Afhankelijk van de aard van de verwerkte persoonsgegevens, het doel van de verwerking en de positie en rol van de betrokkene, kunnen de gegevens ook verwerkt worden in een of meerdere van de volgende locaties:
Hieronder zijn enkele toelichtingen opgenomen bij het register.
Bijzondere persoonsgegevens betreffen informatie over iemands religie, etniciteit, politieke opvattingen, gezondheid, seksuele voorkeur, lidmaatschap van een vakbond en strafrechtelijke gegevens. Een BSN valt niet onder deze categorieën valt en is geen bijzonder persoonsgegeven, maar wél een gevoelig persoonsgegeven waarvoor specifieke wettelijke regels gelden (zoals in de UAVG, artikel 46). Organisaties mogen deze gegevens niet verwerken, tenzij de wet hierop een uitzondering maakt.
Deze categorie betreft openbare persoonsgegevens. Hieronder vallen gegevens die algemeen erkend zijn als niet risicovol voor de betrokken personen bij het voorgenomen gebruik. Voorbeelden zijn brochures en openbare websites. De beveiliging van deze persoonsgegevens hoeft niet verder te gaan dan wat normaal is om een adequate kwaliteit van informatievoorziening te waarborgen. De Algemene Verordening Gegevensbescherming (AVG) stelt geen aanvullende beveiligingseisen voor deze categorie bovenop wat al vereist is voor zorgvuldige bedrijfsprocessen.
De risico's voor een persoon bij het verlies of onbevoegde of onzorgvuldige omgang met persoonsgegevens zijn dusdanig dat standaard beveiligingsmaatregelen volstaan. Bij de verwerking van persoonsgegevens in deze categorie betreft het een beperkte set gegevens die de relatie tussen een persoon en onze organisatie beschrijven.
Typische relaties waarbij persoonsgegevens worden verwerkt binnen deze categorie zijn: school-leerling, verhuurder-huurder, organisatie-deelnemer, werkgever-werknemer.
Het is belangrijk op te merken dat alleen al het betrokken zijn bij onze scholengemeenschap informatie over een individu kan onthullen. Indien deze informatie onder de categorie 'bijzondere gegevens' valt, zoals gegevens over religieuze gemeenschappen, dan classificeren we de beveiliging van deze persoonsgegevens minimaal als risicoklasse II.
Er bestaan extra negatieve gevolgen voor de betrokkene bij verlies, onbehoorlijke of onzorgvuldige verwerking van de persoonsgegevens. De te nemen (informatie)beveiligingsmaatregelen moeten voldoen aan hogere normen dan die gelden voor het basisniveau.
In deze klasse passen bijvoorbeeld verwerkingen van persoonsgegevens die voldoen aan één van de hieronder gegeven beschrijvingen:
Soms moet de verwerking van bijzondere gegevens vanwege een hoge gevoeligheidsgraad in het maatschappelijk verkeer, bijvoorbeeld wanneer het gegevens over levensbedreigende ziektes betreft, ondergebracht worden in risicoklasse III.
Wanneer meerdere sets van bijzondere persoonsgegevens worden verwerkt, kan dit een aanzienlijk risico voor de betrokken personen met zich meebrengen. In dergelijke gevallen is het plaatsen van de gegevensverwerking in risicoklasse III gerechtvaardigd. De beveiligingsmaatregelen voor deze gegevens moeten aan de strengste normen voldoen.
Verwerkingen die tot deze risicoklasse behoren, omvatten onder meer die welke gerelateerd zijn aan opsporingsdiensten met speciale bevoegdheden, of verwerkingen die de belangen van de betrokkenen ernstig kunnen schaden bij onzorgvuldige of onbevoegde handelingen. Ook verwerkingen van gegevens waarop een specifieke geheimhoudingsplicht rust, vallen onder deze klasse. Deze geheimhoudingsplicht kan wettelijk of formeel door de overheid, of door een private organisatie voor haar werknemers zijn vastgesteld.
Voor de beschikbaarheid komt de classificatie laag, midden en hoog respectievelijk overeen met
de mate waarin beheersmaatregelen de beschikbaarheid en ongestoorde voortgang van de ict- dienstverlening waarborgen.
Deelaspecten hiervan zijn:
Voor de integriteit komt de classificatie laag, midden en hoog respectievelijk overeen met
de mate waarin de beheersmaatregelen (organisatie, processen en technologie) de juistheid, volledigheid en tijdigheid van de IT-dienstverlening waarborgen.
Deelaspecten hiervan zijn:
Voor de vertrouwelijkheid komt de classificatie laag, midden en hoog respectievelijk overeen met
de mate waarin uitsluitend geautoriseerde personen, programmatuur of apparatuur gebruik kunnen maken van de gegevens of programmatuur, al dan niet gereguleerd door (geautomatiseerde) procedures en/of technische maatregelen.
Deelaspecten hiervan zijn: