Beheerregeling gemeentelijke basisregistratie personen 2017

Artikel 2

• 1.

  Het College van Burgemeester en Wethouders is verantwoordelijk voor de verwerking van persoonsgegevens in de BRP, zoals beschreven in artikel 1.4 Wet BRP.

• 2.

  De RVT manager Burgerzaken is namens het college van burgemeester en wethouders beheerder van de BRP en in die hoedanigheid informatiebeheerder;

• 3.

  De RVT manager Burgerzaken kan de taak van informatiebeheerder geheel of gedeeltelijk mandateren aan één of meer ondergeschikte medewerkers.

• 4.

  De informatiebeheerder is alleen verantwoordelijk voor de bijhouding van de brongegevens van de BRP. Hieronder vallen niet de binnengemeentelijke leveringen van persoonsgegevens.

• 5.

  Het systeembeheer wordt uitgevoerd door Servicepunt71.

• 6.

  Het beveiligingscontrol wordt uitgevoerd door de Chief Information Security Officer (CISO)

Hoofdstuk 2 Het informatiebeheer

Artikel 3

De informatiebeheerder is verantwoordelijk voor:

• a.

  een jaarlijkse planning van de beheeractiviteiten;

• b.

  een jaarlijkse rapportage aan de verantwoordelijke over de onder a bedoelde planning, waarbij inzicht wordt gegeven in de kengetallen van beheerprocedures;

• c.

  een jaarlijkse rapportage aan de verantwoordelijke over de resultaten die voortvloeien uit de in artikel 20 van deze regeling genoemde kwaliteitssteekproef;

• d.

  beleid voor de bijhouding van de gemeentelijke basisregistratie personen;

• e.

  beleidsmatig aanvullende eisen op de Wet BRP;

• f.

  uitvoering van de zelfevaluatie;

• g.

  administratieve beheerprocedures, voor zover hier niet bij de wet in is voorzien;

• h.

  periodiek overleg met de gegevens-, de functioneel-, de systeem-, de privacy- en de beveiligingsbeheerder;

• i.

  melding aan de verantwoordelijke van inbreuken op de informatiebeveiliging.

Artikel 4

De informatiebeheerder adviseert het college van Burgemeester en Wethouder als verantwoordelijke van de BRP over de navolgende aspecten die voortvloeien uit de Wet BRP, te weten:

• a.

  persoonsinformatievoorziening;

• b.

  beveiliging;

• c.

  privacy bescherming;

• d.

  gegevenskwaliteit.

Artikel 5

De informatiebeheerder beslist:

• a.

  over de installatie van nieuwe of gewijzigde versies van de gemeentelijke voorziening;

• b.

  op verzoeken van overheidsorganen die een orgaan zijn van de gemeente tot rechtstreekse toegang tot de gemeentelijke basisregistratie personen en de centrale voorziening;

• c.

  op verzoeken tot het verkrijgen van gegevens uit de gemeentelijke basisregistratie personen, bedoeld in de Wet BRP;

• d.

  op verzoeken tot het systematisch verkrijgen van gegevens uit de gemeentelijke basisregistratie personen, bedoeld in de Wet BRP;

• e.

  over het toekennen van autorisaties met betrekking tot het bepaalde in dit artikel, onder b, c en d.

Artikel 6

De informatiebeheerder ziet er op toe dat:

• a.

  de bij of krachtens de Wet BRP opgelegde verplichtingen ten aanzien van inrichting en bijhouding, alsmede de beveiliging van de BRP worden nageleefd;

• b.

  de in deze regeling opgenomen bepalingen worden nageleefd;

• c.

  de behandeling en afhandeling van verzoeken om gegevensverstrekking als genoemd in artikel 6 geschiedt volgens de bepalingen uit de Wet BRP, de verordening en de Wet bescherming persoonsgegevens;

• d.

  alle in artikel 3 bedoelde functionarissen, alsmede de medewerker van de service eenheid ICT communiceren op de momenten dat het vereist is;

• e.

  de beveiligingsvoorschriften voortvloeiende uit het Informatiebeveiligingsplan BRP worden nageleefd;

• f.

  onderzoek plaatsvindt naar inbreuken op de informatiebeveiliging en zo nodig maatregelen worden getroffen om herhaling te voorkomen.

 Hoofdstuk 3 Het beveiligingsbeheer 

Artikel 7

De beveiligingsbeheerder is verantwoordelijk voor:

• a.

  het vaststellen, beheren en onderhouden van het Informatiebeveiligingsplan BRP;

• b.

  het jaarlijks verslag over de activiteiten betreffende het beveiligingsbeheer en het geven van advies aan de verantwoordelijke en de informatiebeheerder over beveiligingsaspecten voortvloeiende uit de Wet BRP, de Wet bescherming persoonsgegevens en het Informatiebeveiligingsplan BRP;

• c.

  het toezicht op de naleving van maatregelen en procedures voortkomend uit het Informatiebeveiligingsplan;

• d.

  het bijhouden van een rapportage van beveiligingsincidenten;

• e.

  het jaarlijks verzorgen van voorlichting en instructies aan medewerkers over het Informatiebeveiligingsplan BRP;

• f.

  het introduceren en bekendmaken van het Informatiebeveiligingsplan BRP bij nieuwe medewerkers.

Artikel 8

De beveiligingsbeheerder is bevoegd om gevraagd en ongevraagd advies te geven met betrekking tot de beveiligingsvoorschriften voortvloeiende uit de Wet BRP aan:

• a.

  medewerkers van de gemeente Leiden die gebruikmaken van de gemeentelijke voorziening;

• b.

  Servicepunt71, Service-eenheid ICT;

• c.

  overheidsorganen en derden als bedoeld in artikel 15, onder b.

Artikel 9

De beveiligingsbeheerder voorziet in:

• a.

  de implementatie en de naleving van de beveiligingsvoorschriften voortvloeiende uit de Wet BRP en gemeentelijke informatiebeveiligingsbeleid en informatiebeveiligingsplannen;

• b.

  een goede samenwerking met de CISO en de privacybeheerder.

Artikel 10

De beveiligingsbeheerder neemt deel aan het overleg, bedoeld in artikel 4, onder h.

Hoofdstuk 4 Beveiligingscontrol

Artikel 11

De CISO is verantwoordelijk voor het toezicht op naleving van de beveiligingsmaatregelen en –procedures zoals uitgewerkt in het plan Informatiebeveiliging (incl. het Handboek BRP) wat voortvloeit uit het informatiebeveiligingsbeleid.

Artikel 12

De CISO is bevoegd om de beheerfunctionarissen dwingende adviezen te geven ten aanzien van de naleving van de beveiligingsvoorschriften, die voortvloeien uit de Wet BRP en het plan Informatiebeveiliging (incl. het informatiebeveiligingsplan BRP).

Artikel 13

De CISO ziet er op toe dat:

• a.

  beveiligingsvoorschriften die voortvloeien uit de Wet BRP en het plan Informatiebeveiliging (incl. het informatiebeveiligingsplan BRP) worden nageleefd;

• b.

  de in deze regeling opgenomen bepalingen inzake beveiliging worden nageleefd.

Hoofdstuk 5 Het privacy beheer

Artikel 14

De privacy beheerder is verantwoordelijk voor:

• a.

  de naleving van de privacyvoorschriften voortvloeiende uit de Wet BRP, de Wbp en de verordening;

• b.

  de controle dat slechts toegang wordt verschaft tot gegevens uit de gemeentelijke basisregistratie en verstrekkingen worden gedaan aan derden die voortvloeien uit de Wet BRP en de verordening;

• c.

  de Wbp wordt nageleefd door de afnemer genoemd onder b;

• d.

  de controle en ondersteuning dat alle privacy gerelateerde aanvragen bij Burgerzaken, al dan niet gebaseerd op de Wbp, worden behandeld;

• e.

  de coördinatie van inzageverzoeken gemeentelijke basisregistratie personen.

Artikel 15

• 1.

  De privacybeheerder is bevoegd tot het geven van aanwijzingen aan alle gebruikers van de gemeentelijke voorziening op grond van artikel 15, onder a, b en c.

• 2.

  De privacybeheerder geeft gevraagd en ongevraagd advies over alle procedures en producten die betrekking hebben op de BRP, waarbij de waarborging voor bescherming van de persoonlijke levenssfeer in het geding is aan de:

  • a.

    verantwoordelijke;

  • b.

    Functionaris Gegevensbescherming;

  • c.

    CISO;

  • d.

    de beveiligingsbeheerder;

  • e.

    medewerkers van de gemeente Leiden die gebruikmaken van de gemeentelijke voorziening;

  • f.

    Servicepunt71, Service-eenheid ICT;

Artikel 16

De privacy beheerder ziet toe dat de:

• a.

  afhandeling van verzoeken overeenkomstig artikel 2.59 van de Wet BRP wordt gedaan;

• b.

  jaarlijkse bekendmaking als bedoeld in artikel 3.21, vijfde lid van de Wet BRP wordt gedaan;

• c.

  alle verzoekschriften op grond van artikel 2.55, 3.22, 3.23 en 3.13 van de Wet BRP worden behandeld;

• d.

  aanvragen van overheidsorganen tot systematische gegevensverstrekking en toegang tot de BRP, de gemeentelijke basisregistratie personen en de systematische gegevensverstrekking op grond van de verordening worden behandeld;

• e.

  documentatie bij of krachtens de bepalingen uit de Wbp wordt beheerd, zoals bedoeld in artikel 20 onder b, c en g.

Artikel 17

De privacybeheerder is betrokken bij de bezwaar- en beroepsprocedures, die voortvloeien uit genomen beslissingen op grond van de Wet BRP, de Wbp en regelgeving, voor zover de bescherming van de persoonlijke levenssfeer van een belanghebbende aan de orde is.

Artikel 18

De privacybeheerder neemt deel aan het overleg als bedoeld in artikel 4, onder h.

Hoofdstuk 6 Het gegevensbeheer 

Artikel 19

De gegevensbeheerder is verantwoordelijk voor:

• a.

  de juistheid, de volledigheid, de actualiteit, de nauwkeurigheid en de betrouwbaarheid van de gegevens die opgenomen zijn of opgenomen worden in de BRP;

• b.

  het beheer van documentatie op het gebied van de Wet BRP en overige regelgeving op het gebied van de BRP;

• c.

  de communicatie met de overheidsorganen en andere houders van de gemeentelijke basisregistratie personen over gegevensverwerking;

• d.

  het verwerken van complexe mutaties en correcties met betrekking tot de BRP;

• e.

  het uitzetten van richtlijnen met betrekking tot het actualiseren en corrigeren van persoonsgegevens in de BRP;

• f.

  het uitvoeren van doorlopende kwaliteitssteekproef van alle mutaties in persoonsgegevens die voortvloeien uit de Wet BRP en de uitvoering van de daarmee samenhangende verbetermaatregelen gericht op het welslagen van de eerder vermelde zelfevaluatie.

• g.

  het beoordelen van een autorisatieverzoek;

• h.

  het geven van instructies inzake de opname en de bijhouding van gegevens in de BRP, in overleg met de functioneel beheerder;

• g.

  dat de inhoudelijke kwaliteit van de gemeentelijke voorziening wordt onderworpen aan de zelfevaluatie.

Artikel 20

De gegevensbeheerder neemt deel aan het overleg, bedoeld in artikel 4, onder h.

Artikel 21

Gegevensverwerking is geen beheertaak, maar een uitvoerende functie welke wordt uitgevoerd door een medewerker BRP.

Artikel 22

• 1.

  De medewerker BRP is verantwoordelijk voor:

  • a.

    de verwerking van de gegevens op de wijze, bedoeld in de Wet BRP, het Logisch Ontwerp en de handleiding uitvoeringsprocedures (HUP), voor zover daartoe door de gegevensbeheerder geautoriseerd;

  • b.

    het verzamelen en het laten archiveren van de brondocumenten, die voor de onder a bedoelde verwerking worden gebruikt;

  • c.

    de behandeling van verzoeken als bedoeld in de artikelen 2.56, 2.57 en 2.58 van de Wet BRP;

  • d.

    de toetsing van de waarde die aan overgelegde brondocumenten worden toegekend op grond van artikel 2.8 van de Wet BRP;

  • e.

    het toezicht dat geen gegevens worden verwerkt uit documenten waaraan bij of krachtens de Wet BRP geen ontleningsstatus is gegeven;

  • f.

    de verzending van bezwaarschriften als bedoeld in artikel 2.60 van de Wet BRP, naar de Bezwaarschriftencommissie van de gemeente Leiden;

  • g.

    de behandeling van het BRP netwerkverkeer, met uitzondering van de periodieke gegevensverstrekking;

  • h.

    de behandeling van het foutverslag dat voortvloeit uit inkomende netwerkberichten;

  • i.

    de dagelijkse controle van in de gemeentelijke voorziening aangebrachte actualiseringen;

  • j.

    de toezending van de complete persoonslijst aan de geregistreerde, ingeval van:

    1° een eerste inschrijving in de basisregistratie;

    2° een vervolginschrijving uit het buitenland;

  • k.

    de toezending van de hoofdlijnen op grond van artikel 2.54, lid 3 van de Wet BRP;

  • l.

    in geval van enkelvoudige verstrekkingen aan derden, protocolleringsgegevens toevoegen;

• 2.

  De gegevensverwerker beslist op aangiften of verzoekschriften op grond van de Wet BRP, voor zover hier niet op andere wijze in is voorzien.

• 3.

  De gegevensverwerker beslist binnen 5 werkdagen, conform art 28 lid 1 besluit BRP op het in behandeling nemen van een melding van een bestuursorgaan als bedoeld in artikel 1.1 lid 1 van de Algemene Wet bestuursrecht, die gerede twijfel heeft over de juistheid van een in de BRP (authentiek) gegeven en stelt het bestuursorgaan in kennis van deze beslissing.  

Hoofdstuk 8 Het functioneel beheer 

Artikel 23

De functioneel beheerder is verantwoordelijk voor:

• a.

  de technische ondersteuning bij het gebruik van de gemeentelijke voorziening;

• b.

  het tijdig opdracht geven aan de medewerker van de service eenheid ICT tot opschonen van de relevante bestanden in de database;

• c.

  de technische afhandeling en logging van de systematische gegevensverstrekking die plaatsvindt op basis van een besluit van de verantwoordelijke krachtens de verordening;

• d.

  het technisch beheer van de tabellen van de gemeentelijke voorziening;

• e.

  het beschikbaar stellen van de gebruikersdocumentatie.

Artikel 24

De functioneel beheerder is bevoegd tot het geven van aanwijzingen aan de gegevensverwerkers, bedoeld in paragraaf 6 van deze regeling, de overheidsorganen die rechtstreeks toegang hebben tot BRP en de in artikel 15, onder b, van deze regeling genoemde derden die toegang hebben tot de gemeentelijke basisregistratie.

Artikel 25

De functioneel beheerder voorziet in:

• a.

  communicatie met de gebruikers en leveranciers bij storingen in hard en software;

• b.

  een bijdrage aan het oplossen van storingen binnen de gemeentelijke voorziening;

• c.

  maatregelen om de gevolgen van verkeerd uitgevoerde systematische verstrekkingen ongedaan te maken;

• d.

  het bijhouden van een logboek waarin problemen, klachten en andere bijzondere gebeurtenissen worden bijgehouden;

• e.

  de coördinatie van de werkzaamheden in geval van uitwijk in overleg met alle betrokken functionarissen;

• f.

  de toegang tot BRP en de gemeentelijke basisregistratie personen van hiertoe bevoegde overheidsorganen;

• g.

  de toegang tot de, in bijlage 1.1.a en 1.1 c van de regeling, opgenomen gegevens van de in artikel 15, onder b, van deze regeling genoemde derden;

• h.

  het faciliteren en vastleggen van de autorisatieniveaus die aan gegevensverwerkers, gegevensbeheerder, functioneel beheerder, informatiebeheerder, overheidsorganen en de in artikel 15, onder b, van deze regeling genoemde derden die op grond van een besluit van de gegevensbeheerder zijn toegewezen;

• i.

  de bijhouding van een dossier van de autorisaties, die overeenkomstig artikel 6 van deze regeling door de informatiebeheerder zijn toegekend;

• j.

  toegang aan gegevensverwerkers en de in artikel 15, onder b, van deze regeling genoemde derden;

• k.

  het bijhouden van een logboek ten aanzien van gebruikers die gegevens raadplegen en gegevens muteren;

• l.

  de melding van inbreuken op de informatiebeveiliging aan de informatiebeheerder;

• m.

  het beschikbaar stellen van faciliteiten voor het testen van nieuwe versies van de gemeentelijke voorziening;

• n.

  de opdracht geven aan de medewerker van de service eenheid ICT tot het installeren en het testen van nieuwe apparatuur;

• o.

  de opdracht geven aan de medewerker van de service eenheid ICT tot het installeren van nieuwe of gewijzigde versies van de gemeentelijke voorziening;

• p.

  de beoordeling of testen van de gevolgen van de installatie van nieuwe of gewijzigde versies van de gemeentelijke voorziening in samenspraak met de medewerker van de service eenheid ICT, functioneel beheerder en gegevensbeheerder;

• q.

  de voorlichting aan de gegevensverwerkers, overheidsorganen en in artikel 15, onder b, genoemde derden met betrekking tot de gevolgen van een nieuwe of gewijzigde versie van de gemeentelijke voorziening; en dat alle in artikel 3 bedoelde functionarissen, alsmede de medewerker van de service eenheid ICT op de hoogte worden gesteld van de installatie van nieuwe of gewijzigde versies van de gemeentelijke voorziening en van de gevolgen van deze installatie;

• r.

  de vorm en inhoud van documenten die rechtstreeks aan de BRP worden ontleend;

• s.

  de afhandeling van verzoeken om managementgegevens;

• t.

  in geval van collectieve informatieverzoeken van derden, protocollering toevoegen;

• u.

  het beschikbaar stellen van logging over verschafte toegang tot de gegevens in de basisregistratie en gedane verstrekkingen aan derden.

Artikel 26

De functioneel beheerder adviseert de informatiebeheerder over:

• a.

  de gehele of gedeeltelijke inwerkingtreding van uitwijkprocessen zoals beschreven in de procedure uitwijk;

• b.

  de installatie van nieuwe of gewijzigde versies van de gemeentelijke voorziening.

Artikel 27

De functioneel beheerder neemt deel aan het externe gebruikersoverleg en het overleg, bedoeld in artikel 4, onder h.

Hoofdstuk 9 Het systeembeheer 

Artikel 28

De medewerker van de service eenheid ICT is verantwoordelijk voor het technisch onderhoud van de gemeentelijke voorziening.

Artikel 29

De medewerker van de service eenheid ICT voorziet in:

• a.

  de fysieke beveiliging van de gemeentelijke voorziening;

• b.

  de installatie van gewijzigde of nieuwe versies van de gemeentelijke voorziening na opdracht van de functioneel beheerder;

• c.

  de beschikbaarheid van de gemeentelijke voorziening overeenkomstig hetgeen daaromtrent intern en met derden is overeengekomen;

• d.

  adequate uitwijkvoorzieningen voor de gemeentelijke voorziening;

• e.

  een dagelijkse back-up die wordt ondergebracht in een daartoe uitgeruste en beveiligde ruimte op een andere locatie, welke zich bij voorkeur in een ander gebouw bevindt dan de ruimte waarin de BRP-apparatuur is opgesteld;

• f.

  het transport en de veilige opslag van verwijderbare gegevensdragers en deugdelijke periodieke vernietiging van deze gegevensdragers;

• g.

  het verschaffen van toegang tot de gemeentelijke voorziening aan de functioneel beheerder en de leverancier van de gemeentelijke voorziening;

• h.

  het tijdig opschonen van de relevante bestanden in de database na opdracht van de functioneel beheerder;

• i.

  de installatie en het testen van nieuwe apparatuur na opdracht van de functioneel beheerder.

Artikel 30

De medewerker van de service eenheid ICT is bevoegd tot:

• 1.

  het treffen van maatregelen in overleg met de informatiebeheerder indien de continuïteit van de gemeentelijke voorziening of de daarin opgeslagen informatie acuut in het geding is; hij is verplicht achteraf ter zake te rapporteren aan de informatiebeheerder.

• 2.

  het geven van aanwijzingen omtrent:

  • a.

    het beheer van de gemeentelijke voorziening;

  • b.

     het beheer van bestanden;

  • c.

    de reconstructiemaatregelen.

Artikel 31

De medewerker van de service eenheid ICT neemt deel aan het overleg, bedoeld in artikel 4, onder h.

Hoofdstuk 10 Slotbepalingen

Artikel 32

• 1.

  De regeling treedt in werking op de dag na die waarop zij is bekendgemaakt,

• 2.

  De Beheerregeling gemeentelijke basisregistratie personen 2014 wordt ingetrokken.

Artikel 33

Deze regeling wordt aangehaald als Beheerregeling gemeentelijke basisregistratie personen Leiden 2017.

Aldus vastgesteld door het College van Burgemeester en Wethouders op 13 juni 2017

Secretaris, Burgemeester,