Verifiëren geldigheid van een verwerkersovereenkomst

Referentiecomponenten Consentmanagement kunnen optioneel gebruik maken van de referentiecomponent Verwerkersregister. In dit register kan voor een leverancier opgevraagd worden of deze een geldige verwerkersovereenkomst heeft met een onderwijsbestuur.

Indien er geen verwerkersovereenkomst is, dan is het niet wenselijk dat er een gegevensuitwisseling met de leverancier wordt geactiveerd. Door het verifiëren van de geldigheid van een verwerkersovereenkomst kan in een dergelijk geval een applicatiebeheerder die consent aan het verlenen is op dat moment gewaarschuwd worden.

COULD Conceptueel model

In Figuur 1 is het conceptueel model voor het verifiëren van de geldigheid van een verwerkersovereenkomst weergegeven.

In dit voorbeeld maakt een Onderwijsbestuur gebruik van een leverancier met de referentiecomponent verwerkersregister. In dit verwerkersregister zijn alle verwerkersovereenkomsten van het Onderwijsbestuur geregistreerd. Een Bestuurder is in staat om in het verwerkersregister de verwerkersovereenkomsten te ondertekenen of in te trekken.

Leverancier A heeft de keuze gemaakt om van deze faciliteit gebruik te maken. Applicatiebeheerders uit het onderwijsbestuur die hiertoe gemachtigd zijn hebben de mogelijkheid om een gegevensuitwisseling met een andere leverancier te activeren. Ze verlenen consent aan deze leverancier bij in dit geval de Bron of Verzender Leverancier A.

Voordat Leverancier A dit verzoek gaat verwerken wordt er allereerst een controle gedaan op het verwerkersregister. Er wordt geverifieerd of Leverancier B beschikt over een geldige verwerkersovereenkomst met het onderwijsbestuur. Is dit niet het geval dan wordt er een waarschuwing gegeven aan de applicatiebeheerder. De applicatiebeheerder kan op deze manier een afweging maken of de gegevensuitwisseling alsnog geactiveerd wordt of dat er af wordt gezien van de activatie.

Deze waarschuwing is een service naar de applicatiebeheerder om te voorkomen dat er gegevens worden gedeeld met leveranciers die geen geldige verwerkersovereenkomst hebben.

Randvoorwaarden

Om het proces van verifiëren van een verwerkersovereenkomst goed te laten functioneren dienden de volgende randvoorwaarden ingevuld te zijn:

1. Alle verwerkersovereenkomsten zijn door de Onderwijsorganisatie geregistreerd bij één leverancier die de referentiecomponent Verwerkersregister aanbiedt.

   1. Verwerkersovereenkomsten worden in het Verwerkersregister vastgelegd op het niveau van Onderwijsbestuur en Leverancier. De Leverancier is Verwerker van het Verwerkersverantwoordelijke Onderwijsbestuur. De registratie geeft hiermee aan of het Onderwijsbestuur een overeenkomst heeft met een Leverancier.

   2. Indien een Onderwijsorganisatie fuseert of splitst dan is Onderwijsorganisatie verantwoordelijk voor een overgangssituatie van minimaal 30 dagen waarin zowel de verwerkersovereenkomsten vanuit de nieuwe Onderwijsorganisatie en de oude Onderwijsorganisatie als actief zijn geregistreerd in het verwerkersregister.

2. Leveranciers die de referentiecomponent Verwerkersregister aanbieden voldoen aan de van toepassing zijnde functionele, technische en operationele afspraken zoals beschreven in Verifiëren van een verwerkersovereenkomst.

3. Leverancier is met de referentiecomponent Consentmanagement aangesloten op de door de Onderwijsorganisatie gekozen leverancier met de referentiecomponent Verwerkersregister.

4. De Onderwijsorganisatie heeft de gegevensuitwisseling vanuit het Verwerkersregister naar de referentiecomponent Consentmanagement van de Leverancier geactiveerd. Op deze wijze kan:

   1. Leverancier controleren of een andere Leverancier een geldige registratie van een verwerkersovereenkomst heeft met het Onderwijsbestuur.

   2. Leverancier periodiek controleren (bijvoorbeeld maandelijks) of een registratie van een verwerkersovereenkomst voor een andere Leverancier nog actief is.

   3. Leverancier bij het ontbreken van een verwerkersovereenkomst de applicatiebeheerder hierover notificeren.

   4. Leverancier bij het aflopen van een verwerkersovereenkomst de applicatiebeheerder hiervoor notificeren.  

      1. Leverancier stuurt bijvoorbeeld 60 dagen, 30 dagen, 14 dagen en 3 dagen voordat een verwerkersovereenkomst verloopt een melding naar de applicatiebeheerder(s).

COULD Proces: Interactieanalyse verifiëren geldigheid van een verwerkersovereenkomst

In Figuur 2 is het sequentiediagram voor het verifiëren van de geldigheid van een verwerkersovereenkomst weergegeven. Het proces start bij de component Consentmanagement van een leverancier. In dit voorbeeld gaat Leverancier A verifiëren of Leverancier B beschikt over een geldige verwerkersovereenkomst.

Het proces bestaat uit de stappen zoals hieronder toegelicht:

Technisch: APIs

De interactieanalyse maakt gebruik van de DPA API.

Release notes