaarheid' niet gewaarborgd is \n- de persoonsgegevens niet bij de juiste derde partij terecht komt (land buiten de EEG) of dat ze bij het transport worden gelezen / veranderd door onbevoegden en zodoende de privacy rechten van het individu kunnen schenden ? \n- we niet in overeenstemming met de AVG handelen (nodige communicatie en veiligheidsmaatregelingen) wanneer ik persoonsgegevens doorgeef aan een derde land of internationale organisaties voor verwerking ? (44 tot 50)"]
["Data transfer (third party & international)","Notification","General","F-1-03","Is er een risico dat de communicatie naar de betrokkene en derden die de persoonsgegevens hebben gekregen niet zal gebeuren volgens de AVG regelgeving wanneer de betrokkene vraagt om zijn gegevens te corrigeren , te wissen of te de verwerking te beperken . (Art 19)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- de volgende regels (Art 19) worden niet toegepast ( tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt) wanneer, op vraag van de betrokkene,  gegevens worden gecorrigeerd , gewist of de verwerking wordt beperkt  : \n+ de verwerkingsverantwoordelijke moet derden ,aan wie de verwerkingsverantwoordelijke de gegevens heeft bezorgd, informeren over de correcties. (16,19)\n+ de verwerkingsverantwoordelijke moet , op aanvraag van de betrokkene, de betrokkene informeren over aan welke derden hij/zij de gecorrigeerde gegevens heeft doorgegeven. "]
["The processing (systems and related processes)  ","Lawfulness processing","General","NF-1-06","Is er een risico op een 'onrechtmatig en/of niet behoorlijk' verwerking van persoonsgegevens ten opzicht van de betrokkene met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt ? (Art 06)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- men een verwerking uitvoert zonder toestemming of een andere rechtsgrond\n- dat men een zelfde verwerking van persoonsgegevens uitvoert op basis van meerdere rechtsgronden , elk met een verschillende gevolg voor het al of niet toepassen van de rechten van de betrokkene\n- dat, bij toestemming, deze toestemming niet vrijelijk kan worden gegeven en de betrokken niet te allen tijde deze kan intrekken (moet even eenvoudig zijn als het geven ervan)  (Art 07)\n- dat, bij selectie van 'gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde' als rechtmatige basis , de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene zwaarder wegen dan deze van de verwerkingsverantwoordelijke of  derde."]
["Controller","Accountability","General","NF-1-08B","Is er een risico dat de verwerkingsverantwoordelijke onvoldoende zijn 'verantwoordingsplicht' kan aantonen voor de verwerking van persoonsgegevens (Art 5.2) ","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- de verwerking niet is opgenomen in het register van verwerkingsverantwoordelijke en/of verwerker\n- men niet kan aantonen dat men de contractuele overeenkomst met verwerkers heeft (regelmatig) gevalideerd\n- men niet kan aantonen dat alle incidenten (in verband met de verwerking) in een incident register zijn opgenomen (met informatie in verband met de tijdslijn). \n- men niet kan aantonen  dat we maatregelingen hebben genomen om de veiligheid en privacy risico's tot een aanvaardbaar niveau te brengen en te onderhouden (eventueel op basis van een gegevensbeschermingseffectbeoordeling)\n- wanneer de verwerking berust op toestemming men niet kan aantonen dat de toestemming van de betrokkene formeel is vastgelegd en formeel bevestigd werd aan de betrokkene ?  (Art 07) Vb. door een 'formele' akkoord verklaring met de inhoud van een' privacy notice', door bij te houden hoe (vb 'opt-in') en wanneer de betrokkene zijn toestemming heeft gegeven. \n- wanneer de verwerking berust op  toestemming  men niet kan aantonen dat het intrekken van zijn toestemmning  werkelijk is gerealiseerd  ?"]
["Controller","Lawfulness processing","General","NF-1-08","Is er een risico dat de verantwoordelijkheden van 'verwerkingsverantwoordelijke' en/of  'verwerker' ten opzicht van de verwerking niet duidelijk zijn vastgelegd met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt. (Art 32.4)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n'- dat de eigenaar van de verwerking niet duidelijk genoeg is bepaald (beschreven) zodat er bijvoorbeeld ruimte is voor interpretatie \n- dat  het onduidelijk is welke verwerking wordt uitgevoerd door de  'verwerkingsverantwoordelijke' en welke door de 'verwerker' niet duidelijk is vastgelegd voor de verwerking . Zo bijvoorbeeld bij een voor de betrokkene End-to-End verwerking\n- dat het onduidelijk is , bijvoorbeeld bij een voor de betrokkene End-to-End verwerking, welke verwerking onder de verantwoordelijkheid van  'verwerkingsverantwoordelijke' 1 valt en welke verwerking onder de verantwoordelijkheid van  'verwerkingsverantwoordelijke' 2 valt."]
["Processor","Contract","General","NF-1-09","Is er een risico dat verwerker en de verwerkingsverantwoordelijke onvoldoende duidelijke en schriftelijke afspraken hebben gemaakt.  ","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- de contractuele overeenkomst tussen verwerkingsverantwoordelijke en verwerker onduidelijk zijn zodat hierdoor de verwerker  verwerkingen uitvoert die niet overeengekomen zijn en zodoende eventueel  verwerkingsverantwoordelijke is geworden (vb. geen duidelijke (SMART) specificatie van de 'verwerking') en daardoor niet de regelgeving volgt  \n- de activiteiten die de verwerker uitvoert niet transparant overkomen bij de verwerkingsverantwoordelijke (28.1)\n- de eventuele controle van de verwerker op het naleven van de AVG regelgeving niet duidelijk is afgesproken (28.1)\n- de medewerkers (natuurlijk persoon) die handelen onder het gezag van de verwerker, onwetend of doelbewust, conflicterende handelingen stellen?  (Art 32.4)\n- de verwerkers geen weet heeft van de meldingsplicht (van een inbreuk) en hoe deze te activeren bij de verwerkingsverantwoordelijke (Art 32.2) \n- de verwerker niet de toestemming vraagt aan de verwerkingsverantwoordelijke wanneer zijn een andere verwerker in dienst neemt (28.2)"]
["Processor","Security (Non Functional requirements) ","General","NF-1-10","Is er een risico dat de 'verwerker' niet de gepaste beveiliging heeft voorzien bij de verwerking. (Art 32.4)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- de  verwerker niet de technische en organisatorische maatregelen heeft genomen opdat de verwerking aan de veiligheidsvereisten zal voldoen : vertrouwelijkheid, integriteit, beschikbaarheid, .. . (28)"]
["Data subject","Security & privacy (Non Functional requirements) ","General","NF-1-11","Is er een risico dat indien het gaat over de verwerking van 'persoonsgegevens van kinderen' men niet de strengere AVG regelgeving heeft gevolgd.","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- men geen rekening heeft gehouden met de 'zwaardere' belangen en/of de grondrechten en de fundamentele vrijheden van een kind wanneer men als legale basis de 'gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde' heeft gekozen (Art 6)\n- men niet de voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij volg (Art 8)\n- de informatie en de communicatie in verband met de verwerkingen die specifiek voor een kind bestemd is niet in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal is uitgewerkt (Art 12)"]
["Data subject","Information","General","NF-1-12","Is er een risico dat men niet alle betrokkene heeft bereikt op het juiste moment en op een voor hen aangepaste transparante , beknopte manier met informatie over de verwerking en met informatie over het toepassen van zijn rechten . ","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n(het informeren)\n- de betrokkene niet weet dat zijn/haar persoonsgegevens worden verstrekt aan je organisatie (als  verwerkingsverantwoordelijke) ? (art 14)\n(het moment)\n- we de betrokkene niet informeren over de verwerking en over zijn rechten wanneer we de gegevens verzamelen bij de betrokkene  (Art 13) \n- wanneer de gegevens niet van de betrokkene werden verkregen we de betrokkene niet hebben geïnformeerd over de verwerking en over zijn rechten  \n  + binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens\n  + uiterlijk op het moment van het eerste contact met de betrokkene (indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene)\n  + uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt aan een  andere ontvanger (Art 14).\n- dat wanneer de gegevens voor een ander doel worden gebruikt, dit niet wordt gecommuniceerd aan de betrokkene vóór die verdere verwerking wordt uitgevoerd (Art 13.3)\n(de manier van informeren)\n- de informatie over de verwerkingen (inbegrepen de procedures) niet is aangepast aan een mogelijks verschillend doelpubliek (kinderen, ouderen, ..,éénvoudige procedure) ... . (Art 15)\n- dat, wanneer er ' toestemming' wordt gebruikt als rechtsgrond, het verzoek om toestemming te geven niet in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal is gepresenteerd we (Art 07)\n(consistentie in de gecommuniceerde informatie)\n- de informatie over de verwerkingen in het register, de privacy verklaringen en de cookie statements niet consistent zijn "]
["Data subject","Data breach uses-case ","General","F-1-06","Is er een risico dat de betrokkene niet weet hoe en waar hij/zij een bezwaar / inbreuk/ klacht kan indienen tegen de verwerking en dat het proces van bezwaar / inbreuk niet verloopt volgens de regelgeving  met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt .","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n(proces bij bezwaar ) \n-  men geen rekening heeft gehouden met de uitzonderingen 'uit de regelgeving' waarbij de betrokkene zijn recht op bezwaar tegen de verwerking niet kan uitvoeren ( Art23)\n(proces communicatie betrokkene na inbreuk)(art 23)\n- men geen rekening heeft gehouden met de uitzonderingen 'uit de regelgeving'  op de verplichting van de mededeling van een inbreuk aan de betrokkene (Art 23)\n- men geen rekening heeft gehouden met de bijkomende uitzonderingen op de verplichting van de mededeling van een inbreuk aan de betrokkene (het onwaarschijnlijk is dat het een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, de  persoonsgegevens onbegrijpelijk werden gemaakt voor onbevoegden (versleuteling) , achteraf werden maatregelingen getroffen zodat het hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen,  de mededeling onevenredige inspanningen zou vergen) (art 34)\n(Klacht) \n- men de betrokkene niet heeft geïnformeerd dat hij/zij steeds een klacht kan indienen bij de toezichthoudende autoriteit (Art 13.2)"]
["Controller","Data breach uses-case ","General","NF-1-07","Is er een risico dat als er een inbreuk is op deze verwerking de rechten en vrijheden van een individu kunnen geschaad worden ?  (Art 33)","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- als een crimineel de confidentialiteit van deze gegevens heeft geschonden hij/zij de rechten en vrijheden van het individu kan schaden\n- als de betrokkene (tijdelijk) niet beschikt over deze gegevens hij/zij zijn/haar rechten en vrijheden niet meer ten volle kan beleven\n- als de betrokkene (tijdelijk) geen correcte informatie heeft hij/zij zijn/haar rechten en vrijheden niet meer ten volle kan beleven\nHet schaden of niet volledig beleven van zijn rechten en vrijheden komt tot uiting doordat (voorbeelden) de betrokkene :\n- Verlies kan ondervinden van middelen, esthetische of economische aspecten met betrekking op zijn/haar fysieke integriteit vb :\n• Het ontbreken van adequate zorg voor een niet-autonome persoon (minderjarige, persoon onder voogdij); Afwezigheid van zorg die minimale maar reële schade veroorzaakt (bijv. Invaliditeit); \n• Ernstige lichamelijke conditie die op de lange termijn schade veroorzaakt (bijv. Verslechtering van de gezondheidstoestand als gevolg van slecht beheer of niet-naleving van contra-indicaties); Dood (bijv. Moord, zelfmoord, dodelijk ongeval); Permanente wijziging van de fysieke integriteit\n- Verlies of gemiste inkomsten , verhoogde kosten kan ondervinden met betrekking tot zijn/haar activa door bijvoorbeeld :\n• ten onrechte toegewezen boetes, extra kosten (Belangrijke schulden worden aangegaan in zijn naam) ; weigering van toegang tot administratieve diensten of commerciële diensten; verloren comfortmogelijkheden (bijv. Annulering van vrije tijd, sluiten van een online account); Gemiste professionele promotie;  Verhoogde kosten (bijv. Verhoging van de verzekeringsprijs); Storingen van rekeningen (banken, klanten, met sociale organisaties, enz.);\n• Niet-tijdelijke financiële moeilijkheden die gecreëerd worden (bijvoorbeeld: verplichting om een lening aan te gaan);  Gerichte kansen, uniek en eenmalig, die verloren gaan (bijv. Hypotheek, weigering van studies, stages of werk, examenverbod); Bankverbod, Degradatie van eigendom, Verlies van woningen; Verlies van werkgelegenheid, Geblokkeerd zijn in het buitenland, onvermogen om te werken, Verlies van bewijs in rechtszaken, \n- Lichamelijk of moreel leed of verlies van belevingswaarde kan ondervinden door bijvoorbeeld :\n• gerichte online reclame op een privacyaspect dat de persoon vertrouwelijk wilde houden (bijv. Zwangerschapsreclame, farmaceutische behandeling); onnauwkeurige of beledigende profilering ; ontvangst van ongevraagde gerichte post die de reputatie van de betrokkenen zou kunnen schaden; Kleine maar objectieve psychologische affectie (smaad, reputatie); Angst om de controle over zijn gegevens te verliezen;  Intimidatie op sociale netwerken\n; Gevoel voor schending van de grondrechten (bijvoorbeeld discriminatie, vrijheid van meningsuiting);  Slachtoffer van chantage; Cyberpesten en morele intimidatie\n\n\n"]
["the processing (systems and related processes)  ","DPIA","General","F-1-07","Is er een risico dat de gegevensbeschermingseffectbeoordeling niet voldoende is uitgewerkt met als mogelijk gevolg dat de rechten en vrijheden van de betrokkene(n) in het gedrang komt \n","Wat is de kans dat een van de volgende gebeurtenissen zich zal voordoen, zodat het risico een probleem / incident kan worden  :  \n- niet alle mogelijke risico's zijn doorgenomen\n- de kans, de impact en de huidige maatregelingen onvoldoende nauwkeurig zijn bepaald\n- de frequentie van de beoordeling (vb. om de 3 jaar) onvoldoende is doordat de context, de techniek van de verwerking sterk en vaak veranderd zodat de risico's en maatregelingen vlug ontoereikend zijn.\n- er geen operationeel proces in plaats dat de doeltreffendheid van de geïmplementeerde beveiligingsmaatregelen op gezette tijdstippen test, beoordeelt en evalueert  (32.1)\n"]
["the processing (systems and related processes)  ","Confidentiality","Administrator workstations","NF-2-01","Is there a risk  of  'Forging the rights' of the  'Administrator workstations' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the Authorisation management is flawed\n- User authentication is not ensured\n- The user workstation is not monitored"]
["The processing (systems and related processes)  ","Confidentiality","Administrator workstations","NF-2-02","Is there a risk of 'the Retrieval of recycled or discarded media' of the 'Administrator workstations' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Presence of residual data unknown to the user of reallocated or discarded equipment"]
["The processing (systems and related processes)  ","Availability","Administrator workstations","NF-2-03","Is there a risk of 'Malware infection' of the  'Administrator workstations'  with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Programs can be downloaded and installed without monitoring\n- Update management (patches) is flawed\n- No detection system of malicious programs"]
["The processing (systems and related processes)  ","Confidentiality","Administrator workstations","NF-2-04","Is there a risk 'Abuse of rights' of the  'Administrator workstations' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No procedures for system install and configuration"]
["The processing (systems and related processes)  ","Availability","Backup management","NF-2-05","Is there a risk of by 'Equipment malfunction or failure' of the 'Backup management' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Backups are not carried out in accordance with the state of the art"]
["The processing (systems and related processes)  ","Availability","Backup management","NF-2-06","Is there a risk of  'Theft or destruction of media, documents or equipment' of the 'Backup management' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Backup media are not stored in a suitable place"]
["The processing (systems and related processes)  ","Confidentiality","Building","NF-2-07","Is there a risk of  'Theft or destruction of media, documents or equipment' in the 'building' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The principle of least privilege is not applied\n- Authorisation management is flawed\n- Flaws in the physical access boundaries"]
["The processing (systems and related processes)  ","Confidentiality","Building","NF-2-08","Is there a risk of  'Abuse of (access) rights' to the 'building' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No supervision of third-party access (supplier, cleaner, etc.)"]
["The processing (systems and related processes)  ","Availability","Building","NF-2-09","Is there a risk of  'Environmental disaster (fire, flood, dust, dirt, etc.)' at the 'building' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Premises are not secure or could be compromised by external elements"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Employees","NF-2-10","Is there a risk of 'Error in use' by the  'employee' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Users are not made aware of information security\n- No IT charter specifying the rules of use\n- No training on the equipment or software used"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Employees","NF-2-11","Is there a risk of 'Forging of rights' of  the  'employee' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No protection of confidential authentication information\n- Lack of teleworking rules"]
["The processing (systems and related processes)  ","Availability","Employees","NF-2-12","Is there a risk of 'Breach of personnel availability' of  the  'employee' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No substitutes for strategic personnel"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-13","Is there a risk of 'Error in use of information and systems'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No document base for rules and procedures"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-14","Is there a risk of 'Forging of rights for the logical access to system & information'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Logical access authorisations are not checked regularly"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-15","Is there a risk of 'Denial of actions'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No definition of responsibilities"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-16","Is there a risk of 'Theft or destruction of media, documents or equipment'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- the Physical access authorisations are not checked regularly"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-17","Is there a risk of 'Abuse of rights'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No coordination between the departments concerned before hiring staff and when contracts are modified"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-18","Is there a risk of 'Disclosure'  by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No rules for checking equipment entering/leaving the organisation"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT organization","NF-2-19","Is there a risk of 'Breach of information system maintainability' by  the  'It organization' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No recovery plan\n- No organisation for management of security incidents"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT room","NF-2-20","Is there a risk of 'Theft or destruction of media, documents or equipment' in  the  'It room' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The principle of least privilege is not applied\n- Authorisation management is flawed\n- Flaws in the physical access boundaries"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","IT room","NF-2-21","Is there a risk of 'Abuse of access rights' in  the  'It room' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No supervision of third-party access (supplier, cleaner, etc.)"]
["The processing (systems and related processes)  ","Availability","IT room","NF-2-22","Is there a risk of 'physical availability of systems' in the 'It room' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Loss of power supply due to Incorrect sizing of emergency power supply equipment (inverter, batteries, etc.)\n- Failure of air-conditioning due to no revision of air-conditioning needs when premises are modified or equipment is added."]
["The processing (systems and related processes)  ","Availability","IT room","NF-2-23","Is there a risk of  an 'Environmental disaster (fire, flood, dust, dirt, etc.)' at the 'IT room' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Premises are not secure or could be compromised by external elements"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-24","Is there a risk of an 'Error in use' of the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No protection measures (read only, etc.)\n- No supervision tool\n- Users lack competency\n- Lack of responsibility\n- No accessible user support"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-25","Is there a risk of a 'Software malfunction' of the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Use of an obsolete version of the messaging server\n- Failure to comply with installation or maintenance procedures.\n- Use of an obsolete version of the operating system or applications\n- Software incompatibility (e.g. side effect of message-filtering anti-virus software, etc.)\n- Possibility of the system being subjected to badly formed requests and data (e.g. buffer overflow, denial of service on SMTP, POP3, IMAP server)\n- Applications are not checked before installation"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-26","Is there a risk of 'Forging of rights' of the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Possibility of remote system administration\n- Possibility of remote system administration from any station\n- The system can be accessed by everyone \n- The messaging system can be accessed from Internet\n- Use of an obsolete version of the messaging server\n- Use of an obsolete version of the operating system or applications\n- The SNMP layer is activated\n- Possibility of the operating system being subjected to badly formed requests and data (e.g. buffer overflow)\n- The remote maintenance link is permanently activated\n- Applications are not checked before installation\n- No audit policy - No event logging\n- Possibility of remote administration of the system using non-encrypted administration tools\n- Connection passwords not sufficiently complex"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-27","Is there a risk of  'Eavesdropping' at the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Circulating information in clear tekst\n- Possibility of introducing eavesdropping software on client terminals\n- Possibility of installing an eavesdropping device on messaging gateways\n- Flaws in the management of access privileges to messaging gateways"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-28","Is there a risk of  'Fraudulent copying or use of counterfeit software' at the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The origin of applications is not checked before installation\n- The access system allows software storage\n- The access system allows software downloads"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-29","Is there a risk of  'Corruption of data' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Possibility of remote system administration\n- Possibility of remote system administration from any station\n- The SNMP layer is activated\n- No back-up procedure\n- The remote maintenance link is permanently activated\n- The system allows asynchronous operation of certain parts or commands of the operating system to be exploited (e.g. automatic opening of attachments)\n- Applications are not checked before installation\n- No implementation of basic security rules applicable to the operating system and software\n- Possibility of remote administration of the system using non-encrypted administration tools\n- Connection passwords not sufficiently complex"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-30","Is there a risk of  'Denial of actions' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The system is connected to external networks\n- The access system does not log tracks of its operation\n- Access to the tracking system is not protected\n- The system can be accessed by everyone (e.g. does not authenticate client stations or users)\n- No audit policy\n- No event logging"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-31","Is there a risk of  'Illegal processing of data' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The system is connected to external networks\n- No identification of the system protection levels\n- No content monitoring\n- No audit or supervision of accesses\n- No management of access authorisation\n- The system makes it easy to disclose information to the outside"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-32","Is there a risk of  'Malware infection' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Presence of protocol that has no authentication function\n- Possibility of remote system administration\n- Use of an obsolete version of the messaging server\n- Possibility of remote system administration from any station\n- The remote maintenance link is permanently activated\n- The messaging system allows automatic message transmission\n- No awareness programme concerning the risks incurred by opening attachments\n- The system allows asynchronous operation of certain parts or commands of the operating system to be exploited (e.g. automatic opening of attachments)\n- The messaging system allows software updates to be installed (e.g. patches, anti-virus updates, etc.)\n- No anti-virus filtering system\n- Applications are not checked before installation\n- No implementation of basic security rules applicable to the operating system and software\n- Possibility of remote administration of the system using non-encrypted administration tools\n- Connection passwords not sufficiently complex"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-33","Is there a risk of  'Saturation of the information system' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Existence of periods or events that cause a very significant increase in use of the system\n- The messaging system allows automatic message transmission\n- Use of the internal distribution list accessible to everyone\n- Incorrect sizing of storage spaces for received messages\n- No protection against spam\n- No limits on the size of attachments\n- Incorrect use of the messaging service (mailboxes used as storage space)\n"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-34","Is there a risk of  'Abuse of access rights' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The equipment can be used for purposes other than those intended\n- No audit or supervision of accesses (for example inventory of accesses outside the organisation and types of data flow)\n- No access rules\n- The system is connected to external networks\n- The system can be accessed by everyone"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-35","Is there a risk of  'Data from untrustworthy sources' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The system allows information to be sent and received without authentication of the senders or recipients\n- The system has no filter to prevent hoaxes being received from the outside\n- The system allows relaying"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-36","Is there a risk of  'Disclosure' in the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The system is connected to external networks\n- No measure to avoid negligence when information is sent\n- The system can be used by all personnel\n- The system allows attachments to be exchanged\n- No effective and operational virus shield"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Mailing system ","NF-2-37","Is there a risk of  'Breach of information system maintainability' with the mailbox system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Use of an obsolete version of the messaging server\n- Use of an obsolete system\n- Use of a non-standard system\n- No monitoring of installation and maintenance procedures (configuration and parameter setting records)\n- No internal support tool\n- Use of an obsolete version of the operating system or applications"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Network and Telecom","NF-2-38","Is there a risk of  'Equipment malfunction or failure' in the Network and Telecom system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No service level management"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Network and Telecom","NF-2-39","Is there a risk of  'Forging of rights' in the Network and Telecom system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Flaws in the management of administrator accounts"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Network and Telecom","NF-2-40","Is there a risk of  'Eavesdropping' in the Network and Telecom system with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No partitioning of communication networks\n- Wireless network connections are poorly managed"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-41","Is there a risk of  'Equipment malfunction or failure'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No service level management"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-42","Is there a risk of  'Forging of rights'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Possibility of remote system administration\n- Flaws in the management or use of accounts with privileges"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-43","Is there a risk of  'Denial of actions'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No storage of activity tracks"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-44","Is there a risk of  'Retrieval of recycled or discarded media'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Presence of residual data unknown to the user of reallocated or discarded equipment  "]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-45","Is there a risk of  'Malware infection'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Update management (patches) is flawed\n- Lack of a system hardening policy"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Server management","NF-2-46","Is there a risk of  'Abuse of rights'  in the Server management with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  The principle of least privilege is not applied"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Service office","NF-2-47","Is there a risk of  'Theft or destruction of media, documents or equipment'  in the Service office with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- The principle of least privilege is not applied\n-  Authorisation management is flawed\n- Flaws in the physical access boundaries"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Service office","NF-2-48","Is there a risk of  'Abuse of rights'  in the Service office with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No supervision of third-party access (supplier, cleaner, etc.)"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Service office","NF-2-49","Is there a risk of  'Environmental disaster (fire, flood, dust, dirt, etc.)'  in the Service office with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Premises are not secure or could be compromised by external elements"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - develop - Logical & physical level","NF-2-50","Is there a risk of  'Software malfunction'  in the Software development with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Security requirements are not identified\n- No systematic qualification procedure before installation or updating"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - develop - Logical & physical level","NF-2-51","Is there a risk of  'Malware infection'  in the Software development with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No code review or intrusion tests"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - develop - Logical & physical level","NF-2-52","Is there a risk of  'Disclosure'  in the Software development with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  Production data are used for tests or development\n- No separation of development and operating environments"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - develop - Logical & physical level","NF-2-53","Is there a risk of  'Breach of information system maintainability'  in the Software development with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Documentation not up to date  "]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Specific software","NF-2-54","Is there a risk of  'Forging of rights'  in the Specific software with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Authorisation management is flawed\n- User authentication is not ensured"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Specific software","NF-2-55","Is there a risk of  'Eavesdropping'  in the Specific software with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  Use of an unsecured method of communication"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Specific software","NF-2-56","Is there a risk of  'Denial of actions'  in the Specific software with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No storage of activity tracks"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","Specific software","NF-2-57","Is there a risk of  'Disclosure'  in the Specific software with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  The need-to-know principle is not respected"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - develop - Logical & physical level","NF-2-58","Is there a risk of  'Error in use'  of a Specific software with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  Tools or programs are not adapted for use or are not ergonomic"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - real life system","NF-2-59","Is there a risk of  'Software malfunction'  for a Specific software maintenance with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No SLAs with third parties (internal or external)\n- Update management (patches) is flawed\n- Problems in change management or software maintenance"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","DP design default - real life system","NF-2-60","Is there a risk of  'Abuse of rights'  with a Specific software maintenance with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-   The supplier does not manage remote maintenance properly"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","System administrator","NF-2-61","Is there a risk of  'Error in use'  by the System administrator with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Users are not made aware of information security\n- No IT charter specifying the rules of use\n- No training on the equipment or software used  "]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","System administrator","NF-2-62","Is there a risk of  'Forging of rights'  by the System administrator with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No protection of confidential authentication information\n- Lack of teleworking rules"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","System administrator","NF-2-63","Is there a risk of  'Breach of personnel availability'  by the System administrator with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No substitutes for strategic personnel"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","System administrator","NF-2-64","Is there a risk of  'Breach of personnel availability'  by the System administrator with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- No substitutes for strategic personnel"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","User workstations","NF-2-65","Is there a risk of  'Forging of rights'  of the User workstations with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Authorisation management is flawed\n- User authentication is not ensured\n- The user workstation is not monitored"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","User workstations","NF-2-66","Is there a risk of  'Retrieval of recycled or discarded media'  at the User workstations with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  Presence of residual data unknown to the user of reallocated or discarded equipment"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","User workstations","NF-2-67","Is there a risk of  'Malware infection'  at the User workstations with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n- Programs can be downloaded and installed without monitoring\n- Update management (patches) is flawed\n-  No detection system of malicious programs"]
["The processing (systems and related processes)  ","Security & privacy (Non Functional requirements) ","User workstations","NF-2-68","Is there a risk of  'Abuse of rights'  at the User workstations with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events (indirect causes) will occur so that the risk may become an issue: \n-  No procedures for system install and configuration"]
["Processor","Lawfulness processing","Cloud service","NF-3-01","Is there a risk  of 'processing which is probably not legal in respect of the liability of the controller'  by the  'cloud service' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the physical location of (part of the ) personal data (at-rest and for processing) at the processor premises is insufficiently controlled by the jurisdiction of the controller \n- the jurisdiction of the service of and the contract with the CSP is not conform with the jurisdiction of the controller \n- the CSP does not accomodate with the data retention requirements?\n- the data is given to governments outside the jurisdiction of the data controller, if requested for judicial requirements without informing the controller or without constitutional guarantees\n- the data is given to, shared with third parties, or used by the CSP for other purposes than the cloud service "]
["Processor","Contract","Cloud service","NF-3-02","Is there a risk  of 'insufficient GDPR conformity of the processing agreement'  with the  'cloud service' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- In case of subcontracting at the CSP,  the CSP does not communicate subcontracting (e.g. name of the subcontractor) details to the controller which are important for the controller's processing\n- In case of subcontracting at the CSP,  the CSP does not inform in advance the controller of any , for the controller's processing important changes in the course of the contract\n- In case of subcontracting at the CSP,  the CSP does not guarantee contractually to remain fully responsible for his engagements, even with the hiring of subcontractors"]
["Controller","Accountability","Cloud service","NF-3-03","Is there a risk of  'a possibility of an insufficient level of auditing'  of the  'cloud service' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the time interval with which the cloud service (including all its subcontractors) is audited by a third party is insufficent for the controller's processing\n- the scope of the audits is not accurately defined for the controller's processing\n- the time interval with which  the cloud service (including all its subcontractors) is  vulnerability tested and whereby critical vulnerabilites are fixed is insufficent for the controller's processing\n- the cloud service has insufficient defined an ISP (Information Security Policy) and has not obtained a certification for the relevant security processes\n- no or an insufficient certification equivalent to a Tier certification of data centers (especially for physical availability and security) "]
["Processor","Availability","Cloud service","NF-3-04","Is there a risk of  'an insufficient level of business continuity ' by the  'cloud service provider' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the existing of an insufficient SLA (Service Level Agreements) which manage the delivery of the cloud service \n- the CSP has insufficiant defined and implemented a business continuity plan\n- there is no contractual clause that guarantees the posibility to migrate/export the data form the cloud service conform legislation (e.g. in a readable, standardized format)."]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-05","Is there a risk of  'an insufficient risk mitigation control ' of the  'cloud service' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- a, for the controller, insufficient particpation in the definition of the risk mitigation measures an/or  insufficient transparency about the implementation of the measures by the CSP\n- an insufficient time interval at which the controller can (re-)define risk mitigation measures\n- the right of the cloud provider to unilaterally change the risk mitigation measures  "]
["Processor","Lawfulness processing","Cloud service","NF-3-06","Is there a risk of  'unlawfull processing of metadata ' by the  'cloud service provider' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the collection and further processing of the metadata is not transparant, are the objectives of the processing is not clear or not lawfull and it is not clear who  the owner is of the meta data"]
["Processor","Fairness processing","Cloud service","NF-3-07","Is there a risk of 'unlawfull processing during configuration an/or change management'  by the  'cloud service provider' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the configuration and change mangement is not transparent and CSP assets (hardware, software, data) are not tracked throughout their lifetime in service."]
["The processing (systems and related processes)  ","Confidentiality","Cloud service","NF-3-08","Is there a risk of 'insufficient logical access protection to the Controller assets and/or CSP systems'  for the  'cloud service provider administrators' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the (lowest) authentication level of CSP administrators (assurance levels (low, substantial, high) defined by the eIDAS regulation) does not match with the Controller requirements\n- the authorization enforcement rules to access Controllers assets (=data & code) and/or the CSP's system for the CSP administrators does not match with the Controller requirements. Enforcements rules can be 'Need to know', 'Least privilige' or 'Separation of duties'\n- an  'insufficient' authorization detection control to both Controller assets (=data & code) and CSP's system (monitoring and logging)\n- authentication and authorization rules for the CSP administrators are 'insufficient' documented \n- an 'insufficient'  transparency with relation to the logical access control at the CSP side to the Controller's assets "]
["The processing (systems and related processes)  ","Confidentiality","Cloud service","NF-3-09","Is there a risk of 'insufficient logical access protection to the controller assets  for the controllers end-users or controllers admin-users'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- an  'insufficient' integration with the authentication system of the Controller (or third party) (LDAP or identity provider)\n- if no integration of Controller authentication system is available, the strongest level of authentication available at the CSP for Controllers en-users and/or admin-users does not match with the Controller requirements\n- an  'insufficient' integration with the Controllers  authorization system  for the controllers end-users or controllers admin-users\n- no or 'insufficient' possibility to define in a fine-grained way  the authorization enforcement rules for the Controller assets (=data & code & systems) at the 'Cloud service' \n- an  'insufficient' authorization detection control is available to the Controller assets (=data & code & systems)  for the controllers end-users or controllers admin-users"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-10","Is there a risk of 'insufficient segregation of data with the external world'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the provided cloud service deployment model  (privat, community, public) does not match with the Controller requirements\n- the physical machine are shared by multiple tenants which does not match with the Controller requirements (community tenants , known trusted tenants, unknown tenants, ...)\n- 'insufficient segregation/isolation In a multi-tenant system (  the data of the respective tenants can be segregated/isolated in such a way that it is technically impossible for any user of tenant A to receive entitlements to data of tenant B; technics may be VLAN isolation, data-at-rest encryption, user choice of the datacenter, ..)"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-11","Is there a risk of 'insufficient secure interfaces for the Controllers side end-users and admin-users'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the  APIs are not developed in accordance with the required standards (e.g. following the OWASP guidelines) for the Controller\n- insufficient ensuring of data integrity and confidentiality during communication (e.g. strong, rigorous procedures and governance for the certificate authority (CA) and the Cloud service provider)"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-12","Is there a risk of 'insufficient Infrastructure and virtualization security'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- 'insufficient' controlled  access to hypervisors management functions and administration consoles (strong authentication, SSL/TLS communication)\n-  all data is 'insufficient' securely deleted from all storage media when the Controller end-user’s or Controllers account are deleted and are not deleted  within defined timeframes. Secure deleted data is data which is not forensically recoverable. Technics may be cryptographic wiping, demagnetize data storage. The deletion must absolutely erase all copies of data, except meta-data that might be kept for judicial or accounting requirements.\n- the defense-in-depth approach to wired or wireless network security at the Cloud service does not match with the Controller requirements (e.g. with firewalls, APT detection tools)\n- 'insufficient' controls at the hardware and virtual (if applicable) levels are present and/or 'insufficient' documented (e.g. only used ports are opened, file integrity monitoring, logging, IDS/IPS, SIEM)\n- no availability of security mechanisms to prevent and analyze data leakage at the hardware and virtual (if applicable) levels (e.g. with DLP)"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-13","Is there a risk of 'insufficient Cryptographic protection of the Controller's data'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the organisation in charge of the key management is not the one which is required by the Controller (e.g. the Controller user, the Controller system administrator, a trusted third party (e.g. key management provider), the Cloud service provider, a subcontractor of the CSP, ..)\n-  the key management has not been defined through policies and procedures as required by the ISO/IEC27002:2013 standard and this is required for the Controller \n- the guaranteed adequate cryptographic strength of the cryptographic mechanisms used for the cloud service is 'insufficient for the Controller (following the NIST standards of algorithms and key length) e.g. adequate protection for less than 10 years, up to 10 years,protection 30 to 50 years , over 50 years)\n- use of (for the Controller) 'insufficient' level of HSMs (Hardware Security Modules) for the protection of keys by the Cloud service ( See FIPS 140-2 for definition of the four levels).\n- no possibility of Controller-side encryption of data and this is required for the Controller (this may prevent the CSP and potential subcontractors from obtaining the data in clear if they do not manage the keys).\n- the confidentiality of the data-at-rest, stored by the CSP, is 'insufficient' cryptographically ensured (with encryption)\n- the integrity of the data-at-rest, stored by the CSP, is 'insufficient' cryptographically ensured (with digital signature, hashing, MACs, ....)"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-14","Is there a risk of 'insufficient Backup and disaster recovery of the Controller's data'  at the  'Cloud service ' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the backup retention plan can not or  'insufficient' be defined by the Controller \n- the backup controls defined can not or  'insufficient'  be defined by the Controller  and are 'insufficient' adequate for the Controller\n- the RTO (Recovery Time objective) can not assured by the Cloud Service Provider\n- the  RPO (Recovery Point objective) can not assured by the Cloud Service Provider\n- the controller is not able to initiate the desired recovery tests (frequency of the test), including reporting\n"]
["The processing (systems and related processes)  ","Data breach uses-case ","Cloud service","F-3-01","Is there a risk of 'insufficient Incident management'  by the  'Cloud service provider' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the CSP does not use (or has not document and/or with no SLA) SIEM (Security Information and Event Management) technology for analyzing the security alerts and data logs\n- the  CSP has not or has an 'insufficient' incident and data breach procedure for managing and minimizing the impact of security and privacy incidents on tenants’ data. \n- the  CSP has not documented or contractually defined an incident and data breach procedure for managing and minimizing the impact of security and privacy incidents on tenants’ data. \n- the CSP has not or has an 'insufficient'  adequate security policies and procedures regarding CSP employee security"]
["The processing (systems and related processes)  ","Security (Non Functional requirements) ","Cloud service","NF-3-15","Is there a risk of 'insufficient vulnerability management'  by the  'Cloud service provider' with as a consequence that the rights and freedoms of the data subject (s) may be compromised and/or some aspects of the organization may be impacted. Remark : vulnerabillity management is not limited to software (patching) but also applies on hardware.","What is the probability that one of the following events will occur so that the risk may become an issue: \n- the  CSP has not documented or 'insufficient' documented  (and, hence, transparent) the vulnerability management process implemented in the cloud service\n- the CSP does not test patches in acceptance environments prior to deployment\n- the CSP has not (or insufficient ) provided tools to prevent, detect and mitigate viruses and malwares at server stations\n- the CSP has not perfomed (or insufficient documented or managed) a hardening process on the server stations "]
["The processing (systems and related processes)  ","Lawfulness processing","External world contact systems (website, ..) ","NF-6-01","Is er een risico van non conformiteit met de ePrivacy regelgeving bij gebruik van cookies , Javascripts, Flash cookies, HTML5-local storage en/of web beacons door het processing ICT systeem met als gevolg dat de rechten en vrijheden van de betrokkene (n) in gevaar kunnen worden gebracht en / of sommige aspecten van de organisatie kunnen worden geimpacteerd.","Wat is de kans dat een van de volgende gebeurtenissen zich voordoet, zodat het risico een probleem wordt: \n- men heeft onvoldoende de gebruiker van het systeem geinformeerd (voorbeeld via een cookiebeleid) over  de cookies die gebruikt worden? \nVoldoende informatie bevat :\n+ de identiteit van de verantwoordelijke voor de verwerking, \n+ de manier waarop contact kan worden opgenomen met de verantwoordelijke voor de verwerking ;\n+ informatie over alle cookies (cookies kunnen toegevoegd / afgevoerd / vernderd worden na een zekere tijd zonder dat men de informatie heeft aangepast)\n+ informatie vooralleer de verwerking start\n+ per categorie (doeleinde) van de cookies :  de doeleinden van de van deze cookies / de wettelijke base (indien niet essentieel) / de (categorieën van) de opgeslagen informatie / hoe zijn deze persoonsgegevens verkregen / bewaartermijnen van de informatie / de modaliteiten voor het schrappen van de informatie (indien niet essentieel) / de eventuele mededelingen aan derden en de informatie die hen werd verstrekt \n- de informatie is niet gemakkelijk vindbaar"]
["The processing (systems and related processes)  ","Lawfulness processing","External world contact systems (website, ..) ","NF-6-02","Is er een risico van een onwettelijke basis voor het verwerken van gegevens met cookies,  Javascripts, Flash cookies, HTML5-local storage en/of web beacons  door het ICT  systeem met als gevolg dat de rechten en vrijheden van de betrokkene (n) in gevaar kunnen worden gebracht en / of sommige aspecten van de organisatie kunnen worden geimpacteerd.","Wat is de kans dat een van de volgende gebeurtenissen zich voordoet, zodat het risico een probleem wordt: \n- dat wanneer de cookie 'Geen persoonsgegevens' verwerkt en het geen essentieele cookie is men niet de toestemming heeft verkregen van de gebruiker van het ICT systeem voor de verwerking. Een essentiel cookie is een cookie met als uitsluitend doel de technische communicatie of het is strikt noodzakelijk voor de gevraagde dienst.\n- dat wanneer de cookie 'Persoonsgegevens' verwerkt men geen AVG wetmatige basis heeft (al of niet via toestemming (consent) van het data subject) voor de verwerking van de cookie.\n"]
["The processing (systems and related processes)  ","Privacy (Non Functional requirements)","External world contact systems (website, ..) ","NF-6-03","Is er een risico dat bij toestemming voor het gebruik van cookies, Javascripts, Flash cookies, HTML5-local storage en/of web beacons  door het ICT  systeem men niet conform de regelgeving werkt met als gevolg dat de rechten en vrijheden van de betrokkene (n) in gevaar kunnen worden gebracht en / of sommige aspecten van de organisatie kunnen worden geimpacteerd.","Wat is de kans dat een van de volgende gebeurtenissen zich voordoet, zodat het risico een probleem wordt: \n- de toestemming niet vrijelijk wordt gegeven \n- de toestemming niet op het juiste tijdstip wordt gevraagd : na informatie over de cookies en vooraf aan de verwerking\n- er niet steeds de mogelijkheid is om zijn toestemming in te trekken (even eenvoudig als het geven ervan ) \n- de toestemming niet kan gegeven worden per groep van verwerkingen die hetzelfde doel of dezelfde doeleinden dienen (Indien de verwerking meerdere doeleinden heeft, moet toestemming voor elk daarvan worden verleend)\n- de toestemming niet in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal is gepresenteerd zodat geen duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden. \n- de toestemming niet wordt gegeven door middel van een duidelijke actieve handeling, bijvoorbeeld een schriftelijke verklaring, ook met elektronische middelen, of een mondelinge verklaring, waaruit blijkt dat de betrokkene vrijelijk, specifiek, geïnformeerd en ondubbelzinnig met de verwerking van zijn persoonsgegevens instemt.\n- de toestemming wordt gegeven via een Opt-out (een automatische instemming ) (men dient ze te geven op basis van een opt-in-system (een ondubbelzinnige en actieve handeling))\n-de toestemming wordt gegeven op basis van een vooraf met ‘ja’ aangevinkt hokje wanneer een akkoord wordt gevraagd. \n- de toestemming wordt gegeven op basis van stilzwijgen, inactiviteit of omlaag scrollen of variaties op ‘u gaat akkoord als u verder gaat op deze website’.\n- de toestemming wordt verkregen via een Cookiewall. \n\n\n"]
["The processing (systems and related processes)  ","Accountability","External world contact systems (website, ..) ","NF-6-04","Is er een risico dat men  niet correct de toestemmingen beheert / gebruikt voor het verwerken van gegevens met cookies,  Javascripts, Flash cookies, HTML5-local storage en/of web beacons  door het ICT  systeem met als gevolg dat de rechten en vrijheden van de betrokkene (n) in gevaar kunnen worden gebracht en / of sommige aspecten van de organisatie kunnen worden geimpacteerd.","Wat is de kans dat een van de volgende gebeurtenissen zich voordoet, zodat het risico een probleem wordt: \n- men op elk moment niet kan aantonen wie zijn toestemming heeft gegeven\n- men voor de verwerking steeds online controleert of iemand zijn toestemming heeft gegeven  \n"]
["The processing (systems and related processes)  ","Fairness processing","External world contact systems (website, ..) ","NF-6-05","Is er een risico op inconsistency tussen de informatie uit het cookiebeleid en het privacy statement voor het verwerken van gegevens met cookies,  Javascripts, Flash cookies, HTML5-local storage en/of web beacons  door het ICT  systeem met als gevolg dat de rechten en vrijheden van de betrokkene (n) in gevaar kunnen worden gebracht en / of sommige aspecten van de organisatie kunnen worden geimpacteerd.","Wat is de kans dat een van de volgende gebeurtenissen zich voordoet, zodat het risico een probleem wordt: \n- de informatie uit het cookiebeleid en privacy statement zijn tegenstrijdig of niet volledig gelijk voor de verwerkingen die in beide informatie documenten moeten komen\n"]

{"sheet":"Risk Register","index":4,"n_rows":5,"n_cols":23,"rows_kept":5,"cut":false,"hidden":false,"merged":[]}
["Domain","Risk ID",{"$f":"'Referentie data user'!B1","v":"User Radar"},"       Severity","Risk Name (risk of a vulnerability from a cause with an impact of)","Risk description","Owner","       Prob. (1-5)","       Imp. (1-5)","      Effort (1-5)","Maturity description","       Cont. (1-5)","       Residual","       Tolerate","       Treat","       Transfer","       Terminate","Treatement type","Treatement category","Plans proposal","Date","Status","Review comment"]
["Data subject",1,null,{"$f":"FLOOR((H2+I2)/2,1)","v":1},null,null,null,1,1,1,null,1,{"$f":"MAX(0,D2-L2)","v":0},null,null,null,null,null,null," ",null,"Identified"]
["Data subject",1,null,{"$f":"FLOOR((H3+I3)/2,1)","v":1},null,null,null,1,1,1,null,1,{"$f":"MAX(0,D3-L3)","v":0},null,null,null,null,null,null,null,null,"Identified"," "]
[null,null,null,null,null,null,null,null,null,null,null,null,null,null," "]
[null,null,null,null,"Add a specific risk"]

{"sheet":"Maps","index":5,"n_rows":22,"n_cols":13,"rows_kept":22,"cut":false,"hidden":false,"merged":[[14,10,14,11],[3,10,3,11],[1,0,1,12],[12,0,12,12]]}
[]
["Risk Heatmap (do not forget to refresh table)"]
[]
[null,"Count of Risk ID","Prob.",null,null,null,null,null,null,null,"Summary"]
[null,"Imp.",1,2,3,4,5,"Grand Total",null,null,"Negligeable Risks",{"$f":"ColorFunction(K5,$C$6:$G$10,TRUE)","v":2}]
[null,5,null,null,null,null,null,null,null,null,"Acceptable Risks",{"$f":"ColorFunction(K6,$C$6:$G$10,TRUE)","v":0}]
[null,4,null,null,null,null,null,null,null,null,"Moderate Risks",{"$f":"ColorFunction(K7,$C$6:$G$10,TRUE)","v":0}]
[null,3,null,null,null,null,null,null,null,null,"Important Risks",{"$f":"ColorFunction(K8,$C$6:$G$10,TRUE)","v":0}]
[null,2,null,null,null,null,null,null,null,null,"Critical Risks",{"$f":"ColorFunction(K9,$C$6:$G$10,TRUE)","v":0}]
[null,1,2,null,null,null,null,2]
[null,"Grand Total",2,null,null,null,null,2]
[]
["Control Heatmap (do not forget to refresh table)"]
[]
[null,"Count of Risk ID","Controls",null,null,null,null,null,null,null,"Summary",null,"Appetite"]
[null,"Risk",1,2,3,4,5,0,"Grand Total",null,"Negligeable Risks",{"$f":"ColorFunction(K16,$C$17:$G$21,TRUE)","v":2},{"$f":"-1","v":-1}]
[null,5,null,null,null,null,null,null,null,null,"Acceptable Risks",{"$f":"ColorFunction(K17,$C$17:$G$21,TRUE)","v":0},{"$f":"0","v":0}]
[null,4,null,null,null,null,null,null,null,null,"Important Risks",{"$f":"ColorFunction(K18,$C$17:$G$21,TRUE)","v":0},{"$f":"1","v":1}]
[null,3,null,null,null,null,null,null,null,null,"Critical Risks",{"$f":"ColorFunction(K19,$C$17:$G$21,TRUE)","v":0},{"$f":"2","v":2}]
[null,2]
[null,1,2,null,null,null,null,null,2]
[null,"Grand Total",2,null,null,null,null,null,2]

{"sheet":"Radars","index":6,"n_rows":67,"n_cols":22,"rows_kept":67,"cut":false,"hidden":false,"merged":[[0,0,0,8],[17,0,17,8],[34,0,34,8],[51,0,51,8],[7,21,7,29],[7,11,7,19]]}
["Minimal coverage"]
[]
[null,{"$f":"'Referentie data'!C1","v":"Domain"},"#"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B4)","v":2}]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B5)","v":0}]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B6)","v":0}]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B7)","v":0}]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B8)","v":0},null,null,null,null,null,null,null,null,"Standard Radars",null,null,null,null,null,null,null,null,null,"User Radars"]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"COUNTIF('Risk Register'!$A$2:$A$998, Radars!B9)","v":0}]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"#"]
[null,{"$f":"'Referentie data user'!B2","v":"Strategic"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$998, Radars!B12)","v":0}]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$998, Radars!B13)","v":0}]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$998, Radars!B14)","v":0}]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$998, Radars!B15)","v":0}]
[null,{"$f":"'Referentie data user'!B6","v":"External sources"},{"$f":"COUNTIF('Risk Register'!$C$2:$C$998, Radars!B16)","v":0}]
[]
["Severity Level Radar"]
[]
[null,{"$f":"'Referentie data'!$C1","v":"Domain"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B21)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B21,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B21))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B21,'Risk Register'!$D$2:$D$3))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B21,'Risk Register'!$D$2:$D$3))","v":1},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B22)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B22,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B22))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B22,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B22,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B23)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B23,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B23))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B23,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B23,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B24)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B24,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B24))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B24,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B24,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B25)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B25,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B25))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B25,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B25,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B26)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B26,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B26))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B26,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B26,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data user'!B2","v":"Strategic"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B29)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B29,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B29))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B29,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B29,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B30)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B30,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B30))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B30,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B30,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B31)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B31,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B31))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B31,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B31,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B32)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B32,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B32))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B32,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B32,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B6","v":"External sources"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B33)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B33,'Risk Register'!$D$2:$D$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B33))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B33,'Risk Register'!$D$2:$D$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B33,'Risk Register'!$D$2:$D$3))","v":0},0.8,2,3,4,5]
[]
["Residual Risk Level Radar"]
[]
[null,{"$f":"'Referentie data'!$C1","v":"Domain"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B38)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B38,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B38))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B38,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B38,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B39)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B39,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B39))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B39,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B39,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B40)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B40,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B40))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B40,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B40,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B41)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B41,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B41))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B41,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B41,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B42)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B42,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B42))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B42,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B42,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data'!C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B43)=0,0,SUMIF('Risk Register'!$A$2:$A$3,Radars!B43,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B43))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B43,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B43,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max","B","G","Y","O","R"]
[null,{"$f":"'Referentie data user'!B2","v":"Strategic"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B46)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B46,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B46))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B46,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B46,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B47)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B47,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B47))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B47,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B47,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B48)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B48,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B48))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B48,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B48,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B49)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B49,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B49))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B49,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B49,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[null,{"$f":"'Referentie data user'!B6","v":"External sources"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B50)=0,0,SUMIF('Risk Register'!$C$2:$C$3,Radars!B50,'Risk Register'!$M$2:$M$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B50))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B50,'Risk Register'!$M$2:$M$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B50,'Risk Register'!$M$2:$M$3))","v":0},0.8,2,3,4,5]
[]
["Control Level Radar"]
[]
[null,"Domein","Average","Min","Max"]
[null,{"$f":"'Referentie data'!$C2","v":"Data subject"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B55)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B55,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B55),1))","v":1},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B55,'Risk Register'!$L$2:$L$3))","v":1},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B55,'Risk Register'!$L$2:$L$3))","v":1}]
[null,{"$f":"'Referentie data'!$C3","v":"Processor"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B56)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B56,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B56),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B56,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B56,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data'!$C4","v":"Controller"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B57)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B57,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B57),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B57,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B57,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data'!$C5","v":"The processing (systems and related processes)  "},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B58)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B58,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B58),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B58,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B58,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data'!$C6","v":"Data transfer (third party & international)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B59)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B59,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B59),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B59,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B59,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data'!$C7","v":"De GDPR (continue) governance (Law, guidelines, rules)"},{"$f":"IF(COUNTIF('Risk Register'!$A$2:$A$3,Radars!B60)=0,0,FLOOR(SUMIF('Risk Register'!$A$2:$A$3,Radars!B60,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$A$2:$A$3,Radars!B60),1))","v":0},{"$f":"MIN(IF('Risk Register'!$A$2:$A$3=Radars!B60,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$A$2:$A$3=Radars!B60,'Risk Register'!$L$2:$L$3))","v":0}]
[]
[null,{"$f":"'Referentie data user'!B1","v":"User Radar"},"Average","Min","Max"]
[null,{"$f":"'Referentie data user'!B2","v":"Strategic"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B63)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$3,Radars!B63,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B63),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B63,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B63,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data user'!B3","v":"Management"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B64)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$3,Radars!B64,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B64),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B64,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B64,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data user'!B4","v":"Operations"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B65)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$3,Radars!B65,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B65),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B65,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B65,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data user'!B5","v":"ICT"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B66)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$3,Radars!B66,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B66),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B66,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B66,'Risk Register'!$L$2:$L$3))","v":0}]
[null,{"$f":"'Referentie data user'!B6","v":"External sources"},{"$f":"IF(COUNTIF('Risk Register'!$C$2:$C$3,Radars!B67)=0,0,FLOOR(SUMIF('Risk Register'!$C$2:$C$3,Radars!B67,'Risk Register'!$L$2:$L$3)/COUNTIF('Risk Register'!$C$2:$C$3,Radars!B67),1))","v":0},{"$f":"MIN(IF('Risk Register'!$C$2:$C$3=Radars!B67,'Risk Register'!$L$2:$L$3))","v":0},{"$f":"MAX(IF('Risk Register'!$C$2:$C$3=Radars!B67,'Risk Register'!$L$2:$L$3))","v":0}]

{"sheet":"Scales","index":7,"n_rows":38,"n_cols":9,"rows_kept":38,"cut":false,"hidden":false,"merged":[[1,2,1,6],[9,2,9,6],[26,2,26,6],[32,2,32,6]]}
[]
[null,null,"PROBABILITY Level"]
[null,null,"RARE","OCCASIONAL","POSSIBLE","REGULAR","OFTEN"]
[null,null,1,2,3,4,5]
[null,null,"Maximum every 30 years","Maximum every 10 years","Maximum each year","Maximum each month","Maximum everydays "]
[null,null,"it does not seem possible that the risk will realize the threat (become an issue)","it seems difficult that the risk will realize the threat  (become an issue)","it seems possible that the risk will realize the threat (become an issue)","it seems  easy that the risk will realize the threat (become an issue) ","it seems extremely easy that the risk will realize the threat (become an issue) "]
[null,null,"The event occurs only in very exceptional circumstances","The event only occurs in certain circumstances","The event could occur at some point","The event should occur at some point","The event is likely to occur in most circumstances"]
[null,"right and freedom  of natural person (*)","The rights are nearly never impacted","The rights are occasionally impacted ","The rights are regurally impacted","The rights are often impacted","The rights are always impacted"]
[]
[null,null,"IMPACT Level"]
[null,null,"VERY LOW","LOW","MEDIUM","HIGH","CRITICAL"]
[null,null,1,2,3,4,5]
[null,"Quality of the product of the project","Non-compliance with negligeable requirements","Non-compliance with requirements for minors isolated cases","Non-compliance with requirements and in some cases, which would require the establishment of 'work-around'","Non-compliance with important requirements, which would lead to concessions for the project","Non-compliance with basic requirements, which can put the project in jeopardy"]
[null,"Schedule of a project","Negligeable delay","Project delay < 5%","Project delay < 10%","Project delay < 20%","Project delay > 20%"]
[null,"Costs of the project","No exceeding of 1%","No exceeding of 5 %","No exceeding of 10 %","No exceeding of 20 %","Exceeding 20 %"]
[null,"Financial ","No effect","Causes negligible costs. (+/- 1 % revenue)","Causes non-negligible costs. (+/- 5 % revenue)","Causes significant costs that could have repercussions on the organization. (+/- 10 % revenue)","Causes costs that are practically impossible to bear. (+/- 20 % revenue)",null,"Strategic"]
[null,"Reputation  ","No effect","Local criticism in the media, for example.","Temporary change to the image of the organization or its representatives.\nOccasional criticism, for example, in the media.\n","Very serious damage to the image of the organization or its representatives.\nSerious and repeated criticism in the media, for example.\n","Death.\nDefinitive damage to the image of the organization or its representatives.\nInternational media coverage.",null,"Management"]
[null,"Legal ","No effect","Very small chance of conviction, or the conviction will be very light and caused by non compliance with the Regulation. .\n","Possible conviction of the organization caused by non compliance with the Regulation. ","Condemnation of the organization caused by non compliance with the Regulation. ","Serious condemnation of the organization caused by non compliance with the Regulation ",null,"Operational"]
[null,"Staff","No effect","Some unpleasantnesses that can be easily overcome (loss of time, repetition of procedures, irritation, nervousness, etc.)","Significant unpleasantness overcome despite a number of difficulties (additional costs, denial of access to commercial services, fear, incomprehension, stress, minor physical ailments, etc.)","Significant consequences that could be overcome, but with serious difficulties (misappropriation of money, banking ban, damage to property, loss of employment, summons, damage to health, etc.)","Significant or even irreversible consequences that cannot be overcome (significant debt, inability to work, long-term mental or physical illness, death, etc.)",null,"ICT"]
[null,"Operational","No effect","Incident of minor importance with manageable effect on customers or citizens","Isolated incident with manageable effect on customers or citizens","Interruption of a full service","Total discontinuation of all services"]
[null,"Data - confidentiality","No effect.\nThe confidentiality level of the data is not important.\n","Low effect, negligible\nThe disclosure of the data is unfavorable to the interests of the organization\nExamples:  dissemination of internal information that must not leave the organism f.e. internal phone book","Medium effect, acceptable\nThe disclosure of the data damages the interests of the organization\nExamples: distribution of moderately sensitive information limited to a group of people","Serious effect, practically unbearable\nThe disclosure of the data seriously harms the interests of the organization\nExamples: dissemination of confidential information, bank secrecy, sensitive personal data, security incidents.\n","Very serious effect, unbearable\nThe disclosure of the data causes practically irreparable damage to the interests of the organization.\nExamples: dissemination of classified or highly sensitive information ; information classified by law (EU, NATO, national, etc.)"]
[null,"Data - Integrity","No effect.\nThe integrity of the data is not important.\n","Low effect, negligible\nEasily fix data corruption without major consequences.\n","Medium effect, acceptable\nDamage to the data that is a moderate nuisance for the receiving parties. Easy to restore.\n","Serious effect, practically unbearable\nCorruption of the data that is a significant nuisance for the receiving parties.\n","Very serious effect, unbearable\nIrreparable damage to the data resulting in permanent unavailability\n"]
[null,"Data - availabilty","No effect.\nThe availability of the data is not important.\n","Low effect, negligible\nAnnoying unavailability of data, but not yet harmful for the receiving parties.\n","Medium effect, acceptable\nUnavailability of data that is a moderate nuisance to the receiving parties.\n","Serious effect, practically unbearable\nUnavailability of the data is a considerable hindrance to the receiving parties.\n","Very serious effect, unbearable\nUnavailability of the data requires a very great or even an impossible effort to restore it.\n"]
[null,"the rights and freedoms of a natural person (*)","rights of one specific person","rights of one specific person","rights of a small group of people","rights of a group of people","rights of an important group of people "]
[null,null," ","Individuals either will not be affected or may encounter a few inconveniences, which they will overcome without any problem (time spent re-entering information , annoyances, irritations,etc.)","individuuals may encounter significant inconveniences, which they will be able to overcome despite a few difficulties (extra costs, denial of access to business services, fear, lack of understanding, stress, minor physical ailments,etc..)","individuals may encounter significant consequences, which they should be able to overcome albeit with seriuos difficulties (misappropriation of funds, blacklisting by banks, property damage, loss of employment, subpoena, worsening of health, etc..)","individuals may encounter significant , or even irreversible, consequences, which they may not overcome (financial distress such as sunstantial debt or inability to work, long-term psychologival or physical ailments, deatch, etc..)"]
[]
[null,null,"CURRENT CONTROL Level"]
[null,null,"VERY WEAK","WEAK","MEDIUM","HIGH","VERY HIGH"]
[null,null,1,2,3,4,5]
[null,"Maturity Level of the processing","Initial / Ad hoc","Non formal / Repetitive","Systematic / Defined","Integrated / Measured","Optimized"]
[null," ","Risk awareness & Internal control awareness","Internal control without procedures and not known by all the employees of the organization.","Exhaustive procedures & training on internal control.","Continuous Improvements & Internal Control Reviews","Real time control"]
[]
[null,null,"RISK Level"]
[null,null,"NEGLIGEABLE","ACCEPTABLE","MODERATE","IMPORTANT","CRITICAL"]
[null,null,1,2,3,4,5]
[null,null,"The event would lead to a very insignificant internal fault for the project and touch the rights and freedoms of a natural person","The event would lead to a significant internal problem for the project","The event could lead to an extended incident for the project and / or client","The event should lead to a major incident for the project and / or client","The event should lead to a fatal incident for the project and the client and block the rights and freedoms of a natural person"]
[]
[null,"(*)  = the rights and freedoms of a natural person : fundamental rights such as freedom of speech, freedom of thought, freedom of movement, prohibition of discrimination, right to liberty, conscience and religion, … ."]

{"sheet":"AVG kort","index":8,"n_rows":57,"n_cols":2,"rows_kept":57,"cut":false,"hidden":false,"merged":[]}
["Ref GDPR","GDPR regelgeving"]
["1-4","H1 ALGEMENE BEPALINGEN"]
["5-11","H2 BEGINSELEN"]
["5","Beginselen inzake verwerking van persoonsgegevens"]
["6","Rechtmatigheid van de verwerking"]
["7","Voorwaarden voor toestemming"]
["8","Voorwaarden voor de toestemming van kinderen met betrekking tot diensten van de informatiemaatschappij"]
["9","Verwerking van bijzondere categorieën van persoonsgegevens"]
["10","Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten"]
["11","Verwerking waarvoor identificatie niet is vereist"]
["12-23","H3 RECHTEN VAN DE BETROKKENE"]
["12-12","Afd 1 TRANSPARANTIE EN REGELINGEN"]
["12","Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene"]
["13-15","Adf 2 INFORMATIE EN TOEGANG TOT PERSOONSGEGEVENS"]
["13","Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld"]
["14","Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen"]
["15","Recht van inzage van de betrokkene"]
["16-20","Afd 3 RECTIFICATIE EN WISSING VAN GEGEVENS"]
["16","Recht op rectificatie"]
["17","Recht op gegevenswissing (\"recht op vergetelheid\")"]
["18","Recht op beperking van de verwerking"]
["19","Kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking"]
["20","Recht op overdraagbaarheid van gegevens"]
["21-22","Afd 4 RECHT VAN BEZWAAR EN GEAUTOMATISEERDE INDIVIDUELE BESLUITVORMING"]
["21","Recht van bezwaar"]
["22","Geautomatiseerde individuele besluitvorming, waaronder profilering"]
["23-23","Afd 5 BEPERKINGEN"]
["23","Beperkingen"]
["24-43","H4 VERWERKINGSVERANTWOORDELIJKE EN VERWERKER"]
["24-31","Afd 1 ALGEMENE VERPLICHTINGEN"]
["24","Verantwoordelijkheid van de verwerkingsverantwoordelijke"]
["25","Gegevensbescherming door ontwerp en door standaardinstellingen"]
["26","Gezamenlijke verwerkingsverantwoordelijken"]
["27","Vertegenwoordigers van niet in de Unie gevestigde verwerkingsverantwoordelijken of verwerkers"]
["28","Verwerker"]
["29","Verwerking onder gezag van de verwerkingsverantwoordelijke of de verwerker"]
["30","Register van de verwerkingsactiviteiten"]
["31","Medewerking met de toezichthoudende autoriteit"]
["32-34","Afd 2 PERSOONSGEGEVENSBEVEILIGING"]
["32","Beveiliging van de verwerking"]
["33","Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit"]
["34","Mededeling van een inbreuk in verband met persoonsgegevens aan de betrokkene"]
["35-36","Afd 3 GEGEVENSBESCHERMINGSEFFECTBEOORDELING EN VOORAFGAANDE RAADPLEGING"]
["35","Gegevensbeschermingseffectbeoordeling"]
["36","Voorafgaande raadpleging"]
["37-39","Afd 4 FUNCTIONARIS VOOR GEGEVENSBESCHERMING"]
["37","Aanwijzing van de functionaris voor gegevensbescherming"]
["38","Positie van de functionaris voor gegevensbescherming"]
["39","Taken van de functionaris voor gegevensbescherming"]
["40-43","Afd 5 GEDRAGSCODES EN CERTIFICERING"]
["44-50","H5 DOORGIFTE VAN PERSOONSGEGEVENS AAN DERDE LANDEN OF INTERNATIONALE ORGANISATIES"]
["51-59","H6 ONAFHANKELIJKE TOEZICHTHOUDENDE AUTORITEITEN"]
["60-76","H7 SAMENWERKING EN COHERENTIE"]
["77-84","H8 BEROEP, AANSPRAKELIJKHEID EN SANCTIES "]
["85-91","H9 BEPALINGEN IN VERBAND MET SPECIFIEKE SITUATIES OP HET GEBIED VAN GEGEVENSVERWERKING"]
["92-93","H10 GEDELEGEERDE HANDELINGEN EN UITVOERINGSHANDELINGEN "]
["94-99","H11 SLOTBEPALINGEN"]

{"sheet":"Referentie data user","index":9,"n_rows":30,"n_cols":2,"rows_kept":30,"cut":false,"hidden":false,"merged":[]}
["STATUS","User Radar"]
["Identified","Strategic"]
["Open","Management"]
["In Progress","Operations"]
["On Hold","ICT"]
["Closed (archived)","External sources"]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null," "]

{"sheet":"Referentie data","index":10,"n_rows":38,"n_cols":6,"rows_kept":38,"cut":false,"hidden":false,"merged":[]}
["STATUS (zie ref data user)","R user (zie ref data user)","Domain","Requirement","ISO Groep / Beleidslijn / contrôle","Domain details"]
[" "," ","Data subject","Security & privacy (Non Functional requirements) ","05 Informatieveiligheidsbeleid","Administrator workstations"]
[" "," ","Processor","Security (Non Functional requirements) ","06 Organisatie van informatieveiligheid","Archivering"]
[" "," ","Controller","Confidentiality","07 Personeelsgerelateerde aspecten ","Backup management"]
[" "," ","The processing (systems and related processes)  ","Integrity","08 Beheer van middelen","Building"]
[" "," ","Data transfer (third party & international)","Availability","09 Logische toegangsbeveiliging","Cloud service"]
[null,null,"De GDPR (continue) governance (Law, guidelines, rules)","Authenticity","11 Fysieke toegangsbeveiliging","Employees"]
[null,null,null,"Reliability","12 Operationele aspecten","External world contact systems (website, ..) "]
[null,null,null,"Resilience","13 Communicatieveiligheid","General"]
[null,null,null,"Privacy (Non Functional requirements)","14 Verwerven, ontwikkelen en onderhouden van informatiesystemen","IT organization"]
[null,null,null,"Data subject control","15 Uitbesteding aan derden","IT room"]
[null,null,null,"Lawfulness processing","16 Incidentenbeheer","IT systeem (SW, HW, Infra)"]
[null,null," ","Fairness processing","17 Continuïteitsbeheer","Mailing system "]
[null,null," ","Transparency","18 Naleving","Network and Telecom"]
[null,null," ","Purpose limitation",null,"Server management"]
[null,null,null,"Data minimization",null,"Service office"]
[null,null,null,"Accuracy",null,"Application software"]
[null,null,null,"Storage limitation",null,"Hardware"]
[null,null,null,"Data subject rights (Functional requirements) ",null,"System administrator"]
[null,null,null,"Give and withdraw consent ",null,"Third party"]
[null,null,null,"Information",null,"User workstations"]
[null,null,null,"Notification",null,"Users "]
[null,null," ","Access by the data subject of the data ",null,"Paper storage (documents)"]
[null,null," ","Rectification ",null,"DP design default - conceptual level"]
[null,null," ","Erasure",null,"DP design default - develop - Logical & physical level"]
[null,null,null,"Restriction of processing ",null,"DP design default - real life system"]
[null,null,null,"Portability",null,"User business processen"]
[null,null,null,"Object"]
[null,null,null,"not to be subject to automated individual decision-making"]
[null,null,null,"Data breach uses-case "]
[null,null,null,"Data protection by default"]
[null,null,null,"GDPR products"]
[null,null,null,"Contract"]
[null,null,null,"Record"]
[null,null,null,"Contract"]
[null,null,null,"DPIA"]
[null,null,null,"International transfer"]
[null,null,null,"Accountability"]

{"sheet":"Referentie data 1","index":11,"n_rows":199,"n_cols":13,"rows_kept":199,"cut":false,"hidden":false,"merged":[]}
["Type verwerking  (ref. WP 248 EEC en CBPL)","Type drager in context AVG (*)","Classificatieniveau  (minimale normen)","AVG-gegevenscategorie ","categorie(ën) betrokkenen (WP 248)","Verwerkingsgrond (Art 6)",null,"Indicatieve lijst categorie(ën) ontvangers ","Land","Aard van de doorgifte naar een  derde land/internationale organisatie (Art 49)","Duiding","De drager van de persoonsgegevens "]
["geen specifiek type --> als geen van onderstaande types","Commen known technology","Publiek (Unclassified)\n","Behoort niet tot een specifieke categorie","Vulnerable natural persons data subject which require protection of personal data (6) (Recital 75)","Toestemming betrokkene ","de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden (art.6.1a) AVG).  Let op, de toestemming dient evenwel te voldoen aan de voorwaarden zoals bepaalt in art.7 AVG","De geregistreerde persoon zelf","Afghanistan","doorgifte op basis van een adequaatsheidbesluit","art.45 AVG","Software (zakelijke toepassing, OS, messaging, DB, enz.)"," "]
["Evaluatie of beoordeling van mensen waaronder profilering en het maken van prognoses (WP 248 EEC)","Innovative technology","Interne gegevens \n","genetische gegevens met het oog op de unieke identificatie van een persoon (Art 9 AVG)","Employee when opposing to the processing performed by employer when linked to HR management (WP 248 EEC)","noodzakelijk voor uitvoering van een overeenkomst","de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen (art.6.1b) AVG)","Persoonlijke relaties van de geregistreerde persoons","Albania","doorgifte op basis van passende waarborgen","art.46 AVG","Papieren documenten/dossiers (afdruk, fotokopie, enz.),"]
["Geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbare wezenlijke gevolgen (WP 248 EEC)","Cloud","Vertrouwelijke bedrijfsgegevens \n","biometrische gegevens met het oog op de unieke identificatie van een persoon (Art 9 AVG)","Children (6,8, ..)","wettelijke verplichting","De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust (art.6.1c) AVG)","professionele raadgevers van de geregistreerde persoon","Algeria","doorgifte op basis van bindende bedrijfsvoorschriften","art.47 AVG","Electronische communicatie kanalen (kabel, draadloos, glasvezel, enz.), "]
["Stelselmatige monitoring (betrokkene volgen, monitoren en controleren) (klank-, beeld- of video-opname) (WP 248 EEC)","Internet of things","Persoonsgegevens\n","gegevens over gezondheid (Art 9 AVG)","the mentally ill (WP 248 EEC)","beschermen van vitale belangen van de betrokkene","de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen (art.6.1d) AVG)","werkgever of zakenrelaties van de geregistreerde persoon","Andorra","doorgifte op basis van een afwijking voor specifieke situaties","art.49.1 AVG","Papieren flow  (mail, workflow, enz.)"]
["Grootschalige gegevensverwerkingen of verwerkingen die gevolgen hebben voor een groot aantal stakeholders   (WP 248 EEC). "," ","Sociale persoonsgegevens  (sociale gegevens van persoonlijke aard)\n","gegevens waaruit ras of etnische afkomst blijkt  (Art 9 AVG)","Asylum seekers  (WP 248 EEC)","taak van algemeen belang of uitoefening van het openbaar gezag","de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen (art.6.1e) AVG)","andere diensten of nevenondernemingen van de verantwoordelijke voor de verwerking","Angola","doorgifte op basis voorwaarde art. 49.2 AVG","art.49.2 AVG","HW en SW geleverd door gebruikers (smartphones, tabletten, internetbrowser sw op thuiscomputer, internet tv, enz.)"]
["Combinatie of koppeling van gegevensverzamelingen die betrokkenen niet redelijkerwijs kunnen verwachten (WP 248 EEC)",null,"Gevoelige persoonsgegevens (Medische persoonsgegevens ; Bijzondere categorieën van persoonsgegevens \n; Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten)\n\n","gegevens waaruit politieke opvattingen blijken (Art 9 AVG)","Elders (WP 248 EEC)","gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde","de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is (art.6.1f) AVG)","Individuen of organisaties in directe relatie met de verantwoordelijke","Anguilla",null,null,"Hardware (computers, communicatie relais, USB drivers, harde schijven, enz. )"]
["Gegevensverwerking die tot gevolg heeft dat betrokkenen een recht niet kunnen uitoefenen, dat zij geen gebruik kunnen maken van een dienst of geen contract kunnen afsluiten (WP 248 EEC)  ",null,"Administratief medische gegevens\n\n \n","gegevens waaruit religieuze of levensbeschouwelijke overtuigingen blijken (Art 9 AVG)","A patient (WP 248 EEC)","Machtiging van het Sectoraal Comité, … andere ",null,"andere privé-ondernemingen","Antigua & Barbuda"]
["Gebruik van nieuwe technologieën of toepassing van technische en organisatorische middelen  (WP 248 EEC)",null,"Geclassificeerde gegevens (wet 11/12/1998) ","gegevens waaruit het lidmaatschap van een vakbond blijkt (Art 9 AVG)","Data subject where an inbalance in the relationship between the position of the data subject and the controler can be identified (WP 248 EEC)",null,null,"overheidsdiensten","Argentina"]
["stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten ",null,"Privé gegevens","gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid (Art 9 AVG)","Data subjects outside European Union",null,null,"justitie, gerecht en politiediensten","Armenia"]
["Overdracht van gegevens over de grenzen buiten de Europese Unie (WP 248 EEC)",null,"Zeer vertrouwelijke bedrijfsgegevens ","verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (artikel 10 AVG)","Niet behorende bij een andere categorie",null,null,"sociale zekerheidsinstanties","Australia"]
["Combineren of samenbrengen van datasets en (her) gebruikt voor (andere) doel (en) dan die waarvoor ze werden verzameld. (WP 248 EEC)",null,null,"data to create or use personal profiles (Recital 70)"," ",null,null,"banken en verzekeringsmaatschappijen","Austria"]
["Behandeling of verwerking voor een hele sector, of een segment daarvan, of voor een gemeenschappelijke horizontale activiteit en gebruik makend van gevoelige gegevens (WP 248 EEC)",null,null,"door het beroepsgeheim beschermde persoonsgegevens (Rectical 70)",null,null,null,"makelaars in persoonsgegevens of direct marketing","Azerbaijan"]
["Verwerking die kan (risico) leiden tot identiteitsdiefstal of fraude en reputatie schade (CBPL);",null,null,"location data  (WP 248 EEC)",null,null,null,"andere (specifiëren)","Bahamas"]
["Elektronische communicatiegegevens (WP 248 EEC)",null,null,"financial data  (WP 248 EEC)",null,null,null,null,"Bahrain"]
[null,null,null,"Data for the payroll administration",null,null,null,null,"Bangladesh"]
[null,null,null,"Administration data of staff employed ",null,null,null,null,"Barbados"]
[null,null,null,"Data relating exclusively to the accounting ",null,null,null,null,"Belarus"]
[null,null,null,"Registration data of visitors",null,null,null,null,"Belgium"]
[null,null,null,"electronic communication data  (WP 248)",null,null,null,null,"Belize"]
[null,null,null,"Gegevens die over het algemeen beschouwd kunnen worden als een verhoging van het mogelijke risico met betrekking tot de rechten en vrijheden van personen ",null,null,null,null,"Benin"]
[null,null,null," ",null,null,null,null,"Bermuda"]
[null,null,null," ",null,null,null,null,"Bhutan"]
[null,null,null," ",null,null,null,null,"Bolivia"]
[null,null,null," ",null,null,null,null,"Bosnia & Herzegovina"]
[null,null,null,null,null,null,null,null,"Botswana"]
[null,null,null,null,null,null,null,null,"Brazil"]
[null,null,null,null,null,null,null,null,"Brunei Darussalam"]
[null,null,null,null,null,null,null,null,"Bulgaria"]
[null,null,null,null,null,null,null,null,"Burkina Faso"]
[null,null,null,null,null,null,null,null,"Myanmar/Burma"]
[null,null,null,null,null,null,null,null,"Burundi"]
[null,null,null,null,null,null,null,null,"Cambodia"]
[null,null,null,null,null,null,null,null,"Cameroon"]
[null,null,null,null,null,null,null,null,"Canada"]
[null,null,null,null,null,null,null,null,"Cape Verde"]
[null,null,null,null,null,null,null,null,"Cayman Islands"]
[null,null,null,null,null,null,null,null,"Central African Republic"]
[null,null,null,null,null,null,null,null,"Chad"]
[null,null,null,null,null,null,null,null,"Chile"]
[null,null,null,null,null,null,null,null,"China"]
[null,null,null,null,null,null,null,null,"Colombia"]
[null,null,null,null,null,null,null,null,"Comoros"]
[null,null,null,null,null,null,null,null,"Congo"]
[null,null,null,null,null,null,null,null,"Costa Rica"]
[null,null,null,null,null,null,null,null,"Croatia"]
[null,null,null,null,null,null,null,null,"Cuba"]
[null,null,null,null,null,null,null,null,"Cyprus"]
[null,null,null,null,null,null,null,null,"Czech Republic"]
[null,null,null,null,null,null,null,null,"Democratic Republic of the Congo"]
[null,null,null,null,null,null,null,null,"Denmark"]
[null,null,null,null,null,null,null,null,"Djibouti"]
[null,null,null,null,null,null,null,null,"Dominican Republic"]
[null,null,null,null,null,null,null,null,"Dominica"]
[null,null,null,null,null,null,null,null,"Ecuador"]
[null,null,null,null,null,null,null,null,"Egypt"]
[null,null,null,null,null,null,null,null,"El Salvador"]
[null,null,null,null,null,null,null,null,"Equatorial Guinea"]
[null,null,null,null,null,null,null,null,"Eritrea"]
[null,null,null,null,null,null,null,null,"Estonia"]
[null,null,null,null,null,null,null,null,"Ethiopia"]
[null,null,null,null,null,null,null,null,"Fiji"]
[null,null,null,null,null,null,null,null,"Finland"]
[null,null,null,null,null,null,null,null,"France"]
[null,null,null,null,null,null,null,null,"French Guiana"]
[null,null,null,null,null,null,null,null,"Gabon"]
[null,null,null,null,null,null,null,null,"Gambia"]
[null,null,null,null,null,null,null,null,"Georgia"]
[null,null,null,null,null,null,null,null,"Germany"]
[null,null,null,null,null,null,null,null,"Ghana"]
[null,null,null,null,null,null,null,null,"Great Britain"]
[null,null,null,null,null,null,null,null,"Greece"]
[null,null,null,null,null,null,null,null,"Grenada"]
[null,null,null,null,null,null,null,null,"Guadeloupe"]
[null,null,null,null,null,null,null,null,"Guatemala"]
[null,null,null,null,null,null,null,null,"Guinea"]
[null,null,null,null,null,null,null,null,"Guinea-Bissau"]
[null,null,null,null,null,null,null,null,"Guyana"]
[null,null,null,null,null,null,null,null,"Haiti"]
[null,null,null,null,null,null,null,null,"Honduras"]
[null,null,null,null,null,null,null,null,"Hungary"]
[null,null,null,null,null,null,null,null,"Iceland"]
[null,null,null,null,null,null,null,null,"India"]
[null,null,null,null,null,null,null,null,"Indonesia"]
[null,null,null,null,null,null,null,null,"Iran"]
[null,null,null,null,null,null,null,null,"Iraq"]
[null,null,null,null,null,null,null,null,"Israel and the Occupied Territories"]
[null,null,null,null,null,null,null,null,"Italy"]
[null,null,null,null,null,null,null,null,"Ivory Coast (Cote d'Ivoire)"]
[null,null,null,null,null,null,null,null,"Jamaica"]
[null,null,null,null,null,null,null,null,"Japan"]
[null,null,null,null,null,null,null,null,"Jordan"]
[null,null,null,null,null,null,null,null,"Kazakhstan"]
[null,null,null,null,null,null,null,null,"Kenya"]
[null,null,null,null,null,null,null,null,"Kosovo"]
[null,null,null,null,null,null,null,null,"Kuwait"]
[null,null,null,null,null,null,null,null,"Kyrgyz Republic (Kyrgyzstan)"]
[null,null,null,null,null,null,null,null,"Laos"]
[null,null,null,null,null,null,null,null,"Latvia"]
[null,null,null,null,null,null,null,null,"Lebanon"]
[null,null,null,null,null,null,null,null,"Lesotho"]
[null,null,null,null,null,null,null,null,"Liberia"]
[null,null,null,null,null,null,null,null,"Libya"]
[null,null,null,null,null,null,null,null,"Liechtenstein"]
[null,null,null,null,null,null,null,null,"Lithuania"]
[null,null,null,null,null,null,null,null,"Luxembourg"]
[null,null,null,null,null,null,null,null,"Republic of Macedonia"]
[null,null,null,null,null,null,null,null,"Madagascar"]
[null,null,null,null,null,null,null,null,"Malawi"]
[null,null,null,null,null,null,null,null,"Malaysia"]
[null,null,null,null,null,null,null,null,"Maldives"]
[null,null,null,null,null,null,null,null,"Mali"]
[null,null,null,null,null,null,null,null,"Malta"]
[null,null,null,null,null,null,null,null,"Martinique"]
[null,null,null,null,null,null,null,null,"Mauritania"]
[null,null,null,null,null,null,null,null,"Mauritius"]
[null,null,null,null,null,null,null,null,"Mayotte"]
[null,null,null,null,null,null,null,null,"Mexico"]
[null,null,null,null,null,null,null,null,"Moldova, Republic of"]
[null,null,null,null,null,null,null,null,"Monaco"]
[null,null,null,null,null,null,null,null,"Mongolia"]
[null,null,null,null,null,null,null,null,"Montenegro"]
[null,null,null,null,null,null,null,null,"Montserrat"]
[null,null,null,null,null,null,null,null,"Morocco"]
[null,null,null,null,null,null,null,null,"Mozambique"]
[null,null,null,null,null,null,null,null,"Namibia"]
[null,null,null,null,null,null,null,null,"Nepal"]
[null,null,null,null,null,null,null,null,"Netherlands"]
[null,null,null,null,null,null,null,null,"New Zealand"]
[null,null,null,null,null,null,null,null,"Nicaragua"]
[null,null,null,null,null,null,null,null,"Niger"]
[null,null,null,null,null,null,null,null,"Nigeria"]
[null,null,null,null,null,null,null,null,"Korea, Democratic Republic of (North Korea) "]
[null,null,null,null,null,null,null,null,"Norway"]
[null,null,null,null,null,null,null,null,"Oman"]
[null,null,null,null,null,null,null,null,"Pacific Islands"]
[null,null,null,null,null,null,null,null,"Pakistan"]
[null,null,null,null,null,null,null,null,"Panama"]
[null,null,null,null,null,null,null,null,"Papua New Guinea"]
[null,null,null,null,null,null,null,null,"Paraguay"]
[null,null,null,null,null,null,null,null,"Peru"]
[null,null,null,null,null,null,null,null,"Philippines"]
[null,null,null,null,null,null,null,null,"Poland"]
[null,null,null,null,null,null,null,null,"Portugal"]
[null,null,null,null,null,null,null,null,"Puerto Rico"]
[null,null,null,null,null,null,null,null,"Qatar"]
[null,null,null,null,null,null,null,null,"Reunion"]
[null,null,null,null,null,null,null,null,"Romania"]
[null,null,null,null,null,null,null,null,"Russian Federation"]
[null,null,null,null,null,null,null,null,"Rwanda"]
[null,null,null,null,null,null,null,null,"Saint Kitts and Nevis"]
[null,null,null,null,null,null,null,null,"Saint Lucia"]
[null,null,null,null,null,null,null,null,"Saint Vincent's & Grenadines"]
[null,null,null,null,null,null,null,null,"Samoa"]
[null,null,null,null,null,null,null,null,"Sao Tome and Principe"]
[null,null,null,null,null,null,null,null,"Saudi Arabia"]
[null,null,null,null,null,null,null,null,"Senegal"]
[null,null,null,null,null,null,null,null,"Serbia"]
[null,null,null,null,null,null,null,null,"Seychelles"]
[null,null,null,null,null,null,null,null,"Sierra Leone"]
[null,null,null,null,null,null,null,null,"Singapore"]
[null,null,null,null,null,null,null,null,"Slovak Republic (Slovakia)"]
[null,null,null,null,null,null,null,null,"Slovenia"]
[null,null,null,null,null,null,null,null,"Solomon Islands"]
[null,null,null,null,null,null,null,null,"Somalia"]
[null,null,null,null,null,null,null,null,"South Africa"]
[null,null,null,null,null,null,null,null,"Korea, Republic of (South Korea)"]
[null,null,null,null,null,null,null,null,"South Sudan"]
[null,null,null,null,null,null,null,null,"Spain"]
[null,null,null,null,null,null,null,null,"Sri Lanka"]
[null,null,null,null,null,null,null,null,"Sudan"]
[null,null,null,null,null,null,null,null,"Suriname"]
[null,null,null,null,null,null,null,null,"Swaziland"]
[null,null,null,null,null,null,null,null,"Sweden"]
[null,null,null,null,null,null,null,null,"Switzerland"]
[null,null,null,null,null,null,null,null,"Syria"]
[null,null,null,null,null,null,null,null,"Tajikistan"]
[null,null,null,null,null,null,null,null,"Tanzania"]
[null,null,null,null,null,null,null,null,"Thailand"]
[null,null,null,null,null,null,null,null,"Timor Leste"]
[null,null,null,null,null,null,null,null,"Togo"]
[null,null,null,null,null,null,null,null,"Trinidad & Tobago"]
[null,null,null,null,null,null,null,null,"Tunisia"]
[null,null,null,null,null,null,null,null,"Turkey"]
[null,null,null,null,null,null,null,null,"Turkmenistan"]
[null,null,null,null,null,null,null,null,"Turks & Caicos Islands"]
[null,null,null,null,null,null,null,null,"Uganda"]
[null,null,null,null,null,null,null,null,"Ukraine"]
[null,null,null,null,null,null,null,null,"United Arab Emirates"]
[null,null,null,null,null,null,null,null,"United States of America (USA)"]
[null,null,null,null,null,null,null,null,"Uruguay"]
[null,null,null,null,null,null,null,null,"Uzbekistan"]
[null,null,null,null,null,null,null,null,"Venezuela"]
[null,null,null,null,null,null,null,null,"Vietnam"]
[null,null,null,null,null,null,null,null,"Virgin Islands (UK)"]
[null,null,null,null,null,null,null,null,"Virgin Islands (US)"]
[null,null,null,null,null,null,null,null,"Yemen"]
[null,null,null,null,null,null,null,null,"Zambia"]
[null,null,null,null,null,null,null,null,"Zimbabwe"]

{"sheet":"Referentie data 2","index":12,"n_rows":136,"n_cols":5,"rows_kept":136,"cut":false,"hidden":false,"merged":[]}
["Purpose (Goal) of the processing (ref elokket CBPL)",null,"Functionele gegevenscategorie"]
["(General goals)","Comments"," (Identificatiegegevens)","Comments"]
["Administratie van het personeel en de tussenpersonen","De aanwerving en selectie van het personeel en de tussenpersonen (makelaars, zelfstandige vertegenwoordigers,...). De administratie van de salarissen, vergoedingen, commissies en lonen. De toepassing van de sociale wetgeving.","Persoonlijke identificatiegegevens","naam, titel, adres (privé, werk), vroegere adressen, telefoonnummer (privé, werk), identificatiegegevens toegekend door verantwoordelijke."]
["Beheer van het personeel en de tussenpersonen","Evaluatie en opvolging van het personeel en de tussenpersonen. De planning van opleiding en loopbaan.","Identificatiegegevens, andere dan het Rijksregisternummer, uitgegeven door de overheid","identiteitskaartnummer, paspoortnummer, rijbewijsnummer, pensioennummer, nummerplaat, …"]
["Werkplanning","De planning en opvolging van de taken, de werkbelasting en de prestaties.","Elektronische identificatiegegevens","IP-adressen, cookies, verbindingsmomenten,…"]
["Controle op de werkplaats","Controle van de professionele activiteit op de werkplaats via camera of informaticasystemen zoals bv. controle van e-mails, internetgebruik, telefoon,…","Elektronische lokalisatiegegevens","GSM, GPS,…"]
["Klantenbeheer","De administratie van het cliënteel, het beheer van de bestellingen, de leveringen, de facturatie van materiële en immateriële diensten. Het opvolgen van de solvabiliteit. Gepersonaliseerde marketing en reclame. Het registreren van het cliënteel van een handelszaak en de profilering ervan op basis van aankopen.","Biometrische identificatiegegevens","DNA-gegevens, vinger– en stemafdrukken, beeld van het netvlies, herkenning van het gezicht, van de vorm van de vingers of van het hand, dynamischhandtekening, …"]
["Bestrijding van fraude en inbreuken van het cliënteel","Het gaat hier om activiteiten waardoor zulke handelingen kunnen worden voorkomen en opgespoord.","Financiële bijzonderheden"]
["Beheer van de betwistingen","Het beheer van de betwistingen, met inbegrip van de terugbetaling van de te vorderen bedragen.","Financiële identificatiegegevens","identificatie– en bankrekeningnummers, nummers van krediet– of debetkaarten, geheime codes."]
["Leveranciersbeheer","De leveranciersadministratie. Het beheer van de opgegeven bestellingen, de betaling van de leveranciers. De prospectie van mogelijke leveranciers en hun evaluatie.","Financiële middelen","Inkomsten, bezittingen, investeringen, totale inkomsten, beroepsinkomsten, spaargelden, begindatum en einddatum van beleggingen, investeringsinkomsten, lasten op de activa."]
["Verzamelen van giften","De administratie van de schenkers van een vereniging. De prospectie van nieuwe schenkers.","Schulden, uitgaven","totale uitgaven, huurgelden, leningen, hypotheken en andere vormen van krediet."]
["Public relations","Dit omvat het creëren van \"goodwill\" voor de organisatie.","Solvabiliteit","beoordeling van de inkomsten, van het financieel statuut, van de solvabiliteit."]
["Technisch-commerciële inlichtingen","De analyse van concurrenten en eventuele handelspartners.","Leningen, hypotheken, kredieten"," ard van de lening, geleend bedrag, resterend te betalen saldo, aanvangsdatum, duur, rentevoet, overzicht van de betaling, bijzonderheden betreffende de waarborgen."]
["Registratie en administratie van aandeelhouders of vennoten","Het bijhouden van een register van aandeelhouders of vennoten. De administratie van de financiële en andere voordelen die hun toekomen.","Financiële hulp","Uitkeringen, hulp, giften, subsidies."]
["Ledenadministratie","De administratie van leden, vrijwilligers en sympathisanten van een vereniging.","Bijzonderheden betreffende de verzekeringen","aard van de verzekering, bijzonderheden betreffende de gedekte risico’s, verzekerde bedragen, periode gedurende welke de risico’s zijn gedekt, vervaldatum, al dan niet uitgevoerde of ontvangen betalingen, stand van de overeenkomst"]
["Beveiliging","Het verwerken van persoonsgegevens om de veiligheid te waarborgen van personen of goederen. Let op: de bewakingscamera's zijn in principe onderworpen aan de wet van 21 maart 2007 tot regeling van de plaatsing en het gebruik van bewakingscamera’s (de \"camerawet\") en mogen niet via het huidige formulier worden aangegeven. Gelieve dan ook het aangepaste thematische formulier te gebruiken. Meer informatie hieromtrent is te vinden op www.privacycommission.be > In praktijk > Bewakingscamera's.","Bijzonderheden betreffende het pensioen","datum waarop men deel gaat uitmaken van het pensioensysteem, aard van het systeem, datum waarop men geen deel meer uitmaakt van het systeem, ontvangen en uitgevoerde betalingen, opties, begunstigden."]
["Beheer van geschillen","Het beheren van eigen geschillen door natuurlijke personen of privaatrechtelijke of publiekrechtelijke rechtspersonen","Financiële transacties","bedragen die de persoon die in het bestand is opgenomen, moet betalen en heeft betaald, toegekend krediet, wisselborgstelling, betalingswijzen, overzicht van de betalingen, deposito’s en andere waarborgen."]
["Bescherming van de maatschappij, eigen sector of organisatie","Verwerken van gegevens betreffende personen die een specifiek risico vertonen zoals bvb. hooligans,.....","Compensatie","bijzonderheden betreffende de geëiste compensaties, betaalde bedragen of andere vormen van compensatie."]
[" DOELEN VAN DE OVERHEDEN"," ","B11","Beroepsactiviteiten van de persoon die in het bestand is opgenomen: aard van de activiteit, aard van de goederen of diensten die door de persoon die in het bestand is opgenomen worden gebruikt of geleverd, zakenrelaties."]
["Belastingen","Het heffen van belastingen en de activiteiten die daarmee verband houden : het registreren van belastingplichtigen, het berekenen, innen en opvolgen van de belastingen.","Overeenkomsten en schikkingen"," bijzonderheden betreffende de schikkingen of handelsovereenkomsten, overeenkomsten betreffende de vertegenwoordiging of juridische overeenkomsten, bijzonderheden betreffende de agenten."]
["Subsidies","Het verlenen van subsidies en de activiteiten die daarmee verband houden: het onderzoek van de gerechtigden, het berekenen, uitbetalen en opvolgen van de subsidies.","Vergunningen","In het bezit zijnde vergunningen."]
["Vergunningen","Het verlenen van vergunningen en de activiteiten die daarmee verband houden : het onderzoek van de gerechtigden, het opvolgen van de voorwaarden.","Persoonlijke kenmerken"]
["Verwerkingen verricht door de gemeenten","Anderen verwerkingen dan deze vrijgesteld bij art. 60 KB.","Persoonlijke bijzonderheden","leeftijd, geslacht, geboortedatum, geboorteplaats, burgerlijke staat, nationaliteit."]
["Bevolkingsadministratie (vrijstelling van aangifte)","Voorwaarden: Verwerkingen verricht door de gemeenten overeenkomstig de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, overeenkomstig de kieswetgeving en overeenkomstig de wetsbepalingen inzake de registers van de burgerlijke stand.\n(zie art. 60 KB)","Militaire situatie","militair statuut, militair overzicht, militaire onderscheidingen."]
["Verkiezingen","Het bijhouden van de kiezerslijsten en het organiseren van verkiezingen.","Immigrantenstatuut","bijzonderheden betreffende het visum, arbeidsvergunning, verblijfs– of verplaatsingsbeperkingen, bijzondere voorwaarden betreffende het verblijfsrecht."]
["Vreemdelingenadministratie","Het houden van een vreemdelingenregister en het opvolgen van verblijfsvergunningen.","Fysieke gegevens"]
["Kadaster","Het aanleggen en bijwerken van een register van eigendommen, het heffen van belastingen op eigendommen en het afleveren van attesten dienaangaande.","Fysieke beschrijving"]
["Administratieve overheid","Het beheer van de briefwisseling tussen de overheidsdienst en de personen die zich spontaan tot die dienst hebben gewend. Het beheer van gegevens van personen met wie de overheidsdienst geen winstgevende betrekkingen onderhoudt.","Leefgewoonten"]
["Administratieve overheid (vrijstelling van aangifte)","Voorwaarden: Verwerkingen van persoonsgegevens door administratieve overheden in het kader van een specifieke door of krachtens de wet uitgevaardigde regelgevingen. De raadpleging, het gebruik en de verkrijging van de verwerkte gegevens dient geregeld te worden door bovenvermelde regelgeving. (zie art. 61 KB)","Gewoonten","tabaksverbruik, alcoholverbruik."]
["  JUSTITIE EN POLITIE"," ","Levensstijl","bijzonderheden betreffende het verbruik van goederen of diensten, gedrag van het individu of zijn familie."]
["Openbare veiligheid","Het verzamelen en opvolgen van informatie over personen die geacht worden een risico te zijn voor de openbare veiligheid.","Bijzonderheden betreffende de reizen en verplaatsingen","inlichtingen betreffende de vroegere verblijven en verplaatsingen, reisvisa, werkvergunningen."]
["Opdrachten van gerechtelijke politie","Het signaleren en opsporen van personen die verdacht worden van misdrijven.","Sociale contacten","vrienden, vennoten, andere betrekkingen dan die met naaste verwanten."]
["Opdrachten van bestuurlijke politie","Voorkoming van overtredingen, toezicht op het naleven van wetten en reglementen.","Bezittingen","grond, eigendommen of andere bezittingen."]
["Administratie van de werkzaamheden van het gerecht","Het bijhouden van rollen en registers.","In het bezit zijnde openbare mandaten","functies op het niveau van de gemeente, de provincie, het gewest of de gemeenschap of op federaal niveau, deelname aan overheidscomités of werkgroepen of bezinningsgroepen, ..."]
["Strafregister","Het registreren van veroordelingen.","Klachten, incidenten of ongevallen","inlichtingen betreffende een ongeval, incident of klacht waarin de persoon die in het bestand is opgenomen betrokken is, aard van de schade of kwetsuren, betrokken personen, getuigen."]
["Verdediging van cliënten","Het beheren van geschillen en belangen door advocaten of andere juridische raadgevers ten voordele van hun cliënten.","Onderscheidingen","Burgerlijke en geestelijke onderscheidingen, onderscheidingen van het leger."]
[" ONDERWIJS",null,"Mediagebruik","Gebruik van de media en communicatiemiddelen."]
["Leerlingenadministratie","Het aanleggen van een leerlingenbestand, het organiseren van het onderwijs, de examens, het registreren van de uitslagen en de deliberatieresultaten. Het berekenen, factureren en innen van verschuldigde bedragen. Het opvolgen van oud-leerlingen.","Psychische gegevens"]
["Leerlingenadministratie (vrijstelling van aangifte)","Voorwaarden:\n- Doeleinden: beheer van leerlingen of studenten door instellingen van onderwijs\n- Betrokkenen: enkel potentiële, huidige of gewezen leerlingen of studenten van de betrokken instelling\n- Gegevens: geen gegevens verkregen van derden\n- Ontvangers: geen mededeling aan derden, behoudens voor de toepassing van een wettelijke of reglementaire bepaling\n- Bewaarperiode: niet langer dan nuttig\n(zie art. 59 KB)\n","Psychische beschrijvingen","Meningen betreffende de persoonlijkheid of het karakter."]
["Leerlingenbegeleiding","Het begeleiden van leerlingen in hun intellectuele ontwikkeling en bij psychische problemen, alsmede bij hun beroepskeuze.","Samenstelling van het gezin"]
["CULTUUR EN WELZIJN"," ","Huwelijk of huidige vorm van samenleven","naam van de echtgenote of partner, meisjesnaam van de echtgenote of partner, huwelijksdatum, datum van het samenlevingscontract, aantal kinderen, …"]
["Bibliotheekbeheer","Het opnemen in een bestand van leden van een bibliotheek, de opvolging van hun ontleningen.","Maritaal overzicht","bijzonderheden betreffende de vorige huwelijken of verbintenissen, echtscheidingen, scheidingen, namen van de vroegere partners."]
["Cliëntenbegeleiding","Het verlenen van materiële en/of psychische hulp aan mensen in een noodsituatie.","Bijzonderheden betreffende de andere familie– of gezinsleden","kinderen, personen ten laste, andere leden van het gezin, bloedverwanten in zijlijn, ouders en afstammelingen."]
["Arbeidsbemiddeling","De begeleiding van werklozen en hun vorming naar nieuwe tewerkstelling.","Vrijetijdsbesteding en interessen"]
["SOCIALE ZEKERHEID"," ","Vrijetijdsactiviteiten en interessen","hobby’s, sport, andere interessen."]
["Administratie van rechthebbenden","Het innen van bijdragen, het vaststellen en toekennen van rechten binnen de sociale zekerheid, met inbegrip van de sociale bijstand..","Lidmaatschappen"]
["Toepassing van de sociale zekerheid (vrijstelling van aangifte)","Voorwaarden: Verwerkingen van persoonsgegevens door instellingen van sociale zekerheid bedoeld in de artikelen 1 en 2, 1. lid, 2. van de wet van 15 januari 1990 houdende oprichting en organisatie van de Kruispuntbank van de Sociale Zekerheid, op voorwaarde dat deze instellingen, met betrekking tot deze verwerkingen, voldoen aan de bepalingen van voormelde wet en haar uitvoeringsbesluiten. (zie art. 62 KB)","Lidmaatschappen (andere dan professionele, politieke of vakbondsmaatschappen)","lidmaatschappen van liefdadigheids– of vrijwilligersorganisaties, clubs, vennootschappen, verenigingen, organisaties, groeperingen,…"]
["GEZONDHEIDSZORG",null,"Gerechtelijke gegevens betreffende…"]
["Patiëntenzorg","De diagnose en de paramedische behandeling van patiënten, met inbegrip van de evaluatie van de verstrekte en te verstrekken zorgen teneinde de kwaliteit van de aan deze patiënten verleende zorgen te verbeteren.","Gerechtelijke gegevens betreffende verdenkingen","verdenking van inbreuken, samenspanning met gekende misdadigers. Onderzoeken of rechtsvorderingen (burgerlijke of strafrechtelijke) die ondernomen zijn door of tegen de geregistreerde persoon."]
["Patiëntenadministratie","Het opvolgen van verblijf en behandeling van patiënten met het oog op facturatie.","Gerechtelijke gegevens betreffende veroordelingen en straffen","Veroordelingen en straffen."]
["Patiëntenregistratie","Het registreren van medische gegevens en verblijfsgegevens van patiënten voor beheersdoeleinden.","Gerechtelijke gegevens betreffende gerechtelijke maatregelen","voogdijschap, voorlopig bewindvoerder, internering, plaatsing."]
["Registratie van risicogroepen","Het identificeren en opvolgen van personen die een medisch risico dragen.","Gerechtelijke gegevens betreffende administratieve sancties","Administratieve sancties:\n* van louter disciplinaire aard\n* welke kunnen worden opgelegd aan niet-ambtenaren die aan een openbare dienst hun medewerking verlenen (geneesheren, apothekers, paramedici, aannemers van openbare werken);\n* die aan de gebruikers van openbare diensten kunnen worden opgelegd;\n* welke wegens niet-nakoming van wettelijke en verordenings-bepalingen kunnen worden opgelegd\nBv. achterlaten van afval op de openbare weg.."]
["Donorenregistratie","Het aanleggen van bestanden met personen die als donor willen optreden, de promotie daartoe en de uitbating.","Gerechtelijke gegevens betreffende DNA-gegevens ","DNA-gegevens die worden verwerkt in het kader van de wet van 22 maart 1999 betreffende de identificatieprocedure via DNA-analyse in strafzaken."]
["Geneesmiddelenbeheer","Verwerkingen met betrekking tot het voorschrijven en het afleveren van geneesmiddelen.","Consumptiegewoonten"]
["PRIMAIR WETENSCHAPPELIJK ONDERZOEK OF SECUNDAIR WETENSCHAPPELIJK ONDERZOEK WAARVAN HET DOEL VERENIGBAAR IS MET OORSPRONKELIJK DOEL."," ","Huurgegevens","Bijzonderheden betreffende de goederen en diensten die aan de geregistreerde persoon worden geleverd, ontleend of gehuurd."]
["Epidemiologisch onderzoek","Het onderzoek naar de verspreiding van medische risico's, morbiditeit en mortaliteit..","Verhuurgegevens","Bijzonderheden betreffende de goederen en diensten die door de geregistreerde persoon worden geleverd, ontleend of gehuurd"]
["Bio-medisch onderzoek","Het onderzoek naar de oorzaken van medische pathologie en het effect van medische behandelingen. Klinische proeven.","Woningkenmerken"]
["Evaluatie van de zorg","Verzameling en verwerking van alle gegevens met betrekking tot medische en paramedische diagnostische en therapeutische praktijken toegediend aan de patiënten met als doel de zorgkwaliteit kwaliteit van de zorgmethoden te verbeteren.","Woningkenmerken","Adres waar de woning zich bevindt: aard van de woning, eigendom of gehuurd, duur van het verblijf op dit adres, huur, lasten, classificatie van de woning, bijzonderheden betreffende de valorisatie, namen van de personen die in het bezit zijn van sleutels."]
["Wetenschappelijk onderzoek","Elke handeling die ertoe strekt om wetmatigheden, gedragsregels en oorzakelijke verbanden vast te stellen die alle personen op wie zij betrekking hebben, overstijgen. Is gericht op het omschrijven van globale verschijnselen.","Gegevens betreffende…"]
["Marktonderzoek","Studies aangaande het koopgedrag, de voorkeuren en koopintenties van mensen ter bepaling van marktstrategieën.","Gegevens betreffende de lichamelijke gezondheid","Medisch dossier, medisch verslag, diagnose-informatie, behandeling, analyseresultaat, Handicap of gebrek, dieet; andere bijzondere vereisten in verband met de gezondheid bij de behandeling van een reis of een woning."]
["Historisch onderzoek","Verwerking van persoonsgegevens uit private of publieke archieven met het oog op de analyse van een vroegere gebeurtenis of om die analyse mogelijk te maken..","Gegevens betreffende de psychische gezondheid","medisch dossier, medisch verslag, diagnose-informatie, behandelingen, analyseresultaten."]
["Genealogie","De verwerking van persoonsgegevens met als doel het opstellen van een stamboom of geslachtsboom, geslachtslijst of geslachtsregister,...","Gegevens betreffende risicosituaties en risicogedragingen","Risicosituaties en risicogedragingen."]
["Statistisch onderzoek","Elke handeling met het oog op de verzameling en verwerking van persoonsgegevens die noodzakelijk is voor statistische enquêtes of om een statistisch resultaat over te leggen (bijv. algemene informatieverstrekking, hulp bij planning en besluitvorming en het dienen van de wetenschap)..","Genetische gegevens in het kader van bevolkingsonderzoek, erfelijkheidsonderzoek, ...","Genetische gegevens in het kader van bevolkingsonderzoek, erfelijkheidsonderzoek, ..."]
["BANK- EN KREDIETWEZEN, VERZEKERINGEN.",null,"Gegevens met betrekking tot de remediëring ","Gegevens met betrekking tot de gebruikte middelen en procedures voor de medische en paramedische patiëntenaanpak."]
["Rekeningenbeheer","Het beheer van de individuele rekeningen en spaarrekeningen — waaraan al dan niet een krediet is verbonden — van de klanten van een financiële instelling. Deze activiteitenomvatten de betalingstransacties met betrekking tot de rekening.","Opleiding en vorming"]
["Vermogensbeheer","Het gaat hier om het geheel van verrichtingen waarmee een bank haar klant begeleidt bij het beheer van zijn erfgoed.","Academische curriculum","overzicht van de bezochte scholen, instellingen, universiteiten, aard van de gevolgde cursussen, beoogde diploma’s, examenresultaten, overige behaalde diploma’s, beoordeling van de vooruitgang die in de studies worden gemaakt."]
["Corporate finance","Het leveren van diensten in verband met de uitgifte van kapitaal, het verkopen van aandelen, de overnames en fusies.","Financieel overzicht van de studies","inschrijvingsgelden en betaalde kosten, financieringsbronnen, betalingswijzen, overzicht der betalingen."]
["Kredietverlening","Het gaat hier om het geheel van activiteiten die verband houden met de schatting van de door de bank genomen risico's bij de toekenning van een krediet, ongeacht de aard hiervan.","Beroepsbekwaamheid","getuigschriften en beroepsopleidingen, speciale licenties (bestuurder, ...)."]
["Kredietbeheer","Hiermee worden de activiteiten bedoeld die verband houden met de opvolging en terugbetaling van de kredieten, met inbegrip van de betwistingen, de verrichtingen die daarmee verband houden, ongeacht of hierbij een derde betrokken is.","Professionele ervaring","beroepsinteresses, onderzoeksinteresses, academische interesses, specialisatieonderwerpen, onderwijservaring, raadplegingen."]
["Globaal overzicht van het cliënteel","De integratie van alle of van een gedeelte van de verwerkte gegevens in het kader an één van de finaliteiten die specifiek zijn voor de banksector. Dit om tot een beoordeling te komen van de globale rendabiliteit van een klant en hem bankprodukten of diensten voor te stellen aangepast aan zijn noden, en om, op een algemene manier, de bankinstelling te helpen bij het nemen van de nodige beslissingen ten opzichte van haar klant.","Lidmaatschap van/deelname in beroepsorganisaties","bijzonderheden betreffende de betrokken groeperingen, comités of commissies, uitgeoefende functies, bijzondere interesses en deelnameoverzicht."," "]
["Makelaarsdiensten","De bemiddeling tussen cliënten en financiële instellingen voor verzekeringen, kredieten, beursverrichtingen, enz.","Publicaties","boeken, artikels, verslagen, gepubliceerd audiovisueel materiaal."]
["Beheer van persoonsverzekeringen","Het verzekeren voor onzekere voorvallen die de fysieke integriteit of de gezinstoestand van personen aantast. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer.","Beroep en betrekking"]
["Beheer van groepsverzekeringen","De collectieve vorm van persoonsverzekeringen.","Huidige betrekking","werkgever, titel en beschrijving van de functie, graad, datum van aanwerving, werkplaats, specialisatie of type onderneming, arbeidsmodaliteiten en –voorwaarden, vroegere functies en voorafgaande ervaring bij de huidige werkgever."]
["Beheer van verzekeringen tegen brand, ongevallen en allerlei gevaren","Het verzekeren voor schade aan goederen en bezittingen van de cliënt of voor zijn aansprakelijkheid voor schade aan derden. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer.","Aanwerving","datum van aanwerving, methode van aanwerving, bron van de aanwerving, referenties, bijzonderheden betreffende de proefperiode."]
["Arbeidsongevallenverzekeringen","Het verzekeren van werkgevers voor de schade opgelopen door werknemers bij arbeidsongevallen. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer. Preventieonderzoek.","Beëindiging van de betrekking","datum van vertrek, reden van het vertrek, gegeven opzegtermijn, beëindigingsvoorwaarden."]
["Beheer van verzwaarde risico's","De verwerking, over de verschillende verzekeringstakken heen, van gegevens over personen die een verzwaard risico vertonen, om overdreven risico's en fraude te vermijden.","Loopbaan","vorige betrekkingen en werkgevers, periodes zonder betrekking, dienstplicht."]
["(goals specific for trade)",null,"Aanwezigheid en discipline","overzicht van de aanwezigheid, redenen van de afwezigheden, disciplinaire maatregelen."]
["Direct marketing","Prospectie, activiteiten, diensten aangeboden door commerciële firma’s, liefdadigheidsinstellingen of andere verenigingen of stichtingen, o.a. deze van politieke aard, aan bevolkingssegmenten. Het communicatiemiddel dat hiertoe gebruikt wordt, kan post, telefoon of andere rechtstreekse middelen (bijv. e-mail,…) zijn.\nHet heeft geen belang of de geadresseerde reeds klant is of niet.","Bedrijfsgeneeskunde","% invaliditeit ten gevolge van een arbeidsongeval, getuigschrift voor het toedienen van eerste hulp."]
["Handel in commerciële inlichtingen","Verkoop na verwerking van gegevens, gepubliceerd door officiële bronnen (zoals bijv. Belgisch Staatsblad,….), samen met gegevens ingewonnen bij andere instellingen.","Loon","betalingen en afhoudingen, salaris, commissielonen, boni, uitgaven, toelagen, voordelen, leningen, ingehouden belastingen, pensioenafhoudingen, vakbondsbijdrage, betaalwijzen, datum van de laatste salarisverhoging."]
["Other goals","Te omschrijven door de verantwoordelijke zelf.","Activa die het personeelslid bezit","wagen, werktuigen, wisselstukken, naslagwerken, andere voorwerpen die de bediende in bezit heeft."]
["Verkiezingen","Het bijhouden van de kiezerslijsten en het organiseren van verkiezingen.","Organisatie van het werk","huidige verantwoordelijkheden, projecten, gefactureerd uurpercentage, uurregeling, gepresteerde uren."]
["Vreemdelingenadministratie","Het houden van een vreemdelingenregister en het opvolgen van verblijfsvergunningen.","Evaluatie","evaluatie van de prestaties, mogelijkheden."]
["Kadaster","Het aanleggen en bijwerken van een register van eigendommen, het heffen van belastingen op eigendommen en het afleveren van attesten dienaangaande.","Vorming tot de functie","bijzonderheden betreffende de vorming die de functie vereist en de gekregen vorming, en de bekomen kwalificaties en bevoegdheden."]
["Administratieve overheid","Het beheer van de briefwisseling tussen de overheidsdienst en de personen die zich spontaan tot die dienst hebben gewend. Het beheer van gegevens van personen met wie de overheidsdienst geen winstgevende betrekkingen onderhoudt.","Beveiliging","paswoorden, veiligheidscodes en niveaus waarop de machtiging wordt verleend."]
["Administratieve overheid (vrijstelling van aangifte)","Voorwaarden: Verwerkingen van persoonsgegevens door administratieve overheden in het kader van een specifieke door of krachtens de wet uitgevaardigde regelgevingen. De raadpleging, het gebruik en de verkrijging van de verwerkte gegevens dient geregeld te worden door bovenvermelde regelgeving. (zie art. 61 KB)","Gebruik informaticamiddelen","Evaluatie van het gebruik van de informaticamiddelen (internet, e-mail,....)"]
["  JUSTITIE EN POLITIE"," ","Rijksregisternummer "]
["Openbare veiligheid","Het verzamelen en opvolgen van informatie over personen die geacht worden een risico te zijn voor de openbare veiligheid.","Rijksregisternummer ","Rijksregisternummer "]
["Opdrachten van gerechtelijke politie","Het signaleren en opsporen van personen die verdacht worden van misdrijven.","Raciale of etnische gegevens"]
["Opdrachten van bestuurlijke politie","Voorkoming van overtredingen, toezicht op het naleven van wetten en reglementen.","Raciale of etnische gegevens","Raciale of etnische gegevens"]
["Administratie van de werkzaamheden van het gerecht","Het bijhouden van rollen en registers.","Gegevens over het seksuele leven"]
["Strafregister","Het registreren van veroordelingen.","Politieke opvattingen"]
["Verdediging van cliënten","Het beheren van geschillen en belangen door advocaten of andere juridische raadgevers ten voordele van hun cliënten.","Politieke strekking","Politieke overtuigingen, stemvoorkeur."]
[" ONDERWIJS",null,"Politieke carrière","Lidmaatschap van een politieke partij, politieke functies die worden vervuld."]
["Leerlingenadministratie","Het aanleggen van een leerlingenbestand, het organiseren van het onderwijs, de examens, het registreren van de uitslagen en de deliberatieresultaten. Het berekenen, factureren en innen van verschuldigde bedragen. Het opvolgen van oud-leerlingen.","Lidmaatschap belangengroep/militante organisaties","Lidmaatschap van of steun aan belangengroepen of militante organisaties."]
["Leerlingenadministratie (vrijstelling van aangifte)","Voorwaarden:\n- Doeleinden: beheer van leerlingen of studenten door instellingen van onderwijs\n- Betrokkenen: enkel potentiële, huidige of gewezen leerlingen of studenten van de betrokken instelling\n- Gegevens: geen gegevens verkregen van derden\n- Ontvangers: geen mededeling aan derden, behoudens voor de toepassing van een wettelijke of reglementaire bepaling\n- Bewaarperiode: niet langer dan nuttig\n(zie art. 59 KB)\n","Lidmaatschap van een vakvereniging"]
["Leerlingenbegeleiding","Het begeleiden van leerlingen in hun intellectuele ontwikkeling en bij psychische problemen, alsmede bij hun beroepskeuze.","Lidmaatschap van een vakbond ","Lidmaatschap van een vakbond of een gelijkaardige groepering vervulde functies."]
["CULTUUR EN WELZIJN"," ","Filosofische of religieuze overtuigingen"]
["Bibliotheekbeheer","Het opnemen in een bestand van leden van een bibliotheek, de opvolging van hun ontleningen.","Levensbeschouwelijke overtuigingen","Filosofische of religieuze overtuigingen"]
["Cliëntenbegeleiding","Het verlenen van materiële en/of psychische hulp aan mensen in een noodsituatie."," Beeldopnamen"]
["Arbeidsbemiddeling","De begeleiding van werklozen en hun vorming naar nieuwe tewerkstelling.","Afbeeldingen","Cameraopname, fotografische opname, video-opname, digitale foto’s, …"]
["SOCIALE ZEKERHEID"," ","Bewakingsbeelden","Beelden van bewakingscamera's"]
["Administratie van rechthebbenden","Het innen van bijdragen, het vaststellen en toekennen van rechten binnen de sociale zekerheid, met inbegrip van de sociale bijstand..","Geluidsopnamen"]
["Toepassing van de sociale zekerheid (vrijstelling van aangifte)","Voorwaarden: Verwerkingen van persoonsgegevens door instellingen van sociale zekerheid bedoeld in de artikelen 1 en 2, 1. lid, 2. van de wet van 15 januari 1990 houdende oprichting en organisatie van de Kruispuntbank van de Sociale Zekerheid, op voorwaarde dat deze instellingen, met betrekking tot deze verwerkingen, voldoen aan de bepalingen van voormelde wet en haar uitvoeringsbesluiten. (zie art. 62 KB)","Geluidsopnamen","Bandopname, telefoonopname…"]
["GEZONDHEIDSZORG",null,"Andere categorie van gegevens","Andere dan de hierboven vermelde categorieën van persoonsgegevens (specifieer)"]
["Patiëntenzorg","De diagnose en de paramedische behandeling van patiënten, met inbegrip van de evaluatie van de verstrekte en te verstrekken zorgen teneinde de kwaliteit van de aan deze patiënten verleende zorgen te verbeteren."]
["Patiëntenadministratie","Het opvolgen van verblijf en behandeling van patiënten met het oog op facturatie."]
["Patiëntenregistratie","Het registreren van medische gegevens en verblijfsgegevens van patiënten voor beheersdoeleinden."]
["Registratie van risicogroepen","Het identificeren en opvolgen van personen die een medisch risico dragen."]
["Donorenregistratie","Het aanleggen van bestanden met personen die als donor willen optreden, de promotie daartoe en de uitbating."]
["Geneesmiddelenbeheer","Verwerkingen met betrekking tot het voorschrijven en het afleveren van geneesmiddelen."]
["PRIMAIR WETENSCHAPPELIJK ONDERZOEK OF SECUNDAIR WETENSCHAPPELIJK ONDERZOEK WAARVAN HET DOEL VERENIGBAAR IS MET OORSPRONKELIJK DOEL."," "]
["Epidemiologisch onderzoek","Het onderzoek naar de verspreiding van medische risico's, morbiditeit en mortaliteit.."]
["Bio-medisch onderzoek","Het onderzoek naar de oorzaken van medische pathologie en het effect van medische behandelingen. Klinische proeven."]
["Evaluatie van de zorg","Verzameling en verwerking van alle gegevens met betrekking tot medische en paramedische diagnostische en therapeutische praktijken toegediend aan de patiënten met als doel de zorgkwaliteit kwaliteit van de zorgmethoden te verbeteren."]
["Wetenschappelijk onderzoek","Elke handeling die ertoe strekt om wetmatigheden, gedragsregels en oorzakelijke verbanden vast te stellen die alle personen op wie zij betrekking hebben, overstijgen. Is gericht op het omschrijven van globale verschijnselen."]
["Marktonderzoek","Studies aangaande het koopgedrag, de voorkeuren en koopintenties van mensen ter bepaling van marktstrategieën."]
["Historisch onderzoek","Verwerking van persoonsgegevens uit private of publieke archieven met het oog op de analyse van een vroegere gebeurtenis of om die analyse mogelijk te maken.."]
["Genealogie","De verwerking van persoonsgegevens met als doel het opstellen van een stamboom of geslachtsboom, geslachtslijst of geslachtsregister,..."]
["Statistisch onderzoek","Elke handeling met het oog op de verzameling en verwerking van persoonsgegevens die noodzakelijk is voor statistische enquêtes of om een statistisch resultaat over te leggen (bijv. algemene informatieverstrekking, hulp bij planning en besluitvorming en het dienen van de wetenschap).."]
["BANK- EN KREDIETWEZEN, VERZEKERINGEN."]
["Rekeningenbeheer","Het beheer van de individuele rekeningen en spaarrekeningen — waaraan al dan niet een krediet is verbonden — van de klanten van een financiële instelling. Deze activiteitenomvatten de betalingstransacties met betrekking tot de rekening."]
["Vermogensbeheer","Het gaat hier om het geheel van verrichtingen waarmee een bank haar klant begeleidt bij het beheer van zijn erfgoed."]
["Corporate finance","Het leveren van diensten in verband met de uitgifte van kapitaal, het verkopen van aandelen, de overnames en fusies."]
["Kredietverlening","Het gaat hier om het geheel van activiteiten die verband houden met de schatting van de door de bank genomen risico's bij de toekenning van een krediet, ongeacht de aard hiervan."]
["Kredietbeheer","Hiermee worden de activiteiten bedoeld die verband houden met de opvolging en terugbetaling van de kredieten, met inbegrip van de betwistingen, de verrichtingen die daarmee verband houden, ongeacht of hierbij een derde betrokken is."]
["Globaal overzicht van het cliënteel","De integratie van alle of van een gedeelte van de verwerkte gegevens in het kader an één van de finaliteiten die specifiek zijn voor de banksector. Dit om tot een beoordeling te komen van de globale rendabiliteit van een klant en hem bankprodukten of diensten voor te stellen aangepast aan zijn noden, en om, op een algemene manier, de bankinstelling te helpen bij het nemen van de nodige beslissingen ten opzichte van haar klant."]
["Makelaarsdiensten","De bemiddeling tussen cliënten en financiële instellingen voor verzekeringen, kredieten, beursverrichtingen, enz."]
["Beheer van persoonsverzekeringen","Het verzekeren voor onzekere voorvallen die de fysieke integriteit of de gezinstoestand van personen aantast. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer."]
["Beheer van groepsverzekeringen","De collectieve vorm van persoonsverzekeringen."]
["Beheer van verzekeringen tegen brand, ongevallen en allerlei gevaren","Het verzekeren voor schade aan goederen en bezittingen van de cliënt of voor zijn aansprakelijkheid voor schade aan derden. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer."]
["Arbeidsongevallenverzekeringen","Het verzekeren van werkgevers voor de schade opgelopen door werknemers bij arbeidsongevallen. Risico-analyse, beheer van polissen, premies en schadevergoedingen. Herverzekering en geschillenbeheer. Preventieonderzoek."]
["Beheer van verzwaarde risico's","De verwerking, over de verschillende verzekeringstakken heen, van gegevens over personen die een verzwaard risico vertonen, om overdreven risico's en fraude te vermijden."]
["(goals specific for trade)"]
["Direct marketing","Prospectie, activiteiten, diensten aangeboden door commerciële firma’s, liefdadigheidsinstellingen of andere verenigingen of stichtingen, o.a. deze van politieke aard, aan bevolkingssegmenten. Het communicatiemiddel dat hiertoe gebruikt wordt, kan post, telefoon of andere rechtstreekse middelen (bijv. e-mail,…) zijn.\nHet heeft geen belang of de geadresseerde reeds klant is of niet."]
["Handel in commerciële inlichtingen","Verkoop na verwerking van gegevens, gepubliceerd door officiële bronnen (zoals bijv. Belgisch Staatsblad,….), samen met gegevens ingewonnen bij andere instellingen."]
["Other goals","Te omschrijven door de verantwoordelijke zelf."]

{"sheet":"Referentie data 3","index":13,"n_rows":55,"n_cols":6,"rows_kept":55,"cut":false,"hidden":false,"merged":[]}
["Type of treatment","Comments","category of tratement","Comments","Treatement","Objectives / comments "]
["Directive. ","(Richtlijn door organisatorische, technische of fysieke acties). Begeleiden van personeel, aannemers en bezoekers over het verwachte gedrag binnen de beveiligingsomgeving","Administr. ","Handmatige / administratieve controles verwijzen meestal naar acties die personen al dan niet kunnen uitvoeren."]
["Deterrent.","(Afschrikken door organisatorische, technische of fysieke acties). Ontwerp zo dat de inspanning om de besturing te omzeilen of te compromitteren groter is dan de waarde die wordt waargenomen bij het breken ervan; ontmoedigt overtredingen.","Technical","Geautomatiseerde / technische handelingen worden beheerd of uitgevoerd door computersystemen.","Verminder het identificerende karakter van persoonsgegevens","Mogelijkheden\n- de gebruiker kan een bron of een dienst gebruiken zonder het risico te lopen zijn / haar identiteit bekend te maken door het het identificerende karakter van persoonsgegevens wegnemen (anonieme gegevens) (gedeeltelijke verwijdering, codering , hashing,  de link en de correlatie tussen gebeurtenissen, personen en gegevens verbreken, de gegevens anonimiseren door ze op een default waarde te zetten ...);\nvb. Tor, the onion router, maakt websurfen anoniem. Je browser maakt niet direct contact met de webserver. De verbinding wordt opgezet via drie tussenliggende Tor nodes. Deze verbinding zijn versleuteld. Zo kan de webserver, je internet service provider, of een willekeurige derde partij (zelfs de Tor nodes) niet meer zien welke websites je bezoekt\n- de gebruiker kan een bron of dienst gebruiken zonder zijn identiteit bekend te maken, maar blijft identificeerbaar (pseudonieme gegevens);\n- de gebruiker kan meerdere keren gebruik maken van bronnen of diensten zonder het risico dat dit gebruik aan elkaar kan worden gekoppeld (niet-correleerbare gegevens);\n- de gebruiker kan een bron of dienst gebruiken zonder risico dat anderen, met name derden, kunnen waarnemen dat de bron of dienst wordt gebruikt (niet-observeerbaarheid).\n\nDe keuze van een methode zal afhangen van de bedreigingen/ risico's. Voor sommige soorten bedreigingen is pseudonimisering geschikter dan anonimisering (bijvoorbeeld als er traceerbaarheid vereist is).Sommige privacyrisico's worden aangepakt door een combinatie van verschillende methoden.\n\n\n\n\n"]
["Preventive.","(preventief door organisatorische, technische of fysieke acties). Om te voorkomen dat een evenement plaatsvindt / zal voltooid worden. \nvoorkomen dat wijzigingen in systemen en procedures per ongeluk de CIA gaan verminderen","Physical","Fysieke controles omvatten sloten, hekken en zelfs geografisch specifieke bedieningselementen.","Archiveren","methoden voor het bewaren en beheren van elektronische archieven die persoonsgegevens bevatten met als bedoeling onder andere de de noodzakelijke duur van de bewaring (retentie tijd) te garanderen (opslag, migratie, toegankelijkheid, verwijdering, archiveringsbeleid, bescherming van vertrouwelijkheid, enz.)."]
["Compensating.","(Compenseren door organisatorische, technische of fysieke acties). Zal ingeschakeld worden wanneer de bestaande besturingselementen niet voldoende voldoen aan de vereisten die worden beschreven in het beveiligingsbeleid",null,null,"Encryptie","(Versleutelen) persoonsgegevens onbegrijpelijk maken voor onbevoegden wanneer ze bijvoorbeeld toegang hebben tot de gegevens (symmetrische of asymmetrische codering, gebruik van krachtige openbare algoritmen, certificaat van authenticatie, enz.) of beschikken (bij herstellen, hergebruik, transfer) over de hardware waar de gegevens op staan (werkstation, server, verwisselbare media, etc.) of bij serverdiefstal, onwettige fysieke toegang tot het werkstation of de server en directe toegang tot servergegevens door een admin beheerder of bij onderschepping van elektronische berichten (mailsysteem of dataflux) (vb. IPSEC, TLS, SSH (VPN)).\n\nZie ook beleidslijn 'Vercijferen' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["Detective. ","detective door organisatorische, technische of fysieke acties).: kennisgeving aan geschikt personeel (als de afschrikkende en preventieve controles niet hebben gewerkt op een aanval)",null,null,"Scheiden van de persoonsgegevens en van de verwerking van persoonsgegevens","om de mogelijkheid te verkleinen om persoonlijke gegevens met elkaar te correleren of om een inbreuk te voorkomen op alle gegevens tegelijkertijd ((bedrijfswijd) Conceptueel informatiemodel (met afhankelijkheidsrelaties) als basis voor de groepering, logische informatiemodel, fysisch modellen, … enz.)."]
["Corrective.  ","correctief door organisatorische, technische of fysieke acties). : maatregelen om effect terug te draaien als er iets is gebeurd. ",null,null,"Fysieke toegangscontrole verbeteren","onbevoegden geen fysiek toegang geven tot persoonlijke gegevens (verschillende veiligheidszones in het gebouw, lijst van geautoriseerde personen, authenticatie van werknemers en bezoekers, traceer toegang, waarschuwing in geval van inbraak, enz.).\nZie ook beleidslijn 'Fysieke toegangsbeveiliging'  (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
["Recovery.","herstel door organisatorische, technische of fysieke acties).. Zodra de veiligheidsgerelateerde gebeurtenis voorbij is, is het noodzakelijk om het systeem terug te brengen naar 'normale operaties'",null,null,"Integriteitscontrole op de gegevens implementeren","gewaarschuwd worden als er een ongewenste wijziging of verdwijning van persoonlijke gegevens is (hashfunctie (genereren van een vingerafdruk (hash) van de gegevens vb. SHA-256), authenticatiecode aan een bericht toekennen (MAC), elektronische handtekening (om veranderingen van gegevens door andere dan de ondertekenaar te voorkomen), voorkoming van SQL-injectie, enz.)."]
[null,null,null,null,"Logische toegangscontrole tot de persoonsgegevens implementeren","onbevoegden geen elektronisch toegang geven tot de persoonsgegevens (beheer van gebruikersprofielen, authenticatiemechanisme (eIDAS, electronisch certificaat (éénmalig gebruik), 2 factor authenticatie, ..),  wachtwoordbeleid voor gewone gebruikers of administrateurs, enz.).\nGeef personen alleen toegang tot persoonsgegevens die ze strikt gesproken nodig hebben (‘need to know’)"]
[null,null,null,null,"(fysieke) oorzaken wegwerken die onbeschikbaarheid kunnen veroorzaken","voorkomen van menselijk of niet menselijk oorzaken die het risico op de beschikbaarheid van persoonsgegevens kunnen versterken (voor de HW/SW gevaarlijke producten in de buurt van de gegevens voorkomen (ontvlambare stoffen , water, ...) , gevaarlijke geografische gebieden waar de gegevens worden opgeslagen (luchthavens, chemische bedrijven ..), gegevensoverdracht buiten de EU, enz.)."]
[null,null,null,null,"middelen om de rechten van de betrokkene te garanderen","recht om vergeten te worden, recht op transfer van data,  recht op verbetering, recht op informatie, recht op bezwaar, ... : \n- maak een gemakkelijk toegankelijk formulier met keuzes (aanvinken), specificeer het adres waarnaar de vraag moet worden verzonden\n- documenteer de datum van de aanvraag (dit als bewijsstuk van de wettelijke doorlooptijd)\n- verzeker je van de identiteit van de aanvrager bij de start van het proces : controleren of verzoeken om uitoefening van het recht (op rectificatie) per post worden ondertekend en vergezeld gaan van een fotokopie van een identiteitsbewijs (dat niet bewaard mag worden tenzij het nodig is om bewijsmateriaal te bewaren in het kader van de aanvraag); elektronisch (gebruikmakend van een gecodeerd kanaal als de verzending via internet gebeurt) gaat vergezeld van een gescand identiteitsbewijs (dat niet bewaard mag worden, tenzij het nodig is om bewijsmateriaal te bewaren en versleuteld),  verifieer de identiteit van de aanvragers die ter plaatse komen en de personen die zij mogen machtigen of de erfgenamen van een overledene, etc"]
[null,null,null,null,"transparantie en rechtmatige verwerking verzekeren","Aandachtspunten :\n- controleer de inhoud van de communicatie (privacy statement) met een checklijst (op basis van art 12,13 en 14 AVG regelgeving)\n- de informatie is in een taal uitgedrukt die begrijpelijk is vanuit het oogpunt van een persoon die niet is opgeleid in computertechnologie of internet.\n- gebruik eventueel iconen om de privacy policies samen te vatten \n- zoek alternatieve oplossingen voor het geval dat de gekozen oplossing niet langer operationeel is\n- plaats de informatie op een plaats en op een moment (tijdens de verschillende contacten met de betrokkene) waarbij je zeker bent dat de verschillende betrokkene ze hebben gezien "]
[null,null,null,null,"De duurtijd van het gebruik van de gegevens beperken","de gegevens niet langer bewaren dan nodig voor het doel van de verwerking\nEnkele voorbeelden : \n- de verwerking (inclusief de logs) toont de datum weer waarop de gegevens moeten worden verwijderd.\n- een tussentijdse termijn instellen om de gegevens na deze periode alleen door een beperkte lijst van personen te laten verwerken\n- een geautomatiseerde functie die de gegevens wist/onbruikbaar maakt waarvan de retentietijd bereikt is, inclusief de back-ups, de functionele logs en het gebruik door ICT systemen (technische logs). In het geval van handmatige wissen, voorzie mogelijks een  batch toepassing.\n- anonimiseer de gegevens na de retentietijd of als het een specifiek veld uit een record betreft dat verder nog wel bewaard moet worden, zet dat veld dan op een default waarde. \n- Een efficiënte methode om data op backups te vernietigen is om de data te versleutelen voordat de backup gemaakt wordt. Door bepaalde sleutels met een bepaalde bewaarperiode te associëren kan alle data voor die periode simpelweg vernietigd worden door deze specifieke sleutel te vernietigen."]
[null,null,null,null,"Het recht van bezwaar implementeren","recht op bezwaar met tijdelijke stopzetting verwerking (Art 38) . \n- bestudeer de situatie waarin de verwerking 'bevroren' is en de impact op andere verwerkingen, waar nodig 'noodoplossingen' uitwerken.\n- controleer , waar mogelijk, of een betrokkene dit recht kan uitoefenen en documenteer waarom het eventueel niet kan (uitz. regelgeving) "]
[null,null,null,null,"middelen implementeren voor de instemming voor een verwerking (consent)","Aandachtspunten :\n- uitdrukkelijke toestemming voor registratie; gesegmenteerde toestemming per verwerking; uitdrukkelijke toestemming alvorens gegevens met derden te delen;\n- bewaar de toestemming voor eventuele controle\n- voorzie de mogelijkheid om je uit te schrijven voor een dienst (verwijdering van een account).\n- (mobiele toepassing) waarschuw de gebruiker (pictogram, indicatielampje) wanneer het apparaat \"luistert\" met de microfoon, wanneer de locatie wordt verzameld, enz. en sta hem toe om zich ertegen te verzetten\n- vraag toestemming op een begrijpelijke manier en aangepast aan de doelpersoon (vooral voor kinderen);\n- voorzie een ouderlijke toestemming (controlesysteem voor de ouders) bij kinderen onder de 13 jaar\n- voorzie alternatieve oplossingen wanneer de gekozen oplossing niet langer operationeel is\n- vraag eventueel aan de betrokken persoon na een lange periode van niet-gebruik opnieuw toestemming te geven;\n- zorg ervoor dat de toestemming vrij kan gekozen worden (is er een alternatief (een andere keuze moet mogelijk zijn), is er geen relatie van ondergeschiktheid (bijvoorbeeld tussen werknemer en werkgever) ).\n- (web-form) geef een selectievakjes dat niet standaard is aangevinkt (\"opt-in\" genoemd)."]
[null,null,null,null,"Incident procedure uitwerken","Aandachtspunten :\n- beschijf duidelijk de verantwoordelijkheden en de type incidenten (niet ernstig, ernstig, kritisch)\n- voorzie steeds een controle op eventuele melding bij  de gegevensbeschermingsautoriteit\n- test het plan (bij belangrijke incidenten) minstens één keer in de twee jaar.\n- valideer de inhoud van het plan om het jaar\n\nzie ook beleidslijn 'Incidentenbeheer' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
[null,null,null,null,"beveiliging van maatregelen mobiele toepassingen - apparaten","Aandachtspunten :\n- (mobiel) apparaat : duidelijke instructies en eenvoudige stappen geven om gegevens te wissen bij verkoop van het apparaat of bij de-installatie van een app ; om gegevens op afstand te wissen als het apparaat wordt gestolen.\n- de telefoons moeten automatisch worden vergrendeld na een periode van inactiviteit (1 tot 5 minuten), de geheugenkaart (microSD) waarop de e-mails zijn opgeslagen, moet best gecodeerd zijn, de externe vergrendeling moet worden geactiveerd om de inhoud te kunnen verwijderen in geval van verlies of diefstal, de installatie van nieuwe toepassingen indien mogelijk beperken of geen software installeren op het apparaat, tenzij ze afkomstig zijn van een vertrouwde bron, gebruikers mogen het beveiligingsniveau niet verlagen door de configuratie van de telefoon te wijzigen, ze mogen de mails van onbekende oorsprong niet openen, ze mogen geen gevoelige bestanden opslaan (behalve het lezen van de mails), ze moeten regelmatig het cachegeheugen en cookies wissen, moeten de IT-afdeling onmiddellijk op de hoogte brengen in geval van een incident; voor de servers : isoleer de server van de rest van het netwerk in een specifieke DMZ of VLAN, gebruik een up-to-date anti-virus, anti-spyware en anti-spam, installeer beveiligingsupdates van het besturingssysteem onmiddellijk, authenticeer apparaten door elektronisch certificaat (indien mogelijk) ..\n\nZie ook beleidslijn 'Mobiele toestellen' (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)  \n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n"]
[null,null,null,null,"beveiliging van de netwerk infrastructuur"," de toegang tot openbare (internet) of ongecontroleerde (partner) netwerken, evenals werkstations en servers beschermen tegen code die de beveiliging van persoonlijke gegevens zou kunnen beïnvloeden : \n- antivirus : de gebruiker moet niet in staat zijn de antivirus op zijn station uit te schakelen of de parameters ervan te wijzigen, regelmatig (wekelijks , maandelijks) een volledige analyse van lokale schijven uitvoeren ( dit bijvoorbeeld tijdens daluren of bij beperkte systeembelasting) , voer automatisch updates voor antivirus databases en -engines uit op de servers en werkstations, voorzie procedure voor noodupdates, stockeer de beveiligings acties van de antivirus op een centrale server voor statistische analyse en a posteriori. beheer van de problemen , ...\n- gebruik middelen zoals DMZ zones, firewall, proxy, anti-spyware ,enz.."]
[null,null,null,null,"beveiliging van onderhoud op servers en werkstations","Algemeen :\n- duidelijke beveiligingsregels contractuel vastleggen indien uitgevoerd door externe partijen (met confidentialiteit overeenkomst)\n- noteer alle onderhoudswerkzaamheden in een logboek.\nonderhoud op afstand :\n- gebruik altijd gecodeerde communicatiekanalen, gebruik sterke wachtwoorden of authenticatiesmiddelen, log de toegang en acties\nonderhoud werkstation :\n- voor interventies waarbij op afstand de overname van het werkstation vereist is :  voer de interventie alleen uit nadat u de toestemming van de gebruiker hebt gekregen en vertelt hem op het scherm wanneer overname effectief begint en eindigt."]
[null,null,null,null,"minimale gegevensverwerking voor de persoonsgegevens voorzien","persoonsgegevens dienen toereikend te zijn, ter zake en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (art 5.1.C)\nAandachtspunten :\n:: minimalisering van de gegevens verzameling : \n- rechtvaardig de verzameling van elk gegeven  (selectiecriteria: selecteer alleen dat wat strikt noodzakelijk - whitelist) : definieer het doel van de verwerking,  identificeer vervolgens de gegevens die voor dit doel nodig zijn en motiveer waarom elke gegevenscategorie essentieel is en verwijder ten slotte alle gegevens die niet noodzakelijk zijn voor het doel ; verifieer indien nodig het doel als er gegevens nodig zijn voor iets anders dan het oorspronkelijk beoogde doel.\n- vermijd invoervelden met vrije tekst (bijv. Velden met \"opmerkingen\"), vanwege het risico dat gebruikers informatie invoeren die niet voldoen aan de minimaliseringsprincipes. Daarom geven we de voorkeur aan invoervelden op basis van vervolgkeuzelijsten. Als we de vrije tekstinvoer niet kunnen vermijden, moet gebruikers bewust worden gemaakt van het gebruik van deze velden, van de algemene voorwaarden van de regelgeving.\n- controleer regelmatig of er geen aanvullende gegevens zijn verzameld in vergelijking met wat oorspronkelijk was gepland (systeem test)\n- beperk waar mogelijk het detail waarin persoonsgegevens worden verwerkt : \n-- Groepeer (group) Aggregeer informatie over categorieën personen in plaats van ieder individu. Stel een groepsprofiel op (met de gemiddelde waarde van de gegevens van alle mensen van een bepaalde leeftijd of een bepaald postcode gebied).\n-- Vat samen, generaliseer (summarize) Vat gedetailleerde informatie samen in meer algemene gegevens. Registreer bijvoorbeeld een leeftijdscategorie in plaats van een geboortedatum, of een woonplaats\nin plaats van het precieze adres.\n-- Ruis toevoegen, verstoren (perturb) Gebruik niet de precieze waarde van een gegeven. Gebruik een benadering van de waarde, of pas de waarde aan met een kleine hoeveelheid ruis.\n:: verminder de mogelijkheid om gegevens samen  te voegen (te correleren) : het ICT systeem kan worden gestructureerd in onafhankelijke delen met afzonderlijke toegangscontrole, het systeem kan de toegang tot gegevens beperken volgens het \"need to know\" -principe; het systeem kan gevoelige gegevens scheiden en specifieke toegangscontrole toepassen; man kan gevoelige gegevens coderen om hun vertrouwelijkheid tijdens verzending en opslag te beschermen; de toegang tot tijdelijk verborgen bestanden (cash) moet ook worden beschermd.\n:: let goed op als tijdens de verwerking van gegevens nieuwe gegevens ontstaan: selecteer of sluit ook dan uit welke nieuwe gegevens noodzakelijk zijn (Data mining, deep learning of andere Big Data technieken genereren nieuwe inzichten. Selecteer alleen die inzichten die relevant zijn. Gooi ander gegevens weg, en bewaar die niet onder het motto “baat het niet dan schaadt het niet”: het schaadt soms wel degelijk.)"]
[null,null,null,null,"verzekeren van  de \"juistheid\" van persoonsgegevens","Aandachtspunten :\n- Geef gebruikers controle over de verwerking van hun persoonsgegevens : om persoonsgegevens te corrigeren / te verwijderen .\n- Controleer regelmatig de juistheid van de persoonlijke gegevens van de gebruiker (via een authentieke bron).\n- Nodig de gebruiker uit om zijn gegevens regelmatig te controleren en, indien nodig, bij te werken.\n- Zorg voor de traceerbaarheid van elke wijziging van de gegevens."]
[null,null,null,null,"Samenwerkingscontract met verwerkers uitwerken","Aandachtspunt :\n- voorzie een controle systeem (toezicht) op de maatregelen die ze nemen op het gebied van de veiligheid (zie vragenlijst minimale normen voor leveranciers - https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen) \n- contract dient de gegevens te bevatten zoals aangegeven in Art 28 van de AVG ( duur en reikwijdte van uitbesteding, doel van onderaanneming,  voorafgaande toestemming in geval van een beroep op een andere onderaannemer; verstrekking van documentatie waaruit blijkt dat wordt voldaan aan de AVG; onmiddellijke kennisgeving van een datalek, ..)\n- cloudserviceproviders specificeren vaak de locaties van gegevensopslag, maar geven zelden de geografische gebieden aan waar hun beheerders toegang tot hun platform hebben; dit punt moet in het contract worden gespecificeerd\nzie ook beleidslijn 'Uitbesteding aan derden'   (https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen)"]
[null,null,null,null,"Back-up implementeren","Aandachtspunten : \n- voorzie zowel back-up voor elektronische als voor niet-elektronische persoonsgegevens\n- voorzie een incrementele back-up (vb dagelijks) en een volledige back-up (vb wekelijkse).\n- voozie een verificatie van de back-ups .\n- beveilig back-up gegevens op hetzelfde beveiligingsniveau als tijdens de verwerking\n- overdracht en daarmee ook de back-ups van gegevens naar landen buiten de Europese Unie zijn onderhevig aan specifieke regelgeving"]
[null,null,null,null,"opzetten van een veilighiedsmonitoring systeem","doel : in staat zijn om incidenten met persoonsgegevens vroegtijdig op te sporen en bruikbare informatie te hebben om het incident te onderzoeken of een bewijs te leveren in de onderzoeken.\nAandachtspunten :\n- een logging-architectuur om beveiligings events bij te houden en wanneer ze zich hebben voorgedaan : timestamping van de logging  met behulp van Coordinated Universal Time (UTC) als referentie, met behulp van een betrouwbare tijdsbron waarop apparaten zullen worden gesynchroniseerd, zoals een Network Time Protocol (NTP) -server of een radiosynchronisatie, lokaal centraliseren (groepeer alle logboeken op een relatief geïsoleerde sever met een speciaal consult werkstation), voorzie voldoende capaciteit , een archief- en back-upsysteem , bescherm de loggingapparatuur en logs tegen manipulatie en ongeautoriseerde toegang, enz.\n- keuze van de gebeurtenissen die je wilt loggen : de acties op een werkstations waar er een hoog risico is (verbindingen met het systeem , wijziging van beveiligingsparameters, privileges, gebruikersaccounts en groepen, ..) ,  de logs van de post- en elektronische communicatie in het geval van het opzetten van een openbare internettoegang ( informatie ter identificatie van de gebruiker en de beoogde ontvanger van de communicatie), (de datum, het tijdstip en de duur van een gesprek) , ...\n- Implementeer een filterbeleid dat directe communicatie tussen intern en de buitenkant verbiedt (alleen verbindingen toestaan via de firewall) en alleen expliciete geautoriseerde flows toestaat (blokkeer, door de firewall, elke verbinding die niet toegelaten of noodzakelijk is).\n- voor een netwerk component : Logs van de activiteit op elke poort van een switch of router; exporteer logboeken naar een speciale server met een geïntegreerde syslog-client; controleer de volumetrie en volg de toegangscontrolelijsten (ACL's) voor routers.\n- voor servers : Log zoveel mogelijk informatie over de toegang  van Clients op webservers om configuratiestoringen, SQL-queryinjecties, enz. te identificeren zoals : succesvolle verbindingen, verbindingsmethoden, query's, volumetrics, landverdeling van vragen, enz."]
[null,null,null,null,"Uitwerken van het operationeel beheer van de beveiliging van de ICT systemen","Aanbevelingen :\n- implementeer een CMDB\n- onderzoek regelmatig op kwetsbaarheden die in de software (inclusief firmware) en corrigeer ze zo snel mogelijk.\n- activeer zoveel mogelijk automatische software-update(systemen)\n- Formaliseer hardware- en software-updateprocedures.\n- Verbied het gebruik van productieservers (databaseservers, webserver, mailserver, enz.) voor andere dan de oorspronkelijk geplande doeleinden\n- installeer alleen de strikt noodzakelijke software op de servers, beperk het netwerkverkeer tot de strikt noodzakelijke poorten.\n- Gebruik gegevensopslagapparaten die gebruikmaken van hardware-redundantiemechanismen (zoals RAID) of mechanismen voor het dupliceren van gegevens tussen meerdere servers en / of sites.\n- Controleer of de opslag- en verwerkingscapaciteit voldoende is om de juiste werking te garanderen, zelfs in het geval van piekactiviteit.\n- Controleer of de fysieke hosting voorwaarden (temperatuur, vochtigheid, stroomtoevoer, enz.) geschikt zijn voor het beoogde gebruik van de apparatuur en oinstalleer back-up mechanismen ( batterij, generator, ...)."]
[null,null,null,null,"Uitwerken van beveiliging van de communicatiekanalen (netwerken)","doel : de mogelijkheid verkleinen dat de communicatie kanalen (netwerk, wifi, radiogolven, glasvezel, enz.) worden misbruikt om persoonsgegevens onrechtmatig te verwerken ( documentatie netwerk, firewalls, detectie en inbraakpreventie, SSH-protocol, stream-encryptie, sterke authenticatie, etc.).\nAandachtspunten :\n- draadloze communicatie met de lokale infrastructuur en met de openbare internettoegang volledig scheiden van elkaar \n- gebruik het SFTP protocol voor file transfer "]
[null,null,null,null,"Beveiliging van papieren documenten en flows","Aandachtspunten : \n- voeg in de kop- of voettekst van de documenten die worden gebruikt in de loop van de verwerking de vermelding \"Gevoelige persoonlijke gegevens\", of \"Dit document bevat persoonsgegevens, beschermd door de wet\".\n- voeg \"[Persoonsgegevens]\" toe aan de titel van e-mails die deze decoumenten bevatten voor het geval ze worden afgedrukt\n- voeg in de kop- of voettekst van de toepassing de woorden toe: \"deze toepassing biedt toegang tot persoonlijke gegevens, beschermd door de AVG regelgeving\" ,\n- in de brieven waaraan de samengevoegde gegevens zijn toegevoegd de afzender eraan herinneren dat hij gegevens verwerkt die alleen aan de beoogde ontvangers moeten worden doorgegeven en die aan het einde van de geplande bewaarperiode moeten worden vernietigd\n- gebruik een afsluitbare kast, een kluis, enz. voor de opslag van de documenten\n- gebruik een gecertificeerde versnipperings machien van minimaal klasse 3 van DIN 32757105. \n- noteer op een daartoe bestemd document een logging van de zending (lijst van verzonden documenten, identiteit van de afzender en zijn handtekening, transmissiekanaal, identiteit van de vervoerder, indien van toepassing en de handtekening, datum en tijdstip van verzending) en ontvangst van documenten met gegevens (lijst van ontvangen documenten, identiteit van de ontvanger en zijn handtekening, datum en tijdstip van ontvangst), enz.\n- sensibiliseer de medewerkers\n- stuur documenten in dubbele enveloppen per aangetekend schrijven, bevestig een \"zeer vertrouwelijk\" teken op de enveloppen, ...\n"]
[null,null,null,null,"Beveiliging van de activiteiten uitgevoerd door interne of externe medewerkers","Voorzie een confidentialiteitsverklaring"]
[null,null,null,null,"Beveiliging van een ICT proces ","Controleer de beschrijving met internationale standaarden zoals de ITIL processen"]
[null,null,null,null,"beleidslijn 'Aankopen, ontwerpen, ontwikkelen en onderhouden van informatiesystemen '","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Authenticatiemiddel bepaling voor toepassing '","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Continuïteitsbeheer'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Clean en Clear Desk' ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Cloud'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Naleving'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Data classificatie'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Data veiligheid'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Wissen van informatiedragers'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Gedragscode voor informatiebeheerders'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Personeelsgerelateerde aspecten van informatieveiligheid'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Incidentenbeheer'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Gebruik van het internet om toegang te krijgen tot het netwerk van de KSZ in het kader van de verwerking van persoonsgegevens door de actoren van de sociale sector'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Logbeheer'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Mobiele toestellen'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Email, online communicatiemiddelen en internet gebruik'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Uitbesteding aan derden'   ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Fysieke toegangsbeveiliging'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Toegangsbeheer van portalen'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Verwerking van persoonsgebonden gegevens'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Risico-beoordeling'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Veilig telewerken'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Draadloze netwerken'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"beleidslijn 'Beveiliging Medische Gegevens'  ","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"Minimale Normen vragenlijst leveranciers v2017","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]
[null,null,null,null,"NOTA 'Synthese en Vuistregels Beveiliging Medische Gegevens'","https://www.ksz-bcss.fgov.be/nl/veiligheid-en-privacy/publicaties/minimale-normen"]