Logboek Dataverwerkingen implementeren

Logboek Dataverwerkingen kan door organisaties worden toegepast om dataverwerkingen op een uniforme manier te registreren. Deze pagina beschrijft de belangrijkste aandachtspunten voor het implementeren van de standaard, zoals randvoorwaarden, de relatie met het Register van verwerkingsactiviteiten en mogelijke technische implementaties.

Wat valt onder de standaard

De standaard Logboek Dataverwerkingen richt zich op het loggen van dataverwerkingen.

Logging van andere activiteiten valt buiten de standaard, zoals:

• beveiligingsincidenten
• technische systeemactiviteiten
• toegangsbeheer

Randvoorwaarden voor implementatie

Voor welke typen gegevens kan de standaard worden gebruikt?

De standaard kan worden toegepast op verschillende typen gegevens, zoals:

• persoonsgegevens
• geografische objecten
• algoritmen

Logging van gebruikersactiviteiten

In Logboek Dataverwerkingen wordt geen identificerende informatie over gebruikers opgeslagen, zoals de ambtenaar die een handeling uitvoert. Hiervoor wordt meestal een auditlog gebruikt. Voor overheidsorganisaties is een auditlog verplicht volgens de Baseline Informatiebeveiliging Overheid (BIO). Het vastleggen van gebruikersinformatie in een auditlog is zelf ook een dataverwerking. Daarom moet deze verwerking als aparte activiteit worden gelogd volgens de standaard Logboek Dataverwerkingen.

Gebruik van SaaS- of cloudapplicaties

Bij gebruik van een SaaS- of cloudapplicatie is het belangrijk onderscheid te maken tussen:

• de verwerkingsverantwoordelijke
• de verwerker

Dit onderscheid bepaalt onder andere welk register van verwerkingsactiviteiten wordt gebruikt bij de implementatie. Meer informatie over deze rollen staat op de website van de Autoriteit Persoonsgegevens.

Register van verwerkingsactiviteiten

Unieke identificatie van verwerkingen

Het register van verwerkingsactiviteiten beschrijft de processen en taken binnen een organisatie waarbij persoonsgegevens worden verwerkt. Voor Logboek Dataverwerkingen is het belangrijk dat elke verwerkingsactiviteit een unieke identificator heeft. Als dat nog niet het geval is, moet aan elke activiteit een unieke identificator worden toegevoegd.

Relatie tussen logging en het register van verwerkingsactiviteiten

Logboek Dataverwerkingen legt een relatie tussen:

• de verwerkingen die in het register zijn beschreven
• de daadwerkelijke activiteiten waarbij gegevens worden verwerkt

Hierdoor wordt zichtbaar welke gegevens zijn gebruikt, binnen welk proces en met welk doel. De standaard gaat ervan uit dat een register beschikbaar is en dat er meerdere detailniveaus kunnen worden toegepast voor logregels.

Technische implementatie

Gebruik van een API voor het register van verwerkingsactiviteiten 

Het is aanbevolen maar niet verplicht, om het register van verwerkingsactiviteiten via een API beschikbaar te maken. Een API maakt het mogelijk om informatie over verwerkingen automatisch te koppelen aan loggegevens. Dit voorkomt dat identificatoren handmatig in systemen moeten worden opgenomen.

Implementatie zonder API

De standaard kan ook worden toegepast wanneer het register van verwerkingsactiviteiten niet via een API beschikbaar is. Wanneer het register bijvoorbeeld in een spreadsheet wordt beheerd, moet elke verwerkingsactiviteit een unieke identificator krijgen. Deze identificator wordt vervolgens opgenomen in de logging. Bij het analyseren van loggegevens moet de aanvullende informatie uit het register dan handmatig worden opgezocht.

Koppeling tussen logging en gebruikersactiviteiten

Om een relatie te leggen tussen een gebruiker en een dataverwerking, kan de auditlog verwijzen naar de trace_id van de betreffende verwerking.

Zo ontstaat een verband tussen:

• de gebruiker die een handeling uitvoert
• de dataverwerking die daarbij plaatsvindt

Gebruik van OpenTelemetry

De standaard sluit aan bij OpenTelemetry, een veelgebruikte standaard voor het verzamelen van observability-data. Het gebruik van OpenTelemetry is niet verplicht. Organisaties kunnen ook een andere oplossing gebruiken, bijvoorbeeld wanneer bestaande logsystemen OpenTelemetry niet ondersteunen. In dat geval kan een beperkte set van OpenTelemetry-interfaces worden geïmplementeerd zodat alsnog aan de standaard wordt voldaan.