Bijlage A: Vragenlijst CBP
Gesprek van 19-04-2002 Algemene gegevens
Naam gesprekspartner 1: Gilles van Blarkom Functie gesprekspartner: Privacy Auditor Naam gesprekspartner 2: Ruud Beugelsdijk Functie gesprekspartner: Technoloog
Wat voor een soort onderzoeken voert het CBP uit bij organisaties?
- Voorafgaand onderzoek: Een aantal gegevensverwerkingen is onderworpen aan een voorafgaand onderzoek (VO) door het CBP. Het gaat om verwerkingen die naar het oordeel van de wetgever een bijzonder risico inhouden voor de persoonlijke
levenssfeer van betrokkenen;
- Normatief onderzoek: Dit type onderzoek gebeurt voor het zogenaamde “fact finding”.
Voor een bepaalde sector of branche wordt vastgesteld wat de passende maatregelen zijn om de juiste omgang met persoonsgegevens te waarborgen. Op deze wijze ontstaan er richtlijnen voor sectoren/branches. Deze richtlijnen worden, in gevallen waarin dat nuttig gevonden wordt, door het CBP gepubliceerd in zogenaamde Achtergrondstudies en Verkenningen (A&V). Zo is er de brochure: "Klant te koop, Privacyregels voor adressenhandel” waarin privacyregels voor de adressenhandel te vinden zijn;
- Curatief onderzoek: In het curatief onderzoek wordt door het College onderzocht of een bedrijf/instelling passende maatregelen heeft getroffen en of hij zich zodoende aan de WBP houdt.
Bij wat voor een soort organisaties vinden deze onderzoeken plaats?
Het is niet mogelijk om hier een omschrijving te geven anders dan "Alle organisaties waarvoor het nodig is".
Wie zijn de opdrachtgevers van deze onderzoeken?
De volgende aanleidingen zijn een reden voor een curatief onderzoek:
- (Herhaalde) klachten van burgers. Een van de spreekbuizen van burgers is hierbij de Consumentenbond;
- Op initiatief van het College zelf, bijvoorbeeld als deze een vermoeden heeft over een onrechtmatige verwerking;
- Een onderzoek in opdracht van andere toezichthouders. Een voorbeeld hiervan is een onderzoek in opdracht van de Rekenkamer;
Een normatief onderzoek kan ook plaatsvinden op verzoek van een organisatie/branche zelf.
In dit geval worden een aantal organisaties van de branche of sector door het College bezocht om tot “anonieme” bevindingen te komen.
Hanteert het College een indeling van instanties aan de hand waarvan zij onderzoeken benaderen? (privacy gevoeligheid, organisatiegrootte, industrietak etc…)
De onderzoeken worden (voornamelijk) benaderd vanuit het type branche waarin de
organisatie opereert. Zo zal een onderzoek naar een Internet Service Provider plaatsvinden
rekening houdend met de richtlijnen die voor deze groep bedrijven is opgesteld. Hiernaast zijn er ook nog branche overstijgende onderzoeken.
Het is belangrijk om in gedachten te houden dat alle onderzoeken in grote mate in het belang van de burger worden uitgevoerd. Het belang van de burger zal altijd in het achterhoofd moeten zitten.
Als het College een advies geeft, in welke mate is dit advies bindend? Evt. sancties?
Na een curatief onderzoek, als er onregelmatigheden in de getroffen beveiligingsmaatregelen bij een organisatie zijn vastgesteld, volgen er aanbevelingen welke bindend zijn. Deze aanbevelingen moeten overgenomen worden, een vervolgonderzoek zal plaatsvinden. Mocht aan de aanbevelingen geen gehoor gegeven zijn kan het College de volgende sancties opleggen:
- Het CBP kan bestuursdwang toepassen;
- Een dwangsom opleggen;
- Een bestuurlijke boete opleggen.
Noot CBP: na inzage gespreksverslag:
Bij het beantwoorden hadden we artikel 13 WBP in gedachten. Het onderzoek zal in het algemeen natuurlijk ook andere artikelen van de WBP betreffen. In het geval van een ontbrekende grondslag voor een verwerking bijvoorbeeld, zal de kritiek niet gaan over onregelmatigheden in getroffen maatregelen.
Zijn er al initiatieven op het gebied van het ontwikkelen van een norm voor de inzet van PET?
De concepten van PET zijn nu enige tijd bekend. Deze concepten zijn door het CBP,
toentertijd de Registratiekamer, en de Canadese zusterorganisatie bedacht. In Kiel, Duitsland, heeft de Schleswig-Holstein-zusterorganisatie van het CBP deze concepten opgepakt en is vanaf september 2001 bezig om de mogelijkheden voor normering/standaardisering van PET- beoordeling te bekijken in het PETTEP-project. De verwachting is dat dit nog enige tijd in beslag zal nemen. De heer Bäumler is hier een aanspreekpunt bij.
Er kan gezegd worden dat het beschermen van privacy binnen organisaties, met behulp van PET, in zekere zin maatwerk is. Op dit moment vindt er een onderzoek plaats naar de mate waarin per type informatiesysteem aangegeven wordt wat het mogelijke PET-gehalte kan zijn.
Welke partijen zouden geïnteresseerd zijn in normen op dit gebied?
- CBP;
- Overige toezichthouders;
- De software industrie;
- Burgers;
- Beveiligingsbranche;
- Standaardisatie-instituten (bijvoorbeeld het NNI).
Artikel 13 spreekt over de stand van de techniek, hoe moet dit volgens u geïnterpreteerd worden? Hoe wordt door het College bepaald of iets realistisch is om te eisen gezien de kosten? Hoe wordt door het College bepaald of iets realistisch is om te eisen gezien risico’s van verwerkingen?
Bij deze zaken moet als uitgangspunt genomen worden het belang van de burger. Er moet
voor elke situatie gekeken worden of het belang van de burger voldoende wordt beschermd
door de genomen maatregelen. De factoren kosten, stand van de techniek, en risico’s kunnen niet afzonderlijk van elkaar beoordeeld worden. Het zal altijd een samenhang van deze factoren enerzijds zijn en het belang van de burger anderzijds. Er kan niet aangegeven worden dat een van deze factoren belangrijker is dan een andere. Het gaat over een afgewogen
oordeel.
Hoe wordt door het College bepaald of iets realistisch is om te eisen gezien de stand van techniek? Wat kan er bijvoorbeeld gezegd worden over: Smartcards, Digitale
handtekening, Biometrie.
Binnen het College is er een TA-cluster (techniek en audit). Dit cluster houdt technologische ontwikkelingen in de gaten. De inzet van techniek kan niet losgezien worden van de andere factoren. Of iets realistisch is om te eisen hangt ook weer per situatie af . De genoemde technieken zijn, mits redelijk gezien de factoren, te eisen in bepaalde gevallen. Dit is een gebied dat een tijdslijn heeft. Wat op dit moment redelijk is om te eisen kan in de verloop van tijd niet meer als afdoende gelden.
Hoe, volgens het College moeten organisaties bepalen of iets realistisch is gezien de stand van de techniek?
Organisaties zouden hier een (redelijk) actieve rol in moeten hebben. Kleinere organisaties kunnen op de hoogte blijven door middel van de brancheverenigingen.
Heeft het College praktijkervaringen met het implementeren van PET, is zij nauw betrokken geweest bij implementatieprojecten?
Het College is niet nauw betrokken bij implementaties van PET. Ze geven dan ook geen concrete adviezen over het implementatietraject. Dat behoort niet tot de werkzaamheden.
Vanuit de opgebouwde expertise binnen het College worden adviezen gegeven in algemene zin.Voor organisaties geldt: PET mag niet als een losstaand fenomeen gezien worden. Het moet aan een beheerscyclus gekoppeld worden wil het effectief in werking treden.
In welke mate is er binnen de huidige onderzoeken welke het CBP uitvoert aandacht voor PET?
Het College pakt de onderzoeken aan middels het raamwerk voor de privacy audit, welke zij ontwikkeld heeft. In dit raamwerk zijn negen aandachtsgebieden gedefinieerd. Het is niet zo dat een van deze aandachtsgebieden specifiek PET is. Het is juist zo dat PET door deze aandachtsgebieden heenloopt, voornamelijk door de aandachtsgebieden:
- Transparantie;
- Doelbinding;
- Rechtmatige grondslag;
- Kwaliteit;
- Rechten van betrokkenen;
- Beveiliging.
Vinden er al onderzoeken plaats specifiek gericht op het inzetten van PET?
Uit het bovenstaande blijkt reeds dat er geen onderzoeken specifiek op PET gericht zijn. Het loopt door de onderzoeken heen welke het CBP uitvoert. Er is overigens wel een permanent onderzoek van PET en zijn verschijningsvormen.
Is er een “expert” op het gebied van PET binnen het College aanwezig?
Binnen de bezetting van het College weet iedereen van het bestaan van PET af en wat er onder wordt verstaan. Binnen het cluster Techniek en Audit is een verdieping van deze kennis aanwezig.
Wat zal er veranderen als de overgangstermijn voorbij is, hoe zal het CBP zich opstellen op het gebied van het inzetten van PET?
In de WPR was er geen specifieke link naar PET. Verder is het aardig om WPR artikel 8 en WBP artikel 13 te vergelijken.
Deze vergelijking is in hoofdstuk 4 als volgt verwoord:
Het belangrijkste verschil tussen WBP en WPR is dat de WBP ook de verwerking van persoonsgegevens betreft en niet uitsluitend de registratie daarvan. Bij verwerking gaat het om elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, al dan niet automatisch uitgevoerd. Het omvat het gehele proces dat een gegeven doormaakt vanaf het moment van verzamelen tot het moment van vernietiging.
Voor het inzetten van PET, zijn er zaken die bij overheden komen kijken welke niet bij commerciële instellingen gelden? Houdt het College rekening met de motie van Nicolaï bij de beoordeling van het inzetten van PET bij overheidsinstanties?
Nee, het College benadert een onderzoek niet anders. Het is zo dat de reden waarom PET ingezet worden door overheidsinstellingen anders kan zijn dan voor commerciële instellingen.
Voor de overheid wordt het goed huisvaderschap genoemd als een reden. Voor commerciële instellingen zijn hier juist ander redenen voor. Zo is er een congres georganiseerd wat als onderwerp privacy als concurrentievoordeel had. Voor dit congres (Kiel, September 2001) was grote aandacht.
Naast het uitbrengen van het rapport over PET en de assurance producten, wat doet het CBP nog meer om de inzet van PET te stimuleren?
Er wordt op allerlei manieren aandacht aan het onderwerp besteed. Zo wordt er in mei 2002 een symposium georganiseerd over het onderwerp.
Hoe is het gesteld met de ontwikkelingen op het gebied van het privacycertificaat?
Het ontwikkelen van het certificaat kent vier fasen:
- Ontwikkeling van de assurance producten;
- Vaststellen waar de auditor zelf en zijn werkgever aan moeten voldoen;
- Vaststelling object van het onderzoek;
- Concretiseren en objectief maken zodat onderzoeken gelijk zijn.
Op dit moment bevinden de ontwikkelingen zich in de tweede fase.
Is er vanuit de markt een grote vraag te verwachten naar dergelijke certificaten?
Interesse voor het certificaat is te verwachten van de volgende partijen:
- CBP;
- NOREA/NIVRA;
- Accountants kantoren;
- Consumentenbond (burgers);
- Vakbond;
- Bedrijven.
Kun je de WBP omzeilen door de bewerkingen op gegevens in het buitenland plaats te
laten vinden?
Er zijn een aantal zaken welke hierbij kijken komen. De WBP komt voort uit de Europese richtlijn 95/46, de andere Europese landen zullen soortgelijke wetgeving hebben. Voor doorgifte aan bedrijven buiten de EU gelden specifieke regels. Zij moeten de burger er soms op attent maken dat de verantwoordelijke voor de gegevens niet in Europa zetelt teneinde toestemming voor doorgifte te krijgen. Daarnaast gaat het niet om de locatie van de verwerker maar om de locatie van de verantwoordelijke om te kijken of de WBP van toepassing is.
Overige vragen opmerkingen
Case/Contactpersonen/Mogelijkheden onderzoek Voltooide implementatie PET
-Het Nederlandse Brandwonden informatiesysteem, Dr Luc Taal, projectmanager van NBIS (interessant hoe het gebeurt)
-Meerkanten, geestelijke gezondheidszorg, Ermelo, Dhr Ter Avest (interessant waarom het is gedaan)
Een document van Dhr J. Holvast en het TNO over PET bij de overheid, gemaakt in opdracht van de overheid. Dit is voornamelijk een strategisch document Dit document heeft de status concept en het is bovendien (nog) niet bestemd voor derden. Wat wel kan is TNO/Jan Holvast om informatie vragen over PET bij de overheid
Voor definities: ISO standaardisering: ISO 15408
Mogelijkheden voor het onderzoek: het opleveren van een stappenplan implementatie PET
om tot advies over PET te komen.
Bijlage B: Het Nederlandse Brandwonden Informatiesysteem
Gebaseerd op:
www.runenberg.demon.nl/ntma/pdf_ntma_104/artikel%204/Het%20Nederlandse_.pdf
Inleiding
De kwaliteit van de behandeling van brandwonden is in de afgelopen 200 jaar fors veranderd.
In de eerste helft van de negentiende eeuw overleden mensen als ze over meer dan vijf procent van het totale lichaamsoppervlak brandwonden hadden opgelopen. Rond de
eeuwwisseling was het nog steeds bijna zeker dat patiënten die meer dan 20 procent van hun lichaam verbrand hadden aan hun verwondingen zouden overlijden
.Toen het na de Eerste Wereldoorlog mogelijk werd om shocks te behandelen en sulfonamiden en penicilline geïntroduceerd werden tijdens de Tweede Wereldoorlog, kwam er verandering in het tragische lot van de brandwondenpatiënt.
Ondanks de moderne intensieve zorg en behandeling met antibiotica zijn de sterfte en ziektecijfers in Europa nog steeds aanzienlijk waar het ernstige brandwonden betreft.
Europese brandwondenspecialisten hebben onafhankelijk van elkaar rapporten uitgebracht waarin wordt vermeld dat het sterftecijfer samenhangt met de leeftijd en het percentage van diepe huidverbrandingen.
Momenteel zijn er in Europa slechts weinig op bewijs gebaseerde brandwondenprotocollen in gebruik of in ontwikkeling. Dit komt voornamelijk doordat individuele brandwondencentra in Europa op jaarbasis te weinig patiënten hebben om protocollen te ontwikkelen. Daarom is het uitermate belangrijk dat de Nederlandse Brandwonden Stichting zich bezighoudt met de mogelijkheid om met behulp van ICT de ontwikkeling, introductie en de beoordeling van de protocollen te stimuleren. Dit kan ondermeer door een grote verzameling van
patiëntengegevens te beheren die elektronisch verzonden worden vanuit alle participerende brandwondencentra naar een centrale database waar de gegevens nagekeken worden en voortdurend geraadpleegd en beoordeeld kunnen worden door vakdeskundigen. De elektronische, op richtlijnen gebaseerde technologie van het Nederlandse Brandwonden Informatiesysteem (NBIS) streeft ernaar om ondersteuning te bieden aan verbetering van de kwaliteit van brandwondenzorg in Europa.
Risicoklasse van verwerking
Het systeem werkt met twee categorieën van persoonsgegevens. Dit zijn de persoonsgegevens van de gebruikers van het systeem, chirurgen, verpleegkundigen en psychologen (bewerkers) en de persoonsgegevens van de patiënten (betrokkenen).
De eerste categorie van gegevens wordt gebruikt bij het proces autorisatie. In paragraag 4.2 is aangegeven dat dit een van de zes processen binnen een informatiesysteem is. Voor deze stap is aangegeven dat in bepaalde gevallen het noodzakelijk is dat persoonsgegevens van
gebruikers (bewerkers) bekend moeten zijn. In dit geval is dit zo, op basis van de functie van
een medewerker zullen autorisaties verleend worden. De verwerking bestaat uit het opslaan
van deze gegevens, wijzigen indien nodig en het verlenen van autorisaties op basis van deze
gegevens.
De gegevens welke over de patiënten gaan vallen onder de groep bijzondere
persoonsgegevens. Deze groep van gegevens wordt door artikel 16 van de WBP omschreven als persoonsgegevens betreffende iemands gezondheid. Deze gegevens zullen gebruikt worden voor onderzoeksdoeleinden welke verwerkingen van een hoge complexiteit met zich meebrengen. Uit paragraaf 3.1 is te herleiden dat deze gegevens, bijzondere
persoonsgegevens en moeilijke verwerkingen, in de derde risicoklasse thuishoren.
Het Syteem
Het NBIS is een applicatie die door de brandwondenspecialist geraadpleegd kan worden via zijn of haar Internet browser (Internet Explorer). De registratiemodule die gebruikt wordt voor het invoeren van nieuwe gegevens en om bestaande gegevens te veranderen, is een op
Internet gebaseerde data-invoerapplicatie (ASP). De ingevoerde informatie wordt in een productiedatabase (Oracle) gezet bij de database server. Iedere dag verzamelt het NBIS gegevens waarbij de ingevoerde informatie samengevoegd wordt tot een database die geschikt is om rapporten te genereren (reportgenerator). De 'report generator' zal vervolgens
SPSS 10 opstarten. Vervolgens worden gegevens overgenomen uit de analysedatabase en geïmporteerd in SPSS. Vervolgens wordt de syntax nagegaan zodat de gegevens aangepast zijn voor rapportage. Op verzoek kunnen delen van deze verzamelde gegevens worden gedownload voor ad hoc rapporten. Nadat alle gegevens zijn verzameld worden deze direct ingevoerd in SPSS waar de gegevens geanalyseerd worden. De resultaten, output files,
worden opgeslagen in de rapportagedatabase. De rapporten kunnen geraadpleegd worden door in het hoofdmenu van de gebruikersinterface het standaard rapportgedeelte (standard reports section) te kiezen. Nadat deze keuze is gemaakt, zullen de resultaten in de browser te zien zijn via smartviewer Webserver, dat speciaal ontworpen is voor de distributie van interactieve, internetgeschikte analytische inhoud. NBIS-gebruikers krijgen OLAP cubes en grafieken te zien. Dit is in onderstaand figuur schematisch weergegeven:
Figuur: Het NBIS systeem
Beveiliging-PET
In paragraaf 4.4 is aangegeven dat gekeken moet worden of op een situatie sectorale
wetgeving van toepassing is. In het geval van opgeslagen medische gegevens moet dit onder meer voldoen aan info-ethische voorwaarden die gelden voor de gezondheidszorg. Dit stelt de
Productie database
Analyse database
Report database
Tijdelijke file
Tijdelijke file
NBIS Website
ASP Ad hoc report SPSS
Smartviewer
Gebruiker
SPSS Database server
Ram-disk
Applicatie server
Internet
verplichting dat ethische principes gerespecteerd moeten worden wanneer gebruik gemaakt wordt van informatietechnologie. Dit is met name van belang als men besluit om gegevens op het internet uit te wisselen zoals dit het geval is bij het NBIS. Het NBIS verzamelt en
verspreidt alleen persoonsgegevens over het internet met gebruikmaking van PET.
Naast deze sectorale wetgeving zijn een aantal factoren aanwezig welke er voor zorgen dat het NBIS gebruik dient te maken van PET. Deze factoren zijn in paragraaf 6.3 aan bod
gekomen. In deze paragraaf zijn factoren opgenoemd welke een verdere uitwerking geven van het trio techniek, kosten en risico’s. Als uitgangspunt moet het belang van de burger genomen worden: in dit geval zijn dit de patiënten (betrokkene) en de gebruikers (bewerkers( van het NBIS. De factoren welke genoemd zijn onder de categorie “gegevens en verwerkingen”
veroorzaken dat gesproken kan worden van een verplichte inzet van PET. Er is immers al vastgesteld dat het om verwerkingen uit de derde risicocategorie gaat (factoren complexiteit van verwerking en soorten persoonsgegevens). Daarnaast gaat het om veelvuldige interactie tussen gebruikers van het systeem en de databases van het systeem. Deze interactie vindt plaats over netwerken (internet). Dit zorgt ervoor dat, om het belang van de betrokkenen te waarborgen, al snel aan het inzetten PET gedacht moet worden (factor mate van interactie).
Om een gedegen uitspraak te kunnen doen over de factoren welke onder de categorie
“organisatiekenmerken
1” zijn opgesomd is meer informatie nodig. Naast de hierboven genoemde factoren die van invloed zijn op de verplichting tot het nemen van technische maatregelen volgens de WBP zijn er redenen waarom het NBIS gebruik wil maken van PET.
Deze redenen vallen onder de categorie maatschappelijke motief zoals deze in paragraaf 3.2 is opgesteld. Een systeem dat PET heeft geïntegreerd zal beter scoren op zaken als
vertrouwelijkheid en integriteit. Hoe beter een systeem hier op scoort, des te minder zullen betrokkenen aarzelen over het plaatsen van medische gegevens op het systeem. Door deze wijze zullen brandwondencentra sneller hun medewerking verlenen aan het systeem waardoor de analyses op de gegevens betrouwbaarder zullen zijn.
Implementatietechniek PET
In het bovenstaande zijn redenen genoemd om PET in te zetten binnen het NBIS. Hieronder volgt een beschrijving van de technieken welke daadwerkelijk gebruikt worden. De
informatiebeveiligingstechnieken welke daadwerkelijk in het systeem gebruikt worden zijn:
-TTP
De Nederlandse Brandwonden Stichting heeft DigiNotar aangesteld als gemachtigde derde partij om de informatiebeveiliging voor het NBIS te regelen. NBIS-medewerkers van de deelnemende brandwondencentra en de Nederlandse Brandwonden Stichting worden
geïdentificeerd door DigiNotar. In dit geval heeft DigiNotar de rol van Registration Authority zoals in paragraaf 5.4.4 omschreven. Daarnaast vaardigt DigiNotar digitale certificaten uit, in dit geval bekleedt zij de rol van Certification Authority.
-Biometrie
In het systeem van NBIS wordt biometrie gebruikt om de identiteit van een gebruiker (bewerker) vast te stellen. In het systeem wordt lokaal “live” biodata vergeleken met de biotemplate op een smartcard. Het NBIS maakt gebruik van een smartcard van GemPlus. Op deze smartcard is dus een biotemplate opgeslagen maar ook een digitaal certificaat. De vergelijking gebeurt middels een biometrische verificatie server welke geleverd is door
1
Dit zijn de factoren: personele middelen, technische middelen en organisatiegrootte
Keyware Technologies. Deze server staat opgesteld bij DigiNotar. Het risico van
privacyschending van gebruikers (bewerkers) van het systeem wordt op deze wijze zo klein mogelijk gemaakt. De biodata wordt immers niet centraal maar lokaal opgeslagen. De medewerkers hebben nu controle over hun eigen gegevens. De biotemplate op de smartcard wordt samen met de “live” biotemplate verzonden naar de biometrische verificatie server. Na verificatie worden de templates dus niet opgeslagen.
-Digitale certificaten
Een digitaal certificaat is ook opgeslagen op de smartcard welke gebuikt wordt binnen het NBIS. Een digitaal certificaat is een stuk data dat een verbinding maakt tussen iemands openbare sleutel en een of meer kenmerken die betrekking hebben op zijn identiteit. Het digitale certificaat geeft de verzekering dat de openbare sleutel bij de geïdentificeerde persoon hoort en dat de persoon in bezit is van de bijbehorende sleutel. Het digitale certificaat bevat nu de persoonlijke sleutel van een bewerker. Het verificatiesysteem van het NBIS gebruikt de bijbehorende openbare sleutel. Als een bewerker is geïdentificeerd, kunnen vanuit het NBIS gegevens versleuteld worden met de openbare sleutel. Deze versleutelde gegevens worden nu over het netwerk verzonden. Door gebruik te maken van het certificaat ben je verzekerd dat alleen de persoon welke zich heeft geïdentificeerd, en dus in het bezit is van de persoonlijke sleutel, het versleutelde bericht kan ontcijferen.
Richtlijnen
In hoofdstuk 6 zijn op basis van de CobiT-cyclus drie fasen opgesteld om PET op de juiste wijze in te zetten. De aandachtsgebieden binnen de drie fasen zullen hieronder, voorzover mogelijk met de aanwezige informatie, besproken worden.
Fase 1 1)Beleid:
-In hoofdstuk 3 is aangegeven dat de mate waarmee het management zich moet inzetten bij het gebruik van PET vastgesteld kan worden met behulp van het strategisch rooster. Hiervoor wordt eerst de situatie bekeken voordat er gebruik werd gemaakt van PET. Zoals is
aangegeven wordt het NBIS gebruikt om behandelingsgegevens te verzamelen en daar (statistisch) onderzoek mee te verrichten. Voordat het NBIS werd gebruikt kan gesteld worden dat het verzamelen van behandelingsgegevens en deze te gebruiken voor onderzoek op een te kleine schaal plaats vond en zodoende niet als relevant beschouwd kan worden. De strategische toepassing van (statistisch) onderzoek in de oude situatie wordt daarom als laag beschouwd. Met het gebruik van het NBIS echter is een nieuwe toepassing ontstaan welke betrouwbare onderzoeksresultaten kan opleveren. Het “privacy-proof” NBIS kan bijdragen aan betere behandelmethoden voor brandwonden. Dit belang wordt zodoende als hoog gekwalificeerd. In het strategisch rooster bevind het gebruik van het NBIS zich dus in het kwadrant “ommekeer”. In hoofdstuk 3 is aangegeven dat bij dit kwadrant een grote mate van betrokkenheid van het management wordt geëist. Bij het opstellen en bijwerken van een beleidsstuk zal het management van de Nederlandse Brandwonden Stichting dan ook zeker een actieve rol moeten vervullen.
2)Beveiligingsorganisatie:
Domeinen:
-Het ontwikkelen van een structuur met als doel het beheren van persoonsgegevens. Hier moet een scheiding tussen het identiteitsdomein en pseudo-domein worden gemaakt. Uit de beschrijving van het systeem is naar voren gekomen dat deze scheiding plaats heeft gevonden.
Het identiteitsdomein bestaat voor een bewerker uit de mogelijkheid om patiëntgegevens van
zijn “eigen” patiënten te muteren en te raadplegen. Gegevens over personen die niet door hem
behandeld worden vallen onder het pseudo-domein. Zo zullen onderzoekers welke gebruik willen maken van het NBIS, als zij geautoriseerd worden, geen gegevens over personen zelf kunnen raadplegen. Zij zullen zodoende niet geautoriseerd zijn (met behulp van certificaten) om gegevens uit de productiedatabase op te vragen.
-Door het plaatsen van de beschermer ontstaan er de twee domeinen. De specifieke technieken welke er voor zorgen dat de domeinen ontstaan en op juiste wijze functioneren zijn reeds besproken.
De werking van de beschermer heeft dus als doel:
-Er zorg voor dragen dat alleen geautoriseerde personen zicht krijgen op “zijn”
persoonsgegevens om misbruik te voorkomen.
3)Classificatie en beheer van bedrijfsmiddelen:
Classificatie:
-De classificatie van de gegevens is reeds besproken.
Beheer:
-De eigenaar van de gegevens is de Nederlandse Brandwonden Stichting. Deze heeft de databases en autorisatiecontroles uitbesteed aan DigiNotar. Deze beheren dus de gegevens. De verantwoordelijkheden voor de verwerking dienen in overeenkomsten
2tussen de
verschillende partijen vastgelegd worden.
4)Beveiliging ten aanzien van personeel:
Bij de beveiliging ten aanzien van het personeel moeten twee zaken in ogenschouw genomen worden:
-De bewerkers van het systeem kunnen als personeel beschouwd worden. Er dienen overeenkomsten met deze bewerkers opgesteld worden welke het misbruik tegengaan.
-In de overeenkomst met DigiNotar moet aandacht besteed worden aan de vertrouwelijkheid van het personeel van DigiNotar.
5)Fysieke beveiliging:
-Fysieke beveiliging dient door DigiNotar uitgevoerd te worden. In overeenkomsten tussen de brandwondenstichting en DigiNotar moet hier aandacht voor zijn.
6)Het beheer van communicatie en bedieningsprocessen:
-Het opstellen van bedieningsprocedures en verantwoordelijkheden moet een correcte bediening van PET kunnen garanderen. Er dienen verantwoordelijkheden en procedures te worden vastgesteld voor het beheer en de bediening van alle ICT-voorzieningen welke verband houden met PET. Bewerkers moeten handleidingen uitgereikt krijgen om op juiste wijze met de apparatuur en het systeem om te gaan. DigiNotar moet er zorg voor dragen dat dit op de juiste wijze gebeurt met betrekking tot de ICT-voorzieningen die in hun beheer zijn gesteld.
- Huisregels moeten worden opgesteld ter handhaving van de integriteit en beschikbaarheid van PET. Er dienen routineprocedures te worden opgesteld voor het ten uitvoer brengen van de overeengekomen back-up strategie, het maken van reservekopieën van persoonsgegevens
2
Een dergelijke overeenkomst wordt een Service Level Agreement (SLA) genoemd
en het oefenen van een tijdig herstel ervan, voor het bijhouden van logboeken van
gebeurtenissen en storingen en waar nodig voor het bewaken van apparatuur en omgeving.
Deze zaken dienen door DigiNotar uitgevoerd te worden en zodoende in de overeenkomsten met hen opgenomen zijn.
-Netwerkbeheer is nodig ter handhaving van de beveiliging van de persoonsgegevens in netwerken en de bescherming van de ondersteunende infrastructuur. Het beveiligingsbeheer van netwerken die de grens van de eigen organisatie overschrijden verdient speciale aandacht.
Extra maatregelen kunnen nodig zijn om het transport van gevoelige persoonsgegevens via openbare netwerken te beveiligen (o.a. het toepassen van encryptie).
Het NBIS past openbare-sleutel cryptografie toe voor het veilig verzenden van gegevens en autorisatieprocedures om de toegang tot deze netwerken te beveiligen.
7)Toegangsbeveiliging:
-Het NBIS maakt gebruik van toegangsbeveiliging om de persoonsgegevens te beschermen.
-Voor toegangsbeveiliging dienen formele procedures te bestaan voor het beheer van autorisaties voor informatiesystemen en –diensten. Het is van belang dat in deze procedures alle fasen in de levenscyclus van een autorisatie worden vastgelegd, van de registratie van nieuwe bewerkers tot en met het formeel afmelden van bewerkers die niet langer toegang behoeven te hebben tot gegevens in informatiesystemen. Voor zover dit niet gebeurd is dient dit te gebeuren voor het NBIS.
8)Ontwikkeling en onderhoud van systemen:
-Gekeken moet worden waar cryptografische systemen toegepast kunnen worden. In het NBIS wordt op dit moment openbare-sleutel cryptografie toegepast.
-Nieuwe technologieën moeten geïdentificeerd worden. Er moet gekeken worden wat voor de bedrijfstak “te verlangen” technieken zijn welke zorg dragen voor een goede bescherming van persoonsgegevens. Op dit moment voldoen de gebruikte technieken van het NBIS aan de eisen die gesteld kunnen worden. Technische ontwikkelingen zullen echter door de brandwondenstichting gevolgd moeten worden.
9)Inventarisatie verwerkingen / Continuïteit:
-Voor het effectief werken van PET moet de werking van systemen continu worden beoordeeld. Het NBIS zal dan ook zeker periodiek getest dienen te worden.
Fase 2 1)Transparantie
De gegevensverwerking in de organisatie moet voor de betrokkene transparant zijn. Dit betekent onder meer dat de betrokkene op de hoogte moet zijn wat er met zijn
persoonsgegevens gebeurt, er bestaat een informatieverplichting. Aan de patiënten moet kenbaar gemaakt worden dat hun gegevens in het NBIS worden opgenomen en met welk doel.
2)Doelbinding
Het verzamelen en het verdere gebruik van persoonsgegevens is aan specifieke regels verbonden. Het verzamelen is mogelijk voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De verzamelde persoonsgegevens worden alleen verder verwerkt als dit verenigbaar is met het doel waarvoor ze zijn verkregen. Zo zijn gegevens over personen specifiek niet verzameld om onderzoek te doen, maar voor behandelingen. Bij het gebruik van deze gegevens voor onderzoek moeten de gegevens niet meer tot individuele gevallen te herleiden kunnen zijn.
3)Kwaliteit
Voor de kwaliteit van de verwerking van persoonsgegevens gelden bepaalde eisen.
Persoonsgegevens worden voor een bepaald doel verzameld en verder verwerkt. Voor dat doel behoren de persoonsgegevens toereikend, terzake dienend en niet bovenmatig te zijn. Er zorg voor dragen dat alleen de behandelend arts inzage heeft in de records van zijn
individuele patiënten draagt eraan bij dat de gegevensverzameling “terzake dienend” wordt gebruikt.
4)Rechten van betrokkenen
De betrokkene heeft recht op inzage, verwijdering of afscherming van zijn persoonsgegevens.
Het NBIS heeft er zorg voor gedragen dat de persoonsgegevens afgeschermd zijn van onbevoegden.
5)Beveiliging
De verantwoordelijke is gehouden om maatregelen te treffen om persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking.
Het inzetten van openbare sleutelcryptografie bij verzending van gegevens draagt binnen het NBIS bij aan het voldoen van deze verwerkingseis.
Fase 3
Op de mate waarin PET ingezet zouden moeten worden is reeds ingegaan.
Bijlage C: Het Landelijk Alcohol en Drugs Informatiesysteem
Gebaseerd op de lezing van de heer Ouwehand
3gehouden tijdens het symposium
“Privacy by Design” van het College Bescherming Persoonsgegevens op 23 mei 2002 te Den Haag.
Inleiding
De Stichting Informatievoorziening Verslavingszorg (IVV) houdt zich bezig met de landelijke informatievoorziening in de verslavingszorg. Verslavingszorg is een bijzonder onderdeel van het zorgkader dat in Nederland aan burgers wordt geboden. Het speelveld kenmerkt zich door het grote aantal spelers die ieder afzonderlijk wezenlijk invloed uitoefenen op het uit te voeren aanbod van hulp aan verslaafden. Mensen die in vele opzichten, medisch, sociaal en maatschappelijk, vastgelopen zijn komen in de populatie van de verslavingszorg voor.
Doordat de problematiek zich dikwijls op het scheidingsvlak van medische, sociale en maatschappelijke omstandigheden bevindt, zijn er zeer veel partijen die zich tegen de verslaafden en de verslaafdenzorg ”aan bemoeien”. In dit speelveld is inzichtgevende kwalitatief betrouwbare informatievoorziening van belang. Geen informatie of onvoldoende informatie leidt tot of kan leiden tot wilde fantasieën over omvang van de problematiek en activiteiten en resultaten van de zorg. Het Landelijk Alcohol en Drugs Informatiesysteem (LADIS) heeft daaraan tot op heden een grote bijdrage kunnen leveren.
Informatiestructuur en werkwijze van LADIS
De informatiestructuur in de verslavingszorg is opgezet op vrijwillige basis in het begin van de tachtiger jaren. Systemen die in Duitsland (EBIS) en in Engeland (DMS) werden
ontwikkeld stonden model. In 1988 was 100% deelname van de instellingen in de ambulante verslavingszorg bereikt. Inmiddels is de zorg ontwikkeld tot 22 organisaties die veelal als verslavingscentrum bekend staan.
De informatiestructuur is simpel en doeltreffend. Locale teams registreren uniform gegevens over de cliënten en de geboden hulp. Deze informatie wordt centraal geaggregeerd op instellingsniveau. Sommige instellingen hebben wel 10 vestigingen. De gebundelde informatie is de bron waaruit het LADIS bestand vier maal per jaar wordt aangemaakt. Op deze wijze ontstaat een bestand met gegevens over alle concrete verslaafden in Nederland. Dit bestand wordt in het landelijke systeem opgeslagen, na tal van bewerkingen en controles.
Unieke codering
Teneinde dubbeltellingen te voorkomen en om inzicht in de ontwikkeling van cliënten te kunnen krijgen worden de gegevens sinds 1994 als individuele gegevens onder toevoeging van een unieke codering per cliënt in het LADIS bestand opgenomen. Die dubbeltellingen komen voor omdat veel cliënten door de voorzieningen heen op meer plaatsen blijken op te duiken. Voor het inzicht in de daadwerkelijke omvang van de diverse
verslavingsproblematieken (alcohol, diverse soorten drugs of overmatig gokken) is deze individualisering gewenst.
De technische uitvoering van de codering is gebaseerd op het RSA/MD 5 protocol. Dit is een zogenaamde one way hashing algoritme waarmee de gegevens versleuteld worden. Het
3
A.W. Ouwehand is directeur/bestuurder van stichting IVZ, holding van het IVV
versleutelen van gegevens is een onderdeel van PET. Waar een persoon in Nederland zich ook in de verslavingszorg meldt, krijgt hij/zij dezelfde unieke sleutel. Dit beantwoordt perfect aan de behoefte van de registrator maar komt tevens tegemoet aan het fenomeen dat verslaafden zich door de zorg heen bewegen. Door de code is LADIS een van de weinig concreet werkende cliënt-volgsystemen in Nederland.
Toekenning van de code geschiedt softwarematig op basis van een aantal persoonsgegevens.
Dit levert een code op die niet 100% uniek is. Daarmee is de code dus niet geschikt als individuele behandelcode voor een cliënt. Voor de doelen waarvoor LADIS is ontwikkeld (inzicht, beleidsinformatie en epidemiologisch onderzoek) is met de foutmarge rekening gehouden. Inmiddels zitten er sinds de invoering meer dan 150.000 personen anoniem in het bestand.
Audit CBP
De toenmalige Registratiekamer heeft gemeend, als gevolg van de Registratieregeling Verslavingsbeleid, om de inhoud en techniek van het LADIS te onderzoeken. Tijdens de Audit is een goede screening tot stand gebracht en zijn er mede op aanwijzing van de medewerkers van het CBP verbeteringen aangebracht. Naast het aanpassen of verwijderen van items zijn er tal van maatregelen aangescherpt ter bescherming van de gegevens in het LADIS.
De toenmalige Registratiekamer is tot de conclusie gekomen dat, indien de aanpassingen uitgevoerd zouden worden, er redelijkerwijs mag worden aangenomen dat het LADIS, in zijn huidige vorm, geen persoonsregistratie is. Dit omdat door het inzetten van PET, in dit geval het versleutelen van gegevens, binnen LADIS, beweerd kan worden dat er geen gegevens tot individuele personen herleid kunnen worden.
De laatste opmerkingen werd door de heer Ouwehand met een glimlach uitgesproken. Dit omdat de het CBP nooit volmondig uit zal spreken dat er geen sprake van een
persoonsregistratie is. Dit is begrijpelijk omdat er altijd omstandigheden denkbaar zullen zijn
waarbij door inbraak, gecoördineerde overtredingen en misdrijven, ondanks de best denkbare
beveiligingen, er toch een inbreuk op de privacy van betrokkenen kan worden gemaakt.
Bijlage D: Vragenlijst Meerkanten, een psychiatrische instelling
Gesprekspartner: Hendrik ter Avest Datum: 19-06-2002
Functie: Rentmeester
Bedrijfsonderdeel: Raad van Bestuur Meerkanten GGZ Algemene informatie over Meerkanten
Wie om een of andere reden geestelijk in de knel raakt en het op eigen kracht niet klaarspeelt zich daaraan te onttrekken, wekt vaak de bezorgdheid van zijn omgeving. Als familie, vrienden, buren of collega's evenmin raad weten is de volgende stap meestal naar de dokter.
Soms zal deze verwijzen naar meer gespecialiseerde hulpverlening. De geestelijke gezondheidszorg komt dan in zicht.
Meerkanten is een instelling voor geestelijke gezondheidszorg waar op verschillende manieren wordt gewerkt aan vermindering van psychische nood, bedoeld voor mensen die wonen op de noord-west Veluwe of in Flevoland.
Vele duizenden mensen doen jaarlijks een beroep op de hulpverlening die Meerkanten organiseert. Ongeveer 1500 medewerkers staan garant voor een passend zorgaanbod op basis van een individuele behandelingsovereenkomst. Om die zorg zo goed mogelijk aan te sluiten bij de behoefte van iedere hulpvrager werken de hulpverleners, waar dat nodig is, samen met andere instellingen en instanties.
De organisatie van Meerkanten is zo ingericht dat groepen patiënten en cliënten met een vergelijkbare hulpvraag efficiënt en effectief bereikt en geholpen kunnen worden. Meerkanten kent daarom 8 circuits en een centrale crisisdienst. Vanuit Meerkanten werken ook
hulpverleners in de openbare gezondheidszorg. Er is een ambulant team dat zich specifiek richt op asielzoekers
Circuit kinderen/jeugd, waarin gespecialiseerde hulpverleners werken voor kinderen en jeugdigen met psychiatrische problemen van 0 tot ongeveer 18 jaar; en voor hun ouders. Zowel op de Veluwe als in Flevoland.
Circuit verslavingszorg, voor mensen met velerlei verslavingen, voornamelijk aan alcohol en drugs. Ook voor verslaafden met psychiatrische problemen. Zowel op de Veluwe als in Flevoland.
Circuits volwassenen cure, voor mensen die een relatief korte periode last hebben van psychiatrische problemen. Behandeling richt zich op herstel zodanig dat een patiënt of cliënt weer op zijn oude niveau aan het maatschappelijke leven kan deelnemen. Er zijn afzonderlijke circuits voor de Veluwe en voor Flevoland.
Circuits volwassenen care, voor mensen die langdurende zorg nodig hebben omdat
ze door psychiatrische problemen (maatschappelijk) gehandicapt zijn geraakt,
waardoor vaak begeleiding en ondersteuning van het dagelijkse leven nodig is. Zo nu en dan of voortdurend. Er zijn afzonderlijke circuits voor de Veluwe en voor
Flevoland.
Circuits ouderenzorg, voor mensen ouder dan 60 jaar met psychiatrische problemen of complexe psychogeriatrische klachten. Er zijn circuits zowel op de Veluwe als in Flevoland. Crisisdienst, die 7 x 24 uur klaar staat voor consultatie aan huisartsen en politie betrokken bij noodsituaties en die, vaak ter plaatse, spoedeisende hulp biedt.
Aanleiding voor het gesprek
In het gesprek met het CBP, met de heren Van Blarkom en Beugelsdijk
4, is over Meerkanten gesproken. Het College is nauw betrokken geweest bij de implementatie van PET bij deze instelling. Dit is de reden geweest om, na de presentatie van de heer Ter Avest op het symposium over PET, een aantal vragen te stellen over de ervaringen met PET.
Meerkanten maakt gebruik van de zogenaamde Privacy Incorporated Database (PID). De werking hiervan is in paragraaf 7.4 weergegeven. Onderstaand is een uitwerking van het gesprek weergegeven.
Tijdens uw presentatie sprak u over de privacy audit welke door het CBP is uitgevoerd, wat was de aanleiding voor deze audit?
De aanleiding om deze audit uit te laten voeren was een EDP-audit uitgevoerd door KMPG.
Een van de resultaten van deze audit was dat er nader gekeken diende te worden naar de automatische verwerking van patiëntgegevens. Verder waren er in de tijd klachten over de wijze waarop de gehele gezondheidszorg omging met persoonsgegevens.
U gaf aan dat de conclusies van deze audit niet mis waren. Op welk moment/welke wijze kwam het principe van PET naar voren als een oplossing/verbetering van de situatie?
De audit heeft veel “eye-openers” opgeleverd. Zo is ondermeer naar voren gekomen dat de gegevens welke in de bibliotheek opgeslagen lagen, en de gegevens welke op videobanden aanwezig waren niet voldoende afgeschermd waren. Wel was het zo dat voor deze zaken aan de patiënt schriftelijke goedkeuring werd gevraagd alvorens deze te gebruiken.
Een grote schrik was de vele protocollen die herschreven dienden te worden. Dit kwam naar voren tijdens de aanbevelingen. Tijdens de gesprekken met het CBP, naar het zoeken van verbeteringen, is door het CBP het fenomeen PET naar voren gebracht. Dit werd ondermeer als mogelijkheid gezien om minder protocollen te hoeven herschrijven.
Wat wist u op dat moment van het fenomeen PET, hoe hebt u zich hierin verdiept?
Op dat moment was er nog niets bekend over PET zelf. Wel werden de handelingen van gebruikers (bewerkers) van het systeem gelogd. Op deze wijze kon achterhaald worden welke gebruiker toegang heeft gehad tot het systeem en welke handelingen deze verrichtte.
Wat was de motivatie om PET daadwerkelijk te gebruiken? (Sancties uit WBP, tevreden klanten/patiënten)
De reden was dat een betere privacybewaking gerealiseerd kon worden zonder dat deze hindering opleverde. De onderzoeksfunctie en registratie taak kunnen zodoende onbelemmerd
4
De uitwerking van dit gesprek is in Bijlage A weergegeven
plaats vinden.
De sancties genoemd in de WBP zijn geen aanleiding geweest om dit te doen.
Op basis van welke factoren heeft een kosten/baten analyse plaats gevonden?
Er heeft niet een echte kosten/baten analyse plaats gevonden. De voordelen van het inzetten van PET zijn niet tot nauwelijks in geldbedragen uit te drukken. De afweging heeft plaats gevonden op de haalbaarheid van de verandering (vergemakkelijking) tegen over de weerstand binnen de organisatie.
Wie van uit Meerkanten waren betrokken bij het project PET?
- De medische registratie;
- De automatisering;
- Een behandelaar.
Welke externe partijen zijn hierbij betrokken geweest/nog steeds betrokken?
- Het softwarebedrijf dat het systeem levert;
- KPMG in de rol van EDP-auditor;
- CBP.
Welke zaken zijn uitbesteed/ worden in eigen beheer gedaan (eventuele TTP)?
Op dit moment is er geen partij actief in de rol van Trusted Third Party. Wel vindt er onderzoek plaats naar de mogelijkheden van een landelijk cliënt-volg systeem. Dit omdat er nu de mogelijkheid bestaat dat de bezoekers van dergelijke instellingen kunnen “shoppen”
tussen verschillende instellingen. Hiervoor zou een unieke cliëntcodering ingevoerd moeten worden. Voor dit systeem zal dan gebruik gemaakt moeten worden van een TTP. Het systeem moet overigens betrouwbaarder zijn dan het systeem LADIS
5, welke een te groot
foutpercentage vertoont. Dit is mogelijk omdat LADIS voor onderzoeksdoeleinden gebruikt wordt en niet voor individuele behandelingen.
Wordt er veel contact met u opgenomen over uw ervaringen met PET door collega- instellingen of andersoortige bedrijven?
Er zijn een aantal collega instellingen langs gekomen om de ervaringen met het nieuwe systeem te bespreken. Deze instellingen worden vaak door het CBP doorverwezen.
Wat was de inbreng van het CBP bij het proces van invoering van PET?
In de eerste plaats vervulde zij de onderzoeksrol, voornamelijk tijdens de audit. Deze rol is in het traject na de audit overgegaan in een adviserende rol over de protocollen. Bij gesprekken over de invoering van PET heeft het CBP een actieve en meedenkende rol vervuld. Er is op dat moment constructief meegedacht om de aanbevelingen ook praktisch invulling te kunnen geven.
Hoe lang heeft het traject geduurd van de resultaten van de privacy audit tot het huidige werkende PET-systeem?
Dit is moeilijk aan te geven. De ontwikkeling/upgrade van het systeem is afhankelijk van meerdere factoren. Hoe lang de implementatie van PET bij de ontwikkeling in beslag heeft genomen is zodoende niet aan te geven.
5
