Veelgestelde vragen

Shinrai heeft een vaste waarnemer die de werkwijze en de sector kent, voor privacy, informatiebeveiliging en AI. Die neemt het werk zonder onderbreking over. Neemt u FG as a Service af, dan heeft uw organisatie dus altijd een FG.

Ja, elke dienst is los af te nemen. Raakt een vraagstuk aan meer dan één domein, dan worden die in samenhang bekeken.

Dat hangt af van de dienst en de omvang van uw organisatie. Doorlopende diensten werken met een abonnement of een vast aantal uren per maand, afgebakende trajecten met een prijs per project. Het kennismakingsgesprek is kosteloos.

Beide. Shinrai werkt door heel Nederland, met de nadruk op Gelderland, Utrecht, Noord-Holland, Zuid-Holland, Zeeland en Noord-Brabant. Veel werk kan op afstand, maar overleg met bestuur en werkgroep vindt, waar dat meerwaarde heeft, op locatie plaats.

CIPP/E (Certified Information Privacy Professional/Europe) is de certificering voor Europees privacyrecht van de IAPP, de internationale beroepsvereniging voor privacyprofessionals.

CTPP (Certified Trained Privacy Professional) van The Privacy Factory richt zich op privacy en technologie: hoe privacy in systemen en processen wordt ingebouwd.

CAICO® (Certified AI Compliance Officer) van CCLTE is een certificering voor AI-compliance, waaronder de AI-verordening.

Register FG betekent dat de FG is ingeschreven in het NRFG, het onafhankelijke kwaliteitsregister voor functionarissen gegevensbescherming.

Samen zorgen ze ervoor dat advies juridisch klopt, technisch uitvoerbaar is en ook AI omvat.

Ja. Shinrai kent de AVG vanuit beide rollen: die van de verwerkingsverantwoordelijke, zoals een schoolbestuur of zorgorganisatie, en die van de verwerker, zoals een leverancier van onderwijssoftware. Leveranciers kunnen onder meer terecht voor advies over verwerkersovereenkomsten, informatiebeveiliging en AI. Een DPIA wordt altijd samen met een verwerkingsverantwoordelijke uitgevoerd, ook als een leverancier het initiatief neemt.

Shinrai is Japans voor vertrouwen. Dat is ook de kern van het werk: organisaties helpen het vertrouwen waar te maken dat leerlingen, kinderen, ouders, patiënten en verzorgers in hen stellen.

Artikel 37 lid 1 AVG noemt drie situaties waarin een FG verplicht is:

• De organisatie is een overheidsinstantie, zoals een gemeente.
• De kernactiviteit bestaat uit het regelmatig en stelselmatig volgen van mensen op grote schaal, zoals leerlingen in een leerlingvolgsysteem of kinderen in een kindvolgsysteem.
• De kernactiviteit bestaat uit het op grote schaal verwerken van bijzondere persoonsgegevens (artikel 9 AVG), zoals gezondheidsgegevens.

Schoolbesturen en kinderopvangorganisaties vallen onder de tweede en derde situatie. Samenwerkingsverbanden en zorgaanbieders vallen onder de derde.

In principe wel, maar alleen als die medewerker geen rol heeft waarin hij of zij zelf met de gegevens werkt of erover beslist. Wie toezicht houdt op het werken met gegevens, moet daar zelf niet bij betrokken zijn. Daardoor vallen niet alleen bestuurders, HR-managers en ICT-managers af, maar bijvoorbeeld ook een intern begeleider of administratief medewerker die dagelijks met leerlinggegevens werkt.

De FG heeft een wettelijke, onafhankelijke toezichtrol. Een privacy officer is uitvoerend en ondersteunt bij het dagelijkse werk, zoals beleid, registers en procedures. Veel organisaties hebben beide nodig.

Dan neemt een vaste waarnemer uit een groep ervaren FG’s en IBP-professionals het over, zodat uw organisatie altijd een FG heeft.

De FG houdt onafhankelijk toezicht en adviseert. De privacy officer voert uit in opdracht van de organisatie, zoals: beleid, procedures, het verwerkingsregister, verwerkersovereenkomsten en DPIA’s. Zo controleert de FG nooit zijn of haar eigen werk.

Vaak wel. De FG houdt toezicht en adviseert, maar voert de maatregelen niet zelf uit. Zonder iemand die dat oppakt, blijven adviezen liggen.

Nee. De FG mag geen taken uitvoeren waarop hij of zij zelf toezicht houdt. Dat zou de onafhankelijkheid aantasten die de wet voorschrijft.

Nee, de rol zelf is niet wettelijk verplicht. Het werk dat een PO doet wel: vrijwel elke organisatie die persoonsgegevens verwerkt, moet onder meer een verwerkingsregister bijhouden en een procedure voor datalekken hebben. Hoe u dat belegt, bepaalt u zelf. Een PO is een manier om ervoor te zorgen dat het ook gebeurt.

Nee. Bij Shinrai is de inzet altijd tijdelijk. Het doel is dat uw organisatie de rol daarna zelf invult, met een interne PO die door Shinrai is opgeleid en praktisch wegwijs is gemaakt.

De aanbieder ontwikkelt een AI-systeem en brengt het op de markt. De gebruiksverantwoordelijke zet het in binnen de eigen organisatie. Beide hebben eigen verplichtingen, maar die van de aanbieder zijn het zwaarst.

Ja. Dat gebeurt als de organisatie een AI-systeem ingrijpend aanpast, of zelf een AI-toepassing ontwikkelt en die onder eigen naam aan anderen beschikbaar stelt.

Ja, al liggen de zwaarste verplichtingen bij de maker van de tool. Uw organisatie is gebruiksverantwoordelijke. U moet onder meer de AI-geletterdheid van medewerkers ondersteunen, verboden toepassingen vermijden en in sommige gevallen vermelden dat inhoud met AI is gemaakt. Hoeveel er verder bij komt, hangt af van waarvoor de tool wordt gebruikt: een tekst laten herschrijven is iets anders dan leerlingen laten beoordelen. Voeren medewerkers persoonsgegevens in, dan geldt daarnaast de AVG.

Nee. Het gaat om toepassingen die meebeslissen over leerlingen, zoals toelating, beoordeling van leerresultaten of niveaubepaling. Een tool die helpt bij het voorbereiden van lessen valt daar in de regel niet onder.

Het Toetsingskader AI is ontwikkeld door SIVON en Kennisnet en vertaalt de AI-verordening naar het funderend onderwijs. Leveranciers bepalen ermee of hun product onder de verordening valt, in welke risicocategorie het valt en welke maatregelen nodig zijn. Schoolbesturen gebruiken het om leveranciers daarop te bevragen. Shinrai helpt zowel leveranciers als schoolbesturen bij het invullen en beoordelen.

Een FRIA is een beoordeling van de gevolgen van een AI-systeem voor de grondrechten van de mensen voor wie het wordt gebruikt, zoals leerlingen of cliënten. Een overheidsorgaan of een organisatie die een publieke dienst verleent, zoals onderwijs of zorg, moet die uitvoeren voordat een hoog-risicosysteem in gebruik gaat. De verplichting ligt bij de gebruiksverantwoordelijke, niet bij de aanbieder. Ze gaat in op hetzelfde moment als de overige eisen voor hoog-risicosystemen.

Niet altijd. Een DPIA gaat over de risico’s voor persoonsgegevens. Bij een hoog-risicosysteem kan daarnaast een FRIA nodig zijn, die breder kijkt, bijvoorbeeld naar gelijke behandeling. Ligt er al een DPIA, dan vult de FRIA die aan. De twee zijn goed in één traject te combineren.

Schoolbesturen en OCW hebben afgesproken dat besturen en samenwerkingsverbanden vanaf 1 januari 2027 weten waar zij staan en een plan hebben, en uiterlijk op 1 januari 2030 op alle normen niveau 3 halen. Voor het privacydeel geldt bovendien dat wie alle privacynormen toepast, aan de AVG voldoet, en die is wettelijk verplicht.

De zelfevaluatie geeft laagdrempelig een eerste beeld, ingevuld door de organisatie zelf. Bij een nulmeting worden alle normen met de verantwoordelijken doorgelopen en getoetst, en ontvangt u een rapport met prioriteiten.

Ja. Heeft Shinrai de implementatie zelf gedaan, dan voert een andere professional van Shinrai de driejaarlijkse onafhankelijke audit uit.

Voor de nulmeting niet, want daarvoor kan een tijdelijke licentie worden gebruikt. Voor een jaarlijkse audit wel, omdat er een vastgelegde eerdere meting nodig is om op voort te bouwen.

Een DPIA is verplicht wanneer een verwerking mogelijk een hoog risico oplevert voor de rechten en vrijheden van de mensen van wie de gegevens zijn. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor dat in ieder geval geldt. Een pre-DPIA geeft per verwerking uitsluitsel of een DPIA nodig is.

Een centrale DPIA beoordeelt een product, voor alle organisaties die het gebruiken. Een lokale DPIA kijkt naar hoe uw eigen organisatie het product inzet: welke gegevens, voor welke groepen en met welke instellingen.

Ja. De DPIA blijft een verantwoordelijkheid van de verwerkingsverantwoordelijke, dus de leverancier betrekt daarbij een organisatie die het product gebruikt.

De FG geeft advies over de DPIA en voert die daarom niet zelf uit. Is Shinrai uw FG, dan voert een andere professional in opdracht van Shinrai de DPIA uit.