Privacy due diligence checklist
Deze privacy due diligence checklist helpt om vóór de deal beter te zien waar privacyrisico, aansprakelijkheid of integratiecomplexiteit schuilgaat.
1. Verwerkingen en register
- Is er een actueel verwerkingsregister?
- Welke categorieën persoonsgegevens worden verwerkt?
- Zijn doelen en grondslagen duidelijk?
- Bestaan bijzondere persoonsgegevens of grootschalige verwerkingen?
2. Verwerkers en contracten
- Welke verwerkers en subverwerkers zijn betrokken?
- Zijn verwerkersovereenkomsten aanwezig en passend?
- Zijn doorgiften buiten de EER relevant?
- Heeft de target voldoende grip op leveranciers met datatoegang?
3. Rechten, bewaartermijnen en governance
- Bestaan procedures voor rechten van betrokkenen?
- Zijn bewaartermijnen vastgelegd en uitvoerbaar?
- Zijn DPIA's uitgevoerd waar nodig?
- Is privacy governance belegd in rollen en processen?
4. Datalekken en dealimpact
- Welke datalekken of privacy-incidenten hebben zich voorgedaan?
- Zijn meldingen en opvolging aantoonbaar vastgelegd?
- Is aanvullende SPA-dekking nodig voor privacyrisico?
- Welke verbeterinvesteringen zijn direct nodig na closing?
Veelgestelde vragen over Privacy due diligence checklist
Duidelijke antwoorden op veelgebruikte vragen, in gewone taal en in de context van due diligence, risico's en beheersbaarheid.
Waarom gebruikt u een privacy due diligence checklist?
Om snel te zien welke privacyonderwerpen moeten worden onderzocht en waar documentatie, governance of contracten mogelijk tekortschieten.
Welke onderwerpen horen standaard in een privacy due diligence checklist?
Verwerkingsregisters, grondslagen, verwerkers, bewaartermijnen, rechten van betrokkenen, DPIA's, datalekken, internationale doorgiften, privacyverklaringen en contractuele afspraken.
Welke documenten wilt u meestal opvragen?
Onder meer registers, beleid, verwerkersovereenkomsten, privacyverklaringen, DPIA's, incidentregistraties, klachtenoverzichten en interne werkinstructies.
Wat zegt een checklist nog niet?
Een checklist laat zien waar aandacht nodig is, maar niet automatisch hoe groot het risico of de herstelinspanning werkelijk is. Daarvoor is interpretatie in context nodig.
Hoe leest u de uitkomst van privacy due diligence?
Als indicatie van juridische blootstelling, operationele herstelwerkzaamheden en de vraag of de organisatie persoonsgegevens op een aantoonbaar beheerste manier verwerkt.