Datacompliance
De afdwingbare kant van de organisatorische laag: de toepasselijke wetgeving, rechtsgebieden, contracten, licenties, beleidsregels, beslissingsbevoegdheden en leveranciersafspraken die bepalen wat een organisatie met data mag en moet doen.
Technische controle heeft pas betekenis als de organisatie bevoegd is om die uit te oefenen en haar verplichtingen kan aantonen. Compliance bewijst op zichzelf geen soevereiniteit.
Datacompliance is een van de twee aanvullende perspectieven waarmee deze toolkit de organisatorische laagDe vier lagenDe drie rechten gelden over Data, Software, Hardware en een organisatorische laag die door datacompliance en data-ethiek wordt beschreven.Lees meer →beschrijft. Het begrip is breder dan alleen naleving van wet- en regelgeving.
Het omvat het afdwingbare kader rond data:
- toepasselijke wet- en regelgeving en rechtsgebieden;
- contracten, verwerkersovereenkomsten, licenties en exitbepalingen;
- beleid, verantwoordelijkheden, beslissingsbevoegdheden en plichten;
- afspraken met leveranciers en subverwerkers, plus het bewijs dat nodig is om die te toetsen.
Dat kader beperkt én maakt handelen mogelijk. Het kan bewaring verplichten, gebruik begrenzen of de rechten van betrokkenen beschermen. Het kan een organisatie ook de bevoegdheid geven om continuïteitsmateriaal te verkrijgen, een integratie goed te keuren, leverancierstoegang in te trekken of een dienst te verlaten. Een technische mogelijkheid is niet genoeg als de organisatie haar niet mag uitoefenen; geruststellende contracttaal is niet genoeg als de mogelijkheid in de praktijk ontbreekt.
Datacompliance raakt daarom BezittenBezittenHet recht om te verkrijgen, te behouden en te beheersen wat voor continuïteit nodig is.Lees meer →, GebruikenGebruikenHet recht om een voorziening zonder discretionaire toestemming van een leverancier te gebruiken, te inspecteren, te autoriseren, te integreren en te wijzigen.Lees meer → en WegdoenWegdoenHet recht om in te trekken, te verwijderen, over te dragen, te vervangen of te vertrekken zonder achterblijvende data of onaanvaardbaar operationeel verlies, en het resultaat te bewijzen.Lees meer →. Elke conclusie blijft gebonden aan de beoordeelde dienst en release, implementatie, werkwijze, contract- en governancebasis, klantgrens en bewijsperiode.
Governance werkt over beide perspectieven heen. Zij wijst toepasselijkheid, bevoegdheid en verantwoordelijkheid toe, keurt beleid goed, legt bewijs en uitzonderingen vast en organiseert toetsing en escalatie.
Deze toolkit geeft geen juridisch advies en certificeert geen compliance. Compliance bepaalt ook niet of toegestaan handelen verantwoord is. Daarvoor dient data-ethiekData-ethiekEen afzonderlijk governanceperspectief op de organisatorische laag: de vraag of een bevoegdheid binnen haar scope proportioneel, eerlijk, transparant en te rechtvaardigen wordt uitgeoefend tegenover de mensen en gemeenschappen die de gevolgen dragen.Lees meer →.
Veelgemaakte misvattingen
Als we aan de wet voldoen, is onze data soeverein.
Compliance en soevereiniteit beantwoorden verschillende vragen. Een dienst kan aan zijn wettelijke plichten voldoen en toch geen bruikbare export, onafhankelijke bedrijfsvoering of afdwingbare exit bieden.
Data in de EU opslaan maakt ons compliant.
Locatie is maar één gegeven. Toepasselijk recht, rollen, doelen, toegang, internationale doorgiften, contracten en de rechten van betrokkenen vragen nog steeds om een beoordeling binnen een duidelijke scope.