Je klant is een Vlaams lokaal bestuur en stuurt de VTC-vragenlijst
Lever je software of diensten aan een Vlaamse gemeente, OCMW of ander lokaal bestuur, en verwerk je daarbij persoonsgegevens? Dan kun je de vragenlijst informatieveiligheid verwerkers van de Vlaamse Toezichtcommissie (VTC) krijgen. Je beantwoordt hem per verwerking, en met bewijs.
Waarom je deze vragenlijst krijgt
De VTC stuurde de vragenlijst met een brief (kenmerk VTC/A/2023/09) naar de lokale besturen en agentschappen. Aanleiding waren een rapport van Audit Vlaanderen van 13 juni 2023 over ICT-risicobeheer bij lokale besturen, en datalekken waarbij beveiliging bij leveranciers niet geregeld of niet nageleefd bleek.
Met de vragenlijst gaat het bestuur na of jij als verwerker aan de minimale beveiligingsverplichtingen voldoet. Zo weet het of het met je kan blijven samenwerken, en kan het aantonen dat het voldoet aan de artikelen 28, 29 en 32 van de AVG.
Is het verplicht?
Voor het bestuur niet. Maar de VTC raadt het gebruik “ten sterkste” aan, verwacht dat besturen op alle vragen kunnen antwoorden, en kondigde aan vanaf 2025 bij meldingen van datalekken te vragen of de vragenlijst gebruikt is. In de praktijk krijg je hem dus steeds vaker.
Wat erin staat
De vragen gaan over de basisvereisten van de AVG voor beveiliging: technische en organisatorische maatregelen. Ze zijn gebaseerd op vereenvoudigde en samengevoegde ISO-normen. Twee dingen maken deze lijst anders dan een gewone leveranciersvragenlijst:
- Per verwerking. Het bestuur vult eerst per verwerking de basisgegevens in uit zijn verwerkingsregister. Jij antwoordt dan per verwerking, ook voor oudere systemen.
- Met bewijs. De VTC verwacht dat je het bewijs “off-the-shelf” klaar hebt liggen.
Wat er gebeurt met je antwoorden
Volgens de brief moet een bestuur bij ernstige afwijkingen of zware risico's de verwerking stilleggen. Bij aanzienlijke of middelgrote afwijkingen moet er binnen zes maanden een alternatief komen. Een zwak antwoord kan je dus een klant kosten.
Zo pak je het aan
- Vraag welke verwerkingen het bestuur aan jou koppelt. Controleer of dat klopt met je verwerkersovereenkomst.
- Verzamel je bewijs vooraf. Beleid, toegangsbeheer, logging, back-ups, incidentprocedure, je subverwerkers en waar de gegevens staan.
- Beantwoord per verwerking. Zijn je maatregelen voor alle verwerkingen gelijk, zeg dat dan, maar noem verschillen expliciet.
- Verwijs bij elk antwoord naar het bewijs. Een document, een instelling of een rapport.
- Wees eerlijk over gaten. Een open punt met een plan en een datum is sterker dan een “ja” die bij een datalek niet blijkt te kloppen.
Hoe Holdvero helpt
Wij vullen de vragenlijst in op basis van jouw eigen documentatie, met bij elk antwoord de bron. Ontbreekt het bewijs, dan schrijven we een open punt in plaats van een “ja”. Tot 150 vragen valt dit onder Questionnaire Rescue (€695, 3–5 werkdagen). Gaat het om veel verwerkingen, dan wordt het een complexe vragenlijst met een vaste prijs na een korte check. Holdvero levert geen certificering en geen juridisch advies.
Veelgestelde vragen
Geldt dit ook voor Nederlandse leveranciers?
Ja. Het gaat om de klant, niet om jouw vestiging. Lever je aan een Vlaams lokaal bestuur en verwerk je persoonsgegevens, dan kun je de vragenlijst krijgen.
Moet ik voor elke verwerking een aparte vragenlijst invullen?
Je antwoordt per verwerking. Als je maatregelen voor alle verwerkingen gelijk zijn, kun je dat aangeven, maar het bestuur kan om verduidelijking vragen als verwerkingen elkaar overlappen.
Welk bewijs moet ik klaar hebben?
Documenten die je maatregelen aantonen: beleid, procedures, instellingen, rapporten en afspraken met je subverwerkers. De VTC verwacht dat je dit al hebt liggen.
Waar vind ik meer informatie?
Op de pagina voor lokale besturen van de VTC en in de begeleidende brief.
Hulp nodig bij de VTC-vragenlijst?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan