1.4.2.2. Minimale maatregelen rond risicoanalyse

 Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Bij verwerking van persoonsgegevens van klasse 2 (contactgegevens) is een risicoafweging gewenst.

Alle maatregelen van Klasse 1 / Klasse 2 +

• Uitvoeren van risicoanalyses conform de Vo risicoanalyse methodiek,

• Uitvoeren van een risicoanalyse minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen) na validatie van de minimale maatregelen voorzien in het ICR.

• Uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is aanbevolen.

• Risico’s moeten behandeld (mitigatie of overdracht), geaccepteerd of vermeden worden.

• Het management moet formeel de beslissingen over de behandeling van risico’s aanvaarden.

• Formele acceptatie van het restrisico door het management.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 +

• Bij ontsluiting buiten de perimeter: uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is verplicht. 

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 + Klasse 4 +

• Overdracht van risico's is niet toegestaan.

 Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Bij verwerking van persoonsgegevens van klasse 2 (contactgegevens) is een risicoafweging gewenst.

Alle maatregelen van Klasse 1 / Klasse 2 +

• Uitvoeren van risicoanalyses conform de Vo risicoanalyse methodiek, 

• Uitvoeren van een risicoanalyse minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen) na validatie van de minimale maatregelen voorzien in het ICR.

• Uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is aanbevolen.

• Risico’s moeten behandeld (mitigatie of overdracht), geaccepteerd of vermeden worden.

• Het management moet formeel de beslissingen over de behandeling van risico’s aanvaarden.

• Formele acceptatie van het restrisico door het management.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 +

• Bij ontsluiting buiten de perimeter: uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is verplicht. 

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 + Klasse 4 +

• Overdracht van risico's is niet toegestaan.

 Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Bij verwerking van persoonsgegevens van klasse 2 (contactgegevens) is een risicoafweging gewenst.

Alle maatregelen van Klasse 1 / Klasse 2 +

• Uitvoeren van risicoanalyses conform de Vo risicoanalyse methodiek,

• Uitvoeren van een risicoanalyse minstens jaarlijks of bij significante wijzigingen in de omgeving (infrastructuur, dienstverlening, dreigingen) na validatie van de minimale maatregelen voorzien in het ICR.

• Uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is aanbevolen.

• Risico’s moeten behandeld (mitigatie of overdracht), geaccepteerd of vermeden worden.

• Het management moet formeel de beslissingen over de behandeling van risico’s aanvaarden.

• Formele acceptatie van het restrisico door het management.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 +

• Bij ontsluiting buiten de perimeter: uitvoeren pentest of vulnerability scan om de kwetsbaarheden in kaart te brengen is verplicht. 

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 + Klasse 4 +

• Overdracht van risico's is niet toegestaan.

IC klasse

Minimale maatregelen

Er zijn geen GDPR specifieke maatregelen voor Klasse 1.

Er zijn geen GDPR specifieke maatregelen voor Klasse 2.

Klasse 3 en Klasse 4 kennen dezelfde maatregelen: 

• Uitvoeren van een DPIA conform GDPR is verplicht in het geval van:

  • Systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, waaronder profilering, waarop besluiten worden gebaseerd die een natuurlijke persoon wezenlijk treffen,

  • Grootschalige verwerking van bijzondere categorieën van persoonsgegevens of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten,

  • Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

• De DPIA moet volgende elementen bevatten:

  • Een gedetailleerde en duidelijke beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden. Het register van verwerkingsactiviteiten kan hier richtinggevend zijn,

  • Een beoordeling van de noodzaak en de evenredigheid van de verwerkingen in functie van de doeleinden,

  • Een beoordeling van de risico's voor de rechten en vrijheden van betrokkenen,

  • De beoogde maatregelen om de risico's aan te pakken.

Er zijn geen GDPR maatregelen voor klasse 5.