| Organisatie | Westland |
|---|---|
| Organisatietype | Gemeente |
| Officiële naam regeling | Beveiligingsplan Suwinet |
| Citeertitel | Beveiligingsplan Suwinet |
| Vastgesteld door | college van burgemeester en wethouders |
| Onderwerp | openbare orde en veiligheid |
| Eigen onderwerp | |
| Externe bijlagen | Bijlage 4 deel 1 Bijlage 4 deel 2 |
Geen
Onbekend
Datum inwerkingtreding | Terugwerkende kracht tot en met | Datum uitwerkingtreding | Betreft | Datum ondertekening Bron bekendmaking | Kenmerk voorstel |
|---|---|---|---|---|---|
| 24-01-2023 | nieuwe regeling | 10-01-2023 |
Suwinet is het systeem van informatie-uitwisseling in de keten van Werk en Inkomen. Suwinet is een uitvloeisel van de Wet Structuur Uitvoering Werk en Inkomen. Om de Participatiewet uit te kunnen voeren is Suwinet een belangrijke factor. Het is een belangrijk knooppunt om informatie uit te wisselen met de verschillende partijen in de keten van Werk en Inkomen (met name UWV, SVB en gemeenten). Deze informatie bevat veelal persoonsgegevens. De Algemene Verordening Gegevensbescherming, de Baseline Informatiebeveiliging Overheid en de regeling SUWI (29 november 2001) vereisen dat er veilig en zorgvuldig met deze gevoelige informatie wordt omgegaan. Conform de regeling SUWI zijn we verplicht een beveiligingsplan te hebben waarin invulling wordt gegeven aan het kader van de gezamenlijke elektronische voorzieningen SUWI (art. 6.4).
1.1 Herziening Suwinet beveiligingsplan
Het Suwinet beveiligingsplan wordt periodiek (minimaal eens per drie jaar) herzien. De reden hiervan is dat wet- en regelgeving doorlopend verandert. Dit geldt tevens voor dreigingen op het gebied van de beveiliging van informatie. Het is daarom van belang dat het Suwinet beveiligingsplan actueel blijft.
Dit Suwinet beveiligingsplan vervangt het vorige Suwinet beveiligingsplan d.d. 1 oktober 2018.
Dit nieuwe Suwinet beveiligingsplan gaat in per 31 december 2022. Dit Suwinet beveiligingsplan is herzien op basis van de actuele ontwikkelingen rondom Suwinet gebruik, met inachtneming van vereisten uit de Baseline Informatiebeveiliging Overheid en de Algemene Verordening Gegevensbescherming.
Daarnaast is bij vijf interne medewerkers de vraag gesteld welke ervaring zij hebben met het oude beveiligingsplan, wat zij hierin graag behouden zien, wat zij graag veranderd zien én wat zij graag aangevuld zien in het nieuwe beveiligingsplan. De medewerkers die hierover zijn gesproken betreffen:
De belangrijkste opmerkingen ten aanzien van het beveiligingsplan betroffen:
De verantwoordelijkheid voor het gebruik en de beveiliging van Suwinet ligt op bestuurlijk niveau bij het college van Burgemeester en Wethouders en op ambtelijk niveau bij de clusterdirecteur Dienstverlening. Het college van B&W stelt het Beveiligingsplan Suwinet vast.
De gemeenteraad ziet toe op de werking van het beleid. De controle op Suwinet voert zij uit onder de paraplu van het gemeentebrede Gegevensbeschermingsbeleid in de gemeentelijke planning & control cyclus.
Dit Beveiligingsplan Suwinet is aanvullend op het gemeentebrede Gegevensbeschermingsbeleid. Dit gemeentebrede beleid is opgesteld conform de Baseline Informatiebeveiliging Overheid. De baseline geeft een specifieke invulling aan de veiligheid en gebruik van informatie binnen gemeentelijke organisaties. Het vormt daarmee ook het normenkader dat de beschikbaarheid, integriteit en vertrouwelijkheid van gemeentelijke informatie(systemen) bevordert.
Voor Suwinet is een aanvullend normenkader opgesteld, de “Verantwoordingsrichtlijn GeVS 2022 v1.0”. De uitwerking daarvan is terug te vinden in dit Suwinet Beveiligingsplan.
Het Beveiligingsplan dient jaarlijks beoordeeld te worden op actualiteit. Daarnaast wordt het Beveiligingsplan jaarlijks geëvalueerd. Indien nodig worden het plan en de procedures aangepast en opnieuw ter vaststelling aan het College van B&W aangeboden. Het Beveiligingsplan kent een maximale looptijd van drie jaar.
De lijnmanager die verantwoordelijk is voor Suwinet is de Teamleider Inkomen. Hierbij gaat het om de verantwoordelijkheid voor Suwinet in brede zin, dus de lijnmanager die verantwoordelijk is voor het hebben én uitvoeren van het Suwinet Beveiligingsplan en aan wie de taak is gegeven overkoepelend toezicht te houden op het Suwinet gebruik.
2. Functionaliteiten en beveiligingsmaatregelen
Dit beveiligingsplan is enkel van toepassing op het gebruik van Suwinet. Alle andere applicaties vallen onder het gemeentebrede informatiebeveiligingsbeleid.
Het BKWI levert onder de naam Suwinet verschillende producten in de vorm van applicaties die specifieke functionaliteiten bieden. Gemeente Westland maakt gebruik van de volgende producten:
Het team Inkomen van het cluster Dienstverlening maakt gebruik van Suwinet-Inkijk voor GSD. Suwi-net-Inkijk is door middel van rollen toegankelijk gemaakt voor het raadplegen van klantgegevens en -informatie. Dit op basis van die taken waarvoor wettelijke grondslag is en doelbinding van gegevensgebruik is vastgesteld. Als Suwinet om andere redenen wordt gebruikt dan is er in principe sprake van ongeoorloofd gebruik.
In Suwinet-Inkijk zijn zeer privacygevoelige gegevens te raadplegen. De toegangsverlening tot Suwi-net is geregeld in het hoofdstuk Toegangsrechten en autorisatiebeheer en in bijlage 1 “Procedure autorisaties”.
Met Suwinet-Mail kunnen partijen die gebruik maken van Suwinet, vertrouwelijke informatie sturen via een besloten netwerk. Naast het feit dat Suwinet-Mail eenvoudig in gebruik is, worden risico’s die zijn verbonden aan het mailen van klantgegevens aanzienlijk verkleind doordat het via een besloten netwerk plaats vindt.
De gemeente is als organisatie aangesloten op Suwinet-Mail. Alle medewerkers met een mail-account van de gemeente kunnen gebruik maken van Suwinet-Mail. E-mail verkeer verloopt dan via een besloten netwerk.
Binnen de Suwiketen dient elke aangesloten organisatie in control te zijn aangaande de beveiliging van de eigen delen van Suwinet. Dit impliceert dat de organisatie ook een controleproces heeft ingericht om eventueel ongeoorloofd gebruik vast te kunnen stellen. Hiervoor is de rapportage-module beschikbaar gesteld. De Security Officers van Suwinet hebben toegang tot deze module. Binnen de module worden twee soorten rapportages onderscheiden: generieke en specifieke gebruiksrapportages.
Generieke rapportages worden iedere maand verstrekt. Deze geanonimiseerde rapportages zijn bedoeld om het management te ondersteunen bij het beoordelen van het gebruik van Suwinet.
Specifieke rapportages worden opgevraagd om inzicht te krijgen in de specifieke raadplegingen die zijn uitgevoerd door de medewerkers. Hierbij worden ook de persoonsgegevens van klanten versterkt.
De interne controle, en daarmee de autorisatie op de rapportage-module, is uitsluitend belegd bij de Security Officers van Suwinet. De uitvoering van de controle is beschreven in het hoofdstuk “Controle”.
2.5 Suwinet-Inkijk voor Burgerzaken
De gegevens die voor Burgerzaken beschikbaar zijn, betreffen de adresgegevens van iedereen die werkt of een uitkering ontvangt. Deze komen uit de loonaangifte die werkgevers en uitkeringsinstanties periodiek doen naar de Belastingdienst. Deze adresgegevens mogen alleen gebruikt worden voor het bijhouden van adresgegevens in de Basisregistratie Personen (BRP).
Medewerkers van Burgerzaken loggen in op een ‘eigen’ pagina van Suwinet. Hier kunnen zij uitslui-tend adresgegevens inzien van de klanten.
Het raadplegen van gegevens voor de RMC-functie is regiogebonden. Gemeente Westland is aangesloten op het Regionale Meld en Coordinatiepunt (RMC) van de gemeente Den Haag. Medewerkers van gemeente Westland krijgen dan ook een Suwinet-account via de Gemeente Den Haag. Met dit account loggen ze in op een aparte VSV-pagina in Suwinet-Inkijk. Hier zijn gegevens te raadplegen als uitkeringsaanvragen, uitkeringsverhoudingen, bijzondere bijstand en re-integratie.
De controle op de raadplegingen wordt uitgevoerd door de Security Officer van het RMC. Bij ongeoorloofde raadplegingen zal deze contact opnemen met de Security Officer van de gemeente West-land.
De gegevens die voor WGS beschikbaar zijn, betreffen de gegevens over inkomen en vermogen die medewerkers van het team Schuldhulpverlening van het cluster Dienstverlening mogen raadplegen via Suwinet voor het verlenen van toegang tot schuldhulp en het opstellen van een plan van aanpak.
De controle op de raadplegingen wordt uitgevoerd door de Security Officer van Suwinet.
Het Inlichtingenbureau biedt gemeenten de mogelijkheid om DKD-klantgegevens digitaal in te lezen in de eigen, gemeentelijke applicatie.
Daarnaast is het mogelijk om elektronische aanvraagformulieren gedeeltelijk, automatisch in te laten vullen, bijvoorbeeld bij het aanvragen van een bijstandsuitkering.
Hiermee maakt DKD-Inlezen eenmalige gegevensuitvragen en het hergebruik van gegevens mogelijk.
De gegevens mogen alleen gebruikt worden voor de uitvoering van de participatiewet taken.
DKD-inlezen valt onder de ENSIA-verantwoording. De applicatie die gebruik zal gaan maken van DKD-inlezen is de Suite voor het Sociaal Domein (SSD).
Voor deze applicatie is een controlemethodiek nodig waarmee de logbestanden en autorisaties gecontroleerd kunnen worden. Centric, de leverancier van de Suite, beschrijft een aantal “triggers” welke signalerend kunnen zijn voor een risicovolle handeling binnen SSD. Een raadpleging om 02:00 's nachts kan een reden zijn om de rechtmatigheid van deze raadpleging nader te onderzoeken.
Hierdoor is er een lijst van “triggers” opgesteld waarbij er bij een raadpleging eventueel nader onderzoek nodig is.
Raadplegingen per dag: het aantal raadplegingen dat een medewerker per dag verwerkt kan signalerend zijn voor risicovol gedrag, indien deze ver boven de door de gemeente vastgestelde waarde uitschiet. Hierbij kan de gemeente Westland zelf een waarde bepalen en zodra een medewerker hierboven komt, ontvangt de Security Officer een signaal en kan deze beslissen om de logbestanden te controleren.
Raadplegingen door meerdere medewerkers: Indien de persoonsgegevens van een burger door een hoger aantal medewerkers geraadpleegd wordt dan een vooraf bepaalde waarde, kan er reden zijn om de logbestanden te beoordelen. In het verleden kwam het bij bekende Nederlanders (BN’ers) regelmatig voor dat medewerkers van gemeentes de gegevens van BN’ers onrechtmatig opzochten indien zij (negatief) in het nieuws kwamen. Door van tevoren een waarde vast te leggen van het hoogste aantal medewerkers dat doorgaans één burger raadpleegt, kan er een signaal worden afgegeven indien één burger ineens door twee keer zoveel medewerkers wordt geraadpleegd als de vooraf vastgelegde waarde.
Aanvullend kan worden gecontroleerd op de:
Doelmatigheid van de raadpleging: Indien een medewerker een burger raadpleegt, dan dient er een actieve klantrelatie te zijn. Dat wil zeggen dat de burger op dat moment een dienst afneemt bij de gemeente Westland of als terugbetaler staat geregistreerd. Indien dit niet het geval is, dan zal er nader onderzoek gedaan dienen te worden naar de reden van de opvraging.
Indien gebruik gemaakt wordt van DKD-inlezen binnen de Suite, kan de gemeente deze signalen gebruiken om de logbestanden van SSD te controleren. Hierbij wordt aangeraden de controle maandelijks uit te voeren. De reden hiervan is dat medewerkers over een langere periode vaak moeilijker kunnen terughalen waarom zij een bepaalde raadpleging gedaan hebben.
In een whitelist staan alle burgerservicenummers van burgers waar een gemeente een dienstverle-ningsrelatie mee heeft (gehad). Wanneer een gebruiker een burgerservicenummer
van een burger opvraagt toetst Suwinet-Inkijk eerst automatisch of dit op de whitelist van de desbetreffende organisatie voorkomt. Wanneer een Burgerservicenummer niet op de whitelist van deze organisatie voorkomt, worden de bijbehorende gegevens niet getoond.
De gemeente Westland kiest er bewust voor om geen gebruik te maken van een whitelist. Ook bij het gebruik van een whitelist moet de security officer de controles op raadplegingen buiten het klantenbestand controleren met de raadplegende medewerker. Dit is noodzakelijk omdat de security officer inzicht nodig heeft in welk werkproces ten grondslag lag voor de raadpleging. Feitelijk verlicht een whitelist de controlelast van de security officer niet, terwijl de consulenten wel extra acties moeten voltooien om hun werk uit te kunnen voeren. Daarom werkt de gemeente Westland niet met een whitelist.
3. Beveiligingseisen medewerkers
Binnen de opgaven wordt met persoonsgegevens gewerkt. Conform de Ambtenarenwet, de Algemene Verordening Gegevensbescherming en de wet SUWI zijn medewerkers gebonden aan geheim-houdingsbepalingen. Alle nieuwe medewerkers moeten een Verklaring omtrent Gedrag overleggen en leggen de eed/gelofte af. Nieuwe medewerkers die gebruik gaan maken van Suwinet, krijgen het Beveiligingsplan Suwinet zo spoedig mogelijk na het toekennen van de autorisaties voor Suwinet-Inkijk uitgereikt.
Extern personeel ondertekent bij aanvang van de werkzaamheden in de gemeente Westland een geheimhoudingsverklaring. Deze verklaring wordt uiterlijk op de eerste werkdag ondertekend.
Aan alle medewerkers die gebruik maken van de Suwinet functionaliteiten wordt het Beveiligingsplan Suwinet uitgereikt. Gebruikers van Suwinet-Inkijk moeten weten dat over hen gegevens worden vastgelegd en verzameld (logging). Van deze loggegevens worden geanonimiseerde rapporten opgesteld door het BKWI. Aan de hand van deze rapporten controleren de Ketenpartners of er onjuist gebruik of misbruik is gemaakt van Suwinet-Inkijk. Als er een vermoeden van ongeoorloofd gebruik bestaat kan specifieke informatie bij het BKWI worden opgevraagd.
Met het oog hierop is de navolgende informatie verstrekt aan de medewerkers die (gaan) werken met Suwinet-Inkijk:
3.4 Geoorloofd / ongeoorloofd gebruik
Als de geautoriseerde medewerkers Suwinet doelmatig gebruiken dan is er sprake van geoorloofd gebruik. Als Suwinet wordt gebruikt in het kader van de Participatiewet, de Wet Inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ) of de Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte werkloze werknemers (IOAW), is er sprake van doelmatig Suwinet gebruik.
Wordt Suwinet om andere redenen gebruikt dan is er in principe sprake van ongeoorloofd gebruik. Dit ongeoorloofd gebruik wordt onderzocht door de Security Officer en gemeld aan de eindverantwoordelijke manager.
3.5 Maatregelen bij onrechtmatig gebruik
Bij geconstateerd onrechtmatig gebruik van Suwinet zal de gemeente conform het ‘Privacyreglement gebruik Suwinet’(zie bijlage 3) maatregelen opleggen.
Suwinet-Inkijk vraagt zelf om een periodieke wijziging van het wachtwoord. Het herstellen van een wachtwoord verloopt via Applicatiebeheer. Zij geven een tijdelijk wachtwoord uit dat veertien dagen geldig is.
3.7 Kennisnemen van het beveiligingsplan Suwinet
Dit beveiligingsplan Suwinet is van toepassing op alle gebruikers van Suwinet-Inkijk binnen de gemeente Westland. Het plan wordt op Schulinck (Grip op) gepubliceerd en is voor iedereen toegankelijk in het document management systeem (Corsa). Alle gebruikers worden minimaal twee maal per jaar in een periodiek werkoverleg door hun manager geattendeerd op de inhoud van dit plan. Nieuwe medewerkers worden onder verantwoordelijkheid van de manager geattendeerd op de inhoud van dit plan met de opdracht er kennis van te nemen. Hierdoor weten de medewerkers welk gedrag de organisatie van hen verwacht en weten ze dat er gegevens worden bewaard waarmee hun gedrag gecontroleerd kan worden. De controle op de logbestanden mag alleen indien hier redelijkerwijs aanleiding toe is.
3.8 Bewaarperiode logbestanden
De logbestanden worden eenmaal per jaar vernietigd gedurende de eerste twee weken van januari. Op dat moment worden de logbestanden verwijderd van het jaar voorafgaand aan het afgesloten jaar. Bijvoorbeeld: in de eerste twee weken van januari 2023 worden alle logbestanden verwijderd uit 2021. Dat wil zeggen dat er een maximale bewaarperiode bestaat van 2 jaar. Hier is voor gekozen omdat het risico op het langer bewaren van de logbestanden kan leiden tot oneigenlijk gebruik van deze bestanden. Het korter bewaren van deze bestanden zou ertoe kunnen leiden dat eventuele vragen op de bevindingen uit de controles, onvoldoende kunnen worden beantwoord. Op basis van deze risico afweging wordt dan ook geconcludeerd dat de gestelde bewaarperiode (minimaal 1 jaar en maximaal 2 jaar) voldoende waarborgen biedt voor zowel de integriteit als de betrouwbaarheid van de logbestanden en de daaruit voort gevloeide bevindingen.
4. Toegangsrechten en autorisatiebeheer
4.1 Beleid ten aanzien van autorisaties
De autorisaties voor Suwinet worden per medewerker toegekend aan de hand van de autorisatiematrix. De manager van de medewerker geeft aan welke autorisaties een medewerker nodig heeft voor het uitvoeren van zijn taken. De wijze waarop de autorisaties worden toegekend, gewijzigd of ingetrokken staat onderaan dit hoofdstuk nader beschreven.
4.2 Autorisatieplan medewerkers
In de bijlage 5 “Verantwoordelijkheden en rollen Suwinet” zijn de rollen en het daarbij behorende toegestane gebruik van dit medium beschreven.
Er is een autorisatiematrix opgesteld om helder weer te geven welke rechten aan de verschillende rollen worden toegekend. Deze rechten zijn vooraf, in deze matrix, vastgesteld. Applicatiebeheer kan op basis van deze matrix snel de juiste rechten aan een medewerker toekennen. In de bijlage 4 wordt de autorisatiematrix gepresenteerd.
4.4 BKWI autorisaties en conflicterende rollen
Het BKWI heeft uiteengezet welke autorisaties conflicterend kunnen zijn en derhalve risico’s met zich meebrengen indien deze gelijktijdig worden toegewezen aan één medewerker.
De gemeente Westland vindt het belangrijk dat er maatregelen zijn getroffen om onbedoelde of ongeautoriseerde wijzigingen of misbruik van bedrijfsmiddelen te voorkomen,
Hierom conformeert de gemeente zich aan de beschrijving van de autorisaties zoals aangegeven in dit overzicht van het BKWI: Overzicht autorisaties op Suwinet-Inkijk voor GSD ( v20201015). Derhalve implementeert de gemeente Westland functiescheiding binnen Suwinet zoals benoemd in het voorgaande overzicht van het BKWI.
4.5 SSD autorisaties en conflicterende rollen
Centric, de leverancier van de Suite voor het Sociaal Domein, onderschrijft dat zij gemeenten de mogelijkheid biedt om te voorkomen dat conflicterende rollen aan één medewerker toegewezen kunnen worden. Met conflicterend wordt wederom verwezen naar rollen die risico's met zich meebrengen indien deze gelijktijdig worden toegewezen aan één medewerker. Het is de verantwoordelijkheid van de gemeente om zelf te bepalen bij welke rollen deze functiescheiding wordt toegepast.
Bijlage 1 Procedure autorisaties
De procedure voorziet in het vastleggen van de verschillende stappen die noodzakelijk zijn voor het autoriseren van personen voor Suwinet-Inkijk en de controle hierop.
De procedure bestaat uit twee afzonderlijke deelprocedures die apart worden uitgevoerd:
Met een autorisatie wordt bedoeld het door het bevoegd gezag verstrekken van een gelegitimeerde toegang tot een of meerdere informatiesystemen van de gemeente.
Om toegang te krijgen tot de gegevens is naast de specifieke autorisatie in de desbetreffende applicatie tevens een bevoegdheid nodig op het netwerken en/of het systeemniveau. Deze laatstgenoemde bevoegdheden worden beheerd door de systeembeheerder. De bevoegdheden binnen de applicatie Suwinet-Inkijk worden beheerd door de functioneel beheerder van Suwinet.
De verantwoordelijkheid voor deze procedure ligt te allen tijde bij het College van B&W, en namens dit college de clusterdirecteur Dienstverlening.
De verantwoordelijkheid om toegang te verlenen tot de gegevens behorend bij Suwinet-Inkijk berust bij de clusterdirecteur Dienstverlening. De uitvoering hiervan en het up-to-date houden van de procedure ligt bij de Security Officer van Dienstverlening.
Autorisatie tot Suwinet-Inkijk
Periodieke controle autorisaties
De Securtiy Officer controleert maandelijks de actualiteit en rechtmatigheid van de uitgegeven auto-risaties. De wijze van controleren is als volgt:
Bijlage 2 Protocol Inzage Suwinet-Inkijk door Cliënt
De cliënt verzoekt om inzage, hetzij schriftelijk, hetzij mondeling in diens gegevens
Het is mogelijk dat een cliënt telefonisch vraagt om een uitdraai van zijn/haar gegevens. In dat geval dient de cliënt verwezen te worden naar het de balie of moet een schriftelijk verzoek ingediend worden. Dit verzoek moet binnen de wettelijke verplichte termijn afgehandeld worden.
Indien de cliënt inzage wil in al zijn/haar gegevens die bij een ketenpartner zijn geregistreerd, dient de cliënt te worden verwezen naar de betreffende ketenpartner.
Bijlage 3 Privacyreglement gebruik Suwinet
HOOFDSTUK 1 DEFINITIES, REIKWIJDTE EN DOELEINDEN
In dit privacyreglement wordt verstaan onder:
Suwinet: de door of namens de gemeente aan betrokkenen ter beschikking gestelde applicatie. Daar waar in dit reglement applicatie geschreven staat wordt de applicatie Suwinet bedoeld. Suwinet biedt overheidsorganisaties de mogelijkheid om persoonsgegevens van burgers, die bij verschillende organisaties of basisregistraties zijn opgeslagen, te raadplegen in één webtoepassing;
verwerken van persoonsgegevens: elke handeling of geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
bestand: elk, al dan niet geautomatiseerd, gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;
HOOFDSTUK 2 VERANTWOORDELIJKHEDEN EN BEHEER
Artikel 4 Verantwoordelijkheden en beheer
Door de verantwoordelijke worden één of meerdere applicatiebeheerders aangewezen die belast zijn met het beheer van de applicatie. Deze applicatiebeheerders zijn, op grond van artikel 125a, derde lid, Ambtenarenwet, verplicht tot geheimhouding van de persoonsgegevens waarvan zij kennisnemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit.
HOOFDSTUK 3 GEBRUIK APPLICATIE
Artikel 6 Voorkomen onrechtmatig gebruik dan wel misbruik
De gemeente neemt zo veel mogelijk maatregelen in technische en organisatorische zin ter voorkoming van onrechtmatig gebruik dan wel misbruik van de applicatie. Welke maatregelen dat zijn zal jaarlijks worden bepaald in een op te stellen informatie beveiligingsplan.
HOOFDSTUK 4 VASTLEGGING, BEWARING, VERWIJDERING EN VERSTREKKING PERSOONSGEGEVENS
Artikel 9 Bewaring en verwijdering
De in artikel 8, eerste lid, genoemde persoonsgegevens worden maximaal drie maanden bewaard. Gegevens die ouder zijn dan drie maanden worden automatisch verwijderd, tenzij er een redelijk vermoeden bestaat van onrechtmatig gebruik, dan wel misbruik van de applicatie in die periode. In dat geval worden de gegevens uit die betreffende maand bewaard zolang dit in het kader van nader onderzoek en eventueel te treffen maatregelen ten opzichte van een betrokkene noodzakelijk is. Zo-dra een nader onderzoek is afgerond en dit niet leidt tot maatregelen tegen een betrokkene worden de gegevens verwijderd.
Artikel 10 Personen aan wie persoonsgegevens worden verstrekt
De vastgelegde persoonsgegevens kunnen worden verstrekt aan:
HOOFDSTUK 5 RECHTEN VAN BETROKKENE: VERBETEREN, AANVULLEN, VERWIJDEREN OF AFSCHERMEN PERSOONSGEGEVENS
Artikel 11 Rechten van de betrokkene
Aan de betrokkene die daarom aan verantwoordelijke verzoekt, wordt een overzicht verschaft van de hem/haar betreffende persoonsgegevens die worden verwerkt. Indien een gewichtig belang van de verzoeker dit eist, voldoet de verantwoordelijke aan dit verzoek in een andere dan schriftelijke vorm, dat aan dat belang is aangepast.
Degene aan wie overeenkomstig het eerste lid kennis is gegeven van de hem betreffende persoonsgegevens, kan de verantwoordelijke verzoeken deze te verbeteren, aan te vullen, te verwijderen of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen.
De verantwoordelijke bericht de verzoeker binnen vier weken na ontvangst van het in het tweede lid genoemde verzoek schriftelijk of, dan wel in hoeverre hij daaraan voldoet. Een weigering is met redenen omkleed. Een beslissing op een verzoek geldt als een besluit in de zin van artikel 1:3, Algemene wet bestuursrecht.
HOOFDSTUK 6 SANCTIES, OPENBAARMAKING, INWERKINGTREDING EN SLOTBEPALING
Overtreding van dit beveiligingsplan kan voor personen die (betaalde of niet-betaalde) werkzaamheden voor de gemeente verrichten, anders dan in ambtelijk dienstverband, resulteren in maatregelen waardoor deze personen, al dan niet tijdelijk, geen beschikking meer hebben over (een deel van) de applicatie.
Artikel 13 Onvoorziene omstandigheden
In gevallen waarin dit beveiligingsplan niet voorziet of bij twijfel over de toepassing van dit beveiligingsplan beslist het college van burgemeester en wethouders van de gemeente Westland.
Artikel 14 Openbaarmaking en inwerkingtreding
Bijlage 5 Verantwoordelijkheden en rollen Suwinet
Er zijn verschillende profielen gedefinieerd om gebruik te maken van Suwinet:
Deze functionaris is geautoriseerd voor het opvragen van algemene gebruikersrapportages bij het BKWI via Suwinet-Inkijk. Als daar aanleiding toe is kan deze functionaris ook specifieke rapportages opvragen.
De applicatiebeheerder is geautoriseerd voor het verlenen van toegang tot Suwinet-Inkijk voor geautoriseerde gebruikers en het verwijderen van deze toegang.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op het adviseren over de mogelijkheden en het verlenen van bijzondere bijstand aan ondernemers.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op inburgeringswerkzaamheden.
Medewerkers Uitkeringsadministratie
Deze groep is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op
Uitkeringsverwerking: debiteuren, (her)onderzoeken ter vaststelling van de actuele woonplaats, de draagkracht, de hoogte van het inkomen en de werkgever.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op het verwerken van boetes van klanten die de inlichtingenplicht hebben geschonden.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op het lopende klantenbestand. Het zijn de klantmanagers die het contact met de klanten onder handen nemen nadat de poortwachter heeft bepaald dat de klant uitkeringsgerechtigd is.
Consulent Terugvordering en Verhaal
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op het terugvorderen en invorderen van teveel ontvangen uitkeringen, het verhaal van verstrekte uitkeringen op derden en het onderzoek naar het opleggen van een boete op grond van de Participatie-wet, IOAW en IOAZ.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens om te beoordelen of een klant recht op uitkering hebben. Hierbij hebben ze ook de autorisatie op de zwaardere zoekfunctie “Zoeken op RDW+”.
De sociale recherche werkt signaal-gestuurd en gaat op mogelijk frauduleuze signalen af. Bij fraude met een uitkering of zorggelden is de Sociale Recherche de opsporingsinstantie.
Deze groep gebruikers is geautoriseerd voor het raadplegen van gegevens die betrekking hebben op het verlenen van toegang tot schuldhulp en het opstellen van een plan van aanpak.