This guide is in Dutch. It is written for the staff of Dutch municipalities, who also work in Dutch in the staff portal. Questions in English are welcome through the contact page.
Wat wij bewaren, wie wat ziet, en hoe u het naloopt
Uw gemeente is verantwoordelijk voor de gegevens van inwoners; WMO Digitaal verwerkt ze in uw opdracht. Dit hoofdstuk beschrijft wat de software nu doet: wat er wordt bewaard en hoe lang, wie toegang heeft, en hoe u alles achteraf controleert.
Deze pagina geeft de hoofdlijnen. De volledige technische bijlage, met alle subverwerkers, vestigingsplaatsen en sleutelbeheer, krijgt uw privacy officer of CISO bij de verwerkersovereenkomst, of op verzoek via contact.
Wat wij bewaren, en hoe lang
Alle servers en opslag staan in een datacentrum in Nederland. Elke gemeente is technisch afgeschermd van elke andere: de database zelf weigert gegevens van een andere gemeente te tonen, ook als de software een fout zou maken.
| Gegeven | Waar | Hoe lang |
|---|---|---|
| Uw zaaknummer, prioriteit en voorkeurstaal | Onze database | Tot de termijn die u instelt: standaard 90 dagen na afronding |
| Telefoonnummer en e-mailadres | Onze database, alleen om berichten te sturen | Tot de termijn die u instelt: standaard 90 dagen na afronding |
| Het adres van een huisbezoek | Bij die ene afspraak | Tot de termijn die u instelt: standaard 90 dagen na afronding |
| Afspraken en statusgeschiedenis | Onze database | Tot de termijn die u instelt: standaard 90 dagen na afronding |
| Naam, geboortedatum, pasfoto en foto's van het document | Alleen op de telefoon van de inwoner, achter de pincode | Tot de inwoner ze wist of de app verwijdert |
| Uitkomst van de identiteitscontrole: de vier controles, soort document, land | Onze database | Bij de zaak |
| Bewijs uit de chip: de handtekening, de gegevens uit de chip en de chipfoto | Onze database, versleuteld | De termijn die u instelt onder Gemeente: standaard 30 dagen, nooit langer dan 60. Elke nacht opgeruimd. |
| Naam, leeftijd en foto die de inwoner deelt voor een gesprek | Onze database, alleen tijdens het gesprek | Gewist zodra het gesprek eindigt; een opruimtaak wist wat na zes uur nog over is |
| Uitslag van de gezichtscontrole: geslaagd of niet, met percentage | Bij de afspraak | Bij de afspraak |
| Beeld en geluid van het gesprek | Nergens | Er wordt niets opgenomen |
| Auditregister en dagtellingen | Onze database | Zonder persoonsgegevens, dus lang te bewaren |
| Technische logboeken | Onze logging, zonder namen en contactgegevens | 30 dagen |
U stelt de termijnen zelf in. Onder Gemeente in het portaal legt uw procesmanager vast hoe lang wij het bewijs van een identiteitscontrole en de gegevens van een afgeronde zaak bewaren. Elke nacht om half vier verwijdert het systeem wat daaroverheen is, en legt in het auditregister vast dát het dat heeft gedaan. Zo blijft aantoonbaar dat er is opgeruimd, ook als de gegevens zelf weg zijn.
Nooit: het BSN. Nergens in WMO Digitaal staat een BSN, en de software weigert elke invoer die op een BSN lijkt. Uw eigen zaaksysteem blijft de plek voor de persoonsgegevens en het dossier.
De identiteitscontrole
De app leest de chip van het identiteitsbewijs op de telefoon van de inwoner. Naam, geboortedatum en pasfoto blijven daarna op die telefoon, versleuteld achter de pincode van de inwoner.
Om vast te stellen dat het document echt is, stuurt de app het bewijs uit de chip naar onze server: de handtekening van de uitgever, de gegevens uit de chip en de chipfoto. De server controleert de handtekening onafhankelijk van de telefoon, want een telefoon kan worden nagebootst en een handtekening niet. De uitkomst en de chipfoto verschijnen in het identiteitspaneel, alleen voor klantmanagers en procesmanagers. Het bewijs zelf is bedoeld om na korte tijd te worden gewist; zie wat nog niet klaar is.
Bij een verdachte uitkomst zet de server de controle op «in onderzoek». Dat is een signaal voor een mens, geen automatisch besluit.
Wie heeft toegang
- Alleen uw eigen medewerkers, via het medewerkersregister van uw gemeente, met een van vijf rollen. Wat een rol mag, controleert de server bij elk verzoek; zie het overzicht van de rollen.
- Altijd een tweede stap. Aanmelden met wachtwoord vraagt daarna een code per e-mail. Met het Microsoft-account van uw gemeente gelden de inlogregels van uw eigen organisatie. Alleen e-mailadressen van Nederlandse gemeenten worden toegelaten.
- Niets blijft in de browser achter. De inlog staat alleen in het geheugen van het tabblad, en de chipfoto verdwijnt als het identiteitspaneel sluit.
- Auditors kunnen alleen lezen. Het register heeft geen functie om iets te wijzigen of te verwijderen, voor niemand.
- De afspraakpagina werkt met een persoonlijke link per aanvraag, en de app met een koppelcode plus een controlecode naar het bekende telefoonnummer of e-mailadres.
Het videogesprek
- Versleuteld van toestel tot browser. Beeld en geluid gaan rechtstreeks tussen de telefoon van de inwoner en de browser van de klantmanager. Lukt dat niet door het netwerk, dan lopen ze via onze eigen doorgeefserver in Nederland. Die geeft alleen versleutelde pakketjes door en kan niet meekijken.
- Niets opgenomen. Er is geen opnamefunctie.
- Delen alleen met toestemming. Naam, leeftijd en foto gaan alleen naar de klantmanager als de inwoner dat aanvinkt. Het gesprek kan ook zonder.
- Gewist na afloop. Bij het einde van het gesprek worden de gedeelde gegevens in dezelfde stap gewist. Een gesprek dat niemand beëindigt, wordt na zes uur automatisch gesloten, met de gedeelde gegevens erbij.
- Toegang per gesprek. Elk gesprek heeft een eigen, tijdelijke toegangssleutel. Een verlopen sleutel betekent: het gesprek opnieuw openen vanuit de agenda.
De gezichtscontrole
De gezichtscontrole beantwoordt twee vragen: zit er een levend mens voor de camera, en is dat dezelfde persoon als op de foto in de chip? De inwoner doet de controle op de eigen telefoon, zonder hoofdbewegingen. Een gespecialiseerde dienst binnen de EU voert de vergelijking uit.
- Onze server ontvangt alleen de uitslag: levend ja of nee, dezelfde persoon ja of nee, en een percentage overeenkomst. De beelden van de controle bewaren wij niet, en de dienst is ingesteld om ze ook niet te bewaren.
- De mens beslist. De uitslag is informatie voor de klantmanager. Er volgt nooit automatisch een besluit uit.
- Uw gemeente kiest of de controle op verzoek, altijd of nooit wordt gedaan; zie Inrichten.
Het auditregister
Elke stap in het proces komt als regel in het auditregister: wanneer, wie (inwoner, medewerker of het systeem), welke handeling, over welke zaak of afspraak. De auditor en de auditmanager zien het register onder het tabblad Audit, nieuwste bovenaan, en kunnen filteren op een zaak- of afspraak-id.
- Wat erin staat: zaken die worden aangemaakt, gewijzigd, ingetrokken of verlopen; verstuurde uitnodigingen en herinneringen; afspraken die worden gepland, verzet, afgezegd, gevoerd of gemist; identiteitscontroles; terugbelverzoeken; videogesprekken die worden geopend, gestart en beëindigd; de uitslag van elke gezichtscontrole; elke keer dat een medewerker een identiteitspaneel of een chipfoto opent; wijzigingen in de instellingen van de gemeente; elke aanmelding van een medewerker, met de manier waarop (wachtwoord met code, of het account van de organisatie); elke verkeerde of geblokkeerde inlogcode; en elke nachtelijke opruimronde.
- Alleen toevoegen. Regels kunnen niet worden gewijzigd of verwijderd. De dienst achter het register heeft daar eenvoudigweg geen functie voor.
- Een keten. Elke regel bevat een vingerafdruk (hash) van de regel ervoor. Wie één regel aanpast, breekt de keten vanaf dat punt, en dat is te zien.
- Elke nacht gecontroleerd. Om 03:15 uur rekent het systeem de hele keten na. De auditmanager kan dat ook zelf doen met «Keten controleren».
- Zonder persoonsgegevens. Per regel staan een verwijzing, een pseudonieme id en een vingerafdruk van het oorspronkelijke bericht, geen namen of contactgegevens. Daarom kan het register blijven bestaan als de persoonsgegevens al gewist zijn.
Rechten van inwoners
Een inwoner die wil weten wat er over hem is vastgelegd, of wil dat iets wordt verbeterd of gewist, doet dat verzoek bij uw gemeente. Wij helpen u het uit te voeren, binnen de termijnen uit de verwerkersovereenkomst. Wat op de telefoon staat, kan de inwoner zelf wissen, in de app onder «Uw gegevens».
Wat nog niet klaar is
Wij noemen dit liever zelf dan dat u het ontdekt:
- Sms-berichten worden in de pilot nog niet verstuurd; de aansluiting bij de sms-dienst wordt afgerond. Berichten per e-mail werken wel.
- Een afspraak plannen namens de inwoner, bijvoorbeeld na een telefoontje, kan nog niet vanuit het portaal.
- De apparaatcontrole van de app, die kijkt of het de echte app is op een onveranderde telefoon, legt de uitkomst vast maar weigert nog niemand.
- Wissen op verzoek doen wij in de pilot met de hand; er is nog geen knop of koppeling voor.
- Een externe penetratietest en een onafhankelijke toegankelijkheidsaudit zijn nog niet uitgevoerd. Ook de ISO 27001-certificering is er nog niet.
Vragen over beveiliging of privacy? Neem contact op, of meld een kwetsbaarheid via security@wmodigitaal.nl.