Beheerregeling basisregistratie personen Boxtel 2020

Artikel 1

In deze regeling wordt verstaan onder:

• a.

  aangehaakte gegevens: de in de BRP opgenomen gegevens die niet behoren tot de persoonslijst, over één persoon in de BRP;

• b.

  afnemer: bestuursorgaan als bedoeld in artikel 1:1, eerste lid, van de Algemene wet bestuursrecht;

• c.

  applicatiebeheer: het geheel van activiteiten gericht op het onderhouden en ondersteunen van het toepassingssysteem en de waarborging van continuïteit aan de gebruikerszijde van de informatievoorziening;

• d.

  autorisatie: het verlenen van rechtstreekse toegang tot de BRP;

• e.

  AVG: de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG);

• f.

  beheerder: de functionaris die onder verantwoordelijkheid van de verantwoordelijke belast is met de dagelijkse zorg voor de BRP;

• g.

  berichtenverkeer: het verzenden en ontvangen van berichten via het netwerk;

• h.

  beveiligingsbeheer: het geheel van activiteiten gericht op geautoriseerde toegang tot gebouwen, ruimtes, toepassingssystemen en informatie;

• i.

  binnengemeentelijke afnemer: elke overheidsorgaan die een orgaan is van de gemeente Boxtel;

• j.

  BRP: basisregistratie personen, als bedoeld in artikel 1.2 van de wet;

• k.

  CISO: de Chief Information en Security Officer;

• l.

  college: het college van burgemeester en wethouders van de gemeente Boxtel;

• m.

  derde: elke andere persoon, instelling of rechtspersoon dan een afnemer of de ingeschrevene, waaronder tevens moet worden verstaan de door de verantwoordelijke aangewezen instanties die werkzaamheden verrichten met een gewichtig maatschappelijk belang voor de gemeente;

• n.

  gegevensbeheer: het geheel van activiteiten gericht op de inhoudelijke kwaliteitszorg betreffende het gegevens verzamelen, de gegevensverwerking en de informatievoorziening;

• o.

  gegevensverwerker: degene die de gegevensverwerking uitvoert;

• p.

  gegevensverwerking: het ontlenen van gegevens aan documenten en deze op een voorgeschreven wijze door middel van het daartoe bestemde toepassingssysteem opnemen in een gegevensbestand;

• q.

  informatiebeheer: het geheel van activiteiten gericht op beleidsvoorbereiding ter zake de BRP, de ontwikkeling van kwaliteits-, beveiligings-, verstrekkingen- en privacy-procedures alsmede de coördinatie bij de uitvoering van deze procedures;

• r.

  ingeschrevene: degene ten aanzien van wie een persoonslijst als bedoeld in artikel 2.7 van de wet in de BRP van de gemeente is opgenomen;

• s.

  kwaliteitsmonitor: een door de overheid beheert systeem dat (mogelijke) fouten in een persoonslijst signaleert en vragenlijsten bevat ten behoeve van de zelfevaluatie;

• t.

  netwerk: het stelsel van berichtenuitwisseling als bedoeld in artikel 1.9 van de wet;

• u.

  persoonslijst: het geheel van gegevens als bedoeld in artikel 2.7, eerste lid, van de wet, over één persoon in de BRP;

• v.

  privacybeheer: het geheel van activiteiten gericht op de bescherming van de persoonlijke levenssfeer van de ingeschrevenen bij het verzamelen en verwerken van gegevens dan wel de informatievoorziening;

• w.

  systeembeheer: het geheel van activiteiten gericht op het goed functioneren van de apparatuur en systeemprogrammatuur ten behoeve van de informatievoorziening;

• x.

  toepassingssysteem: de programmatuur en apparatuur die worden gebruikt om de BRP te onderhouden;

• y.

  toezichthouder: de medewerker die toezicht houdt op de naleving van de verplichtingen van de burger ingevolge de artikelen 2.38 tot en met 2.52 van de wet en de burger aanspoort om deze verplichtingen na te komen;

• z.

  verantwoordelijke: het college;

• aa.

  verordening: de Verordening gegevensverstrekking basisregistratie personen Boxtel 2020;

• bb.

  wet: de Wet basisregistratie personen;

• cc.

  zelfevaluatie: een periodiek onderzoek door de verantwoordelijke naar de inrichting, werking en beveiliging van de gemeentelijke voorziening alsmede naar de juistheid van de gegevensverwerking. De zelfevaluatie is een onderdeel van de kwaliteitsmonitor.

Artikel 2

De teammanager Burgerzaken is beheerder van de BRP. Deze beheertaken kunnen geheel of gedeeltelijk gemandateerd worden aan een of meer medewerkers van het team Burgerzaken.

Artikel 4

De in deze regeling opgenomen bepalingen gelden naast de BRP en de in de BRP aangehaakte gegevens die onder de werkingssfeer van de AVG vallen. De informatie in de BRP heeft alleen betrekking op de inwoners van de gemeente Boxtel en overledenen die ten tijde van hun overlijden in de gemeente Boxtel waren ingeschreven.

Artikel 5

De informatiebeheerder is verantwoordelijk voor:

• a.

  de uitvoering van het periodieke onderzoek op grond van artikel 4.3 van de wet naar de inrichting, de werking en de beveiliging van de BRP, alsmede naar de verwerking van gegevens hierin;

• b.

  de periodieke toezending van een uittreksel van de resultaten van het onderzoek aan de Autoriteit Persoonsgegevens en de minister van Binnenlandse Zaken en Koninkrijksrelaties.

Artikel 6

De informatiebeheerder:

• a.

  adviseert het college over de navolgende aspecten die voortvloeien uit deze BRP, te weten:

  • 1.

    persoonsinformatievoorziening;

  • 2.

    beveiliging;

  • 3.

    gegevenskwaliteit;

  • 4.

    personeelsaangelegenheden;

• b.

  beslist:

  • 1.

    over de installatie van nieuwe of gewijzigde versies van het toepassingssysteem voor de gemeentelijke voorziening;

  • 2.

    op verzoeken van organen van de gemeente tot het verkrijgen van gegevens uit de BRP;

  • 3.

    op verzoeken van derden als bedoeld in artikel 3.6 van de wet en als genoemd in de bij verordening genoemde derden tot het verkrijgen van gegevens uit de BRP;

  • 4.

    over de wijze van de verstrekking van gegevens met betrekking tot het bepaalde in dit artikel onder b sub 2 en 3. Verstrekkingsmogelijkheden zijn ad hoc vragen op persoon of adres, mutatieberichten op papier of via de informatievoorziening dan wel selectieverstrekkingen.

Artikel 8

De gegevensbeheerder is verantwoordelijk voor:

• a.

  de juistheid, actualiteit en betrouwbaarheid van de gegevens die opgenomen zijn of worden in de BRP, overeenkomstig de wet en het Logisch Ontwerp;

• b.

  de afhandeling van het netwerkverkeer en de verwerking van de foutverslagen en signaleringen voortvloeiend uit het netwerkverkeer;

• c.

  de toezending van de complete persoonslijst aan de geregistreerde, ingeval van een:

  • 1.

    eerste inschrijving in de BRP;

  • 2.

    vervolginschrijving uit het buitenland;

• d.

  de verzending van een kennisgeving aan de geregistreerde voor wat betreft de verwerking van:

  • 1.

    een wijziging van het naamgebruik;

  • 2.

    een wijziging van de geheimhouding;

  • 3.

    een verbetering van gegevens, na een beroep op het correctierecht;

  • 4.

    de verwijdering van gegevens;

  • 5.

    een vervolginschrijving, voor zover het een binnengemeentelijke verhuizing betreft, dan wel een vervolginschrijving die leidt tot opname in de BRP;

• e.

  de toezending van de hoofdlijnen van de BRP conform artikel 2.54, derde lid, van de wet;

• f.

  de verwerking van de signalering door de kwaliteitsmonitor, waarbij de gegevensbeheerder de informatiebeheerder in kennis stelt van de geconstateerde fouten;

• g.

  een juiste correctie van gesignaleerde fouten;

• h.

  een juiste archivering van verwerkte brondocumenten in de BRP;

• i.

  de jaarlijkse beproeving van de mutatiereconstructie en rapportage van de reconstructie, een en ander in overleg met systeembeheer;

• j.

  de tijdige afhandeling van terugmeldingen.

Artikel 9

De gegevensbeheerder is bevoegd:

• a.

  vanuit de in de artikelen 8 en 10 vermelde verantwoordelijkheden respectievelijk taken de gegevensverwerkers aanwijzingen te geven inzake de opname en bijhouding van gegevens in de BRP;

• b.

  de gegevensverwerkers of applicatiebeheerder aanwijzingen te geven dan wel hen te doen bijstaan in de controlewerkzaamheden als bedoeld in artikel 10, onder d.

Artikel 10

De gegevensbeheerder:

• a.

  beheert de documentatie op het gebied van de wet en overige regelgeving op het gebied van de BRP;

• b.

  beslist over de verzoeken van de burger als bedoeld in de artikelen 2.56, 2.57 en 2.58 van de wet;

• c.

  beslist over de verzoeken van afnemers en derden om informatie als bedoeld in artikel 3.9 van de wet;

• d.

  controleert dan wel coördineert de controle van de actualiseringen in de BRP;

• e.

  beslist over de afhandeling van procedures als bedoeld in artikel 2.60 van de wet;

• f.

  coördineert de onderzoeken naar woon- of briefadressen in samenwerking met de toezichthouders;

• g.

  verzorgt de communicatie met de afnemers en andere verantwoordelijken van gemeentelijke basisadministraties met betrekking tot gegevensvraagstukken;

• h.

  rapporteert minimaal eenmaal per jaar over de uitvoering van het mutatieproces door de gegevensverwerkers aan de beheerder als bedoeld in artikel 2;

• i.

  rapporteert minimaal eenmaal per jaar over de inhoudelijke kwaliteit van de gegevens in de BRP aan de beheerder als bedoeld in artikel 2 en maakt hierbij gebruik van de kwaliteitsmonitor;

• j.

  beslist aan de hand van artikel 2.8 van de wet over de waarde die aan overgelegde brondocumenten kan worden toegekend;

• k.

  beslist op aangiften of verzoeken, die op grond van de wet worden gedaan, voor zover hier niet op andere wijze in is voorzien;

• l.

  voorziet in maatregelen voor reconstructie van mutaties;

• m.

  neemt deel aan het in artikel 7, tweede lid, bedoelde overleg.

Artikel 11

De systeembeheerder is verantwoordelijk voor:

• a.

  de technische inrichting, het onderhoud en continuïteit van en de ondersteuning bij het gebruik van het toepassingssysteem;

• b.

  de technische installatie van gewijzigde of nieuwe versies van het toepassingssysteem, waarbij installatie van gewijzigde of nieuwe versies van het toepassingssysteem niet eerder geschiedt, dan dat daartoe instemming is verkregen van de informatiebeheerder en, na verkregen instemming, de installatie zo spoedig mogelijk geschiedt alsmede dat van stagnaties bij het installatieproces de systeembeheerder de informatiebeheerder direct op de hoogte stelt;

• c.

  de fysieke beveiliging van het toepassingssysteem;

• d.

  een zo optimaal mogelijk gebruik van de toegangsbeveiligingen tot het toepassingssysteem;

• e.

  een beschikbaarheid van het toepassingssysteem overeenkomstig de daarover gemaakte afspraken;

• f.

  een zo spoedig mogelijke oplossing van storingen binnen het toepassingssysteem, eventueel met inschakeling van een derde;

• g.

  de jaarlijkse test en rapportage van de back-upvoorziening (restore), een en ander in overleg met gegevensbeheer;

• h.

  de jaarlijkse test en rapportage van de uitwijkvoorziening;

• i.

  de procedures in handboeken rond de BRP ten aanzien van het systeembeheer (technisch beheer).

Artikel 12

De systeembeheerder is bevoegd:

• a.

  aanwijzingen te geven omtrent het gebruik van het informatiesysteem;

• b.

  in overleg met de informatiebeheerder maatregelen te treffen, als de continuïteit van het toepassingssysteem of de daarin opgeslagen informatie acuut in het geding is, en om aanwijzingen te geven over:

  • 1.

    het beheer van toepassingssystemen;

  • 2.

    het beheer van bestanden;

  • 3.

    productiewerkzaamheden;

  • 4.

    reconstructiemaatregelen;

• c.

  direct maatregelen te treffen, als de continuïteit van het toepassingssysteem of de daarin opgeslagen informatie acuut in het geding is, mits achteraf rapportage plaatsvindt aan de informatiebeheerder;

• d.

  de informatiebeheerder te adviseren over gehele of gedeeltelijke inwerkingtreding van uitwijkprocessen.

Artikel 13

De systeembeheerder voorziet in:

• a.

  de beschikbaarheid van het toepassingssysteem, overeenkomstig hetgeen daarover intern en met derden is overeengekomen;

• b.

  een uitwijkvoorziening;

• c.

  het transport en een beveiligde opslag van verwijderbare gegevensdragers, evenals een deugdelijke vernietiging van onbruikbare gegevensdragers;

• d.

  logging in het toepassingssysteem voor handelingen van medewerkers, de gegevensbeheerder, de applicatiebeheerder, de systeembeheerder en de leverancier van het toepassingssysteem;

• e.

  een dagelijkse back-up van alle BRP-bestanden die wordt ondergebracht in een daartoe uitgeruste en beveiligde ruimte op een andere locatie, welke zich bij voorkeur in een ander gebouw bevindt dan de ruimte waarin de BRP-apparatuur is opgesteld;

• f.

  een logische toegangsbeveiliging voor interne en externe datacommunicatie, en

neemt deel aan het in artikel 7, tweede lid, bedoelde overleg.

Artikel 14

De applicatiebeheerder is verantwoordelijk voor:

• a.

  de vormgeving en inhoud van documenten, die rechtstreeks aan de BRP worden ontleend;

• b.

  de afhandeling van verzoeken omtrent statistische gegevens, voor zover deze niet tot een persoon zijn te herleiden;

• c.

  het beheer van de verzameling van de autorisaties die zijn toegekend voor gegevensverstrekking en rechtstreekse toegang;

• d.

  het tijdig opschonen of laten opschonen van via het netwerk ontvangen en verzonden berichten, waarvan de cycli zijn afgehandeld;

• e.

  het beheer van de protocolgegevens;

• f.

  het op de hoogte stellen van alle functionarissen van de installatie van nieuwe of gewijzigde versies van het BRP-toepassingssysteem en van de gevolgen van deze installatie;

• g.

  een juiste en adequate toekenning van autorisaties voor de in deze regeling genoemde beheerders;

• h.

  het beheer van tabellen van de BRP en gebruikersdocumentatie.

Artikel 15

De applicatiebeheerder is bevoegd:

• a.

  gegevensverwerkers en allen die rechtstreeks toegang hebben tot de BRP aanwijzingen te geven over het gebruik van het toepassingssysteem;

• b.

  kan één of meerdere gegevensverwerkers aanwijzen die hem bijstaan in de werkzaamheden die voortvloeien uit de taak als bedoeld in artikel 16, onder e;

• c.

  de informatiebeheerder te adviseren over de installatie van nieuwe of gewijzigde versies van het BRP-toepassingssysteem;

• d.

  de informatiebeheerder te adviseren over gehele of gedeeltelijke inwerkingtreding van uitwijkprocessen.

Artikel 16

De applicatiebeheerder:

• a.

  geeft ondersteuning bij het gebruik van het toepassingssysteem;

• b.

  kent in overleg met de privacybeheerder aan binnengemeentelijke afnemers de autorisatie van rechtstreekse toegang tot de BRP toe;

• c.

  kent in overleg met de informatiebeheerder de autorisatieniveaus toe aan de gegevensverwerkers, de gegevensbeheerder, de privacybeheerder en de informatiebeheerder;

• d.

  test en evalueert de nieuwe versies van het toepassingssysteem, alsmede het testen en evalueren van nieuwe apparatuur;

• e.

  beoordeelt de gevolgen van de installatie van nieuwe en of gewijzigde versies van het toepassingssysteem en geeft hierover voorlichting aan de gegevensverwerkers;

• f.

  verzamelt alle problemen en klachten, die bij het gebruik van het toepassingssysteem ontstaan en zorgt, door inschakeling van andere beheerders of een derde, voor een oplossing;

• g.

  coördineert de communicatie en zorgt zo spoedig mogelijk voor een oplossing in geval van storingen binnen het toepassingssysteem, zo nodig door inschakeling van andere beheerders of een derde;

• h.

  beheert de tabellen van de BRP;

• i.

  beheert de gebruikersdocumentatie;

• j.

  stelt een planning op van periodieke gegevensverstrekking die op basis van autorisatiebesluiten worden gedaan en voert deze uit;

• k.

  verzorgt de afhandeling van verzoeken om managementgegevens;

• l.

  neemt deel aan het externe gebruikersoverleg;

• m.

  neemt deel aan overleg met betrekking tot applicatiebeheer;

• n.

  neemt deel aan het in artikel 7, tweede lid, bedoelde overleg.

Artikel 17

De privacybeheerder is verantwoordelijk voor:

• a.

  controle op de naleving van regels ten aanzien van de bescherming van de privacy;

• b.

  rapporteert minimaal eenmaal per jaar over de toekenning en actualiteit van de autorisaties aan de beheerder als bedoeld in artikel 2;

• c.

  een correcte afhandeling van systematische gegevensverstrekkingen;

• d.

  de procedures in het Beveiligings- en Privacy handboek BRP, Reisdocumenten en Rijbewijzen ten aanzien van de privacybescherming.

Artikel 18

De privacybeheerder is bevoegd:

• a.

  op grond van de in artikel 19, onder a, genoemde taak alle gebruikers van het toepassingssysteem aanwijzingen te geven;

• b.

  beleidsregels op te stellen over alle procedures en producten die betrekking hebben op de BRP, waarbij de waarborging voor bescherming van de persoonlijke levenssfeer in het geding is.

Artikel 19

De privacybeheerder:

• a.

  heeft het dagelijkse toezicht op de naleving van de privacyvoorschriften die voortvloeien uit de wet, de AVG en het gemeentelijke beleid;

• b.

  beoordeelt privacyaspecten van binnengemeentelijke afnemers die een verzoek doen tot rechtstreekse toegang tot de BRP;

• c.

  voorziet in de afhandeling van de verzoeken overeenkomstig artikel 2.59 van de wet;

• d.

  voorziet in een jaarlijkse bekendmaking als bedoeld in artikel 3.21, vijfde lid, van de wet;

• e.

  behandelt alle verzoekschriften die op basis van de artikelen 2.55, 3.22, 3.23 en 3.13 van de wet worden ontvangen;

• f.

  draagt zorg voor de accurate en actualiteit van de verordening en andere beleidsregels betreffende de wet;

• g.

  is betrokken bij alle bezwaar- en (hoger) beroepsprocedures, die voortvloeien uit genomen beslissingen op grond van de wet met de daarbij behorende regelingen en de AVG, voor zover hierbij privacyaspecten aan de orde zijn;

• h.

  neemt deel aan het in artikel 7, tweede lid, bedoelde overleg.

Artikel 20

De beveiligingsbeheerder is verantwoordelijk voor:

• a.

  de inrichting, organisatie en uitvoering van het informatiebeveiligingsbeleid en -plan op het gebied van de persoonsinformatievoorziening;

• b.

  de opstelling en uitvoering van het informatiebeveiligingsbeleid en -plan voor de gemeentelijke voorzieningen, waarmee de gemeente Boxtel uitvoering geeft aan de wet en voor de informatievoorziening.

Artikel 21

De beveiligingsbeheerder is bevoegd:

• a.

  het college gevraagd en ongevraagd advies uit te brengen over beveiligingsaspecten die voortvloeien uit wettelijke en lokale regelingen;

• b.

  beleidsregels op te stellen over de beveiligingsaspecten die voortvloeien uit de wet of de AVG;

• c.

  medewerkers die gebruik maken van persoonsgegevens, welke afkomstig zijn uit de BRP, aanwijzingen te geven ten aanzien van beveiligingsvoorschriften die voortvloeien uit de wet of de AVG dan wel overige (lokale) regelingen.

Artikel 22

De beveiligingsbeheerder ziet toe op de naleving van:

• a.

  beveiligingsvoorschriften die voortvloeien uit de wet, de AVG en de handboeken;

• b.

  de in deze regeling opgenomen bepalingen betreffende de beveiliging, en

neemt deel aan het in artikel 7, tweede lid, bedoelde overleg.

Artikel 23

De CISO is verantwoordelijk voor het toezicht op de naleving van de beveiligingsmaatregelen en –procedures, zoals uitgewerkt in het informatiebeveiligingsbeleid en -plan en met inachtneming van de Baseline Informatiebeveiliging Overheid (BIO).

Artikel 24

De CISO is bevoegd om het management dwingende adviezen te geven ten aanzien van de naleving van de beveiligingsvoorschriften die voortvloeien uit de wet en het informatiebeveiligingsbeleid en -plan.

Artikel 25

De CISO ziet er op toe dat:

• a.

  beveiligingsvoorschriften die voortvloeien uit de wet en het informatiebeveiligingsbeleid en plan worden nageleefd;

• b.

  de in deze regeling opgenomen bepalingen inzake (informatie)beveiliging worden nageleefd.

Artikel 26

De CISO adviseert rechtstreeks aan het college over beveiligingsaspecten die uit het informatiebeveiligingsbeleid en -plan voortvloeien.

Artikel 27

De CISO voorziet in een jaarlijkse rapportage over activiteiten in het kader van de organisatiebrede informatieveiligheid.