Informatieverstrekking derden

Amerikaanse leveranciers & EU US Data Privacy Framework Het verwerken van persoonsgegevens via een leverancier met een (hoofd)kantoor in de VS kan momenteel* op basis van het EU US Data Privacy Framework. Een DTIA is niet nodig als een leverancier (zelf-)gecertificeerd is. Er is dan sprake van een adequaat beschermingsniveau. *Juli 2026 - Dit artikel is geschreven met het uitgangspunt dat het Data Privacy Framework nog adequaat is. De ontwikkelingen in de VS in 2026 maken het relevant om met een andere bril nieuwe overwegingen te maken. Er is een Schrems III in de pen. Voor de doorgifte van persoonsgegevens naar...

Mag onze organisatie gegevens over een student verstrekken aan een verzekeringsmaatschappij? Dat hangt er vanaf. Soms is toestemming nodig.

Toelichting Veel organisaties bewaren een kopie van de VOG's van medewerkers zodat ze tijdens een audit kunnen aantonen dat er is gecontroleerd of een vereiste VOG aan de werknemer is verstrekt. Antwoord Het is niet aan te raden een kopie-VOG te bewaren. De kopie is niet rechtsgeldig en bovendien is de verklaring strikt persoonlijk. Dat is ook de reden waarom de medewerker deze persoonlijk, fysiek krijgt thuisgestuurd (en zelf kan kiezen of het een digitale VOG mag zijn), ook al betaal je als organisatie meestal voor de VOG. Verder past het bewaren van een kopie niet bij het uitgangspunt van...

Wat doe je als de auditor toegang vraagt tot systemen, applicaties of documenten waarin (gevoelige) persoonsgegevens zijn opgeslagen?