SURF Normenkader

SURF Juridisch normenkader cloudservices
Olga Scholcz
Juridisch adviseur
SURFmarket
SURF Normenkader
• Betreft contractuele bepalingen die worden
opgenomen in de overeenkomst met de
leverancier
• Kent een differentiatie in bepalingen afhankelijk
van risico analyse
• Per bepaling is er een toelichting opgenomen
die verwijst naar relevante regelgeving en de
praktijk
SURF Normenkader
Is opgesteld om te komen tot betrouwbare en
veilige cloud dienstverlening en stelt normen op
het gebied van:
•
•
•
•
vertrouwelijkheid
privacy
Eigendom/zeggenschap
Beschikbaarheid/ continuïteit
Belangrijke bepalingen
• Adequate beveiligingsmaatregelen
• Check op deze maatregelen en organisatie van
aanbieder, dmv audit/tpm verklaring
• Omgang met opsporingsverzoeken
• Omgang met hulpleveranciers
• Internationale uitwisselingen met landen met
een afdoende beschermingsniveau
Intenties
• een krachtige onderhandelingspositie te verwerven naar
cloudleveranciers. (Google) Nodig hiervoor: draagvlak
en commitment
• Privacy voor eindgebruiker en vertrouwelijkheid
belangrijke onderwerpen voor SURF. Veel onderzoek en
betrokkenheid bij dit onderwerp. Denk aan Zienswijze
Cbp en rapport over Patriot Act. Normenkader brengt dit
samen.
• Privacy en vertrouwelijkheid ook van belang voor
instellingen. Denk aan reputatieschade, boetes etc.
Implementatie strategie
• Comply or explain
• Commissie met vertegenwoordigers HO en
UMC’s (juristen, privacy-functionaris, security)
• Toetsing overeenkomsten cloudleveranciers en
verdere ontwikkeling
vervolgstappen
• Inrichting juridische commissie
• Uitwerking audit en adequate
beveiligingsmaatregelen
• Transparantie compliance van leveranciers
(SURFdrive, Microsoft)
Verdere uitwerking
•
•
•
•
Risicoklassen
Doorgifte derden landen
Continuïteit
Exit procedure
• + voorlichting over het normenkader (extern)
Hoe tot stand gekomen?
•
•
•
•
•
•
•
eerste opzet van Doorne advocaten
besproken met juristen HO
Uitwerking door externe jurist
Wederom voorgelegd aan juristen HO
Voorgelegd aan inkoopoverleg (HIP en UPI)
Voorgelegd aan leveranciers (IBM, 2AT)
Voorgelegd aan de stuurgroep informatiebeveiliging inclusief
implementatie-strategie (besluit)
• Voorgelegd aan platform bestuur SURF (besluit)
• SURF benadert verenigingen voor commitment
• SURF trekt verzoek terug, zal ledenraad consulteren en instellingen
apart benaderen.
Risicoanalyse
• Risicoklasse 0 (publiek niveau) Openbare persoonsgegevens
(bijv. zakelijk emailadres op internet)
•
Risicoklasse 1 (Basis niveau) Beperkt aantal
persoonsgegevens dat betrekking heeft op de relatie tussen
betrokkene en organisatie (bijv. de inschrijving van een student).
• Risicoklasse II (verhoogd risico) Hieronder vallen bijzondere
persoonsgegevens en bijvoorbeeld gegevens over de economische
situatie van de betrokkene of een dyslexieverklaring.
• Risicoklasse III (Hoog risico) Hieronder vallen bijzondere
persoonsgegevens en bijvoorbeeld rapporten over de
psychologische gesteldheid of medische gegevens in het kader van
onderzoek.