Cybersecuritywet voor kritieke sectoren. Van kracht oktober 2024.
🏫 Niet rechtstreeks in scope, maar AGODI en cloudproviders mogelijk wel.
AI Act 2024
Artificial Intelligence Act
Risicogebaseerde regulering van AI-systemen.
🏫 AI voor leerlingopvolging of evaluatie = hoog risico. Vraag conformiteitsdocumentatie.
🇺🇸
Verenigde Staten — sectorale aanpak
HIPAA
Health Insurance Portability and Accountability Act
Federale wet voor medische gegevens.
🏫 Relevant bij platformen die CLB-dossiers of gezondheidsdata verwerken.
CCPA
California Consumer Privacy Act
Privacywet voor inwoners van Californië, sterk beïnvloed door de GDPR.
🏫 Grote Amerikaanse platformen voldoen er doorgaans al aan.
EU-principe: De GDPR blijft van toepassing op uw leerlingen en medewerkers, ongeacht welk Amerikaans platform u gebruikt.
🇨🇳
China — lokalisatie en staatscontrole
PIPL 2021
Personal Information Protection Law
Chinees equivalent van de GDPR, met verplichte gegevenslokalisatie.
🏫 Relevant bij samenwerking met Chinese instellingen of platformen.
Interessant: China keek naar de GDPR bij het opstellen van de PIPL. De EU zet zo wereldwijd de standaard.
🤖 AI Act risicoklassencheck
Beschrijf een AI-systeem. De checker bepaalt de risicoklasse en geeft concrete aanbevelingen.
⚖️ ISO 27001 versus GDPR
Een ISO 27001-certificaat betekent niet dat een leverancier GDPR-compliant is.
Alleen ISO 27001
●Fysieke beveiliging
●Bedrijfscontinuïteit
●Niet-persoonlijke info
●Leveranciersbeveiliging
Overlap ✓
●Encryptie
●Toegangsbeheer
●Incidentbeheer
●Risicoanalyse
Alleen GDPR
●Rechtmatige grondslag
●Register verwerkingen
●Rechten betrokkene
●DPO aanstellen
●DPIA uitvoeren
●Privacyverklaring
●Datalekmelding 72u
⚠️ Tip voor aankoopgesprekken:Als een leverancier een ISO 27001-certificaat toont, vraag dan aanvullend een verwerkersovereenkomst (DPA) en bevestiging van het register van verwerkingsactiviteiten.