Regeling periodieke audit GBA

De Minister voor Grote Steden- en Integratiebeleid;

Gelet op artikel 120a van de Wet gemeentelijke basisadministratie persoonsgegevens en de artikelen 53b, 53c en 53d van het Besluit gemeentelijke basisadministratie persoonsgegevens;

Besluit:

Hoofdstuk

1 Algemene bepalingen

Artikel

1

In deze regeling wordt verstaan onder:

de wet:

de Wet gemeentelijke basisadministratie persoonsgegevens;

het besluit:

het Besluit gemeentelijke basisadministratie persoonsgegevens;

de Regeling GBA:

de Regeling gemeentelijke basisadministratie persoonsgegevens;

auditee:

de gemeente die onderwerp is van de audit;

auditor:

de medewerker van de auditinstelling die het inhoudelijke deel van de audit namens de auditinstelling uitvoert of de medewerker van de auditinstelling onder wiens verantwoordelijkheid het procesmatige en privacydeel van de audit namens de auditinstelling wordt uitgevoerd;

auditinstelling:

het bedrijf dat door de minister is aangewezen om de audit als bedoeld in artikel 120a van de wet uit te voeren;

kwaliteitsbrochure:

een vanwege de minister uitgegeven brochure, bedoeld in artikel 8;

de minister:

de Minister van Binnenlandse Zaken en Koninkrijksrelaties;

het agentschap BPR:

het agentschap Basisadministratie Persoonsgegevens en Reisdocumenten van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties;

de persoonslijst:

de in het GBA-systeem van de auditee opgeslagen persoonslijst als bedoeld in artikel 1 van de Wet GBA.

2

Brondocumenten als bedoeld in deze regeling zijn de kopie van de persoonskaart van het Vestigingsregister en Nederlandse brondocumenten die door instanties in Nederland zijn opgemaakt, niet zijnde de persoonskaart. Indien de gemeente het brondocument niet heeft bewaard, dient de gemeente bij de desbetreffende instantie een nieuw exemplaar op te vragen. Het betreffen derhalve: de kopie van de persoonskaart, (kennisgevingen van) akten van de burgerlijke stand, besluiten, (afschriften van) rechterlijke uitspraken, kennisgevingen van het gezagsregister (voorheen het voogdijregister en kennisgevingen van het curateleregister, tenzij deze de vorm hebben van een Og01-, Og11-, Tb01- dan wel een TB02-bericht.

Artikel

2

1

Voor de uitvoering van deze regeling wordt verstaan onder het aantal inwoners van een gemeente: het aantal inwoners volgens de door het Centraal Bureau voor de Statistiek openbaar gemaakte bevolkingscijfers per 1 januari van het jaar waarin een audit wordt uitgevoerd.

2

Bij de uitvoering van de heraudit wordt uitgegaan van hetzelfde aantal inwoners dat ingevolge het eerste lid voor de audit is vastgesteld.

Hoofdstuk

2 De periodieke audit

Paragraaf

1 Het inhoudelijke deel van de audit

Artikel

3

1

De auditor is verantwoordelijk voor het trekken van een niet-selecte steekproef uit de basisadministratie van de auditee ten behoeve van het inhoudelijke deel van de audit.

2

De steekproef wordt getrokken uit de verzameling van persoonslijsten van personen die als ingezetene staan ingeschreven in de basisadministratie van de auditee en de persoonslijsten die vanwege de emigratie, een ministerieel besluit, bedoeld in artikel 32 van de wet of het overlijden van de ingeschrevene zijn opgeschort. De auditee levert in verband hiermee twee overzichten van administratienummers van alle in de basisadministratie van de auditee opgenomen actuele respectievelijk opgeschorte persoonslijsten.

3

Het aantal te selecteren persoonslijsten bedraagt:

a.
100 voor gemeenten tot 20.000 inwoners;
b.
200 voor gemeenten met 20.000 tot 100.000 inwoners;
c.
300 voor gemeenten met 100.000 of meer inwoners.

4

Vijf procent van de te selecteren persoonslijsten is opgeschort in verband met de in het tweede lid genoemde redenen.

5

De auditee draagt er zorg voor dat na ontvangst van de door de auditor opgegeven A-nummers, de daarbij behorende persoonslijsten binnen een werkweek aan de auditor beschikbaar worden gesteld. Indien dit niet binnen de genoemde termijn heeft plaatsgevonden, geeft de auditor onmiddellijk nieuwe A-nummers op en stelt de auditee alsnog binnen een werkweek na ontvangst van deze nieuwe A-nummers, de daarbij behorende persoonslijsten aan de auditor beschikbaar.

Artikel

4

1

Naast de in artikel 3 bedoelde niet-selecte steekproef, draagt de auditor zorg voor een selecte steekproef uit de basisadministratie van de auditee.

2

De aantallen select verzamelde persoonslijsten bedragen:

a.
5 voor gemeenten tot 20.000 inwoners;
b.
10 voor gemeenten met 20.000 tot 100.000 inwoners;
c.
20 voor gemeenten met 100.000 of meer inwoners.

3

De select verzamelde persoonslijsten voldoen aan de criteria genoemd in bijlage 1.

Artikel

5

De te controleren persoonslijsten worden op papier afgedrukt, ongeacht de wijze waarop de controle plaatsvindt.

Artikel

6

1

In het kader van de toetsing van de eisen die voortvloeien uit de systeembeschrijving wordt onderzocht of:

a.
de gegevens voldoen aan de eisen in het gegevenswoordenboek;
b.
de tekens voorkomen in het overzicht van te gebruiken Teletex karakters;
c.
de gegevens weergeven dat mutaties zijn uitgevoerd conform de in de systeembeschrijving beschreven actualiseringprocedures;
d.
de gegevens weergeven dat bij het opnemen dan wel wijzigen van gegevens de voorschriften gesteld bij of krachtens de wet zijn gevolgd;
e.
de door een gemeente spontaan geplaatste afnemersindicaties voorkomen op de persoonslijsten waar deze verwacht mogen worden;
f.
de gegevens zijn ontleend aan bij of krachtens de wet bepaalde brondocumenten.

2

Een gegeven wordt getoetst aan de hand van het daarop betrekking hebbende voorschrift dat gold op het moment waarop het gegeven werd opgenomen, tenzij later is aangegeven dat het betreffende gegeven gecorrigeerd moest worden omdat het bij de opname gehanteerde voorschrift niet juist was. Gegevens die ten tijde van het trekken dan wel verzamelen van de persoonslijsten, bedoeld in de artikelen 3 en 4, niet conform de eisen waren opgenomen, maar naderhand zijn gecorrigeerd, worden aangemerkt als afwijkingen.

3

Beoordeeld wordt of de gegevens op de persoonslijsten correct zijn ontleend aan de gegevens op het brondocument.

4

Voor wat betreft de niet-selecte steekproef geldt dat:

a.
de controle alleen wordt uitgevoerd aan de hand van door de auditee gebruikte Nederlandse brondocumenten waarvan, indien niet bij de auditee aanwezig, zonodig nogmaals een exemplaar kan worden verkregen;
b.
de controle wordt uitgevoerd bij de door de auditor te bepalen helft van de in de steekproef aanwezige persoonslijsten;
c.
bij de andere helft van de in de steekproef aanwezige persoonslijsten wordt alleen een controle uitgevoerd indien het vermoeden bestaat dat gegevens niet juist aan de gegevens op het brondocument zijn ontleend.

5

Bij de select verzamelde persoonslijsten wordt de controle uitgevoerd ten aanzien van de bij de desbetreffende specifieke situatie gehanteerde brondocumenten, waaronder ook buitenlandse brondocumenten.

Artikel

7

1

Aangetroffen afwijkingen worden ingedeeld in drie foutklassen:

a.
foutklasse A, de voor afnemers cruciale gegevens, zijnde de elementen: 01.01.10 (A-nummer persoon), 01.02.30 (voorvoegsel persoon), 01.02.40 (geslachtsnaam persoon), 01.03.10 (geboortedatum persoon), 05.01.10 en 55.01.10 (A-nummer echtgenoot/geregistreerd partner), 05.03.10 en 55.03.10 (geboortedatum echtgenoot/geregistreerd partner), 05.06.10 en 55.06.10 (datum huwelijkssluiting), 05.07.10 (datum huwelijksontbinding), 06.08.10 (datum overlijden), 08.11.20 (huisnummer), 08.11.30 (huisletter), 08.11.40 (huisnummertoevoeging), 08.11.60 (postcode), 09.01.10 (A-nummer kind), 09.03.10 (geboortedatum kind) en 14.40.10 (afnemersindicatie);
b.
foutklasse B, de niet onder a vermelde algemene gegevens, alsmede van de bijzondere gegevens de groepen: 12.35 (Nederlands reisdocument), 12.36 (Signalering), 12.37 (Buitenlands reisdocument), 12.85 (Geldigheid), 13.31 (Europees kiesrecht), 13.38 (Uitsluiting kiesrecht);
c.
foutklasse C, de overige administratieve gegevens, alsmede van de bijzondere gegevens, de groepen: 12.82 (Document), 12.83 (Procedure), 12.86 (Opneming), 13.82 (Document).

2

Het niet kunnen overleggen van een brondocument wordt aangemerkt als afwijking, vallend in foutklasse C.

Artikel

8

1

Iedere aangetroffen afwijking wordt geteld als één fout.

2

Meervoudige afwijkingen worden geteld als één fout en ingedeeld in de hoogste van de van toepassing zijnde foutklassen, indien:

a.
de afwijkingen die op meerdere persoonslijsten zijn geconstateerd, worden veroorzaakt doordat het geautomatiseerde systeem van de auditee op een bepaald aspect niet goed werkt(e) of doordat een onjuiste procedure door een auditee is gevolgd, tenzij dezelfde afwijking tijdens een eerdere audit is geconstateerd;
b.
de op één persoonslijst geconstateerde afwijkingen met elkaar samenhangen dan wel worden veroorzaakt door één en dezelfde fout, tenzij dezelfde afwijking tijdens een eerdere audit is geconstateerd.

3

Afwijkingen worden niet als fout geteld, indien:

a.
door of namens de minister schriftelijk kenbaar is gemaakt dat de desbetreffende afwijking bij de bepaling van het resultaat van de audit niet als afwijking wordt aangemerkt;
b.
in de door het agentschap BPR uitgegeven Kwaliteitsbrochure kenbaar is gemaakt dat de desbetreffende afwijking niet als afwijking wordt aangemerkt.

4

In verband met het bepaalde in het tweede lid overlegt de auditee de door de auditor verlangde managementsamenvattingen.

Artikel

9

Een auditee heeft het inhoudelijke deel van de audit met goed gevolg afgelegd, indien er per foutklasse niet meer fouten zijn geteld dan:

a.
1% van het aantal niet-select getrokken persoonslijsten in foutklasse A;
b.
5% van het aantal niet-select getrokken persoonslijsten in foutklasse B;
c.
10% van het aantal niet-select getrokken persoonslijsten in foutklasse C.

Artikel

10

De onderzochte persoonslijst wordt door de auditor gewaarmerkt. De afwijkingen alsmede de telling van deze afwijkingen als fouten, worden in de auditrapportage vermeld.

Paragraaf

2 Het procesmatige deel van de audit

Artikel

11

Het procesmatige deel van de audit wordt uitgevoerd met behulp van de in bijlage 2 opgenomen vragenlijst en de ingevolge artikel 12, eerste lid, door de auditee aangeboden documenten alsmede de waarneming ter plaatse door de auditor.

Artikel

12

1

De vragenlijst wordt door de verantwoordelijke voor de verwerking van persoonsgegevens in de basisadministratie voorafgaand aan de audit ingevuld en samen met de afschriften van de meest recente versies van de in bijlage 2 met een ‘@’-teken aangeduide documenten aan de auditor aangeboden.

2

De auditor stelt naar eigen inzicht aanvullende vragen aan de volgende voor de desbetreffende processen verantwoordelijke en uitvoerende personen:

a.
de functionaris die verantwoordelijk is voor de inhoud, integriteit en toegankelijkheid van de gegevens in de basisadministratie in de gemeente;
b.
de functionaris die verantwoordelijk is voor het goed functioneren van de toepassingsprogrammatuur bij de gemeente;
c.
de functionaris die verantwoordelijk is voor het goed functioneren van de apparatuur en systeemprogrammatuur bij de gemeente;
d.
de functionaris die verantwoordelijk is voor de bescherming van de persoonlijke levenssfeer van de personen over wie gegevens in de GBA opgenomen zijn;
e.
de functionaris die verantwoordelijk is voor het controleren en evalueren van de maatregelen voor de informatiebeveiliging;
f.
de functionaris die verantwoordelijk is voor een juiste bijhouding van de GBA.

3

De auditee geeft vooraf aan bij wie genoemde verantwoordelijkheden zijn neergelegd en waar dat uit blijkt.

Artikel

13

1

De auditor toetst of ten aanzien van de onderdelen back-up en herstel en uitwijk de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

2

De volgende onderdelen worden ten minste getoetst:

a.
de gegevens in de basisadministratie zoals die 1 werkdag geleden waren, moeten te allen tijde kunnen worden gereconstrueerd en deze reconstructie mag hoogstens 1 werkdag in beslag nemen;
b.
de back-upgegevens moeten in een andere ruimte worden bewaard dan de ruimte waarin de apparatuur van de basisadministratie is opgesteld;
c.
een reconstructie van de mutaties die na de laatste back-up zijn aangebracht, moet mogelijk zijn;
d.
de gevolgen van verkeerd uitgevoerde systematische verstrekkingen moeten ongedaan kunnen worden gemaakt.
e.
als het normale systeem langdurig buiten gebruik is gesteld, moet kunnen worden uitgeweken.

Artikel

14

1

De auditor toetst of ten aanzien van het onderdeel beveiliging de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

2

De volgende onderdelen worden ten minste getoetst:

a.
het systeem of de methode voor het ontwikkelen, uitvoeren, meten of controleren en bijsturen van beveiligingsmaatregelen;
b.
de maatregelen van technische aard om verlies, aantasting en onbevoegde kennisneming, wijziging of verstrekking van gegevens in de basisadministratie te voorkomen;
c.
de maatregelen van organisatorische aard om verlies, aantasting en onbevoegde kennisneming, wijziging of verstrekking van gegevens in de basisadministratie te voorkomen;
d.
indien de auditee gebruik maakt van een bewerker dient er een systeem te zijn ter waarborging dat de bewerker voldoet aan het gestelde in en krachtens artikel 53 van het besluit;
e.
het transport van alternatieve media met persoonsgegevens afkomstig uit de basisadministratie moet voldoen aan de geldende eisen.

Paragraaf

3 Het privacydeel van de audit

Artikel

15

Het privacydeel van de audit wordt uitgevoerd aan de hand van de in bijlage 3 opgenomen aanvullende vragenlijst en de ingevolge artikel 15a, eerste lid, door de auditee aangeboden documenten.

Artikel

15a

1

De vragenlijst wordt door de verantwoordelijke voor de verwerking van persoonsgegevens in de basisadministratie voorafgaand aan de audit ingevuld en samen met de afschriften van de meest recente versies van de in bijlage 3 met een ‘@’-teken aangeduide documenten aan de auditor aangeboden.

2

De auditor stelt naar eigen inzicht aanvullende vragen aan de volgende voor de bescherming van de persoonlijke levenssfeer verantwoordelijke en uitvoerende personen:

a.
de functionaris die verantwoordelijk is voor de inhoud, integriteit en toegankelijkheid van de gegevens in de basisadministratie in de gemeente;
b.
de functionaris die verantwoordelijk is voor de bescherming van de persoonlijke levenssfeer van de personen over wie gegevens in de GBA opgenomen zijn;
c.
de functionaris die verantwoordelijk is voor het controleren en evalueren van de maatregelen voor de informatiebeveiliging;
d.
de functionaris die verantwoordelijk is voor een juiste bijhouding van de GBA.

3

De auditee geeft vooraf aan bij wie genoemde verantwoordelijkheden zijn neergelegd en waar dat uit blijkt.

4

De auditor toetst of ten aanzien van het onderdeel privacy de voorgeschreven maatregelen zijn getroffen, of deze in de praktijk worden nageleefd en welke risico's daarbij zijn te onderkennen.

Hoofdstuk

3 De auditrapportage

Artikel

16

De auditrapportage bevat minimaal de volgende elementen:

a.
de bevindingen van het inhoudelijke deel van de audit;
b.
de bevindingen van het procesmatige deel van de audit;
c.
de bevindingen van het privacydeel van de audit;
d.
de managementsamenvatting, bevattende de in artikel 53c, tweede lid, van het besluit bedoelde onderdelen van de auditrapportage.

Artikel

17

1

Omtrent het inhoudelijke deel van de audit wordt minimaal opgenomen:

a.
de zichtbare onvolkomenheden in de gecontroleerde persoonslijsten;
b.
de wijze van uitvoering van de niet-selecte steekproef;
c.
welke select verzamelde persoonslijsten zijn gecontroleerd;
d.
de bevindingen.

2

Ten aanzien van de niet-selecte steekproef worden de feitelijke bevindingen en geconstateerde afwijkingen onderverdeeld in foutklassen.

Artikel

18

1

Omtrent het procesmatige deel van de audit wordt minimaal opgenomen:

a.
de zichtbare onvolkomenheden in de documentatie;
b.
hoe dit deel van de audit is uitgevoerd, welke aanvullende documenten zijn geraadpleegd, welke controles en interviews zijn uitgevoerd;
c.
welke bevindingen zijn geconstateerd.

2

De bevindingen voor de aspecten back-up, herstel, uitwijk en beveiliging worden onderverdeeld naar:

a.
de verplichte maatregelen en voorzieningen die niet zijn getroffen;
b.
de verplichte maatregelen en voorzieningen die niet zijn nageleefd;
c.
de risico's die zijn onderkend ten aanzien van de onderdelen back-up, herstel, uitwijk en beveiliging, ongeacht of van de voorschriften is afgeweken.

Artikel

19

De rapportage bevat de bevindingen in het kader van het privacydeel van de audit. Artikel 18, eerste lid, is van overeenkomstige toepassing.

Artikel

20

In verband met de bescherming van de persoonlijke levenssfeer van de burger zijn de feitelijke bevindingen bij het inhoudelijke deel van de audit op een zodanige wijze beschreven dat de gegevens niet zijn te herleiden tot een individuele persoon.

Artikel

21

1

De managementsamenvatting bestaat uit de volgende elementen:

a.
een passage waaruit blijkt welke auditoren het inhoudelijke deel van de audit hebben uitgevoerd, onder wiens verantwoordelijkheid het procesmatige deel van de audit is uitgevoerd en wanneer welke onderdelen van de audit zijn uitgevoerd, en, indien sprake is geweest van uitbesteding door de auditinstelling, welk deel aan welke instantie is uitbesteed;
b.
een verklaring dat het inhoudelijke deel van de audit onderscheidenlijk het procesmatige deel dan wel het privacydeel van de audit niet, dan wel geheel of gedeeltelijk is uitgevoerd met behulp van computers en geautomatiseerde uitrusting;
c.
de conclusies, onderverdeeld naar:
- 1º
  de niet-selecte persoonslijsten, waarbij per foutklasse wordt aangegeven welke afwijkingen zijn aangetroffen en of de geldende norm is overschreden;
- 2º
  de select getrokken persoonslijsten, waarbij wordt aangegeven welke afwijkingen zijn aangetroffen;
- 3º
  de verplichte maatregelen en voorzieningen met betrekking tot back-up, herstel en uitwijk die niet zijn getroffen;
- 4º
  de in het procesmatige deel van de audit onderkende risico's op het terrein van back-up, herstel, uitwijk en beveiliging;
- 5º
  de uitkomsten van het privacydeel van de audit, onder vermelding van de geconstateerde tekortkomingen;
- 6º
  de onderdelen waarvoor een heraudit verplicht is dan wel de mededeling dat geen heraudit verplicht is;
- 7º
  de afspraken die de auditee met de auditor heeft gemaakt naar aanleiding van de bespreking van het concept van de auditrapportage.
d.
een passage met aanbevelingen en voorgestelde maatregelen ter verbetering van bij de auditee in het kader van een audit of een heraudit geconstateerde afwijkingen en tekortkomingen.

2

Een afschrift van de managementsamenvatting wordt op het in artikel 21a, derde lid, bedoelde tijdstip gezonden naar het agentschap BPR.

3

De managementsamenvatting wordt gedurende zeven jaren door de auditee bewaard.

Artikel

21a

1

Uiterlijk twee maanden nadat met de uitvoering van de audit is begonnen, wordt een concept van de auditrapportage voorgelegd aan de auditee.

2

Het concept van de auditrapportage wordt vervolgens met een vertegenwoordiger van de auditee besproken.

3

De uiteindelijke auditrapportage wordt uiterlijk twee maanden nadat deze aan de auditee is voorgelegd, vastgesteld en door de auditor of een door de auditinstelling gemachtigd personeelslid ondertekend.

4

De termijn van een jaar, bedoeld in artikel 120a, vijfde lid, van de wet vangt aan op het moment dat de auditrapportage is vastgesteld, dan wel op het tijdstip dat deze ingevolge het derde lid uiterlijk had moeten zijn vastgesteld.

Hoofdstuk

4 De vergoeding van de audit

Artikel

22

1

De vergoeding, bedoeld in artikel 120a, vierde lid, van de wet bedraagt voor in 2002 gehouden audits:

a.
voor gemeenten met minder dan 20.000 inwoners: € 3641,-;
b.
voor gemeenten met 20.000 tot 100.000 inwoners: € 4911,-;
c.
voor gemeenten met 100.000 of meer inwoners: € 6181,-.

2

De in het eerste lid bedoelde bedragen worden jaarlijks, voor het lopende kalenderjaar, geïndexeerd conform het eerste in dat jaar door het Centraal Bureau voor de Statistiek bekend gemaakte voorlopige indexcijfer voor ‘CAO-lonen van alle werknemers, bruto uurloon, inclusief bijzondere beloningen voor de commerciële dienstverlening’ voor het voorafgaande jaar.

Hoofdstuk

5 De heraudit

Artikel

23

1

Bij de niet-selecte steekproef is een heraudit verplicht als er

meer fouten zijn geconstateerd dan de desbetreffende norm toestaat.

2

Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.4, 2, 3.1 tot en met 3.4, 4, 5.1 tot en met 5.3, 6.1.1, 6.1.2, 6.2, 6.3, 7.1, 7.7, 7.9 tot en met 7.12, 8.1, 9 en 10 uit bijlage 2, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

3

De in het tweede lid genoemde onderdelen 1.1 tot en met 1.4, 2, 3.1, 3.3, 3.4, 5.2, 5.3, 7.1 en 7.7 uit bijlage 2 wordt ook getoetst of de voorgeschreven maatregelen zijn getroffen en in de praktijk worden nageleefd.

4

Een heraudit is verplicht bij een negatief antwoord op één van de onderdelen 1.1 tot en met 1.3, 2, 3.2, 3.3, 4.1 en 6 tot en met 9 uit bijlage 3, dan wel het ontbreken van één van de in die onderdelen gevraagde afschriften.

Artikel

23a

Vervallen

Artikel

24

De heraudit wordt overeenkomstig de volgende eisen uitgevoerd:

1

De heraudit betreft alleen het onderdeel of de onderdelen waarvoor een heraudit verplicht is. In dit kader bestaan er zes onderdelen, te weten de drie soorten gegevens onderverdeeld in foutklassen A, B en C van het inhoudelijke deel van de audit, de twee aspecten back-up en herstel en uitwijk van het procesmatige deel van de audit en het privacydeel van de audit.

2

Er wordt bij de heraudit gecontroleerd of de auditee zodanige maatregelen heeft getroffen dat de kwaliteit van de desbetreffende onderdelen nu wel voldoende is.

3

Voor een heraudit met betrekking tot de gegevens in foutklassen A, B of C is het gestelde in paragraaf 1 van hoofdstuk 2 van overeenkomstige toepassing.

4

Voor een heraudit met betrekking tot de aspecten back-up, herstel of uitwijk is het gestelde in paragraaf 2 van hoofdstuk 2 van overeenkomstige toepassing.

5

Voor een heraudit met betrekking tot het privacydeel is het gestelde in paragraaf 3 van hoofdstuk 2 van overeenkomstige toepassing.

6

Artikel 21 en 21a zijn van overeenkomstige toepassing.

Hoofdstuk

6 De auditinstellingen

Artikel

25

1

De auditinstelling of de organisatie waarvan ze deel uitmaakt is juridisch identificeerbaar.

2

De auditinstelling beschikt over documentatie die globaal het gehele werkgebied beschrijft waarin ze bekwaamheid bezit en gedetailleerd het werkgebied dat onderwerp is van de audit.

3

De auditinstelling heeft een gepaste aansprakelijkheidsverzekering, tenzij haar aansprakelijkheid is overgenomen door de Staat, volgens nationale wetten, of door de organisatie waarvan ze deel uitmaakt. In het laatste geval heeft de desbetreffende organisatie een gepaste aansprakelijkheidsverzekering. In het geval dat er sprake is van een aansprakelijkheidsverzekering, is het eventuele eigen risico in overeenstemming met de financiële situatie van de organisatie.

4

De auditinstelling beschikt over documentatie waarin haar zakelijke voorwaarden beschreven staan.

Artikel

26

1

De auditor is volledig vrij van commerciële, financiële en andere druk die zijn oordeel zou kunnen beïnvloeden.

2

De auditor is onafhankelijk ten opzichte van de auditee. De auditor heeft geen andere zakelijke relaties met de auditee.

3

De auditor laat zich niet in met activiteiten die strijdig kunnen zijn met de onafhankelijkheid van zijn oordeel en zijn integriteit met betrekking tot de audit.

4

Alle gemeenten kunnen, met inachtneming van het gestelde in de voorgaande leden, de audit door de auditinstelling laten uitvoeren.

Artikel

27

1

De auditinstelling verzekert de volledige geheimhouding van informatie die zij in de loop van haar auditactiviteiten verkrijgt.

2

De auditinstelling garandeert de privacybescherming van de burger en de bescherming van eigendomsrechten.

Artikel

28

1

De auditinstelling is zodanig georganiseerd dat ze blijvend in staat is om haar auditfuncties naar behoren te vervullen. De audits die met auditees zijn afgesproken, worden in het betreffende tijdvak van een half jaar uitgevoerd zonder dat dat tot kwaliteitsverlies leidt. De auditinstelling beschikt om die reden over voldoende personeel of heeft met één of meerdere auditinstellingen een overeenkomst gesloten zodat voldoende vervanging is gegarandeerd.

2

Alle soorten functies die van invloed zijn op de kwaliteit van de auditdiensten of betrokken zijn bij het verlenen van de auditdiensten zijn beschreven. Deze functiebeschrijvingen omvatten de eisen op het gebied van opleiding, training, technische kennis, inhoudelijke kennis van de gemeentelijke basisadministraties en ervaring.

Artikel

29

1

De leiding van de auditinstelling bepaalt haar beleid, doelstelling en betrokkenheid met betrekking tot de kwaliteit van de audit, legt dat schriftelijk vast en bewerkstelligt dat dit beleid op alle niveaus in de organisatie wordt begrepen, toegepast en gehandhaafd.

2

De auditinstelling beheert een effectief kwaliteitssysteem dat past bij de omvang van de organisatie.

3

Het kwaliteitssysteem is volledig schriftelijk vastgelegd. Er is een kwaliteitshandboek aanwezig, dat de door deze norm vereiste informatie bevat die is opgesomd in artikel 38.

4

De auditinstelling wijst een functionaris aan die, ongeacht andere taken, een duidelijk bepaalde bevoegdheid en verantwoordelijkheid heeft voor de kwaliteitsborging aangaande de audit. Deze functionaris heeft directe toegang tot de directie van de auditinstelling.

5

Het kwaliteitssysteem wordt passend en actueel gehouden onder verantwoordelijkheid van deze functionaris.

6

De auditinstelling houdt een systeem in stand voor de beheersing van alle voor de audit relevante documenten en bewerkstelligt dat:

a.
de documenten beschikbaar zijn voor al het betrokken personeel;
b.
al het betrokken personeel tijdig van wijzigingen of aanvullingen op de hoogte wordt gebracht;
c.
vervallen (onderdelen van) documenten binnen de organisatie uit gebruik worden genomen behoudens één exemplaar dat wordt bewaard.

Artikel

30

1

De auditinstelling beschikt over voldoende personeel, met voldoende deskundigheid voor het uitvoeren van hun taken. Indien gebruik wordt gemaakt van op afroep beschikbare personen, voeren deze hun werk uit als was het personeel van de auditinstelling. Werkzaamheden in het kader van een audit worden, behoudens het gestelde in artikel 36, niet uitbesteed.

2

Een auditor voldoet ten behoeve van het inhoudelijke deel van de audit aan de eisen, genoemd in artikel 40.

3

Een auditor voldoet ten behoeve van het procesmatige deel van de audit aan de eisen, bedoeld in artikel 41.

4

De beloning van de auditoren is niet rechtstreeks afhankelijk van het aantal uitgevoerde audits en is niet afhankelijk van de resultaten van de audits.

Artikel

31

1

Indien de auditinstelling voor de vastlegging van de bevindingen van de audit gebruikmaakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze dat:

a.
de programmatuur en software is beproefd op haar geschiktheid voor het bedoelde gebruik;
b.
de procedures zijn vastgesteld en worden toegepast voor het beschermen van de integriteit van de gegevens;
c.
de computer en geautomatiseerde uitrusting zodanig worden onderhouden dat de goede werking ervan verzekerd is;
d.
procedures zijn vastgesteld en worden toegepast voor een voortdurende beveiliging van de gegevens.

2

Indien de auditinstelling voor de vastlegging van de interviewverslagen in het kader van de audit gebruik maakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze, onverminderd het gestelde in het eerste lid, dat procedures zijn vastgesteld en worden toegepast voor het verwijderen van die gegevens na afloop van de audit.

3

Indien de auditinstelling voor de uitvoering van de audit gebruik maakt van computers en geautomatiseerde uitrusting, dan bewerkstelligt ze dat:

a.
de programmatuur en software is beproefd op haar geschiktheid voor het bedoelde gebruik;
b.
de procedures zijn vastgesteld en worden toegepast voor het beschermen van de integriteit van de gegevens;
c.
de computer en geautomatiseerde uitrusting zodanig worden onderhouden dat de goede werking ervan verzekerd is;
d.
procedures zijn vastgesteld en worden toegepast voor een voortdurende beveiliging van de gegevens;
e.
procedures zijn vastgesteld en worden toegepast voor het verwijderen van de gegevens na afloop van de audit.

Artikel

32

1

De auditinstelling voert het inhoudelijke deel van de audit uit overeenkomstig de eisen genoemd in paragraaf 1 van hoofdstuk 2.

2

De auditinstelling voert het procesmatige deel van de audit uit overeenkomstig het gestelde in paragraaf 2 van hoofdstuk 2.

3

De auditinstelling voert het privacydeel van de audit uit overeenkomstig het gestelde in paragraaf 3 van hoofdstuk 2.

4

De auditinstelling heeft een systeem voor het beheersen van de contracten of werkopdrachten om er zeker van te zijn dat:

a.
het uit te voeren werk binnen haar bekwaamheid ligt en dat de organisatie over toereikende middelen beschikt om aan de eisen te voldoen;
b.
de eisen van al wie een beroep wenst te doen op de diensten van de auditinstelling, naar behoren worden bepaald en dat de specifieke voorwaarden goed worden begrepen, zodat ondubbelzinnige instructies kunnen worden gegeven aan de auditoren;
c.
toezicht wordt uitgeoefend op het werk in uitvoering, door middel van regelmatige beoordelingen en corrigerende maatregelen;
d.
het werk na voltooiing wordt beoordeeld ter bevestiging dat aan de eisen is voldaan.

5

De waarnemingen en gegevens die gedurende de audit worden verkregen, worden tijdig vastgelegd om verlies van ter zake doende informatie te voorkomen.

Artikel

33

1

De auditinstelling bewerkstelligt dat de te controleren persoonslijsten op ondubbelzinnige wijze zijn gekenmerkt, om te voorkomen dat op enig ogenblik verwarring ontstaat met betrekking tot de identiteit van de persoonslijsten.

2

Zichtbare onvolkomenheden in de te controleren persoonslijsten en te bestuderen documentatie die aan de auditor worden gemeld of die door hem worden opgemerkt, voordat met de audit is gestart, worden in de auditrapportage vastgelegd. Indien er enige twijfel bestaat over de geschiktheid van de persoonslijsten of de documentatie voor de uit te voeren controle, raadpleegt de auditor de auditee alvorens verder te gaan met de audit.

3

De auditinstelling bewerkstelligt dat na afloop van de audit alle gecontroleerde persoonslijsten en andere door de auditee verstrekte documentatie weer ter beschikking wordt gesteld aan de auditee.

Artikel

34

1

De door de auditinstelling uitgevoerde audit of heraudit wordt afgesloten met een auditrapportage.

2

De auditrapportage voldoet aan de eisen genoemd in hoofdstuk 3.

Artikel

35

1

Alle registraties worden gedurende de audit veilig opgeslagen, zorgvuldig en vertrouwelijk bewaard, met inachtneming van de wettelijke verplichtingen.

2

De auditinstelling bewerkstelligt dat na afloop van de audit het door de gemeente ingevulde protocol voor het procesmatige deel van de audit en de eventuele interviewverslagen ter beschikking worden gesteld aan de auditee.

Artikel

36

1

De auditinstelling voert zelf de audits uit die ze op grond van een overeenkomst op zich heeft genomen.

2

Uitbesteding van een gedeelte van de audit is slechts toegestaan aan een andere auditinstelling die door de minister is aangewezen om de audit uit te voeren. De auditinstelling stelt de auditee op de hoogte van haar voornemen om een gedeelte van de audit uit te besteden. De andere auditinstelling moet voor de auditee aanvaardbaar zijn.

3

De auditinstelling houdt een register bij van al haar uitbestede werk.

Artikel

37

1

De auditinstelling beschikt over schriftelijk vastgelegde procedures voor het behandelen van klachten van auditees.

2

Er wordt een overzicht bijgehouden van alle klachten en van de acties die daarop door de auditinstelling zijn genomen.

Artikel

38

De auditinstelling neemt op passende wijze deel aan de uitwisseling van ervaringen met andere auditinstellingen, het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de Raad voor Accreditatie.

Artikel

39

In het kwaliteitshandboek van de auditinstelling dient de volgende informatie te zijn opgenomen:

a.
algemene informatie (naam, adressen, telefoonnummer enz. en wettelijke status);
b.
verklaring van de leiding over haar beleid, doelstelling en betrokkenheid op het gebied van kwaliteit;
c.
verklaring van de leiding die de in artikel 28, vierde lid, vermelde functionaris aanstelt;
d.
beschrijving van de werkgebieden en bekwaamheden van de auditinstelling;
e.
informatie over de verhoudingen tussen de auditinstelling en het moederbedrijf of verbonden organisaties, indien van toepassing;
f.
organisatieschema('s);
g.
beschrijving van de in artikel 27, tweede lid, bedoelde functies;
h.
beleidsverklaring over de kwalificatie en opleiding van de in artikel 27, tweede lid, bedoelde functies;
i.
procedures voor documentenbeheer;
j.
procedures voor interne audits;
k.
procedures voor terugkoppeling en corrigerende maatregelen;
l.
procedures voor beoordelingen van het kwaliteitssysteem door de leiding;
m.
procedures voor het actueel houden van kwalificaties, opleiding, ervaring en kennis van de auditor;
n.
andere procedures en voorschriften of verwijzingen naar andere procedures of voorschriften die in deze norm worden vereist;
o.
verspreidingslijst van het kwaliteitshandboek.

Artikel

40

De auditor die het inhoudelijke deel van de audit uitvoert, voldoet aan de volgende criteria:

a.
de auditor beschikt over gedegen en aantoonbare kennis van de voor de audit relevante onderdelen uit de voorschriften zoals deze zijn beschreven in: de wet, het besluit, de regeling GBA, deze regeling, de systeembeschrijving, de Landelijke Tabellen, overige voor de verwerking van persoonsgegevens in de basisadministraties relevante regelgeving, het Handboek Uitvoeringsprocedures, het Handboek Operationele Procedures, de Kwaliteitsbrochures en de rubriek ‘Vragen en antwoorden aan de GBA Helpdesk’ in Burgerzaken en Recht;
b.
de auditor beschikt over voldoende inzicht in de werking van geautomatiseerde systemen in het algemeen en van de verschillende GBA-applicaties in het bijzonder om vast te kunnen stellen of een steekproef uit de basisadministratie op de voorgeschreven wijze is getrokken, of het select verzamelen van persoonslijsten op de juiste wijze is geschied, om de persoonslijst op de juiste wijze te kunnen interpreteren en om vast te kunnen stellen dat een opgemerkte afwijking mogelijk niet als een fout moet worden geteld.
c.
de auditor werkt zeer nauwgezet en snel en bezit de aantoonbare capaciteiten om afwijkingen in persoonslijsten te vinden.

Artikel

41

De auditor die het procesmatige en privacydeel van de audit uitvoert, of onder wiens verantwoordelijkheid die delen worden uitgevoerd, voldoet aan het volgende criterium: de auditor is Register EDP-auditor (RE), een Europees equivalent daarvan of Certified Information Systems Auditor (CISA).

Hoofdstuk

7 Slotbepalingen

Artikel

42

Deze regeling treedt in werking met ingang van 1 oktober 2000. Artikel 22 van deze regeling werkt terug tot en met 1 juli 1999.

Artikel

43

Deze regeling wordt aangehaald als: Regeling periodieke audit GBA.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

's-Gravenhage 1 september 2000

De Minister voor Grote Steden- en Integratiebeleid, R.H.L.M. vanBoxtel

Bijlage

1 Bijlage bij artikel 4 van de Regeling periodieke audit GBA

Lijst met select getrokken persoonslijsten bedoeld in artikel 4, derde lid

De vaststelling van de select getrokken persoonslijsten als bedoeld in artikel 4, geschiedt op de volgende wijze:

1

In de basisadministratie van de auditee wordt gezocht naar de onderstaande actualiseringen op de persoonslijsten, te beginnen met de eerste en vervolgens de tweede en zo verder, totdat het aantal te controleren select getrokken persoonslijsten is bereikt.

2

De controle van de select getrokken persoonslijsten is bedoeld om de gemeente inzicht te verschaffen in de eigen kwaliteit van een aantal bijzondere (actualiserings)processen. Daarom dienen de desbetreffende bijzondere actualiseringen door de gemeente zelf te zijn uitgevoerd. Daarnaast wordt, gezien het doel van deze controle, aanbevolen om zo mogelijk de actualiseringen te laten controleren waarvan de gehanteerde brondocumenten aanwezig zijn.

3

De in onderdeel 1 genoemde actualiseringen zijn achtereenvolgens:

a.
een eerste inschrijving als gevolg van een vestiging vanuit het buitenland;
b.
een erkenning bij geboorteaangifte, waarbij de geboorte en aangifte niet op dezelfde dag hebben plaatsgevonden (op de persoonslijst van het kind);
c.
een actualisering of correctie in de groepen 01 (Identificatienummers), 02 (Naam) of 03 (Geboorte) van categorie 01 (Persoon) met de daaropvolgende actualisering resp. correctie bij één van de gerelateerden die nog steeds in de gemeente is ingeschreven (de persoonslijst van de persoon én één van zijn/haar gerelateerden);
d.
een hervestiging vanuit het buitenland in een andere gemeente dan waar de persoon stond ingeschreven;
e.
twee of meer correcties, waarvan minimaal één van de volgende:
- een correctie in groepen 02 (Naam) of 03 (Geboorte) van categorie 01 (Persoon), een correctie als gevolg van onjuist adres/verhuizing,
- een correctie als gevolg van ten onrechte/dubbel opgenomen huwelijk, of
- een correctie in de categorie 04 (Nationaliteit);
f.
een adoptie met een naamswijziging (op de persoonslijst van het kind);
g.
een naturalisatie met naamswijziging en het eventuele verlies van andere nationaliteit(en);
h.
een vestiging vanuit het buitenland van een gezin (vader en moeder met kind(eren)), als eerste inschrijving;
i.
een adoptie van een buitenlands kind, waarvan de geboortegegevens zijn ingeschreven in de Registers van de Burgerlijke Stand van Den Haag (op de persoonslijst van het kind);
j.
een ontkenning van het vaderschap (op de persoonslijsten van het kind én van de vader en/of de moeder);
k.
een registratie van een emigratie naar land onbekend;
l.
een registratie van het adres van een persoon in het gegeven 08.12.10 (Locatiebeschrijving)
m.
een geboorte met de daaropvolgende opname van het gegeven 11.32.10 (Indicatie gezag minderjarige);
n.
nogmaals twee of meer correcties, waarvan minimaal één van de volgende: een correctie in groepen 02 (Naam) of 03 (Geboorte) van categorie 01 (Persoon), een correctie als gevolg van onjuist adres/verhuizing, een correctie als gevolg van ten onrechte/dubbel opgenomen huwelijk of een correctie in de categorie 04 (Nationaliteit), maar dan wel een ander dan eerder is gekozen;
o.
een registratie van het gegeven 01.61.10 (Aanduiding naamgebruik) met een andere waarde dan ‘E’ bij een gehuwde vrouw die niet de Nederlandse nationaliteit bezit;
p.
een registratie van meer dan vijf categorieën 10/60 (Verblijfstitel).

4

Indien te weinig van bovenstaande actualiseringen aanwezig zijn, waardoor het aantal te controleren select getrokken persoonslijsten niet is bereikt, kan de gemeente zelf andere actualiseringen aandragen.

Bijlage

2 Bijlage bij artikel 11 van de Regeling periodieke GBA-audit

Vragenlijst behorende bij het procesmatige deel van de audit

Ad 1
Welke voorziening is getroffen zodat de GBA-gegevens zoals die 1 werkdag geleden waren, altijd en binnen 1 werkdag kunnen worden gereconstrueerd?
1.1	- Volgens een back-upprocedure wordt dagelijks een back-up gemaakt van de GBA-gegevens.	Ja/Nee
	- Het restoren van de back-up duurt ongeveer ... uur.
Of	- Volgens een back-upprocedure wordt wekelijks/maandelijks ¹Doorhalen hetgeen niet van toepassing is.een back-up gemaakt van de GBA- gegevens en er zijn voorzieningen getroffen om een reconstructie van de mutaties die na de laatste back-up zijn aangebracht, te kunnen uitvoeren, zijnde	Ja/Nee
	- Het restoren van de back-up en vervolgens aanbrengen van de mutaties die sinds de laatste back-up tot en met 1 werkdag geleden, zijn aangebracht duurt ongeveer ... tot ... uur.
of	- Anderszins, nl.
	- Deze reconstructie duurt ongeveer ... tot ... uur.
1.2	- Bovenbedoelde back-upprocedure is schriftelijk vastgelegd, vastgesteld door ............................................... en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
	- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.	Ja/Nee
1.3	Deze voorziening wordt ... keer per jaar beproefd, voor het laatst op ...........................	Ja/Nee
1.4	Over deze beproeving wordt schriftelijk gerapporteerd aan: voor het laatst op ...........................	Ja/Nee	@
1.5	De beproeving geschiedt zonder dat betrokkenen vooraf worden geïnformeerd.	Ja/Nee

Ad 2
De back-upgegevens worden in een andere ruimte bewaard dan de ruimte waarin de GBA-apparatuur is opgesteld?	Ja/Nee

Ad 3
Welke voorzieningen zijn getroffen om een reconstructie van de mutaties die na de laatste back-up zijn aangebracht, te kunnen uitvoeren?
3.1	- Alle mutaties die na de laatste back-up zijn aangebracht in de GBA-gegevens, worden gelogd in een vorm die reconstructie mogelijk maakt.	Ja/Nee
	- Deze log wordt gemaakt en bewaard op een medium dat fysiek gescheiden is van het medium dat gebruikt wordt voor de opslag van de GBA-gegevens.	Ja/Nee
of	- Alle mutaties die worden aangebracht in de GBA-gegevens, worden tegelijkertijd c.q. direct daarna geprint.	Ja/Nee
	- Deze prints worden ....... dagen bewaard in een andere ruimte dan waarin de GBA-apparatuur is opgesteld.	Ja/Nee
of	- Voor wat betreft de reconstructie van ontvangen berichten, wordt gebruik gemaakt van de GBA-netwerkfaciliteiten voor de opslag van berichten.	Ja/Nee
	- Tevens zijn er organisatorische en systeemtechnische maatregelen, die garanderen dat reeds ontvangen berichten hetzij opnieuw kunnen worden verwerkt hetzij kunnen worden genegeerd.	Ja/Nee
	- Voor wat betreft de reconstructie van mutaties die op basis van brondocumenten zijn uitgevoerd, zijn er maatregelen getroffen om aan de hand van de brondocumenten alle mutaties die na de laatste back-up zijn uitgevoerd, opnieuw te kunnen inbrengen.	Ja/Nee
of	Anderszins, nl.
3.2	- Er is terzake een schriftelijke herstelprocedure opgesteld, vastgesteld door .................................. en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
	- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.	Ja/Nee
3.3	Deze voorziening wordt -- keer per jaar beproefd, voor het laatst op ...........................	Ja/Nee
3.4	Over deze beproeving wordt schriftelijk gerapporteerd aan: ......................... voor het laatst op ...........................	Ja/Nee	@
3.5	De beproeving geschiedt zonder dat betrokkenen vooraf worden geïnformeerd.	Ja/Nee

Ad 4
Welke voorzieningen zijn getroffen om de gevolgen van verkeerd uitgevoerde systematische verstrekkingen ongedaan te kunnen maken?
4.1	- Er is in een schriftelijke procedure vastgelegd welke stappen c.q. acties achtereenvolgens ondernomen dienen te worden en door wie, als blijkt dat één of meerdere systematische verstrekkingen verkeerd zijn uitgevoerd, vastgesteld door ............................................... en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
	- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.	Ja/Nee
4.2	- De via het GBA-netwerk verzonden systematische verstrekkingen worden minimaal 4 dagen bewaard	Ja/Nee
	- De via alternatieve media verzonden systematische verstrekkingen worden minimaal 1 maand bewaard.	Ja/Nee
en/ of	Anderszins, nl.:

Uitwijk

Ad 5
Welke voorzieningen zijn getroffen om te kunnen uitwijken?
5.1	- Er is een schriftelijke uitwijkprocedure, vastgesteld door .................................... en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
	- Voor iedere betrokkene is vastgelegd wie zijn/haar taak overneemt ingeval van (plotselinge) afwezigheid.	Ja/Nee
	- Er is een uitwijkovereenkomst, ondertekend door ........................................ en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
of	Anderszins, nl.:
5.2	Deze voorziening wordt -- keer per jaar beproefd, voor het laatst op ...........................	Ja/Nee
5.3	Over deze beproeving wordt schriftelijk gerapporteerd aan: .........................................voor het laatst op ...........................	Ja/Nee	@

Beveiliging

Ad 6
Hoe wordt er beleidsmatig aandacht besteed aan de eisen die de gemeente stelt aan de exclusiviteit van de GBA en aan de wijze waarop de informatiebeveiliging wordt gerealiseerd, gecontroleerd en geëvalueerd?
6.1.1	- Er is schriftelijk vastgelegd (informatie)beveiligingsbeleid, vastgesteld door .................................... en voor het laatst geactualiseerd per ...........................	Ja/Nee	@
of	Anderszins, er is nl.:		@
6.1.2	- Daarin wordt aandacht besteed aan de eisen die de gemeente stelt aan de beschikbaarheid, exclusiviteit, integriteit en controleerbaarheid¹Beschikbaarheid; de informatie moet zonder belemmeringen beschikbaar zijn overeenkomstig gemaakte afspraken en wettelijke voorschriften.Integriteit; de informatie moet in overeenstemming zijn met de realiteit en niets mag ten onrechte worden achtergehouden of zijn verdwenen.Exclusiviteit; uitsluitend bevoegde personen hebben toegang tot en kunnen gebruik maken van de in de registratie opgenomen gegevens.Controleerbaarheid; de controleerbaarheid is de mate waarin het mogelijk is kennis te verkrijgen over de structurering en werking van een object. Tevens de mate waarin het mogelijk is de overeenstemming met de eisen vast te stellen. van de GBA.	Ja/Nee
	- Daarin wordt aandacht besteed aan de wijze waarop de informatiebeveiliging wordt gerealiseerd, gecontroleerd en geëvalueerd.	Ja/Nee
6.1.3	Er wordt hierover schriftelijk gerapporteerd aan: ............................................... Voor het laatst op ...........................	Ja/Nee	@

Hoe wordt er aandacht besteed aan de wijze waarop het informatiebeveiligings- beleid wordt uitgevoerd en in welk tijdsbestek dat dient te geschieden?
6.2.1	Er is een schriftelijk (informatie)beveiligingsplan Vastgesteld door ............................................... en Voor het laatst geactualiseerd per ...........................	Ja/Nee	@
of	Anderszins, nl. er is:		@
6.2.2	Daarin is aangegeven welke bedreigingen zijn onderkend.	Ja/Nee
6.2.3	Daarin is aangegeven welke maatregelen zijn getroffen of dienen te worden getroffen	Ja/Nee
6.2.4	Daarin is aangegeven wanneer de maatregelen die getroffen dienen te worden, Ja/Nee dienen te zijn gerealiseerd.	Ja/Nee
6.2.5	Daarin is aangegeven op welke wijze en wanneer wordt geëvalueerd.	Ja/Nee
6.2.6	Daarin is aangegeven op welke wijze het informatiebeveiligingsbeleid, het informatie-beveiligingsplan en de maatregelen worden gecommuniceerd naar de medewerkers.	Ja/Nee
6.2.7	Over de voortgang en evaluaties wordt schriftelijk gerapporteerd aan: ..............................................Voor het laatst op ...........................	Ja/Nee	@

Hoe is het beveiligingsstelsel georganiseerd?
6.3.1	- In het formatieplan zijn de taken, verantwoordelijkheden en bevoegdheden met betrekking tot de informatiebeveiliging vastgelegd.	Ja/Nee	@
	- In de functie- en taakomschrijvingen zijn de taken, verantwoordelijkheden en bevoegdheden met be- trekking tot de informatiebeveiliging vastgelegd.	Ja/Nee	@
of	Anderszins, nl. in:
6.3.2	Er is een functionele scheiding aangebracht tussen degenen die de beveiligingsmaatregelen opstellen, uitvoeren en controleren.	Ja/Nee

Ad 7
Welke maatregelen van technische aard zijn genomen om verlies, aantasting en onbevoegde kennisneming, wijziging of verstrekking van GBA-gegevens te voorkomen?
7.1	Iedere medewerker heeft een eigen bevoegdheidsprofiel.	Ja/Nee
Zo ja	Deze is door het management vastgesteld c.q. geformaliseerd,	Ja/Nee
	de actualiteit ervan wordt periodiek bewaakt,	Ja/Nee
	bij wijziging taak wordt het profiel direct aangepast,	Ja/Nee
	bij ontslag en vertrek van een medewerker wordt zijn/haar account c.q.	Ja/Nee
	autorisatie direct geblokkeerd en hierover wordt periodiek schriftelijk verantwoording afgelegd aan:..................... voor het laatst op ...........................	Ja/Nee	@
7.2	De handelingen van medewerkers worden gelogd.	Ja/Nee
Zo ja	Deze logging wordt periodiek gecontroleerd en	Ja/Nee
	hierover wordt schriftelijk gerapporteerd aan:............................................... voor het laatst op ...........................	Ja/Nee	@
7.3	De handelingen van de gegevensbeheerder worden gelogd.	Ja/Nee
Zo ja	Deze logging wordt periodiek gecontroleerd en	Ja/Nee
	hierover wordt schriftelijk gerapporteerd aan:............................................... voor het laatst op ...........................	Ja/Nee	@
7.4	De handelingen van de applicatiebeheerder worden gelogd.	Ja/Nee
Zo ja	Deze logging wordt periodiek gecontroleerd en	Ja/Nee
	hierover wordt schriftelijk gerapporteerd aan:............................................... voor het laatst op ...........................	Ja/Nee	@
7.5	De handelingen van de systeembeheerder worden gelogd.	Ja/Nee
Zo ja	Deze logging wordt periodiek gecontroleerd en	Ja/Nee
	hierover wordt schriftelijk gerapporteerd aan: ................................................ voor het laatst op ...........................	Ja/Nee	@
7.6	In geval van remote onderhoud door de leverancier, worden de handelingen van de leverancier gelogd.	Ja/Nee/Nvt
Zo ja	Deze logging wordt periodiek gecontroleerd en	Ja/Nee
	hierover wordt schriftelijk gerapporteerd aan: ............................................... voor het laatst op ...........................	Ja/Nee	@
7.7	De wachtwoorden zijn beveiligd.	Ja/Nee
Zo ja	Met de volgende items:
	- verplicht periodiek wijzigen;	Ja/Nee
	- minimaal 6 posities;	Ja/Nee
	- controle dat het nieuwe wachtwoord wezenlijk verschilt met de voorgaande(n);	Ja/Nee
	- door niemand op te vragen c.q. te benaderen;	Ja/Nee
	- blokkering na herhaalde foute inbreng;	Ja/Nee
	melding daarvan;	Ja/Nee
	- anderszins, nl. door middel van:
7.8	Er is een toegangscontrolesysteem voor alle locaties waar toegang tot (delen van) de GBA kan worden verkregen.	Ja/Nee
Zo ja	Deze is door het management vastgesteld c.q. geformaliseerd,	Ja/Nee
	alleen bevoegden hebben toegang,	Ja/Nee
	de actualiteit ervan wordt periodiek bewaakt,	Ja/Nee
	bij ontslag en vertrek van een medewerker wordt zijn/haar autorisatie direct	Ja/Nee
	geblokkeerd en hierover wordt periodiek schriftelijk verantwoording afgelegd aan: ...............................................voor het laatst op ...........................	Ja/Nee	@
7.9	De toegang tot de datacommunicatiefaciliteiten waarmee toegang tot (delen van) de GBA kan worden verkregen, is afgeschermd door middel van een logische toegangsbeveiliging.	Ja/Nee
Zo ja	De opzet van de logisch toegangsbeveiliging is zodanig dat:
	- alleen datgene mogelijk is waarvoor uitdrukkelijk autorisatie is verleend;	Ja/Nee
	- het mogelijk is om de identiteit en authenticiteit van de gebruikers vast te stellen;	Ja/Nee
	- er beperkingen zijn gesteld aan het aantal keren dat onbevoegd wordt gepoogd toegang te krijgen;	Ja/Nee
	- de wachtwoorden slechts een beperkte tijd geldig zijn;	Ja/Nee
	- afwijkingen worden gesignaleerd en onderzocht.	Ja/Nee
7.10	Bij het opzetten van een verbinding voor interne datacommunicatie is de identiteit van de betrokken zend- en ontvangstpunten verzekerd.	Ja/Nee
Zo ja	Door middel van de volgende maatregelen:
	- terminal identificatie;	Ja/Nee
	- identificatie van het aansluitpunt;	Ja/Nee
	- anderszins, nl. door middel van:
7.11	Bij het opzetten van een verbinding voor externe datacommunicatie ⁴Niet zijnde het GBA-netwerk. is de identiteit van de betrokken zend- en ontvangstpunten verzekerd.	Ja/Nee/Nvt
Zo ja	Door middel van de volgende maatregelen:
	- terminal identificatie;	Ja/Nee
	- een terugbelfunctie;	Ja/Nee
	- fire walls;	Ja/Nee
	- routers;	Ja/Nee
	- de authenticatie is niet door onbevoegden te onderscheppen;	Ja/Nee
	- anderszins, nl. door middel van:
7.12	Teneinde de exclusiviteit en integriteit van de GBA-gegevens die met externe datacommunicatie worden verzonden te kunnen waarborgen, zijn voorzieningen getroffen.	Ja/Nee/Nvt
Zo ja	En wel de volgende:
	- de gegevens worden via erkende cryptografische methoden versleuteld verzonden;	Ja/Nee
	- men vergewist zich ervan dat verzonden berichten juist zijn aangekomen;	Ja/Nee
	- anderszins, nl. door middel van:

Ad 8
Welke maatregelen van organisatorische aard zijn genomen om verlies, aantasting en onbevoegde kennisneming, wijziging of verstrekking van GBA-gegevens te voorkomen?
8.1	Alle betrokkenen worden geïnformeerd over (wijzigingen in) hun taken, verantwoordelijkheden en bevoegdheden in relatie tot de informatiebeveiliging.	Ja/Nee
Zo ja	- Hiervoor is een voorschrift opgesteld	Ja/Nee	@
	dat door het management is vastgesteld c.q. geformaliseerd en	Ja/Nee
	waarover periodiek schriftelijk verantwoording wordt afgelegd aan: ...............................................voor het laatst op ...........................	Ja/Nee	@
of	- Anderszins, nl. doordat:
8.2	Een ieder wordt betrokken bij de ontwikkeling en uitvoering van maatregelen.	Ja/Nee
Zo ja	Dat gebeurt doordat:
8.3	Geconstateerde dan wel vermoede inbreuken op de informatiebeveiliging worden gemeld.	Ja/Nee
Zo ja	Er is een schriftelijke procedure voor incidentmeldingen en -registratie,	Ja/Nee	@
	die door het management is vastgesteld c.q. geformaliseerd,	Ja/Nee
	die bij alle betrokken medewerkers bekend is en	Ja/Nee
	waarover periodiek schriftelijk verantwoording wordt afgelegd aan: ...............................................voor het laatst op ...........................	Ja/Nee	@
Of	Anderszins, nl. doordat:
8.4	T.a.v. de beveiliging van verwijderbare gegevens dragers (zoals back-ups en kopieën van via alternatieve media verzonden berichten) zijn voorzieningen getroffen teneinde de exclusiviteit, integriteit en beschikbaarheid van de GBA-gegevens te waarborgen.	Ja/Nee
8.5	T.a.v. de beveiliging van het transport van verwijderbare gegevensdragers (zoals back-ups en kopieën van via alternatieve media verzonden berichten) zijn voorzieningen getroffen teneinde de exclusiviteit, integriteit en beschikbaarheid van de GBA-gegevens te waarborgen.	Ja/Nee
Zo ja	En wel de volgende:
	- Er is terzake een voorschrift opgesteld,	Ja/Nee	@
	dat door het management is vastgesteld c.q. geformaliseerd,	Ja/Nee
	dat bij alle betrokken medewerkers bekend is en	Ja/Nee
	Waarover periodiek schriftelijk verantwoording wordt afgelegd aan: ...............................................voor het laatst op ..........................;	Ja/Nee	@
	- Het transport naar een andere locatie geschiedt door een extern bedrijf dat	Ja/Nee
	daarin is gespecialiseerd en dat daarover schriftelijk periodiek verantwoording aflegt aan: ..............................voor het laatst op ..........................;	Ja/Nee	@
en/of	- anderszins, nl.:		@
8.6	Voorkomen wordt dat afgedankte en niet meer functionerende (verwijderbare) gegevensdragers in handen van onbevoegden komen.	Ja/Nee
Zo ja	- Er is hiervoor een procedure voor het vernietigen of onbruikbaar maken	Ja/Nee	@
	opgesteld, dat door het management is vastgesteld c.q. geformaliseerd,	Ja/Nee
	dat bij alle betrokken medewerkers bekend is en	Ja/Nee
	waarover periodiek schriftelijk verantwoording wordt afgelegd aan: ..............................................voor het laatst op ...........................	Ja/Nee	@
of	- Anderszins, nl. doordat:
8.7	Er zijn voorzieningen getroffen om de schade te beperken bij schending van de geheimhouding van GBA-gegevens en om herhaling te voorkomen.	Ja/Nee
Zo ja	Het betreffen:

Ad 9
Welke voorzieningen zijn getroffen om vast te stellen en te bewaken dat de bewerker voldoet resp. blijft voldoen aan het gestelde in en krachtens artikel 53 van het Besluit GBA?
9.1	In de schriftelijke overeenkomst met de bewerker, waarin de door de bewerker te verrichten werkzaamheden zijn vastgelegd, is tevens overeengekomen dat de bewerker zal handelen in overeenstemming met de in en krachtens artikel 53 van het Besluit GBA gestelde eisen.	Ja/Nee	@
9.2	.... keer per..... jaar wordt getoetst of de bewerker handelt in overeenstemming met de in en krachtens artikel 53 van het Besluit GBA gestelde eisen.	Ja/Nee
Zo ja	En wel op de volgende wijze:
	- De gemeente toetst zelf,	Ja/Nee
	aan de hand van een (soort) checklist en	Ja/Nee	@
	Daarover wordt schriftelijk gerapporteerd aan: ............................................... voor het laatst op ...........................	Ja/Nee	@
of	- De gemeente laat de toets door een extern bureau uitvoeren en	Ja/Nee
	daarover wordt schriftelijk gerapporteerd aan: ............................................... voor het laatst op ...........................	Ja/Nee	@
of	- De gemeente heeft de bewerker verplicht om een extern bureau de toets te	Ja/Nee
	laten uitvoeren en het rapport te overleggen aan:............................................... hetgeen voor het laatst is gebeurd op ...................................	Ja/Nee	@
of	- Anderszins, nl. doordat:

Ad 10
Er zijn voorzieningen getroffen in het kader van de verzending van GBA-berichten via alternatieve media zodat wordt voldaan aan de in paragraaf 7.3.5 van het LO geldende eisen?
10.1	In een voorschrift is bepaald dat de voorbereiding bij het verzenden van alternatieve media en de daadwerkelijke verzending ervan geschiedt conform het gestelde terzake in bijlage 1 van het onderdeel Vulberichten in de Handleiding Operationele Procedures (achter tabblad 16).	Ja/Nee	@
Zo ja	Dat voorschrift is door het management vastgesteld c.q. geformaliseerd,	Ja/Nee	@
	is bij alle betrokken medewerkers bekend,	Ja/Nee	@
	-- keer per -- jaar wordt getoetst of conform het voorschrift is gehandeld en	Ja/Nee	@
	daarover wordt schriftelijk verantwoording afgelegd aan: ...............................................voor het laatst op .........................	Ja/Nee	@
Zo niet	Ten aanzien van de beveiliging van het transport van alternatieve media zijn de volgende voorzieningen getroffen:

Ad 11
11	Maakt de gemeente gebruik van de mogelijkheid om de privacy-aspecten door middel van een aanvullende vragenlijst te laten toetsen?	Ja/Nee

Bijlage

3 Bijlage bij artikel 15 van de Regeling periodieke audit GBA

Vragenlijst behorende bij het privacydeel van de audit

1 Gegevensverwerking
1.1	Er zijn schriftelijke instructies om de integriteit (juistheid, volledigheid, tijdigheid) van de gegevens in de GBA te waarborgen, vastgesteld door ... en ... voor het laatst geactualiseerd per ...	Ja/Nee	@
Zo ja	Er zijn instructies voor:
	- het invoeren;	Ja/Nee
	- de controle van de invoer;	Ja/Nee
	- het wijzigen van de ingevoerde gegevens;	Ja/Nee
1.2	Door het management wordt periodiek (...... keer per jaar) op de naleving van die instructies toegezien.	Ja/Nee
1.3	Periodiek (...... keer per jaar) worden producties c.q. controleprogramma's gedraaid voor het beheersen van de integriteit van de gegevens.	Ja/Nee
1.4	Aan het management wordt schriftelijk gerapporteerd over de resultaten van de onder 1.3 genoemde uitgevoerde producties, voor het laatst op .......................... .	Ja/Nee	@

2 Gemeentelijke verordening
2.1	De gemeenteraad heeft een GBA-privacyverordening vastgesteld (eventueel met een onderliggende regeling)/een algemene privacyverordening met een daarop gebaseerd GBA-reglement.	Ja/Nee	@
Zo ja	Daarin is een regeling opgenomen voor het verstrekken van gegevens aan zogenaamde ‘vrije derden’ en die regeling is	Ja/Nee
	bij de medewerkers van de afdeling Burgerzaken bekend.	Ja/Nee

3 Naleving protocolplicht
3.1	Er zijn schriftelijke instructies met betrekking tot de protocollering van schriftelijke/mondelinge verstrekkingen aan binnengemeentelijke afnemers/buitengemeentelijke afnemers/”vrije derden”, vastgesteld door......................... voor het laatst geactualiseerd per ..................................... .en	Ja/Nee	@
Zo ja	Zo ja Deze instructies zijn bij iedere medewerker die dergelijke verstrekkingen kan doen, bekend.	Ja/Nee
	Periodiek wordt gecontroleerd of de instructies worden nageleefd en	Ja/Nee
	wordt hierover schriftelijk gerapporteerd aan het management, voor het laatst op .......................... .	Ja/Nee	@
3.2	Periodiek worden genoemde protocolleringen gecontroleerd op eigenaardigheden, zoals verstrekkingen aan onbekende instanties of veel verstrekkingen aan bepaalde instanties en	Ja/Nee
	wordt hierover schriftelijk gerapporteerd aan het management, voor het laatst op .......................... .	Ja/Nee	@
3.3	Genoemde protocolleringen worden minimaal één jaar bewaard.	Ja/Nee

4 Regeling hoofdlijnen beheer GBA
4.1	De hoofdlijnen van het beheer van de GBA, zoals bedoeld in art. 14 van de Wet GBA, zijn beschreven, vastgesteld en voor een ieder ter inzage gelegd.	Ja/Nee	@
4.2	De betrokken medewerkers zijn met de beheersregeling bekend.	Ja/Nee

5 Naleving procedure inzagerecht
5.1	Er zijn schriftelijke procedures voor het recht op inzage van diens gegevens door de burger, vastgesteld door ............................................... en voor het laatst geactualiseerd per .......................... .	Ja/Nee	@
Zo ja	Daarin is ondermeer opgenomen:
	- hoe de identiteit van een persoon dient te worden vastgesteld;	Ja/Nee
	- dat ingeval van eerste inschrijving/hervestiging uit het buitenland, desbetreffende persoon binnen vier weken een volledig overzicht van zijn PL wordt toegezonden;	Ja/Nee
	- dat een persoon op verzoek binnen vier weken inzage wordt verleend in/een (gewaarmerkt) afschrift wordt verstrekt van de gegevens die op zijn PL voorkomen;	Ja/Nee
	- dat een persoon op verzoek binnen vier weken inzage wordt verleend in/een (gewaarmerkt) afschrift wordt verstrekt van de hem betreffende verwijsgegevens;	Ja/Nee
	- dat een persoon op verzoek, met in achtneming van het gestelde in artikel 103 van de Wet GBA, binnen vier weken een afschrift wordt verstekt van alle verstrekkingen aan afnemers of derden van hem betreffende gegevens dan wel schriftelijk wordt geïnformeerd over het voornemen niet te voldoen aan het verzoek onder vermelding van de gronden;	Ja/Nee
	- dat een persoon op verzoek binnen vier weken inzage wordt verleend in/een (gewaarmerkt) afschrift wordt verstrekt van de overige, hem betreffende gegevens in de GBA.	Ja/Nee
	Het recht op inzage en de procedures zijn bij de medewerkers bekend.	Ja/Nee
5.2	Door de gemeente is het afgelopen jaar altijd binnen vier weken na genoemde eerste inschrijving/hervestiging uit het buitenland een volledig overzicht van de PL toegezonden.	Ja/Nee
5.3	Voor zover er het afgelopen jaar sprake is geweest van genoemde verzoeken, is daaraan altijd binnen vier weken voldaan.	Ja/Nee

6 Regeling buitengemeentelijke afnemers
6.1	Er zijn schriftelijke procedures voor het buiten het GBA-netwerk om verstrekken van gegevens aan buitengemeentelijke afnemers, vastgesteld door.......................................... en voor het laatst geactualiseerd per .......................... .	Ja/Nee	@
Zo ja	Die instructies bevatten de criteria op basis waarvan de medewerker kan afwegen of:
	- de gevraagde gegevens ook noodzakelijk zijn voor de vervulling van de taak van de afnemer en	Ja/Nee
	- de afnemer bij de administratieve gegevens een gerechtvaardigd belang heeft, en	Ja/Nee
	- de instructies zijn bij de medewerkers bekend.	Ja/Nee

7 Regeling binnengemeentelijke afnemers
7.1	De systematische verstrekking van gegevens aan binnengemeentelijke afnemers is bij of krachtens een gemeentelijke verordening geregeld.	Ja/Nee	@
7.2	Er is een schriftelijke procedure met betrekking tot de autorisaties van medewerkers van binnengemeentelijke afnemers, vastgesteld door............................................... en voor het laatst geactualiseerd per .......................... .	Ja/Nee	@
Zo ja	Daarin is ondermeer beschreven:
	- wie bevoegd zijn autorisaties aan medewerkers van binnengemeentelijke afnemers toe te kennen;	Ja/Nee
	- dat toekenningen c.q. opdrachten tot implementatie schriftelijk dienen te geschieden;	Ja/Nee
	- dat de opdrachten worden geadministreerd;	Ja/Nee	@
	- dat periodiek wordt gecontroleerd of toegekende autorisaties overeenkomen met hetgeen bij of krachtens de gemeentelijke verordening ter zake is bepaald,	Ja/Nee
	Waarover schriftelijk verantwoording wordt afgelegd aan ..............................................., voor het laatst op ........................... .	Ja/Nee
	- dat periodiek wordt gecontroleerd of geïmplementeerde autorisaties overeenkomen met de toegekende autorisaties,	Ja/Nee
	Waarover schriftelijk verantwoording wordt afgelegd aan ..............................................., voor het laatst op ........................... .	Ja/Nee
7.3	Binnengemeentelijke afnemers die telefonisch om informatie vragen worden geverifieerd.	Ja/Nee
Zo ja	Zo ja Hiervoor is een instructie opgesteld, vastgesteld door ............................................... en voor het laatst geactualiseerd per .......................... .	Ja/Nee	@
Of	Anderszins, nl.:

8 Regeling verstrekking ‘vrije derden’
8.1	Er worden gegevens aan “vrije derden” verstrekt.	Ja/Nee
Zo ja	Zo ja Hiervoor zijn schriftelijke procedures waarin is aangegeven: aan welke “vrije derden”/welke gegevens/op basis van welke criteria/langs welke weg mogen worden verstrekt, vastgesteld door............................................... en voor het laatst geactualiseerd per .......................... .	Ja/Nee	@

9 Rechten van de burger
9.1	Er is een schriftelijk procedure voor het behandelen van verzoeken om geheimhouding (art.102, eerste lid van de Wet GBA) van persoonsgegevens, vastgesteld door ............................................... en voor het laatst geactualiseerd per ........................ .	Ja/Nee	@
Zo ja	Daarin is ondermeer opgenomen:
	- hoe de identiteit van een persoon dient te worden vastgesteld;	Ja/Nee
	- dat een geheimhoudingsverzoek binnen vier weken wordt verwerkt op de persoonslijst;	Ja/Nee
	- de criteria om te kunnen bepalen of de persoonlijke levenssfeer van een persoon onevenredig zou worden geschaad, indien in afwijking van de van toepassing zijnde geheimhouding over de persoon krachtens artikel 98 van de Wet GBA gegevens zouden worden verstrekt;	Ja/Nee
	- dat de beschikking om krachtens artikel 98 van de Wet GBA in afwijking van de van toepassing zijnde geheimhouding gegevens te verstrekken, ter stond aan desbetreffende persoon bekend gemaakt wordt.	Ja/Nee