2 Bevplan Suwinet 2021_Def.pdf
Tekst van het document
Geheimhoudingsplicht Binnen de Gebiedsteams Inkomen, Werk en re-integratie en Team Advies en Ondersteuning wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de Europede Unie een aantal regels opgesteld, die zijn verwoord in de Algemene Verordening Gegevensbescherming (AVG). In de wet SUWI en in het ambtenarenrecht zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat de persoonsgegevens niet verder bekend mogen worden gemaakt dan voor de uitoefening van de functie noodzakelijk is. Van extern personeel wordt hetzij via de inleenovereenkomst met de uitzendorganisatie, hetzij via een ondertekende verklaring de geheimhouding gevraagd. 4. Gedragscode internet- en e-mailgebruik De gemeente hanteert een protocol voor gebruik van email en internet. In dit protocol is aangegeven hoe de medewerkers behoren om te gaan met e-mail en internet op de werkplek. Tevens bevat dit protocol regels voor de manier waarop het gebruik van externe e-mail en internet wordt geobserveerd. Het protocol is voor alle medewerkers van de gemeente te raadplegen op het gemeentelijke Intranet. 5. Kennisnemen van het informatiebeveiligingsbeleid Het binnen de gemeente geldende informatiebeveiligingsbeleid, incl.
het Beveiligingsplan Suwi met instructies en protocollen is op iedereen binnen de Gebiedsteams Inkomen, Werk en re-integratie en TAO van toepassing die gebruik maakt van Suwinet-inkijk. Alle gebruikers hebben een exemplaar van het beveiligingsplan ontvangen en alle nieuwe medewerkers/gebruikers (ook gedetacheerde medewerkers) ontvangen via de SO of kwaliteitsmedewerker een exemplaar. Gebruikers van Suwinet-inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. In het beveiligingsplan is hier uitgebreid aandacht aan besteed. Een aantal keren per jaar en bij de evaluatie van het beveiligingsplan wordt dit onderwerp geagendeerd voor het werkoverleg. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over betrokkenen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk de risico’s met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen.
Beveiligingsplan Suwi 2019
-1-
In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien verzoek afkomstig is van een vaste contactpersoon. 7. Clear desk en clear screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers dienen zich bij binnenkomst in het gemeentehuis eerst te melden bij de receptie. De werkplekken bevinden zich achter beveiligde deuren. De kans is daarom gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord). De screensaver is zodanig ingesteld dat na een xaantal minuten de schermbeveiliging intreedt. Dit is door de afdeling Systeembeheer voor iedere medewerker standaard ingesteld. 8.
Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens – waaronder persoonsgegevens – is erg belangrijk binnen de betreffende teams. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Daarom zijn er op iedere kamer speciale afgesloten bakken geplaatst, waarin het te vernietigen materiaal verzameld wordt. De verzamelde vertrouwelijke gegevens worden regelmatig aangeleverd bij het vernietigingsbedrijf. Vertrouwelijke gegevens dienen niet terecht te komen in een prullenbak. 9. Aanspreken van onbekende personen In het geval dat een medewerker van de betreffende teams een voor hem/haar onbekende persoon in de gang van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, spreekt de medewerker deze persoon aan, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hen beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden. 10.
De dagelijkse werkzaamheden tegenover informatiebeveiliging Informatieveiligheid is uitermate belangrijk voor het werk binnen de Gebiedsteams Inkomen, Werk en re-integratie en TAO waar veelvuldig met privacygevoelige informatie wordt gewerkt en hoort dan ook bij de professionele en bekwame uitvoering van het werk. Ook cliënten vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom middels het werkoverleg geregeld aandacht aan dit onderwerp besteed dient te worden. 11. Thuiswerken Binnen de betreffende teams is het van essentieel belang om op een correcte wijze om te gaan met vertrouwelijke gegevens, waaronder persoonsgegevens. Tevens is dit een belangrijk aandachtspunt voor het thuiswerken. Specifiek voor het thuiswerken zijn er interne richtlijnen. Hierin staat onder andere dat thuis de papieren werk-informatie goed wordt opgeborgen, c.q. niet zomaar rondslingert. Via de eigen internetverbinding thuis log je eerst in op het systeem van de gemeente Rheden. Dit gaat middels een inlogaccount met een wachtwoord en een token (een apparaatje met aanvullend gebruikersnummer). Printen op de eigen thuisprinter is niet toegestaan en niet direct mogelijk. Vanwege de coronapandemie is thuiswerken de regel geworden in plaats van uitzondering.
Beveiligingsplan Suwi 2019
-2-
Bijlage 2 Protocol inzage in Suwinet door cliënt en/of gemachtigde Protocol inzage in Suwinet door cliënt en/of gemachtigde Om de privacy van de cliënt te waarborgen is zorgvuldigheid in de omgang met diens gegevens vereist. In bepaalde, in de hieronder beschreven gevallen, is gegevensinzage door derden mogelijk. De via Suwinet-inkijk opvraagbare gegevens zijn alleen in elektronische vorm te zien. De gegevens mogen niet lokaal worden opgeslagen (op de harde schijf of op diskette). Hieronder volgt een handleiding voor een aantal situaties waar de Suwi-gebruiker mee te maken kan krijgen. Protocol AVG: https://www.rheden.nl/Footer/Privacy/AVG_verzoek_indienen INZAGE 1. De cliënt verzoekt om inzage, hetzij schriftelijk, hetzij mondeling, in diens gegevens • Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); •
Vraag om het burgerservicenummer (BSN) van de cliënt;
•
Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)
•
Maak een uitdraai van de geraadpleegde gegevens of laat de cliënt meekijken op het scherm;
•
Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar;
•
Beëindig inkijksessie.
Het is mogelijk dat een cliënt telefonisch vraagt om een uitdraai van zijn/haar gegevens. In dat geval dient de client verwezen te worden naar zijn/haar consulent of moet een schriftelijk verzoek indienen, dat binnen de wettelijk verplichte termijn dient te worden afgehandeld. Indien de cliënt inzage wil in al zijn/haar gegevens die bij een ketenpartner zijn geregistreerd, dient de klant te worden verwezen naar de betreffende ketenpartner.
2. Gemachtigde verzoekt schriftelijk om inzage in cliëntgegevens •
Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven;
•
Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);
•
Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);
•
Vraag om het BSN van de cliënt;
•
Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)
•
Maak een uitdraai van de geraadpleegde gegevens of laat de gemachtigde meekijken op het scherm;
•
Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar;
•
Beëindig inkijksessie.
3. Een derde verzoekt om inzage, hetzij schriftelijk, hetzij mondeling in cliëntgegevens •
Dit is niet mogelijk
Beveiligingsplan Suwi 2019
-1-
CORRECTIE 1. De cliënt verzoekt om correctie •
Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);
•
Vraag om het BSN van de cliënt;
•
Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.);
•
Informeer de cliënt dat hij/zij een officieel verzoek moet indienen via een standaardformulier;
•
Maak twee kopieën van het verzoek;
•
Verstrek een kopie aan de cliënt, archiveer de andere kopie.
2. Gemachtigde verzoekt om correctie •
Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven;
•
Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);
•
Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);
•
Vraag om het BSN van de cliënt;
•
Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)
•
Informeer de gemachtigde dat hij/zij een officieel verzoek moet indienen via een standaardformulier;
•
Maak twee kopieën van het verzoek;
•
Verstrek een kopie aan de gemachtigde, archiveer de andere kopie
3. Een derde verzoekt om correctie •
Dit is niet mogelijk
Digitaal verzoek Het is ook mogelijk om digitaal een AVG verzoek in te dienen. https://www.rheden.nl/Footer/Privacy/AVG_verzoek_indienen
Beveiligingsplan Suwi 2019
-2-
Bijlage 3 Geheimhoudingsverklaring Verklaring omtrent geheimhouding van vertrouwelijke gegevens en het gebruik van Suwinet-inkijk. (deze verklaring is noodzakelijk voor medewerkers waarbij de geheimhouding niet via het ambtenarenreglement of de inleenovereenkomst is geregeld) De ondergetekende verklaart dat: Geheimhouding algemeen Hij/zij verplicht is tot geheimhouding van alle vertrouwelijke informatie die hij/zij vanwege de overeenkomst met de gemeente Rheden heeft verkregen tenzij op hem een wettelijke plicht tot bekendmaking rust. Informatie geldt als vertrouwelijk als dit door de gemeente is meegedeeld of als dit voortvloeit uit de aard van de informatie. De geheimhouding geldt tijdens de uitvoering maar ook na voltooiing van de werkzaamheden. Gebruik Suwinet-inkijk Hij/zij kennis heeft genomen van het beveiligingsplan Suwinet en de bijlagen over het gebruik van de Suwinetinkijk applicatie en de wijze waarop het gebruik van deze applicatie wordt vastgelegd en gecontroleerd.
Rheden, d.d._______________ naam:
voornaam:
functie/rol Suwinet-inkijk:
Handtekening,
____________________________
Beveiligingsplan Suwi 2020
-
1 -
Bijlage 4 Procedure terugmeldingen en correctieverzoeken DKD Deze procedure maakt deel uit van het beveiligingsplan Suwinet. De procedure voorziet in de handelingen, die verricht moeten worden, indien van een burger of één van de ketenpartners een melding wordt ontvangen van een geconstateerd verschil in de gegevens, die vanwege gemeente Rheden in het DKD zijn aangebracht. Er is een mailadres beschikbaar voor correctieverzoeken en meldingen: correctieservice@rheden.nl. De Security Officer Suwinet heeft toegang tot dit mailadres. Taken en bevoegdheden
•
De daartoe aangewezen medewerker van gemeente Rheden heeft de taak een adequaat onderzoek te laten doen naar aanleiding van een correctieverzoek van een burger of een terugmelding door een ketenpartner, het gegeven zo nodig aan te passen, aan te vullen of te verwijderen. Indien een gegeven wordt aangepast, gewijzigd of verwijderd wordt de melder (burger)hiervan op de hoogte gebracht. Ook indien het betreffende correctieverzoek wordt afgewezen wordt de melder (burger) hiervan in kennis gebracht.
•
De betreffende ketenpartner, welke een terugmelding heeft gedaan, wordt na een aanpassing van het gegeven in de applicatie van de bronhouder van de verwerking hiervan middels de betreffende autorisatie op DKD geïnformeerd.
Uitvoering 1. Een burger dient een correctieverzoek in voor de gegevens over hem/haar opgenomen in het DKD of een ketenpartner doet mededeling over een geconstateerde afwijking tussen één of meerdere gegevens opgenomen in DKD en de gegevens waarvan men kennis heeft of kennis heeft gekregen. 2. De terugmelding of het correctieverzoek worden ontvangen door de daartoe aangewezen medewerker. 3. Naar aanleiding van een correctieverzoek of terugmelding wordt overgegaan tot een onderzoek. De daartoe aangewezen medewerker is verantwoordelijk voor de afhandeling van de terugmelding. 4. De burger, die een correctieverzoek heeft ingediend, of de ketenpartner, die een terugmelding heeft gedaan, wordt zo spoedig mogelijk doch binnen 7 werkdagen na de ontvangst hiervan in kennis gesteld of naar aanleiding van het verzoek of de terugmelding gegevens in DKD zijn verbeterd, aangevuld of verwijderd. Ook bij een afwijzing van zijn/haar correctieverzoek wordt dit binnen 7 dagen aan de burger medegedeeld. 5. Blijkt uit het onderzoek dat het gegeven of de gegevens verbeterd, aangevuld of verwijderd moeten worden, dan zorgt de daartoe aangewezen medewerker dat hieraan uitvoering wordt gegeven. Controle
•
Eenmaal per jaar wordt door de Security Officer aan de hand van een aantal willekeurig gekozen terugmeldingen getoetst of conform het voorschrift wordt gewerkt.
•
De Security Officer rapporteert schriftelijk over de toetsing aan de verantwoordelijke manager
•
In deze rapportage zijn de volgende elementen standaard opgenomen:
o
Wanneer is de toetsing uitgevoerd?
o
Waaruit bestond de toetsing?
o
Wat is er geleerd van de toetsing?
o
Wat zijn de voorgestelde vervolgacties aan het management?
Beveiligingsplan Suwi 2020
-
1 -
Rapportage controle terugmeldingen en correctieverzoeken DKD Aan: de teammanager TAO Van: De Security Officer Suwinet Betreft: rapportage controle Terugmeldingen en Correctieverzoeken DKD Datum: Inleiding Op ……………….. is gecontroleerd of er onregelmatigheden zijn met betrekking tot het uitvoeren van de Procedure Terugmeldingen en Correctieverzoeken DKD en de daarin vastgelegde werkwijze voor het verwerken van inhoudelijke terugmeldingen van ketenpartners en correctieverzoeken van burgers. Beschrijving controle Het volgende is gecontroleerd:
Wie heeft gecontroleerd? De volgende medewerker(s) heeft/hebben gecontroleerd: -De Security Officer Resultaten van de controle
Aanbevelingen De volgende aanbevelingen worden gedaan:
Gemeente Rheden, ………………. Security Officer Suwinet ……………………………………………………
Voor gezien: Teammanager TAO
Beveiligingsplan Suwi 2020
-
1 -
Bijlage 5 Rapportage autorisatiecontrole Rapportage autorisaties Suwinet, kwartaal .., jaar … Aan: de teammanager TAO Van: De Security Officer Suwinet Betreft: rapportage gebruikersautorisaties Suwinet Inkijk Datum: Inleiding Op ……………….. is een controle op de gebruikers van suwinet gedaan. In deze rapportage vindt u de aantallen mutaties die hebben plaatsgevonden in de gebruikers t.b.v. Suwinet Inkijk. Beschrijving controle Het volgende is gecontroleerd:
Wie heeft gecontroleerd? De volgende medewerker(s) heeft/hebben gecontroleerd: -De Security Officer Resultaten van de controle
Aanbevelingen De volgende aanbevelingen worden gedaan:
Gemeente Rheden, ………………. Security Officer Suwinet ……………………………………………………
Voor gezien: Teammanager TAO ……………………………………………………………
Beveiligingsplan Suwi 2020
-
1 -