Resultaat AVG impactbepaling hypotheekketen · ketensamenwerking loont op korte en lange termijn...

VERTROUWELIJK- Innopay– 10augustus 2017

AdviesdocumentvoorsamenwerkingindeketenResultaatAVGimpactbepalinghypotheekketen

2 VERTROUWELIJK – ResultaatAVGimpactbepalinghypotheekketen – Adviesdocument– 10augustus2017©InnopayBV.Allerechtenvoorbehouden.

Doelvanditdocumentisominzichttegevenwaarketensamenwerkingloontopkorteenlangetermijn

• Klantgerichtheidenhetcreërenvanmeerklantwaardezijnbelangrijkeaandachtspuntenindefinanciëlesector.DekomstvanonderanderenieuweEuropeseprivacywetgeving(AlgemeneVerordeningGegevensbescherming;AVG)maaktdatdienstverlenersinbijvoorbeelddehypotheekketennudemogelijkheidhebbenomhieraanversneldinvullingtegeven

• DitadviesdocumentbeoogtstakeholdersinzichttegeveninhetbelangvansamenwerkingvoordeketennaaraanleidingvandeAVGmetalsdoel:− deklantervaringdoordegeheleketenverderteverbeteren− AVGrisico’svoordeketenzichtbaartemakenenverantwoordelijkhedentransparanttebeleggen,en− kostengerelateerdaanAVGcompliancedaarwaarmogelijktedelen binnendeketen

• Viervoorstellentotketensamenwerkingzijngedefinieerddiedeketenmoetoppakkenvoor25mei2018omrisico’sopAVGnon-complianceteminimaliseren

• Erzijnookvoorstellenvoorketensamenwerkinggeformuleerddieoplangeretermijnbelangrijkzijnvoorketenendeklant

• Ditadviesdocumentistotstandgekomeninsamenwerkingmeteenbredevertegenwoordiginguitdehypotheekketen


ImpactbepalingAVGheeftinzichtgegevenindebelangrijksteknelpuntenvoordehypotheekketen

VRAGENGEADRESSEERDDOORKETENPARTIJENOmdeknelpuntenvanAVGindehypotheekketentekunnenadresseren,heeftHDNeenaantalworkshopsgeorganiseerdommeergedeeldinzichttegenereren.Indezeworkshopsstondendevolgendevragencentraal:

1. WelkeeisensteltAVGaanpartijen1?2. Watisdeimpactvandezeeisenopdeketenalsgeheel?3. Welkknelpuntenmoetenwanneerwordenopgelostendoor

wie?4. Watisdemeesteffectieveaanpak(individueelofsamen)?5. Watzijndebelangrijkstemijlpalenendeliverables?6. Welkeaanpakwaarborgtgrootstekansopsucces?

1) DeindividueleketenpartijendienenAVGcomplianttezijn.Deketenalsgeheelvormtgeenindividuelepartij

KetenvertegenwoordigingbetrokkeninAVGimpactbepaling

• OpdoenalgemenekennisvandeAVG• InzichtimpactvandeAVGopeigenorganisatie• BeeldvormingimpactvandeAVGopketen• KritischgekekennaarAVGimplementatiesdiebeterindividueelofalsketenkunnenwordenopgepakt• Inessentieiselkeketensamenwerkingeenkans,maareriseenbelangrijkonderscheidinsamenwerkingmetbetrekkingtotAVGimplementatie(compliance)enkansenvoordoorontwikkelingenverbeteringbinnendeketennadeAVGimplementatie

• Voorcompliancesamenwerkingsvoorstellenzoveelmogelijkgebruikmakenvanbestaandeinfrastructurenomhaalbaarheidtevergroten• DataminimalisatiestaatopgespannenvoetmetzorgplichtenKYC• Dataportabiliteit,huidigesituatiebijenkelepartijenkanvolstaanvoorAVGcompliancemaardeAVGadviseertuniformiteit• Verantwoordelijkeversusverwerker;rollenkunnenveranderenendaarmeeverschuivingeninverantwoordelijkheidveroorzaken

• Voorstellenvoorsamenwerkinghebbenveelonderlingeafhankelijkheid,éénintegraleaanpakisgewenstonderleidingvanProductOwner enstuurgroep• Deketenstaatopenvooroverleg/samenwerkingmetandereketensindiendithetprocesnietvertraagt• Opbasisvanhetadviesuitdezeimpactbepalingisverdereverdiepingnodigomtoteenconcreteaanpaktekomen• Kansenna25mei2018zijninminderematebehandeld,verdereuitwerkinghiervanisnodigomwaardetebepalen

Discussieseninzichtenmetbetrekkingtotvraagstelling


SamenwerkingindeketenmetbetrekkingtotAVGimplementatieisduidelijkinhetbelangvanconsumentenketenpartijen

SITUATIEINDEHYPOTHEEKKETEN• Op25mei2018treedtdeAVGinwerking,hetnietnalevenvandeAVGkantothogeboetesleiden

• Doelvandezewetgevingisdeconsumenttebeschermenenmeercontroleoverzijnpersoonsgegevenstegeven

• AVGsteltstrengereeisenaanbedrijvenenwordtdaaromvooralalsindividueleverantwoordelijkheidbeschouwd

• Dehypotheekketenkenmerktzichalscomplexdoorveelafhankelijkhedentussenpartijenonderlingenandereketens

• AVGraaktdeketeninzijngeheelwaardoorrisico’svoorpartijenindividueeltoenemen inhetdelenvanpersoonsgegevens

• Consumentheeftopditmomentgeenduidelijkbeeldwieindehypotheekketenwelkedataheeftenhoededatawordtgebruikt

• HierdoorhandelenpartijenindehypotheekketenmomenteelnietinlijnmethetdoelvandeAVG

• ErissamenwerkingindeketennodigrondomhetAVGcompliantverzamelen,verwerkenenbeherenvanpersoonsgegevens

AVGraaktketeninwijzevandatadelen,verwerkenenbeheren

Eengeneriekoverzichtvande‘customerdataflow’indehypotheekketenlaatziendatpersoonsgegevensopveelplaatsenindeketenterechtkomenzonderdatditinzichtelijkisvoordeconsument

=impact

Zie slide20-22voor meer details


Ketenvertegenwoordigingerkenthetbelangvansamenwerkingenheeftmeerderevoorstellentotketensamenwerkinggedefinieerd

introductieAVG Impactbepaling Acties

partijen

Individueel

ComplianceChecklistalshulpbij(individuele)compliance

ViervoorstellentotketensamenwerkingdiewaardevolzijnvoorAVG

implementatievoor25mei2018

Kansenvoorketensamenwerkingoplangetermijnomdoorteontwikkelen

naAVGimplementatie

Gezamenlijk

ComplianceChecklist(bijlageA)

“Compliance”voorstellen(hoofdstuk‘Resultaten’,bijlageB)

“Kansen”voorstellen(hoofdstuk‘Resultaten’,bijlageC)

Impactbepalingin3workshops

InzichtinbenodigdeactiesvoorAVGcompliance

Splitsingtussenactieindividueelofsamen

implementeren

SignaleringHDNdatgezamenlijkeactieswaardevolzouzijn

Uitkomstenimpactbepalingenadviesvandeketenvertegenwoordiging

DOELEN• IntroductieAVG• Eerstegezamenlijkeinzichtover

impactgebieden

DOELEN• Definiërenvanvoorstellendie

complianceindeketenkunnenbereikenoffaciliteren

DOELEN• Voorstellentotketensamenwerking

concretiserenmetalsdoelopleverenadviesdocumentvoorAVGaanpakmetdeketen

WORKSHOP1 WORKSHOP2 WORKSHOP3

Resultaten


LouterindividueleaanpakvanAVGcompliancezorgtnamelijkvooronnodigerisico’stussenketenpartijen

RISICO’SVOORDEKETEN1. Eenverschilininterpretatiesvanpersoonsgegevensen

verwerkingsgrondenvanketenpartijen• Kanleidentoteenruimereuitvraagvanpersoonsgegevensdanopbasis

vandoelbindingisgerechtvaardigdendaarmeeverantwoordelijkheden

2. Onvoldoendeinzichtinwelkeketenpartijwanneerverwerkingsverantwoordelijkeen/ofverwerkeris• Kanleidentotonduidelijkheidovereigenverantwoordelijkheidindeketen

3. Imagoschadevoorpartijenomdatregievoorconsumentnieteenduidigis• Partijenmoetenzichhoudenaanwettelijkeplichten(zoalsKYC,WFT,

zorgplicht)dietegenstrijdiglijkenmetregierechtenvandeconsument• Verschillenincommunicatieoverregierechtenkanbijconsumenten

verwarringveroorzaken

4. Gebrekaanafsprakenkanzorgenvooronvolledigedoorgifteindeketenvanregiedoordeconsument• Bijvoorbeeldverzoekenoftoestemmingenkunnenonvolledigverwerkt

wordenwatleidttotrisico’svoordeverwerkingsverantwoordelijke

Opbouw

Opbouw

Opbouw

Opbouw

Consument Adviseur Serviceprovider Aanbieder …

CUSTOMERDATAFLOW

• Transparantierichtingconsument• Beheerenbeschermingdata• Dataportabiliteit

• Ondubbelzinnigetoestemming• RegieopPersoonsgegevens(bv.

rechtomvergetenteworden)

• Onderscheidindataverwerkingsverantwoordelijkeendataverwerker

ComplexiteitketenvraagtsamenwerkinginuitvoeringAVG

4

1

2

3

1 2

3

4

4

3

1

4

Zie slide22voor implicaties risico’s voor deketen


Ketenvertegenwoordigingsteltconcretesamenwerkingvooropvieronderwerpenomcompliancevoor25mei2018teborgen

“Uitvraagpersoonsgegevens”()Voorstelgerichtophetconsistenten

doelgerichtuitvragenvanrelevantepersoonsgegevensdoordeheleketen

“Regieconsument”()Voorstelgerichtopregiedoordeconsument

opzijn/haarpersoonsgegevens

1

3

“Verwerkersovereenkomst”()Voorstelgerichtopdefiniërenvan

verwerkersovereenkomstopbasisvanminimalesetvoordeheleketen

“Uniformdelen”()Voorstelgerichtophetuniformdeleninde

ketenvandedoordeconsumentuitgeoefenderegie

2

4

Deviervoorstellenomvattendevolledigeketen

SELECTIEVOORGESTELDEKETENACTIES(deelvanbasiswaaruitgeadviseerdevoorstellenzijnontstaan)• Duidelijkedefinitievanpersoonsgegevensdieverschilin

interpretatiesbinnendeketenminimaliseert• Eensgezindbeeldopdoelenenverwerkingsgrondenvan

deverschillendepartijenindeketen,welkeresulteertinenkelcompliantverwerkingendoorketenpartijen

• Specificeringvanwettelijkegrondendieleidentotgeoorloofdedataverwerking,onderzoekenspanningWFTversusAVG

• Overzichtvanderollen(verwerkingsverantwoordelijkeenverwerker)diepartijenindeketenkunnenspelen,enduidelijkheidwanneerdeenerolovergaatindeandereenwelkerechtenenplichtendaarbijhoren.

• Deconsumenteenduidigeregieoppersoonsgegevensverschaffen,waarbijhandelingenvandeconsumentopeencorrectemanierindeketenverwerktkunnenworden

• Eengestandaardiseerdoverzichtvanalleinformatiediemetdeconsumentgedeeldmoetworden(overzijnrechten)formulerenmetdeketen

• Eenduidigeverificatieenauthenticatievandeconsumentvoorergehoorwordtgegevenaanverzoekenvandeconsument

• Uniformdelenvanverzoekenoftoestemmingvandeconsumentindeketenmogelijkmaken

Voorstellentotketensamenwerkingopbasisvanketenacties

(ZiebijlageBvooruitwerkingenachtergrondvaninitiatieven)Zie slide31-33voor meer details

1

3

2

4

1

1

3

3


Gezienurgentieiseenintegraleaanpakvoorgesteldomdeviervoorstellentotketensamenwerkingsuccesvolteimplementeren

BeherenAVGcompliancebacklog enbeheersenafhankelijkheden

Afstemmenenorganiserenplanningtussenuitvoerendepartijen

LedenHDNopdehoogtehoudenvanvoortgang

Combinerenvanvierinitiatieveninéénintegrale

aanpak

AanstellenProductOwneromtransparantieen

overzichttewaarborgen

AanstellenC-levelstuurgroepuit

betrokkenpartijen

Doorketenvertegenwoordiginggeadviseerdeopzetvoorintegraleaanpak

(indicatieveweergavevanprojectplanninginclusiefcommunicatieenuitwisselingvanresultaten)

“Uniformdelen”

“Regieconsument”

“Verwerkers-overeenkomst”

”Uitvraagpersoonsgegevens”

aug sep okt nov dec jan feb maa apr mei

Besluit-vorming

1

2

3

4

Teams+Budget+Planning

jun

25mei2018

Kansenvoordeketenbenut-ten

go/nogo

UITGANGSPUNTEN• Partijenzijnzelfverantwoordelijk

voorAVGcompliance• HDNpleitvooreenintegraleaanpak

vandeketenbelangeninverbandmetgroteafbreukrisico’s

• Eenpragmatischeaanpakstaatcentraal,gebaseerdopeensetvanminimumvereistent.a.v.AVGcomplianceop25mei2018

• HDNisvolledigafhankelijkvandesteunendeinvesteringenvanhaarstakeholdersvoorhetfaciliterenvansuccesvolleimplementatievanketeninitiatieven

• Kansenvoordeketenna25mei2018dieneneerstverdertewordenuitgewerktomwaardetebepalen

• Naimplementatievande“compliance”keteninitiatievenkijkenofgenoemdeaanpakookgeschiktisvoorhetoppakkenvande“kansen”keteninitiatieven

Faciliterensturingenbesluitvormingdoorstuurgroep


OoknaimplementatievanAVGiserveelpotentievoorhetcreërenvanwaardevoorconsumentenketendoorketensamenwerkingEerstebeeldbijkansenvoordeketen:verdereuitwerkingisnodigomdewaardevoordeketenteconcretiseren

Waaromkans

DataminimalisatiemetHDNNahetvaststellenvandepersoonsgegevensvoorverwerkingsdoelenkan

ergekekenwordenofdeHDNinfrastructuureenrolkanspelenindataminimalisatie

AuthenticatiemethodesGebruikmakenvantechnologischeontwikkelingenomdigitale

authenticatievandeconsumentteverbeterenengelijktetrekkenindeketen,voortbouwenopcompliance‘authenticatiemethodes’

DelenvantoestemmingGebruikmakenvantechnologischeontwikkelingenomtoestemmingvandeconsumentvoorverwerkingteverbeterenengelijktetrekkeninde

keten,voortbouwenopcompliance‘toestemmingdelen’

KoppelingenvanMijnOmgevingen

Klantervaringvoordeketenuniformerendoordeverschillendeportals(bijv.MijnOmgeving)vanadviseurs/aanbiedersmetelkaartegaan

koppelen

DataportabiliteitDataportabiliteituitbreidenmetdienstomdatadirectnaareenpartijdoor

testuren,adviesvanuitAVGominketeneeninteroperabel formatteontwikkelenterondersteuningvandelendata

Informatievoorzieningverificatie Opbasisvannieuweauthenticatiedeinformatievoorzieningrichtingklantkunnenvastleggent.b.v.audittrail

Ketenregisseurmeldplichtdatalekken

Uitbreidingaanwiedatalekkenwordengemeld,binnendeketenhiereencentraalpuntvoorhebbenomproactiefpassendemaatregelenop

datalekkentekunnennemenindeketen

Track&TraceTechnologischeoplossingomhandelingenviadecloud terugtekunnenleidennaarspecifiekepersonen/partijen,verbeteringherleidbaarheid

t.b.v.audittrail

Gedragscode Aansluitenbijofopstellenvaneengedragscodegeeftinzichtinnormenenwaardenbinnendeketenrichtingconsumentenautoriteiten

Certificeringsorgaan Kwaliteitsniveauindeketenwaarborgendoorhetopstellenvaneen(eventueelverplichte)certificering

NormvoordatakwaliteitInteressanteaanvullingbinnenbijvoorbeeldgedragscodeofcertificering

omdekwaliteitvandatadieindeketengedeeldwordtteverbeterenenteborgen

25mei2018

“Uniformdelen”

“Regieconsument”

“Verwerkers-overeenkomst”

”Uitvraagpersoonsgegevens”1

2

3

4

DataminimalisatiemetHDN

Authenticatiemethodes

Delenvantoestemming

KoppelingenvanMijn-Omgevingen

Dataportabiliteit

Informatievoorzieningverificatie

Ketenregisseurmeldplichtdatalekken

Track&Trace

Gedragscode

Normvoordatakwaliteit

Certificeringsorgaan

Doorontwikkelingvanbestaandeennieuweketensamenwerkingenna25mei2018

Ontwikkeling nieuwe onderwerpen voor ketensamenwerking

Doorontwikkeling bestaande gezamenlijke implementaties

Resultaat AVG impactbepaling hypotheekketen · ketensamenwerking loont op korte en lange termijn...

Documents

Transcript of Resultaat AVG impactbepaling hypotheekketen · ketensamenwerking loont op korte en lange termijn...