| Meest voorkomende waarden top-20 | : | -
- Voer regelmatig risicobeoordelingen uit om bedreigingen tijdig te identificeren. Bijvoorbeeld via periodieke audits.
- Voer risicobeoordelingen uit bij veranderingen die gevolgen kunnen hebben voor de kwetsbaarheid. Bijvoorbeeld bij een verandering in bedrijfsproces of gebruikte voorzieningen.
- Zorg voor een continu monitoringssysteem van risico’s. Bijvoorbeeld via een SIEM-SOC dat detecteert, analyseert en reageert op beveiligingsincidenten door middel van geautomatiseerde gegevensanalyse (SIEM) en een gespecialiseerd team (SOC) dat toezicht houdt en waar nodig actie onderneemt.
- Maak ambities en afwegingscriteria expliciet zodat duidelijk is op basis van welke afwegingen keuzes zijn gemaakt. Bijvoorbeeld een keuze voor gebruik van cloud- in plaats van lokale voorzieningen omdat er minder lokaal beheer nodig is en minder kosten hoeven te worden gemaakt.
- Train medewerkers om risicobeheersing proactief toe te passen. Bijvoorbeeld door hen te trainen in het herkennen en melden van afwijkend gedrag in systemen of processen.
- Ontwikkel een crisiscommunicatieplan voor onverwachte gebeurtenissen. Bijvoorbeeld door daarin te beschrijven welke acties moeten worden ondernomen en hoe met interne en externe stakeholders moet worden gecommuniceerd.
- Neem maatregelen voor risicobeheersing op bij het verwerven van ICT-middelen en diensten. Bijvoorbeeld dat de leverancier moet voldoen aan de van toepassing zijnde eisen uit de [https://www.informatiebeveiligingsdienst.nl/product/baseline-informatiebeveiliging-overheid-bio/ BIO].
- Maak bij het uitbesteden van ICT-middelen en diensten een risico afweging op belangrijke aspecten, zoals soevereiniteit, continuïteit van dienstverlening en gegevensbescherming. Bijvoorbeeld bij gebruik van clouddiensten en SAAS-applicaties.
- Zorg voor een overzicht van en inzicht in alle contractuele afspraken en controleer op het nakomen hiervan. Bijvoorbeeld via het periodiek (laten) uitvoeren van audits.
- Zorg voor het tijdig updaten en doorvoeren van beveiligingsupdates van gebruikte software. Bijvoorbeeld door te abonneren op meldingen over nieuw ontdekte kwetsbaarheiden en aanbevolen maatregelen snel door te voeren.
(1) -
- Ontwerp systemen die goed zijn op en af te schalen. Bijvoorbeeld door gebruik te maken van een virtuele omgeving waarin resources zoals geheugen en rekenkracht eenvoudig zijn aan te passen.
- Zorg voor flexibele infrastructuur die pieken en dalen in vraag kan verwerken. Bijvoorbeeld een cloud-omgeving die automatisch schalen van systemen ondersteunt bij toenemende gebruikersaantallen en datavolumes.
- Verwerk gegevens asynchroon als er niet direct antwoord van een service nodig is. Bijvoorbeeld in plaats van het synchrone request-reply patroon gebruik te maken van het asynchrone fire-and-forget patroon.
(1) -
- Ontwerp diensten en voorzieningen via een gebruikersgerichte aanpak (‘user-centered design’). Bijvoorbeeld door vooraf en tijdens ontwikkeling te onderzoeken wat de behoeften, voorkeuren en beperkingen van gebruikers zijn.
- Zorg dat iedereen, ongeacht hun achtergrond, vaardigheden of middelen, gelijke toegang heeft tot digitale technologieën. Bijvoorbeeld door gebruik van schermlezers en ondertiteling voor slechtzienden en slechthorenden en te zorgen dat websites voldoen aan de [https://www.forumstandaardisatie.nl/open-standaarden/digitoegankelijk-en-301-549-met-wcag-21 Digitoegankelijk standaard].
- Maak toegang tot diensten eenvoudig en laagdrempelig. Bijvoorbeeld via eenvoudig taalgebruik en intuïtieve gebruikersinterfaces.
- Vraag feedback aan gebruikers en voer op basis hiervan verbeteringen door. Bijvoorbeeld door actief te vragen om verbetersuggesties voor een website en die te gebruiken bij doorontwikkeling.
- Maak diensten en informatie over diensten toegankelijk voor anderstaligen. Bijvoorbeeld door productinformatie ook in het Engels te publiceren.
- Zorg voor persoonlijke begeleiding waar dit nodig is. Bijvoorbeeld als geboden online dienstverlening voor sommige burgers niet bruikbaar is.
- Biedt meerdere opties en laat gebruikers kiezen hoe zij diensten willen afnemen. Bijvoorbeeld door statusinformatie te verstrekken via email en/of sms en/of een of meerdere persoonlijke portalen.
- Houdt bij beveiligingsmaatregelen rekening met gebruiksgemak. Bijvoorbeeld door gebruikers niet vaker dan nodig is in te laten loggen.
- Stel goede documentatie en testfaciliteiten beschikbaar voor ontwikkelaars die gebruik moeten maken van geleverde services. Bijvoorbeeld via het beschikbaar stellen van testscripts.
(1) -
- Voer grondige validatie uit op alle gegevensinvoer. Bijvoorbeeld door te controleren of aangeleverde gegevens juist gestructureerd zijn.
- Automatiseer controles om menselijke fouten te minimaliseren. Bijvoorbeeld door handmatig ingevoerde gegevens te valideren voordat vastlegging plaatsvindt.
- Pas real-time verificatie toe bij belangrijke acties. Bijvoorbeeld om bij online dienstverlening de identiteit van dienstafnemers vast te stellen.
- Bepaal het benodigde betrouwbaarheidsniveau voor toegang tot geleverde diensten. Bijvoorbeeld door te beoordelen wie de gebruikers zijn, welke persoonsgegevens worden verwerkt en wat de risico’s zijn.
- Gebruik geschikte authenticatiemiddelen, met het juiste betrouwbaarheidsniveau, voor diensten. Bijvoorbeeld DigiD of Identity wallets voor burgers en eHerkenning voor bedrijven.
- Maak gebruik van mechanismen zoals role-, attribute- en policy-based access om te verifiëren of toegang tot een bepaalde bron is toegestaan. Bijvoorbeeld door bij een opvraging van gegevens te controleren of aan alle daarvoor geldende eisen is voldaan. Zie ook [[RBAC ABAC en PBAC toegangscontrole]]
- Zorg dat voor logging van informatie (wie, wat, waar, wanneer) over gebeurtenissen en controleer op de aanwezigheid en naleving van toegangsregels. Bijvoorbeeld door vast te leggen en te controleren welke gebruikers waar en wanneer op een systeem zijn ingelogd.
- Controleer systematisch de herkomst en authenticiteit van digitale content. Bijvoorbeeld bij informatie die afkomstig kan zijn van AI-systemen of gemanipuleerd kan zijn met technieken zoals deepfakes.
(1) -
- De te verwachten kwaliteit van dienstverlening moet duidelijk zijn. Bijvoorbeeld door het publiceren van algemene voorwaarden op een website.
- De kwaliteit van geleverde dienstverlening moet worden gemeten en inzichtelijk zijn voor belanghebbenden. Bijvoorbeeld via logging van gebruik, gebruikersfeedback en rapportages.
- Bevorder een cultuur van verantwoordelijkheid en betrokkenheid, waarin medewerkers actief zijn betrokken bij het verbeteren van kwaliteit. Bijvoorbeeld door medewerkers aan te moedigen om met verbetervoorstellen te komen.
- Zorg dat er geschikte systemen zijn voor het verzamelen, analyseren en interpreteren van data. Bijvoorbeeld door kwaliteit gerelateerde data in een datawarehouse vast te leggen en verbetervoorstellen op verzamelde data in plaats van aannames te baseren.
- Doe periodieke controles op volledigheid, nauwkeurigheid en consistentie van data en verbeter op basis van de uitkomsten de kwaliteit ervan. Bijvoorbeeld door data te dedupliceren.
- Zorg dat tijdelijk toegestane oplossingen in beeld blijven en daarbij gemaakte afspraken worden nagekomen. Bijvoorbeeld als het gaat om tijdelijk afwijken van de vastgestelde architectuur met de toezegging om dit later op te lossen.
- Zorg dat de technische kwaliteit van informatiesystemen periodiek wordt beoordeeld en dat technische schuld planmatig en cyclisch wordt verminderd. Bijvoorbeeld door in begrotingen voldoende budget voor onderhoud te reserveren.
(1) -
- Maak gemeentelijke dienstverlening voor afnemers makkelijk vindbaar en eenvoudig af te nemen, zowel fysiek als digitaal. Bijvoorbeeld door gebruik van begrijpelijke taal.
- Richt dienstverlening in vanuit het perspectief van burgers en bedrijven. Bijvoorbeeld via eenvoudig te doorlopen [https://vng.nl/artikelen/klantreizen klantreizen] en daarop afgestemde organisatie, processen en systemen.
- Klanten moeten online via vraaggeleiding kunnen vinden waar de door hen gewenste dienst wordt aangeboden. Bijvoorbeeld via een vraag-en-antwoord dialoog.
- Zorg voor intuïtieve gebruikersinterfaces. Bijvoorbeeld door via gebruikersonderzoeken te controleren of aangeboden interfaces gemakkelijk genoeg zijn te gebruiken.
- Bied afnemers een centraal contactpunt voor meerdere gemeentelijke diensten. Bijvoorbeeld via een KCC of een producten-en-diensten catalogus.
- Maak gebruik van bewezen standaardtoepassingen om complexe ontwikkeltrajecten te voorkomen. Bijvoorbeeld door oplossingen te gebruiken die al succesvol bij andere gemeenten in gebruik zijn.
- Zorg voor overzicht en inzicht in gemeentelijk aanwezig applicaties en gegevens en stuur op vereenvoudiging hiervan. Bijvoorbeeld door bij systemen met vergelijkbare functionaliteit te kiezen voor 1 systeem.
(1) -
- Gebruik de GEMMA als basis voor de gemeentelijke enterprise-architectuur en voor projectarchitecturen. Bijvoorbeeld door binnen de GEMMA benoemde verzamelingen, indelingen en begrippen over te nemen.
- Controleer altijd of voor benodigde functionaliteit een open standaard beschikbaar is. Bijvoorbeeld voor bedrijfsrapportages met een financiële component is gebruik te maken van de open standaard [https://www.forumstandaardisatie.nl/open-standaarden/xbrl XBRL].
- Gebruik standaardoplossingen, zoals bewezen open source applicaties, bouwblokken en registraties. Bijvoorbeeld de [https://openwebconcept.nl/bouwblokken OpenWeb bouwblokken] of toepassingen en componenten uit het [https://app.powerbi.com/view?r=eyJrIjoiOWU4MjlmYTktNjE2MS00OGRhLTgwMjYtZWZhNTFhZmRhZjI2IiwidCI6IjZlZjAyOWFiLTNmZDctNGQ5OC05YjBlLWQxZjVmZWRlYTZkMSIsImMiOjh9&pageName=ffe4f1f9018d7bd035bc Common Ground portfolio].
- Gebruik standaarden die interoperabiliteit bevorderen. Bijvoorbeeld de [https://www.gemmaonline.nl/wiki/GEMMA_standaardenlijst GEMMA-standaarden].
- Neem toepassen en voldoen aan open standaarden op als eis bij verwerving van software en diensten. Bijvoorbeeld de standaarden van de [https://www.forumstandaardisatie.nl/open-standaarden pas-toe-of-leg-uit lijst].
- Zorg voor afspraken over beheer en doorontwikkeling van standaarden. Bijvoorbeeld over duur van ondersteuning en manier waarop versiebeheer plaatsvindt.
- Pas organisatie en processen aan op de standaardinrichting van standaardoplossingen. Bijvoorbeeld door bestaande processen zodanig aan te passen dat standaardoplossingen bruikbaar zijn.
- Voorkom onnodige variatie. Bijvoorbeeld door binnengemeentelijk gebruik van generieke componenten, zoals een gemeentelijke zaken- of documentenregistratie, te verplichten of door gebruik te maken van een overheidsbreed designsystem zoals het [https://nldesignsystem.nl/ NL Design System].
(1) -
- Zorg dat proceslogica los staat van gegevensopslag, zodat beiden los van elkaar zijn (door) te ontwikkelen. Bijvoorbeeld door processystemen toegang tot gegevens te bieden via stabiele gestandaardiseerde API’s.
- (Her)ontwerp processen zodanig dat ze gebruik kunnen maken van externe brongegevens. Bijvoorbeeld door in plaats van lokale opslag gebruik te maken van verwijzingen naar externe bronnen.
- Maak gebruik van gegevens die, bijvoorbeeld qua betekenis en formaat, zijn gestandaardiseerd. Bijvoorbeeld gegevens zoals opgenomen in de basisregistraties.
- Maak gegevens vindbaar en toegankelijk. Bijvoorbeeld door gebruik van catalogi zoals de [https://www.stelselcatalogus.nl/ Stelselcatalogus].
- Maak API’s vindbaar en toegankelijk. Bijvoorbeeld door gebruik van catalogi zoals [https://developer.overheid.nl/ developer.overheid.nl].
- Besteed bij gebruik van API’s voldoende aandacht aan beschikbaarheid, integriteit en vertrouwelijkheid.
- Maak gebruik van gestandaardiseerde API’s. Bijvoorbeeld de [https://vng.nl/artikelen/overzicht-gemeentelijke-standaarden API-standaarden] die zijn vastgesteld door het bestuur van de VNG.
- Zorg voor duidelijke afspraken tussen aanbieder en gebruiker van gegevens. Bijvoorbeeld over het kwaliteitsniveau van gegevens en de mate van beschikbaarheid.
- Aanbieders moeten zorgen dat gegevens kwalitatief voldoen voor gebruik door afnemers. Bijvoorbeeld via adequaat gegevensmanagement en data governance.
- Afnemers moeten mogelijke data-kwaliteitsissues melden, zodat aanbieders gegevens kunnen controleren en corrigeren. Bijvoorbeeld door via [https://www.logius.nl/domeinen/gegevensuitwisseling/digimelding Digimelding] vermeende onjuistheid in een basisregistratie te melden.
- Aanbieders en afnemers moeten, passend bij het type transacties, uitwisselingen loggen en geschikt maken voor audits. Bijvoorbeeld door gebruik te maken van de [https://fsc-standaard.nl/ FSC standaard].
(1) -
- Leg gegevens zodanig vast dat afnemers informatie krijgen over:
- De context waarbinnen gegevens zijn ontstaan of gewijzigd. Bijvoorbeeld welke gebeurtenis de aanleiding was tot het vastleggen van gegevens.
- De waarden van gegevens op een eerder moment. Bijvoorbeeld via informatie over de geldigheidstermijn van gegevens.
- De kwaliteit van gegevens. Bijvoorbeeld via meta-informatie over kwaliteit.
- De vraag of de waarde van een gegeven tot stand is gekomen via een correctie van een eerder gegeven. Bijvoorbeeld via een indicatie.
- Zorg dat twijfels over de juistheid van gegevens terug kunnen worden gemeld, dat terugmeldingen worden onderzocht en dat tijdens het onderzoek voor afnemers duidelijk is dat aan de juistheid van het betreffende gegeven wordt getwijfeld. Bijvoorbeeld door via [https://www.logius.nl/domeinen/gegevensuitwisseling/digimelding Digimelding] vermeende onjuistheid in een basisregistratie te melden.
- Zorg dat gegevens bij de bron correct worden vastgelegd. Bijvoorbeeld via grondige validatie bij invoer en faciliteer vastlegging van gegevens die afwijken van de norm en voortkomen uit de ‘unhappy flow’.
- Zorg dat twijfels over de juistheid van een gegeven terug kunnen worden gemeld, dat terugmeldingen worden onderzocht en dat tijdens het onderzoek voor afnemers duidelijk is dat aan de juistheid van het betreffende gegeven wordt getwijfeld.
- Voer correcties zodanig door dat afnemers die op basis van onjuiste gegevens hebben gehandeld die handelingen kunnen herstellen. Bijvoorbeeld door afnemers via notificaties actief op de hoogte te stellen van correcties die voor hen van betekenis kunnen zijn.
- Houd rekening met eisen ten aanzien van duurzame toegankelijkheid en openbaarheid. Bijvoorbeeld door al tijdens de uitvoering van processen zorgvuldig te archiveren en voor gegevens die lang toegankelijk moeten blijven gebruik te maken van daarvoor geschikte voorzieningen, zoals een e-depot.
- Leg (meta)gegevens zo veel mogelijk geautomatiseerd vast om menselijke fouten te voorkomen. Bijvoorbeeld door regels te definiëren die op basis van vastgelegde gegevens metadata genereren.
- Richt processen in voor kwaliteitscontrole, actualiseren en schonen van gegevens. Bijvoorbeeld via kwaliteitsdashboards, rapportages of data-analyse om inzicht te krijgen in de staat van gegevens.
(1) -
- Verzamel alleen gegevens die nodig zijn voor het beoogde doel. Bijvoorbeeld door bij een melding openbare ruimte het verstrekken van persoonlijke gegevens niet te verplichten.
- Verstrek verzamelde gegevens alleen voor andere doeleinden als is aangetoond dat het beoogde gebruik in lijn is met het oorspronkelijke doel van de gegevensverzameling en voldoet aan de geldende wet- en regelgeving. Bijvoorbeeld BRP-gegevens mogen binnengemeentelijk worden verstrekt voor wettelijke taken, zoals beschreven in de Wet BRP en de AVG, maar niet voor algemene statistieken of commerciële doeleinden.
- Voor alle gegevensverwerkingen moet zijn vastgelegd wat de grondslag en het doel van de gegevensverwerking is. Bijvoorbeeld binnen een gemeentelijk verwerkingsregister.
- Leg van alle verwerkingen vast met welk doel ze hebben plaatsgevonden. Bijvoorbeeld in een daarvoor bestemd verwerkingslogregister.
(1) -
- Maak gegevens, conform de [https://www.go-fair.org/fair-principles/ FAIR-principes], vindbaar (Findable), toegankelijk (Accessible), interoperabel (Interoperable) en herbruikbaar (Reusable) te maken.
- Richt [https://www.gemmaonline.nl/wiki/Gegevensmanagement gegevensmanagement] in om te zorgen dat gegevens op een gestructureerde, veilige en efficiënte manier worden verzameld, opgeslagen, beheerd, gedeeld en gebruikt en de kwaliteit van gegevens continu te kunnen verbeteren. Bijvoorbeeld door het benoemen en toewijzen van benodigde rollen en verantwoordelijkheden, door gegevens te [https://www.gemmaonline.nl/wiki/Dataclassificatie inventariseren en classificeren] en door terugmeldingen voor registraties te faciliteren.
- Zorg voor metadata die zaken zoals eigenaarschap en kwaliteit van gegevens beschrijven. Bijvoorbeeld door gebruik van het [https://www.nationaalarchief.nl/archiveren/kennisbank/duto-raamwerk DUTO-raamwerk].
- Houdt vroegtijdig rekening met archivering om te kunnen voldoen aan geldende wet- en regelgeving zoals de Archiefwet. Bijvoorbeeld door al tijdens de uitvoering van processen zorgvuldig te archiveren.
- Beschrijf betrokken informatieobjecten op een gestandaardiseerde manier. Bijvoorbeeld via informatiemodellen om de semantiek en syntax van gegevens te beschrijven, conform de [https://www.forumstandaardisatie.nl/open-standaarden/mim Metamodel voor Informatiemodellering (MIM) standaard].
- Ontwerp en gebruik gegevensmodellen met een focus op stabiliteit en duurzaamheid, zodat de kernstructuren lange tijd bruikbaar blijven. Bijvoorbeeld door gebruik van openbare gestandaardiseerde gegevensmodellen zoals [https://vng-realisatie.github.io/RSGB/ RSGB] of [https://gemeente-delft.github.io/Gemeentelijk-Gegevensmodel Gemeentelijk GegevensModel].
- Gegevens moeten onafhankelijk zijn van specifieke technologieën of software, zodat migraties of updates geen invloed hebben op de stabiliteit van de gegevens. Bijvoorbeeld door logische datamodellen te standaardiseren.
- Er moeten mechanismen zijn om wijzigingen in gegevens en bijbehorende metadata bij te houden zonder de historische stabiliteit te verstoren. Bijvoorbeeld door bij iedere wijziging relevante metagegevens daarover vast te leggen.
- Wijzigingen in gegevensstructuur moeten zorgvuldig worden afgestemd in overleg met stakeholders. Bijvoorbeeld via goed versiebeheer en tijdige afstemming hierover met softwareleveranciers.
- Houdt rekening met de duurzaamheid waarmee gegevens toegankelijk moeten blijven. Maak voor gegevens die lang toegankelijk moeten blijven gebruik van daarvoor geschikte voorzieningen, zoals een e-depot.
- Overweeg gebruik van andere ontwerpstijlen als gegevens niet centraal staan. Gebruik bijvoorbeeld een procesbenadering als werkstromen centraal staan of [https://www.gemmaonline.nl/wiki/Eventori%C3%ABntatie_introductie events] als gebeurtenissen en real-time interacties belangrijk zijn.
(1) -
- Bied afnemers één contactpunt (‘single point of contact’). Bijvoorbeeld via een KCC dat informatie kan verstrekken over verschillende gemeentelijke diensten.
- Organiseer dienstverlening op basis van het omnichannel principe, zodat klanten kunnen schakelen tussen verschillende kanalen zonder verlies van informatie of servicekwaliteit. Bijvoorbeeld bij gebruik van kanalen zoals website, mobiele app, social media, e-mail, telefoon of balie.
- Maak het mogelijk om diensten via meerdere kanalen af te nemen. Bijvoorbeeld door gemeentelijke diensten zowel fysiek aan de balie, via de website als via een mobiele apps te raadplegen en aan te vragen.
- Zorg voor een naadloze ervaring bij overstap tussen kanalen. Bijvoorbeeld door te zorgen dat gebruikers een aanvraag via een mobiele app kunnen starten en op de website verder kunnen aanvullen, zonder opnieuw gegevens te hoeven invoeren.
- Gebruik voor authenticatie en autorisatie herbruikbare regels. Bijvoorbeeld via Policy Based Access Control, waarbij bij voor beslissingen over toegang tot een dienst gebruikt wordt gemaakt van beslisregels.
- Herbruik services om te garanderen dat informatie over resultaten altijd hetzelfde is. Bijvoorbeeld door vanuit verschillende kanalen gebruik te maken van dezelfde API voor het opvragen van informatie.
(1) -
- Voldoe aan relevante privacywetgeving. Bijvoorbeeld de Algemene Verordening Gegevensbescherming (AVG) of voor specifieke domeinen geldende wetgeving, zoals de wet structuur uitvoeringsorganisatie werk en inkomen (SUWI).
- Houdt vanaf het begin rekening met privacy bij het ontwikkelen van systemen en processen (‘privacy by design’). Bijvoorbeeld bij opslag en transport van gegevens end-to-end encryptie toe te passen, zodat gegevens alleen leesbaar zijn voor geautoriseerde personen of systemen die over een geldige cryptografische sleutel beschikken.
- Hanteer de [[IBD producten privacy en informatiebeveiliging]] gericht op privacy-vriendelijke verwerking van gegevens zoals:
- Minimaliseer (Minimise): Beperk zo veel mogelijk de verwerking van persoonsgegevens.
- Scheid (Separate): Scheid de verwerking van persoonsgegevens zo veel mogelijk van elkaar.
- Abstraheer (Abstract): Beperk zoveel mogelijk het detail waarin persoonsgegevens worden verwerkt.
- Verberg (Hide): Bescherm persoonsgegevens, of maak ze onherleidbaar of onobserveerbaar. Voorkom dat persoonsgegevens openbaar worden.
- Informeer (Inform): Informeer gebruikers over de verwerking van hun persoonsgegevens.
- Geef controle (Control): Geef gebruikers controle over de verwerking van hun persoonsgegevens.
- Dwing af (Enforce): Committeer je aan een privacy vriendelijke verwerking van persoonsgegevens, en dwing deze af.
- Toon aan (Demonstrate): Toon aan dat je op een privacy vriendelijke wijze persoonsgegevens verwerkt.
- Maak instellingen binnen systemen en processen standaard privacy-vriendelijk (‘privacy by default’). Bijvoorbeeld door in te stellen dat medewerkers standaard géén toegang hebben tot persoonsgegevens, maar daarvoor een expliciete autorisatieprocedure nodig is.
- Houdt een register van verwerkingsactiviteiten bij, met per verwerkingsactiviteit de doelstelling, categorieën van betrokkenen en gegevens en de rechtsgrond. Bijvoorbeeld dat persoonsgegevens van inwoners zoals naam, adres, geboortedatum en BSN worden verwerkt in de Basisregistratie Personen (BRP) voor de uitvoering van wettelijke taken op basis van de Wet BRP.
- Leg verwerkingen van persoonsgegevens vast (‘logging’) om verantwoording af te kunnen leggen. Bijvoorbeeld door alle opvragingen van persoonsgegevens in een logverwerkingsregister vast te leggen.
- Zorg dat burgers en bedrijven eenvoudig hun privacy-rechten, zoals inzage, correctie, verwijdering en bezwaar, kunnen uitoefenen. Bijvoorbeeld door burgers via een online portaal inzage te geven in vastgelegde persoonsgegevens en het gebruik daarvan en hen daar de mogelijkheid te bieden een verzoek voor correctie of verwijdering in te dienen.
- Deel gegevens alleen als het noodzakelijk en gerechtvaardigd is. Bijvoorbeeld door bij verstrekkingen aan derden gegevens, waar dit volstaat, vooraf gegevens te [https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/beveiliging-van-persoonsgegevens/gegevens-pseudonimiseren anonimiseren of pseudonimiseren].
- Bewaar persoonsgegevens zo kort mogelijk en niet langer dan nodig is voor het doel waarvoor ze zijn verzameld. Bijvoorbeeld door bewaartermijnen vast te leggen en gegevens geautomatiseerd te verwijderen na afloop van de bewaartermijn of periodiek te controleren op in lijn met de geldende bewaartermijn verwijderen van gegevens.
- Doe bij risicovolle gegevensverwerkingen een risicoanalyse om privacy risico’s te identificeren en te minimaliseren. Bijvoorbeeld via een pre-DPIA (Data Protection Impact Assessment) en waar nodig een [https://www.informatiebeveiligingsdienst.nl/product/dpia-handreiking-samen-naar-een-kwalitatief-goede-dpia/ DPIA].
- Zorg voor toezicht op de naleving van geldende privacyregels. Bijvoorbeeld door periodieke controles uit te laten voeren door een Functionaris Gegevensbescherming (FG).
(1) -
- Neem in registraties bij voorkeur verwijzingen op naar brongegevens in plaats van kopie-brongegevens. Bijvoorbeeld door binnen taakgerichte applicaties verwijzingen op te nemen naar brongegevens in basis- en kernregistraties.
- Controleer of gebruik van verwijzingen voldoet aan inhoudelijke en functionele eisen. Bijvoorbeeld wat betreft betekenis, beschikbaarheid, performance, duurzaamheid, historie en kosten.
- Sluit gegevensleveringsovereenkomsten af met verstrekkers van brongegevens. Bijvoorbeeld door af te spreken welke gegevens worden geleverd, voor welk doel, onder welke voorwaarden, hoe ze beveiligd en verwerkt worden en welke verantwoordelijkheden, beperkingen en afspraken gelden voor beide partijen.
- Brongegevens moet zo snel mogelijk, daar waar de gegevens ontstaan, worden vastgelegd om de volledigheid, kwaliteit en de actualiteit van de gegevens te verhogen. Bijvoorbeeld door op locatie gedane waarnemingen via mobiele apparaten direct in een bronregistratie te verwerken.
- Leg, waar mogelijk, brongegevens geautomatiseerd vast om menselijke fouten te voorkomen. Bijvoorbeeld bij het vastleggen van metagegevens over gebruik van brongegevens.
- Zorg dat verkregen brongegevens geen hogere classificatie dan in de bron krijgen voor beschikbaarheid en integriteit en geen lagere classificatie voor vertrouwelijkheid.
(1) -
- Gebruik gestandaardiseerde componenten die hergebruik vergemakkelijken. Bijvoorbeeld een DBMS dat voldoet aan de SQL-standaard (Structured Query Language) voor het beheren van relationele databases.
- Gebruik open standaarden om hergebruik te vergemakkelijken. Bijvoorbeeld gemeentelijke API-standaarden.
- Accepteer dat via hergebruik en koop niet altijd alle wensen zijn in te willigen. Bijvoorbeeld toekomstwensen die veel tijd kosten en misschien zelfs onmogelijk blijken om te realiseren.
- Gebruik systemen op de manier zoals ze zijn bedoeld. Bijvoorbeeld door geen velden voor andere dan de bedoelde doelen te gebruiken.
- Gebruik voor hergebruik geschikte open source software. Bijvoorbeeld software die vanwege de vrije beschikbaarheid kostendrempels wegneemt en via vrije toegang tot de broncode aanpassing mogelijk maakt.
- Zorg bij de ontwikkeling van diensten dat ze herbruikbaar zijn. Bijvoorbeeld door gebruik te maken van open standaarden.
(1) -
- Maak alle processtappen begrijpelijk voor de gebruiker. Bijvoorbeeld door elke stap in een aanvraagproces met instructies en voorbeelden toe te lichten.
- Bied tijdig statusupdates aan gebruikers. Bijvoorbeeld door veranderingen in de status van een aanvraag direct te melden.
- Zorg ervoor dat gebruikers toegang hebben tot relevante informatie over de status van hun aanvraag. Bijvoorbeeld via een online portaal waar ze kunnen zien in welke fase het proces zich bevindt en of er nog actie van hun kant vereist is, zoals het aanleveren van aanvullende gegevens.
- Informeer de gebruiker over rechten en voorwaarden en plichten. Bijvoorbeeld via publicatie hiervan bij de beschrijving van een af te nemen dienst.
- Maak besluiten traceerbaar en controleerbaar. Bijvoorbeeld door te beschrijven op basis van welke gegevens en beslisregels een besluit is genomen.
- Maak gebruik van de Uniforme productenlijst (UPL) en Samenwerkende Catalogi om over organisatiegrenzen informatie over diensten te delen.
(1) -
- Combineer verwante diensten als dit bijdraagt aan gebruiksgemak. Bijvoorbeeld door op de website meerdere diensten via 1 aanvraag aan te bieden.
- Zorg voor een centraal toegangspunt voor gerelateerde diensten. Bijvoorbeeld via een PDC waar bij een dienst wordt getoond welke andere diensten mogelijk ook interessant zijn.
- Voorkom het verstrekken van gegevens die al bekend zijn. Bijvoorbeeld door bij aanvragen gegevens uit gemeentelijke registraties te gebruiken.
- Zorg dat diensten goed zijn te integreren met andere diensten. Bijvoorbeeld via verwijzingen (‘deeplinks’) waarmee gebruikers meteen op de juiste plek terechtkomen.
- Zorg dat gegevens en API’s die vaak in combinatie nodig zijn (ook) gebundeld worden aangeboden. Bijvoorbeeld via een proces-API die ervoor zorgt dat gegevens uit meerdere bronnen gecombineerd zijn te gebruiken.
(1) -
- Ontwikkel diensten als afzonderlijke modules die op verschillende manieren zijn te combineren. Bijvoorbeeld door een dienst om online te kunnen betalen te kunnen gebruiken bij de aanvraag van verschillende producten.
- Maak het mogelijk om onderdelen van diensten los van elkaar te verbeteren. Bijvoorbeeld door functionaliteit voor het verstrekken van standaard persoonsgegevens te scheiden van taakspecifieke functionaliteit.
- Baken modules en componenten duidelijk af. Bijvoorbeeld door te duidelijk te beschrijven welke functionaliteit er wel en niet wordt geleverd.
- Vermijd complexiteit door de onderdelen voldoende klein en behapbaar te houden. Bijvoorbeeld door te zorgen dat een component slechts 1 functie heeft.
- Maak bij het inrichten van processen gebruik van modulaire proces-bouwblokken. Bijvoorbeeld door binnen verschillende processen gebruik te maken van hetzelfde proces-bouwblok.
- Gebruik bewezen communicatiestandaarden, zoals het HTTP-transportprotocol en het JSON-gegevensformaat.
- Gebruik gestandaardiseerde interfaces. Bijvoorbeeld door voor bepaalde componenten te specificeren welke standaard API’s zij moeten ondersteunen.
- Zorg voor versiebeheer om compatibiliteitsproblemen te voorkomen. Bijvoorbeeld door semantic versioning te gebruiken en te specificeren welke versies gedurende welke periode worden ondersteund.
- Monitor en log op componentniveau zodat de oorzaak van problemen is vast te stellen. Bijvoorbeeld door regelmatig te testen of componenten nog actief zijn.
- Zorg voor adequaat beheer en financiering om te zorgen dat componenten duurzaam zijn te gebruiken. Bijvoorbeeld door bij te dragen aan doorontwikkeling van gebruikte open source componenten.
- Zorg voor voldoende ontwerp- en beheerexpertise van systemen die uit meerdere componenten bestaan. Bijvoorbeeld voor adequaat beheer van containeromgevingen voor componenten.
- Gebruik, bij voorkeur gestandaardiseerde, API’s voor gebruik van elders aanwezige functionaliteit en gegevens. Bijvoorbeeld via API’s die werken met mechanismen zoals REST, RPC of GraphQL.
(1) -
- Publiceer informatie over gemeentelijke verwerkingen van persoonsgegevens, zoals het doel en de grondslag. Bijvoorbeeld via het publiceren van een verwerkingsregister.
- Stel burgers op de hoogte van het doel waarvoor gegevens worden verzameld en welke rechten zij hebben. Bijvoorbeeld door bij formulieren toe te lichten waarvoor gegevens nodig zijn en hoe er eventueel bezwaar is te maken.
- Zorg dat burgers hun privacy rechten op basis van de AVG kunnen uitoefenen: Inzage, Rectificatie, Vergetelheid, Beperking van verwerking, Overdraagbaarheid, Bezwaar, Geautomatiseerde besluitvorming. Bijvoorbeeld via een online portaal waar zij kunnen inzien wanneer en waarvoor hun gegevens zijn verwerkt.
- Zorg dat de [https://www.gemmaonline.nl/wiki/Id-d0bd9784-7898-4fb7-9648-d7ab09fd1bab informatievoorziening] van de gemeente geschikt is om burgers regie op gegevens te geven. Bijvoorbeeld door gegevens over verwerkingen zodanig vast te leggen dat burgers hun AVG privacy rechten kunnen uitoefenen.
- Leg gegevens over verwerkingen en verstrekkingen aan derden zodanig vast dat ze geschikt zijn om inzage aan burgers te geven. Bijvoorbeeld door ze duurzaam vast te leggen met gebruik van een daarvoor bedoelde standaard.
- Biedt burgers de gelegenheid om hun persoonlijke gegevens in een eigen voorziening, zoals een ID-wallet, op te slaan.
- Geef burgers inzicht in welke besluiten met rechtsgevolgen op geautomatiseerde verwerking zijn gebaseerd. Bijvoorbeeld door via een algoritmeregister te beschrijven welke algoritmes, met welke regels, waarvoor worden gebruikt.
(1) -
- Speel in op de behoeften van burgers met actuele en nauwkeurige gegevens, mogelijk gemaakt door een robuust systeem voor gegevensbeheer en analyse. Bijvoorbeeld door bij te houden over welke producten het vaakst vragen worden gesteld.
- Maak processen geschikt om proactief het initiatief te nemen in plaats van te wachten op een aanvraag. Bijvoorbeeld door burgers die een tijdelijke geldig product hebben afgenomen tijdig te benaderen als de geldigheidstermijn afloopt.
- Houdt rekening met specifieke behoeften en omstandigheden van burgers. Bijvoorbeeld door burgers die de Nederlandse taal slecht beheersen extra te ondersteunen.
- Neem lokaal beleid en ethische aspecten mee in het beslissen aan wie wanneer proactief diensten worden aangeboden. Bijvoorbeeld door rekening te houden met de wensen binnen het actuele coalitieakkoord.
(1)
|
|---|
