| Principe |
Beschrijving |
Implicaties |
Verplaats je in de gebruiker
GAP01
Bron: NORA
|
Stelling
Ontwerp, realiseer en verbeter de dienst vanuit het perspectief van de afnemer.
Rationale
Om een kwalitatief goede dienst met ondersteunende systemen te leveren is het nodig om niet alleen het perspectief van de overheidsdienstverlener, maar óók het perspectief, de beweegredenen, verwachtingen en context van de afnemer mee te nemen. Bij externe diensten is dat de Burger, Ondernemer of Bezoeker, bij interne diensten de medewerker.
GEMMA toelichting
(Ook) bij services is het belangrijk om rekening te houden met het perspectief van afnemers. Bijvoorbeeld inhoudelijk deskundigen die wensen hebben m.b.t. welke gegevens zij willen afnemen en ontwikkelaars die graag met gestandaardiseerd en goed gedocumenteerde services werken.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Ontwerp diensten en voorzieningen via een gebruikersgerichte aanpak (‘user-centered design’). Bijvoorbeeld door vooraf en tijdens ontwikkeling te onderzoeken wat de behoeften, voorkeuren en beperkingen van gebruikers zijn.
- Zorg dat iedereen, ongeacht hun achtergrond, vaardigheden of middelen, gelijke toegang heeft tot digitale technologieën. Bijvoorbeeld door gebruik van schermlezers en ondertiteling voor slechtzienden en slechthorenden en te zorgen dat websites voldoen aan de Digitoegankelijk standaard.
- Maak toegang tot diensten eenvoudig en laagdrempelig. Bijvoorbeeld via eenvoudig taalgebruik en intuïtieve gebruikersinterfaces.
- Vraag feedback aan gebruikers en voer op basis hiervan verbeteringen door. Bijvoorbeeld door actief te vragen om verbetersuggesties voor een website en die te gebruiken bij doorontwikkeling.
- Maak diensten en informatie over diensten toegankelijk voor anderstaligen. Bijvoorbeeld door productinformatie ook in het Engels te publiceren.
- Zorg voor persoonlijke begeleiding waar dit nodig is. Bijvoorbeeld als geboden online dienstverlening voor sommige burgers niet bruikbaar is.
- Biedt meerdere opties en laat gebruikers kiezen hoe zij diensten willen afnemen. Bijvoorbeeld door statusinformatie te verstrekken via email en/of sms en/of een of meerdere persoonlijke portalen.
- Houdt bij beveiligingsmaatregelen rekening met gebruiksgemak. Bijvoorbeeld door gebruikers niet vaker dan nodig is in te laten loggen.
- Stel goede documentatie en testfaciliteiten beschikbaar voor ontwikkelaars die gebruik moeten maken van geleverde services. Bijvoorbeeld via het beschikbaar stellen van testscripts.
|
Geef inzicht in de afhandeling van de dienst
GAP02
Bron: NORA
|
Stelling
Beschrijf nauwkeurig, positioneer deze helder binnen het dienstenaanbod en informeer de afnemer over de dienst, zowel procesmatig als inhoudelijk.
Rationale
Een heldere beschrijving van het wat, het doel en wettelijk kader inclusief interactiemomenten, positionering, criteria en voorwaarden draagt bij aan het gebruik van de dienst en vindt deze gemakkelijker vindbaar. Het draagt bij aan het begrip van afnemers van wat de dienst wel en niet te bieden heeft, tov andere verwante diensten. Afnemers willen graag inzicht hebben in de voortgang en (deel)beslissingen van de dienstverlening. Dit is onder andere van belang wanneer de afnemer het resultaat nodig heeft voor vervolgactiviteiten.
GEMMA toelichting
Beschrijf services, bij voorkeur gestandaardiseerd, op een voor afnemers bruikbare manier. Bijvoorbeeld volgens de OpenAPI specification bij REST-services. Service-informatie moet vindbaar beschikbaar worden gesteld voor potentiële afnemers. Bijvoorbeeld via een openbare catalogus. Zie ook het Common Ground vijflaagsmodel met de generieke functionaliteit ‘Publiceren en gebruiken van informatie over datadiensten’
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Maak alle processtappen begrijpelijk voor de gebruiker. Bijvoorbeeld door elke stap in een aanvraagproces met instructies en voorbeelden toe te lichten.
- Bied tijdig statusupdates aan gebruikers. Bijvoorbeeld door veranderingen in de status van een aanvraag direct te melden.
- Zorg ervoor dat gebruikers toegang hebben tot relevante informatie over de status van hun aanvraag. Bijvoorbeeld via een online portaal waar ze kunnen zien in welke fase het proces zich bevindt en of er nog actie van hun kant vereist is, zoals het aanleveren van aanvullende gegevens.
- Informeer de gebruiker over rechten en voorwaarden en plichten. Bijvoorbeeld via publicatie hiervan bij de beschrijving van een af te nemen dienst.
- Maak besluiten traceerbaar en controleerbaar. Bijvoorbeeld door te beschrijven op basis van welke gegevens en beslisregels een besluit is genomen.
- Maak gebruik van de Uniforme productenlijst (UPL) en Samenwerkende Catalogi om over organisatiegrenzen informatie over diensten te delen.
|
Lever een kanaal-onafhankelijk resultaat
GAP03
Bron: NORA
|
Stelling
Lever een gelijkwaardige uitkomst, ongeacht het gebruikte kanaal. Bied de dienst aan via internet, fysiek (off-line) en eventueel via andere passende kanalen waar de afnemer gebruik van kan maken
Rationale
Afnemers verwachten een gelijkwaardig resultaat, dat niet beïnvloed wordt door hun kanaalkeuze. Het mag dus voor het resultaat van de dienst geen verschil uitmaken of deze bijvoorbeeld via internet of fysiek is aangevraagd. De geleverde informatie is in alle gevallen hetzelfde, ongeacht de plaats of medewerker die deze informatie levert.
GEMMA toelichting
Biedt, waar wenselijk en binnen de mogelijkheden, afnemers meerdere soorten services aan. Bijvoorbeeld REST-services en een service voor bestandsoverdracht. Zie verder de Toelichting gebruik van REST.
Bouw diensten en services voor vaker benodigde specifieke functionaliteit modulair op, zodat ze vanuit verschillende omgevingen zijn te gebruiken en een eenduidig resultaat leveren.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Bied afnemers één contactpunt (‘single point of contact’). Bijvoorbeeld via een KCC dat informatie kan verstrekken over verschillende gemeentelijke diensten.
- Organiseer dienstverlening op basis van het omnichannel principe, zodat klanten kunnen schakelen tussen verschillende kanalen zonder verlies van informatie of servicekwaliteit. Bijvoorbeeld bij gebruik van kanalen zoals website, mobiele app, social media, e-mail, telefoon of balie.
- Maak het mogelijk om diensten via meerdere kanalen af te nemen. Bijvoorbeeld door gemeentelijke diensten zowel fysiek aan de balie, via de website als via een mobiele apps te raadplegen en aan te vragen.
- Zorg voor een naadloze ervaring bij overstap tussen kanalen. Bijvoorbeeld door te zorgen dat gebruikers een aanvraag via een mobiele app kunnen starten en op de website verder kunnen aanvullen, zonder opnieuw gegevens te hoeven invoeren.
- Gebruik voor authenticatie en autorisatie herbruikbare regels. Bijvoorbeeld via Policy Based Access Control, waarbij bij voor beslissingen over toegang tot een dienst gebruikt wordt gemaakt van beslisregels.
- Herbruik services om te garanderen dat informatie over resultaten altijd hetzelfde is. Bijvoorbeeld door vanuit verschillende kanalen gebruik te maken van dezelfde API voor het opvragen van informatie.
|
Bundel diensten
GAP04
Bron: NORA
|
Stelling
Bundel de dienst met andere voor de afnemer relevante diensten binnen de keten, zodat die in één keer afgenomen kunnen worden.
Rationale
Door bundeling van diensten nemen gebruiksgemak en meerwaarde voor afnemers toe: waar voorheen meerdere aanvragen nodig waren, kan nu met één aanvraag worden volstaan. Tevens kunnen overheidsdienstverleners zo efficiënter samenwerken.
GEMMA toelichting
Vereenvoudig de aanroep en het gebruik van meerdere services. Bijvoorbeeld via gebruik van Process en/of Convenience API’s.
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Combineer verwante diensten als dit bijdraagt aan gebruiksgemak. Bijvoorbeeld door op de website meerdere diensten via 1 aanvraag aan te bieden.
- Zorg voor een centraal toegangspunt voor gerelateerde diensten. Bijvoorbeeld via een PDC waar bij een dienst wordt getoond welke andere diensten mogelijk ook interessant zijn.
- Voorkom het verstrekken van gegevens die al bekend zijn. Bijvoorbeeld door bij aanvragen gegevens uit gemeentelijke registraties te gebruiken.
- Zorg dat diensten goed zijn te integreren met andere diensten. Bijvoorbeeld via verwijzingen (‘deeplinks’) waarmee gebruikers meteen op de juiste plek terechtkomen.
- Zorg dat gegevens en API’s die vaak in combinatie nodig zijn (ook) gebundeld worden aangeboden. Bijvoorbeeld via een proces-API die ervoor zorgt dat gegevens uit meerdere bronnen gecombineerd zijn te gebruiken.
|
Bied de dienst proactief aan
GAP05
Bron: NORA
|
Stelling
Bied de dienst aan wanneer dit in het belang is of zou kunnen zijn voor de afnemer.
Rationale
Het gebruik en gemak van diensten neemt toe wanneer overheidsdienstverleners acteren op signalen die duiden op (latente) behoeften bij de afnemer. Op basis hiervan nemen zij het initiatief om (aanvullende) diensten aan te bieden of er naar door te wijzen. Afnemers hoeven daardoor niet eerst zelf de vraag te stellen, of te weten welke diensten beschikbaar zijn. Proactiviteit is een belangrijk aspect van de kwaliteit van dienstverlening die de overheid nastreeft.
GEMMA toelichting
Biedt, waar wenselijk en binnen de mogelijkheden, afnemers meerdere soorten services aan. Bijvoorbeeld REST-services en een service voor bestandsoverdracht. Zie verder de Toelichting gebruik van REST.
Bouw diensten en services voor vaker benodigde specifieke functionaliteit modulair op, zodat ze vanuit verschillende omgevingen zijn te gebruiken en een eenduidig resultaat leveren.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Speel in op de behoeften van burgers met actuele en nauwkeurige gegevens, mogelijk gemaakt door een robuust systeem voor gegevensbeheer en analyse. Bijvoorbeeld door bij te houden over welke producten het vaakst vragen worden gesteld.
- Maak processen geschikt om proactief het initiatief te nemen in plaats van te wachten op een aanvraag. Bijvoorbeeld door burgers die een tijdelijke geldig product hebben afgenomen tijdig te benaderen als de geldigheidstermijn afloopt.
- Houdt rekening met specifieke behoeften en omstandigheden van burgers. Bijvoorbeeld door burgers die de Nederlandse taal slecht beheersen extra te ondersteunen.
- Neem lokaal beleid en ethische aspecten mee in het beslissen aan wie wanneer proactief diensten worden aangeboden. Bijvoorbeeld door rekening te houden met de wensen binnen het actuele coalitieakkoord.
|
Hergebruik voor kopen, voor maken
GAP06
Bron: NORA
|
Stelling
Ga uit van overheidsbreed hergebruik van diensten, of onderdelen daarvan voordat je overgaat tot het kopen of het laten maken.
Rationale
Hergebruik van diensten of onderdelen daarvan is duurzaam en kostenefficiënt, en bovendien leidt dit tot standaardisering van dienstverlening en informatievoorzieningen. Als hergebruik niet mogelijk is, ga dan na of aanpassing op het bestaande mogelijk is. Pas daarna komt het alternatief om iets te kopen of desnoods te (laten) maken in zicht.
GEMMA toelichting
De GEMMA stimuleert standaardisatie waardoor hergebruik beter mogelijk wordt.
De GEMMA spreekt zich niet uit over te maken bedrijfskundige keuzes door gemeenten zoals het kopen of (laten) maken van software.
De GEMMA is hierdoor bruikbaar door alle gemeenten, maar laat hen vrij om bij hun specifieke context passende bedrijfsmatige keuzes te maken.
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Gebruik gestandaardiseerde componenten die hergebruik vergemakkelijken. Bijvoorbeeld een DBMS dat voldoet aan de SQL-standaard (Structured Query Language) voor het beheren van relationele databases.
- Gebruik open standaarden om hergebruik te vergemakkelijken. Bijvoorbeeld gemeentelijke API-standaarden.
- Accepteer dat via hergebruik en koop niet altijd alle wensen zijn in te willigen. Bijvoorbeeld toekomstwensen die veel tijd kosten en misschien zelfs onmogelijk blijken om te realiseren.
- Gebruik systemen op de manier zoals ze zijn bedoeld. Bijvoorbeeld door geen velden voor andere dan de bedoelde doelen te gebruiken.
- Gebruik voor hergebruik geschikte open source software. Bijvoorbeeld software die vanwege de vrije beschikbaarheid kostendrempels wegneemt en via vrije toegang tot de broncode aanpassing mogelijk maakt.
- Zorg bij de ontwikkeling van diensten dat ze herbruikbaar zijn. Bijvoorbeeld door gebruik te maken van open standaarden.
|
Bouw diensten modulair op
GAP07
Bron: NORA
|
Stelling
Baseer oplossingen op zelfstandige componenten
Rationale
Door diensten modulair op te bouwen en te ontkoppelen wordt de flexibiliteit vergroot, wat leidt tot meer wendbaarheid, meer hergebruik en duurzaamheid.
GEMMA toelichting
Modulair opbouwen betekent dat functionaliteit logisch wordt opgedeeld in samenhangende modules, met ieder een duidelijke verantwoordelijkheid. Modulariteit is zowel wenselijk bij het ontwerpen van bedrijfsdiensten (bijvoorbeeld via procesbouwstenen) als applicatieservices. Doordacht werken met modules en componenten draagt bij aan een flexibel, schaalbaar en onderhoudbaar geheel. De gewenste mate van modulariteit en granulariteit (‘de mate waarin iets is opgesplitst’) is afhankelijk van contextuele factoren. De GEMMA kent referentiecomponenten zoals een belastingencomponent of een documentregistratiecomponent. Componenten kunnen ook kleiner zijn qua functionaliteit. Bijvoorbeeld een component die als microservice hele specifieke functionaliteit levert (bijvoorbeeld het verzenden van email). Op zichzelf staande oplossingen binnen het gemeentelijk applicatielandschap (in de GEMMA Softwarecatalogus aangeduid als ‘pakket’’) kunnen ook meerdere referentiecomponenten realiseren. Zie ook de pagina’s Toelichting modulariteit en granulariteit en Definitie referentiecomponent.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Ontwikkel diensten als afzonderlijke modules die op verschillende manieren zijn te combineren. Bijvoorbeeld door een dienst om online te kunnen betalen te kunnen gebruiken bij de aanvraag van verschillende producten.
- Maak het mogelijk om onderdelen van diensten los van elkaar te verbeteren. Bijvoorbeeld door functionaliteit voor het verstrekken van standaard persoonsgegevens te scheiden van taakspecifieke functionaliteit.
- Baken modules en componenten duidelijk af. Bijvoorbeeld door te duidelijk te beschrijven welke functionaliteit er wel en niet wordt geleverd.
- Vermijd complexiteit door de onderdelen voldoende klein en behapbaar te houden. Bijvoorbeeld door te zorgen dat een component slechts 1 functie heeft.
- Maak bij het inrichten van processen gebruik van modulaire proces-bouwblokken. Bijvoorbeeld door binnen verschillende processen gebruik te maken van hetzelfde proces-bouwblok.
- Gebruik bewezen communicatiestandaarden, zoals het HTTP-transportprotocol en het JSON-gegevensformaat.
- Gebruik gestandaardiseerde interfaces. Bijvoorbeeld door voor bepaalde componenten te specificeren welke standaard API’s zij moeten ondersteunen.
- Zorg voor versiebeheer om compatibiliteitsproblemen te voorkomen. Bijvoorbeeld door semantic versioning te gebruiken en te specificeren welke versies gedurende welke periode worden ondersteund.
- Monitor en log op componentniveau zodat de oorzaak van problemen is vast te stellen. Bijvoorbeeld door regelmatig te testen of componenten nog actief zijn.
- Zorg voor adequaat beheer en financiering om te zorgen dat componenten duurzaam zijn te gebruiken. Bijvoorbeeld door bij te dragen aan doorontwikkeling van gebruikte open source componenten.
- Zorg voor voldoende ontwerp- en beheerexpertise van systemen die uit meerdere componenten bestaan. Bijvoorbeeld voor adequaat beheer van containeromgevingen voor componenten.
- Gebruik, bij voorkeur gestandaardiseerde, API’s voor gebruik van elders aanwezige functionaliteit en gegevens. Bijvoorbeeld via API’s die werken met mechanismen zoals REST, RPC of GraphQL.
|
Standaardiseer waar mogelijk
GAP08
Bron: NORA
|
Stelling
Standaardiseer waar het kan, maak specifiek waar het moet.
Rationale
Standaardisatie reduceert variëteit en kosten, en zorgt voor een betere interoperabiliteit en beveiliging. Hiermee komt bovendien een grotere wendbaarheid tot stand. Door te kiezen voor open standaarden wordt vendor lock-in voorkomen.
GEMMA toelichting
In haar architectuurvisie onderschrijft de GEMMA het belang van standaardisatie. De GEMMA zelf kan worden beschouwd als een standaard (‘waar het kan’) die gemeenten binnen hun eigen context toepassen (‘maak specifiek waar het moet’).
Standaarden voor gegevensuitwisseling spelen een belangrijke rol binnen de gemeentelijke informatievoorziening. Het Standaard Uitwisselformaat (StUF) is al lange tijd een belangrijke uitwisselstandaard. Tegenwoordig heeft het gebruik van moderne API-standaarden de voorkeur.
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Gebruik de GEMMA als basis voor de gemeentelijke enterprise-architectuur en voor projectarchitecturen. Bijvoorbeeld door binnen de GEMMA benoemde verzamelingen, indelingen en begrippen over te nemen.
- Controleer altijd of voor benodigde functionaliteit een open standaard beschikbaar is. Bijvoorbeeld voor bedrijfsrapportages met een financiële component is gebruik te maken van de open standaard XBRL.
- Gebruik standaardoplossingen, zoals bewezen open source applicaties, bouwblokken en registraties. Bijvoorbeeld de OpenWeb bouwblokken of toepassingen en componenten uit het Common Ground portfolio.
- Gebruik standaarden die interoperabiliteit bevorderen. Bijvoorbeeld de GEMMA-standaarden.
- Neem toepassen en voldoen aan open standaarden op als eis bij verwerving van software en diensten. Bijvoorbeeld de standaarden van de pas-toe-of-leg-uit lijst.
- Zorg voor afspraken over beheer en doorontwikkeling van standaarden. Bijvoorbeeld over duur van ondersteuning en manier waarop versiebeheer plaatsvindt.
- Pas organisatie en processen aan op de standaardinrichting van standaardoplossingen. Bijvoorbeeld door bestaande processen zodanig aan te passen dat standaardoplossingen bruikbaar zijn.
- Voorkom onnodige variatie. Bijvoorbeeld door binnengemeentelijk gebruik van generieke componenten, zoals een gemeentelijke zaken- of documentenregistratie, te verplichten of door gebruik te maken van een overheidsbreed designsystem zoals het NL Design System.
|
Beschrijf de dienst nauwkeurig
GAP09
Bron: NORA
|
Stelling
Beschrijf de dienst nauwkeurig en positioneer deze helder binnen het dienstenaanbod.
Rationale
Een heldere beschrijving van het wat, het doel en wettelijk kader inclusief interactiemomenten en positionering draagt bij aan het gebruik van de dienst. Het maakt diensten gemakkelijker vindbaar voor afnemers. Het draagt bij aan het begrip bij afnemers van wat de dienst wel en niet te bieden heeft, ten opzichte van andere verwante diensten.
GEMMA toelichting
De GEMMA benadrukt het belang van gestandaardiseerd beschrijven van API’s en services, zodat ze uniform en begrijpelijk zijn voor ontwikkelaars. Het wordt hierdoor onder andere eenvoudiger om gegevens uit te wisselen.
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Geef informatie over doorlooptijd, kosten en benodigde stappen om de dienst te kunnen gebruiken. Bijvoorbeeld door dit te tonen voor de aanvraag van een dienst.
- Beschrijf alle voorwaarden, rechten en plichten, en beperkingen die gelden voor gebruik van de dienst. Bijvoorbeeld dat voor het verkrijgen van een parkeervergunning dat de aanvrager ingeschreven moet zijn op een adres binnen de gemeente en dat de vergunning alleen geldig is in aangewezen zones.
- Maak dienstdocumentatie eenvoudig vindbaar en toegankelijk. Bijvoorbeeld via catalogi zoals Producten en Diensten catalogi of meer technische catalogi, zoals developer.overheid.nl .
- Maak (delen van) de dienstdocumentatie ook machinaal leesbaar. Bijvoorbeeld door API’s conform de OpenAPI specificatie te beschrijven.
- Maak gebruik van standaarden waarmee gegevens over diensten eenduidig zijn te beschrijven. Bijvoorbeeld het Core Public Service Vocabulary Application Profile (CPSV-AP) en DCAT.
|
Neem gegevens als fundament
GAP10
Bron: NORA
|
Stelling
Gebruik gegevens als fundament voor het ontwerp, realisatie en doorontwikkeling van de dienst en richt het beheer hiervan goed in.
Rationale
De kwaliteit en toegankelijkheid van gegevens bepaalt de waarde van de dienst. De onderliggende gegevens kennen meestal een veel langere levenscyclus dan de systemen waarin deze verwerkt wordt. Als gegevens op duurzame wijze toegankelijk zijn gemaakt voor mens én machine kunnen deze gegevens dienen als fundering voor verschillende diensten in verschillende toepassingen, door de tijd en over de hele keten heen.
GEMMA toelichting
Een gegevensgeoriënteerde ontwerpaanpak is geschikt wanneer data de kern vormt van de werking en waarde van een systeem. Binnen de GEMMA worden echter ook andere benaderingen, zoals proces-, taak- of event-georiënteerd ontwerpen, als waardevol beschouwd in specifieke contexten. Welke benadering, of combinatie daarvan, het meest geschikt is, hangt af van de context en de bijbehorende vereisten.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Maak gegevens, conform de FAIR-principes, vindbaar (Findable), toegankelijk (Accessible), interoperabel (Interoperable) en herbruikbaar (Reusable) te maken.
- Richt gegevensmanagement in om te zorgen dat gegevens op een gestructureerde, veilige en efficiënte manier worden verzameld, opgeslagen, beheerd, gedeeld en gebruikt en de kwaliteit van gegevens continu te kunnen verbeteren. Bijvoorbeeld door het benoemen en toewijzen van benodigde rollen en verantwoordelijkheden, door gegevens te inventariseren en classificeren en door terugmeldingen voor registraties te faciliteren.
- Zorg voor metadata die zaken zoals eigenaarschap en kwaliteit van gegevens beschrijven. Bijvoorbeeld door gebruik van het DUTO-raamwerk.
- Houdt vroegtijdig rekening met archivering om te kunnen voldoen aan geldende wet- en regelgeving zoals de Archiefwet. Bijvoorbeeld door al tijdens de uitvoering van processen zorgvuldig te archiveren.
- Beschrijf betrokken informatieobjecten op een gestandaardiseerde manier. Bijvoorbeeld via informatiemodellen om de semantiek en syntax van gegevens te beschrijven, conform de Metamodel voor Informatiemodellering (MIM) standaard.
- Ontwerp en gebruik gegevensmodellen met een focus op stabiliteit en duurzaamheid, zodat de kernstructuren lange tijd bruikbaar blijven. Bijvoorbeeld door gebruik van openbare gestandaardiseerde gegevensmodellen zoals RSGB of Gemeentelijk GegevensModel.
- Gegevens moeten onafhankelijk zijn van specifieke technologieën of software, zodat migraties of updates geen invloed hebben op de stabiliteit van de gegevens. Bijvoorbeeld door logische datamodellen te standaardiseren.
- Er moeten mechanismen zijn om wijzigingen in gegevens en bijbehorende metadata bij te houden zonder de historische stabiliteit te verstoren. Bijvoorbeeld door bij iedere wijziging relevante metagegevens daarover vast te leggen.
- Wijzigingen in gegevensstructuur moeten zorgvuldig worden afgestemd in overleg met stakeholders. Bijvoorbeeld via goed versiebeheer en tijdige afstemming hierover met softwareleveranciers.
- Houdt rekening met de duurzaamheid waarmee gegevens toegankelijk moeten blijven. Maak voor gegevens die lang toegankelijk moeten blijven gebruik van daarvoor geschikte voorzieningen, zoals een e-depot.
- Overweeg gebruik van andere ontwerpstijlen als gegevens niet centraal staan. Gebruik bijvoorbeeld een procesbenadering als werkstromen centraal staan of events als gebeurtenissen en real-time interacties belangrijk zijn.
|
Pas doelbinding toe
GAP11
Bron: NORA
|
Stelling
Geef burgers en bedrijven de zekerheid dat informatie over hen alleen wordt gebruikt voor de doelen waarvoor deze oorspronkelijk is verzameld.
Rationale
Afspraken over het gebruik van informatie zijn nodig voor een vertrouwen in de dienstverlening. Door informatie niet te gebruiken voor andere processen of diensten binnen de overheid, wordt zekerheid naar burgers en bedrijven geboden.
GEMMA toelichting
Persoonsgegevens mogen alleen worden verzameld en verwerkt voor een specifiek, uitdrukkelijk omschreven en gerechtvaardigd doel. Gebruik voor andere doeleinden mag alleen bij een nieuwe grondslag of expliciete toestemming van de betrokkenen.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Verzamel alleen gegevens die nodig zijn voor het beoogde doel. Bijvoorbeeld door bij een melding openbare ruimte het verstrekken van persoonlijke gegevens niet te verplichten.
- Verstrek verzamelde gegevens alleen voor andere doeleinden als is aangetoond dat het beoogde gebruik in lijn is met het oorspronkelijke doel van de gegevensverzameling en voldoet aan de geldende wet- en regelgeving. Bijvoorbeeld BRP-gegevens mogen binnengemeentelijk worden verstrekt voor wettelijke taken, zoals beschreven in de Wet BRP en de AVG, maar niet voor algemene statistieken of commerciële doeleinden.
- Voor alle gegevensverwerkingen moet zijn vastgelegd wat de grondslag en het doel van de gegevensverwerking is. Bijvoorbeeld binnen een gemeentelijk verwerkingsregister.
- Leg van alle verwerkingen vast met welk doel ze hebben plaatsgevonden. Bijvoorbeeld in een daarvoor bestemd verwerkingslogregister.
|
Informeer bij de bron
GAP12
Bron: NORA
|
Stelling
Maak bij de dienst gebruik van gegevens die afkomstig zijn uit een bronregistratie.
Rationale
Voor betrouwbare dienstverlening is het hergebruik van de juiste informatie en documenten van cruciaal belang. Om de kwaliteit over de juistheid van een gegeven te borgen, moet duidelijk zijn welke organisatie bepaalt wat de juiste informatie is. Uitgangspunt is dat er voor gegevens waar de overheid gebruik van maakt, altijd één bron bestaat, die leidend is.
GEMMA toelichting
Maak gebruik van bronnen die betrouwbare gegevens beschikbaar stellen. Onder ‘bron’ wordt een plaats verstaan waar afnemers gegevens kunnen gebruiken. Gegevens in een bron zijn afkomstig uit 1 of meer registraties.
Bij voorkeur is bekend wat de precieze betekenis van gegevens is, welke kwaliteit ze hebben, wie ervoor verantwoordelijk is, etc. Zie ook de pagina Toelichting data bij de bron.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Neem in registraties bij voorkeur verwijzingen op naar brongegevens in plaats van kopie-brongegevens. Bijvoorbeeld door binnen taakgerichte applicaties verwijzingen op te nemen naar brongegevens in basis- en kernregistraties.
- Controleer of gebruik van verwijzingen voldoet aan inhoudelijke en functionele eisen. Bijvoorbeeld wat betreft betekenis, beschikbaarheid, performance, duurzaamheid, historie en kosten.
- Sluit gegevensleveringsovereenkomsten af met verstrekkers van brongegevens. Bijvoorbeeld door af te spreken welke gegevens worden geleverd, voor welk doel, onder welke voorwaarden, hoe ze beveiligd en verwerkt worden en welke verantwoordelijkheden, beperkingen en afspraken gelden voor beide partijen.
- Brongegevens moet zo snel mogelijk, daar waar de gegevens ontstaan, worden vastgelegd om de volledigheid, kwaliteit en de actualiteit van de gegevens te verhogen. Bijvoorbeeld door op locatie gedane waarnemingen via mobiele apparaten direct in een bronregistratie te verwerken.
- Leg, waar mogelijk, brongegevens geautomatiseerd vast om menselijke fouten te voorkomen. Bijvoorbeeld bij het vastleggen van metagegevens over gebruik van brongegevens.
- Zorg dat verkregen brongegevens geen hogere classificatie dan in de bron krijgen voor beschikbaarheid en integriteit en geen lagere classificatie voor vertrouwelijkheid.
|
Beheers risico's voortdurend
GAP13
Bron: NORA
|
Stelling
Maak in alle stappen van ontwerp en doorontwikkeling van de dienst de risico's inzichtelijk en stuur op een afgewogen beheersing ervan.
Rationale
Wanneer helder in beeld is welke gevaren en bedreigingen van toepassing zijn voor de dienst, kun je gepaste beheersmaatregelen nemen. De manieren waarop componenten kunnen falen of hoe er misbruik van kan worden gemaakt zijn onderdeel van de risicoanalyse. Telkens kan dan de afweging worden gemaakt in welke mate de kosten en inspanningen van verdere mitigatie in verhouding staan tot de gevolgen als een risico zich voordoet. De bereidheid van de overheidsdienstverlener om restrisico's te accepteren maakt onderdeel uit van de afweging. Door risico's tijdig te onderkennen zijn beheersmaatregelen effectiever en efficiënter te implementeren.
GEMMA toelichting
Breng risico’s, kansen en alternatieven in kaart en weeg deze zorgvuldig af. Neem mitigerende maatregelen om resterende risico’s te beheersen.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Voer regelmatig risicobeoordelingen uit om bedreigingen tijdig te identificeren. Bijvoorbeeld via periodieke audits.
- Voer risicobeoordelingen uit bij veranderingen die gevolgen kunnen hebben voor de kwetsbaarheid. Bijvoorbeeld bij een verandering in bedrijfsproces of gebruikte voorzieningen.
- Zorg voor een continu monitoringssysteem van risico’s. Bijvoorbeeld via een SIEM-SOC dat detecteert, analyseert en reageert op beveiligingsincidenten door middel van geautomatiseerde gegevensanalyse (SIEM) en een gespecialiseerd team (SOC) dat toezicht houdt en waar nodig actie onderneemt.
- Maak ambities en afwegingscriteria expliciet zodat duidelijk is op basis van welke afwegingen keuzes zijn gemaakt. Bijvoorbeeld een keuze voor gebruik van cloud- in plaats van lokale voorzieningen omdat er minder lokaal beheer nodig is en minder kosten hoeven te worden gemaakt.
- Train medewerkers om risicobeheersing proactief toe te passen. Bijvoorbeeld door hen te trainen in het herkennen en melden van afwijkend gedrag in systemen of processen.
- Ontwikkel een crisiscommunicatieplan voor onverwachte gebeurtenissen. Bijvoorbeeld door daarin te beschrijven welke acties moeten worden ondernomen en hoe met interne en externe stakeholders moet worden gecommuniceerd.
- Neem maatregelen voor risicobeheersing op bij het verwerven van ICT-middelen en diensten. Bijvoorbeeld dat de leverancier moet voldoen aan de van toepassing zijnde eisen uit de BIO.
- Maak bij het uitbesteden van ICT-middelen en diensten een risico afweging op belangrijke aspecten, zoals soevereiniteit, continuïteit van dienstverlening en gegevensbescherming. Bijvoorbeeld bij gebruik van clouddiensten en SAAS-applicaties.
- Zorg voor een overzicht van en inzicht in alle contractuele afspraken en controleer op het nakomen hiervan. Bijvoorbeeld via het periodiek (laten) uitvoeren van audits.
- Zorg voor het tijdig updaten en doorvoeren van beveiligingsupdates van gebruikte software. Bijvoorbeeld door te abonneren op meldingen over nieuw ontdekte kwetsbaarheiden en aanbevolen maatregelen snel door te voeren.
|
Verifieer altijd
GAP14
Bron: NORA
|
Stelling
Verifieer doorlopend de kwaliteit en de juiste werking van de componenten en beheersmaatregelen van de dienst.
Amsterdam: Borg gedurende de levensloop van onze digitale diensten dat deze passend, betrouwbaar, beschikbaar, actueel en veilig zijn met inachtneming van wettelijke kaders en beleidskaders.
Rationale
Vertrouwen in het service-niveau van een overheidsdienstverlener, in de beschikbaarheid van een dienst, in de betrouwbaarheid van informatie, in de werking van een component, of de adequaatheid van beheersmaatregelen, is alleen gerechtvaardigd als de componenten en beheersmaatregelen van de dienst doorlopend wordt geverifieerd.
GEMMA toelichting
Hanteer het Zero Trust-principe waarbij geldt dat geen enkele gebruiker, apparaat of netwerk standaard is te vertrouwen en altijd verificatie behoeft.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Voer grondige validatie uit op alle gegevensinvoer. Bijvoorbeeld door te controleren of aangeleverde gegevens juist gestructureerd zijn.
- Automatiseer controles om menselijke fouten te minimaliseren. Bijvoorbeeld door handmatig ingevoerde gegevens te valideren voordat vastlegging plaatsvindt.
- Pas real-time verificatie toe bij belangrijke acties. Bijvoorbeeld om bij online dienstverlening de identiteit van dienstafnemers vast te stellen.
- Bepaal het benodigde betrouwbaarheidsniveau voor toegang tot geleverde diensten. Bijvoorbeeld door te beoordelen wie de gebruikers zijn, welke persoonsgegevens worden verwerkt en wat de risico’s zijn.
- Gebruik geschikte authenticatiemiddelen, met het juiste betrouwbaarheidsniveau, voor diensten. Bijvoorbeeld DigiD of Identity wallets voor burgers en eHerkenning voor bedrijven.
- Maak gebruik van mechanismen zoals role-, attribute- en policy-based access om te verifiëren of toegang tot een bepaalde bron is toegestaan. Bijvoorbeeld door bij een opvraging van gegevens te controleren of aan alle daarvoor geldende eisen is voldaan. Zie ook RBAC, ABAC en PBAC toegangscontrole
- Zorg dat voor logging van informatie (wie, wat, waar, wanneer) over gebeurtenissen en controleer op de aanwezigheid en naleving van toegangsregels. Bijvoorbeeld door vast te leggen en te controleren welke gebruikers waar en wanneer op een systeem zijn ingelogd.
- Controleer systematisch de herkomst en authenticiteit van digitale content. Bijvoorbeeld bij informatie die afkomstig kan zijn van AI-systemen of gemanipuleerd kan zijn met technieken zoals deepfakes.
|
Maak diensten schaalbaar
GAP15
Bron: NORA
|
Stelling
Bereid de dienst voor op veranderende werklast of reikwijdte.
Rationale
Een schaalbare dienst kan omgaan met zowel verwachte als onverwachte intensivering of extensivering. Dit waarborgt de beschikbaarheid van de dienst en hiermee ook de wendbaarheid. Het voorkomt het ad hoc en onder hoge tijdsdruk realiseren van het opschalen van de dienst.
GEMMA toelichting
Systemen en infrastructuren moeten voor operationele stabiliteit en kostenbeheersing geschikt zijn voor op- en afschalen.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Ontwerp systemen die goed zijn op en af te schalen. Bijvoorbeeld door gebruik te maken van een virtuele omgeving waarin resources zoals geheugen en rekenkracht eenvoudig zijn aan te passen.
- Zorg voor flexibele infrastructuur die pieken en dalen in vraag kan verwerken. Bijvoorbeeld een cloud-omgeving die automatisch schalen van systemen ondersteunt bij toenemende gebruikersaantallen en datavolumes.
- Verwerk gegevens asynchroon als er niet direct antwoord van een service nodig is. Bijvoorbeeld in plaats van het synchrone request-reply patroon gebruik te maken van het asynchrone fire-and-forget patroon.
|
Streef naar eenvoud
GAP16
Bron: NORA
|
Stelling
Voorkom onnodige complexiteit door activiteiten en middelen die geen waarde toevoegen, weg te laten.
Rationale
Meer complexiteit verhoogt de kosten, verhult kwetsbaarheden en reduceert het overzicht en belemmert veranderingen.
GEMMA toelichting
Eenvoud bevordert wendbaarheid, begrijpelijkheid en lagere kosten, waardoor bedrijfsvoering, informatievoorziening en ICT efficiënter en duurzamer worden.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Maak gemeentelijke dienstverlening voor afnemers makkelijk vindbaar en eenvoudig af te nemen, zowel fysiek als digitaal. Bijvoorbeeld door gebruik van begrijpelijke taal.
- Richt dienstverlening in vanuit het perspectief van burgers en bedrijven. Bijvoorbeeld via eenvoudig te doorlopen klantreizen en daarop afgestemde organisatie, processen en systemen.
- Klanten moeten online via vraaggeleiding kunnen vinden waar de door hen gewenste dienst wordt aangeboden. Bijvoorbeeld via een vraag-en-antwoord dialoog.
- Zorg voor intuïtieve gebruikersinterfaces. Bijvoorbeeld door via gebruikersonderzoeken te controleren of aangeboden interfaces gemakkelijk genoeg zijn te gebruiken.
- Bied afnemers een centraal contactpunt voor meerdere gemeentelijke diensten. Bijvoorbeeld via een KCC of een producten-en-diensten catalogus.
- Maak gebruik van bewezen standaardtoepassingen om complexe ontwikkeltrajecten te voorkomen. Bijvoorbeeld door oplossingen te gebruiken die al succesvol bij andere gemeenten in gebruik zijn.
- Zorg voor overzicht en inzicht in gemeentelijk aanwezig applicaties en gegevens en stuur op vereenvoudiging hiervan. Bijvoorbeeld door bij systemen met vergelijkbare functionaliteit te kiezen voor 1 systeem.
|
Stuur cyclisch op kwaliteit
GAP17
Bron: NORA
|
Stelling
Maak cyclische sturing op de kwaliteit van de dienst mogelijk.
Rationale
Vertrouwen in het service-niveau van een overheidsdienstverlener, in de beschikbaarheid van een dienst, in de betrouwbaarheid van informatie, in de werking van een component, of de adequaatheid van beheersmaatregelen, is alleen gerechtvaardigd als de componenten en beheersmaatregelen van de dienst doorlopend wordt geverifieerd. Voor alle diensten gelden leveringsvoorwaarden en kwaliteitscriteria (Quality of Service). De overheidsdienstverlener werkt daarom op methodische wijze aan de kwaliteit van de dienst op basis van de Plan-Do-Check-Act cyclus (Deming-cirkel). Afnemers vragen overheidsorganisaties om transparantie ten aanzien van de geleverde kwaliteit van de dienst en de sturing daarop. De overheidsdienstverlener legt over deze sturing verantwoording af en geeft aan of zij 'in control' is. Voor alle diensten gelden leveringsvoorwaarden en kwaliteitscriteria (Quality of Service). Afspraken hierover zorgen ervoor dat overheidsdienstverlener en afnemer weten waar zij aan toe zijn en elkaar kunnen vertrouwen. Voor afnemers is het van belang om snel inzicht te kunnen krijgen in een pakket van maatregelen voor de borging van de kwaliteit. Dit is ook in het kader van samenwerking tussen organisaties van belang. Op basis van inzicht in deze maatregelen ontstaat vertrouwen en het vermogen om snel samenwerking te realiseren. De overheidsdienstverlener werkt daarom op methodische wijze aan de kwaliteit van de dienst. Dit veronderstelt een cyclische terugkoppeling of Plan-Do-Check-Act-cyclus (Deming-cirkel) op de kwaliteit van de dienst.
GEMMA toelichting
Cyclisch sturen op kwaliteit zorgt voor een continu proces van evaluatie en verbetering, waardoor de kwaliteit steeds beter aansluit bij veranderende behoeften, problemen vroegtijdig worden gesignaleerd en prestaties duurzaam worden verbeterd.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- De te verwachten kwaliteit van dienstverlening moet duidelijk zijn. Bijvoorbeeld door het publiceren van algemene voorwaarden op een website.
- De kwaliteit van geleverde dienstverlening moet worden gemeten en inzichtelijk zijn voor belanghebbenden. Bijvoorbeeld via logging van gebruik, gebruikersfeedback en rapportages.
- Bevorder een cultuur van verantwoordelijkheid en betrokkenheid, waarin medewerkers actief zijn betrokken bij het verbeteren van kwaliteit. Bijvoorbeeld door medewerkers aan te moedigen om met verbetervoorstellen te komen.
- Zorg dat er geschikte systemen zijn voor het verzamelen, analyseren en interpreteren van data. Bijvoorbeeld door kwaliteit gerelateerde data in een datawarehouse vast te leggen en verbetervoorstellen op verzamelde data in plaats van aannames te baseren.
- Doe periodieke controles op volledigheid, nauwkeurigheid en consistentie van data en verbeter op basis van de uitkomsten de kwaliteit ervan. Bijvoorbeeld door data te dedupliceren.
- Zorg dat tijdelijk toegestane oplossingen in beeld blijven en daarbij gemaakte afspraken worden nagekomen. Bijvoorbeeld als het gaat om tijdelijk afwijken van de vastgestelde architectuur met de toezegging om dit later op te lossen.
- Zorg dat de technische kwaliteit van informatiesystemen periodiek wordt beoordeeld en dat technische schuld planmatig en cyclisch wordt verminderd. Bijvoorbeeld door in begrotingen voldoende budget voor onderhoud te reserveren.
|
Bied regie op gegevens
GAP18
Bron: GEMMA
|
Stelling
Digitale zelfbeschikking op gegevens
Rationale
De inwoner heeft drie vormen van regie: 1) Delen van gegevens: de eigen gegevens zelf, digitaal kunnen delen met dienstverleners buiten de overheid. 2) Eenmalige verstrekking,: kunnen weigeren om gegevens te verstrekken die binnen de overheid al beschikbaar zijn. 3) Inzage en correctie: de eigen gegevens kunnen inzien en controleren, kunnen inzien welke gegevens worden en zijn uitgewisseld, en de gegevens kunnen laten corrigeren.
GEMMA toelichting
Burgers moeten de regie over hun gegevens kunnen behouden, zodat ze weloverwogen keuzes kunnen maken over hoe, wanneer en door wie hun gegevens worden verzameld, gebruikt en gedeeld.
De gemeentelijke informatievoorziening en vastlegging van data speelt daarbij een steeds belangrijkere rol.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Publiceer informatie over gemeentelijke verwerkingen van persoonsgegevens, zoals het doel en de grondslag. Bijvoorbeeld via het publiceren van een verwerkingsregister.
- Stel burgers op de hoogte van het doel waarvoor gegevens worden verzameld en welke rechten zij hebben. Bijvoorbeeld door bij formulieren toe te lichten waarvoor gegevens nodig zijn en hoe er eventueel bezwaar is te maken.
- Zorg dat burgers hun privacy rechten op basis van de AVG kunnen uitoefenen: Inzage, Rectificatie, Vergetelheid, Beperking van verwerking, Overdraagbaarheid, Bezwaar, Geautomatiseerde besluitvorming. Bijvoorbeeld via een online portaal waar zij kunnen inzien wanneer en waarvoor hun gegevens zijn verwerkt.
- Zorg dat de informatievoorziening van de gemeente geschikt is om burgers regie op gegevens te geven. Bijvoorbeeld door gegevens over verwerkingen zodanig vast te leggen dat burgers hun AVG privacy rechten kunnen uitoefenen.
- Leg gegevens over verwerkingen en verstrekkingen aan derden zodanig vast dat ze geschikt zijn om inzage aan burgers te geven. Bijvoorbeeld door ze duurzaam vast te leggen met gebruik van een daarvoor bedoelde standaard.
- Biedt burgers de gelegenheid om hun persoonlijke gegevens in een eigen voorziening, zoals een ID-wallet, op te slaan.
- Geef burgers inzicht in welke besluiten met rechtsgevolgen op geautomatiseerde verwerking zijn gebaseerd. Bijvoorbeeld door via een algoritmeregister te beschrijven welke algoritmes, met welke regels, waarvoor worden gebruikt.
|
Bescherm privacy
GAP19
Bron: GEMMA
|
Stelling
Neem maatregelen om de privacy van burgers en bedrijven te beschermen.
Rationale
Beschermen van privacy is nodig voor een eerlijke, veilige en vrije samenleving, waarin de persoonlijke vrijheid, autonomie en veiligheid van individuen is gewaarborgd.
GEMMA toelichting
Zie ook de Thema-architectuur Privacy en Informatiebeveiliging en de IBD-informatie over Privacy en Gegevensbescherming (AVG)
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Voldoe aan relevante privacywetgeving. Bijvoorbeeld de Algemene Verordening Gegevensbescherming (AVG) of voor specifieke domeinen geldende wetgeving, zoals de wet structuur uitvoeringsorganisatie werk en inkomen (SUWI).
- Houdt vanaf het begin rekening met privacy bij het ontwikkelen van systemen en processen (‘privacy by design’). Bijvoorbeeld bij opslag en transport van gegevens end-to-end encryptie toe te passen, zodat gegevens alleen leesbaar zijn voor geautoriseerde personen of systemen die over een geldige cryptografische sleutel beschikken.
- Hanteer de IBD producten privacy en informatiebeveiliging gericht op privacy-vriendelijke verwerking van gegevens zoals:
- Minimaliseer (Minimise): Beperk zo veel mogelijk de verwerking van persoonsgegevens.
- Scheid (Separate): Scheid de verwerking van persoonsgegevens zo veel mogelijk van elkaar.
- Abstraheer (Abstract): Beperk zoveel mogelijk het detail waarin persoonsgegevens worden verwerkt.
- Verberg (Hide): Bescherm persoonsgegevens, of maak ze onherleidbaar of onobserveerbaar. Voorkom dat persoonsgegevens openbaar worden.
- Informeer (Inform): Informeer gebruikers over de verwerking van hun persoonsgegevens.
- Geef controle (Control): Geef gebruikers controle over de verwerking van hun persoonsgegevens.
- Dwing af (Enforce): Committeer je aan een privacy vriendelijke verwerking van persoonsgegevens, en dwing deze af.
- Toon aan (Demonstrate): Toon aan dat je op een privacy vriendelijke wijze persoonsgegevens verwerkt.
- Maak instellingen binnen systemen en processen standaard privacy-vriendelijk (‘privacy by default’). Bijvoorbeeld door in te stellen dat medewerkers standaard géén toegang hebben tot persoonsgegevens, maar daarvoor een expliciete autorisatieprocedure nodig is.
- Houdt een register van verwerkingsactiviteiten bij, met per verwerkingsactiviteit de doelstelling, categorieën van betrokkenen en gegevens en de rechtsgrond. Bijvoorbeeld dat persoonsgegevens van inwoners zoals naam, adres, geboortedatum en BSN worden verwerkt in de Basisregistratie Personen (BRP) voor de uitvoering van wettelijke taken op basis van de Wet BRP.
- Leg verwerkingen van persoonsgegevens vast (‘logging’) om verantwoording af te kunnen leggen. Bijvoorbeeld door alle opvragingen van persoonsgegevens in een logverwerkingsregister vast te leggen.
- Zorg dat burgers en bedrijven eenvoudig hun privacy-rechten, zoals inzage, correctie, verwijdering en bezwaar, kunnen uitoefenen. Bijvoorbeeld door burgers via een online portaal inzage te geven in vastgelegde persoonsgegevens en het gebruik daarvan en hen daar de mogelijkheid te bieden een verzoek voor correctie of verwijdering in te dienen.
- Deel gegevens alleen als het noodzakelijk en gerechtvaardigd is. Bijvoorbeeld door bij verstrekkingen aan derden gegevens, waar dit volstaat, vooraf gegevens te anonimiseren of pseudonimiseren.
- Bewaar persoonsgegevens zo kort mogelijk en niet langer dan nodig is voor het doel waarvoor ze zijn verzameld. Bijvoorbeeld door bewaartermijnen vast te leggen en gegevens geautomatiseerd te verwijderen na afloop van de bewaartermijn of periodiek te controleren op in lijn met de geldende bewaartermijn verwijderen van gegevens.
- Doe bij risicovolle gegevensverwerkingen een risicoanalyse om privacy risico’s te identificeren en te minimaliseren. Bijvoorbeeld via een pre-DPIA (Data Protection Impact Assessment) en waar nodig een DPIA.
- Zorg voor toezicht op de naleving van geldende privacyregels. Bijvoorbeeld door periodieke controles uit te laten voeren door een Functionaris Gegevensbescherming (FG).
|
Beveilig informatie en systemen
GAP20
Bron: GEMMA
|
Stelling
Neem maatregelen die de vertrouwelijkheid, integriteit en beschikbaarheid van informatie en systemen waarborgen.
Rationale
Informatie, systemen en processen moeten veilig en betrouwbaar zijn om schade te voorkomen, vertrouwen te behouden en te voldoen aan wettelijke en ethische verplichtingen.
GEMMA toelichting
Zie ook de Thema-architectuur Privacy en Informatiebeveiliging
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Zorg dat zowel inwoners als medewerkers digitaal weerbaar zijn en over de kennis en vaardigheden beschikken om zich te kunnen beschermen tegen digitale bedreigingen en risico's. Bijvoorbeeld door hen via voorlichting bewust te maken van gevaren van digitale technologieën.
- Zorg dat beveiliging een gedeelde verantwoordelijkheid is binnen de organisatie, waarbij verschillende disciplines samenwerken om risico’s te mitigeren.
- Beveiliging moet vanaf het begin integraal worden meegenomen bij aanschaf of ontwikkeling van systemen, applicaties en processen om risico’s proactief te minimaliseren (‘security by design’). Bijvoorbeeld door al bij het opstellen van eisen rekening te houden met eisen vanuit de BIO.
- Tref passende maatregelen om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te waarborgen en risico’s voor informatieveiligheid beheersbaar te houden:
- Organisatorische maatregelen gericht op beleid, processen, verantwoordelijkheden en governance. Bijvoorbeeld beveiligingsbeleid, risicobeoordeling, contractbeheer, verwerkersovereenkomsten, auditing, incidentmanagement.
- Personele maatregelen gericht op het gedrag, de kennis en betrouwbaarheid van medewerkers. Bijvoorbeeld bewustwordingstrainingen, screening bij indiensttreding, geheimhoudingsverklaringen.
- Fysieke maatregelen gericht op de fysieke beveiliging van locaties, apparatuur en toegang. Bijvoorbeeld toegangsbeveiliging van gebouwen, camera’s of pasjes, afgesloten serverruimtes.
- Technische maatregelen gericht op de bescherming van systemen, netwerken en data met technologie. Bijvoorbeeld het versleutelen van gegevens, multi-factor authenticatie, toegangsbeheer op basis van regels, netwerkbeveiliging en tijdige updates en patchmanagement.
|
Registreer voor verantwoord gebruik
GAP21
Bron: GEMMA
|
Stelling
Neem maatregelen die afnemers in staat stellen historische en actuele gegevens goed te interpreteren, twijfel aan de juistheid van gegevens te verwerken en informatie over correcties te ontvangen.
Rationale
Bij registratie moet aandacht zijn voor het juist, volledig en betwistbaar vastleggen van informatie om verantwoord gegevens te kunnen delen en begripvolle en eerlijke dienstverlening aan burgers en bedrijven te leveren.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Leg gegevens zodanig vast dat afnemers informatie krijgen over:
- De context waarbinnen gegevens zijn ontstaan of gewijzigd. Bijvoorbeeld welke gebeurtenis de aanleiding was tot het vastleggen van gegevens.
- De waarden van gegevens op een eerder moment. Bijvoorbeeld via informatie over de geldigheidstermijn van gegevens.
- De kwaliteit van gegevens. Bijvoorbeeld via meta-informatie over kwaliteit.
- De vraag of de waarde van een gegeven tot stand is gekomen via een correctie van een eerder gegeven. Bijvoorbeeld via een indicatie.
- Zorg dat twijfels over de juistheid van gegevens terug kunnen worden gemeld, dat terugmeldingen worden onderzocht en dat tijdens het onderzoek voor afnemers duidelijk is dat aan de juistheid van het betreffende gegeven wordt getwijfeld. Bijvoorbeeld door via Digimelding vermeende onjuistheid in een basisregistratie te melden.
- Zorg dat gegevens bij de bron correct worden vastgelegd. Bijvoorbeeld via grondige validatie bij invoer en faciliteer vastlegging van gegevens die afwijken van de norm en voortkomen uit de ‘unhappy flow’.
- Zorg dat twijfels over de juistheid van een gegeven terug kunnen worden gemeld, dat terugmeldingen worden onderzocht en dat tijdens het onderzoek voor afnemers duidelijk is dat aan de juistheid van het betreffende gegeven wordt getwijfeld.
- Voer correcties zodanig door dat afnemers die op basis van onjuiste gegevens hebben gehandeld die handelingen kunnen herstellen. Bijvoorbeeld door afnemers via notificaties actief op de hoogte te stellen van correcties die voor hen van betekenis kunnen zijn.
- Houd rekening met eisen ten aanzien van duurzame toegankelijkheid en openbaarheid. Bijvoorbeeld door al tijdens de uitvoering van processen zorgvuldig te archiveren en voor gegevens die lang toegankelijk moeten blijven gebruik te maken van daarvoor geschikte voorzieningen, zoals een e-depot.
- Leg (meta)gegevens zo veel mogelijk geautomatiseerd vast om menselijke fouten te voorkomen. Bijvoorbeeld door regels te definiëren die op basis van vastgelegde gegevens metadata genereren.
- Richt processen in voor kwaliteitscontrole, actualiseren en schonen van gegevens. Bijvoorbeeld via kwaliteitsdashboards, rapportages of data-analyse om inzicht te krijgen in de staat van gegevens.
|
Scheid processen van gegevens
GAP22
Bron: GEMMA
|
Stelling
Richt processen en opslag en ontsluiting van gegevens onafhankelijk van elkaar in.
Rationale
Scheiden van processen en gegevens is nodig om beide onafhankelijk van elkaar te kunnen optimaliseren, wat mogelijkheden biedt tot meer procesinnovatie en hergebruik van data, betere toegangscontrole, beveiliging van data en minder leveranciers-lock-in.
Bij gegevens gaat het om allerlei soorten gegevens die binnen bedrijfsprocessen worden gebruikt. Een bijzonder type gegevens zijn ‘regels’ die gebruikt worden bij het nemen van beslissingen. Apart opslaan daarvan maakt regels herbruikbaar, transparant en uitlegbaar en bevordert verantwoording, automatisering en voldoen aan transparantie-eisen.
Zie ook de Toelichting scheiden processen en data
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Zorg dat proceslogica los staat van gegevensopslag, zodat beiden los van elkaar zijn (door) te ontwikkelen. Bijvoorbeeld door processystemen toegang tot gegevens te bieden via stabiele gestandaardiseerde API’s.
- (Her)ontwerp processen zodanig dat ze gebruik kunnen maken van externe brongegevens. Bijvoorbeeld door in plaats van lokale opslag gebruik te maken van verwijzingen naar externe bronnen.
- Maak gebruik van gegevens die, bijvoorbeeld qua betekenis en formaat, zijn gestandaardiseerd. Bijvoorbeeld gegevens zoals opgenomen in de basisregistraties.
- Maak gegevens vindbaar en toegankelijk. Bijvoorbeeld door gebruik van catalogi zoals de Stelselcatalogus.
- Maak API’s vindbaar en toegankelijk. Bijvoorbeeld door gebruik van catalogi zoals developer.overheid.nl.
- Besteed bij gebruik van API’s voldoende aandacht aan beschikbaarheid, integriteit en vertrouwelijkheid.
- Maak gebruik van gestandaardiseerde API’s. Bijvoorbeeld de API-standaarden die zijn vastgesteld door het bestuur van de VNG.
- Zorg voor duidelijke afspraken tussen aanbieder en gebruiker van gegevens. Bijvoorbeeld over het kwaliteitsniveau van gegevens en de mate van beschikbaarheid.
- Aanbieders moeten zorgen dat gegevens kwalitatief voldoen voor gebruik door afnemers. Bijvoorbeeld via adequaat gegevensmanagement en data governance.
- Afnemers moeten mogelijke data-kwaliteitsissues melden, zodat aanbieders gegevens kunnen controleren en corrigeren. Bijvoorbeeld door via Digimelding vermeende onjuistheid in een basisregistratie te melden.
- Aanbieders en afnemers moeten, passend bij het type transacties, uitwisselingen loggen en geschikt maken voor audits. Bijvoorbeeld door gebruik te maken van de FSC standaard.
|
Wees transparant
GAP23
Bron: GEMMA
|
Stelling
Biedt openheid over besluiten, processen, middelen en resultaten (‘open by design’).
Rationale
Transparantie is nodig voor vertrouwen, verantwoording en betrokkenheid van inwoners. Het voorkomt misbruik van macht en versterkt een open en democratische samenleving.
Gerelateerde principes
Draagt bij aan kwaliteitsdoelen
|
Implicaties
- Gemeentelijke handelen moet worden verantwoord. Bijvoorbeeld door middel van jaarverslagen, openbare vergaderingen en digitale kanalen.
- Informatie over beleid, financiën en projecten moet toegankelijk zijn via platforms zoals websites of openbare registers.
- Informatie over lopende processen, besluiten en resultaten moet toegankelijk zijn. Bijvoorbeeld via het op verzoek melden van statusinformatie over gedane aanvragen.
- Informatie moeten digitaal en transparant worden gepubliceerd om te voldoen aan wettelijke verplichtingen, zoals de Wet open overheid (Woo).
- Waar mogelijk moeten gegevens als open data beschikbaar worden gesteld, zodat ze door inwoners en organisaties hergebruikt kunnen worden.
- Inwoners moeten (ook) via digitale platforms toegang krijgen tot persoonsgebonden informatie waar zij recht op hebben. Bijvoorbeeld via inzage in welke gegevens over hen zijn vastgelegd en hoe die zijn gebruikt.
- Er moet inzicht worden gegeven in gebruikte algoritmes, regels en data-analyse in processen en besluitvorming. Bijvoorbeeld door in een openbaar algoritmeregister informatie te publiceren over gebruikte algoritmes, inclusief hun werking, doel, toepassingen, en de impact ervan.
- Gebruik open standaarden om het gebruik van beschikbare gegevens te vergemakkelijken.
- Gebruik open source software om inzicht te geven in de werking van ICT-systemen. Bijvoorbeeld door de broncode van software in eigendom van de gemeente via een platform als GitHub te publiceren.
- Maak duidelijk waarom in bepaalde gevallen transparantie niet toegestaan of wenselijk is. Bijvoorbeeld vanwege juridische, ethische of veiligheidsredenen
|
