Agendabundel

Wachtwoorden worden op een veilige manier uitgegeven (controle identiteit van de gebruiker). Tijdelijke wachtwoorden of wachtwoorden die standaard in software of hardware worden meegegeven worden bij eerste gebruik vervangen door een persoonlijk wachtwoord. Gebruikers bevestigen de ontvangst van een wachtwoord. Wachtwoorden zijn alleen bij de gebruiker bekend. Beveiligingsplan Suwi 2019

-7-

• •

Wachtwoorden bestaan uit minimaal 8 karakters, waarvan tenminste 1 hoofdletter, 1 cijfer en 1 vreemd teken. Wachtwoorden zijn maximaal 60 dagen geldig en mogen niet binnen 6 keer herhaald worden.

Wachtwoorden worden encrypted (haching) en opgeslagen binnen een beveiligde omgeving. Voor het beheer en het beheersen van beheerdersaccounts wordt gebruik gemaakt van wachtwoordkluis, met logging en auditing functionaliteit. Admin-accounts zijn aanvullend voorzien van tweefactorauthenticatie. Toegang tot Suwinet is alleen mogelijk met behulp van een gebruikerscode en een wachtwoord. Deze twee sleutels worden aan de geautoriseerde medewerker ter beschikking gesteld en mogen door deze medewerker niet aan anderen bekend worden gemaakt. De toegang verloopt via een beveiligde internetverbinding. Bij gebruik van de digitale gemeentelijke werkplek komt die internetverbinding via het netwerk van de gemeente tot stand. Ook voor de toegang tot dit netwerk is een gebruikerscode en een wachtwoord vereist. Deze kunnen niet dezelfde zijn als de gebruikerscode en wachtwoord van Suwinet. Suwinet vraagt, wanneer voor het eerst wordt ingelogd, het wachtwoord te wijzigen in een nieuw wachtwoord, dat moet voldoen aan een aantal eisen: 1. Het wachtwoord is 90 dagen geldig; Wanneer de gebruikersbeheerder een wachtwoord verstrekt aan een Suwinet-gebruiker moet deze gebruiker het door u verstrekte wachtwoord binnen 14 dagen wijzigen anders wordt het account geblokkeerd 2. Indien een gebruiker van Suwinet langer dan 90 dagen niet inlogt op Suwinet wordt het account automatisch geblokkeerd; 3.

De gebruiker heeft het eigen beheer over het wachtwoord. Een wachtwoord is strikt persoonlijk en mag niet gedeeld worden met anderen. 4. Zodra een medewerker de gemeente verlaat, wordt het account verwijderd of ontoegankelijk gemaakt. Om te voorkomen dat derden gebruik maken van ingelogde maar onbeheerde werkplekken (de medewerker is even weggeroepen), wordt de verbinding met het netwerk na korte tijd van niet gebruik geblokkeerd en moet opnieuw met wachtwoord en inlogcode worden ingelogd. Bij het gebruik van Suwinet is het niet toegestaan om de werkplek te verlaten. Bij het verlaten van de werkplek moet de applicatie worden afgesloten en moet men het bureaublad vergrendelen. 11. Medewerkers, taken en bevoegdheden Medewerkers gaan op verantwoorde wijze om met de persoonsgegevens die zij raadplegen via Suwinet-inkijk. Alleen toegestaan is het raadplegen van persoonsgegevens van cliënten die een uitkering PW, IOAW en of IOAZ ontvangen, bij controle van de rechtmatigheid en doelmatigheid inzake de wettelijke voorschriften. Verder gelden de volgende richtlijnen: 1. Gegevens uit Suwinet-Inkijk mogen nooit gemaild worden, niet intern en niet extern. Het gebruik van Suwinet is toegestaan, bij voorkeur binnen kantoortijd op kantoor of elders. Het geprinte materiaal moet zorgvuldig worden afgeschermd om misbruik te voorkomen.

Als men gegevens uitprint van Suwinet is het niet toegestaan deze op een andere printer dan die van de gemeente Rheden uit te printen. Dit moet gebeuren met de zogenaamde secureprinter. De gegevens dienen binnen de Gebiedsteams Inkomen, Werk en re-integratie het team Advies en Ondersteuning te blijven. De uitdraaien uit Suwinet worden in het persoonsdossier dan wel de mappen van de rechtmatigheidsformulieren bewaard. 2. De persoonsdossiers worden digitaal opgeslagen dan wel bewaard in een archiefkast die wordt afgesloten als de laatste medewerker de afdeling verlaat. Bij het verlaten van de werkplek moet men zich afmelden van de applicatie. Voor uitkeringsgerechtigden die hun gegevens willen inzien en eventueel wensen te corrigeren is een protocol vastgesteld, zie bijlage Terugmelding en correctieverzoeken DKD. Er zijn in het verleden nog geen (digitale) verzoeken binnengekomen. 3. Personeel dat in dienst is bij de gemeente valt onder het ambtenarenreglement. Bij benoeming hoeft niet apart een verklaring ondertekend te worden, dat zij op verantwoorde wijze omgaan met privacygevoelige informatie. In het ambtenarenreglement is dit opgenomen. De desbetreffende medewerker wordt door de Security Officer (SO) voordat toegang tot de diverse applicaties wordt verleend, gewezen op de gebruikersafspraken en de regels over de vertrouwelijkheid.

Hierbij wordt uiteraard gewezen op doelbinding en proportionaliteit van de gevoelige informatie. Dit wordt vastgelegd doormiddel van een bewustwordingstraining mbt suwinet. Deze training wordt afgerond binnen 3 maanden na indiensttreding.

Beveiligingsplan Suwi 2019

-8-

4. Voor extern of ingehuurd personeel dat dient te beschikken over de Suwinet-inkijk applicatie is in de meeste gevallen via de inleenovereenkomst van de uitzendbureaus of de daaraan gekoppelde algemene voorwaarden de geheimhouding van vertrouwelijke gegevens door het bureau en de medewerker gewaarborgd. Bij de inlening wordt door de Kwaliteitsmedewerker een ondertekende verklaring gevraagd over de omgang met vertrouwelijke gegevens waaronder Suwinet-inkijk autorisaties. Deze verklaring wordt in het persoonsdossier (bij Personeelszaken) geborgen. 12. Taken en rollen Suwinet-inkijk In het kader van de beveiliging is het beheer voor het gebruik van Suwinet neergelegd bij de Security Officer, ondergebracht bij het team Advies en Ondersteuning. Deze is verantwoordelijk voor het beheren van accounts. Bij indiensttreding of bij functiewisseling krijgen medewerkers indien noodzakelijk dit Beveiligingsplan ‘Suwinet-Inkijk’ uitgereikt en tekenen zij de bijbehorende verklaring Suwinet (zie bijlage). Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. Een verzoek voor autorisatie gaat via TopDesk waarbij de Teamleider goedkeuring geeft. 13. College/Management De verantwoordelijkheid voor het gebruik van Suwinet ligt te allen tijde bij het College van B&W en namens het college bij de managers.

Het college is bestuurlijk eindverantwoordelijk voor een adequaat stelsel van procedures, afspraken en werkwijzen rondom het gebruik en beheer en de interne verantwoording daarover. Vier keer per jaar doet de Intern Controleur (IC)onderzoek naar het gebruik van Suwinet Inkijk. Daarvoor beschikt de IC over gebruikersrapportages die door het BKWI zijn klaargezet. Als er afwijkingen zijn in de trends of andere opvallende zaken, download de IC de Specifieke rapportage. In dat geval onderzoekt hij de interne systemen als C-Sam, Green Valley en of bevraagt de consulent. Dit alles om oneigenlijk of misbruik van privacygegevens te voorkomen. Van dit onderzoek wordt een rapportage opgemaakt en ondertekend door de IC, manager en wethouder. Voor de ondertekening worden de rapportages besproken met de manager. De manager bespreekt het rapport met de wethouder. De verantwoordelijkheid om toegang te verlenen tot de gegevens behorend bij Suwinet-Inkijk berust functioneel gezien bij de verantwoordelijke teammanager en teamleider en wordt technisch uitgevoerd door de Applicatiebeheerder. 14. Security officer/applicatiebeheerder Het gebruik van Suwinet vindt plaats onder toezicht van een Security Officer (SO). De SO beheert beveiligingsprocedures en -maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen is geïmplementeerd.

De SO adviseert over en bevordert de beveiliging van Suwinet, verzorgt rapportages over de status met betrekking tot de beveiliging van Suwinet, zorgt dat de maatregelen worden nageleefd, evalueert de uitkomsten en adviseert en doet voorstellen tot implementatie c.q. aanpassing van plannen op het gebied van de beveiliging van Suwinet. De SO rapporteert en adviseert de teamleider Advies en Ondersteuning en schaalt bij een meningsverschil/incidentenprocedure zo nodig op naar een hoger echelon. Jaarlijks wordt het beveiligingsplan Suwinet gecontroleerd op actualiteit en volledigheid. Wijzigingen worden in een addendum toegevoegd. Vanaf 2019 stellen we het Beveiligingsplan een maal per 3 jaar vast. Voor het eerst in 2021. De Security Officer is verantwoordelijk voor het beheren van de accounts van zowel Suwinet inkijk als de applicatie Liaan, die wordt gebruikt voor DKD inlezen. Gebruikers krijgen een persoonlijk inlogaccount. Alvorens toegang tot Suwinet Inkijk mogelijk is, dient de gebruiker in te loggen in een beschikbaar systeem op basis van een inlogaccount met een wachtwoord, gecombineerd met een token. In de controle door de Security Officer wordt ook bekeken of een actualisering van het beveiligingsplan noodzakelijk is. Als dit het geval is, volgt een voorstel tot actualisering aan het managementteam en het college van B&W.

De Security Officer onderzoekt per kwartaal of de toegangsverlening volgens proces verloopt. Daartoe spreekt zij met de betrokkenen, zoals deze in dit plan zijn vermeld. Tevens kan de Security Officer de volgende bronnen raadplegen: 1. De getekende verklaringen rechtmatig gebruik Suwinet 2. De bijgewerkte autorisatiematrix Bovengenoemde taken behoren tot de genoemde functie en gaan over op de vervanger van de functionaris bij afwezigheid.

Beveiligingsplan Suwi 2019

-9-

15. Intern Controleur De (logging)-gegevens over het gebruik van Suwinet-Inkijk en Liaan worden uitgevraagd door de Intern controleur. Hij controleert periodiek gebruikersrapportages. Bij trendafwijking wordt een specifieke rapportage opgevraagd. De resultaten van deze controle worden teruggekoppeld aan de desbetreffende leidinggevende. De leidinggevende bespreekt de resultaten 4x per jaar met de portefeuillehouder. Taken: •

Vier keer per jaar controle loggin gegevens. Doel: controleren of het gebruik van de gegevens binnen Suwinet-inkijk, Suwinet inlezen en DKD inlezen (Liaan) plaatsvindt binnen de wettelijke kaders en in overeenstemming met de doelen die de organisatie hiertoe heeft geformuleerd

Bovengenoemde taken behoren tot de genoemde functie en gaan over op de vervanger van de functionaris bij afwezigheid. Een logregel bevat minimaal: a. de gebeurtenis; b. de benodigde informatie die nodig is om het incident met hoge mate van zekerheid te herleiden tot een natuurlijk persoon; c. het gebruikte apparaat; d. het resultaat van de handeling; e.

een datum en tijdstip van de gebeurtenis.

16. Teamleiders De teamleiders van het team Inkomen, Werk en re-integratie en het Team Advies en Ondersteuning zijn samen verantwoordelijk voor het gebruik en de beveiliging van Suwinet-inkijk. 17. Gebruikersrollen en autorisaties Er zijn verschillende functies waarin Suwinet-inkijk gebruikt wordt voor het raadplegen van cliëntgegevens/informatie. Binnen Suwinet wordt voor de gemeente een aantal gegevens afgeschermd omdat deze voor de gemeente niet functioneel zijn. Afschermen van een gedeelte van de voor de gemeente beschikbare gegevens is technisch mogelijk, maar is niet functioneel. Bij punt 20 en 21 volgt per functie wie in welke gevallen Suwinet-inkijk en Suwinet inlezen mag gebruiken. We spreken in die gevallen van geoorloofd gebruik. Wordt Suwinet om andere redenen gebruikt dan zoals hieronder verwoord, dan is er in principe sprake van ongeoorloofd gebruik. 18. Autorisaties toekennen Bij het toekennen van autorisaties gelden vanuit het oogpunt van de taakstelling en privacy-bescherming de volgende uitgangspunten: 1. Alleen medewerkers die Suwinet-gegevens nodig hebben voor het uitvoeren van een wettelijke taak krijgen toegang tot Suwinet-Inkijk en Suwinet inlezen. 2. In de gemeentelijke organisatie zijn dat in ieder geval geen andere personen dan medewerkers van het Gebiedsteam Inkomen en Werk en re-integratie en een gering aantal van het team Advies en Ondersteuning.

3. Autorisaties worden toegekend op basis van 'need-to-know': alleen de informatie die nodig is om de functie uit te voeren mag opgevraagd worden. 4. Gemeenten zijn verplicht het Burgerservicenummer (BSN) in de administratie vast te leggen. Dit betekent dat van ieder persoon van wie informatie opgezocht moet worden het BSN bekend is. Informatie via Suwinet-inkijk is daarom alleen via het BSN te benaderen. 5. Autorisaties waarbij op andere of meer zoeksleutels dan alleen het BSN naar informatie gezocht kan worden, worden alleen toegekend aan preventie en SR (Sociale Recherche). 6. Bij vertrek van een medewerker of verandering van functie worden de toegekende autorisaties ingetrokken, dan wel aangepast aan de nieuwe functie door de Teamleider Inkomen, Werk en re-integratie of manager Team Advies en Ondersteuning. Verlopen autorisaties blijven staan zolang de medewerker in dienst is.

Beveiligingsplan Suwi 2019

- 10 -

19. Medewerkers Sociale Recherche en de preventiemedewerkers 1. Afhandeling maandelijkse signalen Inlichtingen Bureau (IB); 2. Controle van tips zowel intern als extern; 3. Fraudesignalen en onderzoeken; 4. Bij preventieonderzoeken en thematische onderzoeken; 5. Suwinet inlezen en of DKD inlezen (Liaan) Ad 1. Liaan De medewerkers SR (2 personen) gebruiken de Internetapplicatie Liaan voor frauderegistratie, herberekeningen en afhandeling van de signalen van het IB. Het zogenaamde Suwinet inlezen en DKD inlezen vindt met behulp van deze applicatie plaats. Als afnemende en inlezende organisatie van Liaan heeft de gemeente gegevens van beveiliging geïmplementeerd. Maatregelen zijn genomen om doelbinding en beveiliging van DKD gegevens te waarborgen. In Liaan is een faciliteit beschikbaar om doelbinding en beveiliging van de DKD gegevens te toetsen. Het inlezen en voorinvullen van DKD-gegevens is ten behoeve van SUWI-taken. De tool maakt het mogelijk per gebruiker een overzicht samen te stellen van de door de gebruiker geraadpleegde gegevens. Iedere bevraging wordt gelogd. Bij het loggen worden de volgende gegevens opgeslagen: Datum, Tijd, Partij Suwi (gemeente), Gebruiker, Applicatie, Doelbinding, Bericht, BSN, Kenteken. Hierdoor kan inzage worden verkregen welke BSN-nummers en kentekens bevraagd zijn.

Wij schatten in dat het risico op oneigenlijk dan wel misbruik gering is, gelet op het zeer beperkte aantal gebruikers. Per kwartaal toetst de Intern Controleur de raadplegingen van de gebruikers. Hierbij wordt gekeken of de gebruiker de BSN ’s en of kentekens heeft geraadpleegd die nodig zijn voor onderzoek binnen haar vakgebied. De functioneel beheerder is applicatiebeheerder en gebruikersbeheerder om de rechten te beheren. De Intern Controleur doet de logincontroles zoals deze ook voor Suwi-Inkijk worden gedaan.

20. Consulent, financieel en administratief mdw, kwaliteits- en juridische mdw 1. Aanvragen ogv de PW, Ioaw, Ioaz, Bbz uitkering, verhaal en beslag; 2. Heronderzoeken (zowel rechtmatigheids- als doelmatigheidsonderzoeken); 3. Debiteuren(her)onderzoeken ter vaststelling van actuele woonplaats, draagkracht, hoogte inkomen, werkgever etc.; 4. Verwerking, controle van de maandelijkse mutatieformulieren en in die gevallen ter beoordeling van de consulent/medewerker. 21. Rollen binnen gebiedsteams De functies binnen de gemeente die geautoriseerd zijn om gebruik te maken van Suwinet-Inkijk liggen vast in rollen per gebiedsteam. Zo zijn onderstaande gebruikersrollen voor Inkomen, Werk en re-integratie en Advies en Ondersteuning: 1. Consulenten uitkeringsadministratie, medewerkers financiële administratie; 2. Consulenten werk en inkomen; 3. Kwaliteitsmedewerkers en intern controleur; 4. Medewerkers sociale recherche en de preventiemedewerkers. (‘zware rollen’) 5. Inburgering

Beveiligingsplan Suwi 2019

- 11 -

Schema functies en toegang tot gebruikersrollen voor Suwinet-Inkijk Medewerker/functie

Gebruikersrol

(Gebieds)team

Consulent werk

Consulent werk

Werk en re-integratie

Consulent inkomen

Consulent inkomen

Inkomen

Kwaliteitsmedewerker

Consulent inkomen

Team Advies en Ondersteuning

Medewerkers financiële administratie

Consulent inkomen

Team Advies en Ondersteuning

Administratieve medewerker uitkeringenadministratie

Consulent inkomen

Inkomen

Sociale Rechercheur, preventiemedewerkers en adm.medewerker SR

Consulent fraude

Team Advies en Ondersteuning

Functioneel beheerder Werk en Inkomen en Intern controleur

Gebruiksbeheerder

Team Advies en Ondersteuning

22. Instructie medewerkers Medewerkers worden om verschillende redenen geautoriseerd voor het gebruik van deze gegevens. In de aan hun te geven instructie (zie bijlage) zal duidelijk moeten worden gemaakt dat zowel dienstverlening als controle te ver kunnen doorschieten: Gegevens inzien kan en moet, maar alleen voor zover het nodig is voor het uitvoeren van de opgedragen taak. Voor het werken en omgaan met persoonsgegevens is vanuit de Europese Unie een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Daaruit zijn gedragsregels afgeleid die gelden voor medewerkers van de gemeente (Gebiedsteams Inkomen, Werk en re-integratie en Team Advies en Ondersteuning) in relatie tot hun werkzaamheden, in het bijzonder bij het gebruik van Suwinet-Inkijk en DKD inlezen. 23. Functiescheiding Er zijn verschillende functies waarin Suwinet-inkijk gebruikt wordt voor het raadplegen van cliëntgegevens/informatie. De taken en verantwoordelijkheidsgebieden zijn gescheiden om gelegenheid voor onbevoegde of onbedoelde wijziging of misbruik van de bedrijfsmiddelen van de organisatie te verminderen. Hiervoor zijn onderstaande taken bij verschillende personen belegd: 1. Uitvoering van taken (het gebruik van Suwinet); 2. Het beheer van autorisaties (toegang verlenen tot Suwinet); 3. Kwaliteitszorg en borging van rechtmatig gebruik (controle op gebruik van Suwinet); 4.

Management (beslissen over bevoegdheden van functiegroepen, en/of individuele medewerkers, uitdragen belang goed gebruik, bijsturen na oneigenlijk gebruik, optreden na misbruik Suwinet); 5. Opvragen rapportages.

In het toekennen van autorisaties is de functiescheiding als volgt verwerkt: 1. Verlenen toegang (betreffende teamleider of teammanager in combinatie met Applicatiebeheerder) gescheiden van gebruik (alle overige gebruikers van Suwinet-Inkijk en DKD inlezen). 2. Beveiligingsmaatregelen alsook advisering over gebruik en beveiliging Suwinet zijn beide belegd bij de Security Officer. Echter ook de medewerker Interne Controle heeft een eigen rol in de controle op de beveiliging en processen rondom Suwinet. Deze IC-medewerker rapporteert zelfstandig onder andere aan het MT en B&W. Hiermee is deze scheiding van taken ondervangen. 3. De autorisaties worden met inachtneming van deze uitgangspunten op verzoek van de betreffende teamleider of teammanager toegekend door de Applicatiebeheerder. In het verzoek wordt gemotiveerd aangegeven waarom aan een (groep) gebruiker(s) een bepaalde autorisatie moet worden toegekend. 4. Raadplegen van Suwinet-Inkijk in andere situaties wordt via de whitelist vastgelegd. In de applicatie Liaan bestaat geen whitelist. Een BSN raadplegen van een cliënt die onbekend is in het cliëntvolgsysteem in verband met een rechtmatigheids- en/of fraudeonderzoek wordt door de medewerker zelf geregistreerd om dit indien nodig achteraf te kunnen verantwoorden aan de medewerker Interne Controle.

Beveiligingsplan Suwi 2019

- 12 -

Er is geen capaciteit om tot verdere functiescheiding te komen. De taken met betrekking tot Suwi vormen geen dagtaak. Ze zijn van een zodanig geringe omvang dat iemand dit naast zijn reguliere werk doet. Daarom zijn de taken bij de meest logische functionaris belegd. 24. Proces toekennen autorisaties 1. De medewerker die in dienst komt (of tijdelijk wordt ingehuurd) en voor de uitoefening van zijn taak het gebruik van Suwinet nodig heeft, wordt op verzoek van de Teamleider Inkomen en Werk en re-integratie geautoriseerd door de Suwinetbeheerder. Dit verzoek wordt neergelegd in het “meldingsformulier in dienst nieuwe medewerkers” waarin alle organisatiebreed te doorlopen stappen bij het in dienst komen van een medewerker zijn vastgelegd. In het “meldingsformulier in dienst nieuwe medewerkers” wordt vastgelegd dat de medewerker geautoriseerd moet worden voor Suwinet en welk gebruikersprofiel (rol) aan hem wordt toegekend. 2. Wanneer Suwinet om andere redenen wordt gebruikt, dan is er in principe sprake van ongeoorloofd gebruik. Over het algemeen geldt dat slechts mag worden geraadpleegd, indien die stap binnen het werkproces expliciet is beschreven. 3.

Consulenten mogen raadplegen bij het behandelen van aanvragen of melding dat belanghebbende een uitkering wil aanvragen, rechtmatigheidsonderzoeken en tussenonderzoeken voor zover het de Participatiewet, Ioaw, Ioaz, Bbz of een andere door de teams uitgevoerde regeling betreft. Er is een zodanig onderscheid gemaakt in functie en rol binnen de autorisatiestructuur van Suwinet dat de medewerker de voor hem/haar van belang zijnde gegevens kan raadplegen. 4. Medewerkers die verantwoordelijk zijn voor terugvordering en verhaal mogen raadplegen bij onderzoeken die samenhangen met verhaal op onderhoudsplichtigen of vorderingen. Dit bijvoorbeeld ter vaststelling van woonplaats, draagkracht, inkomen of werkgever. 5. De administratief medewerker mag raadplegen om standaard uitdraaien voor het onderzoek van de consulent Werk en Inkomen te maken. 6. De medewerker uitkeringsadministratie mag gegevens uit Suwinet-Inkijk raadplegen. Dit ten behoeve van de berekening en uitbetaling van de uitkering. 7. Kwaliteitsmedewerkers mogen raadplegen om besluiten te kunnen toetsen. 8. De medewerkers van team Burgerzaken mogen de gegevens uit Suwinet-Inkijk raadplegen om adresonderzoeken te behandelen. 9.

Handhaving (Sociaal Rechercheur en Preventie) mag raadplegen bij het behandelen van aanvragen of melding dat belanghebbende een uitkering wil aanvragen, rechtmatigheidsonderzoeken en tussenonderzoeken voor zover het de Participatiewet, Ioaw, Ioaz, Bbz of een andere door de teams uitgevoerde regeling betreft. Er is een zodanig onderscheid gemaakt in functie en rol binnen de autorisatiestructuur van Suwinet dat de medewerker de voor hem/haar van belang zijnde gegevens kan raadplegen. Bij de onderzoeken wordt telkens de afweging gemaakt over noodzaak, subsidiariteit en proportionaliteit van het instrument wat wordt ingezet. Aan deze medewerkers zijn de zgn ‘zware rollen’ toegekend. 10. Voor de medewerkers van SR is er een internetapplicatie Liaan beschikbaar. Hierin zitten modules Herberekenen, Inlichtingenbureau en Frauderegistratie. Tevens gebruiken we dit voor DKD-inlezen. 11. De gegevensbeheerder en de daarbij aangesloten medewerkers mogen raadplegen om onderzoek in te stellen naar aanleiding van de logging gegevens. 25. Wijzigen autorisatie -

De werkzaamheden van medewerkers kunnen veranderen. Dit kan een uitbreiding of beperking van de toegekende Suwinet rollen betekenen. Wijzigingen als gevolg van veranderende taken doorlopen dezelfde stappen als bij een eerste autorisatie-verlening.

-

De Security Officer besteedt in deze gevallen in het bijzonder aandacht aan het voorkomen van een onbedoelde stapeling van bevoegdheden. Hiermee wordt bedoeld dat niet meer benodigde autorisatie-rollen ook daadwekelijk worden ingetrokken bij de toekenning van nieuwe rollen die vanwege het nieuwe takenpakket rechtmatig noodzakelijk zijn en dat de verleende autorisatie afgestemd doelmatig blijft.

Beveiligingsplan Suwi 2019

- 13 -

26. Whitelist Persoonsgegevens zijn per definitie privacygevoelig en dienen met de hoogst mogelijke zorgvuldigheid te worden gebruikt en behandeld. Voor het gebruik van Suwinet-Inkijk dienen medewerkers te zijn geautoriseerd. Daarmee is de toegang tot gegevens beperkt tot personen die uitvoering geven aan deze genoemde wettelijke taak. Op dit moment kan een geautoriseerde medewerker in principe gegevens opvragen van iedere in Nederland woonachtige persoon. Dit betreft dan ook personen waar geen dienstverleningsrelatie mee is op basis van de gemeentelijke wettelijke taken. De gegevensraadpleging is dus niet begrensd tot de ‘eigen’ burgers. Het zou kunnen leiden tot raadplegingen van gegevens van burgers waarmee geen dienstverleningsrelatie mee is. Dit is onwenselijk. Om dit tegen te gaan gebruiken we nu binnen Suwinet-Inkijk een filtermechanisme, de zogenaamde ‘whitelist’. Deze whitelist bevat alleen BSN’s van personen waarmee de gemeente een dienstverleningsrelatie heeft of heeft gehad. Is die relatie er niet (geweest), dan krijgt de medewerker in principe geen toegang tot de gegevens. Indien de raadpleging toch noodzakelijk is kan de medewerker gebruik maken een zogenaamde escape-functie. Dit filtermechanisme zorgt voor een veilig en proportioneel gegevensgebruik door de medewerker en draagt bij aan de privacy van de burger.

Wie staan er op de whitelist Alle klanten en hun eventuele partners die een uitkering levensonderhoud of bijzondere bijstand ontvangen of in de afgelopen maanden hebben ontvangen, een openstaande schuld aan de organisatie hebben of onderhoudsplichtig zijn. Deze klanten blijven op de whitelist staan tot een half jaar na het beëindigen van de regeling. Wie mag er gebruik maken van de escape-functie Gekozen is om iedere consulent de toegang tot de escape-functie te geven. Indien een medewerker persoonsgegevens opvraagt van een BSN dat niet op de whitelist staat, verschijnt een melding op zijn scherm. Alleen een medewerker met een autorisatie voor de escapefunctie kan toch doorgaan. Er zal moeten worden aangegeven waarom de escapefunctie wordt gebruikt. Er is geëvalueerd of de escapefunctie voor iedere consulent noodzakelijk is. Dit blijkt handiger te zijn omdat geen consulent in dienst is die zich alleen met ‘nuggers’ (niet-uitkeringsgerechtigden) bezighoudt. Hoe vaak wordt de whitelist geactualiseerd Wekelijks wordt er een actuele lijst geüpload bij het BKWI om een zo actueel mogelijk bestand te verkrijgen, waardoor het gebruik van de escapefunctie zo veel mogelijk wordt voorkomen. Deze taak zal worden uitgevoerd door de Security Officer. Indien deze persoon niet aanwezig is zal dit door de intern controleur worden uitgevoerd. 27.

Misbruik en beveiligingsincidenten Bij controle van het gebruik kan er sprake zijn van constateringen die afwijken van het normale gebruiksbeeld. In dit geval wordt er een specifieke rapportage opgevraagd. Indien deze rapportage daar aanleiding toe geeft stelt de Security Officer een onderzoek in en betrekt daarbij altijd de volgende personen; 1. Intern controleur 2. Teamleider Inkomen en Werk en re-integratie/ Teammanager Advies en Ondersteuning. Onderzocht wordt of er sprake was van doelmatig en rechtmatig gebruik van de Suwinet inkijk voorziening. Het kan nodig zijn met betrokken medewerker te spreken om dit uiteindelijk vast te stellen. Indien er geen misbruik is geconstateerd is hiermee het onderzoek ten einde. De gegevens kunnen geanonimiseerd in de rapportage verwerkt worden. Bij geconstateerd misbruik zal de SO een rapportage opstellen waarin de zwaarte van het misbruik omschreven wordt en deze aan de leidinggevende richten. Zo nodig wordt er opgeschaald. Er kan sprake zijn van de situatie dat misbruik geconstateerd is en dat de medewerker die hier verantwoordelijk voor is niet meer bij de gemeente werkzaam is. In deze situatie wordt beoordeeld welke stappen ondernomen worden. Hiertoe behoort ook het eventueel inlichten van een nieuwe werkgever.

Als er beveiligingsincidenten (waaronder datalekken) optreden worden gemeentelijke procedures gevolgd voor het melden en afhandelen van beveiligingsincidenten (zie ook paragraaf 4.d). Indien deze incidenten gevolgen hebben voor de beschikbaarheid, integriteit of vertrouwelijkheid van SUWInet of Liaan zal de gemeentelijke CISO worden betrokken bij de afhandeling van deze incidenten.

Beveiligingsplan Suwi 2019

- 14 -

28. Misbruik en sancties Er wordt onderscheid gemaakt tussen vermoedelijk misbruik en geconstateerd misbruik. Een sanctie wordt alleen toegepast bij misbruik. Opzettelijk onjuist gebruik wordt aangemerkt als misbruik. Indien er sprake is van misbruik door een medewerker, informeert de Security Officer Suwinet de verantwoordelijke teamleider of teammanager. Deze heeft een informerend gesprek met de medewerker. Dit gesprek wordt gerapporteerd richting de Security Officer Informatieveiligheid, MT en college van Burgemeester & wethouders (B&W) omdat hier sprake is van een ernstig veiligheidsincident. Als het om een Rozendaalse klant gaat, wordt de Ciso van Rozendaal betrokken. Onder ernstig misbruik wordt in ieder geval verstaan het beschikbaar stellen van gegevens van burgers aan derden voor commerciële doeleinden. De Security Officer meldt gebleken misbruik aan de Teamleider of verantwoordelijke manager met een advies over de ernst van dit misbruik. De sanctie wordt afgestemd op de ernst van het misbruik en de omstandigheden. Ernstig misbruik kan leiden tot strafontslag of bij ingeleend personeel tot het onmiddellijk beëindigen van de inleenverhouding en melding aan de uitlener. Conform de Ambtenarenwet en de CAR/UWO zijn rechtspositionele maatregelen mogelijk. De zwaarte van de sanctie is ter beoordeling aan de werkgever.

Op basis van hetgeen in de CAR-UWO is beschreven aan disciplinaire maatregelen (van berisping tot ontslag op staande voet) bepaalt de werkgever de zwaarte van de disciplinaire maatregel. De medewerker wordt hiervan schriftelijk in kennis gesteld. Tegen deze beslissing is bezwaar en beroep mogelijk. Bij ernstige vergrijpen kan ook het strafrecht in beeld komen. Onjuist gebruik leidt tot een nadere instructie, waarschuwing of sanctie bij de betrokken medewerker. Onjuist gebruik is: 1. Elk gebruik dat niet ten dienste staat van de uitkeringsverlening; 2. Het opvragen van gegevens ten behoeve van derden; 3. Het verstrekken van die gegevens aan derden. Incidentele fouten zoals het ingeven van een verkeerd BSN–nummer wordt niet gezien als onjuist gebruik.

Beveiligingsplan Suwi 2019

- 15 -

IV.Communicatie De medewerker is altijd zelf bij zijn of haar werkzaamheden verantwoordelijk voor het voorkomen van oneigenlijk gebruik van informatie door derden. In bijlage 1 ‘Regels bij beveiliging van persoonsgegevens’ is de lijst opgenomen met ‘gouden tips’ en aandachtspunten. Het beveiligingsplan Suwinet is van toepassing op iedereen die gebruik maakt van Suwinet-Inkijk binnen de gemeente. Het plan wordt beschikbaar gesteld op het intranet en in het Handboek Schulinck. Van deze publicatie worden de betreffende medewerkers per mail op de hoogte gesteld. Het binnen de gemeente geldende informatieveiligheidsbeleid (inclusief instructies en protocollen) is op iedereen van toepassing die gebruik maakt van Suwinet-Inkijk. Bestaande gebruikers zijn op de hoogte; nieuwe gebruikers worden op de hoogte gesteld. Het plan wordt na vaststelling actief gecommuniceerd met de medewerkers. Het beveiligingsplan moet actief binnen de eigen organisatie worden uitgedragen en om te borgen dat haar medewerkers op de hoogte zijn van de inhoud en betekenis. Hierdoor weten medewerkers welk gedrag de organisatie van hen verwacht én weten ze dat er gegevens worden bewaard waarmee het gedrag kan worden gecontroleerd. Van dat laatste moeten ze zich bewust zijn in relatie tot hun eigen privacy en dat van de klant.

De organisatie kan de opgeslagen gegevens niet lukraak gebruiken: er moeten redelijke gronden zijn om de privacy van medewerkers binnen te treden. Jaarlijks wordt dit onderwerp geagendeerd voor de overleggen. Alle gebruikers worden er minimaal twee keer per jaar in een periodiek overleg op geattendeerd dat ze kennis moeten nemen van het plan. Nieuwe medewerkers worden via de kwaliteitsmedewerker op het plan gewezen met de opdracht er kennis van te nemen. Uitgangspunten: Minimaal twee keer per jaar vindt in het werkoverleg van het Team Inkomen, Werk en re-integratie en bij de gebruikers van Team Advies en Ondersteuning een bespreking plaats over het onderwerp. Alle gebruikers worden er dan op geattendeerd dat ze kennis moeten nemen van het plan. De Security Officer en kwaliteitsmedewerker zijn hierbij aanwezig en van dit werkoverleg wordt een verslag gemaakt. -

Nieuwe medewerkers worden door de Security Officer en kwaliteitsmedewerker op het plan en de daarin opgenomen Suwinet “handreiking voor gebruik” gewezen met de opdracht er kennis van te nemen.

-

De nieuwe medewerker wordt er op gewezen dat van zijn of haar raadplegingen op Suwinet logging gegevens worden vastgelegd. Hierdoor vernemen medewerkers welk gedrag de organisatie van hen verwacht én weten ze dat er gegevens worden bewaard waarmee het gedrag kan worden gecontroleerd .

-

Van dat laatste moeten ze zich bewust zijn in relatie tot hun eigen privacy en die van de klant. De organisatie kan de opgeslagen gegevens echter niet lukraak gebruiken, er moeten redelijke gronden zijn om de privacy van medewerkers binnen te treden.

-

Zij krijgen ter ondertekening de “Verklaring rechtmatig gebruik Suwinet” (zie bijlage) aangeboden. Het ondertekenen van de verklaring is een belangrijk onderdeel van de bewustwording van de medewerker.

29. Evaluatie Betrokkenen houden jaarlijks een evaluatiebijeenkomst. Het beveiligingsplan Suwinet wordt jaarlijks geëvalueerd en een maal per 3 jaar vastgesteld. Bij de evaluatie maken we zo nodig een addendum.

Beveiligingsplan Suwi 2019

- 16 -

Bijlage 1 Regels bij beveiliging van persoonsgegevens Regels bij beveiliging van persoonsgegevens in relatie tot verkregen Suwi gegevens Voor het werken met en de omgang met persoonsgegevens zijn vanuit de Europese Unie een aantal regels opgesteld, die zijn verwoord in verschillende wet- en regelgeving. Concreet kunnen deze regels in relatie tot de SUWI wetgeving als volgt worden vertaald: 1. Beheren van wachtwoorden De werkplekken (inlog computers) zijn beveiligd door middel van wachtwoorden met een aanvullend gebruikersnummer (token). De werknemer moet zijn wachtwoord invoeren alvorens de pc gebruikt kan worden. De Suwinetinkijk applicatie heeft een eigen wachtwoord. Bij het gebruik van Suwinet is het niet toegestaan om de werkplek te verlaten. Bij het verlaten van de werkplek moet de applicatie worden afgesloten en moet men zich op de computer afmelden. 2. Melden van beveiligingsincidenten Het is belangrijk dat beveiligingsincidenten worden gemeld bij de applicatiebeheerder van Suwinet en of bij de Servicedesk. Door de Servicedesk worden alle incidenten vastgelegd in Topdesk en bewaakt door de teammanager of teamleider. De rapportages hiervan gaan ook naar de CISO. Voorbeelden van incidenten zijn: een virusmelding op het systeem of een inbraak of poging tot inbraak. 3.

Geheimhoudingsplicht Binnen de Gebiedsteams Inkomen, Werk en re-integratie en Team Advies en Ondersteuning wordt met persoonsgegevens gewerkt. Voor het werken met en de omgang met persoonsgegevens zijn vanuit de Europede Unie een aantal regels opgesteld, die zijn verwoord in de Algemene Verordening Gegevensbescherming (AVG). In de wet SUWI en in het ambtenarenrecht zijn geheimhoudingsbepalingen opgenomen, waarin wordt aangegeven dat de persoonsgegevens niet verder bekend mogen worden gemaakt dan voor de uitoefening van de functie noodzakelijk is. Van extern personeel wordt hetzij via de inleenovereenkomst met de uitzendorganisatie, hetzij via een ondertekende verklaring de geheimhouding gevraagd. 4. Gedragscode internet- en e-mailgebruik De gemeente hanteert een protocol voor gebruik van email en internet. In dit protocol is aangegeven hoe de medewerkers behoren om te gaan met e-mail en internet op de werkplek. Tevens bevat dit protocol regels voor de manier waarop het gebruik van externe e-mail en internet wordt geobserveerd. Het protocol is voor alle medewerkers van de gemeente te raadplegen op het gemeentelijke Intranet. 5. Kennisnemen van het informatiebeveiligingsbeleid Het binnen de gemeente geldende informatiebeveiligingsbeleid, incl.

het Beveiligingsplan Suwi met instructies en protocollen is op iedereen binnen de Gebiedsteams Inkomen, Werk en re-integratie en TAO van toepassing die gebruik maakt van Suwinet-inkijk. Alle gebruikers hebben een exemplaar van het beveiligingsplan ontvangen en alle nieuwe medewerkers/gebruikers (ook gedetacheerde medewerkers) ontvangen via de SO of kwaliteitsmedewerker een exemplaar. Gebruikers van Suwinet-inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld. Dit is een belangrijk onderdeel van de privacybescherming ten opzichte van deze medewerkers. In het beveiligingsplan is hier uitgebreid aandacht aan besteed. Een aantal keren per jaar en bij de evaluatie van het beveiligingsplan wordt dit onderwerp geagendeerd voor het werkoverleg. 6. Gegevensverstrekking aan derden via de telefoon Het uitgangspunt is dat er met terughoudendheid aan verzoeken om telefonische informatie over betrokkenen wordt tegemoetgekomen. Het voeren van telefoongesprekken brengt namelijk de risico’s met zich mee dat de identiteit van de gesprekspartner verkeerd wordt vastgesteld of dat persoonsgegevens worden verstrekt aan personen die geen recht op informatie hebben. In principe wordt er dan ook geen telefonische informatie over klanten verstrekt aan personen of instanties die beweren namens betrokkene te bellen.

Beveiligingsplan Suwi 2019

-1-

In die gevallen kan er een schriftelijk verzoek worden ingediend, voorzien van een machtiging. Bij een verzoek om telefonische informatieverstrekking van een ketenpartner wordt de verzoeker teruggebeld via het algemene nummer van de (vestiging van de) ketenpartner met het verzoek te worden doorverbonden. Dit terugbellen kan achterwege blijven indien verzoek afkomstig is van een vaste contactpersoon. 7. Clear desk en clear screen policy De vertrouwelijke omgang met persoonsgegevens houdt onder andere in dat elke werkplek zodanig is ingericht, dat onbevoegden niet de beschikking kunnen krijgen over deze informatie. Vertrouwelijke gegevens mogen niet onbeheerd op het bureau achterblijven. Dossiers worden bewaard in een kast die na werktijd wordt gesloten. Bezoekers dienen zich bij binnenkomst in het gemeentehuis eerst te melden bij de receptie. De werkplekken bevinden zich achter beveiligde deuren. De kans is daarom gering dat onbevoegden zonder te worden opgemerkt toegang krijgen tot de werkplek van de medewerkers. Clear screen betekent dat het werkstation moet worden vergrendeld met behulp van schermbeveiliging (met wachtwoord). De screensaver is zodanig ingesteld dat na een xaantal minuten de schermbeveiliging intreedt. Dit is door de afdeling Systeembeheer voor iedere medewerker standaard ingesteld. 8.

Geen vertrouwelijke gegevens in de prullenbak De correcte omgang met vertrouwelijke gegevens – waaronder persoonsgegevens – is erg belangrijk binnen de betreffende teams. Ook het vernietigen van deze gegevens moet op een veilige manier plaatsvinden. Daarom zijn er op iedere kamer speciale afgesloten bakken geplaatst, waarin het te vernietigen materiaal verzameld wordt. De verzamelde vertrouwelijke gegevens worden regelmatig aangeleverd bij het vernietigingsbedrijf. Vertrouwelijke gegevens dienen niet terecht te komen in een prullenbak. 9. Aanspreken van onbekende personen In het geval dat een medewerker van de betreffende teams een voor hem/haar onbekende persoon in de gang van de afdeling tegenkomt waar officieel geen publiek zonder begeleiding mag komen, spreekt de medewerker deze persoon aan, zichzelf voor te stellen en de persoon in kwestie te vragen wat hij/zij hier doet. Personen die niet bevoegd zijn om zich op deze plek te bevinden worden hierdoor op deze overtreding gewezen. Het is de taak van de medewerker om hen beleefd maar duidelijk de weg naar het publieke gedeelte van het gebouw te wijzen en ze daar naar toe te begeleiden. 10.

De dagelijkse werkzaamheden tegenover informatiebeveiliging Informatieveiligheid is uitermate belangrijk voor het werk binnen de Gebiedsteams Inkomen, Werk en re-integratie en TAO waar veelvuldig met privacygevoelige informatie wordt gewerkt en hoort dan ook bij de professionele en bekwame uitvoering van het werk. Ook cliënten vertrouwen op een zorgvuldige wijze van verwerken van hun gegevens. Reden waarom middels het werkoverleg geregeld aandacht aan dit onderwerp besteed dient te worden. 11. Thuiswerken Binnen de betreffende teams is het van essentieel belang om op een correcte wijze om te gaan met vertrouwelijke gegevens, waaronder persoonsgegevens. Tevens is dit een belangrijk aandachtspunt voor het thuiswerken. Specifiek voor het thuiswerken zijn er interne richtlijnen. Hierin staat onder andere dat thuis de papieren werk-informatie goed wordt opgeborgen, c.q. niet zomaar rondslingert. Via de eigen internetverbinding thuis log je eerst in op het systeem van de gemeente Rheden. Dit gaat middels een inlogaccount met een wachtwoord en een token (een apparaatje met aanvullend gebruikersnummer). Printen op de eigen thuisprinter is niet toegestaan en niet direct mogelijk. Vanwege de coronapandemie is thuiswerken de regel geworden in plaats van uitzondering.

Beveiligingsplan Suwi 2019

-2-

Bijlage 2 Protocol inzage in Suwinet door cliënt en/of gemachtigde Protocol inzage in Suwinet door cliënt en/of gemachtigde Om de privacy van de cliënt te waarborgen is zorgvuldigheid in de omgang met diens gegevens vereist. In bepaalde, in de hieronder beschreven gevallen, is gegevensinzage door derden mogelijk. De via Suwinet-inkijk opvraagbare gegevens zijn alleen in elektronische vorm te zien. De gegevens mogen niet lokaal worden opgeslagen (op de harde schijf of op diskette). Hieronder volgt een handleiding voor een aantal situaties waar de Suwi-gebruiker mee te maken kan krijgen. Protocol AVG: https://www.rheden.nl/Footer/Privacy/AVG_verzoek_indienen INZAGE 1. De cliënt verzoekt om inzage, hetzij schriftelijk, hetzij mondeling, in diens gegevens • Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (rijbewijs, paspoort, etc.); •

Vraag om het burgerservicenummer (BSN) van de cliënt;

•

Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)

•

Maak een uitdraai van de geraadpleegde gegevens of laat de cliënt meekijken op het scherm;

•

Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar;

•

Beëindig inkijksessie.

Het is mogelijk dat een cliënt telefonisch vraagt om een uitdraai van zijn/haar gegevens. In dat geval dient de client verwezen te worden naar zijn/haar consulent of moet een schriftelijk verzoek indienen, dat binnen de wettelijk verplichte termijn dient te worden afgehandeld. Indien de cliënt inzage wil in al zijn/haar gegevens die bij een ketenpartner zijn geregistreerd, dient de klant te worden verwezen naar de betreffende ketenpartner.

2. Gemachtigde verzoekt schriftelijk om inzage in cliëntgegevens •

Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven;

•

Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);

•

Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);

•

Vraag om het BSN van de cliënt;

•

Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)

•

Maak een uitdraai van de geraadpleegde gegevens of laat de gemachtigde meekijken op het scherm;

•

Berg (mogelijk tweede) uitdraai onmiddellijk op in het cliëntendossier of vernietig eventueel uitgedraaid exemplaar;

•

Beëindig inkijksessie.

3. Een derde verzoekt om inzage, hetzij schriftelijk, hetzij mondeling in cliëntgegevens •

Dit is niet mogelijk

Beveiligingsplan Suwi 2019

-1-

CORRECTIE 1. De cliënt verzoekt om correctie •

Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);

•

Vraag om het BSN van de cliënt;

•

Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.);

•

Informeer de cliënt dat hij/zij een officieel verzoek moet indienen via een standaardformulier;

•

Maak twee kopieën van het verzoek;

•

Verstrek een kopie aan de cliënt, archiveer de andere kopie.

2. Gemachtigde verzoekt om correctie •

Stel vast dat de machtiging schriftelijk is gegeven en nauwkeurig omschreven;

•

Stel de identiteit van de gemachtigde vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);

•

Stel de identiteit van de cliënt vast aan de hand van een geldig legitimatiebewijs (ID-bewijs, paspoort, etc.);

•

Vraag om het BSN van de cliënt;

•

Stel vast dat het BSN is ontleend aan een officieel document (ID-bewijs, paspoort etc.)

•

Informeer de gemachtigde dat hij/zij een officieel verzoek moet indienen via een standaardformulier;

•

Maak twee kopieën van het verzoek;

•

Verstrek een kopie aan de gemachtigde, archiveer de andere kopie

3. Een derde verzoekt om correctie •

Dit is niet mogelijk

Digitaal verzoek Het is ook mogelijk om digitaal een AVG verzoek in te dienen. https://www.rheden.nl/Footer/Privacy/AVG_verzoek_indienen

Beveiligingsplan Suwi 2019

-2-

Bijlage 3 Geheimhoudingsverklaring Verklaring omtrent geheimhouding van vertrouwelijke gegevens en het gebruik van Suwinet-inkijk. (deze verklaring is noodzakelijk voor medewerkers waarbij de geheimhouding niet via het ambtenarenreglement of de inleenovereenkomst is geregeld) De ondergetekende verklaart dat: Geheimhouding algemeen Hij/zij verplicht is tot geheimhouding van alle vertrouwelijke informatie die hij/zij vanwege de overeenkomst met de gemeente Rheden heeft verkregen tenzij op hem een wettelijke plicht tot bekendmaking rust. Informatie geldt als vertrouwelijk als dit door de gemeente is meegedeeld of als dit voortvloeit uit de aard van de informatie. De geheimhouding geldt tijdens de uitvoering maar ook na voltooiing van de werkzaamheden. Gebruik Suwinet-inkijk Hij/zij kennis heeft genomen van het beveiligingsplan Suwinet en de bijlagen over het gebruik van de Suwinetinkijk applicatie en de wijze waarop het gebruik van deze applicatie wordt vastgelegd en gecontroleerd.

Rheden, d.d._______________ naam:

voornaam:

functie/rol Suwinet-inkijk:

Handtekening,

____________________________

Beveiligingsplan Suwi 2020

-

1 -

Bijlage 4 Procedure terugmeldingen en correctieverzoeken DKD Deze procedure maakt deel uit van het beveiligingsplan Suwinet. De procedure voorziet in de handelingen, die verricht moeten worden, indien van een burger of één van de ketenpartners een melding wordt ontvangen van een geconstateerd verschil in de gegevens, die vanwege gemeente Rheden in het DKD zijn aangebracht. Er is een mailadres beschikbaar voor correctieverzoeken en meldingen: correctieservice@rheden.nl. De Security Officer Suwinet heeft toegang tot dit mailadres. Taken en bevoegdheden

•

De daartoe aangewezen medewerker van gemeente Rheden heeft de taak een adequaat onderzoek te laten doen naar aanleiding van een correctieverzoek van een burger of een terugmelding door een ketenpartner, het gegeven zo nodig aan te passen, aan te vullen of te verwijderen. Indien een gegeven wordt aangepast, gewijzigd of verwijderd wordt de melder (burger)hiervan op de hoogte gebracht. Ook indien het betreffende correctieverzoek wordt afgewezen wordt de melder (burger) hiervan in kennis gebracht.

•

De betreffende ketenpartner, welke een terugmelding heeft gedaan, wordt na een aanpassing van het gegeven in de applicatie van de bronhouder van de verwerking hiervan middels de betreffende autorisatie op DKD geïnformeerd.

Uitvoering 1. Een burger dient een correctieverzoek in voor de gegevens over hem/haar opgenomen in het DKD of een ketenpartner doet mededeling over een geconstateerde afwijking tussen één of meerdere gegevens opgenomen in DKD en de gegevens waarvan men kennis heeft of kennis heeft gekregen. 2. De terugmelding of het correctieverzoek worden ontvangen door de daartoe aangewezen medewerker. 3. Naar aanleiding van een correctieverzoek of terugmelding wordt overgegaan tot een onderzoek. De daartoe aangewezen medewerker is verantwoordelijk voor de afhandeling van de terugmelding. 4. De burger, die een correctieverzoek heeft ingediend, of de ketenpartner, die een terugmelding heeft gedaan, wordt zo spoedig mogelijk doch binnen 7 werkdagen na de ontvangst hiervan in kennis gesteld of naar aanleiding van het verzoek of de terugmelding gegevens in DKD zijn verbeterd, aangevuld of verwijderd. Ook bij een afwijzing van zijn/haar correctieverzoek wordt dit binnen 7 dagen aan de burger medegedeeld. 5. Blijkt uit het onderzoek dat het gegeven of de gegevens verbeterd, aangevuld of verwijderd moeten worden, dan zorgt de daartoe aangewezen medewerker dat hieraan uitvoering wordt gegeven. Controle

•

Eenmaal per jaar wordt door de Security Officer aan de hand van een aantal willekeurig gekozen terugmeldingen getoetst of conform het voorschrift wordt gewerkt.

•

De Security Officer rapporteert schriftelijk over de toetsing aan de verantwoordelijke manager

•

In deze rapportage zijn de volgende elementen standaard opgenomen:

o

Wanneer is de toetsing uitgevoerd?

o

Waaruit bestond de toetsing?

o

Wat is er geleerd van de toetsing?

o

Wat zijn de voorgestelde vervolgacties aan het management?

Beveiligingsplan Suwi 2020

-

1 -

Rapportage controle terugmeldingen en correctieverzoeken DKD Aan: de teammanager TAO Van: De Security Officer Suwinet Betreft: rapportage controle Terugmeldingen en Correctieverzoeken DKD Datum: Inleiding Op ……………….. is gecontroleerd of er onregelmatigheden zijn met betrekking tot het uitvoeren van de Procedure Terugmeldingen en Correctieverzoeken DKD en de daarin vastgelegde werkwijze voor het verwerken van inhoudelijke terugmeldingen van ketenpartners en correctieverzoeken van burgers. Beschrijving controle Het volgende is gecontroleerd:

Wie heeft gecontroleerd? De volgende medewerker(s) heeft/hebben gecontroleerd: -De Security Officer Resultaten van de controle

Aanbevelingen De volgende aanbevelingen worden gedaan:

Gemeente Rheden, ………………. Security Officer Suwinet ……………………………………………………

Voor gezien: Teammanager TAO

Beveiligingsplan Suwi 2020

-

1 -

Bijlage 5 Rapportage autorisatiecontrole Rapportage autorisaties Suwinet, kwartaal .., jaar … Aan: de teammanager TAO Van: De Security Officer Suwinet Betreft: rapportage gebruikersautorisaties Suwinet Inkijk Datum: Inleiding Op ……………….. is een controle op de gebruikers van suwinet gedaan. In deze rapportage vindt u de aantallen mutaties die hebben plaatsgevonden in de gebruikers t.b.v. Suwinet Inkijk. Beschrijving controle Het volgende is gecontroleerd:

Wie heeft gecontroleerd? De volgende medewerker(s) heeft/hebben gecontroleerd: -De Security Officer Resultaten van de controle

Aanbevelingen De volgende aanbevelingen worden gedaan:

Gemeente Rheden, ………………. Security Officer Suwinet ……………………………………………………

Voor gezien: Teammanager TAO ……………………………………………………………

Beveiligingsplan Suwi 2020

-

1 -

wk.2.4 Motie Dongen Transitievisie warmte 1 Motie Dongen Transitievisie warmte.pdf

VPD VOOR

RAADSVERGADERING D.D. 16-12-2021 VVD CDA

PvdA

st

é>

OvD

D66

SL

3

%

TEGEN

3

aangenomen /^erworpcfi / aangehouden

OUDERENPARTIJ VOOR DONGEN Motie Transitievisie Warmte Nummer

M2021-32

De gemeenteraad van Dongen, in vergadering bijeen op 16 december 2021 Hoort bij het raadsvoorstel 2021-014376 Transitievisie warmte Constaterende dat

• •

Met het voornemen om uitvoering te geven aan de Transitievisie warmte, het opstellen van wijk/buurtuitvoeringsplannen voor onze gemeente veel geld gemoeid is. Voor veel partijen de kosten zullen stijgen, zeker gelet ook op de stijging van de gasprijzen. Deze partijen zijn de gemeente Dongen, de woningcoöperaties, die voor de transitie hoge kosten moeten maken, de huurders van woningen, die voor de verduurzaming van hun woning voor hoge kosten komen te staan huurders van woningen die in slecht geïsoleerde woningen wonen;

Overwegende dat

• • •

De rijksoverheid zo spoedig mogelijk duidelijk moet maken hoeveel structurele middelen de gemeenten krijgen, zodat de gemeenten uitvoering kunnen geven aan de warmtevisie. De kosten voor inwoners tijdens de warmtetransitie niet dienen te stijgen; Als er niet structureel voldoende geld vanuit de rijksoverheid ter beschikking wordt gesteld, de gemeente niet kan overgaan tot uitvoering van de transitie warmte.

Verzoekt het college

Namens de gemeenteraad van Dongen nadrukkelijk bij de VNG te verzoeken om bij het Kabinet er op | aan te dringen, dat op korte termijn besloten wordt welk bedrag voor gemeente daadwerkelijk beschikbaar komt voor de uitvoering van de transitievisie warmte, in relatie met het Klimaatakkoord, ] zodat snel tot uitvoering worden overgegaan; Verzoekt de griffier

•

deze motie te sturen naar Raden in Verzet, zodat deze motie ook de aandacht krijgt van Raden in Verzet; • deze motie onder aandacht te brengen bij de gemeenteraden in Nederland. En gaat over tot de orde van de dag.

M. van dei deijden Ouderenp tij voor Dongen

Annemarie van Eenennaam CDA

Motie M2021-32 - raadsvergadering d.d. 16-12-2021

1

- -

wk.2.5 Motie Lelystad herijking gemeentefonds 1 Motie LELYSTAD Herijking gemeentefonds.pdf

wk.2.6 Uitnodiging Programma Lancering Sociaal Domein 18 januari 2022 1 Uitnodiging Programma Lancering Sociaal Domein 18 januari 2022.pdf

wk.2.7 Uitnodiging Scholengroep Veluwezoom bijeenkomst politiek gemeenten Rheden en Rozendaal 27 januari 2022 1 Uitnodiging bijeenkomst politiek gemeenten Rheden en Rozendaal 27 januari 2022.pdf

Beste mevrouw, mijnheer, Hierbij ontvangt u de uitnodiging van de jaarlijkse bijeenkomst tussen vertegenwoordigers van de gemeentelijke politiek van Rheden en Rozendaal met de Scholengroep Veluwezoom. Op 27 januari, van 19:30 u tot 21.00 u, treffen we elkaar digitaal. Onderstaand de vergaderlink: Bijeenkomst Politiek-Scholengroep Veluwezoom 27 januari 2022

Op hoofdlijnen bespreken we een aantal belangrijke ontwikkelingen binnen de Scholengroep Veluwezoom: o De hoofdlijnen van de begroting 2022 o Het rooster van aftreden van de leden van de Raad van Toezicht o De openbare onderwijsweek van het jaar 2022: Ikjijwij, nieuwsgierig naar de duurzame toekomst o De toepassing van de Suvis-regeling van de Lappendeken o Vanuit drie scholen voorbeelden over hoe wij werken aan de effecten van de lockdowns. Vanuit de Scholengroep zijn leden van de Raad van Toezicht, bestuur en drie schoolleiders aanwezig. Met vriendelijke groet, Hannelore Bruggeman, Vz. College van Bestuur

wk.3.1 Besluitenlijst 1 B&W vergadering 11 januari 2022 1 Besluitenlijst_1_B&W_vergadering_11_januari_2022.docx

Besluitenlijst 1 B&W vergadering Datum

11-01-2022

Tijd

9:00 - 12:00

Locatie

B&W kamer

Voorzitter

E. Weststeijn

Aanwezigen

B. Boelens, A. Logemann (wethouder) en E. Weststeijn (Burgemeester/voorzitter van de raad)

Afwezigen

S.P. Warmerdam (wethouder)

1

Opening openbare B&W vergadering

2

Besluitenlijst openbare B&W d.d. 21 december 2021 Besluit:

Vaststellen 3

Niet openbare notulen B&W d.d. 21 december 2021 Besluit:

Vaststellen 4

Samenwerking Nu Niet Zwanger Besluit:

1.

Instemmen met het samenwerkingsconvenant Programma Nu Niet

Zwanger 2.

De secretaris dit samenwerkingsconvenant laten ondertekenen

3.

De gevraagde bijdrage ad € 717,- voor 2022 beschikbaar stellen

4.

De middelen ad € 595,- voor 2023 en verder opnemen in de

Programmabegroting/ meerjarenbegroting 2023 e.v. 5

Principeplan Veluwezoom Besluit:

1.

Aan de raad voor stellen om in te stemmen met het Principeplan

Veluwezoom als basis voor het op te stellen Masterplan Veluwezoom 6

Preventieakkoord activiteiten 2021

Besluit:

Aanhouden Toelichting:

In overleg met Mieke beslispunten iets aangepast, t.o.v. eerdere versie. 7

Omgevingsvergunning Pinkenberg 7 Besluit:

Ontwerp omgevingsvergunning verlenen en ter inzage leggen. 8

Aanpak Nationaal Programma Onderwijs Besluit:

1.

Vaststellen van het Plan van Aanpak besteding gemeentelijke NPO

middelen Rheden en Rozendaal. 2.

Onze gemeentelijke middelen beschikbaar stellen voor de uitvoering van

het Plan van Aanpak. 3. 9

Het plan in de leesmap van de raad te plaatsen.

Heroverweging toezicht en handhaving IKC Dorpsschool Besluit:

1.

Na heroverweging het toezicht en de handhaving rondom het schoolplein

IKC Dorpsschool niet in intensiteit toe te laten nemen. 2.

Instemmen met bijgevoegde raadsinformatiebrief en deze vóór de

raadsvergadering van 8 februari 2021 bekendmaken bij de gemeenteraad. 10

Beveiligingsplan Suwinet Besluit:

Vaststellen: het Beveiligingsplan Suwinet 2019 e.v. versie december 2021 11

4e kwartaal subsidie energietransitie Besluit:

1. Voor kennisgeving aannemen 12

Beeldschermbril Besluit:

Pagina 2

1.

Bijgaande conceptregeling vaststellen en laten uitvoeren

2.

Medewerkers een vergoeding te bieden van 250 euro excl. BTW, maximaal

1 x per 3 jaar 13

Sluiting openbare B&W vergadering

Pagina 3

wk.3.2 Raadsinformatiebrief - stand van zaken voorbereiding invoering Omgevingswet 18 januari 2022 1 Raadsinformatiebrief - stand van zaken voorbereiding invoering Omgevingswet 18 januari 2022.docx

Raadsinformatiebrief

Onderwerp Stand van zaken voorbereidingen invoering Omgevingswet Adviseur Portefeuillehouder Datum

: R. Berendsen : S. Warmerdam : 18 januari 2022

Aan de Raad

Inleiding In augustus 2021 hebben wij u voor het laatst geïnformeerd over de stand van zaken van de voorbereidingen voor de invoering van de Omgevingswet. Hierbij is aangegeven dat de verwachte invoeringsdatum 1 juli 2022 is. Vooralsnog gaan wij er vanuit dat de Omgevingswet op dat moment ook ingevoerd wordt. Dit zal mede afhangen of het Digitaal Stelsel Omgevingswet (DSO) op tijd goed functioneert. In deze raadsinformatiebrief wordt de stand van zaken van de voorbereiding voor de invoering van de Omgevingswet aangegeven. Zoals ook eerder aangegeven is het uitgangspunt dat de overgang van het huidige wettelijke kader naar de Omgevingswet zoveel mogelijk beleidsneutraal plaats zal vinden. In deze raadsinformatiebrief komen de volgende onderwerpen aan de orde: 1. Omgevingsvisie 2. Omgevingsplan 3. Herijking bestaand beleid 4. Participatie 5. DSO 6. Dienstverlening 7. Financiën 8. Planning In de raadsvergadering van 8 februari 2022 wordt uw raad een gevraagd om het document 'Adviesrecht gemeenteraad en verplichte participatie' vast te stellen. In de vorige raadsinformatiebrief is aangegeven dat er voorafgaand aan de behandeling van dit document een raadsinformatieavond gehouden zou worden. In de aanloop naar de raadsvergadering van 8 februari 2022 waren er echter al verschillende informatieavonden gepland.

Daarnaast is de insteek van beide raadsvoorstellen om beleidsneutraal over te gaan naar de nieuwe regeling. Om die reden is ervoor gekozen u middels deze raadsinformatiebrief te informeren over de stand van zaken van de voorbereidingen en dit document als alternatief voor de informatiebijeenkomst aan te bieden.

Pagina 1 van 5

1. Omgevingsvisie De omgevingsvisie is een integrale langetermijnvisie van een bestuursorgaan voor de hele fysieke leefomgeving en haar grondgebied. De omgevingsvisie is een verplicht instrument voor het Rijk, de provincie en de gemeente. Met de omgevingsvisie verwoorden we samenhangend ‘wat voor een gemeente we willen zijn’. Dat betekent dat dat alle onderwerpen van een omgevingsvisie op elkaar zijn afgestemd, zodat er één totaalvisie ontstaat op onze fysieke leefomgeving. Als we weten wat voor een gemeente we willen zijn (ambitie), dan weten we ook wat er moet gebeuren om daar te komen (doelen). Gemeenten moeten binnen drie jaar na de inwerkingtreding van de Omgevingswet een door de raad vastgestelde omgevingsvisie hebben. De voorbereidingen hiervoor zijn gestart. Het plan van aanpak is door uw raad vastgesteld op 3 november 2020, hiermee zijn de financiële middelen beschikbaar gesteld. In de raadsinformatiebrief van augustus 2021 is aangegeven dat er na de gemeenteraadsverkiezingen wordt gestart met het opstellen van de omgevingsvisie. Doordat gemeenten binnen drie jaar na de inwerkingtreding van de Omgevingswet een door de raad vastgestelde omgevingsvisie moeten beschikken past dit binnen de wettelijke kaders. In de omgevingsvisie wordt ook het ruimtelijk & maatschappelijk beleidskader voor (grootschalige) duurzame energie opwekking meegenomen. 2.

Omgevingsplan Het omgevingsplan geeft juridisch bindende regels voor alle functies en activiteiten in de fysieke leefomgeving in de gemeente. Uiteindelijk moet per locatie zo goed mogelijk duidelijk worden wat er kan en mag en hoe zowel het college als de raad zijn bevoegdheden en wettelijk instrumentarium inzet om te reageren op initiatieven. Alle gemeenten moeten uiterlijk 31 december 2029 een gemeente dekkend omgevingsplan hebben. Op het moment dat de Omgevingswet in werking treed, ontstaat er van rechtswege een ‘tijdelijk’ omgevingsplan. Daarin worden de bestaande bestemmingsplannen en andere regels op het gebied van de fysieke leefomgeving zoals bedoeld in de Omgevingswet opgenomen. Doordat in 2019 de bestemmingsplannen in Rozendaal zijn geactualiseerd, beschikt de gemeente over een actueel ruimtelijk beleidskader en heeft dit onderdeel (omgevingsplan) op dit moment geen prioriteit en is ook geen besluitvorming op korte termijn noodzakelijk. Wel moet de gemeenteraad vóór de inwerkingtreding een beleidskader ‘adviesrecht raad bij buitenplanse omgevingsplanactiviteiten’ vaststellen om van het adviesrecht gebruik te kunnen maken. Hiervoor wordt aan uw raad een voorstel voorgelegd in de vergadering van 8 februari 2022. Bij dit voorstel is het document ‘Adviesrecht gemeenteraad en verplichte participatie bij afwijkingen van het omgevingsplan’ gevoegd.