Gemeenten verwerken dagelijks gevoelige persoonsgegevens van burgers. Van schoolverzuim tot handhavingstrajecten, van inburgeringsdossiers tot zorgtrajecten. De vraag is niet of privacy en informatiebeveiliging belangrijk zijn, maar hoe je ze structureel borgt. Bij Metaobjects zit dat niet in een apart beleidsdocument, maar in de manier waarop software wordt gebouwd.
We spraken John, functionaris gegevensbescherming bij Metaobjects, over hoe privacy en beveiliging zijn verweven in het dagelijkse werk.
Privacy begint bij het ontwerp
Voordat een ontwikkelaar ook maar één regel code schrijft, wordt elk nieuw onderdeel beoordeeld. Bij Metaobjects werken we met zogenoemde PBI’s: Product Backlog Items, de bouwstenen van elke nieuwe functionaliteit of aanpassing. Bij elk PBI wordt standaard de vraag gesteld: heeft dit impact op privacy of informatiebeveiliging?
Als het antwoord ja is, of als er twijfel is, krijgt het item een tag. John beoordeelt vervolgens bij elke release alle getagde items en schrijft zijn bevindingen direct in het systeem, zodat alles traceerbaar is. “Als er discussie is, ga ik in gesprek met de directie om te bepalen hoe we hiermee verder gaan. Dat wordt ook geregistreerd.”
Dat klinkt als een vanzelfsprekendheid, maar het is een bewuste keuze. Elk item, groot of klein, wordt beoordeeld. Ook de details die geen enkele gebruiker ooit zal opmerken.
Autorisatie tot op het kleinste detail
Gemeentelijke applicaties worden gebruikt door tientallen medewerkers, soms meer. Niet iedereen heeft dezelfde informatiebehoefte. Dat is niet alleen een privacyvereiste, het is ook gewoon logisch.
We stellen autorisaties in tot op kenmerkniveau. Niet alleen op rollen of profielen, maar op individuele gegevensvelden. Twee medewerkers met dezelfde functie kunnen daardoor een ander zichtvenster hebben: de één ziet de achternaam van een cliënt maar niet het BSN-nummer, de ander precies andersom.
In de praktijk zijn er situaties waarbij dat verschil ertoe doet. Stel: de zoon van de burgemeester is leerplichtig en staat geregistreerd in het systeem. Zonder gerichte autorisatie kunnen alle veertig leerplichtambtenaren zijn volledige dossier inzien. Met de juiste inrichting bepaalt de teamleider dat alleen de behandelend ambtenaar toegang heeft. Alle contacten, brieven en gespreksverslagen zijn dan uitsluitend zichtbaar voor die ene persoon en de applicatiebeheerder.
Hetzelfde geldt voor alledaagser situaties. Bijvoorbeeld wanneer een kind van een collega spijbelt: niet iedereen in een groot team hoeft dat te weten. De techniek maakt het mogelijk om dat ook daadwerkelijk af te schermen.
Dat vraagt om een bewuste inrichting, maar het is een inrichting die steeds vaker gevraagd wordt. Gemeenten worden zelf ook geauditeerd op hoe ze autorisaties hebben geregeld. De tijd dat een ambtenaar standaard alles kon inzien, is voorbij.
Gegevens bewaren zo lang als nodig, niet langer
Een ander thema dat directe gevolgen heeft voor burgers, is de bewaartermijn van gegevens. De overheid hanteert selectielijsten die per type document vastleggen hoe lang informatie bewaard moet worden. Dat varieert van twee jaar voor bepaalde documenten tot negentien jaar na de geboorte voor sommige leerplichtdossiers.
Een voorbeeld maakt duidelijk waarom dat ertoe doet. Een kind van tien jaar krijgt op de basisschool een psychologisch onderzoek. Het onderwijskundig rapport dat daaruit volgt, zegt iets over dat kind op dat moment. Vier jaar later is dat kind veertien en heeft het zich verder ontwikkeld. Het rapport is niet meer relevant. Als het toch nog tien of vijftien jaar in het systeem blijft staan, kan een medewerker het op een later moment alsnog inzien en er conclusies uit trekken die niet meer kloppen.
De archiveringsmodule van Metaobjects, als eerste in de branche ISO-gecertificeerd voor archivering, verwerkt die bewaartermijnen automatisch. Per werkproces en per type gegeven wordt de termijn ingesteld. Wat daarna moet verdwijnen, verdwijnt.
AVG én Wpg: twee wetgevingen, één systeem
Gemeenten werken met twee privacywetgevingen naast elkaar. De AVG geldt voor het grootste deel van de gegevensverwerking. De Wet politiegegevens (Wpg) geldt voor strafrechtelijke en opsporingsgegevens, zoals bij handhaving en openbare orde. Beide stellen eigen eisen en mogen niet door elkaar lopen.
Metaobjects richt de applicaties zo in dat er een duidelijk schot zit tussen AVG- en Wpg-gegevens. Niet elke medewerker mag strafrechtelijke informatie inzien, ook al werkt die medewerker binnen hetzelfde team. De wetgeving schrijft dat voor, en de software regelt het.
Daarnaast geldt als uitgangspunt: zo min mogelijk gegevens, alleen wat noodzakelijk is. Dataminimalisatie is een van de kernbeginselen van de AVG. Een leerplichtambtenaar ziet pas het volledige dossier van een jongere op het moment dat hij aangeeft een werkproces te openen voor die cliënt. Daarvoor ziet hij alleen dat de cliënt in het systeem staat. Die stap wordt gelogd: de medewerker legt daarmee vast dat hij een wettelijke doelbinding heeft om dieper in het systeem te gaan.
Voorbereid op het moment dat het misgaat
Datalekken zijn zelden het gevolg van complexe aanvallen. Vaker is het een USB-stick met persoonsgegevens die kwijtgeraakt wordt, een medewerker die thuiswerkt met een bestand dat niet thuis hoort. Juist omdat die situaties zich voordoen, zijn wij voorbereid.
In ons interne systeem is per klant vastgelegd wat de crisisprocedure is bij een datalek: wie moet worden gebeld, wat het meldadres is, binnen welke termijn gemeld moet worden en of er afwijkende afspraken gelden. Dat hoeft in een crisissituatie niet te worden opgezocht.
Elk jaar doorlopen we de procedure opnieuw. Twee keer per jaar geeft John een bewustwordingssessie aan de medewerkers. Niet als formaliteit, maar omdat het onderwerp blijft vragen om aandacht. Cybersecurity staat dagelijks in het nieuws. De vraag is niet of er ooit iets misgaat, maar of je er klaar voor bent.
Benieuwd hoe privacy en informatiebeveiliging zijn ingericht in de applicaties van Metaobjects? We gaan graag in gesprek!
