Bijlage I Reg. SUWI: bedoeld in artikel 6.3 van de Regeling SUWI
Definities op het gebied van beveiliging en gegevensbescherming als vervat in de Wet Bescherming Persoonsgegevens (WBP) en voorliggende bijlage zijn gelijklopend. Bij de uitvoering van de wettelijke taken (het primaire proces) binnen het domein Werk en Inkomen zijn meerdere uitvoeringsorganisaties betrokken (UWV, SVB en gemeenten c.q. de SUWI-partijen. Het Inlichtingenbureau treedt op als bewerker voor gemeenten). Uitvoeringsorganisaties die elk een deel van de dienstverlening in het kader van Werk en Inkomen uitvoeren en daartoe elk hun eigen, vanuit GeVS perspectief, decentrale, e(lektronische)-voorzieningen hebben ingericht. Vanuit de optiek van de klant is het gewenst dat deze het domein ervaart als één efficiënt werkend geheel. Belangrijk leidend principe om dit te bewerkstelligen is eenmalige gegevensuitvraag (de klant hoeft zijn gegevens niet te verstrekken aan een van de SUWI partijen als deze gegevens al eerder door hem of haar aan deze of een andere SUWI- en/of overheidspartij zijn verstrekt). Uitwerking van dit principe leidt in de regel tot het éénmalig vastleggen en meervoudig gebruiken van voor de dienstverlening in de SUWI-keten noodzakelijke persoons (gerelateerde) gegevens. In artikel 5.21 Besluit SUWI wordt in principe de centrale voorziening SUWI, (welke zorg draagt voor gegevensuitwisseling tussen gegevensaanbieders en –afnemers, §1.1) aangewezen als het hulpmiddel om aan het principe van eenmalige vastlegging en meervoudig gebruik binnen het domein Werk en Inkomen tegemoet te komen. Daarnaast kan het principe van eenmalige gegevensvastlegging en meervoudig gebruik vorm worden gegeven met behulp van massaal (bulk) gegevenstransport Wil men binnen de SUWI-keten individuele (nominatieve) klantgegevens uitwisselen met als doel gezamenlijke digitale klantdossiervorming dan zal men in gezamenlijk overleg1Tussen SUWI-partijen onderling, tussen SUWI-partijen en de beheerder van de centrale voorziening, tussen de beheerder van de centrale voorziening en
- – Beschikbaarheid en Integriteit: het Voorschrift Informatiebeveiliging Rijksoverheid (VIR)
- – Voor best practices: Code voor Informatiebeveiliging. Vertrouwelijkheid: Wet bescherming Persoonsgegevens (WBP).
- – Voor het niveau van vertrouwelijkheid: Achtergronden en Verkenningen (AV) 23 van het CBP.
- – Leverende en ontvangende partij bepalen onderling welke de gegevens zijn die bij een bepaalde uitwisseling horen (op basis van ondermeer doelbinding en proportionaliteit).
- – Leverende en ontvangende partijen maken met de beheerder van de centrale voorziening afspraken over gezamenlijke niveaus van toegangsbeveiliging per gegevenssoort4Voor het juiste niveau van vertrouwelijkheid wordt verwezen naar AV23 van het CBP.. In het verlengde daarvan maken de leverende en ontvangende partijen met de beheerder van de centrale voorziening afspraken over toekenning van gebruikersrollen door de beheerder van de centrale voorziening aan ontvangende partijen en toekenning van autorisaties door ontvangende partijen aan eigen personeel.
- – Toegangsbeveiliging wordt gerealiseerd door gebruikers te voorzien van een rol (taak beheerder van de centrale voorziening), en rollen te verbinden aan autorisaties (taak ontvanger). Een autorisatie is medewerker-gebonden en geeft toegang tot vooraf vastgestelde (§ 1.2) klant gegevens die mogen worden geraadpleegd op basis van de toegekende rol. Op deze wijze wordt voldaan aan het proportionaliteitsbeginsel.
- – Beheerder van de centrale voorziening faciliteert het invoeren van autorisaties voor afgesproken rollen en houdt een logging bij van de geautoriseerde inkijk op gegevens van de diverse bestandseigenaren bij diverse ontvangende partijen (wie raadpleegt wanneer welke gegevenssoorten).
- – Log-informatie wordt door beheerder van de centrale voorziening maandelijks geanonimiseerd beschikbaar gesteld aan de leverende en ontvangende partijen die het betreft.
- – Partijen kunnen zo detecteren of er sprake is van oneigenlijk gebruik. Als dat zo blijkt te zijn kan meer specifieke en niet anonieme informatie worden verstrekt door de beheerder van de centrale voorziening.
- – Beheerder van de centrale voorziening neemt passende maatregelen bij geconstateerde beveiligingsinbreuken of misbruik van de GeVS.