Werkwijze, organisatie en procedures verwerking

CVS\2012047-b
Werkwijze, organisatie en procedures verwerking persoonsgegevens OV-chipkaart
Werkwijze,
organisatie
en
persoonsgegevens OV-chipkaart
procedures
verwerking
Deze notitie mag alleen worden gebruikt in CVS-verband en in de relatie tussen
de vervoerbedrijven en Panteia/NEA.
Inleiding
Ten behoeve van:

een
proefberekening
inclusief
gevoeligheidsanalyse
op
basis
van
OV-chipkaartgegevens voor de OV-jaarkaart, en

een periodieke berekening van de opbrengstverdeling van interoperabele
abonnementen verkocht voor het tariefjaar 2012;
zal door Panteia/NEA OV-chipkaartdata worden gebruikt. Omdat deze data
(versleutelde) persoonsgegevens bevat zijn middels een ‘Overeenkomst van
Opdracht’ en een ‘Bewerkersovereenkomst’ hierover tussen Opdrachtgever en
Opdrachtnemer (Panteia/NEA) afspraken gemaakt. In deze notitie worden deze
afspraken nader geconcretiseerd, zoals toegezegd in artikel 6 (Controle) van de
‘Bewerkersovereenkomst’.
Hierbij
zullen
de
door
Panteia/NEA
gehanteerde
werkwijze, organisatie en procedures ten aanzien van het gebruik van genoemde
gegevens aan de orde komen.
Werkwijze/organisatie/procedures
De in de inleiding genoemde overeenkomsten bevatten diverse artikelen met
afspraken ten aanzien van het gebruik door Panteia/NEA van OV -chipkaartdata.
De betreffende (delen van) artikelen worden hieronder aangehaald, waarna
aangegeven wordt hoe Panteia/NEA hieraan gaat voldoen. Hierbij kan in het
algemeen
worden
gesteld
dat
voor
alle
genoemde
zaken
de
Panteia/NEA-projectleider primair verantwoordelijk is. Hij zal er voor zorg dragen
dat (geautoriseerd) personeel zich zal houden aan beide overeenkomsten en de
in deze notitie opgenomen werkwijzen en procedures.
In
artikel
2.4
van
de
‘Overeenkomst
tot
Opdracht’
is
vastgelegd:
“Opdrachtnemer kan geen aanspraak maken of doen op databankbescherming
onder de databankenwet.”.
Dit houdt in dat Panteia/NEA afziet van het wettelijk recht dat de maker van een
databank gedurende 15 jaar het alleenrecht heeft op het kopiëren, verspreiden,
tentoonstellen en anderzijds openbaar maken of reproduceren van de databank
als geheel. Na gebruik van de data voor het overeengekomen doel zal de
brondata
en
eventueel
daarvan
afgeleide
bestanden
met
(versleutelde)
persoonsgegevens worden vernietigd.
In artikel 4.2(b) van de ‘Overeenkomst tot Opdracht’ is vastgelegd: “Het zonder
toestemming
gebruiken,
delen,
verspreiden
en/of
openbaren
van
bedrijfsgeheimen van Opdrachtgever of van andere vertrouwelijke informatie is
grond voor onmiddellijke beëindiging van de overeenkomst.”.
D20120448.doc
17 juli 2012
1
CVS\2012047-b
Werkwijze, organisatie en procedures verwerking persoonsgegevens OV-chipkaart
Panteia/NEA zal de geleverde data alleen gebruiken voor de in de ‘Overeenkomst
van Opdracht’ genoemde taken en diensten. Na gebruik van de gegevens en
goedkeuring
van
de
resultaten
door
de
opdrachtgever,
zullen
deze
data
geretourneerd of vernietigd worden. Zoals ook vastgelegd in artikel 4.5 van de
‘Overeenkomst
tot
Opdracht’
zullen
ook
geen
kopieën
worden
bewaard.
Bestanden met (versleutelde) persoonsgegevens zullen door Panteia/NEA worden
vernietigd.
In de ‘Bewerkersovereenkomst’ zijn in de artikelen 1 t/m 5 voorwaarden
vastgelegd voor het gebruik van de OV-chipkaartdata. Dit betreft waarvoor de
data gebruikt mag worden (artikel 1), de eventuele inschakeling van derden
(artikel
2),
de
naleving
van
wet-
en
regelgeving
(artikel
3),
geheimhoudingsplicht (artikel 4), en beveiligingsmaatregelen (artikel 5).
In artikel 1 wordt het gebruik van de geleverde data beperkt tot de in de
‘Overeenkomst
van
Opdracht’
genoemde
doelen.
Ander
gebruik
is
niet
toegestaan, en na gebruik (of eerder op verzoek van de Opdrachtgever) dient
Panteia/NEA deze data te retourneren, dan wel te vernietigen.
Bij binnenkomst van de OV-chipkaartdata zal de Panteia/NEA-projectleider
ervoor zorg dragen dat het bestand veilig op een afgeschermde server wordt
opgeslagen, en dat de eventuele drager van het bestand wordt opgeslagen in
een kluis. De afgeschermde server is alleen benaderbaar door (door de
projectleider)
geautoriseerd
personeel,
voor
ander
personeel
is
deze
afgeschermde server niet benaderbaar.
Door gebruik te maken van een afgeschermde server, waarop uitsluitend de
betreffende OV-chipkaartdata opgeslagen zullen worden, wordt door Panteia/NEA
deze
data
apart
gehouden
van
andere
data.
Als
de
data
dan
geretourneerd/vernietigd dienen te worden staan deze op slechts twee plaatsen
(afgeschermde server + back-up). Ook (tussen)bestanden en programmatuur
zullen zich uitsluitend op de afgeschermde server bevinden, en niet op harde
schijven van pc’s of enige andere datadrager.
Na beëindiging van het project zullen alleen relevante tussen - en eindbestanden
(nodig
voor
het
verklaren
van
uitkomsten),
alsmede
de
gebruikte
programmatuur, worden bewaard. In deze tussen- en eindbestanden zullen geen
(versleutelde) persoonsgegevens meer aanwezig zijn.
Binnen Panteia/NEA is ten aanzien van naleving wet- en regelgeving (artikel 3),
geheimhouding (artikel 4) en beveiliging (artikel 5) intern het hiernavolgende in
het kwaliteitshandboek van Panteia vastgelegd:
Gegevensbeheer en geheimhouding van gegevens
De
projectleider
is
verantwoordelijk
voor
het
versiebeheer
van
gegevensbestanden. Elektronisch aangemaakte bestanden worden bewaard via
het
DM-systeem
onder
hetzelfde
projectnummer
en/of
op
de
centrale
schijfruimte van de netwerkservers (G-schijf).
D20120448.doc
17 juli 2012
2
CVS\2012047-b
Werkwijze, organisatie en procedures verwerking persoonsgegevens OV-chipkaart
De beveiliging van deze bestanden tegen geheel of gedeeltelijk verlies of
verminking wordt geregeld in proces Holdingstaf 1: ICT (zie bijlage 1 voor
relevante onderdelen hiervan).
Vertrouwelijke
gegevens die
herleidbaar
zijn
tot
natuurlijke
en
juridische
personen, worden uitsluitend gebruikt voor het onderzoek waarvoor ze zijn
verzameld. Alle medewerkers zijn verplicht tot absolute geheimhouding van
dergelijke gegevens. Voorts is door Panteia uitgevoerd onderzoek onderworpen
aan
Gedragscode
voor
Onderzoek
&
Statistiek
(zie
http://www.beleidsonderzoek.nl/files/157591/1/gedragscode.pdf).
Hetgeen hier is geregeld omtrent gegevensbeheer en geheimhouding is eveneens
van toepassing op bestanden die door de opdrachtgever zijn verstrekt.
In de hierboven genoemde gedragscode voor onderzoek en statistiek is voor
geheimhouding het volgende vastgelegd:
Wet bescherming persoonsgegevens
In
artikel
12
Wet
bescherming
geheimhoudingsbepaling
opgenomen
persoonsgegevens
voor
een
ieder
die
is
een
algemene
kennisneemt
van
persoonsgegevens en die al niet reeds uit hoofde van functie of beroep verplicht
is tot geheimhouding. De onderstaande geheimhoudingsverklaring d ient dan ook
te worden gebruikt in de relatie tussen de Onderzoeksorganisatie en haar
medewerkers, ook als deze niet in dienst zijn van de Onderzoeksorganisatie.
Geheimhoudingsverklaring

Medewerker is uitdrukkelijk verplicht om alle persoonsgegevens die h ij
verzamelt en verwerkt ten behoeve van een onderzoek ten stelligste geheim
te houden.

Voorts is het uitdrukkelijk niet toegestaan de verzamelde persoonsgegevens
te gebruiken voor andere doeleinden.

Medewerker
beschikking
zal
alleen
stellen
onderzoeksorganisatie,
persoonsgegevens
aan
tenzij
verkregen
geautoriseerde
een
wettelijk
uit
onderzoek
functionarissen
voorschrift
ter
van
de
verplicht
tot
mededeling.
Bij aanvang van het project zal de projectleider van Panteia/NEA met de
betrokken medewerkers bovenstaande verklaring doornemen en het belang
ervan benadrukken.
Ten slotte: met (alleen) procedures is geen enkel systeem waterdicht te krijgen.
Belangrijk is dat medewerkers gewezen worden op het belang van het zorgvuldig
omgaan/voorkomen van verlies van de data. Uit ervaringscijfers blijkt dat
hiervan de meeste preventieve werking uitgaat.
De Panteia/NEA-medewerkers die ingezet worden in dit project kennen de sector
en
de
gevoeligheid
van
het
OV-chipkaartdossier
en
het
omgaan
met
persoonsgegevens hierbinnen.
D20120448.doc
17 juli 2012
3
CVS\2012047-b
Werkwijze, organisatie en procedures verwerking persoonsgegevens OV-chipkaart
Bijlage 1
Belangrijke
delen
uit
het
Panteia-kwaliteitshandboek
voor
wat
betreft
Panteia/ICT.
4.3 Gebruik van en toegang tot netwerkfaciliteiten
Een gebruiksgroep is een groep medewerkers die gezamenlijk bepaalde gebruiks en toegangsrechten met betrekking tot het computernetwerk van Panteia krijgt.
Naast de algemene gebruiksgroep, die alle medewerkers van Panteia omvat,
bestaan er specifieke gebruiksgroepen: werkmaatschappijen, units, project - en
werkgroepen.
Via het lidmaatschap van de algemene gebruiksgroep verkrijgt de gebruiker
gebruiksrechten
op
de
standaard
kantoorsoftware
van
Panteia
en
op
de
algemene services van het netwerk, zoals afdrukken, huisstijlen, het Document
Management Systeem en e-mail.
De werkmaatschappijen van Panteia werken met het Document Management
Systeem. Dit is een systeem waarmee documenten voorzien van indexgegevens
digitaal worden geregistreerd en/of opgeslagen. Met een dergelijk systeem is het
mogelijk om documenten uit verschillende bronnen in één systeem op te slaan .
Toegang tot het DM-systeem wordt verkregen door middel van een password.
Bij alle werkmaatschappijen wordt door onderzoeksmedewerkers voor de meeste
grote projecten, waar het onderzoeksteam uit meerdere mensen bestaat, gebruik
gemaakt van een speciaal voor projecten ingerichte server. Voor meer informatie
betreffende het elektronisch opslaan van projectstukken wordt verwezen naar de
kernprocessen van de verschillende werkmaatschappijen.
4.4 Bescherming tegen ongeoorloofd gebruik of misbruik van bestand en
Bestanden worden beschermd tegen ongeoorloofd gebruik en misbruik door
middel van afgesproken rechten per gebruiksgroep en passwords.
De toegang tot de diverse netwerkfaciliteiten, waar onder e-mail, DM etc., wordt
geregeld door middel van passwords per individuele gebruiker. Iedere individuele
gebruiker heeft een eigen uniek password dat alleen aan hem-/haarzelf bekend
is. Passwords moeten periodiek door de gebruiker zelf worden veranderd.
4.6 Back-ups van bestanden
Ter beveiliging tegen verlies of verminking van bestanden door calamiteiten defecte apparatuur, molest, brand - worden door de netwerkbeheerder dagelijks
back-ups
van
de
netwerkservers
gemaakt,
teneinde
de
centrale
automatiseringsfaciliteiten zo snel mogelijk weer beschikbaar te kunn en stellen
(crash recovery).
Het back-up systeem is per server vastgelegd in de Back-up/Restore procedure
die bewaard wordt in de serverruimte. Daarin worden door de netwerkbeheerder
de aard van de back-up en de dagelijkse, wekelijkse, maandelijkse en jaa rlijkse
routines vermeld. Tevens wordt aangegeven welke tapes vervangen worden, hoe
de tapes gelabeld zijn, en waar zij bewaard worden. In ieder geval wordt 1 back up op een externe locatie bewaard.
D20120448.doc
17 juli 2012
4
CVS\2012047-b
Werkwijze, organisatie en procedures verwerking persoonsgegevens OV-chipkaart
Aan het begin van elke werkdag wordt nagegaan of de back-ups zonder storing
zijn verlopen. De netwerkbeheerder maakt een job summary, parafeert voor
controle, noteert eventuele onregelmatigheden en onderneemt hier actie op.
4.7 Beheer en archivering van gegevensbestanden
Het
beheer
(registratie,
gegevensbestanden
ten
ontsluiting,
behoeve
van
opslag
en
onderzoek
archivering)
behoort
tot
van
de
verantwoordelijkheid van offerteleiders/projectleiders.
Het beheer van andere gegevensbestanden behoort tot de verantwoordelijkheid
van de managers onder wier werkterrein deze bestanden vallen.
Het is medewerkers niet toegestaan unieke gegevens, ten behoeve van het
kernproces, uitsluitend op de lokale (C) schijf op te slaan.
Archivering van bestanden geschiedt als volgt:
Documenten die zijn vastgelegd in het Document Management Systeem
Documenten die zijn vastgelegd met behulp van DM-systeem kennen per
documenttype een eigen bewaartermijn. Zodra deze termijn is verstreken
worden de documenten automatisch gearchiveerd. De meta-informatie van deze
documenten blijft in de database aanwezig.
Documenten die niet zijn vastgelegd in het Document Management Systeem
Alle bestanden
die
tot een
project
behoren worden
-in overleg
met de
Projectleider/manager op een eenvoudig toegankelijk medium (cd -rom/DVD)
gezet èn worden vervolgens overgeheveld naar de archiefschijf in het netwerk en
door de Projectleider in het projectdossier opgenomen.
Voor alle bestanden die niet tot een project behoren geldt:
Jaarlijks wordt er door de afdeling ICT bekeken welke bestanden naar de
archiefschijf kunnen worden gezet.
De gebruikers hebben alleen leesrechten op gearchiveerde bestanden. Indien
men gearchiveerde bestanden wil wijzigen, kan iedere gebruiker die daar rechten
toe heeft deze bestanden vanaf het archief kopiëren naar de Gezamelijk e
Netwerkschijf (de G-schijf).
D20120448.doc
17 juli 2012
5