DUO Groningen is op zoek naar een Senior Expert (DPIA / Privacy & Security).

Opdrachtgever
Dienst Uitvoering Onderwijs (DUO), onderdeel van het Ministerie van Onderwijs, Cultuur en Wetenschap (OCW), locatie Groningen.

Achtergrond en doel van de opdracht
DUO implementeert Microsoft Defender for Endpoint (MDE) binnen haar werkplekdiensten. In het kader van de AVG/GDPR is het uitvoeren van een Data Protection Impact Assessment (DPIA) een verplichte voorwaarde voor ingebruikname van deze oplossing.

Het doel van deze opdracht is het tijdig, volledig en kwalitatief hoogwaardig opleveren van een DPIA voor MDE, inclusief een onderbouwde risicoanalyse en concrete mitigerende maatregelen, zodat DUO aantoonbaar voldoet aan privacywet- en regelgeving en verantwoorde besluitvorming mogelijk wordt.

Opdracht en verantwoordelijkheden
De Senior Expert IV treedt op als penvoerder van de DPIA en is eindverantwoordelijk voor de inhoud, kwaliteit en oplevering. De werkzaamheden bestaan onder andere uit:
-    Opzetten, uitvoeren en documenteren van een DPIA voor Microsoft Defender for Endpoint conform AVG/GDPR en rijksbrede kaders.
-    In kaart brengen en analyseren van gegevensverwerkingen, datastromen en verwerkingsdoeleinden binnen MDE.
-    Identificeren en beoordelen van privacy- en beveiligingsrisico’s voor betrokkenen.
-    Adviseren over mitigerende maatregelen, prioritering en uitvoerbare actieplannen.
-    Afstemming met het applicatieteam, securityspecialisten, privacy officers en overige stakeholders om benodigde input te verzamelen en te valideren.
-    Fungeren als inhoudelijk aanspreekpunt richting privacy-, security- en managementstakeholders.
-    Borgen van methodische kwaliteit, consistentie en herleidbaarheid van de DPIA-documentatie.

Organisatorische context
De Senior Expert IV werkt binnen een multidisciplinaire projectgroep en maakt deel uit van een team van ervaren penvoerders. De opdracht wordt zelfstandig uitgevoerd binnen een goed georganiseerde en ondersteunende context, met ruimte voor afstemming, kennisdeling en kwaliteitsborging. De omgeving is complex, bestuurlijk gevoelig en sterk gereguleerd.

Concrete deliverables
-    Een volledig uitgewerkte DPIA voor Microsoft Defender for Endpoint, inclusief:
o    Beschrijving van de gegevensverwerkingen
o    Analyse van privacy- en beveiligingsrisico’s (kans en impact)
o    Overzicht en onderbouwing van mitigerende maatregelen
o    Conclusies en advies ten behoeve van besluitvorming
-    Heldere, audit-proof documentatie.
-    Mondelinge toelichting en beantwoording van vragen richting betrokken stakeholders.

Resultaat- en succescriteria
-    De DPIA voldoet volledig aan AVG/GDPR en rijksbrede richtlijnen.
-    De analyse en adviezen worden herkend en gedragen door relevante stakeholders.
-    De DPIA kan zonder substantiële herwerking worden vastgesteld en gebruikt voor de implementatie van MDE.

Functie-eisen (knock-out criteria)
-    Afgeronde hbo- of wo-opleiding.
-    Minimaal 5 jaar aantoonbare ervaring met privacywet- en regelgeving (AVG/GDPR).
-    Aantoonbare ervaring met het uitvoeren van DPIA’s in een IT-omgeving.
-    Ervaring binnen (semi-)overheid of een vergelijkbare gereguleerde omgeving.
-    Sterk analytisch vermogen en ervaring met onderzoeks- en analysemethodieken.

Wensen en pré’s
-    CIPP/E- en/of CISA-certificering of een vergelijkbaar alternatief.
-    Ervaring met Microsoft-omgevingen en endpoint security-oplossingen.
-    Ervaring met Agile werken (SAFe is een pré).
-    Uitstekende communicatieve vaardigheden, organisatiesensitiviteit en overtuigingskracht.

Inzet en randvoorwaarden
-    Startdatum: 19 januari 2026
-    Duur: 12 maanden
-    Inzet: 36 uur per week
-    Standplaats: Groningen (hybride werken bespreekbaar)
-    ZZP-inzet: niet toegestaan