Het hemd van het lijf

Blad: 4/6
Datum: 20 december 2016
6. Beperk de toegangsautorisaties tot de digitale informatiesystemen in het sociaal domein
tot medewerkers die bij de betreffende cliënt betrokken zijn en hun directe vervangers.
Reactie:
De Wet bescherming persoonsgegevens (Wbp) en de Algemene Verordening
Gegevensbescherming (AVG, de Europese verordening) schrijven voor dat passende
technische en organisatorische maatregelen dienen te worden getroffen om toegang tot en
gebruik van gegevens te beveiligen. Het blijft daarbij een kwestie van het zoeken van een
balans tussen technische inperkingen en organisatorische afspraken.
Zoals u aangeeft in het rapport werken de medewerkers in de Vraagwijzers en de wijkteams
op dit moment in verschillende systemen (TOP voor hulp voor jeugd en gezin, Mens Centraal
voor zorg en ondersteuning aan volwassenen). Het wijkteam werkt vanuit een integrale zorg
benadering. De onderliggende systemen moeten de samenwerking van verschillende
professionals aan een integrale aanpak goed ondersteunen. Het principe ‘1 gezin, 1 plan, 1
regisseur’ betekent dat meerdere hulpverleners vanuit één plan werken en bij voorkeur ook in
één systeem registreren. Het autorisatiebeheer is hierop gebaseerd maar dient uiteraard ook
voldoende waarborgen te bieden voor rechtmatige verwerking van persoonsgegevens in het
kader van verschillende wetten.
Zoals hiervoor aangegeven, komt er op termijn één nieuw systeem, waardoor wij de
toegangsautorisaties op één en dezelfde wijze kunnen inregelen. In de tussentijd moeten wij
praktische keuzen maken gelet op de technische (on)mogelijkheden van de huidige systemen
die in gebruik zijn.
Bij TOP is weliswaar sprake van een stadsbrede toegang voor jeugdhulpverleners in de
wijkteams, maar is er ook voor elke gebruiker zichtbare logging van inzage/gebruik die leidt tot
‘sociale controle’ op rechtmatigheid. Onder deze voorwaarde achten wij de autorisatie in
principe aanvaardbaar.
Bij Mens Centraal is dit niet haalbaar omdat er geen sprake is van zichtbare logging.
Wel is daar de kring van gebruikers in principe beperkt tot het betreffende wijkteam en kan
alleen na goedkeuring door de casusregisseur of wijkteamleider iemand van buiten het
wijkteam in het kader van waarneming toegang krijgen.
Wij zijn nog aan het onderzoeken welke andere mogelijkheden er zijn om rechtmatig gebruik
verder te waarborgen. Bijvoorbeeld door leidinggevenden in staat te stellen om achteraf
controles uit te voeren op basis van logging overzichten.
92
7. Wissel persoonsgegevens uitsluitend beveiligd met anderen uit.
Reactie:
Voor zover gewerkt binnen de digitale omgeving van Intranet van de gemeente, achten wij
voldoende beveiliging aanwezig om eventueel uitwisseling van persoonsgegevens via de e-
mail toe te staan. Met dien verstande dat in het kader van subsidiariteit en proportionaliteit
terughoudendheid hierbij voorop staat. Sowieso geldt een verbod op het mailen van bijlagen
met grote bestanden met persoonsgegevens.
Voor alle uitwisseling met partijen buiten het gemeentelijk netwerk, dienen extra maatregelen
voor beveiliging getroffen te worden. De eerste voorkeur gaat dan uit naar het informeren via
het systeem dat gebruikt wordt voor de dossiervorming of via beveiligde lijnen die zijn
aangesloten op deze systemen (zoals Zorgmail, een applicatie waarmee informatie met de
huisartsen kan worden uitgewisseld). Mocht die mogelijkheid er niet zijn, dan horen
medewerkers gebruik te maken van de applicatie MoveIT (die is geïnstalleerd voor alle
gebruikers van Outlook die gebruik maken van de server van Rotterdam) om met extra
waarborgen voor beveiliging persoonsgegevens uit te wisselen. Onze inzet is erop gericht om
met inachtneming van bovenstaande richtlijnen toe te werken naar uitwisseling van
persoonsgegevens die in overeenstemming is met de wettelijke eisen.