Privacy Impact Assessment (PIA) DigiD Substantieel

PRIVACY IMPACT ASSESSMENT DigiD Substantieel 6 september 2017 Versie 1.1 PRIVACY IMPACT ASSESSMENT 2 IN HOUDSOPGAVE 1. .4. Privacyprincipe: doelbinding / limiteren van het gebruik van gegevens HOUDSOPGAVE ................................ ................................ ................................ en achtergrond Privacy Impact Assessment ................................ Doelstelling en scope van de PIA ................................ ................................ Doelstellingen van de PIA ................................ ................................ pe van de PIA DigiD Substantieel ................................ .............................. Overzicht verwerking persoonsgegevens DigiD Substantieel Aanpak en opbouw van de PIA ................................ ................................ ................................ ................................ ................................

Managementsamenvatting ................................................................ ........................... Beschrijving DigiD Substantieel ................................ ................................ Aanleiding DigiD Substantieel ................................ ................................ Doelstellingen DigiD Substantieel ................................ ................................ Stakeholders DigiD Substantieel ................................ ................................ der DigiD Substantieel ................................ ................................ Procesbeschrijving gebruik DigiD Substantieel ................................ Activeren DigiD app ................................ ................................ Inloggen met DigiD app ................................ ................................ Authenticatieniveau verhogen naar DigiD Substantieel ................................

Inloggen met DigiD Substantieel ................................ ................................ Gegevensstromen en koppelingen DigiD Substantieel ................................ Bewaartermijnen logging ................................ ................................ ingen PIA ................................ ................................ Positionering DigiD Substantieel in de ontwikkelcyclus van DigiD en ten opzichte ................................ ................................ ................................ ................................ ................................ ................................ ................................ ................................ ............................... Noodzakelijke verwerking persoonsgegevens DigiD Substantieel Bevindingen proportionaliteit ................................ ................................ Bevindingen subsidiariteit ................................ ................................ ................................ ................................ ...............................

Privacyprincipe: limiteren van het verzamelen van gegevens ............................... ................................ ................................ ................................ ................................ ................................ ............................... Privacyprincipe: doelbinding / limiteren van het gebruik van gegevens ................................ ......................... 4 ................................ .......... 4 ................................ ............ 5 ................................ ................ 5 .............................. 6 ........................... 7 ................................ ............... 8 ................................ ............... 9 ........................... 10 ................................ ................... 13 ................................ ............... 13 ................................ ......... 13 ................................ ........... 15 ................................ ........ 15 ................................ ..................... 16 ................................ ....................... 16 ................................ ................. 17 ................................ .. 17 ................................ .... 17 ................................ .......... 17 ................................ ....................... 22 ................................ ................ 23 Positionering DigiD Substantieel in de ontwikkelcyclus van DigiD en ten opzichte ................................ .. 23 ................................ ... 23 ............................... 25 ......................... 25 ................................ .......... 25 ................................ .............. 26 ............................... 27 ............................... 28 ................................ ... 28 ............................... 29 Privacyprincipe: doelbinding / limiteren van het gebruik van gegevens ................. 29 3 4.4.1.

Bevindingen ................................ 4.4.2. Aanbevelingen ................................ 4.5. Privacyprincipe: gegevenskwaliteit 4.5.1. Bevindingen ................................ 4.5.2. Aanbevelingen ................................ 4.6. Privacyprincipe: verantwoording 4.6.1. Bevindingen ................................ 4.6.2. Aanbevelingen ................................ 4.7. Privacyprincipe: beveiliging van gegevens 4.7.1. Bevindingen ................................ 4.7.2. Aanbevelingen ................................ 4.8. Privacyprincipe: transparantie 4.8.1. Bevindingen ................................ 4.8.2. Aanbevelingen ................................ 4.9. Privacyprincipe: rechten van betrokkenen 4.9.1. Bevindingen ................................ 4.9.2. Aanbevelingen ................................ Bronnen ................................ Literatuurlijst ................................

Interviews ................................ Bijlage I: Vragenlijst PIA ................................ Bijlage II: Universele privacyprincipes Bijlage III: Algemene privacyrisico’s Bijlage IV: Afkortingen en begrippen ................................ ................................ ................................ ................................ ................................ ............................... Privacyprincipe: gegevenskwaliteit ................................ ................................ ................................ ................................ ................................ ................................ ................................ ............................... Privacyprincipe: verantwoording ................................ ................................ ................................ ................................ ................................ ................................ ................................ ...............................

Privacyprincipe: beveiliging van gegevens ................................ ............................ ................................ ................................ ................................ ................................ ................................ ............................... Privacyprincipe: transparantie ................................ ................................ ................................ ................................ ................................ ................................ ................................ ............................... Privacyprincipe: rechten van betrokkenen ................................ ............................. ................................ ................................ ................................ ................................ ................................ ............................... ................................ ................................................................ .............................. ................................ ................................ ................................ ................................ ................................ ................................ ................................ ................................ ................................

Bijlage II: Universele privacyprincipes ................................ ................................ Bijlage III: Algemene privacyrisico’s ................................ ................................ Bijlage IV: Afkortingen en begrippen ................................ ................................ ................................ ... 29 ............................... 30 ................................ ........ 31 ................................ ... 31 ............................... 31 ................................ ........... 32 ................................ ... 32 ............................... 32 ............................ 32 ................................ ... 33 ............................... 33 ................................ ............... 34 ................................ ... 34 ............................... 34 ............................. 35 ................................ ... 35 ............................... 35 .............................. 36 ................................ .................... 36 ................................ ........................ 37 ................................ ...... 38 ................................ ................. 68 ................................ .................... 70 ................................ ................... 73 4 1.

Inleiding 1.1. Aanleiding en achtergrond P DigiD wordt al geruime tijd gebruikt systemen van publieke dienstaanbieder Belastingdienst, DUO, UWV en Nederlandse andere organisaties in het BSN totaal zijn er circa 600 dienstaanbieders die H et digitale authenticatiesysteem DigiD Overheid. Logius is onderdeel van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (hierna: BZK). op haar systemen. In totaal zijn hiermee in Het gebruik van DigiD blijft naar verwachting stijgen. Met het toenemend gebruik van DigiD stijgt de behoefte aan een versterkte betrouwbaarheid van het bestaande DigiD- inlogmiddel. enige digitale authenticatiemiddel waarschijnlijkheid ook private organisaties authenticatiemiddelen met een hoger betrouwbaarheidsniveau aanbieden. Het ministerie van BZK heeft bestaande DigiD biedt de g wachtwoord in te loggen. Het is optioneel om naast een gebruikersnaam en wachtwoord een sms-functie te activeren, gekoppeld aan een telefoonnummer app.

Hoewel inloggen met sms en het gebruik van de DigiD app een betere bescherming bieden dan alleen een gebruikersnaam en een wachtwoord, voldoen deze wijzen van inloggen in de toekom st niet meer aan de eisen die worden gesteld aan authenticatiediensten en gebruikte middelen. In Europa zijn inmiddels criteria gedefinieerd waar een betrouwbare authenticatiedienst aan dient te voldoen en zijn betrouwbaarheid Deze criteria staan bekend elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de Europese interne markt. De eID elektronische handtekeningen betrouwbaarheidsniveaus Laag, Substantieel en Hoog Het ministerie van BZK wil betrouwbaarheidsniveaus aanbieden de betrouwbaarheidsniveaus eIDAS Substantieel en eIDAS Hoog. aantal stapp en eerst DigiD Substantieel worden gerealiseerd en in een later stadium DigiD Hoog. Een eerste stap is de realisatie van een betrouwbaar uitgifteproces op het niveau van 1 Logius Jaarverslag 2016 2 Uitvoeringsverordening (EU) 2015/1502, 8 september 2015, tot vaststelling van de minimale specificaties voor elektronische identificatiemiddelen overeenkomstig artikel 8, lid 3, van Verordening Nr 910/2014. 3 Verordening (EU) Nr. 910/2014 betreffende ele transacties in de interne markt. en achtergrond P rivacy Impact A ssessment gebruikt als middel door gebruikers om in te loggen dienstaanbieder s .

applies Regulation 910/2014 Art. 8(3)

Dienstaanbieders zijn bijvoorbeeld de Belastingdienst, DUO, UWV en Nederlandse gemeenten. DigiD wordt ook gebruikt om bij andere organisaties in het BSN -domein in te loggen, waaronder bij zorgverzekeraars totaal zijn er circa 600 dienstaanbieders die gebruikers laten inloggen met DigiD. et digitale authenticatiesysteem DigiD is een product van Logius, de Dienst Digitale onderdeel van het ministerie van Binnenlandse Zaken en BZK). Over 2016 telt Logius 13,4 miljoen actieve Digi op haar systemen. In totaal zijn hiermee in één jaar 258 miljoen authenticaties blijft naar verwachting stijgen. Met het toenemend gebruik van DigiD stijgt de behoefte aan een versterkte betrouwbaarheid inlogmiddel. DigiD is met de komst van Idensys digitale authenticatiemiddel in het publieke domein. In de toekomst gaan naar alle waarschijnlijkheid ook private organisaties authenticatiemiddelen met een hoger betrouwbaarheidsniveau aanbieden. van BZK heeft aangekondigd de bestaande DigiD te willen versterken. g ebruiker de mogelijkheid om met een gebruikersnaam en wachtwoord in te loggen.

Het is optioneel om naast een gebruikersnaam en wachtwoord een gekoppeld aan een telefoonnummer of in te loggen met de DigiD Hoewel inloggen met sms en het gebruik van de DigiD app een betere bescherming bieden dan alleen een gebruikersnaam en een wachtwoord, voldoen deze wijzen van st niet meer aan de eisen die worden gesteld aan authenticatiediensten en gebruikte middelen. criteria gedefinieerd waar een betrouwbare authenticatiedienst aan en zijn betrouwbaarheid sniveaus van authenticatiedie bekend als de ‘eIDAS-normen’. 2 3 De eIDAS- verordening betreft de elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de markt. De eID AS-verordening vervangt de huidige Europese richtlijn voor elektronische handtekeningen , richtlijn 1999/93/EG , en onderscheidt de betrouwbaarheidsniveaus Laag, Substantieel en Hoog . BZK wil gebruikers en dienstaanbieders aanbieden voor authenticatie, door het realiseren de betrouwbaarheidsniveaus eIDAS Substantieel en eIDAS Hoog.

Door Logius en eerst DigiD Substantieel worden gerealiseerd en in een later stadium DigiD Een eerste stap is de realisatie van een betrouwbaar uitgifteproces op het niveau van Uitvoeringsverordening (EU) 2015/1502, 8 september 2015, tot vaststelling van de minimale specificaties voor elektronische identificatiemiddelen overeenkomstig artikel 8, lid 3, van Verordening Nr 910/2014. Verordening (EU) Nr. 910/2014 betreffende ele ktronische identificatie en vertrouwensdiensten en elektronische ssessment om in te loggen op online . Dienstaanbieders zijn bijvoorbeeld de gemeenten. DigiD wordt ook gebruikt om bij zorgverzekeraars . In laten inloggen met DigiD. een product van Logius, de Dienst Digitale onderdeel van het ministerie van Binnenlandse Zaken en 2016 telt Logius 13,4 miljoen actieve Digi D-accounts 258 miljoen authenticaties gerealiseerd 1 . Met het toenemend gebruik van DigiD stijgt de behoefte aan een versterkte betrouwbaarheid de komst van Idensys niet langer het In de toekomst gaan naar alle waarschijnlijkheid ook private organisaties authenticatiemiddelen met een hoger bestaande DigiD te willen versterken.

applies Regulation 910/2014 Art. 8(3)

De de mogelijkheid om met een gebruikersnaam en wachtwoord in te loggen. Het is optioneel om naast een gebruikersnaam en wachtwoord een of in te loggen met de DigiD Hoewel inloggen met sms en het gebruik van de DigiD app een betere bescherming bieden dan alleen een gebruikersnaam en een wachtwoord, voldoen deze wijzen van st niet meer aan de eisen die worden gesteld aan criteria gedefinieerd waar een betrouwbare authenticatiedienst aan sniveaus van authenticatiedie nsten beschreven. verordening betreft de elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de Europese richtlijn voor , en onderscheidt de en dienstaanbieders meerdere realiseren van DigiD met Door Logius zal via een en eerst DigiD Substantieel worden gerealiseerd en in een later stadium DigiD Een eerste stap is de realisatie van een betrouwbaar uitgifteproces op het niveau van Uitvoeringsverordening (EU) 2015/1502, 8 september 2015, tot vaststelling van de minimale specificaties voor elektronische identificatiemiddelen overeenkomstig artikel 8, lid 3, van Verordening Nr 910/2014. ktronische identificatie en vertrouwensdiensten en elektronische 5 Substantieel, waarna dit middel direct gebruikt kan worden door d gebruiker.

applies Regulation 910/2014 Art. 8(3)

In de eIDAS-v erordening is onder meer aangegeven dat bij de uitgifte authenticatiemiddel gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs dat gebruikt wordt voor het uitreiken van een digitaal authenticatiemiddel gecontroleerd wordt. uitgereikte authenticatiemiddel geldt de eis dat beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van misbruik, waaronder offline analyse. Om betrouwbaarheidsniveau aanpak waarbij de identiteit van de scannen van de chip, aanwezig op een wettelijk identiteitsdocument ( DigiD app op het mobiele app Het introduceren van DigiD Substantieel impliceert het verwerken van persoonsgegevens. Het gebruik van persoonsgegevens, waaronder door de overheid, vormt in veel gevallen een inperking van het grondrecht van besche Onzorgvuldigheid, onbetrouwbaarheid van gegevens, verlies van gegevens (datalekken) en het gebruik van gegevens voor een ander doel dan waarvoor ze zijn verkregen kunnen een negatieve impact hebben op iemands sociaal Informatietechnologie en grootschalige digitale gegevensverwerkingen introduceren veelal additionele (privacy) risico’s die inherent zijn aan de inzet van deze technologie (de IT werkelijkheid), maar niet direct zichtbaar z gebruiker.

Het is daarom van groot belang dat tijdens de ontwerpfase van DigiD Substantieel wordt geïnventariseerd welke privacybedreigende risico’s uitgevoerde privacy impact assessment ( beschreven universele privacyprincipes risico’s en aanbevelingen opgenomen. Alvorens in te gaan op de p rivacyprincipe gepaard gaande verwerkingen van persoonsgegevens noodzakelijk zijn voor de te bereiken doelstellingen. Hierbij speelt zowel de vraag naar persoonsgegevens het doel worden bereik wijze worden bereikt met minder persoonsgegevens) impact assessment (hierna: PIA) richt DigiD Substantieel van 7 maart 2017, versie 1.0 1.2. Doelstelling en scope van de PIA 1.2.1. Doelstellingen van de PIA Een PIA is een hulpmiddel bij ontwikkeling van beleid en de daarmee gepaard gaande wetgeving of bij de bouw van ICT privacyrisico ’s op een gestructureerde en heldere wijze in kaart worden gebracht. Een PIA is gedurende een ontwikkelproces iteratief en dynamisch van karakter.

Het blijft per fase maatwerk. Door een PIA gedurende he 4 Zie artikel 10, leden 2 en 3 Grondwet, artikel 8 EVRM, artikel 8 EU 5 OECD / OESO: Organization for Economic Co Samenwerking en Ontwikkeling. Substantieel, waarna dit middel direct gebruikt kan worden door d e dienstaanbieder erordening is onder meer aangegeven dat bij de uitgifte gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs dat gebruikt wordt voor het uitreiken van een digitaal authenticatiemiddel gecontroleerd wordt. V oor het gebruik van uitgereikte authenticatiemiddel geldt de eis dat beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van waaronder offline analyse. Om betrouwbaarheidsniveau ‘Substantieel’ te behalen is door Logius gekozen voor een aanpak waarbij de identiteit van de gebruiker geverifieerd wordt door het initieel aanwezig op een wettelijk identiteitsdocument ( hierna: app araat van de gebruiker.

applies Grondwet Art. 10(2), Grondwet Art. 10(3), EVRM Art. 8

Het introduceren van DigiD Substantieel impliceert het verwerken van persoonsgegevens. Het gebruik van persoonsgegevens, waaronder door de overheid, vormt in veel gevallen een inperking van het grondrecht van besche rming van de persoonlijke levenssfeer Onzorgvuldigheid, onbetrouwbaarheid van gegevens, verlies van gegevens (datalekken) en het gebruik van gegevens voor een ander doel dan waarvoor ze zijn verkregen kunnen een negatieve impact hebben op iemands sociaal en maatschapp elijk welbevinden. Informatietechnologie en grootschalige digitale gegevensverwerkingen introduceren veelal additionele (privacy) risico’s die inherent zijn aan de inzet van deze technologie (de IT werkelijkheid), maar niet direct zichtbaar z ijn op het niveau van eindgebruik Het is daarom van groot belang dat tijdens de ontwerpfase van DigiD Substantieel wordt geïnventariseerd welke privacybedreigende risico’s er zijn.

De assessment ( Hierna: PIA) gaat uit van de door de OECD/OESO beschreven universele privacyprincipes . Per privacyprincipe zijn in deze PIA de bevindingen, risico’s en aanbevelingen opgenomen. rivacyprincipe s wordt vastgesteld of de met DigiD Substantieel gepaard gaande verwerkingen van persoonsgegevens noodzakelijk zijn voor de te bereiken Hierbij speelt zowel de vraag naar de proportionaliteit persoonsgegevens het doel worden bereik t) als de subsidiariteit (kan het doel op e wijze worden bereikt met minder persoonsgegevens) van DigiD Substantieel. PIA) richt zich op de definitieve Project Start Architectuur van maart 2017, versie 1.0 (hierna: PSA of PSA DigiD Substantieel) Doelstelling en scope van de PIA Doelstellingen van de PIA is een hulpmiddel bij ontwikkeling van beleid en de daarmee gepaard gaande bouw van ICT -systemen en aanleg van databestanden. Hiermee kunnen ’s op een gestructureerde en heldere wijze in kaart worden gebracht.

Een PIA is gedurende een ontwikkelproces iteratief en dynamisch van karakter. Het blijft per fase maatwerk. Door een PIA gedurende he t ontwerpproces regelmatig uit te voeren, kunnen Zie artikel 10, leden 2 en 3 Grondwet, artikel 8 EVRM, artikel 8 EU - Grondrechtenhandvest OECD / OESO: Organization for Economic Co -operation and Develop ment / Organisatie voor Economische dienstaanbieder en de erordening is onder meer aangegeven dat bij de uitgifte van een gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs dat gebruikt wordt voor het oor het gebruik van het uitgereikte authenticatiemiddel geldt de eis dat beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van te behalen is door Logius gekozen voor een initieel én periodiek hierna: WID), met de Het introduceren van DigiD Substantieel impliceert het verwerken van persoonsgegevens.

applies Grondwet Art. 10(2), Grondwet Art. 10(3), EVRM Art. 8

Het gebruik van persoonsgegevens, waaronder door de overheid, vormt in veel gevallen een rming van de persoonlijke levenssfeer 4 . Onzorgvuldigheid, onbetrouwbaarheid van gegevens, verlies van gegevens (datalekken) en het gebruik van gegevens voor een ander doel dan waarvoor ze zijn verkregen kunnen een elijk welbevinden. Informatietechnologie en grootschalige digitale gegevensverwerkingen introduceren veelal additionele (privacy) risico’s die inherent zijn aan de inzet van deze technologie (de IT - ijn op het niveau van eindgebruik voor de Het is daarom van groot belang dat tijdens de ontwerpfase van DigiD Substantieel De ze door Mazars gaat uit van de door de OECD/OESO 5 Per privacyprincipe zijn in deze PIA de bevindingen, vastgesteld of de met DigiD Substantieel gepaard gaande verwerkingen van persoonsgegevens noodzakelijk zijn voor de te bereiken proportionaliteit (kan met minder (kan het doel op e en andere van DigiD Substantieel.

Deze privacy de definitieve Project Start Architectuur van DigiD Substantieel) . is een hulpmiddel bij ontwikkeling van beleid en de daarmee gepaard gaande aanleg van databestanden. Hiermee kunnen ’s op een gestructureerde en heldere wijze in kaart worden gebracht. Een PIA is gedurende een ontwikkelproces iteratief en dynamisch van karakter. Het blijft per fase t ontwerpproces regelmatig uit te voeren, kunnen Grondrechtenhandvest ment / Organisatie voor Economische 6 (nieuwe) risico’s vroegtijdig worden ontdekt en vergroot. Het doel van deze PIA is het in kaart brengen van de relevante p de maatregelen die zijn ge richtinggevende aanbevelingen gedaan om p PIA is met deze doelstellingen geen formele audit. De PIA kan worden gebruikt om transparantie en draagvlak voor diverse stakeholders te creëren betrokken derden en belangenorganisaties. De worden in geval van ontwerp Hierbij dient uiteraard kritisch beoordeeld te worden wat de impact is van wijzigingen op de verschillende onderwerpen die zijn behandeld in de communicatiemiddel. 1.2.2.

Scope van de PIA DigiD Substantieel De scope van de PIA op het ontwerp van DigiD Substantieel bestaat ver sterkingsproces, waarbij de gebruiker betrouwbaarheidsniveau ‘ Substantieel DigiD Substantieel. Naast het ontwerp is naar vermogen ook aa productieomgeving waar binnen Het versterkingsproces begint met een authenticatie op betrouwbaarheidsniveau waarbij de gebruiker met gebruikersnaam, wachtwoord en sms of gebruikersnaam en met pincode inlogt op mijn.digid.nl. De gebruiker kiest voor de optie ‘inlogniveau verhogen’ waarna wordt gevraagd een QR van een account specifieke sessie welk WID- soort hij het inlogniveau wil verhogen. Eenmaal gekozen moet de WID eenmalig scannen met behulp van de DigiD app. Zodra het WID geverifieerd is het inlogniveau verhoogd en kan de dienstaanbieders. Voor het inloggen kan de gebruiker kiezen browser op het mobiele apparaat waar de app op is geïnstalleerd (web to app) of via browser op een ander apparaat.

Bij het inloggen via de browser op het mobiele apparaat waar ook de app op is geïnstalleerd dient de gebruiker zijn gebruikersnaam in te voeren en kan vervolgens met de pincode van de DigiD app worden ingelogd. QR- code gescand te worden. app niet beschikbaar is, moet de vervolgens met het apparaat waar scannen en zijn pincode invoeren. De PSA voor DigiD Substantieel geeft aan dat de ontwikkeling van de scope van de PSA valt aangezien een ander project architectuur van de DigiD app PSA valt, wordt binnen deze PIA naar vermogen wel aandacht besteed aan de aangezien de app onderdeel is van DigiD Substantieel De koppelvlakken met de DigiD app meegenomen. In onderstaand schematisch overzicht van het welke componenten en koppelvlakken in scope zijn. Voor een toelichting op de koppelvlakken en gegevensstromen verwijzen wij naar paragraaf (nieuwe) risico’s vroegtijdig worden ontdekt en kan de bewustwording van risico vergroot.

Het doel van deze PIA is het in kaart brengen van de relevante p de maatregelen die zijn ge nomen om de risico’s te mitigeren. Zo nodig richtinggevende aanbevelingen gedaan om p rivacyrisico ’s te elimineren of te mitigeren. PIA is met deze doelstellingen geen formele audit. gebruikt om transparantie en draagvlak voor DigiD Substantieel bij de te creëren , zoals bij verantwoordelijke overheden, g betrokken derden en belangenorganisaties. De uitkomsten van de PIA k worden in geval van ontwerp - en systeemaanpassingen en bij verdere kritisch beoordeeld te worden wat de impact is van wijzigingen op de verschillende onderwerpen die zijn behandeld in de ze PIA. De PIA - DigiD Substantieel De scope van de PIA op het ontwerp van DigiD Substantieel bestaat sterkingsproces, waarbij de gebruiker zijn bestaande DigiD Substantieel ’ verhoogt en het authenticatieproces op basis van Naast het ontwerp is naar vermogen ook aa ndacht besteed aan de binnen DigiD Substantieel zal worden geplaatst.

Het versterkingsproces begint met een authenticatie op betrouwbaarheidsniveau met gebruikersnaam, wachtwoord en sms of gebruikersnaam en met pincode inlogt op mijn.digid.nl. De gebruiker kiest voor de optie ‘inlogniveau verhogen’ waarna wordt gevraagd een QR -code te scannen. Deze QR- code is gegenereerd op basis specifieke sessie -ID van de gebruiker . Daarna geeft de soort hij het inlogniveau wil verhogen. Eenmaal gekozen moet de WID eenmalig scannen met behulp van de DigiD app. Zodra het WID geverifieerd is en kan de gebruiker op niveau ‘ Substantieel Voor het inloggen kan de gebruiker kiezen uit twee mogelijkheden: via de browser op het mobiele apparaat waar de app op is geïnstalleerd (web to app) of via browser op een ander apparaat. Bij het inloggen via de browser op het mobiele apparaat ook de app op is geïnstalleerd dient de gebruiker zijn gebruikersnaam in te voeren en kan vervolgens met de pincode van de DigiD app worden ingelogd.

In dit geva code gescand te worden. Indien de website wordt bezocht via een apparaat waarop de app niet beschikbaar is, moet de gebruiker op dit apparaat zijn gebruikersnaam invoeren en het apparaat waar de DigiD-app op is geïnstalleerd de (getoonde) QR pincode invoeren. Substantieel geeft aan dat de ontwikkeling van de DigiD app aangezien een ander project de verantwoordelijk heid DigiD app . Hoewel de DigiD app strikt genomen buiten de scope van de PSA valt, wordt binnen deze PIA naar vermogen wel aandacht besteed aan de onderdeel is van DigiD Substantieel . DigiD app en gerelateerde processen zijn in scope In onderstaand schematisch overzicht van het werkings proces is aangegeven welke componenten en koppelvlakken in scope zijn. Voor een toelichting op de koppelvlakken en gegevensstromen verwijzen wij naar paragraaf 3.6. de bewustwording van risico ’s worden vergroot. Het doel van deze PIA is het in kaart brengen van de relevante p rivacyrisico’s en nomen om de risico’s te mitigeren.

Zo nodig worden ’s te elimineren of te mitigeren. Een DigiD Substantieel bij de verantwoordelijke overheden, g ebruikers, PIA k unnen hergebruikt verdere doorontwikkeling. kritisch beoordeeld te worden wat de impact is van wijzigingen op de - rapportage is een De scope van de PIA op het ontwerp van DigiD Substantieel bestaat uit het DigiD -account naar verhoogt en het authenticatieproces op basis van ndacht besteed aan de Het versterkingsproces begint met een authenticatie op betrouwbaarheidsniveau ‘Midden’, met gebruikersnaam, wachtwoord en sms of gebruikersnaam en app met pincode inlogt op mijn.digid.nl. De gebruiker kiest voor de optie ‘inlogniveau verhogen’ code is gegenereerd op basis . Daarna geeft de gebruiker aan met soort hij het inlogniveau wil verhogen. Eenmaal gekozen moet de gebruiker zijn WID eenmalig scannen met behulp van de DigiD app. Zodra het WID geverifieerd is , wordt Substantieel ’ inloggen bij twee mogelijkheden: via de browser op het mobiele apparaat waar de app op is geïnstalleerd (web to app) of via de browser op een ander apparaat.

Bij het inloggen via de browser op het mobiele apparaat ook de app op is geïnstalleerd dient de gebruiker zijn gebruikersnaam in te voeren en In dit geva l hoeft geen de website wordt bezocht via een apparaat waarop de gebruikersnaam invoeren en de (getoonde) QR -code DigiD app buiten de heid draagt voor de strikt genomen buiten de scope van de PSA valt, wordt binnen deze PIA naar vermogen wel aandacht besteed aan de DigiD app zijn in scope van deze PIA proces is aangegeven welke componenten en koppelvlakken in scope zijn. Voor een toelichting op de 7 1.2.3. Overzicht verwerking persoonsgegevens DigiD Substantieel In artikel 2 van het B esluit verwerking persoonsgegevens generieke digitale infrastructuur (hierna: Besluit GDI) zijn de Logius. 6 Echter bevat het Besluit GDI Substantieel verwerkt zullen additionee l worden verwerkt voor en DigiD Midden) blauw gekleurd
Over bezoekers van DigiD:
Gegevens over herkomst en kenmerken van het netwerkverkeer
Kenmerken van de gebruikte software en hardware van de
Over bezoekers van www. niet voltooid, in aanvulling op bovenstaande gegevens:
BSN;
Datum en tijd aanvraag en reden niet voltooid
Over gebruikers van DigiD:
Naam;
Geboortedatum
Status persoo nslijst (bijv. overleden)
Nationaliteit (alleen nodig voor het balieproces);
Gegevens om ingezetenschap of niet Personen (hierna:
Adres;
Postcode; 6 Besluit verwerking van persoonsgegevens generieke digitale infrastructuur, Stb. 2016, 195 Buiten scope In scope Overzicht verwerking persoonsgegevens DigiD Substantieel esluit verwerking persoonsgegevens generieke digitale infrastructuur GDI) zijn de persoonsgegevens opgenomen die worden verwerkt het Besluit GDI nog niet de gegevens die (additioneel) zullen worden.

In onderstaande opsomming zijn de g l worden verwerkt voor DigiD Substantieel t.o.v. de bestaande blauw gekleurd en onderstreept: Over bezoekers van DigiD: Gegevens over herkomst en kenmerken van het netwerkverkeer Kenmerken van de gebruikte software en hardware van de www. digid.nl die een aanvraagprocedure hebben gestart maar niet voltooid, in aanvulling op bovenstaande gegevens: Datum en tijd aanvraag en reden niet voltooid . Over gebruikers van DigiD: Geboortedatum ; nslijst (bijv. overleden) ; (alleen nodig voor het balieproces); Gegevens om ingezetenschap of niet - ingezetenschap in de Personen (hierna: BRP) vast te kunnen stellen; Besluit verwerking van persoonsgegevens generieke digitale infrastructuur, Stb. 2016, 195 scope esluit verwerking persoonsgegevens generieke digitale infrastructuur persoonsgegevens opgenomen die worden verwerkt door nog niet de gegevens die (additioneel) voor DigiD In onderstaande opsomming zijn de g egevens die DigiD (DigiD Basis Gegevens over herkomst en kenmerken van het netwerkverkeer ; Kenmerken van de gebruikte software en hardware van de bezoeker. die een aanvraagprocedure hebben gestart maar ingezetenschap in de Basisregistratie Besluit verwerking van persoonsgegevens generieke digitale infrastructuur, Stb. 2016, 195 8
BSN;
Indien gebruik
Documentnummer;
Geboortedatum;
Einde geldigheidsdatum;
Indien gebruik rijbewijs ter verificatie:
Rijbewijsnummer
Datagroepen Near Field Communication (hierna:
Accountgegevens:
( Mobiel
E- mailadres
Gebruikersnaam
W achtwoord
Gebruiksgegevens:
IP- adres;
Kenmerken van de gebruikte software en hardware van het waarmee de gebruiker van DigiD is ingelogd
Handelingen van de gebruiker
Door de gebruiker gekozen authenticatieniveau
Website van de instelling waar de gebruiker van DigiD een DigiD aanvraagt of met DigiD inlogt
Sessiegegevens, waaronder cookies gepseudonimiseerde BSN reader (OK/NOK)
Gegevens die relevant zijn voor de adequate werking van DigiD, waaronder in ieder geval de kenmerken van de door de gebruiker van DigiD gebruikte softwar e en hardware;
Gegevens die waaronder het BSN en andere gegevens die worden verwerkt bij de ondersteuning van de gebruiker van DigiD. 1.3.

Aanpak en opbouw Deze PIA heeft betrekking o p de PSA PIA- toetsingsmodel dat specifiek op de Rijksdienst is gericht is ook gebruik gemaakt van de van een PIA 8 . Het toetsingsmodel is bedoeld voor toepassing op alle beleidsgebieden en binnen alle rechtsdomeinen. De aanpak van Mazars gaat uit van de privacyprincipes. Mazars heeft in de loop der jare privacyrisico’ s samengesteld. Deze risico per verwerking geanalyseerd en beschouwd. wij hebben onderkend verwijzen wij naar 7 Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit gegeven vormt de basis voor de facturering t.b.v. de RDA 8 NOREA: Privacy Impact Assessment, versie 1.2, November 2015 9 OECD / OESO: Organiz ation for Economic Co Samenwerking en Ontwikkeling. paspoort of identiteitskaart ter verificatie: Documentnummer; Geboortedatum; Einde geldigheidsdatum; Indien gebruik rijbewijs ter verificatie: Rijbewijsnummer .

Near Field Communication (hierna: NFC) chip WID Accountgegevens: Mobiel ) telefoonnummer; mailadres ; Gebruikersnaam ; achtwoord (versleuteld). Gebruiksgegevens: adres; Kenmerken van de gebruikte software en hardware van het waarmee de gebruiker van DigiD is ingelogd ; Handelingen van de gebruiker binnen de DigiD-o mgeving Door de gebruiker gekozen authenticatieniveau ; Website van de instelling waar de gebruiker van DigiD een DigiD aanvraagt of met DigiD inlogt ; Sessiegegevens, waaronder cookies , tijd van authenticatie, gepseudonimiseerde BSN 7 , sessie-ID, gekozen document soort, soort, sessie-, verificatie-, en ide ntiteitsbevestigingen (OK/NOK) . Gegevens die relevant zijn voor de adequate werking van DigiD, waaronder in ieder geval de kenmerken van de door de gebruiker van DigiD gebruikte e en hardware; noodzakelijk zijn voor de ondersteuning van de gebruiker, waaronder het BSN en andere gegevens die worden verwerkt bij de ondersteuning van de gebruiker van DigiD. en opbouw van de PIA p de PSA van DigiD Substantieel .

De PIA is afgeleid van het toetsingsmodel dat specifiek op de Rijksdienst is gericht (Rijksoverheid, 2013) is ook gebruik gemaakt van de handreiking en vragenlijst van de NOREA . Het toetsingsmodel is bedoeld voor toepassing op alle beleidsgebieden en De aanpak van Mazars gaat uit van de door de OECD/OESO 9 beschreven universele Mazars heeft in de loop der jare n een overzicht van universele s samengesteld. Deze risico ’s zijn te relateren aan de p rivacyprincipe geanalyseerd en beschouwd. Voor de privacyprincipe s en p wij hebben onderkend verwijzen wij naar Bijlage II en Bijlage III. Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit de basis voor de facturering t.b.v. de RDA -server. NOREA: Privacy Impact Assessment, versie 1.2, November 2015 ation for Economic Co - operation and Development / Organisatie voor Economische chip WID ; Kenmerken van de gebruikte software en hardware van het apparaat mgeving ; Website van de instelling waar de gebruiker van DigiD een DigiD , tijd van authenticatie, unieke gekozen document soort, NFC- ntiteitsbevestigingen Gegevens die relevant zijn voor de adequate werking van DigiD, waaronder in ieder geval de kenmerken van de door de gebruiker van DigiD gebruikte voor de ondersteuning van de gebruiker, waaronder het BSN en andere gegevens die worden verwerkt bij de .

De PIA is afgeleid van het (Rijksoverheid, 2013) . Daarbij NOREA voor de uitvoering . Het toetsingsmodel is bedoeld voor toepassing op alle beleidsgebieden en beschreven universele n een overzicht van universele rivacyprincipe s en zijn s en p rivacyrisico’s die Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit operation and Development / Organisatie voor Economische 9 Privacyprincipes en -risico’ s staan onderling tot elkaar in relatie. Zij kunnen elkaar beïnvloeden, versterken, verzwakken en vertonen strijdigheden. Ter indic afhankelijkheden is in Bijlage I gerelateerde risico’s. Per p rivacyprincipe betrekking tot het ontwerp van onderwerpen zijn gedetaillee rd (per vraag) opgenomen in privacyrisico’ s geïdentificeerd en aanbevelingen gedaan voor de implementatie van mitigerende maatregelen. 1.4.

Leeswijzer In hoofdstuk 2 zijn de uitkomsten van de PIA samengevat in de meest significante bevindingen en risico’ s van het ontwerp managementsamenvatting aanbevelingen ge maatregelen. In hoofdstuk 3 beginnend met de aanleiding en doelstelling van het ontwerp van DigiD Substantieel. Vervolgens zijn de belanghebbenden van DigiD kader beschreven, waarna een procesbeschrijving is gemaakt Substantieel. Deze beschrijving is het betrouwbaarheidsniveau kan verho gegevensstromen en koppelingen die aanwezig zijn bij he betrouwbaarheidsniveau van het DigiD hoofdstuk 4 is de noodzaak Substantieel benoemd en zijn vervolgens de bevindingen en aanbevelingen met betrekking tot DigiD Substantieel be schreven per p opgenomen met bronnen die gebruikt zijn voor het uitvoeren van deze PIA en de totstandkoming van dit rapport. Ook is hier een overzicht gegeven functionarissen die zijn geïnterviewd ten behoeve van de PIA.

Bijlage I bevat e en matrix met de relatie tussen de universele p algemene privacyrisico’s. Ook overzicht van alle vragen met betrekking tot bevindingen, risico’s en aanbevelingen per vraag en toelichting van de universele p De algemene privacyrisico ’s, vastgesteld op basis van literatuurstudie, zijn Bijlage III. Bijlage IV geeft ten slotte de betekenis van afkortingen in het rapport. s staan onderling tot elkaar in relatie. Zij kunnen elkaar beïnvloeden, versterken, verzwakken en vertonen strijdigheden. Ter indic Bijlage I een tabel opgenomen met de p rivacyprincipe rivacyprincipe zijn onderwerpen besproken en geanalyseerd met van DigiD Substantieel. De bevindingen met betrekking tot deze rd (per vraag) opgenomen in Bijlage I . Op deze wijze zijn s geïdentificeerd en aanbevelingen gedaan voor de implementatie van zijn de uitkomsten van de PIA samengevat in de meest significante s van het ontwerp van DigiD Substantieel.

Tevens worden aanbevelingen ge daan voor de meest relevante 3 wordt een beschrijving gegeven van DigiD Substantieel beginnend met de aanleiding en doelstelling van het ontwerp van DigiD Substantieel. Vervolgens zijn de belanghebbenden van DigiD Substantieel benoemd en is het wettelijk waarna een procesbeschrijving is gemaakt voor het gebruik van DigiD Substantieel. Deze beschrijving is high level en functioneel en beschrijft hoe een het betrouwbaarheidsniveau kan verho gen. Tot slot is een beschrijving gemaakt van alle gegevensstromen en koppelingen die aanwezig zijn bij he t verhogen van het betrouwbaarheidsniveau van het DigiD -account en de bewaartermijnen van de logging. noodzaak van de verwerkingen van persoonsgegevens binnen DigiD Substantieel benoemd en zijn vervolgens de bevindingen en aanbevelingen met betrekking schreven per p rivacyprincipe. In de bijlagen opgenomen met bronnen die gebruikt zijn voor het uitvoeren van deze PIA en de totstandkoming van dit rapport.

Ook is hier een overzicht gegeven van de rollen geïnterviewd ten behoeve van de PIA. en matrix met de relatie tussen de universele p rivacyprincipe Ook is in Bijlage I de PIA- vragenlijst met een gedetailleerd met betrekking tot de PIA, opgesplitst naar p rivacyprincipe bevindingen, risico’s en aanbevelingen per vraag opgenomen. Bijlage II geeft een overzicht van de universele p rivacyprincipe s die zijn gehanteerd in de PIA ’s, vastgesteld op basis van literatuurstudie, zijn Bijlage IV geeft ten slotte de betekenis van en een toelichting op de gebruikte s staan onderling tot elkaar in relatie. Zij kunnen elkaar beïnvloeden, versterken, verzwakken en vertonen strijdigheden. Ter indic atie van deze rivacyprincipe s en zijn onderwerpen besproken en geanalyseerd met DigiD Substantieel. De bevindingen met betrekking tot deze . Op deze wijze zijn de s geïdentificeerd en aanbevelingen gedaan voor de implementatie van zijn de uitkomsten van de PIA samengevat in de meest significante DigiD Substantieel.

Tevens worden in deze de meest relevante mitigerende van DigiD Substantieel , beginnend met de aanleiding en doelstelling van het ontwerp van DigiD Substantieel. Substantieel benoemd en is het wettelijk het gebruik van DigiD functioneel en beschrijft hoe een gebruiker slot is een beschrijving gemaakt van alle t verhogen van het en de bewaartermijnen van de logging. In van persoonsgegevens binnen DigiD Substantieel benoemd en zijn vervolgens de bevindingen en aanbevelingen met betrekking is de literatuurlijst opgenomen met bronnen die gebruikt zijn voor het uitvoeren van deze PIA en de van de rollen van de rivacyprincipe s en de vragenlijst met een gedetailleerd rivacyprincipe , met de geeft een overzicht s die zijn gehanteerd in de PIA -vragenlijst. ’s, vastgesteld op basis van literatuurstudie, zijn opgenomen in een toelichting op de gebruikte 10 2. Managementsamenvatting Met de introductie van DigiD Substantieel De bestaande versie van DigiD kent een basisaccount (gebruikersnaam + wachtwoord) en een 2- factor middenaccount (basis + sms of Substantieel voegt hier een authen de DigiD app zijn WID scannen en daarmee Substantieel.

Met DigiD Substantieel wordt een authenticatiemiddel verkregen Logius verwacht dat deze voldoet aan de Europese ei maar dit kan pas op een later moment (na notificatie) worden vastgesteld DigiD Substantieel is een belangrijke privacybevorderende maatregel. voorziet bovendien in de wens van bepaalde authenticatiemiddel met een hoger betrouwbaarheidsniveau aan te bieden. De toevoeging van DigiD Substantieel als authenticatiemiddel naast ‘Midden’ heeft geleid tot enkele verand introductie van de mogelijkheid tot scannen de DigiD app, inclusief het valideren van WID Identiteitsgegevens (hierna: RvIG valideren van WID- gegevens r ijbewijs. Vastgesteld is dat met deze wijzigingen slechts een zeer beperkte set van aanvullende persoonsgegevens de bestaande authenticatiemiddelen. Bovendien zijn in de DigiD getroffen waarmee de vastlegging en uitwisseling van gegevens als gevolg van dit nieuwe middel zijn geminimaliseerd.

De uitkomsten van de PIA op de PSA DigiD Substantieel, geven aan dat de introductie van DigiD Substantieel en de daarbij gekozen uitbreiding van de architectuur, slechts een beperkt aantal nieuwe privacy worden en erzijds gemitigeerd door organisatorische en technische beveiligingsmaatregelen die al golden voor de bestaande middelen. Anderzijds geldt dat met de introductie van DigiD Substantieel de kans op misbruik van DigiD sterk verkleind wordt. De PIA onderkent n iettemin een aantal resterende privacyrisico’s en aandachtspunten aangaande de introductie van DigiD Substantieel. DigiD Substantieel kan niet los gezien worden van de werking van de bestaande DigiD omgeving. D oordat DigiD Substantieel een uitbreiding be componenten en bestaande koppelingen Authentication server (hierna: Rijbewijzen en Bromfietscertificaten DigiD-componenten nog steeds van kracht voor DigiD Substantieel. Deze risico's zijn niet direct te herleiden uit de PSA waarvoor deze PIA geldt, maar blijken uit nader onderzoek naar het functioneren van de bestaande Digi Substantieel gebruik te maken van bestaande componenten, is genomen vanuit praktische en bedrijfseconomische motieven, ter beperking van projectrisico's koppelvlakken niet te hoeven vervangen De belangrijkste binnen deze PIA onderkende privacyrisico’s weergegeven.

Hierbij is onderscheid gemaakt naar risico’s en aanbevelingen die specifiek te relateren zijn aan het ontwerp van DigiD Substan gebruik van elementen van de Managementsamenvatting Met de introductie van DigiD Substantieel versterkt Logius de betrouwbaarheid van DigiD. De bestaande versie van DigiD kent een basisaccount (gebruikersnaam + wachtwoord) en factor middenaccount (basis + sms of gebruikersnaam + DigiD app). DigiD Substantieel voegt hier een authen ticatieniveau aan toe. De gebruiker kan met behulp van de DigiD app zijn WID scannen en daarmee het inlogniveau ophogen naar DigiD Met DigiD Substantieel wordt een authenticatiemiddel verkregen voldoet aan de Europese ei sen van eIDAS- niveau ‘ maar dit kan pas op een later moment (na notificatie) worden vastgesteld DigiD Substantieel is een belangrijke privacybevorderende maatregel. voorziet bovendien in de wens van bepaalde afnemers van DigiD om authenticatiemiddel met een hoger betrouwbaarheidsniveau aan te bieden.

De toevoeging van DigiD Substantieel als authenticatiemiddel naast de middelen ‘Basis’ en geleid tot enkele verand eringen in het DigiD-landsc hap introductie van de mogelijkheid tot scannen van het WID van de gebruiker het valideren van WID - gegevens bij de RvIG ) op basis van het paspoort en de identiteitskaart gegevens bij de Rijksdienst Wegverkeer (hierna: RDW ijbewijs. Vastgesteld is dat met deze wijzigingen slechts een zeer beperkte set van aanvullende persoonsgegevens tijdens het controleproces w ordt gebruikt ten opzichte van de bestaande authenticatiemiddelen. Bovendien zijn in de DigiD - architectuur maatregelen getroffen waarmee de vastlegging en uitwisseling van gegevens als gevolg van dit nieuwe de PIA op de PSA DigiD Substantieel, geven aan dat de introductie van DigiD Substantieel en de daarbij gekozen uitbreiding van de architectuur, slechts een beperkt aantal nieuwe privacy risico's introduceert voor de gebruiker .

Deze privacyrisico's erzijds gemitigeerd door organisatorische en technische beveiligingsmaatregelen die al golden voor de bestaande middelen. Anderzijds geldt dat met de introductie van DigiD Substantieel de kans op misbruik van DigiD sterk verkleind wordt. De PIA onderkent iettemin een aantal resterende privacyrisico’s en aandachtspunten aangaande de introductie van DigiD Substantieel. DigiD Substantieel kan niet los gezien worden van de werking van de bestaande DigiD oordat DigiD Substantieel een uitbreiding be tekent van de bestaande DigiD componenten en bestaande koppelingen , met uitzondering van de Remote Document (hierna: RDA) en de nieuwe koppeling met het Rijbewijzen en Bromfietscertificaten (hierna: CRB), blijven risico's die ge lden nog steeds van kracht voor DigiD Substantieel. Deze risico's zijn niet direct te herleiden uit de PSA waarvoor deze PIA geldt, maar blijken uit nader onderzoek naar het functioneren van de bestaande Digi D- omgeving.

De keuze om binnen DigiD Substantieel gebruik te maken van bestaande componenten, is genomen vanuit praktische en bedrijfseconomische motieven, ter beperking van projectrisico's niet te hoeven vervangen en vanwege he t te realiseren tijdpad. De belangrijkste binnen deze PIA onderkende privacyrisico’s en aanbevelingen zijn hierna weergegeven. Hierbij is onderscheid gemaakt naar risico’s en aanbevelingen die specifiek te relateren zijn aan het ontwerp van DigiD Substan tieel en risico’s die voortvloeien uit het de bestaande DigiD. Logius de betrouwbaarheid van DigiD. De bestaande versie van DigiD kent een basisaccount (gebruikersnaam + wachtwoord) en DigiD app). DigiD kan met behulp van het inlogniveau ophogen naar DigiD Met DigiD Substantieel wordt een authenticatiemiddel verkregen waarvan niveau ‘ Substantieel’, maar dit kan pas op een later moment (na notificatie) worden vastgesteld . Realisatie van DigiD Substantieel afnemers van DigiD om een authenticatiemiddel met een hoger betrouwbaarheidsniveau aan te bieden. de middelen ‘Basis’ en hap , waaronder de van het WID van de gebruiker met behulp van gegevens bij de Rijksdienst voor identiteitskaart , en het RDW ) op basis van het ijbewijs.

Vastgesteld is dat met deze wijzigingen slechts een zeer beperkte set van ordt gebruikt ten opzichte van architectuur maatregelen getroffen waarmee de vastlegging en uitwisseling van gegevens als gevolg van dit nieuwe de PIA op de PSA DigiD Substantieel, geven aan dat de introductie van DigiD Substantieel en de daarbij gekozen uitbreiding van de architectuur, slechts een . Deze privacyrisico's erzijds gemitigeerd door organisatorische en technische beveiligingsmaatregelen die al golden voor de bestaande middelen. Anderzijds geldt dat met de introductie van DigiD Substantieel de kans op misbruik van DigiD sterk verkleind wordt. De PIA onderkent iettemin een aantal resterende privacyrisico’s en aandachtspunten aangaande de DigiD Substantieel kan niet los gezien worden van de werking van de bestaande DigiD - tekent van de bestaande DigiD - Remote Document met het Centraal register lden voor bestaande nog steeds van kracht voor DigiD Substantieel.

Deze risico's zijn niet direct te herleiden uit de PSA waarvoor deze PIA geldt, maar blijken uit nader onderzoek omgeving. De keuze om binnen DigiD Substantieel gebruik te maken van bestaande componenten, is genomen vanuit praktische en bedrijfseconomische motieven, ter beperking van projectrisico's , om bestaande t te realiseren tijdpad. en aanbevelingen zijn hierna weergegeven. Hierbij is onderscheid gemaakt naar risico’s en aanbevelingen die specifiek te tieel en risico’s die voortvloeien uit het 11 Risico’s en aanbevelingen gerelateerd aan DigiD Substantieel 1. Voor het verifiëren van een paspoort gebruikt. In de hu idige systematiek worden meer gegevens ontvangen door Logius dan strikt noodzakelijk is, namelijk identiteitskaarten behorend bij een BSN Substantieel waardoor alle ontvangen. De gegevens die benodigd zijn voor DigiD Substantieel kunnen door Logius wel nader gespecific eerd worden. echter niet de mogelijkheid om de gegevensaanvraag specifiek te maken op basis van het documentsoort (paspoort/identiteitskaart). uitvraag van gegevens deze één uur nadien worden verwijderd dataminimalisatie is geminimaliseerd.

Substantieel te specifice ren zijn voor Digi D Substantieel. DigiD Substantieel de RvIG te verzoeken specifiëren van de BRP bevraging de verificatie gebruikte WID worden ontvangen 2. De huidige privacyverklaring DigiD vereist nog aanpassing naar de specifieke verwerkingen van persoonsgegevens en doelstellingen welke gekoppeld zijn aan DigiD Substantieel. Ook een aanpassing in de verklaring aangaande de hoe een account van DigiD Substantieel kan worden beëindigd is nog nodig. Logius onderkend en de actie om de privacyverklaring te actualiseren is onderhanden. 3. Voor het uitvoeren van de controles van het WID maakt Logius gebru server van een sub leverancier van de chip op het WID om en authentiek is. Nadat de controles zijn afgerond zijn de gegevens uit CRB en van de NFC- chip niet meer beschikbaar in DigiD. subverwerke rsovereenkomst is opgesteld met deze subleverancier in verband met de werking van DigiD Substantieel kan verwerken , dient dit nog actie om de subverwerkersovereenkomst te realiseren is onderhanden. 4.

In de bestaande applicatiearchitectuur en aan maatregelen van interne controle afleggen van verantwoording over beveiligingsmaatregelen. In de soort maatregelen niet expliciet o aanwezige vooral preventie schenken aan controls waarmee achteraf verantwoording effectiviteit van de geïmplementeerde beveiligingsmaat periode. Hi erbij kan gedacht worden aan het de gerealiseerde beveiligingsmaatregelen op basis van rapportages vanuit o.a. security audits, vulnerability 5. In de huidige ontwerpdocumentatie is maatregelen van interne controle die zich richten op het borgen van de datakwaliteit waarmee achteraf de betrouwbaarheid van de gegevensverzamelingen maatregelen hiervoor te ontwerpen. Denk hierbij aan periodieke verbandcontroles, gebruik van de bestaande replica database, gebruik van hashing technieken en rapportages over de werki Risico’s en aanbevelingen gerelateerd aan bestaand DigiD 6.

Een bestaand risico is dat Logius beschik inlogtransacties van gebruikers accountgegevens, BSN’s Risico’s en aanbevelingen gerelateerd aan DigiD Substantieel Voor het verifiëren van een paspoort of identiteitskaart worden BRP- gegevens van RvIG idige systematiek worden meer gegevens ontvangen door Logius dan strikt noodzakelijk is, namelijk de gegevens van de meest recente behorend bij een BSN . De gegevensaanvraag is niet specifiek voor Substantieel waardoor alle gegevens waar DigiD autorisatie voor heeft gegevens die benodigd zijn voor DigiD Substantieel kunnen door Logius eerd worden. De huidige functionaliteit geboden door RvIG biedt niet de mogelijkheid om de gegevensaanvraag specifiek te maken op basis van het documentsoort (paspoort/identiteitskaart). Als maatregel bij Logius deze , indien niet nodig voor de controle, per direct tot maximaal worden verwijderd waardoor het risico van het niet voldoen aan geminimaliseerd.

Aanbevolen wordt de gegevensaanvra ren , zodat alleen de gegevens worden ontvangen die benodigd D Substantieel. Het verdient aanbeveling om bij de doorontwikkeling van RvIG te verzoeken om de functionaliteit te bieden de BRP bevraging , zodat alleen de noodzakelijke gegevens van het voor gebruikte WID worden ontvangen . De huidige privacyverklaring DigiD vereist nog aanpassing naar de specifieke verwerkingen van persoonsgegevens en doelstellingen welke gekoppeld zijn aan DigiD Substantieel. Ook een aanpassing in de verklaring aangaande de bewaartermijnen en hoe een account van DigiD Substantieel kan worden beëindigd is nog nodig. Logius onderkend en de actie om de privacyverklaring te actualiseren is onderhanden. Voor het uitvoeren van de controles van het WID maakt Logius gebru leverancier . De DigiD backend voert controles uit op de gegevens WID om te verifiëren dat het aangeboden WID bij die gebruiker hoort Nadat de controles zijn afgerond zijn de gegevens uit chip niet meer beschikbaar in DigiD.

Vastgesteld is dat geen rsovereenkomst is opgesteld met deze sub leverancier in verband met de werking van DigiD Substantieel , dient dit nog gerealiseerd te worden . Dit is door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is onderhanden. applicatiearchitectuur en het high level design is aandacht geschonken van interne controle die zich richten op het achteraf controleren en afleggen van verantwoording over de werking van beveiligingsmaatregelen. In de ontwerpdocumentatie van DigiD Substantieel zijn dit niet expliciet o pgenomen. Het verdient aanbeveling om naast de al preventie f gerichte beveiligingsmaatregelen meer aandacht te controls waarmee achteraf verantwoording kan worden afgelegd effectiviteit van de geïmplementeerde beveiligingsmaat regelen over een bepaalde erbij kan gedacht worden aan het verkrijgen van inzicht in de effectiviteit van beveiligingsmaatregelen op basis van rapportages vanuit o.a. vulnerability - en penetratietesten en per iodieke monitoring In de huidige ontwerpdocumentatie is nog beperkt aandacht geschonken aan maatregelen van interne controle die zich richten op het borgen van de datakwaliteit waarmee achteraf de betrouwbaarheid van de binnen Logius aanwezige ka n worden aangetoond.

Het verdient aanbeveling om maatregelen hiervoor te ontwerpen. Denk hierbij aan periodieke verbandcontroles, gebruik van de bestaande replica database, gebruik van hashing technieken en over de werki ng van deze controlemaatregelen. Risico’s en aanbevelingen gerelateerd aan bestaand DigiD Een bestaand risico is dat Logius beschik t over persoonsgegevens gebruikers . De transactiegegevens bevatten een verwijzing naar de en IP-adressen. In deze transactiegegevens is ook vastgelegd gegevens van RvIG idige systematiek worden meer gegevens ontvangen door Logius dan de meest recente paspoorten en De gegevensaanvraag is niet specifiek voor gegevens waar DigiD autorisatie voor heeft , worden gegevens die benodigd zijn voor DigiD Substantieel kunnen door Logius De huidige functionaliteit geboden door RvIG biedt niet de mogelijkheid om de gegevensaanvraag specifiek te maken op basis van bij Logius is voorzien dat na per direct tot maximaal waardoor het risico van het niet voldoen aan de gegevensaanvra ag voor zodat alleen de gegevens worden ontvangen die benodigd Het verdient aanbeveling om bij de doorontwikkeling van te bieden voor het gegevens van het voor De huidige privacyverklaring DigiD vereist nog aanpassing naar de specifieke verwerkingen van persoonsgegevens en doelstellingen welke gekoppeld zijn aan DigiD bewaartermijnen en hoe een account van DigiD Substantieel kan worden beëindigd is nog nodig.

Dit is door Logius onderkend en de actie om de privacyverklaring te actualiseren is onderhanden. Voor het uitvoeren van de controles van het WID maakt Logius gebru ik van de RDA- De DigiD backend voert controles uit op de gegevens te verifiëren dat het aangeboden WID bij die gebruiker hoort Nadat de controles zijn afgerond zijn de gegevens uit de BRP of het Vastgesteld is dat geen leverancier . Aangezien de persoonsgegevens . Dit is door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is onderhanden. high level design is aandacht geschonken die zich richten op het achteraf controleren en de werking van gerealiseerde van DigiD Substantieel zijn dit aanbeveling om naast de al beveiligingsmaatregelen meer aandacht te kan worden afgelegd over de over een bepaalde verkrijgen van inzicht in de effectiviteit van beveiligingsmaatregelen op basis van rapportages vanuit o.a.

IT iodieke monitoring . beperkt aandacht geschonken aan maatregelen van interne controle die zich richten op het borgen van de datakwaliteit binnen Logius aanwezige n worden aangetoond. Het verdient aanbeveling om maatregelen hiervoor te ontwerpen. Denk hierbij aan periodieke verbandcontroles, gebruik van de bestaande replica database, gebruik van hashing technieken en t over persoonsgegevens vanuit de . De transactiegegevens bevatten een verwijzing naar de In deze transactiegegevens is ook vastgelegd 12 bij welke dienst de gebruiker heeft ingelogd. dataset op basis waarvan stellen. D enk hierbij aan dienstaanbieder s die zich in binnen het sociaal domein. De potentiële impact van ongewenste prof gevoelige da taset is hoog. waar zij zich mee bezighoudt of van plan is zich mee bezig te houden diverse beveiligingsmaatregelen getroffen waardoor toegang tot deze gevoelige gegevens is bepe rkt tot alleen functionarissen die daar rechten toe hebben.

Daarnaast zijn maatregelen aanwezig die misbruik kunnen detecteren. aanbeveling om een sterke scheiding aan te brengen tussen het verwerken van en IP- adressen waarmee eventueel misbruik wordt bemoeilijkt. 7. De huidige DigiD maakt gebruik van encryptie op het niveau van harddisks en wachtwoorden. Het gebruik van gebruik van gerandomiseerde polymorfe DigiD Substantieel nog niet voorzien. Logius is voornemens om deze technologieën in de toekomst wel te gaan gebruiken en deze technologieën zijn onderdeel van het voorlopige ontwerp voor DigiD Hoog. maatregelen uiteindelijk ook te maatregelen wordt voorkomen dat het BSN van DigiD. Door deze voorgenomen de punten 2 en 7 van deze managementsamenvatting 8. Doordat de wettelijke bewaartermijn van transactiegegevens besluitvorming is opgeschroefd naar vijf jaar ontstaat een omvangrijke cumulatie van inloghistorie van gebruikers kan in samengevoegde vorm privacygevoelige informatie opleveren gebruikt worden voor profiling.

Hierbij merken we overigens op dat Logius zich niet met profiling bezighoudt. Ter beheersing van dit risico zijn de bestaande, compenserende gegevensbeveiligingsmaatregelen getroffen bij Logius. Het verdient aan risico's van deze cumulatie van gevoelige informatie bij de verdere ontwikkeling van DigiD Substantieel opnieuw te evalueren bewaartermijnen aanpassing behoeven. gebruik ontstaat over een periode van vijf jaar naar verwachting een dataset van 1,25 miljard records aan inloghistorie. Dit is een voorzichtige inschatting. Deze risico's van cumulerende inloghistorie dient ook in relatie te worden gezien met het risico v combineren van IP- adressen met BSN. Zie hiervoor ook punt 7 van deze managementsamenvatting. 9. Tijdens ons onderzoek bleek dat er nog niet eerder een integrale PIA was uitgevoerd op de bestaande DigiD. In de ontwikkelcycli van van de Wbp meegenomen. Een hanteerbaar integraal overzicht van alle verwerkingen van persoonsgegevens op zowel functioneel als technisch niveau, inclusief de verwerkingen van persoonsgegevens gekoppeld aan technische systemen en besch rijving van de bijbehorende doelstellingen, verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel een dergelijk overzicht op te stellen en de privacyrisico's hiervan integraal te analyseren. onderkend door Logius en wordt opgepakt. 10 Bewaartermijnen hebben een wettelijke grondslag in het besluit verwerking persoonsgegevens GDI (Staatsblad van het Konink rijk der Nederlanden, 2016) bij welke dienst de gebruiker heeft ingelogd.

Hierdoor ontstaat een privacygevoelige op basis waarvan kwaadwillenden profielen van gebruikers op zouden kunnen enk hierbij aan gegevens van gebruikers die met hun DigiD inloggen s die zich in zetten voor ondersteuning bij jeugdzorg, bij reclassering of binnen het sociaal domein. De potentiële impact van ongewenste prof taset is hoog. Logius geeft nadrukkelijk aan dat profileren geen activiteit is waar zij zich mee bezighoudt of van plan is zich mee bezig te houden diverse beveiligingsmaatregelen getroffen waardoor toegang tot deze gevoelige rkt tot alleen functionarissen die daar rechten toe hebben. Daarnaast zijn maatregelen aanwezig die misbruik kunnen detecteren. Het verdient aanbeveling om een sterke scheiding aan te brengen tussen het verwerken van adressen waarmee eventueel misbruik wordt bemoeilijkt. huidige DigiD maakt gebruik van encryptie op het niveau van harddisks en Het gebruik van verdergaande encryptie van gevoelige gegevens en het gebruik van gerandomiseerde polymorfe pseudo- identiteiten zijn in het ontwerp van DigiD Substantieel nog niet voorzien.

Logius is voornemens om deze technologieën in de toekomst wel te gaan gebruiken en deze technologieën zijn onderdeel van het voorlopige ontwerp voor DigiD Hoog. Het verdient aanbeveling om deze technische uiteindelijk ook te realiseren voor DigiD Substantieel voorkomen dat het BSN gebruikt wordt binnen de authenticatiedienst voorgenomen technische voorzieningen worde n de bevindingen bij van deze managementsamenvatting in positieve zin geraakt. Doordat de wettelijke bewaartermijn van transactiegegevens 10 besluitvorming is opgeschroefd naar vijf jaar ontstaat een omvangrijke cumulatie van gebruikers . Deze cumulatie van inloghistorie neemt in kwantiteit toe en kan in samengevoegde vorm privacygevoelige informatie opleveren gebruikt worden voor profiling. Hierbij merken we overigens op dat Logius zich niet met profiling bezighoudt. Ter beheersing van dit risico zijn de bestaande, compenserende gegevensbeveiligingsmaatregelen getroffen bij Logius.

Het verdient aan risico's van deze cumulatie van gevoelige informatie bij de verdere ontwikkeling van DigiD Substantieel opnieuw te evalueren en te onderzoeken of de gestelde bewaartermijnen aanpassing behoeven. Ter indicatie: op basis van het huidige DigiD gebruik ontstaat over een periode van vijf jaar naar verwachting een dataset van 1,25 miljard records aan inloghistorie. Dit is een voorzichtige inschatting. Deze risico's van cumulerende inloghistorie dient ook in relatie te worden gezien met het risico v adressen met BSN. Zie hiervoor ook punt 7 van deze managementsamenvatting. Tijdens ons onderzoek bleek dat er nog niet eerder een integrale PIA was uitgevoerd op bestaande DigiD. In de ontwikkelcycli van de bestaande DigiD z ijn meegenomen. Een hanteerbaar integraal overzicht van alle verwerkingen van persoonsgegevens op zowel functioneel als technisch niveau, inclusief de verwerkingen van persoonsgegevens gekoppeld aan technische systemen en rijving van de bijbehorende doelstellingen, is nog niet volledig verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel een dergelijk overzicht op te stellen en de privacyrisico's hiervan integraal te analyseren. onderkend door Logius en wordt opgepakt.

Bewaartermijnen hebben een wettelijke grondslag in het besluit verwerking persoonsgegevens GDI rijk der Nederlanden, 2016) ontstaat een privacygevoelige op zouden kunnen gebruikers die met hun DigiD inloggen bij zetten voor ondersteuning bij jeugdzorg, bij reclassering of binnen het sociaal domein. De potentiële impact van ongewenste prof iling van deze Logius geeft nadrukkelijk aan dat profileren geen activiteit is waar zij zich mee bezighoudt of van plan is zich mee bezig te houden . Logius heeft diverse beveiligingsmaatregelen getroffen waardoor toegang tot deze gevoelige rkt tot alleen functionarissen die daar rechten toe hebben. Daarnaast Het verdient aanvullend aanbeveling om een sterke scheiding aan te brengen tussen het verwerken van BSN’s huidige DigiD maakt gebruik van encryptie op het niveau van harddisks en encryptie van gevoelige gegevens en het identiteiten zijn in het ontwerp van DigiD Substantieel nog niet voorzien.

Logius is voornemens om deze technologieën in de toekomst wel te gaan gebruiken en deze technologieën zijn onderdeel van het aanbeveling om deze technische voor DigiD Substantieel . Met deze gebruikt wordt binnen de authenticatiedienst n de bevindingen bij in positieve zin geraakt. 10 door wettelijke besluitvorming is opgeschroefd naar vijf jaar ontstaat een omvangrijke cumulatie van . Deze cumulatie van inloghistorie neemt in kwantiteit toe en kan in samengevoegde vorm privacygevoelige informatie opleveren en eventueel gebruikt worden voor profiling. Hierbij merken we overigens op dat Logius zich niet met profiling bezighoudt. Ter beheersing van dit risico zijn de bestaande, compenserende gegevensbeveiligingsmaatregelen getroffen bij Logius. Het verdient aan beveling om de risico's van deze cumulatie van gevoelige informatie bij de verdere ontwikkeling van te onderzoeken of de gestelde op basis van het huidige DigiD - gebruik ontstaat over een periode van vijf jaar naar verwachting een dataset van 1,25 miljard records aan inloghistorie.

Dit is een voorzichtige inschatting. Deze risico's van cumulerende inloghistorie dient ook in relatie te worden gezien met het risico v an het adressen met BSN. Zie hiervoor ook punt 7 van deze Tijdens ons onderzoek bleek dat er nog niet eerder een integrale PIA was uitgevoerd op ijn per fase de eisen meegenomen. Een hanteerbaar integraal overzicht van alle verwerkingen van persoonsgegevens op zowel functioneel als technisch niveau, inclusief de verwerkingen van persoonsgegevens gekoppeld aan technische systemen en een volledig voorhanden. Het verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel een dergelijk overzicht op te stellen en de privacyrisico's hiervan integraal te analyseren. Dit punt is Bewaartermijnen hebben een wettelijke grondslag in het besluit verwerking persoonsgegevens GDI 13 3. Beschrijving DigiD Substantieel 3.1. Aanleiding DigiD Substantieel Het gebruik van DigiD stijgt en de behoefte aan een verhoogde betrouwbaarheid neemt toe.

Het inloggen met gebruikersnaam en wachtwoord (en het gewenste niveau van authenticatie. betrouwbaarheidsniveaus om in te loggen bij diens
DigiD Basis: inloggen met gebruikersnaam en wachtwoord
DigiD Midden:
inloggen met gebruikersnaam, wachtwoord en
inloggen met gebruikersnaam app (beveiligd met een pincode) wordt bezocht code wordt gescand met het apparaat waar de app wel
inloggen met gebruikersnaam en de DigiD app (beveiligd met een pincode) De QR- scan is niet nodig als de website wordt bezocht met het apparaat waar de app op is geïnstalleerd ( Om meer diensten online aan te kunnen bieden, gebruikers op een hoger betrouwbaarheidsniveau te kunnen laten inlo DigiD Substantieel ontworpen. digitale authenticatiemiddelen in het publieke domein. mogelijkheid om middelen aan te bieden om in te loggen bij organisaties in zowel de private als de publieke sec tor. In de toekomst zullen zij mogelijk de betrouwbaarheidsniveaus verhogen naar eIDAS Substantieel.

De eisen gesteld om het authenticatieniveau van de eIDAS-verordening . Hierin is onder meer aangegeven dat authenticatiemiddel gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs voor het uitreiken van een digitaal authenticatiemiddel gecontroleerd wordt. Voor het gebruik van he authenticatiemiddel geldt de eis dat er beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van misbruik waaronder offline analyse. Om betrouwbaarheidsniveau aanpak waarbij de identiteit van de periodiek scannen van de chip op een door Logius in productie genomen, maar dit is nog zonder de functionaliteit om het account te verhogen naar niveau DigiD Substantieel. 3.2. Doelstellingen DigiD Substantieel De doelstelling van DigiD Su van DigiD naar eIDAS ‘S ubstantieel
Het bieden van de mogelijkheid aan hoger betrouwbaarheidsniveau te kunnen kiezen
Het creëren van d e mogelijkheid om onlinediensten aan te bieden vanwege de gevoeligheid met het huidige betrouwbaarheidsniveau niet online kunnen worden aangeboden;
Borgen van de toekomstvastheid van DigiD; Beschrijving DigiD Substantieel Aanleiding DigiD Substantieel Het gebruik van DigiD stijgt en de behoefte aan een verhoogde betrouwbaarheid neemt toe.

Het inloggen met gebruikersnaam en wachtwoord (en optioneel sms ) voldoet niet het gewenste niveau van authenticatie. In de huidige situatie biedt DigiD twee betrouwbaarheidsniveaus om in te loggen bij diens taanbieders in het BSN DigiD Basis: inloggen met gebruikersnaam en wachtwoord ; inloggen met gebruikersnaam, wachtwoord en sms; inloggen met gebruikersnaam en het scannen van de QR - (beveiligd met een pincode) . De QR- scan is nodig indien d wordt bezocht via een apparaat waarop de app niet beschik gescand met het apparaat waar de app wel op is inloggen met gebruikersnaam en de DigiD app (beveiligd met een pincode) scan is niet nodig als de website wordt bezocht met het apparaat waar de app op is geïnstalleerd ( web to app). meer diensten online aan te kunnen bieden, gebruikers op een hoger betrouwbaarheidsniveau te kunnen laten inlo ggen en te voldoen aan de eIDAS DigiD Substantieel ontworpen.

Daarnaast is Logius niet (meer) de enige aanbieder van digitale authenticatiemiddelen in het publieke domein. Private organisaties hebben ook de mogelijkheid om middelen aan te bieden om in te loggen bij organisaties in zowel de private tor. In de toekomst zullen zij mogelijk de betrouwbaarheidsniveaus verhogen naar eIDAS Substantieel. De eisen gesteld om het authenticatieniveau van ‘Substantieel’ te bereiken zijn vastgelegd in . Hierin is onder meer aangegeven dat bij de uitgifte van een authenticatiemiddel gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs voor het uitreiken van een digitaal authenticatiemiddel gecontroleerd wordt. Voor het gebruik van he authenticatiemiddel geldt de eis dat er beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van misbruik Om betrouwbaarheidsniveau ‘Substantieel’ te behalen is door Logius gekozen voor een aanpak waarbij de identiteit van de gebruiker geverifieerd dient te worden door het scannen van de chip op een WID met de DigiD app.

De DigiD app door Logius in productie genomen, maar dit is nog zonder de functionaliteit om het account te verhogen naar niveau DigiD Substantieel. Doelstellingen DigiD Substantieel De doelstelling van DigiD Su bs tantieel is het versterken van het betrouwbaarhe ubstantieel ’. De volgende (sub)doelstellingen worden onderkend: Het bieden van de mogelijkheid aan gebruikers en dienstaanbieders om voor een hoger betrouwbaarheidsniveau te kunnen kiezen voor bestaande diensten e mogelijkheid om onlinediensten aan te bieden vanwege de gevoeligheid met het huidige betrouwbaarheidsniveau niet online kunnen worden aangeboden; van de toekomstvastheid van DigiD; Het gebruik van DigiD stijgt en de behoefte aan een verhoogde betrouwbaarheid neemt toe. ) voldoet niet meer aan In de huidige situatie biedt DigiD twee in het BSN -domein: - code met de DigiD scan is nodig indien d e website waarop de app niet beschik baar is.

De QR- op is geïnstalleerd; inloggen met gebruikersnaam en de DigiD app (beveiligd met een pincode) . scan is niet nodig als de website wordt bezocht met het apparaat meer diensten online aan te kunnen bieden, gebruikers op een hoger ggen en te voldoen aan de eIDAS -norm, is Daarnaast is Logius niet (meer) de enige aanbieder van Private organisaties hebben ook de mogelijkheid om middelen aan te bieden om in te loggen bij organisaties in zowel de private tor. In de toekomst zullen zij mogelijk de betrouwbaarheidsniveaus te bereiken zijn vastgelegd in bij de uitgifte van een authenticatiemiddel gegevens gecontroleerd moeten worden aan de hand van een gezaghebbende bron en dat de geldigheid van het bewijs voor het uitreiken van een digitaal authenticatiemiddel gecontroleerd wordt. Voor het gebruik van he t uitgereikte authenticatiemiddel geldt de eis dat er beveiligingscontroles worden uitgevoerd ter verificatie van het authenticatiemiddel en maatregelen zijn getroffen ter bestrijding van misbruik , te behalen is door Logius gekozen voor een te worden door het initieel en DigiD app is in maart 2017 door Logius in productie genomen, maar dit is nog zonder de functionaliteit om het account tantieel is het versterken van het betrouwbaarhe idsniveau De volgende (sub)doelstellingen worden onderkend: dienstaanbieders om voor een voor bestaande diensten ; e mogelijkheid om onlinediensten aan te bieden en af te nemen die vanwege de gevoeligheid met het huidige betrouwbaarheidsniveau niet online 14
Bijdragen aan de doelen van het programma Verst Impuls eID: een veiliger authenticatiemiddel en de basis De vereisten en criteria van betrouwbaarheidsniveau eIDAS volgende punten ten opzichte van betrouwbaarheidsnivea (Commissie, 2015):
Bewijs en verificatie van identiteit (natuurlijke personen), volgende alternatieven:
Er is geverifieerd dat de persoon in het bezit is van het bewijs dat wordt erkend door de lidstaat waar de aanvraag voor het elektronische identificatiemiddel wordt gedaan, en dat vertegenwoordigt en het bewijs is gecontroleerd bestaan ervan volgens een gezaghebbend bron bekend is en het betrekking heeft op een werkelijk bestaand persoon en er maatregelen getroffen zijn om het risico te minimaliseren dat de identiteit van de persoon niet met de opgege ven identiteit overeenstemt, rekening houdend met bijvoorbeeld het risico dat het bewijsstuk verloren, gestolen, geschorst, ingetrokken of verlopen is, of:
Er is een identiteitsdocument overlegd tijdens een registratieproces in de lidstaat waar het documen hebben op de persoon die het heeft voorgelegd en er zijn maatregelen getroffen om het risico te minimaliseren dat de identiteit van de persoon niet met de opgegeven identiteit overeenstemt, rekening houden bijvoorbeeld het risico dat documenten verloren, gestolen, geschorst, ingetrokken of verlopen zijn, of:
Indien procedures die eerder door een publieke of private entiteit in dezelfde lidstaat voor een ander doel dan de uitgifte van elektronische iden tificatiemiddelen zijn gebruikt, voorzien in betrouwbaarheidscriteria gelijkwaardig aan die voor betrouwbaarheidsniveau substantieel, dan hoeft de voor de registratie verantwoordelijke entiteit die eerdere procedures niet opnieuw uit te voeren, mits de gel betrouwbaarheidscriteria is bevestigd door een conformiteitsbeoordelingsinstantie of een daaraan gelijkwaardige instantie, of:
Indien elektronische identificatiemiddelen worden uitgegeven op basis van een aangemeld geldig elektronisch betrouwbaarheidsniveau substantieel of hoog, is het, rekening houdend met het risico van een wijziging van de persoonsidentificatiegegevens niet nodig om het proces van bewijs en verificatie van de identiteit opnieuw uit te voeren.

Is het als basis dienende elektronische identificatiemiddel niet aangemeld, dan moet het betrouwbaarheidsniveau substantieel of hoog worden bevestigd door een conformiteitsbeoordelingsinstantie of een daaraan gelijkwaardige instantie.
Beheer van elektroni sche identificatiemiddelen:
Het elektronisch identificatiemiddel maakt gebruik van ten minste twee authenticatiefactoren die tot verschillende categorieën behoren;
Het elektronisch identificatiemiddel is zodanig ontworpen verondersteld s personen aan wie het toebehoort.
Uitgifte, uitreiking en activering:
Na de uitgifte wordt het elektronisch identificatiemiddel uitgereikt via een mechanisme waarmee kan worden verondersteld dat alleen wie het toebehoort in het bezit ervan wordt gesteld.
Authenticatiemechanisme Bijdragen aan de doelen van het programma Verst erken DigiD en het programma Impuls eID: een veiliger authenticatiemiddel en de basis leggen voor DigiD Hoog.

De vereisten en criteria van betrouwbaarheidsniveau eIDAS ‘ Substantieel volgende punten ten opzichte van betrouwbaarheidsnivea u laag voor natuurlijke personen Bewijs en verificatie van identiteit (natuurlijke personen), op basis van volgende alternatieven: Er is geverifieerd dat de persoon in het bezit is van het bewijs dat wordt erkend door de lidstaat waar de aanvraag voor het elektronische identificatiemiddel wordt gedaan, en dat dit de opgegeven identiteit vertegenwoordigt en het bewijs is gecontroleerd op de echtheid ervan; of het bestaan ervan volgens een gezaghebbend bron bekend is en het betrekking heeft op een werkelijk bestaand persoon en er maatregelen getroffen zijn om het risico te minimaliseren dat de identiteit van de persoon niet met de ven identiteit overeenstemt, rekening houdend met bijvoorbeeld het risico dat het bewijsstuk verloren, gestolen, geschorst, ingetrokken of verlopen is, of: Er is een identiteitsdocument overlegd tijdens een registratieproces in de lidstaat waar het documen t is afgegeven en het document lijkt betrekking te hebben op de persoon die het heeft voorgelegd en er zijn maatregelen getroffen om het risico te minimaliseren dat de identiteit van de persoon niet met de opgegeven identiteit overeenstemt, rekening houden bijvoorbeeld het risico dat documenten verloren, gestolen, geschorst, ingetrokken of verlopen zijn, of: Indien procedures die eerder door een publieke of private entiteit in dezelfde lidstaat voor een ander doel dan de uitgifte van elektronische tificatiemiddelen zijn gebruikt, voorzien in betrouwbaarheidscriteria gelijkwaardig aan die voor betrouwbaarheidsniveau substantieel, dan hoeft de voor de registratie verantwoordelijke entiteit die eerdere procedures niet opnieuw uit te voeren, mits de gel ijkwaardigheid van de betrouwbaarheidscriteria is bevestigd door een conformiteitsbeoordelingsinstantie of een daaraan gelijkwaardige instantie, of: Indien elektronische identificatiemiddelen worden uitgegeven op basis van een aangemeld geldig elektronisch identificatiemiddel met betrouwbaarheidsniveau substantieel of hoog, is het, rekening houdend met het risico van een wijziging van de persoonsidentificatiegegevens niet nodig om het proces van bewijs en verificatie van de identiteit opnieuw uit te Is het als basis dienende elektronische identificatiemiddel niet aangemeld, dan moet het betrouwbaarheidsniveau substantieel of hoog worden bevestigd door een conformiteitsbeoordelingsinstantie of een daaraan gelijkwaardige instantie. sche identificatiemiddelen: Het elektronisch identificatiemiddel maakt gebruik van ten minste twee authenticatiefactoren die tot verschillende categorieën behoren; Het elektronisch identificatiemiddel is zodanig ontworpen d at het kan worden verondersteld s lechts te worden gebruikt door of onder controle van de personen aan wie het toebehoort.

Uitgifte, uitreiking en activering: Na de uitgifte wordt het elektronisch identificatiemiddel uitgereikt via een mechanisme waarmee kan worden verondersteld dat alleen wie het toebehoort in het bezit ervan wordt gesteld. Authenticatiemechanisme : erken DigiD en het programma voor DigiD Hoog. Substantieel ’ verschillen in de laag voor natuurlijke personen op basis van één van Er is geverifieerd dat de persoon in het bezit is van het bewijs dat wordt erkend door de lidstaat waar de aanvraag voor het elektronische de opgegeven identiteit op de echtheid ervan; of het bestaan ervan volgens een gezaghebbend bron bekend is en het betrekking heeft op een werkelijk bestaand persoon en er maatregelen getroffen zijn om het risico te minimaliseren dat de identiteit van de persoon niet met de ven identiteit overeenstemt, rekening houdend met bijvoorbeeld het risico dat het bewijsstuk verloren, gestolen, geschorst, ingetrokken of Er is een identiteitsdocument overlegd tijdens een registratieproces in de t is afgegeven en het document lijkt betrekking te hebben op de persoon die het heeft voorgelegd en er zijn maatregelen getroffen om het risico te minimaliseren dat de identiteit van de persoon niet met de opgegeven identiteit overeenstemt, rekening houden d met bijvoorbeeld het risico dat documenten verloren, gestolen, geschorst, Indien procedures die eerder door een publieke of private entiteit in dezelfde lidstaat voor een ander doel dan de uitgifte van elektronische tificatiemiddelen zijn gebruikt, voorzien in betrouwbaarheidscriteria gelijkwaardig aan die voor betrouwbaarheidsniveau substantieel, dan hoeft de voor de registratie verantwoordelijke entiteit die eerdere procedures niet conformiteitsbeoordelingsinstantie of een daaraan gelijkwaardige instantie, of: Indien elektronische identificatiemiddelen worden uitgegeven op basis van betrouwbaarheidsniveau substantieel of hoog, is het, rekening houdend met het risico van een wijziging van de persoonsidentificatiegegevens niet nodig om het proces van bewijs en verificatie van de identiteit opnieuw uit te Is het als basis dienende elektronische identificatiemiddel niet aangemeld, dan moet het betrouwbaarheidsniveau substantieel of hoog worden bevestigd door een conformiteitsbeoordelingsinstantie of een daaraan Het elektronisch identificatiemiddel maakt gebruik van ten minste twee authenticatiefactoren die tot verschillende categorieën behoren; at het kan worden lechts te worden gebruikt door of onder controle van de Na de uitgifte wordt het elektronisch identificatiemiddel uitgereikt via een mechanisme waarmee kan worden verondersteld dat alleen de persoon aan 15
Alvorens persoonsidentificatiegegevens worden vrijgegeven, worden het elektronische identificatiemiddel en de geldigheid ervan op betrouwbare wijze geverifieerd door middel van dynamische authenticatie;
Het authenticatiemechanisme voorzie van het elektronische identificatiemidd de authenticatiemechanismen kunnen worden omzeild door met gissen, afluisteren, herafspelen of manipuleren van communicatie door een aanvaller met een gematigd aanvalspotentieel.
Beheer van informatiebeveiliging:
Het beheersysteem voor informatiebeveiliging voldoet aan beproefde normen en beginselen voor informatiebeveiligingsrisico’s.
Technische controles:
Gevoelig cryptografisch materiaal dat voor uitgifte van elektronische identificatiemiddelen en voor authenticatie wordt gebruikt, wordt beschermd tegen ongeoorloofde man
Compliance en audit:
Er vinden periodieke onafhankelijke interne of externe audits plaats van alle onderdelen die voor de verlening van de aangeboden diensten relevant zijn, teneinde de naleving van het desbetreffende te waarborgen. 3.3.

Stakeholders DigiD Substantieel Bij dit project zijn stakeholders betrokken met ieder hun eigen belangen en overzicht beperken wij ons tot de volgende
Afnemers (dienstaanbieders)
Leveranciers
Gebruikers
Gegevensdiensten (register
Derden ( zoals opsporingsdiensten, gegevens te verstrekken) 3.4. Wettelijk kader DigiD Substantieel In onderstaande tabel is de relevante wet Substantieel en de impact hiervan op DigiD Substantieel. overzicht van de wet- en regelgeving die van toepassing is voor Logius. Wets - of beleidsdocument Algemene Verordening Gegevensbescherming (AVG) Archiefwet Besluit verwerking persoonsgegevens GDI eIDAS-verordening Alvorens persoonsidentificatiegegevens worden vrijgegeven, worden het elektronische identificatiemiddel en de geldigheid ervan op betrouwbare wijze door middel van dynamische authenticatie; Het authenticatiemechanisme voorzie t in beveiligingscontrole van het elektronische identificatiemidd el, die het onwaarschijnlijk maken dat de authenticatiemechanismen kunnen worden omzeild door met gissen, afluisteren, herafspelen of manipuleren van communicatie door een aanvaller met een gematigd aanvalspotentieel.

Beheer van informatiebeveiliging: Het beheersysteem voor informatiebeveiliging voldoet aan beproefde normen en beginselen voor het beheer en de beheersing van informatiebeveiligingsrisico’s. Gevoelig cryptografisch materiaal dat voor uitgifte van elektronische identificatiemiddelen en voor authenticatie wordt gebruikt, wordt beschermd tegen ongeoorloofde man ipulatie. Er vinden periodieke onafhankelijke interne of externe audits plaats van alle onderdelen die voor de verlening van de aangeboden diensten relevant zijn, teneinde de naleving van het desbetreffende te waarborgen. DigiD Substantieel Bij dit project zijn stakeholders betrokken met ieder hun eigen belangen en overzicht beperken wij ons tot de volgende groepen stakeholders: (dienstaanbieders) Gegevensdiensten (register houders zoals: RvIG, RDW) zoals opsporingsdiensten, in verband met een wettelijke verplichting om gegevens te verstrekken) Wettelijk kader DigiD Substantieel In onderstaande tabel is de relevante wet - en regelgeving opgenomen en de impact hiervan op DigiD Substantieel.

De tabel geeft geen volledig en regelgeving die van toepassing is voor Logius. Impact Europese verordening die vanaf 25 mei 2018 van toepassing zal zijn en waarin eisen worden gesteld aan (persoons)gegevensbescherming. De AVG vervangt de Wbp. Wet die het beheer en de toegang van overheidsarchieven regelt. Regels betreffende de verwerking van persoonsgegevens en de bewaartermijnen ervan in de voorziening voor de generieke digitale infrastructuur. De eIDAS- verordening van de EU gaat over ele identificatie en h et opbouwen van een Europees vertrouwenstelsel waarbinnen elkaars identificatiemiddelen worden geaccepteerd om toegang te krijgen tot Alvorens persoonsidentificatiegegevens worden vrijgegeven, worden het elektronische identificatiemiddel en de geldigheid ervan op betrouwbare wijze in beveiligingscontrole s ter verificatie onwaarschijnlijk maken dat de authenticatiemechanismen kunnen worden omzeild door met hoden als gissen, afluisteren, herafspelen of manipuleren van communicatie door een Het beheersysteem voor informatiebeveiliging voldoet aan beproefde normen Gevoelig cryptografisch materiaal dat voor uitgifte van elektronische identificatiemiddelen en voor authenticatie wordt gebruikt, wordt beschermd Er vinden periodieke onafhankelijke interne of externe audits plaats van alle onderdelen die voor de verlening van de aangeboden diensten relevant zijn, teneinde de naleving van het desbetreffende te waarborgen.

Bij dit project zijn stakeholders betrokken met ieder hun eigen belangen en invloed. In dit wettelijke verplichting om en regelgeving opgenomen voor DigiD De tabel geeft geen volledig 25 mei 2018 van waarin eisen worden gesteld aan De AVG vervangt de het beheer en de toegang van overheidsarchieven Regels betreffende de verwerking van persoonsgegevens en de bewaartermijnen ervan in de voorziening voor de verordening van de EU gaat over ele ktronische et opbouwen van een Europees vertrouwenstelsel waarbinnen elkaars identificatiemiddelen worden geaccepteerd om toegang te krijgen tot 16 Regeling voorzieningen GDI Uitvoeringsverordening tot vaststelling van minimale technische specificaties en p rocedures betreffende het betrouwbaarheidsniveau voor elektronisch identificatiemiddelen Wet algemene bepalingen burgerservicenummer (Wabb) Wet bescherming persoonsgegevens (Wbp) Wet elektronisch berichtenverkeer Belastingdienst (EBV) Meldplicht datalekken 3.5.

Procesbeschrijving Een gebruiker kan ervoor kiezen het authenticatieniveau van zijn account te verhogen naar betrouwbaarheidsniveau ‘ Substantieel van een DigiD-account en een geactiveerde 3.5.1. Activeren DigiD app Voor het activeren van de DigiD app apparaat dan het app araat waarop de wachtwoord en sms (voor het activeren van de app is vooralsnog vereist) logt de gebruiker in waarna hij dient nogmaals het wachtwoord ingevoerd te worden en wordt een het telefoonnummer van de gebruiker de QR- code te scannen die zichtbaar wordt op code met de DigiD app geeft de mijn.digid.nl ter verificatie van het toestel. gekozen waarmee in het vervolg (grensoverschrijdende) overheidsdienstverlening. Regels met betrekking tot de werking, betrouwbaarheid van de voorzieningen voor elektronisch berichtenverkeer en informatieverschaffing alsmede van voorzieningen voor elektronische authenticatie. Uitvoeringsverordening tot vaststelling van minimale technische specificaties en rocedures betreffende het betrouwbaarheidsniveau voor Specificaties voor betrouwbaarheidsniveau laag, substantieel, hoog (nr 2015/1502, 8 september 2015) Wet algemene bepalingen De Wabb stelt eisen aan het gebruik van het burgerservicenummer.

Wet bescherming Wet waarin de bescherming van de privacy van burgers is vastgelegd en waarin is bepaald hoe met persoonsgegevens om moet worden gegaan. elektronisch De Wet elektronisch berichtenverkeer Belastingdienst (EBV) schept het wettelijk kader voor het verplichten van elektronisch berichtenverkeer in het contact met de Belastingdienst. In artikel X van deze we t is bovendien een grondslag opgenomen voor voorzieningen voor elektronisch berichtenverkeer, elektronische authenticatie en elektronische registratie van machtigingen en het raadplegen ervan, alsmede voor de in dat verband noodzakelijke verwerking van per soonsgegevens. De meldplicht datalekken voegt aan de Wet bescherming persoonsgegevens (Wbp) een meldplicht voor inbreuken op beveiligingsmaatreg elen voor persoonsgegevens toe. Procesbeschrijving gebruik DigiD Substantieel kan ervoor kiezen het authenticatieniveau van zijn account te verhogen naar Substantieel ’.

Hiervoor dient de gebruiker reeds in het bezit te zijn een geactiveerde DigiD app. DigiD app DigiD app dient ingelogd te worden op mijn.digid.nl araat waarop de DigiD app is geïnst alleerd. Middels gebruikersnaam, (voor het activeren van de app is vooralsnog het niveau ‘ in waarna hij in mijn.digid.nl de app kan activeren dient nogmaals het wachtwoord ingevoerd te worden en wordt een sms- code verstuurd naar gebruiker . Vervolgens dient de gebruiker de code te scannen die zichtbaar wordt op mijn.digid.nl . Na het scannen van de QR geeft de DigiD app een koppelcode die ingevoerd ter verificatie van het toestel. Ten slotte wordt door de gebruiker gekozen waarmee in het vervolg (in combinatie met de gebruikersnaam en het scannen van (grensoverschrijdende) overheidsdienstverlening. Regels met betrekking tot de werking, beveiliging en betrouwbaarheid van de voorzieningen voor elektronisch berichtenverkeer en informatieverschaffing alsmede van voorzieningen voor elektronische authenticatie.

Specificaties voor betrouwbaarheidsniveau laag, substantieel, hoog (nr 2015/1502, 8 september 2015) . De Wabb stelt eisen aan het gebruik van het Wet waarin de bescherming van de privacy van burgers is vastgelegd en waarin is bepaald hoe met persoonsgegevens om moet worden gegaan. De Wet elektronisch berichtenverkeer Belastingdienst (EBV) schept het wettelijk kader voor het verplichten van elektronisch berichtenverkeer in het contact met de t is bovendien een grondslag opgenomen voor voorzieningen voor elektronisch berichtenverkeer, elektronische authenticatie en elektronische registratie van machtigingen en het raadplegen ervan, alsmede voor de in dat verband soonsgegevens. voegt aan de Wet bescherming persoonsgegevens (Wbp) een meldplicht voor inbreuken op elen voor persoonsgegevens toe. kan ervoor kiezen het authenticatieniveau van zijn account te verhogen naar reeds in het bezit te zijn mijn.digid.nl op een ander alleerd.

Middels gebruikersnaam, het niveau ‘ Midden‘ kan activeren . Ter controle code verstuurd naar de app te openen en . Na het scannen van de QR - een koppelcode die ingevoerd dient te worden in gebruiker een pincode gebruikersnaam en het scannen van 17 een QR-code 11 ) ingelogd kan worden bij de DigiD app (in de praktijk zijn dit alle dienstaanb om in te loggen via de webbrowser van het mobiele apparaat (web to app). 3.5.2. Inloggen met DigiD app De functionaliteit van de DigiD Voor het inloggen kan de gebruiker kiezen voor twee mogelijkheden: mobiele apparaat waar de app op is geïnstalleerd (web to app) of via de browser op een ander apparaat. Bij het inloggen via de browser op het mobiele apparaat waar o op is geïnstalleerd is een gebruikersnaam en ander apparaat wordt gebruikt moet de scannen en zijn pincode invoeren 3.5.3. Authenticatieniveau verhogen De gebruiker dient in te loggen in geval van DigiD Midden) of met gebruiker aangeven het inlogniveau te willen verhogen.

De waar hij aan kan geven met welk soort WID gewenst wordt het niveau te verhogen. In de eerste release kan dit een Nederlandse identiteitskaart, een Nederlands paspoort of een Nederlands rijbewijs (uitgegeven na 14 november 2014) app de gegenereerde QR- code gescand te worden en dient de de DigiD app in te voeren. In het volgende scherm op de de gebruiker het toestel (waarop de leggen. Het WID wordt vervolgens gecontroleerd en indien deze wordt het inlogniveau opgehoogd naar DigiD Substantieel. De verificatie van het WID om het inlogniveau te verhogen dient 3.5.4. Inloggen met DigiD Substantieel Het inloggen met niveau Digi app. Zie hiervoor 3.5.2. 3.6. Gegevensstromen en koppelingen DigiD Substantieel Indien de gebruiker beschikt over de uitbreiden met betrouwbaarheidsniveau DigiD Substantieel. Een dienstaanbieder kan de gebruiker verplichten gebruik te maken van betrouwbaarheidsniveau DigiD Substantieel om in te loggen op de betreffende dienst.

Om uit te breiden naar d dient ee nmalig een controle plaats te vinden door h behulp van een NFC-reader . Om niveau DigiD Substantieel te behoude van het WID periodiek herhaald te worden zodat de identit De gebruiker geeft in mijn.digid.nl DigiD app begint vervolgens met het waarmee de a pp de authenticatie kan starten van Logius ingekochte component van Substantieel gebruikt om het 11 Indien wordt ingelogd via de browser met het apparaat waar de DigiD app op is geïnstalleerd, hoeft er geen QR-code te worden gescand. ingelogd kan worden bij afnemers die gebruik maken van authenticatie met (in de praktijk zijn dit alle dienstaanb ieders). Daarnaast is er om in te loggen via de webbrowser van het mobiele apparaat waarop de app is geïnstalleerd DigiD app De functionaliteit van de DigiD app komt algemeen beschikbaar bij alle dienstaanbieders Voor het inloggen kan de gebruiker kiezen voor twee mogelijkheden: via de browser op het mobiele apparaat waar de app op is geïnstalleerd (web to app) of via de browser op een ander apparaat.

Bij het inloggen via de browser op het mobiele apparaat waar o gebruikersnaam en pincode voldoende om in te loggen. Indien een ander apparaat wordt gebruikt moet de gebruiker zijn gebruikersnaam invoeren, de en zijn pincode invoeren . Authenticatieniveau verhogen naar DigiD Substantieel dient in te loggen op mijn.digid.nl met gebruikersnaam en wachtwoord (en in geval van DigiD Midden) of met gebruikersnaam en de DigiD app . Vervolgens kan de aangeven het inlogniveau te willen verhogen. De gebruiker komt in een scherm waar hij aan kan geven met welk soort WID gewenst wordt het niveau te verhogen. In de eerste release kan dit een Nederlandse identiteitskaart, een Nederlands paspoort of een Nederlands rijbewijs (uitgegeven na 14 november 2014) zijn. Vervolgens dient met de code gescand te worden en dient de gebruiker in te voeren. In het volgende scherm op de DigiD app wordt aangegeven dat het toestel (waarop de DigiD app is geïnstalleerd) op het gekozen WID dient te leggen.

Het WID wordt vervolgens gecontroleerd en indien deze succesvol wordt het inlogniveau opgehoogd naar DigiD Substantieel. De verificatie van het WID om het inlogniveau te verhogen dient eenmalig plaats te vinden en periodiek herhaald te worden. Inloggen met DigiD Substantieel Het inloggen met niveau Digi D Substantieel is overeenkomstig het inloggen met de Gegevensstromen en koppelingen DigiD Substantieel beschikt over de DigiD app kan hij via mijn.digid.nl het huidige account uitbreiden met betrouwbaarheidsniveau DigiD Substantieel. Een dienstaanbieder kan de verplichten gebruik te maken van betrouwbaarheidsniveau DigiD Substantieel om in te loggen op de betreffende dienst. Om uit te breiden naar d it betrouwbaarheidsniveau nmalig een controle plaats te vinden door h et lezen van de chip op het WID . Om niveau DigiD Substantieel te behoude n dient de controle herhaald te worden zodat de identit eit opnieuw bevestigd wordt. mijn.digid.nl aan gebruik te willen maken van DigiD Substantieel.

De begint vervolgens met het bevragen van de DigiD Kern om de URL te ontvangen pp de authenticatie kan starten . De RDA-server is een door ingekochte component van een subleverancier. De RDA- server wordt voor gebruikt om het WID via de NFC-chip te authenticeren. De Indien wordt ingelogd via de browser met het apparaat waar de DigiD app op is geïnstalleerd, hoeft er geen die gebruik maken van authenticatie met is er de mogelijkheid waarop de app is geïnstalleerd bij alle dienstaanbieders . via de browser op het mobiele apparaat waar de app op is geïnstalleerd (web to app) of via de browser op een ander apparaat. Bij het inloggen via de browser op het mobiele apparaat waar o ok de app pincode voldoende om in te loggen. Indien een zijn gebruikersnaam invoeren, de QR-code met gebruikersnaam en wachtwoord (en sms . Vervolgens kan de komt in een scherm waar hij aan kan geven met welk soort WID gewenst wordt het niveau te verhogen.

In de eerste release kan dit een Nederlandse identiteitskaart, een Nederlands paspoort of een zijn. Vervolgens dient met de DigiD gebruiker zijn pincode voor wordt aangegeven dat is geïnstalleerd) op het gekozen WID dient te succesvol geverifieerd is, wordt het inlogniveau opgehoogd naar DigiD Substantieel. De verificatie van het WID om het herhaald te worden. het inloggen met de DigiD Gegevensstromen en koppelingen DigiD Substantieel het huidige account uitbreiden met betrouwbaarheidsniveau DigiD Substantieel. Een dienstaanbieder kan de verplichten gebruik te maken van betrouwbaarheidsniveau DigiD Substantieel om it betrouwbaarheidsniveau et lezen van de chip op het WID met n dient de controle eit opnieuw bevestigd wordt. aan gebruik te willen maken van DigiD Substantieel. De om de URL te ontvangen is een door een leverancier server wordt voor DigiD De gebruiker kiest in Indien wordt ingelogd via de browser met het apparaat waar de DigiD app op is geïnstalleerd, hoeft er geen 18 mijn.digid.nl een WID- soort en een authenticeren.

In de eerste release van DigiD Substantieel kan de kiezen voor een Nederlandse identiteitskaart, een Nederlands paspoort en een Nederlands rijbewijs (uitgegeven vanaf Substantieel naar ver wachting ook met de eerste release van DigiD Substantieel zijn geschikt voor het controleren van het reader ingebouwd. In de iPhone is (vanaf een bepaald modeljaar) tevens een NFC ingebouwd. Echter, deze was op het moment van schrijven nog niet benaderbaar voor derden. In een late re release zal naar DigiD Substantieel met een met een iOS-toestel , afhankelijk de gebruiker het WID- soort en de URL die daarbij hoort, om de verbinding te leggen tussen de RDA WID- document. Afhankelijk van de keuze van het WID de externe partij RvIG (paspoort of identiteitskaart) of RDW (rijbewijs):
WID- soort: Nederlandse identiteitskaart of Nederlands paspoort Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het BSN van de gebruiker aangegeven als WID paspoort te willen gebruiken, wordt op basis van het BSN door DigiD Kern een bevraging gedaan naar de BRP van de RvIG recente documenten de gegevens door aan DigiD Kern.

DigiD Kern filtert op het gekozen WID- soort (identiteitskaart of paspoort) en geeft vervolgens van de gekozen soort de volgende gegevens door van de geldige en niet ingehouden reisdocumenten aan de geboortedatum van documenten zijn omdat een identiteitskaarten/paspoorten kan hebben. gekozen heeft een paspoort is, stuurt DigiD Kern alleen de en niet ingehouden paspoorten die server. Wanneer het WID is, worden alleen de gegevens van de die zijn ontvangen van de documenten van de gekozen soort geldig en niet ingehouden zijn, geeft DigiD Kern de gegevens door aan identiteitskaarten/paspoorten). De RDA uit de BRP de Machine Readable Zone Control (hierna: BAC) sleutel gegevens uit de NFC - Indien gegevens van meerdere documenten zijn ontvangen codes en meerdere BAC
WID-soor t: Nederlands eRijbewijs (vanaf 14 november 2014) Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het BSN van de gebruiker sessiegegevens meegegeven, zodat DigiD CIS de gebruiker heeft aangegeven als WID gebruiken, wordt op basis van het BSN een bevraging gedaan van DigiD CIS naar het CRB van de RDW.

Het CRB geeft de MRZ van het rijbewijs. DigiD CIS maximaal één MRZ ontvangen van het CRB omdat maar één rijbewijs geldig kan zijn. De RDA- server berekent op basis van de MRZ de soort en een NFC-reader soort (type smartphone) waarmee hij zich wil authenticeren. In de eerste release van DigiD Substantieel kan de gebruiker kiezen voor een Nederlandse identiteitskaart, een Nederlands paspoort en een Nederlands rijbewijs (uitgegeven vanaf 14 november 2014). In latere releases zal niveau DigiD wachting ook met een of meerdere additionele WID te de eerste release van DigiD Substantieel zijn alleen NFC- readers van Android controleren van het WID. In dergelijke toestellen is meestal In de iPhone is (vanaf een bepaald modeljaar) tevens een NFC deze was op het moment van schrijven nog niet benaderbaar voor re release zal het DigiD-account mogelijk ook versterkt kunnen worden met een NFC-reader via een browser plugin (U SB) en mogelijk ook , afhankelijk van of Apple de functionaliteit voldoende openstelt. soort en het NFC-reader soort heeft gekozen gaat de DigiD app naar om de verbinding te leggen tussen de RDA - server en chip op het document.

Afhankelijk van de keuze van het WID - soort wordt informatie opgehaal de externe partij RvIG (paspoort of identiteitskaart) of RDW (rijbewijs): soort: Nederlandse identiteitskaart of Nederlands paspoort Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het gebruiker opgezocht in D igiD Kern. Aangezien de aangegeven als WID - soort de Nederlandse identiteitskaart of het Nederlandse paspoort te willen gebruiken, wordt op basis van het BSN door DigiD Kern een bevraging gedaan naar de BRP van de RvIG . De BRP geeft van documenten de gegevens door aan DigiD Kern. DigiD Kern filtert op het soort (identiteitskaart of paspoort) en geeft vervolgens van de gekozen soort de volgende gegevens door van de geldige en niet ingehouden de DigiD Card Interface Service (hierna: CIS geboortedatum van gebruiker en geldigheidsdatum. Dit kunnen meerdere documenten zijn omdat een gebruiker meerdere geldige identiteitskaarten/paspoorten kan hebben.

Indien het WID- soort gekozen heeft een paspoort is, stuurt DigiD Kern alleen de gegevens van de en niet ingehouden paspoorten die zijn ontvangen van de BRP door aan de RDA server. Wanneer het WID -soort dat de gebruiker gekozen heeft een gegevens van de geldige en niet ingehouden zijn ontvangen van de BRP doorgegeven aan de RDA- server. documenten van de gekozen soort geldig en niet ingehouden zijn, geeft DigiD Kern aan de CIS van de meest recente documenten (max. vier identiteitskaarten/paspoorten). De RDA - server berekent op basis van de gegevens Machine Readable Zone (hierna: MRZ) en genereert de Control (hierna: BAC) sleutel op basis van de MRZ. Met de BAC - chip van de identiteitskaart of het paspoort uitgelezen worden. Indien gegevens van meerdere documenten zijn ontvangen , worden meerdere MRZ codes en meerdere BAC -sleutels berekend (max. vier). t: Nederlands eRijbewijs (vanaf 14 november 2014) Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het gebruiker opgezocht in DigiD Kern.

Via een artifact binding worden de sessiegegevens meegegeven, zodat DigiD CIS het BS N kan achterhalen. Aangezien heeft aangegeven als WID - soort het Nederlandse rijbewijs te willen gebruiken, wordt op basis van het BSN een bevraging gedaan van DigiD CIS naar het CRB van de RDW. Het CRB geeft de MRZ van het rijbewijs. DigiD CIS maximaal één MRZ ontvangen van het CRB omdat maar één rijbewijs geldig kan server berekent op basis van de MRZ de Basic Access Protection waarmee hij zich wil gebruiker als WID-soort kiezen voor een Nederlandse identiteitskaart, een Nederlands paspoort en een Nederlands 14 november 2014). In latere releases zal niveau DigiD WID te behalen zijn. In readers van Android -toestellen meestal een NFC- In de iPhone is (vanaf een bepaald modeljaar) tevens een NFC -reader deze was op het moment van schrijven nog niet benaderbaar voor ook versterkt kunnen worden SB) en mogelijk ook functionaliteit voldoende openstelt.

Nadat gaat de DigiD app naar server en chip op het soort wordt informatie opgehaal d bij Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het igiD Kern. Aangezien de gebruiker heeft soort de Nederlandse identiteitskaart of het Nederlandse paspoort te willen gebruiken, wordt op basis van het BSN door DigiD Kern een De BRP geeft van de vier meest documenten de gegevens door aan DigiD Kern. DigiD Kern filtert op het soort (identiteitskaart of paspoort) en geeft vervolgens van de gekozen soort de volgende gegevens door van de geldige en niet ingehouden CIS ): WID-nummer, Dit kunnen meerdere meerdere geldige soort dat de gebruiker gegevens van de geldige de BRP door aan de RDA - de gebruiker gekozen heeft een identiteitskaart geldige en niet ingehouden identiteitskaarten server. Indien meerdere documenten van de gekozen soort geldig en niet ingehouden zijn, geeft DigiD Kern CIS van de meest recente documenten (max. vier server berekent op basis van de gegevens en genereert de Basic Access de MRZ.

Met de BAC -sleutel kunnen chip van de identiteitskaart of het paspoort uitgelezen worden. worden meerdere MRZ - Aan de hand van de authenticatie met gebruikersnaam en wachtwoord wordt het opgezocht in DigiD Kern. Via een artifact binding worden de N kan achterhalen. Aangezien soort het Nederlandse rijbewijs te willen gebruiken, wordt op basis van het BSN een bevraging gedaan van DigiD CIS naar het CRB van de RDW. Het CRB geeft de MRZ van het rijbewijs. DigiD CIS kan maximaal één MRZ ontvangen van het CRB omdat maar één rijbewijs geldig kan Basic Access Protection 19 (hierna: BAP) sleutel . Met de BAP rijbewijs uitgeleze n worden. De RDA- server antwoordt aan DigiD CIS door een redirect URL met de sessie CIS geeft de redirect URL met Sessie met de redirect URL aan de DigiD app. De sessie wordt opgezet door de RDA DigiD app waarna de RDA - bevraging om het WID tegen de smartphone te houden start zodra het authenticeren begint De DigiD app geeft aan dat de houden zodat de gegevens op de chip via de NFC kunnen worden.

Met die BAP tussen de RDA- applicatie en de chip of het WID. Met d de gegevens vanuit de chip beveiligd stellen dat het aangeboden WID bij die met de BAP of BAC de chip te openen het betreffende BSN in BRP of CRB is ger berekend zijn, worden pogingen gedaan totdat de authenticatie succesvol is of zijn gebruikt. Na het opzetten v Authentication (hierna: PA) en Active Authentication ( RDA- server leest de gegevens uit de chip om onder andere de volgende verificaties te kunnen uit te voeren:
Controle o f de gegevens op de chip niet gewijzigd zijn middels
Controle of de chip niet gekloond is middels AA;
Controle van de gegevens op de chip met de controlegetallen in Security Object (SOD )
Controle van de handtekening met de AA publieke
Controle of het document signer certificaat is uitgegeven door de Certificate Authority ( CSCA In geval van een identiteitskaart of paspoort wordt de datagroep met de MRZ chip van het WID uitgelezen.

Dez
Document code;
Issuing State or organization
Name of holder;
Document number;
Nationality;
Date of birth;
Seks;
Date of expiry;
Optional data;
Composite check digit In geval van een rijbewijs wordt de uitgelezen. Deze datagroep met de MRZ
Identifier;
Rijbewijs nummer;
Discretionary data;
Composite check digit De resultaten van de authenticatie verificaties worden uitgewis DigiD CIS en van DigiD CIS met DigiD Kern. Zodra het resultaat in DigiD Kern is . Met de BAP - sleutel kunnen gegevens uit de NFC n worden. server antwoordt aan DigiD CIS door een redirect URL met de sessie CIS geeft de redirect URL met Sessie - ID aan DigiD Kern. DigiD Kern geeft een antwoord met de redirect URL aan de DigiD app. De sessie wordt opgezet door de RDA - server het WID kan authenticeren via de NFC bevraging om het WID tegen de smartphone te houden start zodra het authenticeren begint De DigiD app geeft aan dat de gebruiker het WID in de buurt van de NFC houden zodat de gegevens op de chip via de NFC - reader door de RDA Met die BAP -/BAC-sleutel wordt een veilig end-to- end kanaal opgezet applicatie en de chip of het WID.

Met d it beveiligde communicatiek de chip beveiligd en wordt het technisch mogelijk om vast te kunnen aangeboden WID bij die gebruiker hoort en authentiek is. de chip te openen , toont dit aan dat een WID wordt aangeboden dat bij het betreffende BSN in BRP of CRB is ger egistreerd. Indien meerdere BAC berekend zijn, worden pogingen gedaan totdat de authenticatie succesvol is of Na het opzetten v an deze beveiligde verbinding worden de Passive PA) en Active Authentication ( hierna: AA) controles uitgevoerd. server leest de gegevens uit de chip om onder andere de volgende verificaties te f de gegevens op de chip niet gewijzigd zijn middels PA; Controle of de chip niet gekloond is middels AA; Controle van de gegevens op de chip met de controlegetallen in ) ; Controle van de handtekening met de AA publieke sleutel; Controle of het document signer certificaat is uitgegeven door de CSCA ) en geldig is.

In geval van een identiteitskaart of paspoort wordt de datagroep met de MRZ chip van het WID uitgelezen. Dez e datagroep bevat de volgende gegevens: Issuing State or organization ; Composite check digit . In geval van een rijbewijs wordt de datagroep met de MRZ (DG12) uit de chip van het WID met de MRZ bevat de volgende gegevens: Composite check digit . De resultaten van de authenticatie verificaties worden uitgewis seld van de RDA DigiD CIS en van DigiD CIS met DigiD Kern. Zodra het resultaat in DigiD Kern is sleutel kunnen gegevens uit de NFC -chip van de server antwoordt aan DigiD CIS door een redirect URL met de sessie -ID en DigiD ID aan DigiD Kern. DigiD Kern geeft een antwoord met de redirect URL aan de DigiD app. De sessie wordt opgezet door de RDA -server met server het WID kan authenticeren via de NFC -reader. De bevraging om het WID tegen de smartphone te houden start zodra het authenticeren begint . het WID in de buurt van de NFC -reader dient te reader door de RDA -server gelezen end kanaal opgezet beveiligde communicatiek anaal zijn en wordt het technisch mogelijk om vast te kunnen hoort en authentiek is.

Wanneer het lukt toont dit aan dat een WID wordt aangeboden dat bij egistreerd. Indien meerdere BAC -sleutels berekend zijn, worden pogingen gedaan totdat de authenticatie succesvol is of dat alle WID an deze beveiligde verbinding worden de Passive AA) controles uitgevoerd. De server leest de gegevens uit de chip om onder andere de volgende verificaties te PA; Controle van de gegevens op de chip met de controlegetallen in het Document Controle of het document signer certificaat is uitgegeven door de Country Signing In geval van een identiteitskaart of paspoort wordt de datagroep met de MRZ (DG1) uit de e datagroep bevat de volgende gegevens: uit de chip van het WID seld van de RDA -server met DigiD CIS en van DigiD CIS met DigiD Kern. Zodra het resultaat in DigiD Kern is , stopt de 20 bevraging. De gegevens voor de verificatie blijven alleen voor die sessie bewaard. De gebruiker krijgt te zien of de controle gelukt is of gebruiker wat hij kan doen.

Hierbij wordt bewust niet gemeld wat er precies fout is gegaan. Schematisch ziet het proces er als volgt uit: De koppelvlakken in bovenstaand figuur zijn genummerd en onderstaande tabel: # Van Naar 1 1.1 Dienstaanbied er Mijn DigiD 1.2 Mijn DigiD Dienstaanbieder 2 2.1 Gebruiker Mijn DigiD 2.2 Mijn DigiD Gebruiker 2.3 Gebruiker Mijn DigiD 2.4 Gebruiker Mijn DigiD 2.5 Mijn DigiD Gebruiker 2.6 Mijn DigiD Gebruiker 3 3.1 DigiD Kern BRP bevraging. De gegevens voor de verificatie blijven alleen voor die sessie bewaard. De krijgt te zien of de controle gelukt is of niet en er wordt een advies gegeven aan de wat hij kan doen. Hierbij wordt bewust niet gemeld wat er precies fout is gegaan. Schematisch ziet het proces er als volgt uit: De koppelvlakken in bovenstaand figuur zijn genummerd en worden toegelicht in Naar Gegevens /bevraging Protocol Mijn DigiD Authenticeren (gebruiker, betrouwbaarheidsniveau) SAML binding met AuthnRequest en AuthResponse Dienstaanbieder Betrouwbaarheidsniveau DigiD Substantieel, BSN Mijn DigiD Keuzescherm (account = substantieel) SAML Redirect binding Gebruiker Keuzescherm (WID- soort, NFC-reader soort) Mijn DigiD WID-soort, NFC-reader soort Mijn DigiD Polling Gebruiker Polling response Gebruiker Controle gelukt/niet gelukt BRP BSN Diginetwerk en SOAP bevraging.

De gegevens voor de verificatie blijven alleen voor die sessie bewaard. De niet en er wordt een advies gegeven aan de wat hij kan doen. Hierbij wordt bewust niet gemeld wat er precies fout is gegaan. worden toegelicht in Protocol SAML binding met AuthnRequest en AuthResponse SAML Redirect binding Diginetwerk en SOAP 21 # Van Naar 3.2 BRP DigiD Kern 4 4.1 DigiD Kern DigiD CIS 4.2 DigiD CIS DigiD Kern 4.3 DigiD CIS DigiD Kern 5 5.1 DigiD CIS CRB 5.2 CRB DigiD CIS 6 6.1 DigiD CIS RDA 6.2 RDA-server DigiD CIS 6.3 DigiD CIS RDA 6.4 RDA-server DigiD CIS 7 7.1 Mobiel apparaat (NFC) RDA 7.2 Mobiel apparaat (NFC) RDA 7.3 RDA-server Mobiel (NFC) 7.4 Mobiel apparaat (NFC) RDA 8 8.1 USB RDA 8.2 USB (NFC) RDA 8.3 RDA-server USB (NFC) 8.4 RDA-server USB (NFC) 9 9.1 Gebruiker DigiD CIS 9.2 DigiD CIS Gebruiker Koppelvlak 10 geeft de koppeling weer tussen een DigiD Auditlog. Op dit moment kan alleen DigiD Kern release (verwacht septe mber) kan mogelijk iedere DigiD doorgeven aan de Logger.

D e Logger schrijft de logging weg in de Auditlog. Technische logging wordt gelogd in de sys gegenereerd door het systeem en is benodigd voor het onderhouden en het systeem. In de syslog worden de volgende gegevens vastgelegd:
IP-adres;
Datum;
Tijd;
Component / SAML AuthreqID
Technische details ‘ func De functionele logging wordt gelogd in de transactielog. In de transactielog Substantieel worden de volgende gegevens
IP-adres;
Unieke gepseudonimiseerde BSN 12 WID-info: WID- nummer, geboortedatum, einddatum geldigheid, datum inhouding/vermissing 13 De artifact binding zorgt er voor dat gevoelige data niet via de browser worden verstuurd waardoor kwetsbaarheden zoveel mogelijk op de achtergrond blijven. Naar Gegevens /bevraging Protocol DigiD Kern WID-info 12 DigiD CIS Sessie-ID, WID-soort, NFC- reader soort, WID- info SAML met artifact binding koppelvlak) DigiD Kern URL met Sessie-ID DigiD Kern Sessie-ID, OK/NOK CRB BSN Diginetwerk en SOAP DigiD CIS MRZ of reden ongeldig WID RDA -server Sessie-ID, WID-soort, NFC- readersoort, WID- info/MRZ, pseudoniem_user_ID SAML met SOAP binding (Artifact binding in geval van USB) DigiD CIS Sessie-ID, URL, OK/NOK RDA -server Optioneel: cancel Sessie-ID DigiD CIS Optioneel: ERR001_CANCELLED RDA -server Polling APDU commands over TLS RDA -server MRZ Mobiel apparaat (NFC) APDU’s RDA -server Result APDU’s RDA -server Polling RDA -server MRZ USB (NFC) APDU’s USB (NFC) Sessie-ID, URL, OK/NOK DigiD CIS WID-soort, NFC-reader soort SAML Redirect binding Gebruiker Controle gelukt/niet gelukt koppeling weer tussen een DigiD - component, de Logger en de Auditlog.

Op dit moment kan alleen DigiD Kern wegschrijven in de Logger. In de nieuwe mber) kan mogelijk iedere DigiD - component logging informatie direct e Logger schrijft de logging weg in de Auditlog. Technische logging wordt gelogd in de sys teemlogging (syslog) . gegenereerd door het systeem en is benodigd voor het onderhouden en het systeem. In de syslog worden de volgende gegevens vastgelegd: Component / SAML AuthreqID ; func tion calls’. De functionele logging wordt gelogd in de transactielog. In de transactielog worden de volgende gegevens vastgelegd: Unieke gepseudonimiseerde BSN 14 ; nummer, geboortedatum, einddatum geldigheid, datum inhouding/vermissing De artifact binding zorgt er voor dat gevoelige data niet via de browser worden verstuurd waardoor kwetsbaarheden zoveel mogelijk op de achtergrond blijven. Protocol SAML met artifact binding 13 (K1 koppelvlak) Diginetwerk en SOAP SAML met SOAP binding (Artifact binding in geval van USB) APDU commands over TLS SAML Redirect binding component, de Logger en de wegschrijven in de Logger.

In de nieuwe component logging informatie direct e Logger schrijft de logging weg in de Auditlog. . De syslog wordt gegenereerd door het systeem en is benodigd voor het onderhouden en het beheren van De functionele logging wordt gelogd in de transactielog. In de transactielog van DigiD nummer, geboortedatum, einddatum geldigheid, datum inhouding/vermissing . De artifact binding zorgt er voor dat gevoelige data niet via de browser worden verstuurd waardoor 22
Sessie-ID;
Sectoraal nummer;
Dienstaanbieder waar wordt
Datum en t ijd van authenticatie
NFC-reader soort;
WID-soort;
Resultaat van RDA: OK/NOK In de beheermodule is de transactielog gekoppeld aan het account van de gebruiker. gegevens behorende bij het account zijn vastgelegd in DigiD Kern en be het BSN van de gebruiker. De syslog en transactielog zijn van elkaar gescheiden en kunnen middels het IP gekoppeld worden. Bij de syslog kunnen andere personen dan bij de transactielog (functiescheidingen). 3.7.

Bewaartermijnen Loggin g Transactielog Centrale logservers Back-up termijn Systeemlog Briefbestanden Logging infrastructuurcomponenten Loadbalancer logging Sessiegegevens en cookies 14 Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit gegeven vormt de basis voor de facturering t.b.v. de Dienstaanbieder waar wordt ingelogd; ijd van authenticatie ; Resultaat van RDA: OK/NOK ; In de beheermodule is de transactielog gekoppeld aan het account van de gebruiker. gegevens behorende bij het account zijn vastgelegd in DigiD Kern en be vatten onder andere De syslog en transactielog zijn van elkaar gescheiden en kunnen middels het IP gekoppeld worden. Bij de syslog kunnen andere personen dan bij de transactielog Bewaartermijnen logging Maximale bewaartermijn Toelichting 5 jaar Logging gegenereerd door applicaties. 18 maanden Centrale vastlegging van de logging. 4 maanden Voor de mogelijkheid tot h van DigiD na een grote calamiteit. 100 dagen Technische logging gegenereerd door componenten. 6 weken Gegevens die nodig correct weergeven van een aanvraag. 1 maand Deze logging wordt gesynchr oniseerd met centrale logservers. 7 dagen Een change is ingediend om deze logging ook naar centrale loservers te synchroniseren.

Sessieduur Gegevens die worden het moment van uitloggen. Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit de basis voor de facturering t.b.v. de RDA-server. In de beheermodule is de transactielog gekoppeld aan het account van de gebruiker. De vatten onder andere De syslog en transactielog zijn van elkaar gescheiden en kunnen middels het IP -adres gekoppeld worden. Bij de syslog kunnen andere personen dan bij de transactielog Logging gegenereerd door Centrale vastlegging van de Voor de mogelijkheid tot h erstel een grote calamiteit. Technische logging gegenereerd door componenten. nodig zijn voor het correct weergeven van een Deze logging wordt oniseerd met centrale Een change is ingediend om deze logging ook naar centrale loservers te synchroniseren. die worden bewaard tot moment van uitloggen.

Het unieke gepseudonimiseerde BSN is niet te herleiden naar een BSN en wordt niet gebruikt voor authenticatiedoeleinden maar voor het bepalen van het aantal unieke gebruikers van DigiD Substantieel. Dit 23 4. Conclusies 4.1. Positionering DigiD Substantieel en ten opzichte van Het voornemen van het ministerie van BZK om het DigiD authenticatiemechanisme te versterken, in de tijd uitstrekken. De PSA beschrijven een eerste stap in deze ontwikkelcyclus, namelijk een versterkt uitgifteproces en bijbehorend authenticatiem iddel. Niet alle benodigde functionaliteiten voor een volledig DigiD op het niveau Substantieel zijn in de PSA beschreven. Buiten de scope van de PSA Substantieel vallen:
DigiD- accounts van onbekende personen worden gebruikt aangezien een BSN vereist is om gegevens uit op te halen;
Aanvragen buitenland voor Balie en SVB;
De mogelijkheid om 7 x 24 uur een identiteitsdocument op te geven als vermist of gestolen en het op basis daarvan blokkeren De bestaande DigiD biedt de wachtwoord (optioneel met sms) of gebruikersnaam en DigiD app betrouwbaarheidsniveau ‘ Substantieel waarbij de identiteit van de scannen van de chip aanwezig op een apparaat van de gebruiker.

In de eerste versie van DigiD Substantieel van Logius de DigiD app beschikbaar zijn voor iOS/ App naar verwachting ook bruikbaar zijn met een iOS functionaliteit voldoende openstelt. 4.1.1. Bevindingen Uit de informatie verkregen over het ontwerp van DigiD Substantieel blijkt dat Document Access (RDA) server een voor DigiD Substantieel. Een nieuw koppelvlak met aantal functionele en technische nieuwe koppelvlakken op bestaande koppelvakken. Aanpassingen koppelvlakken DigiD Kern - Nieuwe systeemvoorzieningen zijn gerealiseerd voor het gebru deze aanpassingen is DigiD Substantieel een systeem dat niet los kan worden gezien van de bestaande DigiD. De bestaande DigiD en DigiD Substantieel elkaar verbonden . DigiD Substantieel maakt voor een technische voorzieningen en verwerkingen van persoonsgegevens van Anders geformuleerd: de verwerkingen van persoonsgegevens als gevolg van het gebruik van DigiD Substantieel en de functioneel dezelfde verwerkingen en zijn operationeel gezien sterk met elkaar verweven.

Dit betekent ook dat de p rivacyrisico bestaande DigiD niet los ge Substantieel en vice versa. De p Conclusies en aanbevelingen PIA DigiD Substantieel in de ontwikkelcyclus van DigiD en ten opzichte van de bestaande DigiD Het voornemen van het ministerie van BZK om het DigiD - middel en bijbehorende authenticatiemechanisme te versterken, wordt gerealiseerd via een aantal st PSA DigiD Substantieel en aanvullende ontwerpdocumentatie beschrijven een eerste stap in deze ontwikkelcyclus, namelijk een versterkt uitgifteproces en iddel. Niet alle benodigde functionaliteiten voor een volledig DigiD op het niveau Substantieel zijn in de PSA beschreven. Buiten de scope van de PSA accounts van onbekende personen . Deze kunnen voor DigiD Substantieel niet worden gebruikt aangezien een BSN vereist is om gegevens uit de Aanvragen buitenland voor Balie en SVB; De mogelijkheid om 7 x 24 uur een identiteitsdocument op te geven als vermist of gestolen en het op basis daarvan blokkeren van een authenticatiemiddel.

De bestaande DigiD biedt de gebruiker de mogelijkheid om met een gebruikersnaam en (optioneel met sms) of gebruikersnaam en DigiD app Substantieel ’ te behalen is door Logius gekozen voor een aanpak waarbij de identiteit van de gebruiker geverifieerd wordt door het initieel en scannen van de chip aanwezig op een WID met behulp van de DigiD app eerste versie van DigiD Substantieel zal door technische oorzaken alleen bruikbaar zijn voor Android- telefoons en nog niet App le smartphones. In een latere release zal DigiD Substantieel naar verwachting ook bruikbaar zijn met een iOS - toestel, afhankelijk van of Apple de functionaliteit voldoende openstelt. Uit de informatie verkregen over het ontwerp van DigiD Substantieel blijkt dat Document Access (RDA) server een nieuwe technische component is die gerealiseerd voor DigiD Substantieel. Een nieuw koppelvlak met het CRB is gerealiseerd. Ook en technische uitbreidingen doorgevoerd voor de communicatie met nieuwe koppelvlakken op bestaande DigiD-componenten en met al koppelvakken.

Aanpassingen zijn gedaan op de DigiD Kern, DigiD CIS en op de BRP, RDA-server - DigiD app en DigiD CIS Nieuwe systeemvoorzieningen zijn gerealiseerd voor het gebru ik van de DigiD Substantieel een systeem dat niet los kan worden gezien van bestaande DigiD en DigiD Substantieel zijn onlosmakelijk met . DigiD Substantieel maakt voor een belangrijk deel gebruik van technische voorzieningen en verwerkingen van persoonsgegevens van de de verwerkingen van persoonsgegevens als gevolg van het gebruik de bestaande DigiD zi jn voor een belangrijk deel technologisch en functioneel dezelfde verwerkingen en zijn operationeel gezien sterk met elkaar verweven. Dit rivacyrisico 's en de daaraan gerelateerde beveiligingsrisico's van bestaande DigiD niet los ge zien kunnen worden van de risico's gekoppeld aan DigiD Substantieel en vice versa. De p rivacyrisico’s van de bestaande DigiD, behoudens de in de ontwikkelcyclus van DigiD middel en bijbehorende wordt gerealiseerd via een aantal st appen die zich en aanvullende ontwerpdocumentatie beschrijven een eerste stap in deze ontwikkelcyclus, namelijk een versterkt uitgifteproces en iddel.

Niet alle benodigde functionaliteiten voor een volledig DigiD op het niveau Substantieel zijn in de PSA beschreven. Buiten de scope van de PSA DigiD DigiD Substantieel niet de BRP en het CRB De mogelijkheid om 7 x 24 uur een identiteitsdocument op te geven als vermist of van een authenticatiemiddel. de mogelijkheid om met een gebruikersnaam en in te loggen. Om te behalen is door Logius gekozen voor een aanpak initieel en periodiek DigiD app op het mobiele door technische oorzaken buiten het bereik telefoons en nog niet In een latere release zal DigiD Substantieel toestel, afhankelijk van of Apple de Uit de informatie verkregen over het ontwerp van DigiD Substantieel blijkt dat de Remote nieuwe technische component is die gerealiseerd is gerealiseerd. Ook is een voor de communicatie met met al bestaande DigiD CIS en op de en DigiD CIS - RDA-server. ik van de DigiD app. Met DigiD Substantieel een systeem dat niet los kan worden gezien van zijn onlosmakelijk met gebruik van bestaande de bestaande DigiD. de verwerkingen van persoonsgegevens als gevolg van het gebruik jn voor een belangrijk deel technologisch en functioneel dezelfde verwerkingen en zijn operationeel gezien sterk met elkaar verweven.

Dit 's en de daaraan gerelateerde beveiligingsrisico's van de zien kunnen worden van de risico's gekoppeld aan DigiD bestaande DigiD, behoudens de 24 versterking van het uitgifte- Substantieel. Geconstateerd is dat op de bestaande DigiD nog geen uitvoering van deze PIA op DigiD Substantieel is, vanwege de verwevenheid met het bestaande DigiD- systeem, daarom naar vermogen ook aandacht besteed aan de privacyrisico's die kleve n aan persoonsgegevens en systeemcomponenten. DigiD Substantieel is dus een doorontwikkeling en uitbreiding van Bestaande componenten en beveiligingsmaatregelen worden hergebruik authenticatiemiddelen blijven voorlopig gehandhaafd en beschikbaar voor dienstaanbieders, naast het authenticatieniveau Substantieel. Hiermee wordt een geleidelijke overgang bewerkstelligd en is de continuïteit van de bestaande administratie dienstverlening gegarandeerd. Bij deze gekozen aanpak spelen daarnaast afweging de projectrisico’s verder beperken voorgeschreven tijdpaden .

Tot slot spelen ook In deze PIA op de PSA DigiD Substantieel en de wijze waarop deze versi gerealiseerd wordt, is een aantal bevindingen aangaande Hierbij zijn naar vermogen aanbevelingen gedaan om deze risico’s verder te mitigeren. Deze risico’s vloeien echter maar ten dele voort uit de versterking v authenticatiemechanisme naar het niveau Substantieel. Veel van de onderkende privacyrisico ’s zijn in feite risico’s van de bestaande DigiD hergebruikt worden binnen DigiD Substantieel. Een belangrijke con clusie uit deze PIA is dat de realisatie van maar beperkte additionele p rivacyrisico DigiD. Het feit dat DigiD Substantieel gerealiseerd wordt met gemeensch systeemcomponenten en - privacyrisico's van de bestaande DigiD overerft worden in DigiD Substantieel. Het is belangrijk te onderkennen dat DigiD Substantieel nog verder wordt doorontwikkeld. De PSA DigiD Substantieel is slechts een eerste stap in een breder versterkingsproces van DigiD.

Uiteindelijk is het de bedoeling van realisatie van Substantieel, door te gaan met het ontwikkelen naar DigiD Hoog. Inmiddels bekend dat in DigiD Hoog cryptografische en andere aanvullende maatregelen de bestaande DigiD als DigiD Substantieel beperken. Het uiteindelijke doel is dat het huidige DigiD gebaseerde verwerking naar een pseudoniem dienstaanbieder in staat is het pseudoniem te herleiden tot de identiteit van de Met deze technologische maatregelen die op termijn ook voor gelden wordt invulling gegeven aan de eis vanuit de AVG om beveiligingsmaatregelen te treffen naar de stand van de techniek. Op basis van de huidige plannen van authenticatiemechanismen en is dat de doorontwikkeling, doorgezet en afgerond en dat uiteindelijk de middelen en concepten van het nu bestaande DigiD- systeem worden afgebouwd en/of de de volgende paragraaf wordt nader ingegaan op de specifieke p en inlogproces, zijn feitelijk ook van toepassing op DigiD bestaande DigiD nog geen integrale PIA is uitgevoerd.

Bij de uitvoering van deze PIA op DigiD Substantieel is, vanwege de verwevenheid met het systeem, daarom naar vermogen ook aandacht besteed aan de n aan de bestaande DigiD en de achterliggende verwerkingen van persoonsgegevens en systeemcomponenten. DigiD Substantieel is dus een doorontwikkeling en uitbreiding van de Bestaande componenten en beveiligingsmaatregelen worden hergebruik blijven voorlopig gehandhaafd en beschikbaar voor dienstaanbieders, naast het authenticatieniveau Substantieel. Hiermee wordt een geleidelijke overgang bewerkstelligd en is de continuïteit van de bestaande administratie gegarandeerd. Bij deze gekozen aanpak spelen daarnaast afweging beperken en waarbij recht wordt gedaan aan strakke mijlpalen . Tot slot spelen ook bedrijfseconomische overwegingen een rol In deze PIA op de PSA DigiD Substantieel en de wijze waarop deze versi een aantal bevindingen aangaande p rivacyrisico Hierbij zijn naar vermogen aanbevelingen gedaan om deze risico’s verder te mitigeren.

Deze risico’s vloeien echter maar ten dele voort uit de versterking v an de authenticatiemechanisme naar het niveau Substantieel. Veel van de onderkende ’s zijn in feite risico’s van de bestaande DigiD - opzet en hergebruikt worden binnen DigiD Substantieel. clusie uit deze PIA is dat de realisatie van de PSA rivacyrisico 's met zich meebrengt ten opzichte van DigiD. Het feit dat DigiD Substantieel gerealiseerd wordt met gemeensch functies van de bestaande DigiD zorgt ervoor dat de bestaande DigiD overerft worden in DigiD Substantieel. Het is belangrijk te onderkennen dat DigiD Substantieel nog verder wordt doorontwikkeld. Substantieel is slechts een eerste stap in een breder versterkingsproces van DigiD. Uiteindelijk is het de bedoeling van het ministerie van BZK en Logius om, naast de realisatie van Substantieel, door te gaan met het ontwikkelen naar DigiD Hoog. Inmiddels bekend dat in DigiD Hoog cryptografische en andere aanvullende maatregelen bestaande DigiD als DigiD Substantieel zijn voorzien om de p rivacyrisico Het uiteindelijke doel is dat het huidige DigiD - stelsel overgaat van gebaseerde verwerking naar een pseudoniem - gebaseerde verwerking waarbij alleen de in staat is het pseudoniem te herleiden tot de identiteit van de Met deze technologische maatregelen die op termijn ook voor Di giD Substant gelden wordt invulling gegeven aan de eis vanuit de AVG om beveiligingsmaatregelen te treffen naar de stand van de techniek.

Op basis van de huidige plannen van het ministerie van authenticatiemechanismen en -middelen te versterken, v alt te concluderen dat zoals is voorgenomen door het ministerie van doorgezet en afgerond en dat uiteindelijk de middelen en concepten van het nu bestaande systeem worden afgebouwd en/of de privacy risico's daarvan worden gemitigeerd. In de volgende paragraaf wordt nader ingegaan op de specifieke p rivacyrisico en inlogproces, zijn feitelijk ook van toepassing op DigiD PIA is uitgevoerd. Bij de uitvoering van deze PIA op DigiD Substantieel is, vanwege de verwevenheid met het systeem, daarom naar vermogen ook aandacht besteed aan de bestaande DigiD en de achterliggende verwerkingen van bestaande DigiD. Bestaande componenten en beveiligingsmaatregelen worden hergebruik t en de bestaande blijven voorlopig gehandhaafd en beschikbaar voor gebruikers en dienstaanbieders, naast het authenticatieniveau Substantieel.

Hiermee wordt een geleidelijke overgang bewerkstelligd en is de continuïteit van de bestaande administratie en gegarandeerd. Bij deze gekozen aanpak spelen daarnaast afweging en die strakke mijlpalen en bedrijfseconomische overwegingen een rol . In deze PIA op de PSA DigiD Substantieel en de wijze waarop deze versi e technisch rivacyrisico ’s geïdentificeerd. Hierbij zijn naar vermogen aanbevelingen gedaan om deze risico’s verder te mitigeren. Deze de bestaande DigiD authenticatiemechanisme naar het niveau Substantieel. Veel van de onderkende opzet en -infrastructuur die de PSA DigiD Substantieel 's met zich meebrengt ten opzichte van de bestaande DigiD. Het feit dat DigiD Substantieel gerealiseerd wordt met gemeensch appelijke bestaande DigiD zorgt ervoor dat de bestaande DigiD overerft worden in DigiD Substantieel. Het is belangrijk te onderkennen dat DigiD Substantieel nog verder wordt doorontwikkeld.

Substantieel is slechts een eerste stap in een breder versterkingsproces van BZK en Logius om, naast de realisatie van Substantieel, door te gaan met het ontwikkelen naar DigiD Hoog. Inmiddels is bekend dat in DigiD Hoog cryptografische en andere aanvullende maatregelen voor zowel rivacyrisico ’s verder te stelsel overgaat van een BSN- gebaseerde verwerking waarbij alleen de in staat is het pseudoniem te herleiden tot de identiteit van de gebruiker. giD Substant ieel gaan gelden wordt invulling gegeven aan de eis vanuit de AVG om beveiligingsmaatregelen te het ministerie van BZK om de alt te concluderen dat het belangrijk het ministerie van BZK, wordt doorgezet en afgerond en dat uiteindelijk de middelen en concepten van het nu bestaande risico's daarvan worden gemitigeerd. In rivacyrisico 's. 25 4.1.2. Aanbevelingen Op de bestaande DigiD is niet eerder een doorvoeren van veranderingen a integraal overzicht van p rivacyrisico verdient aanbeveling om bij de doorontwikkeling van DigiD een privacyrisico analyse uit te voeren op DigiD Substantieel en DigiD Hoog infrastructuur. 4.2.

Noodzakelijke verwerking persoonsgegevens DigiD Substantieel Om te beoordelen of het noodzakelijk is pers bereiken doel voor DigiD Substantieel speelt de vraag naar Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de de verwerking van persoonsgege de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een ander verwerking van de per soonsgegevens verwerkelijkt 15 . Voor het realiseren van DigiD Substantieel is door Logius voor een aanpak gekozen waarbij in een aantal fasen vanuit betrouwbaarheidsniveau. Hierbij spelen zowel bedrijfseconomische afwegingen als ook afwegingen om de projectafbreukrisico's te beperken. Bij de verdere doorontwikkeling na de realisati een periode van één tot drie jaar te starten met het afbouwen van het van het BSN binnen de DigiD maatregelen geïntroduceerd, betere beheersing van het BSN. 4.2.1.

Bevindingen p roportionaliteit Voor het verifiëren van een identiteitskaart/paspoort wordt een bevraging gedaan naar de BRP van de RvIG. De gegevens van behorende bij het BSN worden ontvangen door Logius en niet alleen de strikt noodzakelijke gegevens. De gegevensaanvraag is niet specifiek voor Substantieel waardoor alle gegevens waar DigiD autorisatie voor heeft worden niet- proportioneel te beschouwen. De gegevens die benodigd zijn voor DigiD Substantieel (de geboortedatum van de aanduiding op of datum van inhouding/vermis worden zodat alleen deze gegevens worden ontvangen door RvIG biedt echter niet de mogelijkheid om de gegevensaanvraag RvIG specifiek te maken op basis van het documentsoort (paspoort/identiteitskaart). maatregel worden conform het ontwerp ontvangen gegev uur geautomatiseerd gewist. De p geminimaliseerd. 15 Zie artikel 8 Wet bescherming persoonsgegevens. bestaande DigiD is niet eerder een integrale PIA uitgevoerd.

applies Wet Art. 8

Wel is (en wordt) doorvoeren van veranderingen a an DigiD aandacht besteed aan de eisen van de Wbp. Een rivacyrisico ’s van de bestaande DigiD is niet voorhanden. verdient aanbeveling om bij de doorontwikkeling van DigiD een analyse uit te voeren op de organisatorische en technische maatregelen DigiD Substantieel en DigiD Hoog , inclusief de bestaande DigiD en de onderliggende verwerking persoonsgegevens DigiD Substantieel Om te beoordelen of het noodzakelijk is pers oonsgegevens te verwerken voor het te bereiken doel voor DigiD Substantieel speelt de vraag naar proportionaliteit Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de de verwerking van persoonsgege vens, niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een ander soonsgegevens betrokkene, minder nadelige wijze kunnen worden Voor het realiseren van DigiD Substantieel is door Logius voor een aanpak gekozen waarbij in een aantal fasen vanuit de bestaande DigiD wordt doorontwikkeld naar een hoger betrouwbaarheidsniveau.

Hierbij spelen zowel bedrijfseconomische en dienstverlenende afwegingen als ook afwegingen om de projectafbreukrisico's te beperken. Bij de verdere doorontwikkeling na de realisati e van DigiD Substantieel is Logius voornemens om binnen een periode van één tot drie jaar te starten met het afbouwen van het rechtstreeks van het BSN binnen de DigiD - systeemomgeving en worden additionele cryptografische maatregelen geïntroduceerd, waardoor DigiD in de toekomst voorziet in betere beheersing van het BSN. roportionaliteit Voor het verifiëren van een identiteitskaart/paspoort wordt een bevraging gedaan naar de gegevens van de meest recente paspoorten en identiteitskaarten worden ontvangen door Logius en niet alleen de strikt noodzakelijke De gegevensaanvraag is niet specifiek voor Substantieel waardoor alle gegevens waar DigiD autorisatie voor heeft worden ontvangen. De huidige bevraging is daarmee als proportioneel te beschouwen.

De gegevens die benodigd zijn voor DigiD Substantieel geboortedatum van de gebruiker, het WID-nummer, de geldigheidsdatum en aanduiding op of datum van inhouding/vermis sing) kunnen door Logius wel gegevens worden ontvangen . De huidige functionaliteit geboden door RvIG biedt echter niet de mogelijkheid om de gegevensaanvraag RvIG specifiek te maken op basis van het documentsoort (paspoort/identiteitskaart). A ls compenserende conform het ontwerp ontvangen gegev ens bij Logius na uur geautomatiseerd gewist. De p rivacyrisico’ s zijn voor dit onderdeel hiermee Zie artikel 8 Wet bescherming persoonsgegevens. is (en wordt) bij het an DigiD aandacht besteed aan de eisen van de Wbp. Een bestaande DigiD is niet voorhanden. Het verdient aanbeveling om bij de doorontwikkeling van DigiD een integrale de organisatorische en technische maatregelen van bestaande DigiD en de onderliggende verwerking persoonsgegevens DigiD Substantieel oonsgegevens te verwerken voor het te proportionaliteit en subsidiariteit.

applies Wet Art. 8

Het proportionaliteitsbeginsel houdt in dat de inbreuk op de belangen van de betrokkene bij niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ingevolge het subsidiariteitsbeginsel mag het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een ander e, voor de bij de minder nadelige wijze kunnen worden Voor het realiseren van DigiD Substantieel is door Logius voor een aanpak gekozen waarbij bestaande DigiD wordt doorontwikkeld naar een hoger en dienstverlenende afwegingen als ook afwegingen om de projectafbreukrisico's te beperken. Bij de verdere e van DigiD Substantieel is Logius voornemens om binnen rechtstreeks gebruik systeemomgeving en worden additionele cryptografische waardoor DigiD in de toekomst voorziet in onder meer een Voor het verifiëren van een identiteitskaart/paspoort wordt een bevraging gedaan naar de paspoorten en identiteitskaarten worden ontvangen door Logius en niet alleen de strikt noodzakelijke De gegevensaanvraag is niet specifiek voor Substantieel waardoor alle gegevens De huidige bevraging is daarmee als proportioneel te beschouwen.

De gegevens die benodigd zijn voor DigiD Substantieel geldigheidsdatum en de kunnen door Logius wel gespecifieerd De huidige functionaliteit geboden door RvIG biedt echter niet de mogelijkheid om de gegevensaanvraag RvIG specifiek te ls compenserende ens bij Logius na maximaal een s zijn voor dit onderdeel hiermee 26 4.2.2. Bevindingen s ubsidiariteit Logius heeft de beschikking over persoonsgegevens, waaronder gebruikers. Dez e gegevens beveiligings maatregelen maar transactiegegevens bevatten onder andere accountgegevens, BSN deze transactiegegevens is ook vastgelegd bij welke dienst de gebruiker heeft ingelogd. Gezien de wettelijke bewaartermijnen transactielogging) is de totale dataset in volumes groot. Uitgaande van de bewaartermijn van vijf jaar en een aantal v an 250 miljoen transacties per jaar gaat dat aantal, zeker gezien het toenemend gebruik, over de 1,25 miljard records heen. inloghistorie van gebruikers .

D waardevol bestand op basis waarvan opgesteld zouden kunnen worden. aan gebruikers die met hun DigiD inloggen bij ondersteuning bij jeugdzorg, bij reclassering of binnen het sociaal domein. De inloghistorie geeft daarbij mogelijk indicaties prijs dat K wetsbare groepen hebben conform de privacywetgeving meer privacybescherming. De potentiële impact van eventueel misbrui dataset is hoog. Logius geeft uitdrukkelijk aan dat zij niet aan profilering doe zijn diverse beveiligingsmaatregelen getroffen om de risico’s va Binnen de beheeromgeving van Logius zijn verscheidene maatregelen getroffen om de toegang en het gebruik van deze gevoelige gegevens te beperken transactielog is toegankelijk voor ketenbeheer en het servicecent zijn alleen toegankelijk voor gegevensverzamelingen zijn ook toegankelijk voor analisten van het fraudeteam aanleiding toe is. T oegang tot logging wordt gemonitord en alerts worden verstuurd indien een onverwachte toegang wordt gedetecteerd.

Voor persoonlijk PKIoverheid- certifica activiteiten op het systeem (middels validatie door een geautoriseerde collega) gegevens zijn opgeslagen wordt schijfencryptie toegepast. risico’s van di t transactiebestand Deze risico’s van de cumulerende inloghistorie en gevoeligheid van het bestand zijn niet in de ontwerpdocumentatie van PSA Substantieel geadresseerd. De hierboven genoemde ri DigiD Substantieel. Ze gelden componenten waarop DigiD Substantieel wordt geplaatst. De inloghistorie en transactiegegevens bieden mogelijkheden voor noodzakelijke controle en fraudeonderzoek. Deze controlewerkzaamheden kunnen over het algemeen ook uitgevoerd worden op versleutelde, gepseudonimiseerde of geanonimiseerde gegevens. Gesteld kan worden dat is met het subsidiariteitsbeginsel vanwege het niet encrypten of pseudonimiseren van gevoelige gegevens. Waarbij de opmerking geplaats worden opgeslagen en er sprake is v huidige DigiD. ubsidiariteit Logius heeft de beschikking over persoonsgegevens, waaronder BSN’s en IP e gegevens zijn afgeschermd door organisatorische en technische maatregelen maar worden zelf niet versleuteld of gepseudonimiseerd. transactiegegevens bevatten onder andere accountgegevens, BSN ’ s en IP ook vastgelegd bij welke dienst de gebruiker heeft ingelogd.

Gezien de wettelijke bewaartermijnen (1,5 jaar systeemlogging en de totale dataset in volumes groot. Uitgaande van de bewaartermijn van an 250 miljoen transacties per jaar gaat dat aantal, zeker gezien het toenemend gebruik, over de 1,25 miljard records heen. Hierdoor ontstaat een . D it transactiebestand met inloghistorie is een gevoelig en waardevol bestand op basis waarvan (hoewel onrechtmatig) profielen van opgesteld zouden kunnen worden. Het gaat hier om het risico van profileren die met hun DigiD inloggen bij dienstaanbieders die ondersteuning bij jeugdzorg, bij reclassering of binnen het sociaal domein. De inloghistorie geeft daarbij mogelijk indicaties prijs dat gebruikers behoren tot kwetsbare groepen wetsbare groepen hebben conform de privacywetgeving meer potentiële impact van eventueel misbrui k van deze gevoelige Logius geeft uitdrukkelijk aan dat zij niet aan profilering doe zijn diverse beveiligingsmaatregelen getroffen om de risico’s va n profiling te beperken.

Binnen de beheeromgeving van Logius zijn verscheidene maatregelen getroffen om de toegang en het gebruik van deze gevoelige gegevens te beperken en te beheersen transactielog is toegankelijk voor ketenbeheer en het servicecent rum en zijn alleen toegankelijk voor daartoe bevoegde functionarissen zijn ook toegankelijk voor analisten van het fraudeteam oegang tot logging wordt gemonitord en alerts worden verstuurd indien een onverwachte toegang wordt gedetecteerd. Voor toegang tot de beheermodule certifica at vereist. Voor het doorvoeren van wordt toepassing van het vier- ogenprincipe (middels validatie door een geautoriseerde collega) . Voor de vaste schijven waar deze gegevens zijn opgeslagen wordt schijfencryptie toegepast. Met deze maatregelen zijn de t transactiebestand verminderd. cumulerende inloghistorie , waaronder profiling en toenemende waarde en gevoeligheid van het bestand zijn niet in de ontwerpdocumentatie van PSA Substantieel geadresseerd.

De hierboven genoemde ri sico’ s zijn niet nieuw of specifiek voor DigiD Substantieel. Ze gelden ook voor het al bestaande DigiD- systeem en technische componenten waarop DigiD Substantieel wordt geplaatst. De inloghistorie en transactiegegevens bieden mogelijkheden voor gebruiker controle en fraudeonderzoek. Deze controlewerkzaamheden kunnen over het algemeen ook uitgevoerd worden op versleutelde, gepseudonimiseerde of geanonimiseerde worden dat DigiD Substantieel nog niet geheel in overeenstemming is met het subsidiariteitsbeginsel vanwege het niet encrypten of pseudonimiseren van Waarbij de opmerking geplaats t wordt dat wachtwoorden gehasht worden opgeslagen en er sprake is v an schijfencryptie, zoals ook nu toegepast wordt in en IP -adressen van organisatorische en technische niet versleuteld of gepseudonimiseerd. De s en IP -adressen. In ook vastgelegd bij welke dienst de gebruiker heeft ingelogd.

(1,5 jaar systeemlogging en 5 jaar van de totale dataset in volumes groot. Uitgaande van de bewaartermijn van an 250 miljoen transacties per jaar gaat dat aantal, zeker gezien het Hierdoor ontstaat een cumulatie van is een gevoelig en profielen van gebruikers profileren . Denk hierbij zich inzetten voor ondersteuning bij jeugdzorg, bij reclassering of binnen het sociaal domein. De inloghistorie behoren tot kwetsbare groepen . wetsbare groepen hebben conform de privacywetgeving meer rechten op k van deze gevoelige Logius geeft uitdrukkelijk aan dat zij niet aan profilering doe t. Binnen Logius n profiling te beperken. Binnen de beheeromgeving van Logius zijn verscheidene maatregelen getroffen om de en te beheersen . De en de inloggegevens daartoe bevoegde functionarissen . Beide zijn ook toegankelijk voor analisten van het fraudeteam , mits daar oegang tot logging wordt gemonitord en alerts worden verstuurd indien toegang tot de beheermodule is een van diverse gevoelige ogenprincipe afgedwongen .

Voor de vaste schijven waar deze Met deze maatregelen zijn de , waaronder profiling en toenemende waarde en gevoeligheid van het bestand zijn niet in de ontwerpdocumentatie van PSA DigiD s zijn niet nieuw of specifiek voor systeem en technische gebruiker sondersteuning, controle en fraudeonderzoek. Deze controlewerkzaamheden kunnen over het algemeen ook uitgevoerd worden op versleutelde, gepseudonimiseerde of geanonimiseerde DigiD Substantieel nog niet geheel in overeenstemming is met het subsidiariteitsbeginsel vanwege het niet encrypten of pseudonimiseren van t wordt dat wachtwoorden gehasht an schijfencryptie, zoals ook nu toegepast wordt in de 27 4.2.3. Aanbevelingen Op basis van deze bevindingen eerste fase van DigiD Substantieel de principes proportionaliteit en subsidiariteit meegewogen en tot op zekere hoogte zijn ingevuld, maar dat naar de toekomst toe verdere optimalisaties mogelijk zijn.

De huidige uitvraag naar de BRP is niet specifiek voor DigiD Substantieel waardoor naast de benodigde gegevens voor DigiD Substanti paspoorten en identiteitskaarten behorende bij het BSN wordt de gegevensaanvraag voor Substantieel te specifiëren zodat alleen de gegevens worden ontvangen die benodigd zijn voor Di geldigheidsdatum en aanduiding op of datum van inhouding/vermissing). Het verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel de RvIG te verzoeken om de mogelijkheid te bieden voor het specifi gegevens van het voor de verificatie gebruikte WID worden ontvangen. Verwerking van persoonsgegevens en logging van de (goede) werking is noodzakelijk en inherent aan de authenticatiedienstverlening. ontstaan van een omvangrijke dataset mogelijk inzicht kunnen geven in het inloggedrag van een gebruiker tot een minimum worden beperkt en dat aanvullende maatregelen worden ge onbevoegd/onbedoeld gebruik en misbruik tegen te gaan Bij de vervolgontwerpfasen verdient het aanbeveling de risico met inloghistorie en de hieraan gerelateerde gaan welke additionele maatregelen getroffen kunnen worden om de risico transactiebestand nog verder te reduceren. encryptie van data, pseudonimiseringstechnieken en verdere limitering van de opsla toegang tot de data.

Het aanbrengen van een (BSN) en transactiegegevens (inloghistorie) en netwerkgegevens (IP een belangrijk handvat. Het ontwerp van DigiD Hoog We willen nogmaals benadrukken dat de bovenbeschreven risico transactiebestand met inloghistorie gegevens naar natuurlijke personen niet een gevolg zijn van de toegevoegde functionaliteit van D igiD Substantieel, maar voortvloeien uit de eigensch inrichting van het bestaande DigiD Substantieel. Anders gezegd : ee n inlogmiddel met een hogere betrouwbaarheid en wordt een belangrijke versterking gerealiseerd, maar de overige al bestaande p maar ook niet materieel slechter. In de plannen voor de doorontwikkeling van DigiD Substantieel en de realisatie van DigiD Hoog zijn verdere optimalisaties voorzien. Een belangrijke voorgenomen optimalisatie terugdringen van het BSN - pseudo-identiteiten. Hiermee wordt de scheiding tussen IP Deze technische voorzieningen zullen gebruikt gaan worden voor de verdere doorontwikkeling van DigiD. maatregelen pas volledig effectief zijn als bevindingen kan worden gesteld dat in de ontwerparchitectuur voor de eerste fase van DigiD Substantieel de principes proportionaliteit en subsidiariteit meegewogen en tot op zekere hoogte zijn ingevuld, maar dat naar de toekomst toe verdere De huidige uitvraag naar de BRP is niet specifiek voor DigiD Substantieel waardoor naast de benodigde gegevens voor DigiD Substanti eel ook overige gegevens van paspoorten en identiteitskaarten behorende bij het BSN worden ontvangen. wordt de gegevensaanvraag voor Substantieel te specifiëren zodat alleen de gegevens worden ontvangen die benodigd zijn voor Di giD Substantieel (geboortedatum, WID geldigheidsdatum en aanduiding op of datum van inhouding/vermissing).

Het verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel de RvIG te verzoeken om de mogelijkheid te bieden voor het specifi ëren van de BRP bevraging gegevens van het voor de verificatie gebruikte WID worden ontvangen. Verwerking van persoonsgegevens en logging van de (goede) werking is noodzakelijk en inherent aan de authenticatiedienstverlening. Gezien het g econstateerde risico ontstaan van een omvangrijke dataset is het van belang ervoor te zorgen dat gegevens die mogelijk inzicht kunnen geven in het inloggedrag van een gebruiker tot een minimum worden beperkt en dat aanvullende maatregelen worden ge onbevoegd/onbedoeld gebruik en misbruik tegen te gaan . Bij de vervolgontwerpfasen verdient het aanbeveling de risico ’s van het transactiebesta de hieraan gerelateerde profilingrisico’ s nader te beschouwen en gaan welke additionele maatregelen getroffen kunnen worden om de risico nog verder te reduceren.

Te denken valt aan verdere toepassing van encryptie van data, pseudonimiseringstechnieken en verdere limitering van de opsla toegang tot de data. Het aanbrengen van een ‘Chinese muur’ tussen accountgegevens (BSN) en transactiegegevens (inloghistorie) en netwerkgegevens (IP - adressen) is daarbij Het ontwerp van DigiD Hoog biedt hiervoor aanknopingspunt We willen nogmaals benadrukken dat de bovenbeschreven risico transactiebestand met inloghistorie en de risico’ s van de beschreven herleiding van gegevens naar natuurlijke personen niet een gevolg zijn van de toegevoegde functionaliteit igiD Substantieel, maar voortvloeien uit de eigensch app en van de componenten en inrichting van het bestaande DigiD - systeem die gebruikt blijven worden voor DigiD : door de introductie van DigiD Substantieel n inlogmiddel met een hogere betrouwbaarheid en wordt een belangrijke versterking gerealiseerd, maar de overige al bestaande p rivacyrisico’ s worden er niet direct beter op, maar ook niet materieel slechter. voor de doorontwikkeling van DigiD Substantieel en de realisatie van DigiD Hoog zijn verdere optimalisaties voorzien.

Een belangrijke voorgenomen optimalisatie - gebruik door het gebruik van gerandomiseerde polymorfe Hiermee wordt de scheiding tussen IP - adressen en BSN’s gerealiseerd. Deze technische voorzieningen zullen gebruikt gaan worden voor de verdere Het is belangrijk te onderkennen dat de voordelen van deze maatregelen pas volledig effectief zijn als DigiD Hoog volledig geïmplementeerd is kan worden gesteld dat in de ontwerparchitectuur voor de eerste fase van DigiD Substantieel de principes proportionaliteit en subsidiariteit zijn meegewogen en tot op zekere hoogte zijn ingevuld, maar dat naar de toekomst toe verdere De huidige uitvraag naar de BRP is niet specifiek voor DigiD Substantieel waardoor naast de eel ook overige gegevens van de meest recente worden ontvangen. Aanbevolen wordt de gegevensaanvraag voor Substantieel te specifiëren zodat alleen de gegevens giD Substantieel (geboortedatum, WID -nummer, geldigheidsdatum en aanduiding op of datum van inhouding/vermissing).

Het verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel de RvIG te verzoeken om de , zodat alleen de Verwerking van persoonsgegevens en logging van de (goede) werking is noodzakelijk en econstateerde risico van het is het van belang ervoor te zorgen dat gegevens die mogelijk inzicht kunnen geven in het inloggedrag van een gebruiker tot een minimum worden beperkt en dat aanvullende maatregelen worden ge troffen om het transactiebesta nd s nader te beschouwen en na te gaan welke additionele maatregelen getroffen kunnen worden om de risico ’s van dit Te denken valt aan verdere toepassing van encryptie van data, pseudonimiseringstechnieken en verdere limitering van de opsla g en tussen accountgegevens adressen) is daarbij hiervoor aanknopingspunt en. We willen nogmaals benadrukken dat de bovenbeschreven risico ’s van het s van de beschreven herleiding van gegevens naar natuurlijke personen niet een gevolg zijn van de toegevoegde functionaliteit en van de componenten en systeem die gebruikt blijven worden voor DigiD Substantieel krijgt de gebruiker n inlogmiddel met een hogere betrouwbaarheid en wordt een belangrijke versterking s worden er niet direct beter op, voor de doorontwikkeling van DigiD Substantieel en de realisatie van DigiD Hoog zijn verdere optimalisaties voorzien.

Een belangrijke voorgenomen optimalisatie is het gebruik door het gebruik van gerandomiseerde polymorfe adressen en BSN’s gerealiseerd. Deze technische voorzieningen zullen gebruikt gaan worden voor de verdere Het is belangrijk te onderkennen dat de voordelen van deze geïmplementeerd is . 28 4.3. Privacyprincipe : limiteren van het verzamelen van gegevens Het principe dataminimalisatie, ofwel het limiteren in dat persoonsgegevens uitsluitend worden verwerkt op basis van de limitatieve grondslagen. H et uitgangspunt is het bereiken van het gestelde doel met minimale gegevensverzameling. In de DigiD app worden in een Op het functionele niveau van DigiD Substantieel is het principe van gegevenslimitering toegepast, waarbij zoals in paragraaf inzet van technische componenten, zoals detectionsystemen, DDoS- preventiesysteem en technische logsystemen ontwerpdocumentatie, aanvullend op de PSA PSA van DigiD Substantieel zijn de effecten van deze technische netwerkcomponenten in detail nader onderzocht.

Deze technische netwerkcomponenten logge het DigiD- systeem op verschillende niveaus. systeem te kunnen beheren, de beveiliging te monitoren en het juist functioneren bewaken . Hiermee worden echter risico herleiding van gegevens en profiling. Vastgesteld is dat loggegevens op basis van adres en andere (interne of externe) bronnen zoals de herleid tot een BSN. In de bestaande DigiD zijn de technische Dezelfde benadering geldt voor de nieuwe componenten van DigiD Substantieel de RDA-server) en voor de CIS) en bestaande DigiD- onderdelen beveiligingsregimes gelden ook voor deze nieuwe componenten. De c genereren de syslogs en de decentrale loggings worden samengebracht in een centrale monitoringomgeving. Vanuit deze omgeving gaat alleen relevante logging naar Information and Event Management afgenomen dienst ingericht op infrastructuurniveau waar doelstellingen wordt gemonitord te bereiken en extra beveiligd (veilig beveiligingsmaatregelen gelden ook voor de back 4.3.1.

Bevindingen Het stelsel van loggings en de centralisatie van logging is voorzien van preventieve beveiligingsmaatregelen en signaleringen van eventueel van een limitering van dataverzameling in dat de geconstateerde herleiding van IP gevoelig maken voor (onrechtmatige) toegankelijk overzicht van alle verwerkingen van persoonsgegevens op dit technische niveau. Door het gebruik van DigiD kan niet worden uitgesloten dat er ontstaan waarmee privacygevoelige informati Bijvoorbeeld over hun sociaal maatschappelijke situatie of dat zij deel uitmaken van kwetsbare groepen. Deze bijzondere gegevens inloghistorie van gebruiker s indien zij bij specifieke diensten te koppelen zijn aan kwetsbare groepen of andere bijzondere omstandigheden van : limiteren van het verzamelen van gegevens Het principe dataminimalisatie, ofwel het limiteren van het verzamelen van gegevens, houdt in dat persoonsgegevens uitsluitend worden verwerkt op basis van de limitatieve et uitgangspunt is het bereiken van het gestelde doel met minimale worden in een beveiligde zone het app ID en een private key opgeslagen.

Op het functionele niveau van DigiD Substantieel is het principe van gegevenslimitering toegepast, waarbij zoals in paragraaf 4.2.3 is aangegeven optimalisaties mogelijk zijn. inzet van technische componenten, zoals : firewalls en intrusion prevention preventiesysteem en technische logsystemen aanvullend op de PSA , beschreven. In het kader van deze PIA op de zijn de effecten van deze technische netwerkcomponenten Deze technische netwerkcomponenten logge systeem op verschillende niveaus. Het doel van de systeemlogging is systeem te kunnen beheren, de beveiliging te monitoren en het juist functioneren . Hiermee worden echter risico ’s gecreëerd, waaronder risico’ s herleiding van gegevens en profiling. Vastgesteld is dat loggegevens op basis van en andere (interne of externe) bronnen zoals de transactiegegevens bestaande DigiD zijn de technische loggings gedecentraliseerd naar componenten.

Dezelfde benadering geldt voor de nieuwe componenten van DigiD Substantieel de aanpassingen in koppelvlakken en interfaces ( onderdelen (waaronder DigiD Kern). De eerder beschreven beveiligingsregimes gelden ook voor deze nieuwe componenten. De c genereren de syslogs en de applicaties genereren de transactielogs. De afzonderlijke decentrale loggings worden samengebracht in een centrale DigiD Vanuit deze omgeving gaat alleen relevante logging naar Information and Event Management (hierna: SIEM) . Het SIEM is een bij afgenomen dienst ingericht op infrastructuurniveau waar in d e logging wordt gemonitord (op basis van use cases). De monitoringomgeving is apart te bereiken en extra beveiligd (veilig opgeslagen en encrypted). Deze beveiligingsmaatregelen gelden ook voor de back - up van de logbestanden. Het stelsel van loggings en de centralisatie van logging is voorzien van preventieve beveiligingsmaatregelen en signaleringen van eventueel onbevoegde toegang.

Er is sprake van een limitering van dataverzameling in het SIEM op basis van use cases. Dit laat onverlet dat de geconstateerde herleiding van IP - adressen naar BSN deze loggings nog steeds (onrechtmatige) profiling. Daarbij ontbreekt een integraal en toegankelijk overzicht van alle verwerkingen van persoonsgegevens op dit technische Door het gebruik van DigiD kan niet worden uitgesloten dat er gegevensverzamelingen ontstaan waarmee privacygevoelige informati e kan worden verkregen over individuen. Bijvoorbeeld over hun sociaal maatschappelijke situatie of dat zij deel uitmaken van Deze bijzondere gegevens zouden kunnen worden afgeleid uit de s indien zij bij specifieke dienstaanbieder s inloggen waarvan de diensten te koppelen zijn aan kwetsbare groepen of andere bijzondere omstandigheden van : limiteren van het verzamelen van gegevens van het verzamelen van gegevens, houdt in dat persoonsgegevens uitsluitend worden verwerkt op basis van de limitatieve et uitgangspunt is het bereiken van het gestelde doel met minimale ID en een private key opgeslagen.

Op het functionele niveau van DigiD Substantieel is het principe van gegevenslimitering is aangegeven optimalisaties mogelijk zijn. De firewalls en intrusion prevention - en preventiesysteem en technische logsystemen , wordt in de In het kader van deze PIA op de zijn de effecten van deze technische netwerkcomponenten niet Deze technische netwerkcomponenten logge n het gebruik van Het doel van de systeemlogging is om het systeem te kunnen beheren, de beveiliging te monitoren en het juist functioneren te s voor ongewenste herleiding van gegevens en profiling. Vastgesteld is dat loggegevens op basis van het IP- transactiegegevens kunnen worden loggings gedecentraliseerd naar componenten. Dezelfde benadering geldt voor de nieuwe componenten van DigiD Substantieel (waaronder aanpassingen in koppelvlakken en interfaces ( waaronder het De eerder beschreven beveiligingsregimes gelden ook voor deze nieuwe componenten.

De c omponenten zelf genereren de transactielogs. De afzonderlijke DigiD logging- en Vanuit deze omgeving gaat alleen relevante logging naar het Security . Het SIEM is een bij een externe partij e logging voor specifieke use cases). De monitoringomgeving is apart opgeslagen en encrypted). Deze up van de logbestanden. Het stelsel van loggings en de centralisatie van logging is voorzien van preventieve onbevoegde toegang. Er is sprake op basis van use cases. Dit laat onverlet adressen naar BSN deze loggings nog steeds Daarbij ontbreekt een integraal en toegankelijk overzicht van alle verwerkingen van persoonsgegevens op dit technische gegevensverzamelingen e kan worden verkregen over individuen. Bijvoorbeeld over hun sociaal maatschappelijke situatie of dat zij deel uitmaken van worden afgeleid uit de s inloggen waarvan de diensten te koppelen zijn aan kwetsbare groepen of andere bijzondere omstandigheden van 29 de gebruiker die stigmatiserend zijn.

Denk hierbij aan het inloggen bij organisaties voor schuldhulpver lening, medisch gerelateerde diensten en uitkeringsinstanties. 4.3.2. Aanbevelingen Voor bijzondere gegevens en gegevens over kwetsbare groepen worden met een verzwaard privacyregime. Aanbevolen wordt persoonsgege vens worden verwerkt die hogere privacy waarborgen verlangen en additionele maatregelen te implementeren om de beveiliging waarborgen. In de voorafgaande paragrafen is al aangegeven dat de voorgenomen maatregelen binnen het ontwerp van ongewenste herleiding van gegevens tegen te gaan. 4.4. Privacyprincipe : doelbinding / limiteren van het gebruik van gegevens Het privacyprincipe doelbinding houdt in dat p welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet verder worden verwerkt als dit hiermee onverenigbaar is. Het limiteren van het gebruik van de gegevens houdt in dat persoongegevens niet gedeeld mogen worden met derden of vo or andere doeleinden gebruikt mogen worden toestemming is verkregen van de De ontwikkeling van DigiD Substantieel heeft tot doel het bieden van een betrouwbaar middel voor gebruikers om in te kunnen loggen op het BSN aan de eisen van het eIDAS betrouwbaarheidsniveau Deze ontwikkeling moet gezien worden als een stap in de uiteindelijke doorontwikkeling naar een midde l met het eIDAS betrouwbaarheidsniveau kunnen bieden, gebruikers op een hoger betrouwbaarheidsniveau te kunnen laten inlo en te voldoen aan de eIDAS persoonsg egevens om gestelde doelen te kunnen bereiken.

Ten opzichte van het huidige DigiD- stelsel (DigiD Basis en DigiD Midden) vinden voor DigiD Substantieel meer gegevensverwerkingen plaats. Als voorbeeld noemen wij de controle die gedaan wordt bij externe bronn en, de BRP en het CRB, waarbij gegevens over het WID worden opgehaald. 4.4.1. Bevindingen Logius beschikt over een register van verwerkingen als bedoeld in artikel 30 van de AVG. Vastgesteld is dat Logius nog niet beschikt over een volledig en toegankelijk verwerkingen van persoonsgegevens, waarin naast de persoonsgegevens op functioneel niveau ook de verwerkingen van persoonsgegevens op technisch niveau zijn beschreven en gekoppeld aan de specifieke doelen op component Substantieel zorgt slechts voor een beperkte uitbreiding van de typen van persoonsgegevens bovenop de al bestaande gegevensverwerkingen van DigiD. Een totaal overzicht van alle verwerkte persoonsgegevens op alle componenten en systeemlagen is niet in één overzicht aanwezig en het totaal vormt een complex geheel.

In de huidige ontwerpdocumentatie maatregelen voor interne beheersing voor wat betreft het controleren van de toegang tot data, het gebruik van de data en waarborgen die de kwaliteit van de data garanderen. wordt weliswaar verwezen naar normen voor informatiebeveiliging waaronder de Informatiebeveiliging Rijksdienst (hierna: vooral toe op de procedurele kant van Information Security Management Systemen en niet die stigmatiserend zijn. Denk hierbij aan het inloggen bij organisaties voor lening, medisch gerelateerde diensten en uitkeringsinstanties. Voor bijzondere gegevens en gegevens over kwetsbare groepen moet rekening gehouden worden met een verzwaard privacyregime. Aanbevolen wordt in kaart te brengen welke vens worden verwerkt die hogere privacy waarborgen verlangen en additionele maatregelen te implementeren om de beveiliging van deze gegevens te In de voorafgaande paragrafen is al aangegeven dat de voorgenomen maatregelen binnen het ontwerp van DigiD Hoog aanknopingspunten bieden om ongewenste herleiding van gegevens tegen te gaan. : doelbinding / limiteren van het gebruik van doelbinding houdt in dat p ersoonsgegevens alleen voor vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet verder worden verwerkt als dit hiermee onverenigbaar is.

Het limiteren van het gebruik van de gegevens houdt in dat persoongegevens niet gedeeld mogen worden met or andere doeleinden gebruikt mogen worden , tenzij hiervoor expliciet toestemming is verkregen van de gebruiker of hiervoor een wettelijke grondslag is. De ontwikkeling van DigiD Substantieel heeft tot doel het bieden van een betrouwbaar om in te kunnen loggen op het BSN - domein, waarbij wordt voldaan aan de eisen van het eIDAS betrouwbaarheidsniveau ‘Substantieel’ (Commissie, 2015). Deze ontwikkeling moet gezien worden als een stap in de uiteindelijke doorontwikkeling naar l met het eIDAS betrouwbaarheidsniveau ‘Hoog’. Om meer diensten online aan te kunnen bieden, gebruikers op een hoger betrouwbaarheidsniveau te kunnen laten inlo en te voldoen aan de eIDAS - norm, is DigiD Substantieel ontworpen. egevens om gestelde doelen te kunnen bereiken. Ten opzichte van het huidige stelsel (DigiD Basis en DigiD Midden) vinden voor DigiD Substantieel meer gegevensverwerkingen plaats.

Als voorbeeld noemen wij de controle die gedaan wordt bij en, de BRP en het CRB, waarbij gegevens over het WID worden opgehaald. Logius beschikt over een register van verwerkingen als bedoeld in artikel 30 van de AVG. Vastgesteld is dat Logius nog niet beschikt over een volledig en toegankelijk verwerkingen van persoonsgegevens, waarin naast de persoonsgegevens op functioneel niveau ook de verwerkingen van persoonsgegevens op technisch niveau zijn beschreven en gekoppeld aan de specifieke doelen op component - en op overkoepelend nive Substantieel zorgt slechts voor een beperkte uitbreiding van de typen van persoonsgegevens bovenop de al bestaande gegevensverwerkingen van Een totaal overzicht van alle verwerkte persoonsgegevens op alle componenten en systeemlagen is niet in één overzicht aanwezig en het totaal vormt een complex geheel. In de huidige ontwerpdocumentatie DigiD Substantieel is weinig aandacht besteed aan de maatregelen voor interne beheersing voor wat betreft het controleren van de toegang tot data, het gebruik van de data en waarborgen die de kwaliteit van de data garanderen. wordt weliswaar verwezen naar normen voor informatiebeveiliging waaronder de Informatiebeveiliging Rijksdienst (hierna: BIR) en ISO27001.

Deze normen zien echter toe op de procedurele kant van Information Security Management Systemen en niet die stigmatiserend zijn. Denk hierbij aan het inloggen bij organisaties voor lening, medisch gerelateerde diensten en uitkeringsinstanties. moet rekening gehouden in kaart te brengen welke vens worden verwerkt die hogere privacy waarborgen verlangen en van deze gegevens te In de voorafgaande paragrafen is al aangegeven dat de voorgenomen DigiD Hoog aanknopingspunten bieden om : doelbinding / limiteren van het gebruik van ersoonsgegevens alleen voor vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en niet verder worden verwerkt als dit hiermee onverenigbaar is. Het limiteren van het gebruik van de gegevens houdt in dat persoongegevens niet gedeeld mogen worden met tenzij hiervoor expliciet hiervoor een wettelijke grondslag is. De ontwikkeling van DigiD Substantieel heeft tot doel het bieden van een betrouwbaar domein, waarbij wordt voldaan (Commissie, 2015).

Deze ontwikkeling moet gezien worden als een stap in de uiteindelijke doorontwikkeling naar Om meer diensten online aan te kunnen bieden, gebruikers op een hoger betrouwbaarheidsniveau te kunnen laten inlo ggen norm, is DigiD Substantieel ontworpen. Logius verwerkt egevens om gestelde doelen te kunnen bereiken. Ten opzichte van het huidige stelsel (DigiD Basis en DigiD Midden) vinden voor DigiD Substantieel meer gegevensverwerkingen plaats. Als voorbeeld noemen wij de controle die gedaan wordt bij en, de BRP en het CRB, waarbij gegevens over het WID worden opgehaald. Logius beschikt over een register van verwerkingen als bedoeld in artikel 30 van de AVG. Vastgesteld is dat Logius nog niet beschikt over een volledig en toegankelijk register van verwerkingen van persoonsgegevens, waarin naast de persoonsgegevens op functioneel niveau ook de verwerkingen van persoonsgegevens op technisch niveau zijn beschreven en en op overkoepelend nive au.

DigiD Substantieel zorgt slechts voor een beperkte uitbreiding van de typen van persoonsgegevens bovenop de al bestaande gegevensverwerkingen van de bestaande Een totaal overzicht van alle verwerkte persoonsgegevens op alle componenten en systeemlagen is niet in één overzicht aanwezig en het totaal vormt een complex geheel. is weinig aandacht besteed aan de maatregelen voor interne beheersing voor wat betreft het controleren van de toegang tot data, het gebruik van de data en waarborgen die de kwaliteit van de data garanderen. Er wordt weliswaar verwezen naar normen voor informatiebeveiliging waaronder de Baseline en ISO27001. Deze normen zien echter toe op de procedurele kant van Information Security Management Systemen en niet 30 direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT w Beveiligingsmaatregelen zijn door Logius getroffen op op basis van extern systeemgebruik gebruikersdata , het beperken van de toegang monitoren van toegang tot logging en het versturen van alerts indien een onverwachte toegang wordt gedetecteerd.

Voor toegang tot de beheermodule PKIoverheid-certificaat vereist systeem wordt het vier- ogenprincipe afgedwongen. gegevens zijn opgeslagen wordt schijfencryptie toegepast van een gevoelig transactiebestand met inloghistorie ontwikkeld met betrekking tot DigiD Subs Voor het uitvoeren van de controles van het WID maakt Logius gebruik van de RDA van een subleverancier. C ontroles van persoonsgegevens plaats in de RDA-server. Alleen server (syslog). Centraal bij de applicatielogging volgende gelogd:
IP-adres;
Unieke gepseudonimiseerde BSN;
Dienstaanbieder waar wordt ingelogd;
NFC-reader soort;
WID-soort;
Resultaat van RDA: OK/NOK. Vastgesteld is dat geen subverwerkersovereenkomst is opgesteld met van de RDA-server. Aangezien Substantieel wel persoonsgegevens verwerkt, dient dit nog door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is onderhanden. 4.4.2.

Aanbevelingen De huidige doelstel lingen van DigiD Substantieel zijn eenduidig en gelimiteerd beschreven. DigiD Substantieel zorgt voor een uitbreiding van de typen van persoonsgegevens bovenop de al bestaande gegevensverwerkingen van DigiD Basis en Midden. aanbeveling om een meer integrale beschrijving te maken van het volledige DigiD landschap en infrastructuur, zodat de verwerkingen van DigiD Basis, Midden en Substantieel in samenhang kunnen worden geëvalueerd op privacy om alle soorten gegevens, waaronder (log)gegevens die bij dienstaanbieder beschrijving van het doel van deze gegevens per component noodzakelijk vanuit privacyoptiek. De aa nbeveling om aandacht te schenken aan de verwerkingen van persoonsgegevens op technische niveaus kan wellicht worden meegenomen op het register van verwerkingen dat reeds aanwezig is. Wij bevelen aan nadere maatregelen te ontwerpen en te i toegang tot systemen en gegevens wa of wellicht permanente monitoring datakwaliteitsaspecten plaatsvindt van gebruikers , maar dient ook aandacht besteed te worden aan controles op intern gebruik van systemen.

Denk hierbij aan h signaleren van afwijkingen in het ge direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT w Beveiligingsmaatregelen zijn door Logius getroffen op de bestaande DigiD zoals systeemgebruik , het uitvoeren van patroonherkenning , het beperken van de toegang op basis van toegekende rechten logging en het versturen van alerts indien een onverwachte toegang wordt gedetecteerd. Voor toegang tot de beheermodule is een persoonlijk vereist . Voor het doorvoeren van diverse gevoelige activiteiten ogenprincipe afgedwongen. Voor de vaste schijven waar deze gegevens zijn opgeslagen wordt schijfencryptie toegepast . Dit laat onverlet dat er sprake is gevoelig transactiebestand met inloghistorie . Additionele controle met betrekking tot DigiD Subs tantieel. Voor het uitvoeren van de controles van het WID maakt Logius gebruik van de RDA ontroles van persoonsgegevens van de chip op Alleen het IP-adres wordt gelogd in de database van de RDA Centraal bij de applicatielogging van DigiD Substantieel Unieke gepseudonimiseerde BSN; Dienstaanbieder waar wordt ingelogd; Resultaat van RDA: OK/NOK. geen subverwerkersovereenkomst is opgesteld met Aangezien deze partij in verband met de werking van DigiD Substantieel wel persoonsgegevens verwerkt, dient dit nog gerealiseerd te worden door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is lingen van DigiD Substantieel zijn eenduidig en gelimiteerd beschreven.

DigiD Substantieel zorgt voor een uitbreiding van de typen van persoonsgegevens bovenop de al bestaande gegevensverwerkingen van DigiD Basis en Midden. Voorts verdient het om een meer integrale beschrijving te maken van het volledige DigiD landschap en infrastructuur, zodat de verwerkingen van DigiD Basis, Midden en Substantieel in samenhang kunnen worden geëvalueerd op privacy - en beveiligingsrisico waaronder ook de loggegevens per systeemcomponent en de dienstaanbieder s worden vastgelegd. Daarbij is een eenduidige beschrijving van het doel van deze gegevens per component noodzakelijk vanuit nbeveling om aandacht te schenken aan de verwerkingen van persoonsgegevens op technische niveaus kan wellicht worden meegenomen op het register van verwerkingen dat reeds aanwezig is. maatregelen te ontwerpen en te i mplementeren die de werkelijke toegang tot systemen en gegevens wa arborgen én c ontroleerbaar maken zodat of wellicht permanente monitoring én rapportage over de beveiligings plaatsvindt .

Hierbij dient dit niet beperkt te worden tot , maar dient ook aandacht besteed te worden aan controles op intern gebruik Denk hierbij aan h et uitvoeren van interne controles en het detecteren in het ge bruik en werking van het systeem en direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT w erkelijkheid. bestaande DigiD zoals controles patroonherkenning op op basis van toegekende rechten , het logging en het versturen van alerts indien een onverwachte is een persoonlijk Voor het doorvoeren van diverse gevoelige activiteiten op het Voor de vaste schijven waar deze Dit laat onverlet dat er sprake is Additionele controle s worden nog Voor het uitvoeren van de controles van het WID maakt Logius gebruik van de RDA -server van de chip op het WID vinden in de database van de RDA - van DigiD Substantieel wordt verder het geen subverwerkersovereenkomst is opgesteld met de subleverancier in verband met de werking van DigiD gerealiseerd te worden .

Dit is door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is lingen van DigiD Substantieel zijn eenduidig en gelimiteerd beschreven. DigiD Substantieel zorgt voor een uitbreiding van de typen van persoonsgegevens bovenop Voorts verdient het om een meer integrale beschrijving te maken van het volledige DigiD landschap en infrastructuur, zodat de verwerkingen van DigiD Basis, Midden en Substantieel in en beveiligingsrisico ’s. Het gaat dan ook de loggegevens per systeemcomponent en de s worden vastgelegd. Daarbij is een eenduidige beschrijving van het doel van deze gegevens per component noodzakelijk vanuit nbeveling om aandacht te schenken aan de verwerkingen van persoonsgegevens op technische niveaus kan wellicht worden meegenomen als aanvulling mplementeren die de werkelijke ontroleerbaar maken zodat periodieke de beveiligings - en niet beperkt te worden tot gebruikersdata , maar dient ook aandacht besteed te worden aan controles op intern gebruik et uitvoeren van interne controles en het detecteren en en vermoedens van 31 identiteitsfraude.

Uiteraard zijn deze maatregelen van de gebruikers en gelden er voor de onderzoeken van het fraudeteam strikte procedures 4.5. Privacyprincipe : gegev Een belangrijk onderdeel van de algemene p datakwaliteit. Een mix van preventieve en repressieve maatregelen van gegevensverwerkende proces Het doel van DigiD Substantieel is het bieden van een betrouwbaar middel voor om in te kunnen loggen op het BSN onlosmakelijk bij. U iteraard staat controle meestal op gespannen voet met het vertrouwelijkheidsaspect van privacy. 4.5.1. Bevindingen De persoonsgegevens die worden ingevuld door de kunnen door de gebruiker zelf gewijzigd worden indien deze niet (meer) juist of onvolledig zijn. Daarnaast kan de gebruik geen maatregelen geïmplementeerd om moet controleren of zijn gegevens ( actueel zijn. De ten behoeve van DigiD Substantieel opgevraagde persoonsgegevens bij de BRP en het CRB worden als juist aangenomen.

Voor deze gegevens gelden controlemechanismen die buiten de verantwoordelijkheid van Logius vallen. gegevens binnen de bestaand preventieve toegangsbeveiligingsmaatregelen die de kwaliteit van de persoonsgegevens moeten borgen en bijvoorbeeld manipulatie of andere menselijke of systeemfouten moeten tegengaan of vermijden. Een voorbeeld hiervan is het beperken van de toegang tot de databases en de logging. In het huidige ontwerpdocument zijn geen (periodieke) controles op de juistheid, nauwkeurigheid en actualiteit van binnen DigiD Substantieel opgeslagen persoons gegevens voorzien. Er is geen nadere informatie over welke check and balances zijn ingevoerd in de bestaande DigiD om de kwaliteit van de verkregen en vastgelegde persoonsgegevens te waarborgen en hoe daar achteraf verantwoording over kan worden afgelegd. Wel logt de database de veranderingen op tabellen, waarbij is na te gaan wat er verandert in de verschillende databases, waaronder de accounts database. 4.5.2.

Aanbevelingen Wij bevelen aan maatregelen te implementeren om de actualiteit van gegevens te waarborge n. Hierbij kan gedacht worden aan het periodiek versturen van een e de gebruiker wordt herinnerd aan het, indien van toepassing, actualiseren van de gegevens. Het verdient aanbeveling om interne controlemaatregelen gericht op datakwaliteit en rapp ortages daarover nader te beschrijven. verantwoording af te kunnen leggen over datakwaliteit en de integere werking van systemen zijn naast preventieve controles ook repressieve controles relevant. Te denke gebruik van hashing op bepaalde gegevensverzamelingen of het gebruik van de bestaande database replica om de integriteit van interne controle maatregelen zijn dus andere maatregelen dan de b om indicaties van fraude te onderzoeken. van fraudeonderzoek en - detectie zijn deze maatregelen bedoeld ter bescherming van de en gelden er voor de onderzoeken van het fraudeteam strikte procedures : gegev enskwaliteit Een belangrijk onderdeel van de algemene p rivacyprincipe s is het borgen van de datakwaliteit.

Een mix van preventieve en repressieve maatregelen is nodig om de kwaliteit van gegevensverwerkende proces sen te borgen. DigiD Substantieel is het bieden van een betrouwbaar middel voor om in te kunnen loggen op het BSN -domein. Controle op de kwaliteit van data iteraard staat controle meestal op gespannen voet met het vertrouwelijkheidsaspect van privacy. De persoonsgegevens die worden ingevuld door de gebruiker bij de aanvraag van DigiD zelf gewijzigd worden indien deze niet (meer) juist of onvolledig gebruik er een verzoek doen deze gegevens te wijzigen. geen maatregelen geïmplementeerd om de gebruiker te waarschuwen dat hij regelmatig moet controleren of zijn gegevens ( zoals het telefoonnummer en het van DigiD Substantieel opgevraagde persoonsgegevens bij de BRP en het CRB worden als juist aangenomen. Voor deze gegevens gelden controlemechanismen die buiten de verantwoordelijkheid van Logius vallen.

Voor het waarborgen van de kwaliteit van bestaand e DigiD en DigiD Substantieel wordt vooral gesteund op preventieve toegangsbeveiligingsmaatregelen die de kwaliteit van de persoonsgegevens moeten borgen en bijvoorbeeld manipulatie of andere menselijke of systeemfouten moeten Een voorbeeld hiervan is het beperken van de toegang tot de In het huidige ontwerpdocument zijn geen (periodieke) controles op de juistheid, nauwkeurigheid en actualiteit van binnen DigiD Substantieel opgeslagen gegevens voorzien. Er is geen nadere informatie over welke check and balances bestaande DigiD om de kwaliteit van de verkregen en vastgelegde persoonsgegevens te waarborgen en hoe daar achteraf verantwoording over kan worden Wel logt de database de veranderingen op tabellen, waarbij is na te gaan wat er verandert in de verschillende databases, waaronder de accounts database. Wij bevelen aan maatregelen te implementeren om de actualiteit van gegevens te n. Hierbij kan gedacht worden aan het periodiek versturen van een e wordt herinnerd aan het, indien van toepassing, actualiseren van de gegevens.

Het verdient aanbeveling om interne controlemaatregelen gericht op datakwaliteit en ortages daarover nader te beschrijven. Ten behoeve van bewijslast achteraf en om verantwoording af te kunnen leggen over datakwaliteit en de integere werking van systemen zijn naast preventieve controles ook repressieve controles relevant. Te denke gebruik van hashing op bepaalde gegevensverzamelingen of het gebruik van de bestaande database replica om de integriteit van (historische) data te kunnen valideren. De beoogde interne controle maatregelen zijn dus andere maatregelen dan de b estaande maatregelen om indicaties van fraude te onderzoeken. I n toekomstige ontwerpen van DigiD ten behoeve detectie worden mogelijk separate afgeschermde voorzieningen bedoeld ter bescherming van de belangen en gelden er voor de onderzoeken van het fraudeteam strikte procedures . s is het borgen van de nodig om de kwaliteit DigiD Substantieel is het bieden van een betrouwbaar middel voor gebruikers de kwaliteit van data hoort daar iteraard staat controle meestal op gespannen voet met het bij de aanvraag van DigiD zelf gewijzigd worden indien deze niet (meer) juist of onvolledig een verzoek doen deze gegevens te wijzigen.

Logius heeft de gebruiker te waarschuwen dat hij regelmatig zoals het telefoonnummer en het e-mailadres) nog van DigiD Substantieel opgevraagde persoonsgegevens bij de BRP en het CRB worden als juist aangenomen. Voor deze gegevens gelden controlemechanismen die Voor het waarborgen van de kwaliteit van DigiD en DigiD Substantieel wordt vooral gesteund op preventieve toegangsbeveiligingsmaatregelen die de kwaliteit van de persoonsgegevens moeten borgen en bijvoorbeeld manipulatie of andere menselijke of systeemfouten moeten Een voorbeeld hiervan is het beperken van de toegang tot de In het huidige ontwerpdocument zijn geen (periodieke) controles op de juistheid, nauwkeurigheid en actualiteit van binnen DigiD Substantieel opgeslagen gegevens voorzien. Er is geen nadere informatie over welke check and balances bestaande DigiD om de kwaliteit van de verkregen en vastgelegde persoonsgegevens te waarborgen en hoe daar achteraf verantwoording over kan worden Wel logt de database de veranderingen op tabellen, waarbij is na te gaan wat er verandert in de verschillende databases, waaronder de accounts database.

Wij bevelen aan maatregelen te implementeren om de actualiteit van gegevens te n. Hierbij kan gedacht worden aan het periodiek versturen van een e -mail waarin wordt herinnerd aan het, indien van toepassing, actualiseren van de gegevens. Het verdient aanbeveling om interne controlemaatregelen gericht op datakwaliteit en de Ten behoeve van bewijslast achteraf en om verantwoording af te kunnen leggen over datakwaliteit en de integere werking van systemen zijn naast preventieve controles ook repressieve controles relevant. Te denke n valt aan het gebruik van hashing op bepaalde gegevensverzamelingen of het gebruik van de bestaande data te kunnen valideren. De beoogde estaande maatregelen n toekomstige ontwerpen van DigiD ten behoeve separate afgeschermde voorzieningen 32 gerealiseerd , waarbij op basis van polymorfe pseudoniemen niet gegevens uit systeem- en transactielogs worden verzameld.

Het verdient aanbeveling om bij deze toekomstige ontwerpen hier verantwoordings maatregelen ontwerpen. 4.6. Privacyprincipe : verantwoording De verantwoordelijke dient verantwoording af te kunnen leggen over de beveiliging van de gegevensverwerking en de geïmplementeerde tactisch- en operationeel niv verantwoordelijke zijn uitbesteed aan een verwerker. De verantwoordelijkheid voor DigiD is duidelijk geregeld. Het ministerie van BZK is verantwoordelijke en de uitvoering is belegd bij Logius, een on BZK. Met partijen die de rol van verwerker hebben zijn of worden (sub)verwerker overeenkomsten afgesloten. Over de ketenverantwoordelijkheid RDW <> Logius <> RvIG in relatie tot DigiD Substantieel bestaan de volgende afspra ken. Logius is verantwoordelijk voor de ad hoc gegevensuitvraag en voor het daartoe bedoelde bericht. D wordt beheerd door een separate afdeling. RvIG en RDW zijn verantwoordelijk voor de voorzieningen aan h un zijde en de aanlevering van de juiste berichten ook weer via Diginetwerk.

Logius, RDW en RvIG zijn dus operationeel elk verantwoordelijk voor haar eigen ‘end point’ . De verbinding geregeld via Diginetwerk is encrypted (SSL/TLS). Diginetwerk is een voorz iening van de Rijksoverheid. genereert metadata (gegevens die ontstaan als gevolg van maar deze zijn niet te herleiden naar 4.6.1. Bevindingen Logius maakt op haar beurt gebruik van subverwerkers voor de levering van IT Zoals in paragraaf 4.4.1 subleverancier nog opgesteld te worden. onderhanden. Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot d nog onvoldoende geformaliseerd. 4.6.2. Aanbevelingen Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te voeren op de gegevens(verwerkingen) die bij derden zijn ondergebracht. 4.7. Privacyprincipe : Passende technische en organisatorische beveiligingsmaatregelen dienen te worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking van een passend niveau van beveiliging, en de uitvoeringskosten afgezet tegen de risico persoonsgegevens.

D e verantwoordelijke kunnen garanderen. , waarbij op basis van polymorfe pseudoniemen niet zonder meer te herleiden en transactielogs worden verzameld. Het verdient aanbeveling om bij deze toekomstige ontwerpen hier boven bedoelde interne controle maatregelen gericht op de kwaliteit van de persoonsgegeven : verantwoording De verantwoordelijke dient verantwoording af te kunnen leggen over de beveiliging van de gegevensverwerking en de geïmplementeerde maatregelen en procedures op strategisch en operationeel niv eau. Hieronder vallen ook de verwerkingen die door de verantwoordelijke zijn uitbesteed aan een verwerker. De verantwoordelijkheid voor DigiD is duidelijk geregeld. Het ministerie van BZK is verantwoordelijke en de uitvoering is belegd bij Logius, een on derdeel van het ministerie van BZK. Met partijen die de rol van verwerker hebben zijn of worden (sub)verwerker Over de ketenverantwoordelijkheid RDW <> Logius <> RvIG in relatie tot DigiD Substantieel ken.

Logius is verantwoordelijk voor de ad hoc gegevensuitvraag en voor het daartoe bedoelde bericht. D it bericht wordt aangeleverd via wordt beheerd door een separate afdeling. RvIG en RDW zijn verantwoordelijk voor de un zijde en de aanlevering van de juiste berichten ook weer via Diginetwerk. Logius, RDW en RvIG zijn dus operationeel elk verantwoordelijk voor haar . De verbinding geregeld via Diginetwerk is encrypted (SSL/TLS). iening van de Rijksoverheid. Diginetwerk kent eigen logging en (gegevens die ontstaan als gevolg van het gebruik van Diginetwerk) niet te herleiden naar gebruikersniveau. Logius maakt op haar beurt gebruik van subverwerkers voor de levering van IT genoemd dient de subverwerkersovere nog opgesteld te worden. Door Logius is dit onderkend en is dit actiepunt onderhanden. Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot d e RDA- server nog onvoldoende geformaliseerd.

Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te voeren op de gegevens(verwerkingen) die bij derden zijn ondergebracht. : beveiliging van gegevens Passende technische en organisatorische beveiligingsmaatregelen dienen te worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking passend niveau van beveiliging, rekening houdend met d e stand van de techniek en de uitvoeringskosten afgezet tegen de risico ’ s en de aard van de te beschermen e verantwoordelijke moet de beveiliging van de data permanent zonder meer te herleiden en transactielogs worden verzameld. Het verdient aanbeveling om bij interne controle - en de kwaliteit van de persoonsgegeven s mee te De verantwoordelijke dient verantwoording af te kunnen leggen over de beveiliging van de maatregelen en procedures op strategisch -, eau. Hieronder vallen ook de verwerkingen die door de De verantwoordelijkheid voor DigiD is duidelijk geregeld.

Het ministerie van BZK is derdeel van het ministerie van BZK. Met partijen die de rol van verwerker hebben zijn of worden (sub)verwerker Over de ketenverantwoordelijkheid RDW <> Logius <> RvIG in relatie tot DigiD Substantieel ken. Logius is verantwoordelijk voor de ad hoc gegevensuitvraag it bericht wordt aangeleverd via Diginetwerk. Dit wordt beheerd door een separate afdeling. RvIG en RDW zijn verantwoordelijk voor de un zijde en de aanlevering van de juiste berichten ook weer via Diginetwerk. Logius, RDW en RvIG zijn dus operationeel elk verantwoordelijk voor haar . De verbinding geregeld via Diginetwerk is encrypted (SSL/TLS). Diginetwerk kent eigen logging en gebruik van Diginetwerk) , Logius maakt op haar beurt gebruik van subverwerkers voor de levering van IT -diensten. dient de subverwerkersovere enkomst met de Door Logius is dit onderkend en is dit actiepunt onderhanden. Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD server is het toezicht Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te Passende technische en organisatorische beveiligingsmaatregelen dienen te worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking .

De AVG spreekt e stand van de techniek s en de aard van de te beschermen de beveiliging van de data permanent 33 4.7.1. Bevindingen In het huidige ontwerp hanteert Logi 3.7. Het doel van het bewaren van deze historische gegevens is het nakomen van wettelijke verplichtingen, het kunnen controleren van de integriteit van de verzamelde data en het afleggen van verantwoording onderzoek naar vermeende fraudegevallen op basis van specifieke casusposities of het verrichten van onderzoek naar aanleiding van klachten. wettelijke grondslag in het kanttekeningen bij:
De reden voor het bewaren van de transactiegegevens ligt in het creëren van de mogelijkheid om tot analyseren. De beleidsmatige en technische gronden op basis waarvan deze bewaartermijn wordt gerealiseerd onvoldoende belicht in de wetgeving
Een nadeel van het vastleggen van deze transactiegegevens is dat hoe langer ze bewaard worden, hoe meer informatie verzameld wordt over het gedrag van de gebruikers, wat gebruikt kan worden voor profileren.

Hoe groter het bestand wordt, hoe groter de waarde van het bestand w wordt voor de gebruikers;
De bewaartermijnen van transactiegegevens over inloggedrag van gebruikers liggen in de maatschapp ij gevoelig bij burgerrechtenorganisaties. Vanuit die hoek zouden dus bezwaren kunnen kom Logius draagt naast de verantwoordelijkheid over gegevensverwerkingen die intern plaatsvinden ook verantwoordelijkheid voor de beveiliging van de gegevensverwerkingen die bij verwerkers zijn ondergebracht. teneinde de beveiliging bij deze partijen te waarborgen. is door de sub leverancier van de RDA middels HP Fortify . Deze partij zijn gereduceerd . Inzicht in de code wordt alleen ter plekke gegeven fysiek in een extern datacenter beveiligde omgeving. Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot de RDA toezicht nog onvoldoende geformaliseerd.

In de huidige ontwerpdocumentatie is weinig aandacht interne beheersing voor wat betreft het controleren van de toegang tot data en het gebruik van de data. Er wordt verwezen naar normen voor informatiebeveiliging die vooral toezien op de procedurele kant van Information Secur en niet direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT werkelijkheid. In paragraaf 4.4.1 het bestaande DigiD-stelsel. 4.7.2. Aanbevelingen De wettelijke bewaartermijnen zijn inloghistorie van gebruikers . Het gevolg dataset. Hierdoor verdient het aanbeveling om na te gaan of de getroffen beveiligingsmaatregelen nog in lijn zijn met de risico meebrengen. Onderzoek hierbij of de huid Midden en Substantieel, voldoende recht doen aan de gevoeligheid van de omvangrijke verzameling van inlogacties door gebruikers. Betrek hierbij de risico’s van profiling en de In het huidige ontwerp hanteert Logi us de bewaartermijnen zoals opgenomen in paragraaf Het doel van het bewaren van deze historische gegevens is het nakomen van wettelijke verplichtingen, het kunnen controleren van de integriteit van de verzamelde data en het afleggen van verantwoording daarover.

Een ander doel is het kunnen uitvoeren van onderzoek naar vermeende fraudegevallen op basis van specifieke casusposities of het verrichten van onderzoek naar aanleiding van klachten. De bewaartermijnen hebben een wettelijke grondslag in het Besluit GDI, maar Mazars plaatst hier De reden voor het bewaren van de transactiegegevens ligt in het creëren van de tot vijf jaar terug identiteitsfraude te kunnen detecteren en analyseren. De beleidsmatige en technische gronden op basis waarvan deze wordt gerealiseerd en wat de consequenties daarvan zijn, in de wetgeving ; vastleggen van deze transactiegegevens is dat hoe langer ze bewaard worden, hoe meer informatie verzameld wordt over het gedrag van de gebruikers, wat gebruikt kan worden voor profileren. Hoe groter het bestand wordt, hoe groter de waarde van het bestand w ordt en hoe groter het risico van misbruik wordt voor de gebruikers; De bewaartermijnen van transactiegegevens over inloggedrag van gebruikers liggen ij gevoelig bij burgerrechtenorganisaties.

Vanuit die hoek zouden dus bezwaren kunnen kom en op de bewaartermijn van vijf jaar. Logius draagt naast de verantwoordelijkheid over gegevensverwerkingen die intern plaatsvinden ook verantwoordelijkheid voor de beveiliging van de gegevensverwerkingen die bij verwerkers zijn ondergebracht. Met derden dienen tevens afspraken gemaakt te worden teneinde de beveiliging bij deze partijen te waarborgen. De softwarec ode van de leverancier van de RDA -server en software, gescand op kwetsbaarheden . Deze partij heeft verder hardening uitgevoerd waarmee kwetsbaarheden . Inzicht in de code wordt alleen ter plekke gegeven . De in een extern datacenter , waar ook de overige hardware van DigiD staat, Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot de RDA toezicht nog onvoldoende geformaliseerd. In de huidige ontwerpdocumentatie is weinig aandacht besteed aan de maatregelen voor interne beheersing voor wat betreft het controleren van de toegang tot data en het gebruik van de data.

Er wordt verwezen naar normen voor informatiebeveiliging die vooral toezien op de procedurele kant van Information Secur ity Management Systemen , waaronder de BIR, en niet direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT 4.4.1 zijn de getroffen beveiligingsmaatregelen opgenomen van bewaartermijnen zijn in het Besluit GDI verhoogd naar . Het gevolg is het ontstaan van een risicovolle en omvangrijke Hierdoor verdient het aanbeveling om na te gaan of de getroffen beveiligingsmaatregelen nog in lijn zijn met de risico ’ s die deze bewaartermijnen met zich Onderzoek hierbij of de huid ige beveiligingsmaatregelen van DigiD Basis, Midden en Substantieel, voldoende recht doen aan de gevoeligheid van de omvangrijke verzameling van inlogacties door gebruikers. Betrek hierbij de risico’s van profiling en de zoals opgenomen in paragraaf Het doel van het bewaren van deze historische gegevens is het nakomen van wettelijke verplichtingen, het kunnen controleren van de integriteit van de verzamelde data en het daarover.

Een ander doel is het kunnen uitvoeren van onderzoek naar vermeende fraudegevallen op basis van specifieke casusposities of het De bewaartermijnen hebben een Mazars plaatst hier ook een aantal De reden voor het bewaren van de transactiegegevens ligt in het creëren van de identiteitsfraude te kunnen detecteren en analyseren. De beleidsmatige en technische gronden op basis waarvan deze en wat de consequenties daarvan zijn, zijn echter vastleggen van deze transactiegegevens is dat hoe langer ze bewaard worden, hoe meer informatie verzameld wordt over het gedrag van de gebruikers, wat gebruikt kan worden voor profileren. Hoe groter het bestand wordt, ordt en hoe groter het risico van misbruik De bewaartermijnen van transactiegegevens over inloggedrag van gebruikers liggen ij gevoelig bij burgerrechtenorganisaties. Vanuit die hoek zouden Logius draagt naast de verantwoordelijkheid over gegevensverwerkingen die intern plaatsvinden ook verantwoordelijkheid voor de beveiliging van de gegevensverwerkingen die dienen tevens afspraken gemaakt te worden ode van de RDA-server op kwetsbaarheden hardening uitgevoerd waarmee kwetsbaarheden De RDA-server staat van DigiD staat, in een Op de verwerkingen bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot de RDA -server is het besteed aan de maatregelen voor interne beheersing voor wat betreft het controleren van de toegang tot data en het gebruik van de data.

Er wordt verwezen naar normen voor informatiebeveiliging die vooral toezien , waaronder de BIR, en niet direct op de werking van de gerealiseerde beveiligingsmaatregelen in de IT zijn de getroffen beveiligingsmaatregelen opgenomen van naar vijf jaar voor de is het ontstaan van een risicovolle en omvangrijke Hierdoor verdient het aanbeveling om na te gaan of de getroffen s die deze bewaartermijnen met zich ige beveiligingsmaatregelen van DigiD Basis, Midden en Substantieel, voldoende recht doen aan de gevoeligheid van de omvangrijke verzameling van inlogacties door gebruikers. Betrek hierbij de risico’s van profiling en de 34 gevolgen van datalekken voor de geb compartimentering (scheiding) van systemen waardoor risico worden , encryptie van gevoelige data, reductie van bewaartermijnen waar toegestaan monitoring en periodieke rappo de risico’s van netwerkcomponenten over de hele technologische keten die eveneens metadata genereren die informatie kunnen onthullen over gebruikers.

Denk hierbij aan componenten als intrusion detec Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te voeren op de geïmplementeerde beveiligingsmaatregelen van de gegevens(verwerkingen) die bij verwerkers zijn ondergebracht. Het verdient aanbeveling om , voor zover nog niet aanwezig, implementeren die de werkelijke toegang tot systemen en gegevens waarborgen en deze maatregelen controleerbaar te op de beveiligings- en datakwaliteitsaspecten plaatsvindt en r beschikbaar is. Bij periodieke audits of via permanente monitoring kan dan met minder inspanning meer zekerheid worden verkregen over beveiligings Hiermee bedoelen wij andere controles dan de ad hoc controles die uitgevoerd worden in het geval van vermoeden van 4.8. Privacyprincipe : transparantie Gebruikers dienen geïnformeerd te worden over het gebruik van hun persoonsgegevens in samenhang met de ge bruikte technologie.

Dit stelt vormen van verwerking of onrechtmatig gedrag in rechte aan te vechten. 4.8.1. Bevindingen In de privacyverklaring van DigiD, die te vinden is op de website, staat beschreven welke p ersoonsgegevens van de gebruiker 2016). Gebruikers worden bij de aanvraag of het gebruik van DigiD niet expliciet gewezen op de privacyverklaring. De gebruiker de verwerking van zijn persoonsgegevens vóór het moment van verwerking. Voordat een gebruiker zijn WID scant om DigiD Substantieel te gesteld wat er gebeurt bij het scannen van het WID, dat controle plaatsvin gegevens uit de BRP of het CRB, welke gegevens worden verwerkt en wat het doel van deze verwerking is. In de privacyverklaring ontbreekt tevens vijf jaar en is niet opgenomen hoe beëindigen en het account kunnen laten opheffen met in acht name van de gehanteerde bewaartermijnen van historische gegevens. 4.8.2. Aanbevelingen Het verdient aanbeveling om authenticatiemiddel en het gebruik hiervan op de hoogte te stellen van de verwerking en het doel van de gegevensverwerking door een verwijzing op te nemen naar de privacyverklaring.

Dit verzoek is reeds door Logius in behandeling genomen en wordt doorge voerd voor de in productie name van DigiD Substantieel. gevolgen van datalekken voor de geb ruikers. Additionele maatregelen kunnen zijn: verdere compartimentering (scheiding) van systemen waardoor risico ’s beter beheers , encryptie van gevoelige data, reductie van bewaartermijnen waar toegestaan monitoring en periodieke rappo rtage over de toegang tot gegevens. Onderzoek hierbij ook de risico’s van netwerkcomponenten over de hele technologische keten die eveneens metadata genereren die informatie kunnen onthullen over gebruikers. Denk hierbij aan componenten als intrusion detec tion systemen en firewalls. Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te voeren op de geïmplementeerde beveiligingsmaatregelen van de gegevens(verwerkingen) zijn ondergebracht. , voor zover nog niet aanwezig, maatregelen te ontwerpen en te implementeren die de werkelijke toegang tot systemen en gegevens waarborgen en deze te maken, zodat periodieke of wellicht permanente monitoring en datakwaliteitsaspecten plaatsvindt en r app Bij periodieke audits of via permanente monitoring kan dan met minder inspanning meer zekerheid worden verkregen over beveiligings - en datakwaliteitsaspecten.

Hiermee bedoelen wij andere controles dan de ad hoc controles die uitgevoerd worden in vermoeden van identiteitsfraude. : transparantie dienen geïnformeerd te worden over het gebruik van hun persoonsgegevens in bruikte technologie. Dit stelt de gebruiker in staat om bepaalde vormen van verwerking of onrechtmatig gedrag in rechte aan te vechten. In de privacyverklaring van DigiD, die te vinden is op de website, staat beschreven welke ersoonsgegevens van de gebruiker van DigiD worden verwerkt en met welk doel (DigiD, worden bij de aanvraag of het gebruik van DigiD niet expliciet gewezen gebruiker wordt dus niet op de hoogte gesteld van het d de verwerking van zijn persoonsgegevens vóór het moment van verwerking. Voordat een om DigiD Substantieel te behalen wordt hij ook niet op de hoogte gesteld wat er gebeurt bij het scannen van het WID, dat controle plaatsvin gegevens uit de BRP of het CRB, welke gegevens worden verwerkt en wat het doel van deze verwerking is.

In de privacyverklaring ontbreekt tevens expliciet de en is niet opgenomen hoe gebruikers het gebruik van DigiD Substantieel kunnen beëindigen en het account kunnen laten opheffen met in acht name van de gehanteerde bewaartermijnen van historische gegevens. Het verdient aanbeveling om gebruikers van DigiD bij het aanmaken van h authenticatiemiddel en het gebruik hiervan op de hoogte te stellen van de verwerking en het doel van de gegevensverwerking door een verwijzing op te nemen naar de Dit verzoek is reeds door Logius in behandeling genomen en wordt voerd voor de in productie name van DigiD Substantieel. ruikers. Additionele maatregelen kunnen zijn: verdere beter beheers baar kunnen , encryptie van gevoelige data, reductie van bewaartermijnen waar toegestaan en rtage over de toegang tot gegevens. Onderzoek hierbij ook de risico’s van netwerkcomponenten over de hele technologische keten die eveneens metadata genereren die informatie kunnen onthullen over gebruikers.

Denk hierbij aan Aanbevolen wordt om ook vanuit de eigen verantwoordelijkheid periodiek controles uit te voeren op de geïmplementeerde beveiligingsmaatregelen van de gegevens(verwerkingen) maatregelen te ontwerpen en te implementeren die de werkelijke toegang tot systemen en gegevens waarborgen en deze zodat periodieke of wellicht permanente monitoring app ortage daarover Bij periodieke audits of via permanente monitoring kan dan met minder en datakwaliteitsaspecten. Hiermee bedoelen wij andere controles dan de ad hoc controles die uitgevoerd worden in dienen geïnformeerd te worden over het gebruik van hun persoonsgegevens in in staat om bepaalde In de privacyverklaring van DigiD, die te vinden is op de website, staat beschreven welke van DigiD worden verwerkt en met welk doel (DigiD, worden bij de aanvraag of het gebruik van DigiD niet expliciet gewezen wordt dus niet op de hoogte gesteld van het d oel van de verwerking van zijn persoonsgegevens vóór het moment van verwerking.

Voordat een wordt hij ook niet op de hoogte gesteld wat er gebeurt bij het scannen van het WID, dat controle plaatsvin dt met de gegevens uit de BRP of het CRB, welke gegevens worden verwerkt en wat het doel van de bewaartermijn van het gebruik van DigiD Substantieel kunnen beëindigen en het account kunnen laten opheffen met in acht name van de gehanteerde gebruikers van DigiD bij het aanmaken van h et authenticatiemiddel en het gebruik hiervan op de hoogte te stellen van de verwerking en het doel van de gegevensverwerking door een verwijzing op te nemen naar de Dit verzoek is reeds door Logius in behandeling genomen en wordt 35 4.9. Privacyprincipe : rechten van betrokkenen Gebruikers hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vrag de verwerking ervan te verzetten. De gebruiker van DigiD kan zijn gebruikersnaam, telefoonnummer, BSN, e gebruiksgeschiedenis inzien door in te loggen op mailadres en wachtwoord kunnen hier door de gebruiker zelf worden gewijzigd. heeft de gebruiker de mogelijkheid om zijn account te verwijderen. een inzageverzoek indienen bij Logius en een verzoek indienen voor het verbeteren, aanvullen, verwijderen of afschermen van gegevens, tenzij dit niet is toegestaan op grond van een wettelijke bepaling.

Ook kan de gebruiker verzoek doen het DigiD verzoek wordt gedaan wordt het account, inclusief alle bijbehorende ge de transactielog blijven de gegevens uiteraard wel beschikbaar conform de vastgestelde bewaartermijn. De g ebruiker afmeldlijst laten plaatsen, zodat geen DigiD aangemaakt kan wo BSN. Dit kan bijvoorbeeld gebruikt worden ter voorkoming van fraude. Bij een verzoek tot inzage, verbetering, aanvulling of verwijdering zal de gebruiker gevraagd worden zich te identificeren door het verstrekken van het BSN en het persoonlijke vragen. Bij kritieke activiteiten in de beheermodule, zoals het verwijderen van een account, wordt het vier- ogenprincipe 4.9.1. Bevindingen Zoals benoemd in paragraaf hoe het gebruik van DigiD beëindigd kan worden en/of het account opgeheven kan worden. 4.9.2. Aanbevelingen Het verdient aanbeveling om beëindigingsprocedure door deze op te nemen in de privacyverklaring. : rechten van betrokkenen hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vrag de verwerking ervan te verzetten.

De gebruiker van DigiD kan zijn gebruikersnaam, telefoonnummer, BSN, e gebruiksgeschiedenis inzien door in te loggen op mijn.digid.nl . Het telefoonnummer kunnen hier door de gebruiker zelf worden gewijzigd. heeft de gebruiker de mogelijkheid om zijn account te verwijderen. De gebruiker kan tevens een inzageverzoek indienen bij Logius en een verzoek indienen voor het verbeteren, of afschermen van gegevens, tenzij dit niet is toegestaan op grond verzoek doen het DigiD - account op te heffen. Indien een dergelijk verzoek wordt gedaan wordt het account, inclusief alle bijbehorende ge gevens verwijderd. In de transactielog blijven de gegevens uiteraard wel beschikbaar conform de vastgestelde ebruiker kan het DigiD- account laten blokkeren of zijn BSN op een zodat geen DigiD aangemaakt kan wo rden met het betreffende BSN. Dit kan bijvoorbeeld gebruikt worden ter voorkoming van fraude. Bij een verzoek tot inzage, verbetering, aanvulling of verwijdering zal de gebruiker gevraagd worden zich te identificeren door het verstrekken van het BSN en het beantwoorden van een aantal persoonlijke vragen.

Bij kritieke activiteiten in de beheermodule, zoals het verwijderen van ogenprincipe afgedwongen. Zoals benoemd in paragraaf 4.8.1 is i n de privacyverklaring (nog) niet duidelijk opgenomen hoe het gebruik van DigiD beëindigd kan worden en/of het account opgeheven kan worden. Het verdient aanbeveling om de gebruikers op de hoogte te stellen van de beëindigingsprocedure door deze op te nemen in de privacyverklaring. hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vrag en of zich tegen De gebruiker van DigiD kan zijn gebruikersnaam, telefoonnummer, BSN, e -mailadres en . Het telefoonnummer , e- kunnen hier door de gebruiker zelf worden gewijzigd. Tevens De gebruiker kan tevens een inzageverzoek indienen bij Logius en een verzoek indienen voor het verbeteren, of afschermen van gegevens, tenzij dit niet is toegestaan op grond account op te heffen.

Indien een dergelijk gevens verwijderd. In de transactielog blijven de gegevens uiteraard wel beschikbaar conform de vastgestelde account laten blokkeren of zijn BSN op een rden met het betreffende BSN. Dit kan bijvoorbeeld gebruikt worden ter voorkoming van fraude. Bij een verzoek tot inzage, verbetering, aanvulling of verwijdering zal de gebruiker gevraagd worden zich te beantwoorden van een aantal persoonlijke vragen. Bij kritieke activiteiten in de beheermodule, zoals het verwijderen van n de privacyverklaring (nog) niet duidelijk opgenomen hoe het gebruik van DigiD beëindigd kan worden en/of het account opgeheven kan worden. op de hoogte te stellen van de 36 Bronnen Literatuurlijst College Bescherming Persoonsgegevens. (2013, februari). van persoonsgegevens. https://www.autoriteitpersoonsgegevens.nl/sites/default/files/downloads/rs/rs_2013_ri chtsnoeren- beveiliging Commissie. (2015, september 8).

Uitvoeringsverordening (EU) 2015/1502 tot vaststel van minimale technische specificaties en procedures betreffende het betrouwbaarheidsniveau voor elektronisch identificatiemiddelen overeenkomstig artikel 8, lid 3, van Verordening (EU) nr. 910/2014. Unie . DigiD. (2016). Privacyverklaring DigiD en DigiD Machtigen https://www.digid.nl/privacyverklaring/ Europees Parlement en de Raad. (2014, juli 23). Verordening (EU) Nr. 910/2014 betreffende elektronische identificatie en vertrouwensdiensten voor elekt de interne markt en tot intrekking van Richtlijn 1999/93/EG. Europese Unie . Integrale Veiligheid Hoger Onderwijs. (2016). Logius. Logius. (2015). Bewerkersovereenkomst Log Logius. (2016). DigiD Beveiligingsvoorschrift Logius. (2016). DigiD Beveiligingsvoorschrift Logius. (2016). DigiD Beveiligingsvoorschrift Logius. (2016). DigiD Beveiligingsvoorschrift Logius. (2016). DigiD Informatiebeveiligingsbeleid.

Logius. (2017, april 7). Jaarverslag 2016 https://logius.online- magazine.nl/nl/ma Logius. (2017). Project Start Architectuur Logius. (2017). Project Start Architectuur Bijlagen Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. (201 Logius - Melden datalekken. OECD. (2013). OECD Guidelines on the protection of privacy and transborder flows of personal data http://www.oecd.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransb rderflowsofpersonaldata.htm Rijksoverheid. (2013). Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst. Staatsblad van het Koninkrijk der Nederlanden. (2016, mei 17). 195 Besluit verwerking persoonsgegevens generieke digitale infrastructuur. Staatscourant. (2015, februari 26). Autorisatiebesluit DigiD, Rijksdienst voor Identiteitsgegevens. Staatscourant. (2015, april 15). Instellingsbesluit besturing elektronische toegangsdiensten nr. WJZ/15023462.

Staatscourant. (2015, oktober 23). Regeling v Staatscourant. (2017, maart 27). Aanwijzigingsbesluit Logius als belanghebbende van het Reglement rijbewijzen. College Bescherming Persoonsgegevens. (2013, februari). CBP Richtsnoeren van persoonsgegevens. Opgehaald van https://www.autoriteitpersoonsgegevens.nl/sites/default/files/downloads/rs/rs_2013_ri beveiliging -persoonsgegevens.pdf Commissie. (2015, september 8). Uitvoeringsverordening (EU) 2015/1502 tot vaststel van minimale technische specificaties en procedures betreffende het betrouwbaarheidsniveau voor elektronisch identificatiemiddelen overeenkomstig artikel 8, lid 3, van Verordening (EU) nr. 910/2014. Publicatieblad van de Europese Privacyverklaring DigiD en DigiD Machtigen . Opgehaald van DigiD: https://www.digid.nl/privacyverklaring/ Europees Parlement en de Raad. (2014, juli 23). Verordening (EU) Nr. 910/2014 betreffende elektronische identificatie en vertrouwensdiensten voor elekt ronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG.

Publicatieblad van de Integrale Veiligheid Hoger Onderwijs. (2016). Privacy Impact Assessment Bewerkersovereenkomst Log ius - Capgemini Nederland BV. DigiD Beveiligingsvoorschrift - Logische Toegangsbeveiliging. DigiD Beveiligingsvoorschrift - Omgang met informatie. DigiD Beveiligingsvoorschrift - Transport Layer Security (TLS). DigiD Beveiligingsvoorschrift - Vulnerability Management. DigiD Informatiebeveiligingsbeleid. Jaarverslag 2016 . Opgehaald van Logius online magazine.nl/nl/ma gazine/11769/818894/cover.html Project Start Architectuur - DigiD Substantieel versie 1.0. Project Start Architectuur Bijlagen - DigiD Substantieel versie 1.0. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. (201 7). Procedurebeschrijvingen Melden datalekken. OECD Guidelines on the protection of privacy and transborder flows of personal data . Opgehaald van OECD: http://www.oecd.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransb rderflowsofpersonaldata.htm Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst.

Staatsblad van het Koninkrijk der Nederlanden. (2016, mei 17). 195 Besluit verwerking persoonsgegevens generieke digitale infrastructuur. Staatscourant. (2015, februari 26). Autorisatiebesluit DigiD, Rijksdienst voor Staatscourant. (2015, april 15). Instellingsbesluit besturing elektronische toegangsdiensten Staatscourant. (2015, oktober 23). Regeling v oorzieningen GDI, nr. 2015- 609536. Staatscourant. (2017, maart 27). Aanwijzigingsbesluit Logius als belanghebbende van het Reglement rijbewijzen. CBP Richtsnoeren - Beveiliging Opgehaald van https://www.autoriteitpersoonsgegevens.nl/sites/default/files/downloads/rs/rs_2013_ri Commissie. (2015, september 8). Uitvoeringsverordening (EU) 2015/1502 tot vaststel ling van minimale technische specificaties en procedures betreffende het betrouwbaarheidsniveau voor elektronisch identificatiemiddelen overeenkomstig Publicatieblad van de Europese .

Opgehaald van DigiD: Europees Parlement en de Raad. (2014, juli 23). Verordening (EU) Nr. 910/2014 betreffende ronische transacties in Publicatieblad van de Privacy Impact Assessment - DigiD App Capgemini Nederland BV. Logische Toegangsbeveiliging. (TLS). . Opgehaald van Logius online -magazine: gazine/11769/818894/cover.html DigiD Substantieel versie 1.0. Procedurebeschrijvingen OECD Guidelines on the protection of privacy and transborder flows of Opgehaald van OECD: http://www.oecd.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransb o Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst. Staatsblad van het Koninkrijk der Nederlanden. (2016, mei 17). 195 Besluit verwerking Staatscourant. (2015, februari 26). Autorisatiebesluit DigiD, Rijksdienst voor Staatscourant. (2015, april 15). Instellingsbesluit besturing elektronische toegangsdiensten 609536. Staatscourant. (2017, maart 27).

37 Interviews Naast het raadplegen van bovenstaande bronnen zijn met de volgende functionariss Logius interviews gehouden:
Architect
Beleidsmedewerker
Communicatiemedewerker
Fraudemedewerker
Functioneel ontwerper DigiD Substantieel
Informatiebeveiliger
Jurist
Ketenbeheerder
Productmanager DigiD app
Productmanager DigiD Kern
Productmanager I mplementatie
Productmanager Toegangsdiensten
Projectleider DigiD Naast het raadplegen van bovenstaande bronnen zijn met de volgende functionariss Communicatiemedewerker Functioneel ontwerper DigiD Substantieel Productmanager DigiD app Productmanager DigiD Kern mplementatie Productmanager Toegangsdiensten Naast het raadplegen van bovenstaande bronnen zijn met de volgende functionariss en van 38 Bijlage I: Vragenlijst PIA Per privacyprincipe worden bij benadering de volgende risico Privacyprincipe II Limiteren van het verzamelen van gegevens III Doelbinding / limiteren van het gebruik van gegevens IV Gegevenskwaliteit V Verantwoording VI Beveiliging van gegevens VII Transparantie VIII Rechten van betrokkenen De afkorting in de tabel hebben de volgende betekenis:
ID: Identiteitsfraude
DD: ‘Data deluge’-effect
Waardestijging van persoonsgegevens
FC: ‘Function creep’
Profileren
IV: Inconsistente implementatie en naleving verantwoordingsbeginsel
NT: Geheime (niet transparante) verwerking van persoonsgegevens
NE: Niet toegestane verwerking van persoonsgegevens buiten de EU
DL: Data lekken
OB: Omkerin g van de bewijslast voor de
GC: Consumenten worden gedwongen om in te stemmen met het gebruik van hun gegevens Voor een gedetailleerde uitleg van de universele p en Bijlage III: Algemene privacyrisico’s.

In de linker kolom van onderstaande tabel zijn de vragen opgenomen, geordend naar p kolom geeft de bevindingen en eventuele risico’ s en aanbevelingen weer. worden bij benadering de volgende risico ’s gesignaleerd: Privacyrisico’s ID DD FC IV NT gegevens x x x x x x x x x x x x x x x x x De afkorting in de tabel hebben de volgende betekenis: Waardestijging van persoonsgegevens IV: Inconsistente implementatie en naleving verantwoordingsbeginsel NT: Geheime (niet transparante) verwerking van persoonsgegevens NE: Niet toegestane verwerking van persoonsgegevens buiten de EU g van de bewijslast voor de gebruiker GC: Consumenten worden gedwongen om in te stemmen met het gebruik van hun gegevens Voor een gedetailleerde uitleg van de universele p rivacyprincipes verwijzen wij naar Bijlage II: Universele privacyprincipes kolom van onderstaande tabel zijn de vragen opgenomen, geordend naar p rivacyprincipe , die behandeld zijn in de PIA.

De rechter s en aanbevelingen weer. Privacyrisico’s NE DL OB GC x x x x x x x x x x x x x x x x x II: Universele privacyprincipes , die behandeld zijn in de PIA. De rechter 39 Nr. Vraag I Basisinformatie: type persoonsgegevens, type verwerking en verantwoordelijke(n) Bevindingen / Risico’s / Aanbevelingen Basisinformatie: type persoonsgegevens, type Vaststellen Privacyrelevantie van de PIA Alvorens de PIA op te starten zal eerst de privacyrelevanti vastgesteld. Een PIA heeft bet rekking op de bescherming van de privacy van meer geregeld in artikel 8 van het Europees Verdrag voor de de Grondwet. In een PIA heeft privacy vooral betrekking op de be hier om de zogenaamde ‘informationele privacy’. Voordat met de uitvoering van de onderhavige PIA wordt g persoonsgegevens van gebruikers worden verwerkt. Artikel 1 va persoonsgegeven moet worden verstaan: ‘ elk gegeven bet natuurlijke persoon’. Uit de informatie verkregen over het ontwerp van DigiD Authentication (RDA) server een nieuwe technische com Substantieel.

applies Verdrag Art. 8

Een nieuw koppelvlak met het CRB wordt gerealis technische uitbreidingen benodigd voor de communicatie met nieuwe koppelvlakken op bestaande DigiD componenten en bestaande koppelvakken. Aanpassingen w de koppelvlakken DigiD Kern - BRP, RDA-server - DigiD systeemvoorzieningen zijn gerealiseerd voor het gebruik van de dat niet los kan worden gezien van de bestaande DigiD. D gebruik van bestaande technische voorzieningen en verwerkingen van persoonsgegevens van DigiD. Anders geformuleerd: de verwerkingen van persoons Substantieel en de bestaande DigiD zijn voor een belang verwerkingen en zijn operationeel gezien sterk met elkaa r verweven. de daaraan gerelateerde beveiligingsrisico’s van de bestaan risico’ s gekoppeld aan DigiD Substantieel en vice versa. De p behoudens de versterking van het uitgifte- en inlogproc Substantieel. Geconstateerd is dat op de bestaande DigiD nog geen integrale PIA op DigiD Substantieel is, vanwege de verwevenhei d met het vermogen ook aandacht besteed aan de privacyrisico’ s die kleven aan achterliggende verwerkingen van persoonsgegevens en systeemcomponenten.

DigiD Substantieel is dus een doorontwikkeling en uitbreiding van componenten en beveiligingsmaatregelen worden hergebruik basis van gebruikersnaam en wachtwoord (en optioneel sms voorlopig gehandhaafd en beschikbaar voor gebruikers en ntie van het object van onderzoek moeten worden rekking op de bescherming van de privacy van gebruikers. Het recht op privacy is onder de Rechten van de Mens (EVRM) en artikel 10 van de Grondwet. In een PIA heeft privacy vooral betrekking op de be scherming van persoonsgegevens. Het gaat t gestart, dient de vraag te worden beantwoord of worden verwerkt. Artikel 1 va n de Wbp geeft aan wat onder een betreffende een geïdentificeerde of identificeerbare giD Substantieel blijkt dat de Remote Document omponent is die wordt gerealiseerd voor DigiD CRB wordt gerealis eerd. Ook zijn een aantal functionele en technische uitbreidingen benodigd voor de communicatie met nieuwe koppelvlakken op bestaande DigiD - worden gedaan op de DigiD Kern, DigiD CIS en op DigiD app en DigiD CIS - RDA-server.

applies Grondwet Art. 10, Wbp Art. 1

Nieuwe systeemvoorzieningen zijn gerealiseerd voor het gebruik van de DigiD app. DigiD Substantieel is een systeem DigiD Substantieel maakt voor een belangrijk deel gebruik van bestaande technische voorzieningen en verwerkingen van persoonsgegevens van de bestaande onsgegevens als gevolg van het gebruik van DigiD ngrijk deel technologisch en functioneel dezelfde r verweven. Dit betekent ook dat de privacyrisico’s en ande DigiD niet los gezien kunnen worden van de s gekoppeld aan DigiD Substantieel en vice versa. De p rivacyrisico’s van de bestaande DigiD, oces, zijn feitelijk ook van toepassing op DigiD integrale PIA is uitgevoerd. Bij de uitvoering van deze d met het bestaande DigiD-systeem, daarom naar s die kleven aan de bestaande DigiD en de achterliggende verwerkingen van persoonsgegevens en systeemcomponenten. is dus een doorontwikkeling en uitbreiding van de bestaande DigiD. Bestaande ruikt en de bestaande authenticatiemechanismen op optioneel sms ) en gebruikersnaam en DigiD app blijven en dienstaanbieders, naast het authenticatieniveau 40 Nr. Vraag Bevindingen / Risico’s / Aanbevelingen Substantieel.

Hiermee wordt een geleidelijke overgang bewe administratie van de inloghistorie van gebruikers gegarandeerd. afwegingen die de projectrisico’ s beperken, recht wordt ge tijdpaden en een kostenaspect. In deze PIA op de PSA DigiD Substantiee l en de wijze waa een aantal belangrijke privacyrisico’ s onderkend. Hierbij zijn risico’s verder te mitigeren. Deze risico’ s vloeien echter maar ten dele voort uit d bestaande DigiD- authenticatiemechanisme naar het niv privacyrisico’s zijn in feite risico’ s van de bestaande DigiD binnen DigiD Substantieel. Conclusie Een belangrijke conclusie uit deze PIA is dat de realisatie van additionele privacyrisico’ s met zich meebrengt ten opzichte van Substantieel gerealiseerd wordt met gemeenschapp elijke systeemcomponenten en bestaande DigiD zorgt ervoor dat de privacyrisico’ s van Substantieel. Het is belangrijk te onderkennen dat DigiD Substantieel nog verder wordt doorontwikkel Substantieel is slechts een eerste stap in een breder vers bedoeling van het ministerie van BZK en Logius om, naast het ontwikkelen naar DigiD Hoog.

Inmiddels is bekend aanvullende maatregelen zijn voorzien om de privacyrisico ’ de huidige BSN- gebaseerde verwerking wordt vervangen door een pseudoniem waarbij alleen de dienstaanbieder in staat is het pseudoniem te herleiden tot de identiteit van de Dit laat onverlet dat ook voor DigiD Hoog zal gelden dat de eerdere, DigiD voorlopig blijven bestaan en daarmee tevens de daara plannen van het ministerie van BZK om de authenticatiemechanismen en belangrijk dat de doorontwikkeling zoals is voorgenomen door afgerond en dat uiteindelijk de middelen en concepten van het nu bestaande DigiD afgebouwd en/of de risico’ s daarvan worden gemitigeerd. In de volgende paragraaf wordt nader ingegaa de specifieke privacyrisico’s. Inherent aan de doelstellingen van DigiD Substantieel inloggegevens, IP-adressen, BSN’s, kenmerken van wettelijke identiteitsdocumenten natuurlijk persoon te herleiden gegevens.

Hiermee is de relevantie van de PIA aangetoond. werkstelligd en is de continuïteit van de bestaande gegarandeerd. Bij deze gekozen aanpak spelen daarnaast gedaan aan strakke mijlpalen en voorgeschreven aarop deze versie technisch gerealiseerd wordt, is ijn naar vermogen aanbevelingen gedaan om deze s vloeien echter maar ten dele voort uit d e versterking van het niveau Substantieel. Veel van de onderkende s van de bestaande DigiD -opzet en -infrastructuur die hergebruikt worden Een belangrijke conclusie uit deze PIA is dat de realisatie van de PSA DigiD Substantieel maar beperkte s met zich meebrengt ten opzichte van de bestaande DigiD. Het feit dat DigiD elijke systeemcomponenten en -functies van de s van de bestaande DigiD overerft worden in DigiD Het is belangrijk te onderkennen dat DigiD Substantieel nog verder wordt doorontwikkel d. De PSA DigiD ersterkingsproces van DigiD. Uiteindelijk is het de st de realisatie van Substantieel, door te gaan met d dat in DigiD Hoog cryptografische en andere ’ s verder te beperken.

Het uiteindelijke doel is dat gebaseerde verwerking wordt vervangen door een pseudoniem -gebaseerde verwerking in staat is het pseudoniem te herleiden tot de identiteit van de gebruiker. Dit laat onverlet dat ook voor DigiD Hoog zal gelden dat de eerdere, minder sterke authenticatiemethoden van araan gerelateerde risico’s. Op basis van de huidige BZK om de authenticatiemechanismen en -middelen te versterken is het voorgenomen door het ministerie van BZK wordt doorgezet en afgerond en dat uiteindelijk de middelen en concepten van het nu bestaande DigiD -systeem worden s daarvan worden gemitigeerd. In de volgende paragraaf wordt nader ingegaa n op Inherent aan de doelstellingen van DigiD Substantieel worden persoonsgegevens verwerkt waaronder wettelijke identiteitsdocumenten en andere tot een natuurlijk persoon te herleiden gegevens. Hiermee is de relevantie van de PIA aangetoond. 41 Nr. Vraag I.1 Is sprake van een verwerking van persoonsgegevens (volgens de definities van de Wbp?)

I.2 Kan uw organisatie als verantwoordelijke worden aangemerkt voor de verwerking of treedt u op als verwerker Bevindingen / Risico’s / Aanbevelingen Aanbevelingen Op de bestaande DigiD is niet eerder een integrale P veranderingen aan DigiD aandacht b esteed aan de eis privacyrisico’s van de bestaande DigiD is niet voorh doorontwikkeling van DigiD Substantieel een integrale p organisatorische en technische maatregelen van de bestaande DigiD en de onderliggende infrastructuur. Is sprake van een verwerking van persoonsgegevens Er worden in het domein van DigiD Substantieel persoonsgegevens verzameld en verwerkt van een DigiD- middel aanvragen en gebruiken. De gegevens die worden verwerkt zijn onder andere Voor paspoort en ID-kaart:
BSN;
Geboortedatum van de gebruiker;
WID-nummer;
Geldigheidsdatum;
Aanduiding resp. datum van inhouding/vermissing;
IP-adres. Voor het rijbewijs:
BSN;
MRZ;
Reden ongeldig rijbewijs;
IP-adres.

Dit zijn persoonsgegevens volgens de Wbp en de AVG . Daarnaast worden gegevens verwerkt door het gebruik van DigiD door de gebruiker , zogeheten metadata. Bij het gebruik van een DigiD dienstaanbieders worden in een transactielog gegevens vastgelegd, waaronder het IP de tijd van inloggen en de website van de instelling waar de gebruiker inlogt. loggings waarin metadata (waaronder IP-adressen) zitten die informatie adressen worden aangemerkt als digitale identifiers , wat gev moeten worden omgegaan, omdat deze gebruikt kunnen worden om te profileren identiteitsfraude. De genoemde metadata kunnen ook in for misbruikt worden voor profiling met mogelijk negatieve gevolgen voor de Conclusie Er is sprake van het verwerken van persoonsgegevens zoals bedoeld in de W naast het verwerken van gewone persoonsgegevens o persoonsgegevens. Zie I.3. Kan uw organisatie als verantwoordelijke worden aangemerkt voor de verwerking of treedt u op als verwerker De minister van BZK is verantwoordelijke en de uitvoerin ministerie van BZK.

Logius maakt op haar beurt gebruik van PIA uitgevoerd. Wel is bij het doorvoeren van eisen van de Wbp. Een integraal overzicht van rhanden. Het verdient aanbeveling om bij de doorontwikkeling van DigiD Substantieel een integrale p rivacyrisicoanalyse uit te voeren op de bestaande DigiD en de onderliggende infrastructuur. Er worden in het domein van DigiD Substantieel persoonsgegevens verzameld en verwerkt van gebruikers die middel aanvragen en gebruiken. De gegevens die worden verwerkt zijn onder andere : . Daarnaast worden gegevens verwerkt die ontstaan , zogeheten metadata. Bij het gebruik van een DigiD -middel bij dienstaanbieders worden in een transactielog gegevens vastgelegd, waaronder het IP -adres van de gebruiker, de tijd van inloggen en de website van de instelling waar de gebruiker inlogt. Netwerkcomponenten genereren die informatie kunnen onthullen over gebruikers. IP- gevoelige gegevens zijn waar extra voorzichtig mee moeten worden omgegaan, omdat deze gebruikt kunnen worden om te profileren en mogelijk voor formatie onthullen over inloggedrag en in potentie misbruikt worden voor profiling met mogelijk negatieve gevolgen voor de gebruikers.

Er is sprake van het verwerken van persoonsgegevens zoals bedoeld in de W bp en de AVG. Bovendien is ook sprake van de verwerking van gevoelige ring is belegd bij Logius, een onderdeel van het Logius maakt op haar beurt gebruik van (sub)verwerkers voor de levering van IT-diensten. 42 Nr. Vraag (uw organisatie verwerkt de persoonsgegevens in opdracht en onder verantwoordelijkheid van een andere organisatie)? I.3 Andere specifieke persoonsgegevens? I.3a Is het de bedoeling om gegevens over de financiële of economische situatie van betrokkenen of andere gegevens met een verhoogde gevoeligheid of die kunnen leiden tot stigmatisering of uitsluiting te verwerken? Bevindingen / Risico’s / Aanbevelingen Met deze partijen zijn of worden (sub)verwerkersovereenkomsten afgesloten. van de RDA- omgeving heeft Logius uitbesteed aan verwerkersovereenkomst afgesloten. De RDA-server is subleverancier. Een subverwerkersovereenkomst met deze van de verwerkersovereenkomst van de leverancier.

Aangezien van DigiD Substantieel wel persoonsgegevens verwerkt, dient een te worden. Conclusie en aanbevelingen Ten tijde van de uitvoering van de PIA bleek dat de sub subleverancier van de RDA-server nog niet was gefo verwerkers overeenkomsten te formaliseren met alle relevante partijen. actie om de subverwerkersovereenkomst te realiseren is onderhanden. Is het de bedoeling om gegevens over de financiële of economische situatie van betrokkenen of andere gegevens met een verhoogde gevoeligheid of die kunnen leiden tot Nee, dit is niet de bedoeling. Het verwerken van gegevens m tot stigmatisering of uitsluiting is geen onderdeel van het ontwerp van DigiD Substantieel. De be de PSA DigiD Substantieel geeft dit niet aan. Logius heeft de beschikking over persoonsgegevens, waaronder BSN gegevens worden niet versleuteld of gepseudonimisee accountgegevens gekoppeld kunnen worden aan transactiegegevens.

Het is daarmee onder meer be welk IP-adres hoort bij welk BSN. In de transactie logging vastgelegd bij welke dienst de gebruiker heeft ingelogd . Hierdoor ontstaat een omvangrijke inloghistorie. Deze inloghistorie is een ge voelig en waar gebruikers opgesteld zouden kunnen worden (bijvoorbeeld via offline analyse). Denk hierbij aan met hun DigiD inloggen bij dienstaanbieder s voor schuldhulpverlening of uitkeringsinsta DigiD maakt gebruik van sessie en persistente cookies en deze zijn niet specifiek voor DigiD deze cookies worden geen persoonsgegevens gebruikt. De werken met de verschillende applicat ieservers die gebruikt worden. kunnen volgen en analyseren wordt gebruik gemaakt van bezoekersstatistieken bij te houden. Piwik houdt hiervoor geanonimiseerde gebruiksgegevens bi Piwik wordt voor de DigiD a pp niets met cookies gedaan ten aanzien van gebruiksgegevens. Voor de DigiD website gaan in de toekomst wel cookies gebruikt worden vo gegevens niet te herleiden zijn naar een persoon.

De sessie sessie cookies worden opgeruimd na de sessie en de persistente coo beëindigd of totdat de loadbalancer die opruimt. Met deze partijen zijn of worden (sub)verwerkersovereenkomsten afgesloten. Het technisch applicatiebeheer omgeving heeft Logius uitbesteed aan een leverancier. Met deze partij is een is door deze leverancier ingekocht bij een ze partij is niet aanwezig en is ook geen onderdeel Aangezien de subleverancier in verband met de werking van DigiD Substantieel wel persoonsgegevens verwerkt, dient een subverwerkersovereenkomst nog opgesteld sub verwerkersovereenkomst tussen Logius en de eformaliseerd. Het verdient aanbeveling om de overeenkomsten te formaliseren met alle relevante partijen. Dit is door Logius onderkend en de actie om de subverwerkersovereenkomst te realiseren is onderhanden. met een verhoogde gevoeligheid die kunnen leiden het ontwerp van DigiD Substantieel.

De be schrijving van persoonsgegevens, waaronder BSN ’s en IP-adressen van gebruikers. Deze eerd. Daarbij blijkt uit waarnemingen dat de worden aan transactiegegevens. Het is daarmee onder meer be kend g van het gebruik van DigiD wordt onder andere . Hierdoor ontstaat een omvangrijke cumulatie van ardevol bestand op basis waarvan profielen van opgesteld zouden kunnen worden (bijvoorbeeld via offline analyse). Denk hierbij aan gebruikers die s voor schuldhulpverlening of uitkeringsinsta nties. DigiD maakt gebruik van sessie en persistente cookies en deze zijn niet specifiek voor DigiD Substantieel. In De cookies zijn nodig om te zorgen dat DigiD kan ieservers die gebruikt worden. Teneinde het gebruik van de app te an Piwik. Piwik is een opensourceprogramma om bezoekersstatistieken bij te houden. Piwik houdt hiervoor geanonimiseerde gebruiksgegevens bi j. Ook voor pp niets met cookies gedaan ten aanzien van gebruiksgegevens.

Voor de DigiD - voor Piwik met gebruiksgegevens, alleen zullen de sie en persistente cookies zijn van tijdelijke aard: de de persistente coo kies nadat het proces van aanvragen is 43 Nr. Vraag I.3b Is h et de bedoeling om gegevens over kwetsbare groepen of personen te verwerken? Bevindingen / Risico’s / Aanbevelingen Conclusie Binnen het concept van DigiD Substantieel is een cumulatie kan worden verkregen over welke dienstaanbieder s door indirect een beeld worden verkregen over mogelijk stigmatiserende situaties van een nieuw of specifiek voor DigiD Substantieel. Ze gelden ook voor het al bestaande DigiD componenten waarop DigiD Substantieel wordt geplaatst. Aanbevelingen Bij de vervolgontwerpfasen verdient het aanbeveling de risico te beschouwen en aanvullende maatregelen te treffen . Te d van data, pseudonimiseringstechnieken en verdere limiteri aanbrengen van een ‘Chinese muur’ tussen accountgegevens (BSN) en transactiegegevens (inloghistorie) netwerkgegevens (IP- adressen) is daarbij een belangrijk handvat.

Onderzoek hierbij ook de risico’ s van netwerkcomponenten metadata genereren die informatie kunnen onthullen over g prevention systemen, DDoS systemen en firewalls. Dit wor PSA, beschreven. In het kader van deze PIA op de PSA van DigiD Substantieel is dit niet nader onderzocht. et de bedoeling om gegevens over kwetsbare groepen Nee, dit is niet de bedoeling. Door de inloghistorie die ontstaat, zoals beschreven in I.3a, is het dat er in DigiD Substantieel ook gegevens over kwetsb gebruikers alle Nederlandse burgers kunnen zijn. Als een dienstaanbieder die specifiek diensten aanbiedt aan een kwe dat de inloghistorie wordt bewaard, waaronder ook de gegevens over bij welke inlogt, kan via data- analyse en profiling achterhaald worden welke behoren. Denk hierbij aan de inloghistorie van gebruikers schuldhulpverlening, medisch gerelateerde diensten en uitkeringsinstanties. Conclusie Via de DigiD-inloghistorie kan een relatie gelegd worden tussen welke behoren.

De DigiD- dataset biedt de analysemogelijkheden h DigiD S ubstantieel gebruikt gaat worden voor het inloggen bij meer gevoeli dienstaanbieders in het BSN- domein. Dus juist deze gevoeligheid maakt de risico stigmatisering groter. Aanbeveling Aanbevolen wordt in kaart te brengen welke persoonsgegevens wor cumulatie aanwezig met inloghistorie waarmee een beeld s door welke gebruikers worden bezocht. Hiermee kan indirect een beeld worden verkregen over mogelijk stigmatiserende situaties van een gebruiker. Dit is niet nieuw of specifiek voor DigiD Substantieel. Ze gelden ook voor het al bestaande DigiD -systeem en technische Bij de vervolgontwerpfasen verdient het aanbeveling de risico ’s van de inloghistorie en profilingrisico’s nader denken valt aan verdere toepassing van encryptie ering van de opslag en toegang tot de data. Het tussen accountgegevens (BSN) en transactiegegevens (inloghistorie) en adressen) is daarbij een belangrijk handvat. n over de hele technologische keten die eveneens g ebruikers.

Denk hierbij aan intrusion detection en ordt in de ontwerpdocumentatie, aanvullend op de PSA, beschreven. In het kader van deze PIA op de PSA van DigiD Substantieel is dit niet nader onderzocht. die ontstaat, zoals beschreven in I.3a, is het onvermijdelijk tsbare personen worden verwerkt, aangezien de Als een gebruiker DigiD gebruikt om in te loggen bij een wetsbare groep, vanwege de eigenschap van DigiD dat de inloghistorie wordt bewaard, waaronder ook de gegevens over bij welke dienstaanbieder een gebruiker analyse en profiling achterhaald worden welke gebruikers tot welke kwetsbare groepen die met hun DigiD inloggen bij organisaties voor schuldhulpverlening, medisch gerelateerde diensten en uitkeringsinstanties. relatie gelegd worden tussen welke gebruikers tot welke kwetsbare groepen n hiertoe. Het ligt in de lijn van de verwachting dat ubstantieel gebruikt gaat worden voor het inloggen bij meer gevoeli ge webdiensten van domein.

Dus juist deze gevoeligheid maakt de risico ’s van profling en Aanbevolen wordt in kaart te brengen welke persoonsgegevens wor den verwerkt die hogere 44 Nr. Vraag I.3c Is het de bedoeling gebruikersnamen, wachtwoorden of andere inloggegevens te verwerken? I.3d Is het de bedoeling om uniek identificerende gegevens, zoals biometrische gegevens, te verwerken? I.3e Is het de bedoeling om het BSN-nummer of een ander persoonsgebonden nummer te verwerken? Bevindingen / Risico’s / Aanbevelingen privacy waarborgen verlangen en additionele maatregelen te implementeren gegevens. Is het de bedoeling gebruikersnamen, wachtwoorden of In het domein van DigiD Substantieel worden volgens het Be van DigiD verzameld, waaronder het e- mailadres, de gebru wachtwoord, dat versleuteld wordt verwerkt. De pin code, die werd geïntroduceerd bij de DigiD app gemaskeerd (niet herleidbaar tot de echte pin code) opgeslagen conform cryptografisch ontwerp. worden ook andere gegevens vastgelegd welke gebruikt zijn bij het inlogproces en de validatie van g Zie antwoorden bij vraag 1.3e.

Is het de bedoeling om uniek identificerende gegevens, Nee, h et is niet de bedoeling om biometrische gegevens te verwerken. of een ander Het huidige DigiD-stelsel en DigiD Substantieel verwerken BSN’s domein gebruikt als uniek identificeerbaar gegeven om g ebruikers identiteiten te waarborgen en gegevens te valideren op juistheid en geldigheid om vervolgens dienstaanbieders kenbaar te maken en zekerheid te verschaffen Daarnaast wordt in DigiD Substantieel het BSN geb ruikt om gegevens van de CRB op te halen als zij het WID scannen om DigiD Substantieel te de gegevens van de (vier) meest recente paspoorten en ide BRP of van het rijbewijs uit het CRB verkregen. Overigens is het gebruik van DigiD Substantieel alleen geschikt om gebruikt te worden binnen het BSN domein. Verder gebruik in het private domein is uitgesloten. Het BSN wordt onversleuteld en niet- gepseudonimiseerd opgeslagen in gebruiker, die via de beheermodule van DigiD te bereiken Logius heeft toegang tot deze behe ermodule.

Het BSN wor van Logius benadert met vragen over of problemen met het account. is er wel voor gekozen om het BSN te vervangen door een gegevensuitwisseling tussen de endpoint van de gebruiker (in casu een smartphone of usb RDA-server. De roadmap om naar DigiD Hoog te komen is de doorontwikkeling van het huidige DigiD BSN-gebaseerde verwerking naar een pseudoniem- gebaseerde verwerking te komen. Conclusie Het BSN is het kerngegeven binnen DigiD Substantieel. In d worden waarbij het huidige DigiD- systeem afgebouwd zal worden. Naast DigiD Hoog zullen uiteindelijk ook huidige DigiD en DigiD Substantieel gebruik maken van een pseudoniem vervanging van de huidige BSN-gebaseerde verwerking. waarborgen verlangen en additionele maatregelen te implementeren voor de beveiliging van deze Besluit GDI de accountgegevens van een gebruiker bruikersnaam van het account en het bijbehorende code, die werd geïntroduceerd bij de DigiD app , wordt - code) opgeslagen conform cryptografisch ontwerp.

Voorts worden ook andere gegevens vastgelegd welke gebruikt zijn bij het inlogproces en de validatie van g egevens. et is niet de bedoeling om biometrische gegevens te verwerken. verwerken BSN’s van gebruikers. Het BSN wordt in het DigiD- ebruikers van elkaar te scheiden, de uniciteit van te waarborgen en gegevens te valideren op juistheid en geldigheid om vervolgens aan en zekerheid te verschaffen met welke persoon zij te maken hebben. ruikt om gegevens van de gebruikers uit de BRP of het CRB op te halen als zij het WID scannen om DigiD Substantieel te behalen. Door middel van het BSN worden identiteitskaarten van die specifieke persoon uit de Overigens is het gebruik van DigiD Substantieel alleen geschikt om gebruikt te worden binnen het BSN - gepseudonimiseerd opgeslagen in de accountdatabase van de n is. Slechts een beperkt aantal medewerkers van ordt tevens gebruikt als een gebruiker de helpdesk van Logius benadert met vragen over of problemen met het account.

Gezien de vertrouwelijkheid van het BSN is er wel voor gekozen om het BSN te vervangen door een tijdelijk en niet persistent sessie-ID bij de endpoint van de gebruiker (in casu een smartphone of usb -reader) met de De roadmap om naar DigiD Hoog te komen is de doorontwikkeling van het huidige DigiD -systeem, om van een gebaseerde verwerking te komen. de toekomst zal DigiD Substantieel doorontwikkeld systeem afgebouwd zal worden. Naast DigiD Hoog zullen uiteindelijk ook de huidige DigiD en DigiD Substantieel gebruik maken van een pseudoniem -gebaseerde verwerking ter 45 Nr. Vraag I.3f Is het de bedoeling om andere bijzondere persoonsgegevens te verzamelen of te verwerken (zoals gegevens omtrent godsdienst, ras, politieke of seksuele voorkeur, strafrechtelijk verleden, etc.)? I.4 Gaat het bij het project/systeem om het gebruik van nieuwe/andere technologieën of informatiesystemen of de invoer van b estaande technologie in een nieuwe context?

I.5 Is er sprake van gebruik van technologie die bij het publiek vragen of weerstand op k an roepen (zoals locatie volgsystemen op basis van GPS, mobiele technologie, gezichtsherkenning in samenhang met cameratoezicht)? I.6 Is er sprake van (andere) grote verschuivingen in de werkwijze van de organisatie, de manier waarop persoonsgegevens worden verwerkt en/of de technologie die daarbij wordt gebruikt? Bevindingen / Risico’s / Aanbevelingen Is het de bedoeling om andere bijzondere persoonsgegevens te verzamelen of te verwerken (zoals gegevens omtrent godsdienst, ras, politieke of seksuele Dig iD Substantieel verwerkt het BSN voor de bevraging godsdienst, ras, politieke of seksuele voorkeur en strafrechtelijk verleden worden niet door DigiD verwerk zijn ook niet in de ontwerpen beschreven . In de metada transactielogging is het niet uitgesloten dat dit soort gegevens echter wel herleid transactielogging worden namelijk IP-adressen van g ebruikers over wanneer gebruikers bij welke dienstaanbieders hebben ingelogd. toelichting hierover bij vraag I.3a en I.3b.

Conclusie Gegevens omtrent godsdienst, ras, politieke of seksuel e voo DigiD verwerkt. Echter is indirecte herleiding van deze gege metadata. Aanbeveling Aanbevolen wordt in kaart te brengen welke persoonsgegevens wor privacy waarborgen verlangen en additionele maatregelen te implementeren gegevens. Gaat het bij het project/systeem om het gebruik van nieuwe/andere technologieën of informatiesystemen of de estaande technologie in een nieuwe context? Nieuw in DigiD Substantieel, ten opzichte van het huidige DigiD een WID scant met een NFC- reader, om zijn identiteit te laten verifiëren. Om de NFC lezen en de informatie daarin te controleren, wordt gebruik gemaakt van een RDA maakt gebruik van nieuwe technologie ten opzichte van de bestaande middelen gebruikt bij DigiD technologie is wel al toegepast in een pilot bij de RDW. aanpassingen gedaan in koppelvlakken en inte rfaces (CIS) en bestaande DigiD gebruiker , om DigiD Substantieel te gebruiken, beschikken over de maar nog niet met de functionaliteiten om niveau ‘ Substantieel voor deze app voor het kunnen behalen van dit niveau.

Is er sprake van gebruik van technologie die bij het publiek an roepen (zoals locatie - of volgsystemen op basis van GPS, mobiele technologie, gezichtsherkenning in samenhang met cameratoezicht)? Er wordt gebruik gemaakt van nieuwe technologie, de RDA namelijk de DigiD app, aangepast voor DigiD Substantieel . Via de de chip van een WID gescand. H et is niet uit te sluiten dat h van het publiek tot weerstand zou kunnen leiden. sprake van (andere) grote verschuivingen in de werkwijze van de organisatie, de manier waarop persoonsgegevens worden verwerkt en/of de technologie De ontwikkeling van DigiD Substantieel is op zichzelf een verschuiving in zowel persoonsgegevens worden verwerkt als in de technologie verwerking van persoonsgegevens met het huidige DigiD uitgelezen en geverifieerd zal gaan w orden door middel van een nieuwe technologie (de RDA worden tevens meer gegevens verwerkt dan voor de huidi ge DigiD B Belangrijk is te onderkennen dat de achterliggende systemen en dataverwerkingen van M idden dezelfde systemen en databases zijn als die geb gebruikte dataverzamelingen ook blijven bestaan.

Het is bela g van de BRP en het CRB. Gegevens omtrent godsdienst, ras, politieke of seksuele voorkeur en strafrechtelijk verleden worden niet door DigiD verwerk t en . In de metada ta die worden verzameld door middel van gegevens echter wel herleid kunnen worden. In de ebruikers opgeslagen en wordt informatie opgeslagen bij welke dienstaanbieders hebben ingelogd. Zie de voorafgaande opmerkingen en oorkeur en strafrechtelijk verleden worden niet door gevens niet uitgesloten vanwege de gegenereerde Aanbevolen wordt in kaart te brengen welke persoonsgegevens wor den verwerkt die hogere waarborgen verlangen en additionele maatregelen te implementeren voor de beveiliging van deze Nieuw in DigiD Substantieel, ten opzichte van het huidige DigiD -systeem, is dat een gebruiker de NFC-chip in reader, om zijn identiteit te laten verifiëren. Om de NFC -chip van een WID uit te lezen en de informatie daarin te controleren, wordt gebruik gemaakt van een RDA -server.

De RDA-server ten opzichte van de bestaande middelen gebruikt bij DigiD . Deze bij de RDW. Naast de toevoeging van de RDA-server zijn rfaces (CIS) en bestaande DigiD -onderdelen. Ook moet de , om DigiD Substantieel te gebruiken, beschikken over de DigiD app. De DigiD app is al beschikbaar, Substantieel ’ te behalen. Aanpassingen worden gedaan nieuwe technologie, de RDA -server. Daarnaast wordt de mobiele technologie, . Via de app wordt met behulp van de NFC-reader et is niet uit te sluiten dat h et gebruik van deze technologie bij een gedeelte De ontwikkeling van DigiD Substantieel is op zichzelf een verschuiving in zowel de manier waarop ie die daarvoor wordt gebruikt. Het verschil in de verwerking van persoonsgegevens met het huidige DigiD -systeem is dat in DigiD Substantieel een WID orden door middel van een nieuwe technologie (de RDA -server). Er ge DigiD B asis en DigiD Midden, zie hiervoor III.2.

Belangrijk is te onderkennen dat de achterliggende systemen en dataverwerkingen van DigiD Basis en DigiD ebruikt worden voor DigiD Substantieel en dat de elangrijk te onderkennen dat DigiD Substantieel nog 46 Nr. Vraag I.7 Kan de manier waarop de gegevens worden verzameld worden opgevat als privacygevoelig? I.8 Zijn er veel maatschapp elijk belanghebbenden? I.9 Hebben de gegevens betrekking op de gehele of grote delen van de bevolking? I.10 In welk breder wettelijk, beleidsmatig o f technisch kader wordt het voorziene beleid/databestand/informatiesysteem ontwikkeld en wat voor soort(en) verwerking(en) van persoonsgegevens gaat/gaan hiervan deel uitmaken bij het voorziene traject? Bevindingen / Risico’s / Aanbevelingen verder wordt doorontwikkeld. De PSA DigiD Substantie versterkingsproces van DigiD. Uiteindelijk is het de bedoeling van de realisatie van Substantieel, door te gaan met h et ontwikk DigiD Hoog cryptografische en andere aanvullende maatregelen zijn voorzien om de p beperken.

Het uiteindelijke doel is dat de huidige BSN- gebaseerde verwerking wordt vervang pseudoniem-gebaseerde verwerking waarbij alleen de dienstaanbieder tot de identiteit van de gebruiker. Kan de manier waarop de gegevens worden verzameld Voor het v erzamelen en verwerken van de persoonsgegeven BSN. Het BSN is op zichzelf al een privacygevoelig gegeven worden gegevens verzameld over het inloggen door privacygevoelige data op aangezien personen hiermee geprofileerd kunnen worden. elijk belanghebbenden? Alle Nederlandse burgers kunnen gebruikmaken van DigiD e is de groep maatschapp elijk belanghebbenden dus erg gro van maatschappelijk en economisch groot belang is, aangezien middelen zal blijven. Logius is onderdeel van het ministerie van BZK met een e maatschappelijk als politiek in de schijnwerpers. Ook vanuit dit perspectief zijn er ve belanghebbenden. Hebben de gegevens betrekking op de gehele of grote DigiD wordt op dit moment gebruikt door 13,4 miljoen gebr miljoen van deze gebruikers in de ee rste fase zal overgaan dat in eerste instantie enkel Android- telefoons gebruikt kunnen worden voor het scannen van de NFC het WID.

DigiD Substantieel zal daarmee betrekking hebben op en gebruikt wor kleiner deel van de bevolking dan DigiD Basis/Midden. Uite bevolking de mogelijkheid heeft om gebruik te maken van DigiD Substantieel. f technisch kader wordt het voorziene beleid/databestand/informatiesysteem ontwikkeld en wat voor soort(en) verwerking(en) van persoonsgegevens gaat/gaan hiervan deel uitmaken bij het Het wettelijk kader voor de verwerking van de persoon sgegevens is het persoonsgegevens vinden plaats om de identiteit van de g ebruiker manier ingelogd kan worden bij dienstaanbieders. Additioneel word DigiD Basis en DigiD Midden, de gegevens van het WID verwerkt. De ontwikkeling van DigiD Substantieel vloeit verder voort uit een aantal Europese
eIDAS: de verplichting dat Europese lidstaten elkaa toelaten (nr. 910/2014, 23 juli 2014)
minimale technische specificaties voor betrouw substantieel, hoog), (nr. 2015/1502, 8 september 2015) Daarbi j is het initiatief tot de ontwikkeling van DigiD Substantieel een Rutte om de betrouwbaarheid van DigiD te versterken en het realiseren tieel is slechts een eerste stap in een breder versterkingsproces van DigiD.

Uiteindelijk is het de bedoeling van het ministerie van BZK en Logius om, naast ikkelen naar DigiD Hoog. Inmiddels is bekend dat in DigiD Hoog cryptografische en andere aanvullende maatregelen zijn voorzien om de p rivacyrisico’s verder te gebaseerde verwerking wordt vervang en door een dienstaanbieder in staat is het pseudoniem te herleiden vens van gebruikers wordt gebruik gemaakt van het en aangezien het een unieke identifier is. Daarnaast worden gegevens verzameld over het inloggen door gebruikers bij dienstaanbieders. Dit levert privacygevoelige data op aangezien personen hiermee geprofileerd kunnen worden. en daarmee ook van DigiD Substantieel. Daarmee root. Daarnaast kan gezegd worden dat DigiD zelf groot belang is, aangezien het één van de belangrijkste (publieke) eID- n eindverantwoordelijke minister. DigiD staat zowel de schijnwerpers. Ook vanuit dit perspectief zijn er ve el verschillende bruikers.

De verwachting is dat 0,5 miljoen tot 1,5 n naar DigiD Substantieel. Een beperking daarbij is telefoons gebruikt kunnen worden voor het scannen van de NFC -chip op het WID. DigiD Substantieel zal daarmee betrekking hebben op en gebruikt wor den door een aanzienlijk iteindelijk is het echter de bedoeling dat de gehele bevolking de mogelijkheid heeft om gebruik te maken van DigiD Substantieel. sgegevens is het Besluit GDI. Verwerkingen van ebruiker vast te stellen zodat op een betrouwbare manier ingelogd kan worden bij dienstaanbieders. Additioneel word en bij DigiD Substantieel, ten opzichte van DigiD Basis en DigiD Midden, de gegevens van het WID verwerkt. De ontwikkeling van DigiD Substantieel vloeit verder voort uit een aantal Europese verordeningen, waaronder: kaars digitale authenticatie middelen accepteren en uwbaarheidsniveaus authenticatiediensten (laag, 2015/1502, 8 september 2015) j is het initiatief tot de ontwikkeling van DigiD Substantieel een voortvloeisel van het beleid van Kabinet betrouwbaarheid van DigiD te versterken en het realiseren van een multimiddelenstrategie.

47 Nr. Vraag I.11 Worden de gegevens verzameld op basis van een van de wettelijke grondslagen volgens de Wbp?:
U vraagt toestemming
De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene een partij is
De gegevens zijn nodig voor het volgen van een wettelijke verplichting
De betrokkene heeft er een vitaal belang bij dat u de gegevens verzamelt
De geg evens zijn nodig voor de goede vervulling van een publiekrechtelijke taak
U heeft een gerechtvaardigd belang bij de verwerking I.12 Welke (overige) wet- en regelgevingen zijn relevant voor deze PIA? II Noodzaak / gegevensminimalisering Privacyprincipe: Limiteren van het verzamelen van gegevens II.1 Kan van elk van de onder vraag I.3 en vraag I.4 opgevoerde typen persoonsgegevens worden gesteld dat zij beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de beleidsdoelstelling?

Wat zou Bevindingen / Risico’s / Aanbevelingen uitvoeringsprogramma om dit te realiseren heet ‘ eID Impuls van he t ministerie van BZK waarvan de uitvoering is belegd bij Logius. Worden de gegevens verzameld op basis van een van de De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene een partij is De gegevens zijn nodig voor het volgen van een De betrokkene heeft er een vitaal belang bij dat u de evens zijn nodig voor de goede vervulling van U heeft een gerechtvaardigd belang bij de verwerking De persoonsgegevens worden verwerkt als onderdeel va opgenomen in het Besluit GDI. H et Besluit GDI biedt een toelichting van het Besluit GDI volgt dat met de verwerkin mogelijk te maken voor identificatie en authenticatie. In een aanstaande wijziging exacte werking van Substantieel (en Hoog) opgenomen worden. Conclusie De wettelijke grondslagen volgens de Wbp en AVG o verantwoordelijkheid van het ministerie van BZK/ Logius ten behoeve vervulling publiekrechtelijke taak en toestemming. en regelgevingen zijn relevant voor De volgende wet- en regelgevingen zijn relevant voor de PIA een volledig overzicht van relevante wet- en regelgeving voo hieronder genoemd:
Algemene verordening g egevensbescherming, 25 mei 201
Archiefwet
Besluit verwerking persoonsgegevens GDI
eIDAS: de verplichting dat Europese lidstaten elkaa toelaten (nr 910/2014, 23 juli 2014)
Regeling voorziening GDI
Uitvoeringsverordening tot vaststelling van minimale technisch betrouwbaarheidsniveaus authenticatiediensten ( september 2015)
Wet algemene bepalingen burgerservicenummer (Wabb)
Wet bescherming persoonsgegevens (Wbp)
Wet elektronisch berichtenverkeer (EBV)
Meldplicht datalekken (onderdeel van de Wbp) Limiteren van het verzamelen van gegevens Kan van elk van de onder vraag I.3 en vraag I.4 opgevoerde typen persoonsgegevens worden gesteld dat zij beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de beleidsdoelstelling?

Wat zou Om betrouwbaarheidsniveau DigiD Substantieel te behalen CRB . Het raadplegen van gezaghebbende bro authenticatiebetrouwbaarheidsniveau Substantieel. In het o naar de BRP specifiek. In de implementatie is hier geen rekening mee gehouden eID Impuls ’ en wordt uitgevoerd onder verantwoordelijkheid t ministerie van BZK waarvan de uitvoering is belegd bij Logius. van de publiekrechtelijke taak van DigiD, zoals en adequate grondslag voor de verwerking. Uit de ingsdoelen wordt beoogd om gegevensverwerking mogelijk te maken voor identificatie en authenticatie. In een aanstaande wijziging van het Besluit GDI zal de exacte werking van Substantieel (en Hoog) opgenomen worden. om persoonsgegevens te verwerken onder de Logius ten behoeve van DigiD Substantieel zijn aanwezig: en regelgevingen zijn relevant voor de PIA op DigiD Substantieel. Wij hebben niet getracht voor Logius te geven. De belangrijkste wetgeving is egevensbescherming, 25 mei 201 8 (AVG) kaars digitale authenticatie middelen accepteren en Uitvoeringsverordening tot vaststelling van minimale technisch e specificaties voor (laag, substantieel, hoog), (nr 2015/1502, 8 Wet algemene bepalingen burgerservicenummer (Wabb) n wordt een bevraging gedaan naar de BRP of het .

Het raadplegen van gezaghebbende bro nnen is een eIDAS-vereiste voor t ontwerp van DigiD Substantieel is de bevraging geen rekening mee gehouden waardoor de gegevens waar 48 Nr. Vraag er precies niet inzichtelijk wo rden als ervoor wordt gekozen bepaalde gegevens niet te verwerken? Licht per te verwerken persoonsgegeven toe. Bevindingen / Risico’s / Aanbevelingen rden als ervoor wordt gekozen bepaalde gegevens niet te verwerken? Licht per te DigiD autorisatie voor heeft, worden ontvangen van de vier meest recente paspoorten/identiteitskaarten. gegevens die benodigd zijn voor DigiD Substantieel (geboortedatum van de gebruiker, WID geldigheidsdatum en aanduiding op of datum van inhouding/vermissing) worden zodat alleen de gegevens worden ontvangen die benodigd zijn voor DigiD Substantieel. functionaliteit geboden door RvIG biedt echter niet de moge te maken op basis van het documentsoort (paspoort/identiteitskaart). conform het ontwerp de onnodig ontvangen gegevens bij privacyrisico 's zijn voor dit onderdeel hiermee geminimaliseerd Op het niveau van de inzet van technische componenten, zoals firewalls en intrusion prevention detectionsystemen, DDoS- preventiesysteem en technische logsystemen wordt in persoonsgegevens onvoldoende belicht.

In de Detailed Lev wel genoemd. Deze technische netwerkcomponenten loggen het gebruik van het DigiD verschillende niveaus. Het doel van de logbestanden is om monitoren en het juist functioneren te bewaken . Hiermee wo voor ongewenste herleiding van gegevens en profiling. Vastgesteld is dat loggegevens op basis van IP kunnen worden herleid tot een BSN. In de bestaande DigiD zijn de technische loggings gedecentraliseerd naar componenten. geldt voor de nieuwe componenten van DigiD Substantieel (waaronder de RDA aanpassingen in koppelvlakken en interfaces (waaron der het CIS) DigiD Kern). De DigiD app zelf legt geen gegevens v beveiligingsregimes gelden ook voor deze nieuwe componenten. De c en de applicatie/d atabases genereren de transactielogs. samengebracht in een centrale logging- en monitoringomgeving. logging naar het SIEM. Het SIEM is een bij een infrastructuurniveau waarin de logging voor specifieke doelstellingen wordt gemonitord ( cases).

De monitoringomgeving is apart te bereiken en extra beveiligingsmaatregelen gelden ook voor de back- up van de logbestanden. Conclusie en aanbevelingen De huidige uitvraag naar de BRP is niet specifiek voor D gegevens voor DigiD Substantieel ook overige gegevens van de geb worden ontvangen. Aanbevolen wordt de gegevensaanvraag gegevens worden ontvangen die benodigd zijn voor DigiD Substantieel (geboortedatum, WID geldigheidsdatu m en aanduiding op of datum van inhouding doorontwikkeling van DigiD Substantieel de RvIG te verz specifiëren van de BRP bevraging zodat alleen de gegevens van het v ontvangen. Logius heeft als maatregel ingesteld dat deze g worden ontvangen van de vier meest recente paspoorten/identiteitskaarten. De gegevens die benodigd zijn voor DigiD Substantieel (geboortedatum van de gebruiker, WID -nummer. geldigheidsdatum en aanduiding op of datum van inhouding/vermissing) kunnen door Logius wel gespecifieerd worden zodat alleen de gegevens worden ontvangen die benodigd zijn voor DigiD Substantieel.

De huidige gelijkheid om de gegevensaanvraag RvIG specifiek op basis van het documentsoort (paspoort/identiteitskaart). Als compenserende maatregel wordt ij Logius na een uur geautomatiseerd gewist. De 's zijn voor dit onderdeel hiermee geminimaliseerd . Op het niveau van de inzet van technische componenten, zoals firewalls en intrusion prevention - en preventiesysteem en technische logsystemen wordt in de PSA het verwerken van evel Design worden deze technische componenten Deze technische netwerkcomponenten loggen het gebruik van het DigiD -systeem op m het systeem te kunnen beheren, de beveiliging te worden echter risico’s gecreëerd waaronder risico's voor ongewenste herleiding van gegevens en profiling. Vastgesteld is dat loggegevens op basis van IP -adres bestaande DigiD zijn de technische loggings gedecentraliseerd naar componenten. Dezelfde benadering geldt voor de nieuwe componenten van DigiD Substantieel (waaronder de RDA -server) en voor de der het CIS) en bestaande DigiD-onderdelen (waaronder vast over het gebruik.

De eerder beschreven beveiligingsregimes gelden ook voor deze nieuwe componenten. De c omponenten zelf genereren de syslogs s. De afzonderlijke decentrale loggings worden en monitoringomgeving. Vanuit deze omgeving gaat alleen relevante externe partij afgenomen dienst ingericht op de logging voor specifieke doelstellingen wordt gemonitord ( op basis van use tra beveiligd (veilig opgeslagen en encrypted). Deze up van de logbestanden. DigiD Substantieel waardoor naast de benodigde van de geb ruiker waar DigiD autorisatie voor heeft ag voor Substantieel te specifiëren zodat alleen de gegevens worden ontvangen die benodigd zijn voor DigiD Substantieel (geboortedatum, WID -nummer, ing/vermissing). Het verdient aanbeveling om bij de erzoeken om de mogelijkheid te bieden voor het specifiëren van de BRP bevraging zodat alleen de gegevens van het v oor de verificatie gebruikte WID worden gegevens, na uitvraag en indien ze niet nodig zijn 49 Nr. Vraag II.2 Kan, als het gaat om gevoelige persoonsgegevens, hetzelfde beleidseffect of technisch resultaat worden bereikt op een van de volgende wijzen: (a) door (gecombin gebruik van normale persoonsgegevens of (b) door gebruik van geanonimiseerde of gepseudonimiseerde gegevens?

III Doelbinding, koppeling en profilering Bevindingen / Risico’s / Aanbevelingen voor de controle, maximaal één uur nadien worden verwijderd. Het stelsel van loggings en de centralisatie van logging is v en signaleringen van eventueel onbevoegde toegang. Er is het SIEM op basis van use cases. Dit laat on verlet dat de geconstateerde herleiding van IP BSN’s deze loggings nog steeds gevoelig maken voor profilin overzicht van alle verwerkingen van persoonsgegevens op dit technische niveau. Het ve een dergelijk integraal overzicht te maken van alle gege (gegevens die ontstaan als gevolg van het gebruik van DigiD) huidige ontwerp van DigiD Sub stantieel. Ook in het kader v relevant. Kan, als het gaat om gevoelige persoonsgegevens, hetzelfde beleidseffect of technisch resultaat worden bereikt op een van de volgende wijzen: (a) door (gecombin eerd) gebruik van normale persoonsgegevens of (b) door gebruik van geanonimiseerde of gepseudonimiseerde gegevens?

Logius heeft de beschikking over persoonsgegevens, waaronder BSN gegevens worden niet versleuteld of gepseudonimisee accountgegevens gekoppeld kunnen worden aan transactie welke IP-adres hoort bij welk BSN. In de transactie logging van het gebruik van DigiD wordt onder ande vastgelegd bij welke dienst de gebruiker wenst in te loggen. Hierdoor bestand op basis waarvan profielen van gebruikers opgestel analyse). Denk hierbij aan gebruikers die met hun DigiD inloggen bij ondersteuning bij jeugdzorg, bij reclassering of binnen he mogelijk indicaties prijs dat gebruikers behoren tot kwetsbare groepen de privacywetgeving meer rechten op privacybescherming. Het is hierbij belangrijk te onderkennen dat DigiD Substan DigiD Substantieel is slechts een eerste stap in een breder ve bedoeling van het ministerie van BZK en Logius om, naast het ontwikkelen naar DigiD Hoog. Inmiddels is bekend aanvullende maatregelen zijn voorzien om de privacyrisico ’s de huidige BSN- gebaseerde verwerking wordt vervangen door een pseudoniem waarbij alleen de dienstaanbieder in staat is het pse udoniem te herleiden tot de identiteit van de Conclusie en aanbevelingen Op de bestaande DigiD is niet eerder een integrale P veranderingen aan DigiD aandacht besteed aan de eisen van de Wbp.

Een inte privacyrisico’s van de bestaande DigiD is niet voorh doorontwikkeling van DigiD Substantieel een integrale p rivacyrisico de getroffen organisatorische en technische maatregelen van infrastructuur. voor de controle, maximaal één uur nadien worden verwijderd. s voorzien van preventieve beveiligingsmaatregelen is sprake van een limitering van dataverzameling in verlet dat de geconstateerde herleiding van IP -adressen naar filing. Daarbij ontbreekt een integraal en toegankelijk overzicht van alle verwerkingen van persoonsgegevens op dit technische niveau. Het ve rdient aanbeveling om genereerde loggegevens en eventuele metadata (gegevens die ontstaan als gevolg van het gebruik van DigiD) , naast de functionele beschrijvingen van het r van het principe van transparantie is dit overzicht Logius heeft de beschikking over persoonsgegevens, waaronder BSN ’s en IP-adressen van gebruikers.

Deze eerd. Daarbij blijkt uit waarnemingen dat de ctiegegevens. Het is daarmee onder meer bekend logging van het gebruik van DigiD wordt onder ande re wenst in te loggen. Hierdoor ontstaat een gevoelig en waardevol teld zouden kunnen worden (bijvoorbeeld via offline met hun DigiD inloggen bij dienstaanbieders die zich inzetten voor het sociaal domein. De inloghistorie geeft daarbij behoren tot kwetsbare groepen . Kwetsbare groepen hebben conform tantieel nog verder wordt doorontwikkeld. De PSA Substantieel is slechts een eerste stap in een breder ve rsterkingsproces van DigiD. Uiteindelijk is het de st de realisatie van Substantieel, door te gaan met d dat in DigiD Hoog cryptografische en andere ’s verder te beperken. Het uiteindelijke doel is dat gebaseerde verwerking wordt vervangen door een pseudoniem -gebaseerde verwerking udoniem te herleiden tot de identiteit van de gebruiker. PIA uitgevoerd.

Wel is bij het doorvoeren van veranderingen aan DigiD aandacht besteed aan de eisen van de Wbp. Een inte graal overzicht van rhanden. Het verdient aanbeveling om bij de rivacyrisico analyse uit te voeren met inachtneming van technische maatregelen van de bestaande DigiD en de onderliggende 50 Nr. Vraag Privacyprincipe: Doelbinding / Limitering van gebruik van gegevens Doeleinden/doelbinding en koppeling III.1 Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail vastgesteld? Geldt hiervoor één en hetzelfde specifieke doel? III.2 Gaat het bij het project/systeem om gebruik/verzameling van nieuwe, meer of andere persoonsgegevens voor een bestaand doel of bestaande doelen binnen al bestaande systemen? (scenario toevoeging nieuwe persoonsgegevens) Bevindingen / Risico’s / Aanbevelingen Doelbinding / Limitering van gebruik van gegevens Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail vastgesteld?

Geldt hiervoor één en hetzelfde specifieke doel? Het doel van het ontwikkelen van DigiD Substantieel is gebruikers om in te kunnen loggen op het BSN- domein, wa betrouwbaarheidsniveau ‘Substantieel’ (Commissie, 2015) . voldoet daar niet aan. De ontwikkeling van DigiD Substa uiteindelijke doorontwikkeling naar een middel met het eIDAS betrouwbaarheidsniveau Conclusie en aanbevelingen Logius beschikt over een register van verwerkingen als bed Logius nog niet beschikt over een volledig en toegankelijk re waarin naast de persoonsgegevens op functioneel niveau ook de verwerkingen van persoonsgegevens technisch niveau zijn beschreven en gekoppeld aan de specifieke doelen op component niveau. Het verdient aanbeveling om een integraal overzicht te maken van het volledige DigiD landschap en de infrastructuur, zodat de verwerkingen v an bestaand Dig worden geëvalueerd op privacy en beveiligingsrisico's.

Aanbevolen wordt in dit overzicht naast de functionele ook de technische gegevensverwerkingen op te nemen. Daarbij is een eenduidige beschri van deze gegevens per component noodzakelijk vanuit privacyoptiek. Gaat het bij het project/systeem om gebruik/verzameling van nieuwe, meer of andere persoonsgegevens voor een bestaand doel of bestaande doelen binnen al bestaande systemen? (scenario toevoeging nieuwe Het doel van DigiD is het bieden van een authenticatiemiddel voor domein. Ten opzichte van DigiD Basis en DigiD Midden wor persoonsgegevens verwerkt om de betrouwbaarheid van het authenticatiemiddel te verhogen: Koppelvlak BRP : Van de BRP worden de volgende velden aanvullend voor DigiD Substantieel identiteitskaart of paspoort:
Soort Nederlands reisdocument
Nummer Nederlands reisdocument
Datum einde geldigheid Nederlands reisdocument
Datum inhouding dan wel vermissin g Nederlands reisdocument
Aanduiding inhouding dan wel vermissing Nederlands reisdocument
Geboortedatum houder identiteitsdocument Koppelvlak CRB: is het bieden van een betrouwbaar middel voor waarbij wordt voldaan aan de eisen van het eIDAS .

De huidige DigiD (DigiD Basis en DigiD Midden) stantieel moet gezien worden als een stap in de uiteindelijke doorontwikkeling naar een middel met het eIDAS betrouwbaarheidsniveau ‘Hoog’. edoeld in artikel 30 van de AVG. Vastgesteld is dat register van verwerkingen van persoonsgegevens, waarin naast de persoonsgegevens op functioneel niveau ook de verwerkingen van persoonsgegevens op technisch niveau zijn beschreven en gekoppeld aan de specifieke doelen op component - en op overkoepelend verdient aanbeveling om een integraal overzicht te maken van het volledige DigiD landschap en igiD en DigiD Substantieel in samenhang kunnen worden geëvalueerd op privacy en beveiligingsrisico's. Aanbevolen wordt in dit overzicht naast de functionele - Daarbij is een eenduidige beschri jving van het doel van deze gegevens per component noodzakelijk vanuit privacyoptiek. Het doel van DigiD is het bieden van een authenticatiemiddel voor gebruikers om in te loggen in het BSN- orden voor DigiD Substantieel de volgende nieuwe persoonsgegevens verwerkt om de betrouwbaarheid van het authenticatiemiddel te verhogen: de volgende velden aanvullend voor DigiD Substantieel ontvangen en verwerkt van een g Nederlands reisdocument Aanduiding inhouding dan wel vermissing Nederlands reisdocument 51 Nr. Vraag Bevindingen / Risico’s / Aanbevelingen Van het CRB wordt de MRZ of de reden van een ongeldig koppelvlak.

Tunnel RDA-server en NFC-chip op WID (met DigiD app of USB Reader): In geval van een identiteitskaart of paspoort wordt de MRZ datagroep bevat de volgende gegevens:
Document code
Issuing State or organization
Name of holder
Document number
Check digit - Document number
Nationality
Date of birth
Check digit - Date of birth
Sex
Date of expiry
Check digit - Date of expiry or valid until date
Optional data
Check digit
Composite check digit In geval van een r ijbewijs wordt de MRZ uit de chip van het WID uitgelezen. gegevens:
Identifier
Rijbewijsnummer (persoonsgegeven)
Discretionary data
Composite check digit De DigiD app zelf legt geen gegevens vast over het gebruik. loggings. Op het mobiele apparaat met de DigiD app worden alleen op een beveiligde wijze . Aan de backend zijde voor de commu gegevens vastgelegd: Gemaskeerde pincode van de gebruiker:
Public key
App ID
Naam van het mobiele apparaat
Symmetrische sleutel De historie van de sessie tussen de DigiD app en de backen ongeldig rijbewijs ontvangen.

Dit betreft een nieuw of USB Reader): wordt de MRZ uit de chip van het WID uitgelezen. Deze ijbewijs wordt de MRZ uit de chip van het WID uitgelezen. Deze MRZ bevat de volgende zelf legt geen gegevens vast over het gebruik. De DigiD app genereert ook geen aanvullende worden alleen het app ID en de private key vastgelegd . Aan de backend zijde voor de commu nicatie met de DigiD app worden de volgende backen d wordt cryptografisch beschermd opgeslagen. 52 Nr. Vraag III.3 Gaat het bij het project/systeem om het nastreven van nieuwe/aanvullende doeleinden door bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen, koppelen of anderszins verder te verwerken (scenario toevoeging doeleinden) ja, hebben alle personen/instanties/systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak of hun belang?

Gelden dezelfde doelen voor het hele proces? Bevindingen / Risico’s / Aanbevelingen Nadat de controles zijn afgerond worden de gegevens uit de BRP of het CRB en van de NFC bewaard in DigiD. Logging: In de log van de RDA-server wordt het unieke gepseudonimiseerde reader soort, het WID- soort en het resultaat van de verificatie (OK/NOK) opgeslagen. In bovenstaand overzicht worden BSN, IP-adres, telefoonnummer andere gegevens van gebruikers niet genoemd omdat deze in vastgelegd. Belangrijk is te onderkennen dat deze gegevens wel ook verwerkt worden bij DigiD Substantieel. Teneinde het gebruik van de app te kunnen volgen en analyseren wordt gebruik gemaakt van een opensourceprogramma om bezoekersstatistieken bij te gebruiksgegevens bij. Conclusie en aanbevelingen DigiD Substantieel zorgt voor een uitbreiding van de typen van persoonsge gegevensverwerkingen van DigiD Basis en Midden. H ontwerpstapp en een integraal overzicht op te stellen van welke persoonsgegevens worden verwe verschillende DigiD-varianten heen en dit ook per technische DigiD soorten gegevens, ook de loggegevens per systeem compo het doel van deze gegevens per component noodzakelijk vanuit privacyoptiek.

Deze actie draag de verplichtingen van de AVG om een register van verwerk dient te worden vastgelegd. In het bijzonder verdient het aanbeveling om periodiek te vers chillende technische systeemcomponenten niet meer g ook de privacyrisico's af te wegen die deze loggings introduceren. Gaat het bij het project/systeem om het nastreven van door bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen, koppelen of anderszins verder te verwerken (scenario toevoeging doeleinden) ? Zo ja, hebben alle personen/instanties/systemen die betrokken dezelfde doelstelling met de verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak of hun belang? Gelden dezelfde doelen voor het hele proces? Een nieuw doel dat wordt bereikt met DigiD Substantieel ten opzich verhogen van de betrouwbaarheid van het authenticatiemid identiteit door middel van gegevens op het WID.

Hiervoor w BRP en is een nieuw koppelvlak gecreëerd met het CRB . D verwerking van deze gegevens. Logius is aange wezen a gegevens uit de BRP en het CRB. Dienstaanbieders die gebruik maken dezelfde doelstelling hebben als Logius, namelijk het biede gebruik te maken van de dienst. Conclusie Nadat de controles zijn afgerond worden de gegevens uit de BRP of het CRB en van de NFC -chip niet gepseudonimiseerde BSN, de tijd van authenticatie, de NFC- soort en het resultaat van de verificatie (OK/NOK) opgeslagen. telefoonnummer , hardware kenmerken van devices en omdat deze in de huidige DigiD Basis en Midden al worden vastgelegd. Belangrijk is te onderkennen dat deze gegevens wel ook verwerkt worden bij DigiD Substantieel. te kunnen volgen en analyseren wordt gebruik gemaakt van Piwik. Piwik is te houden. Piwik houdt hiervoor geanonimiseerde DigiD Substantieel zorgt voor een uitbreiding van de typen van persoonsge gevens bovenop de al bestaande Het verdient aanbeveling om bij de verdere en een integraal overzicht op te stellen van welke persoonsgegevens worden verwe rkt over de per technische DigiD -component te doen.

Het gaat dan om alle ponent. Daarbij is een eenduidige beschrijving van het doel van deze gegevens per component noodzakelijk vanuit privacyoptiek. Deze actie draag t ook bij aan erkingen aan te leggen waarbij deze informatie ook te evalueren of alle loggings gegenereerd door de gegevens bevatten dan noodzakelijk is en daarbij ook de privacyrisico's af te wegen die deze loggings introduceren. Een nieuw doel dat wordt bereikt met DigiD Substantieel ten opzich te van DigiD Basis en DigiD Midden is het iddel. Dit wordt bereikt door het verifiëren van de r worden aanvullende gegevens verkregen van de . De RvIG en de RDW hebben geen belang bij de als belanghebbende voor het verkrijgen van de gegevens uit de BRP en het CRB. Dienstaanbieders die gebruik maken van DigiD Substantieel zullen eden van een betrouwbaar authenticatiemiddel om 53 Nr. Vraag III.4 Is het gebruik van de gegevens in lijn en verenigbaar met het doel van verzamelen?

Worden de gegevens gebruikt voor andere bedrijfsprocessen of doelen dan waar ze oorspronkelijk voor zijn verzameld? Zo ja, past het doel van dit bedrijfsproces bij het oorspronkelijke doel van verzamelen? III.5 Indien u positief hebt geantwoord op de vragen III.2, III.3 III.4, hoe wordt een dergelijk voorgenomen gebruik dan gemeld aan: (a) de functionaris voor de gegevensbescherming, of (b) het Cbp indien er geen FG is? III.6 Indien u positief hebt geantwoord op de vrage III.4, welke (nadere) controles op een dergelijk gebruik zijn dan ingebouwd? Bevindingen / Risico’s / Aanbevelingen Er zijn vanuit privacyoptiek geen strijdige belangen of stakeholders in de DigiD-keten en bij het gebruik van DigiD S Is het gebruik van de gegevens in lijn en verenigbaar met verzamelen? Worden de gegevens gebruikt voor andere bedrijfsprocessen of doelen dan waar ze oorspronkelijk voor zijn verzameld? Zo ja, past het doel van dit bedrijfsproces bij het oorspronkelijke doel van In het aanwijzingsbesluit van RDW is op genomen dat de ge identiteitsverificatie uitsluitend gebruikt mogen worden om:
Te verifiëren dat de persoon van wie het BSN is verstrekt in het bezit is van een rijbewijs
Het WID op echtheid te controleren.

Het autorisatiebesluit van RvIG voor de ver strekking en ver paspoorten/identiteitskaarten voor de doelstellingen van DigiD Substantieel is verwachting is echter dat in dit besluit g elimiteerd wordt op het g De gegevens die beschikbaar worden gesteld door RvIG aan Logius in het kader van de validatie van WID informatie worden niet opgeslagen. De verstrekte informatie persoonsgegevens zelf van het WID. Uit de loggegevens aanwezig bij Logius zijn de gegevens herleidbaar. Deze gegevens worden niet voor andere doeleinden gebruikt maar zijn wel benaderbaar in geval er aanleid ing is tot fraudeonderzoek. Conclusie De verzamelde gegevens bij Logius zijn passend binnen de doelstellingen van DigiD Substantieel. Indien u positief hebt geantwoord op de vragen III.2, III.3 III.4, hoe wordt een dergelijk voorgenomen gebruik dan gemeld aan: (a) de functionaris voor de gegevensbescherming, of (b) het Cbp indien er geen FG is?

Logius meldt de verwerkingen aan de functionaris voor de ge die verwerkt worden bij het gebruik van DigiD Basis, D igiD Midden en de FG. De melding bij de FG voor de verwerking van persoo gedaan wanneer DigiD Substantieel in productie is. Indien u positief hebt geantwoord op de vrage n III.2, III.3 of III.4, welke (nadere) controles op een dergelijk gebruik zijn In de huidige ontwerpdocumentatie is weinig aandacht ingebouwd op het gebruik van en de verwerking van de gegevens naar normen voor informatiebeveiliging die vooral toezien o Management Systemen en niet direct op de werking van d werk elijkheid. Hiermee bedoelen wij andere controles dan d geval van identiteitsfraude. Binnen de beheeromgeving van om de toegang en het gebruik van deze gevoelige g egeven op basis van toegekende rechten, toegang tot logging wordt onverwachte toegang wordt gedetecteerd. Voor toegang tot de beheermodule certificaat vereist.

Voor het doorvoeren van diverse gevoelige het vier-ogenprincipe afgedwongen. Voor de vaste schijve schijfencryptie toegepast. Dit laa t onverlet dat er sprake is van een gevoelige data en dat IP- adressen naar een BSN worden herleid. Deze maatregelen gelden voor DigiD en blijven gelijk voor DigiD Substantieel. Conclusie en aanbevelingen f doelstellingen te verwachten bij de betrokken het gebruik van DigiD S ubstantieel. gegevens die worden verkregen van het CRB voor Te verifiëren dat de persoon van wie het BSN is verstrekt in het bezit is van een rijbewijs ; strekking en ver zameling van gegevens van het voor de doelstellingen van DigiD Substantieel is nog niet definitief. De elimiteerd wordt op het g ebruik van de gegevens door Logius. aan Logius in het kader van de validatie van WID - verstrekte informatie betreft validatie-informatie en niet de persoonsgegevens zelf van het WID. Uit de loggegevens aanwezig bij Logius zijn de gegevens wel herleidbaar.

Deze gegevens worden niet voor andere doeleinden gebruikt dan authenticatiedoelstellingen, ing is tot fraudeonderzoek. De verzamelde gegevens bij Logius zijn passend binnen de doelstellingen van DigiD Substantieel. gegevensbescherming (FG). De persoonsgegevens igiD Midden en de DigiD app zijn reeds gemeld bij de oonsgegevens voor DigiD Substantieel zal worden t besteed aan de additionele controles die zijn ingebouwd op het gebruik van en de verwerking van de gegevens voor DigiD Substantieel. Er wordt verwezen n op de procedurele kant van Information Security de gerealiseerde beveiligingsmaatregelen in de IT n de ad hoc controles die uitgevoerd worden in het an Logius zijn verscheidene maatregelen getroffen ens te beperken. Gegevens zijn alleen toegankelijk dt gemonitord en alerts worden verstuurd indien een Voor toegang tot de beheermodule is een persoonlijk PKIoverheid- ige activiteiten op het systeem wordt toepassing van ijven waar deze gegevens zijn opgeslagen wordt t onverlet dat er sprake is van een cumulatie van inloghistorie met hoog adressen naar een BSN worden herleid.

54 Nr. Vraag Profilering III.7 Kunnen de verzamelde/verwerkte persoonsgegevens gebruikt worden om het gedrag, de aanwezigheid of de prestaties van mensen in kaart te brengen, te beoordelen, te voorspellen, of om beslissingen over de Gebruikers nemen? Ofwel, kunnen met behulp van de g profielen worden opgesteld van de Gebruikers geanonimiseerd? III.8 Zijn de Gebruikers op de ho ogte van het gebruik van de gegevens voor profiling? Zijn de gegevens die hiervoor worden gebruikt afkomstig uit verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld? Leveren de gegevens die hiervoor worden gebr uikt een volledig en actueel beeld van de Gebruikers op? Kunnen de opgestelde profielen leiden tot Bevindingen / Risico’s / Aanbevelingen Het verdient aanbeveling om maatregelen te ontwerpen en systemen en gegevens en het gebruik van de gegevens w maken zodat periodieke of wellicht permanente monitoring o plaatsvindt en rapportage daarover beschikbaar is.

Kunnen de verzamelde/verwerkte persoonsgegevens gebruikt worden om het gedrag, de aanwezigheid of de prestaties van mensen in kaart te brengen, te beoordelen, Gebruikers te nemen? Ofwel, kunnen met behulp van de g egevens Gebruikers , al dan niet In de metadata die worden verzameld door middel van logg transactielogging worden onder meer het BSN en het IP informatie opgeslagen over wanneer de gebruiker bij welke dienstaanbieders he kan vertrouwelijke informatie bevatten waarmee gebruikers geprofileerd kunnen worden. Zoals eerder benoemd is het belangrijk te onderkenn doorontwikkeld. De PSA DigiD Substantieel is slechts een e DigiD. Uiteindelijk is het de bedoeling van het minister ie van Substantieel, door te gaan met het ontwikkelen naar DigiD cryptografische en andere aanvullende maatregelen zijn voorzien om de p Het uiteindelijke doel is dat de huidige BSN- gebaseerde verwerking wordt vervangen door een pseudoniem gebaseerde verwerking waarbij alleen de dienstaanbieder identiteit van de gebruiker.

Conclusie en aanbevelingen Het is belangrijk te onderkennen dat de privacyrisico 's steed opgeslagen persoonsgegevens groter wordt naarmate er me DigiD stijgt. Met de transactielogging en systeemlogging die de gebruikers. Het verdient aanbeveling om de p rivacyrisico technische beveiligingsmaatregelen te implementeren. Te denken valt van data, pseudonimiseringstechnieken en verdere limitering van de opslag en toegang tot de data. compartimenteren van systemen en het afscheiden van deze gevoelige aanbrengen van een Chinese muur tussen accountgegeven netwerkgegevens (IP- adressen) is daarbij een belangrijk handvat. de ontwerpdocumentatie. ogte van het gebruik van de gegevens voor profiling? Zijn de gegevens die hiervoor worden gebruikt afkomstig uit verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld? Leveren de gegevens die hiervoor uikt een volledig en actueel beeld van de op?

Kunnen de opgestelde profielen leiden tot Profileren is niet aan de orde. Gegevens die Logius verzam profileren. en te implementeren die de werkelijke toegang tot s waarborgen en deze maatregelen controleerbaar maken zodat periodieke of wellicht permanente monitoring o p de beveiligings- en datakwaliteitsaspecten gging kunnen deze gegevens herleid worden. In de IP -adres van de gebruiker opgeslagen en wordt bij welke dienstaanbieders he eft ingelogd. De inloghistorie geprofileerd kunnen worden. nnen dat DigiD Substantieel nog verder wordt n eerste stap in een breder versterkingsproces van ie van BZK en Logius om, naast de realisatie van giD Hoog. Inmiddels is bekend dat in DigiD Hoog cryptografische en andere aanvullende maatregelen zijn voorzien om de p rivacyrisico’s verder te beperken. gebaseerde verwerking wordt vervangen door een pseudoniem - dienstaanbieder in staat is het pseudoniem te herleiden tot de eds verder toenemen naarmate de hoeveelheid van meer historie wordt opgeslagen én het gebruik van die ontstaat kunnen profielen opgesteld worden van rivacyrisico 's die hierdoor ontstaan te mitigeren door sterke Te denken valt aan verdere toepassing van encryptie van data, pseudonimiseringstechnieken en verdere limitering van de opslag en toegang tot de data.

Ook het compartimenteren van systemen en het afscheiden van deze gevoelige datasets verdient overweging. Het ens (BSN) en transactiegegevens (inloghistorie) en adressen) is daarbij een belangrijk handvat. Deze maatregelen zijn nu niet voorzien in melt en verwerkt hebben niet tot doel gebruikers te 55 Nr. Vraag uitsluiting of stigmatisering? III.9 Wordt bij deze analyse/beoordeling/voorspelling gebruik gemaakt van een vergelijking van persoonsgegevens die technisch geautomatiseerd is (d.w.z. niet door mensen zelf wordt uitgevoerd)? Zo ja, hoe wordt geregeld dat, indien dit geautomatiseerde pro ces tot een beoordeling of voorspelling over een bepaalde persoon leidt, hierop pas concrete actie wordt ondernomen na tussenkomst en (tweede) controle van (menselijk) personeel? IV Kwaliteit Privacyprincipe: Gegevenskwaliteit IV.1 Welke periodieke en incidentele controles zijn voorzien om de juistheid, nauwkeurigheid en actualiteit van de in het ICT- systeem verwerkte persoonsgegevens na te gaan?

Bevindingen / Risico’s / Aanbevelingen Wordt bij deze analyse/beoordeling/voorspelling gebruik gemaakt van een vergelijking van persoonsgegevens die technisch geautomatiseerd is (d.w.z. niet door mensen zelf wordt uitgevoerd)? Zo ja, hoe wordt geregeld dat, indien dit ces tot een beoordeling of voorspelling over een bepaalde persoon leidt, hierop pas concrete actie wordt ondernomen na tussenkomst en De vergelijking van persoonsgegevens met de BRP of het CRB en de chip vindt g persoon wordt middels deze vergelijking niet beoordeeld/voo basis van deze gegevens waar eventuele foutcodes uit voort worden opgemaakt of een chip gewijzigd of gekloond is of dat er andere afwijkingen zijn foutcodes kunnen medewerkers van Logius actie ondernemen gebruiker. Conclusie en aanbevelingen Het verdient aanbeveling ter waarbor ging van de rechten van nadelige effecten voor de gebruikers om aan het huidige ontwerp DigiD S voegen met hierin hoe afwijkingen worden geconstateerd, hoe medewerkers daarmee omgaan en hoe nodig, de gebruiker wordt geïnformeerd over de geconstateerde afwijkingen. controles zijn voorzien om de juistheid, nauwkeurigheid en actualiteit van de in het systeem verwerkte persoonsgegevens na te gaan?

De persoonsgegevens die worden ingevuld door de g ebruiker gebruiker zelf gewijz igd worden indien deze niet (meer) juist of onvolledig zijn. Daarnaast kan de een verzoek doen deze gegevens te wijzigen. Logius heeft geen maatregelen geïmplementeerd om gebruiker erop te attenderen dat hij regelmatig dient te controleren of telefoonnummer en het e-mailadres) nog actueel zijn. De ten behoeve van DigiD Substantieel opgevraagde perso juist aangenomen. Voor deze gegevens gelden controlemechanismen die buiten de Logius vallen. Voor het waarborgen van de kwaliteit van gegevens binnen Substantieel wordt vooral gesteund op preventieve toegang persoonsgegevens moeten borgen en bijvoorbeeld manipula tegengaan of vermijden. Een voorbeeld hiervan is het bep logging. In het huidige ontwerpdocument zijn geen (periodieke) controles nauwkeurigheid en actualiteit van binnen DigiD Substanti nadere informatie over welke checks and balances zijn ingevoerd in de verkregen en vastgelegde persoonsgegevens te waarbo kan worden afgelegd.

Wel loggen de databases de veranderingen accountdatabase. De vergelijking van persoonsgegevens met de BRP of het CRB en de chip vindt g eautomatiseerd plaats. De oorspeld maar er vindt wel een verificatie plaats op voort komen. Uit deze foutcodes kan bijvoorbeeld of dat er andere afwijkingen zijn . Aan de hand van de foutcodes kunnen medewerkers van Logius actie ondernemen en zo nodig contact opnemen met de ging van de rechten van gebruikers en ter beperking van eventuele aan het huidige ontwerp DigiD S ubstantieel een procedure toe te hoe afwijkingen worden geconstateerd, hoe medewerkers daarmee omgaan en hoe , indien wordt geïnformeerd over de geconstateerde afwijkingen. ebruiker bij de aanvraag van DigiD kunnen door de igd worden indien deze niet (meer) juist of onvolledig zijn. Daarnaast kan de gebruiker een verzoek doen deze gegevens te wijzigen. Logius heeft geen maatregelen geïmplementeerd om de gebruiker erop te attenderen dat hij regelmatig dient te controleren of zijn gegevens (zoals het soonsgegevens bij de BRP en het CRB worden als juist aangenomen.

Voor deze gegevens gelden controlemechanismen die buiten de verantwoordelijkheid van Logius vallen. Voor het waarborgen van de kwaliteit van gegevens binnen de bestaande DigiD en DigiD ngsbeveiligingsmaatregelen die de kwaliteit van de latie of andere menselijke of systeemfouten moeten eperken van de toegang tot de databases en de logging. In het huidige ontwerpdocument zijn geen (periodieke) controles voorzien op juistheid, nauwkeurigheid en actualiteit van binnen DigiD Substanti eel opgeslagen persoonsgegevens. Er is geen and balances zijn ingevoerd in de bestaande DigiD om de kwaliteit van rborgen en hoe daar achteraf verantwoording over de veranderingen in de tabellen, waaronder de 56 Nr. Vraag IV.2 Kunnen de verwerkte persoonsgegevens gecorrigeerd, aangepast of verwijderd worden en zo ja, door wie kan dat worden gedaan? V Betrokken instanties/systemen en verantwoordelijkheid Privacyprincipe: Verantwoording V.1 Welke interne en externe instanties en/of systemen zijn betrokken bij de voorziene verwerkingen in elk van en de uitvoering van het project en aan welke derde partijen worden de gegevens verstrekt?

Welke verstrekkers zijn er en welke ontvangers? Welke bestanden of deelbestanden en welke infrastructuren? Bevindingen / Risico’s / Aanbevelingen Conclusie e n aanbevelingen Wij bevelen aan maatregelen te implementeren om de actu gedacht worden aan het periodiek (jaarlijks) versturen van een e wordt herinnerd aan het, indien van toepassing, actualiseren van de gegevens. Het verdient aanbeveling om interne controlemaatregelen gericht op datakwaliteit en de r nader te beschrijven. Ten behoeve van bewijslast achteraf datakwaliteit en de integere werking van systemen zijn naas relevant. Te denken valt a an het gebruik van hashing op bep de bestaande database replica om de integriteit van data te maatregelen zijn dus andere maatregelen dan de bestaande maatregelen o onderzoeken. In toekomstige ontwerpen van DigiD worden separate mogelijk afgeschermde voorzieningen getroffen, w zonder meer te herleiden gegevens uit systeem- en t aanbeveling om bij deze toekomstige ontwerpen ook de m van interne controle gericht op de kwaliteit van de persoonsgegevens mee te ontwerpe Kunnen de verwerkte persoonsgegevens gecorrigeerd, aangepast of verwijderd worden en zo ja, door wie kan dat Op verzoek van de gebruiker kunnen zijn persoonsgegev afgeschermd, tenzij dit niet is toegestaan op grond van een wettelijke bepaling. mailadres kunnen door de gebruiker zelf worden gewijzigd op uitbesteed aan ‘Webhelp’ en deze partij heeft geen toegang tot de beheer accountgegevens.

Betrokken instanties/systemen en verantwoordelijkheid Welke interne en externe instanties en/of systemen zijn betrokken bij de voorziene verwerkingen in elk van de fasen en de uitvoering van het project en aan welke derde partijen worden de gegevens verstrekt? Welke verstrekkers zijn er en welke ontvangers? Welke bestanden of deelbestanden Gegevens uit de BRP en het CRB worden opgehaald d oor L WID. De verwerking van de gegevens wordt uitgevoerd door diensten voor DigiD Substantieel gebruik maakt van een onderaannemer Logius het BSN en het authenticatieniveau dat gebruikt is voor het inloggen. De verantwoordelijkheid voor DigiD is duidelijk geregeld. He uitvoering is belegd bij Logius, een onderdeel van het ministerie van BZK. bevel kunnen persoonsgegevens ter beschikking worden ge onderzoek. Dit is via de bestaande wet- en regelgeving bestanden zijn beschreven in de PSA van DigiD Substantieel componentniveau sprake is van diverse logfiles.

Als voo rbe van Logius. Strikt genomen is dit geen specifiek onderdeel v ctualiteit van gegevens te waarborgen. Hierbij kan gedacht worden aan het periodiek (jaarlijks) versturen van een e -mail naar gebruikers waarin de gebruiker van toepassing, actualiseren van de gegevens. Het verdient aanbeveling om interne controlemaatregelen gericht op datakwaliteit en de r apportages daarover af en om verantwoording af te kunnen leggen over ast preventieve controles ook repressieve controles epaalde gegevensverzamelingen of het gebruik van te kunnen valideren. De beoogde interne controle maatregelen zijn dus andere maatregelen dan de bestaande maatregelen o m indicaties van fraude te worden ten behoeve van fraudeonderzoek en detectie waarbij op basis van polymorfe pseudoniemen niet transactielogs worden verzameld. Het verdient mogelijkheden voor de hier bedoelde maatregelen van interne controle gericht op de kwaliteit van de persoonsgegevens mee te ontwerpe n. evens worden verbeterd, aangevuld, verwijderd of niet is toegestaan op grond van een wettelijke bepaling.

Het telefoonnummer en e- mailadres kunnen door de gebruiker zelf worden gewijzigd op mijn.digid.nl. De eerstelijns helpdesk is en deze partij heeft geen toegang tot de beheer omgeving en dus geen toegang tot r Logius op basis van het BSN ter verificatie van het WID. De verwerking van de gegevens wordt uitgevoerd door een leverancier, die voor het leveren van maakt van een onderaannemer . De dienstaanbieder ontvangt van Logius het BSN en het authenticatieniveau dat gebruikt is voor het inloggen. Het ministerie van BZK is verantwoordelijke en de onderdeel van het ministerie van BZK. Mits sprake is van een gerechtelijk gesteld aan opsporingsdiensten voor strafrechtelijk en regelgeving gereguleerd. De infrastructuren en betrokken van DigiD Substantieel . Uit interviews is gebleken dat er op rbeeld noemen wij het Intrusion Detection Systeem l van het ontwerp van DigiD Substantieel, maar van 57 Nr. Vraag V.2 Is (in ieder stadium) duidelijk wie verantwoordelijk is voor de verwerking van de persoonsgegevens?

Zo ja, is deze persoon of organisatie daarop voldoende voorbereid en geëquipeerd wat betreft de nodige voorzieningen en maatregelen, w aaronder middelen, beleid, taakverdeling, procedures en intern toezicht? V.3 Is het duidelijk wie na afloop van het project verantwoordelijk is voor het in stand houden en evalueren van de getroffen maatregelen? V.4 Wie binnen uw organisatie en elk van de andere betrokken organisaties/buiten uw organisatie krijgen precies toegang tot de persoonsgegevens? Bestaat de kans dat bij he gebruik ervan de gegevens ter beschikking komen van onbevoegden? Is de verstrekking van de gegevens aan derde partijen in lijn met het doel van verzameling? Bevindingen / Risico’s / Aanbevelingen DigiD in brede zin. Deze deelcomponent genereert ook data over het gebruik van DigiD door Over de ketenverantwoordelijkheid RDW <> Logius <> RvIG in relatie tot Digi volgende afspraken.

Logius is verantwoordelijk voor de bedoelde bericht. Dit bericht wordt aangeleverd aan Digi afdeling. RvIG en RDW zijn ver antwoordelijk voor de voorzi juiste berichten ook weer via Diginetwerk. Logius, RDW en voor haar eigen ‘end point’ . De verbinding geregeld via Digin eigen logging en genereert metadata maar deze zijn niet te herleiden naar te zien door de beheerder van Diginetwerk. Conclusie en aanbevelingen Uit de huidige ontwerpdocumentatie blijkt niet duidelijk welk om de daadwerkelijke toegang tot persoonsgegevens gerelateerd aan DigiD Substantieel verdient aanbeveling om een m ix van preventieve en repres eventuele rapp ortages over de werking van deze maatrege ook een werkprogramma hoe intern de effectieve werking van d Is (in ieder stadium) duidelijk wie verantwoordelijk is voor de verwerking van de persoonsgegevens? Zo ja, is deze persoon of organisatie daarop voldoende voorbereid en geëquipeerd wat betreft de nodige voorzieningen en aaronder middelen, beleid, taakverdeling, Ja, zie V.1 Conclusie en aanbevelingen Aanbevolen wordt om ook vanuit de eigen verantwoorde gegevens(verwerkingen) die bij derden zijn ondergebracht.

Logius verwerkt namens de m inister van BZK voor de inricht beveiliging en betrouwbaarheid van DigiD persoonsgegevens. De de verwerking van persoonsgegevens door zijn departement. De de Wbp mandateren aan een beheerder. Voor de verwerkin de uitvoering de verantwoordelijkheid draagt heeft de m inister het b is duidelijk wie na afloop van het project verantwoordelijk is voor de uitvoeri Wie binnen uw organisatie en elk van de andere betrokken organisaties/buiten uw organisatie krijgen precies toegang tot de persoonsgegevens? Bestaat de kans dat bij he t gebruik ervan de gegevens ter beschikking komen van onbevoegden? Is de verstrekking van de gegevens aan derde partijen in lijn met het doel van verzameling? Binnen de organisatie hebben beheerders, de tweedelijns helpdesk en het fraudeteam toegang tot de persoonsgegevens. Om toegang te verkrijgen tot deze beheermodule certificaat vereist. E en pasje is benodigd om in te kunnen log komen van onbevoegden wordt hierdoor als laag beschouwd verkregen is de impact hoog.

In de beheermodule staan de persoonsgegevens van de transactielog die is ontstaan door het inloggen bij een dienstaanbieder. DigiD verstrekt in het kad er van de authenticatie het BSN aan de dienstaanbieder waar de moment inlogt en het authenticatieniveau. Dit is in lijn met het doel van de verzameling van de gegevens. DigiD in brede zin. Deze deelcomponent genereert ook data over het gebruik van DigiD door gebruikers. Over de ketenverantwoordelijkheid RDW <> Logius <> RvIG in relatie tot Digi D Substantieel bestaan de e ad hoc gegevensuitvraag en voor het daartoe iginetwerk. Dit wordt beheerd door een separate rzieningen aan hun zijde en de aanlevering van de en RvIG zijn dus operationeel elk verantwoordelijk iginetwerk is encrypted (SSL/TLS). Diginetwerk kent niet te herleiden naar gebruikersniveau en zijn alleen in elke interne beheersingsmaatregelen zijn getroffen toegang tot persoonsgegevens gerelateerd aan DigiD Substantieel te waarborgen.

Het essieve maatregelen te beschrijven met daarbij ook gelen over een bepaalde periode. Hierbij hoort dan ook een werkprogramma hoe intern de effectieve werking van d eze maatregelen wordt getoetst. delijkheid periodiek controles uit te voeren op de hting, beschikbaarstelling, instandhouding, werking, beveiliging en betrouwbaarheid van DigiD persoonsgegevens. De minister van BZK is verantwoordelijke voor de verwerking van persoonsgegevens door zijn departement. De minister kan zijn verplichtingen op grond van rkingen van persoonsgegevens waarvoor Logius bij inister het b eheer overgedragen aan Logius. Hiermee is voor de uitvoeri ng en evaluatie. Binnen de organisatie hebben beheerders, de tweedelijns helpdesk en het fraudeteam toegang tot de persoonsgegevens. Om toegang te verkrijgen tot deze beheermodule is een persoonlijk PKIoverheid- loggen. De kans dat deze gegevens ter beschikking beschouwd .

Echter, indien door onbevoegden toegang wordt hoog. In de beheermodule staan de persoonsgegevens van de gebruiker en de transactielog die is ontstaan door het inloggen bij een dienstaanbieder. er van de authenticatie het BSN aan de dienstaanbieder waar de gebruiker op dat moment inlogt en het authenticatieniveau. Dit is in lijn met het doel van de verzameling van de gegevens. 58 Nr. Vraag V.5 Worden de gegevens doorgegeven of verkocht aan derde partijen? Is het verkopen van de gegevens in lijn met de regels van de Wbp? Is het doorgeven van de geg partijen buiten de organisatie in lijn met de verwachtingen van het individu? V.6 Geldt voor een of meer van de betrokken instanties een beperking van de mogelijkheid om persoonsgegevens t verwerken als gevolg van geheimhoudingsplichten (in verband met functie/wet)? V.7 Zijn alle stapp en van de verwerking, in de zin van soorten gegevens en uitwisselingen, in kaart gebracht of te brengen, zodanig dat daardoor voor de betrokkenen inzichtelijk is bij wie, waarom en hoe de persoonsgegevens worden verwerkt?

Bevindingen / Risico’s / Aanbevelingen Verder worden er geen persoonsgegevens aan derden verstrekt zonder voo toestemming van de gebruiker. E en uitzondering hierop verstrekken. Conclusie en aanbevelingen Het is nooit geheel uit te sluiten dat onbevoegden toegang krijgen tot persoonsgegevens persoon verkeerde handelingen uitvoert waardoor gegevens nu ter beschikking gestelde ontwerpdocumentatie wordt aanbevolen implementatie de mogelijkheden van een bredere inzet van van systemen en gegevensverzamelingen te overwegen en ook gebruik van systemen aan te scherpen. Bedoeld wordt i medewerkers en/of medewerkers van leveranciers. Worden de gegevens doorgegeven of verkocht aan derde partijen? Is het verkopen van de gegevens in lijn met de regels van de Wbp? Is het doorgeven van de geg evens aan partijen buiten de organisatie in lijn met de verwachtingen Aan dienstaanbieders die aangesloten zijn op DigiD, verstrek BSN wordt verstrekt aan de dienstaanbieder om de identiteit authenticatieniveau wordt verstrekt zodat de dienstaanbieder een beeld heeft van de mate betreffende de identiteit van de gebruiker die heeft ingelogd.

Dit is overeenkomstig de verwachtingen van individu en tevens zo opgenomen in de privacyverklaring van DigiD niet opgenomen dat gegevens van het WID uit de B persoonsgegevens worden verwerkt in de RDA- server. Echter is dit voor geval. Er worden geen persoonsgegevens aan derden v toestemming van de gebruiker, een uitzondering hierop verstrekken. Conclusie en aanbevelingen Voor de ingebruikname van DigiD S ubstantieel dient de privacyverklaring van aangepast op de verwerkingen gerelateerd aan DigiD Substantieel. Geldt voor een of meer van de betrokken instanties een beperking van de mogelijkheid om persoonsgegevens t e verwerken als gevolg van geheimhoudingsplichten (in De geheimhoudingsplicht is geregeld in artikel 2:5 van de Alg toepassing op alle overheidsinstanties, dus ook op de RDW, de RvIG e de RDW en de RvIG worden echter geen persoonsgegeven nog niet beschikken. Met dienstaanbieders zijn of worden verwerkersovereenkomsten afgesloten waarvan geheimhoudingsplicht onderdeel is. en van de verwerking, in de zin van soorten gegevens en uitwisselingen, in kaart gebracht of te brengen, zodanig dat daardoor voor de betrokkenen persoonsgegevens De verwerkingen van persoonsgegevens zijn in kaart gebra privacyverklaring (DigiD, 2016).

Voor de gebruikers is op dit moment nog niet inzichtelijk we additioneel verwerkt zullen worden voor DigiD Substantiee opgenomen in de privacyverklaring voor de in productie name van DigiD Substantieel. Conclusie en aanbevelingen Een verduidelijking van alle loggegevens die gegenereerd wo aan derden verstrekt zonder voo rafgaande ondubbelzinnige p is een wettelijke verplichting om gegevens te Het is nooit geheel uit te sluiten dat onbevoegden toegang krijgen tot persoonsgegevens of dat een bevoegd persoon verkeerde handelingen uitvoert waardoor gegevens in onbevoegde handen vallen. Op basis van de wordt aanbevolen om bij het verdere ontwerp en de van encryptie, pseudonimisering, compartimentering en ook monitoring en rapportage over toegang en gebruik van systemen aan te scherpen. Bedoeld wordt i n dit geval het gebruik en toegang door eigen rekt Logius het BSN en het authenticatieniveau.

Het wordt verstrekt aan de dienstaanbieder om de identiteit van de gebruiker vast kan stellen. Het gekozen authenticatieniveau wordt verstrekt zodat de dienstaanbieder een beeld heeft van de mate van zekerheid de identiteit van de gebruiker die heeft ingelogd. Dit is overeenkomstig de verwachtingen van het individu en tevens zo opgenomen in de privacyverklaring van DigiD (DigiD, 2016). In deze verklaring is nog BRP en het CRB worden opgehaald en dat server. Echter is dit voor de huidige DigiD ook nog niet het n verstrekt zonder voorafgaande ondubbelzinnige p is een wettelijke verplichting om gegevens te ubstantieel dient de privacyverklaring van de bestaande DigiD te worden aangepast op de verwerkingen gerelateerd aan DigiD Substantieel. Algemene wet bestuursrecht (Awb). Deze wet is van toepassing op alle overheidsinstanties, dus ook op de RDW, de RvIG e n de publieke dienstaanbieders. Door vens ontvangen van Logius waarover deze partijen verwerkersovereenkomsten afgesloten waarvan de racht door Logius en onder andere benoemd in de is op dit moment nog niet inzichtelijk we lke gegevens eel.

Naar verwachting worden deze gegevens ook opgenomen in de privacyverklaring voor de in productie name van DigiD Substantieel. worden door de betrokken technische componenten 59 Nr. Vraag V.8 Zijn er beleid en procedures voor het creëren en bijhouden van een verzameling van de persoonsgegevens die gebruikt gaan worden? Zo ja, hoe vaak en door wie zal de verwerking worden gecont roleerd? Omvat de verzameling een verwerking die namens u wordt uitgevoerd (bijvoorbeeld door een onderaannemer)? V.9 Is er sprake van overdracht van persoonsgegevens naar een (overheids)instantie buiten de EU/EER? Heeft dit land een niveau van gegevensbescherming dat als passend is beoordeeld door een besluit v an de Europese Commissie of de minister van Veiligheid en Justitie? VI Beveiliging en bewaring/vernietiging Privacyprincipe: Beveiliging van gegevens (Privacy by Design) (Privacy Enhancing Technologies) Beveiliging VI.1 Is het beleid met betrekking tot gegevensbeveiliging binnen Bevindingen / Risico’s / Aanbevelingen van DigiD en vooral een integraal overzicht van de verw varianten is wenselijk.

Verwerk deze inzichten in de n og Substantieel. Zijn er beleid en procedures voor het creëren en bijhouden van een verzameling van de persoonsgegevens die gebruikt gaan worden? Zo ja, hoe vaak en door wie zal de roleerd? Omvat de verzameling een verwerking die namens u wordt uitgevoerd Beveiligingsvoorschriften zijn aanwezig voor onder andere de omgang met informatie de c lassificatie van informatie en het behandelen van inform voor het beschermen van persoonsgegevens. De jaarlijkse Logius voldoet aan de BIR. Overige interne controles op de procedures vinden niet plaats. Conclusie en aanbevelingen Zie ook de al eerder gedane aanbevelingen om de interne controle maatregelen nader t periodiek te toetsen op effectiviteit op werking. Besteed da zekerheid verschaffen over de daadwerkelijke functionering van de technische systemen (IT werkelijkheid). overdracht van persoonsgegevens naar een (overheids)instantie buiten de EU/EER?

Heeft dit land een niveau van gegevensbescherming dat als passend is an de Europese Commissie of Persoonsge gevens worden niet doorgegeven aan landen bu dit te gaan doen. Conclusie en aanbevelingen Deze PIA richt zich op de ontwerpdocumentatie van DigiD scope van dit onderzoek is we l duidelijk dat de gehele DigiD van verschillende leveranciers betrokken worden. Wij bevelen aan om de gehele k controleren om te beoordelen of er geen sprake is van ongewenste doo EER, bijvoorbeeld als gevolg van onderhoudswerkzaamhede uitmaken van het eerder al aanbevolen te realiseren stelsel van interne controle maatregelen beveiliging en datakwaliteit. Is het beleid met betrekking tot gegevensbeveiliging binnen Een informatiebeveiligingsbeleid is beschreven en geformaliseerd rwerkingen van persoonsgegevens van alle DigiD og aan te passen privacyverklaring voor DigiD Beveiligingsvoorschriften zijn aanwezig voor onder andere de omgang met informatie (Logius, 2016).

Hierin is ormatie opgenomen. De BIR stelt tevens vereisten De jaarlijkse in control verklaring (hierna: ICV) geeft aan of de verwerking en de handhaving van het beleid en Zie ook de al eerder gedane aanbevelingen om de interne controle maatregelen nader t e beschrijven en daarbij vooral ook aandacht aan maatregelen die zekerheid verschaffen over de daadwerkelijke functionering van de technische systemen (IT werkelijkheid). buiten de Europese Unie en er is geen voornemen iD Substantieel. Hoewel strikt genomen buiten de l duidelijk dat de gehele DigiD -keten uit een reeks van componenten bestaat die van verschillende leveranciers betrokken worden. Wij bevelen aan om de gehele k eten periodiek te of er geen sprake is van ongewenste doo rgifte van persoonsgegevens buiten de den door leveranciers. Deze controle kan onderdeel uitmaken van het eerder al aanbevolen te realiseren stelsel van interne controle maatregelen gericht op Een informatiebeveiligingsbeleid is beschreven en geformaliseerd (Logius, 2016).

Het afdelingshoofd 60 Nr. Vraag uw organisatie op orde? Zo ja, wie/welke afdeling(en) is/zijn binnen de organisatie verantwoordelijk voor het opstellen, implementeren en handhaven hiervan? Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveiliging? Hoe wordt het beveiligi getoetst? VI.2 Indien (een deel van) de verwerking bij een plaatsvindt, hoe draagt u zorg voor de gegevensbeveiliging, en het toezicht daarop, bij die verwerker? VI.3 Welke technische en organisatorische beveiligingsmaatregelen zijn getroffen om te voldoen aan de gestelde eisen in het beveiligingsbeleid en ter voorkoming van niet- geautoriseerde of onrechtmatige verwerking/misbruik van (a) gegevens die in een geautomatis eerd format staan (bv. Bevindingen / Risico’s / Aanbevelingen organisatie op orde? Zo ja, wie/welke afdeling(en) is/zijn binnen de organisatie verantwoordelijk voor het opstellen, implementeren en handhaven hiervan?

Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveiliging? Hoe wordt het beveiligi ngsbeleid Toegangsdiensten is eindverantwoordelijk voo r informatieb De teamleiders DigiD Levering en Productontwikkeling zijn informatiebeveiligingsbeleid binnen de teams DigiD Levering en Productontwikkeling en het juiste toepassing hiervoor. De informatiebeveiligingsspeciali informatiebeveiligingsproces en het opstellen, onde informatiebeveiligingsbeleid voor de teams b inne informatiebeveiligingsbeleid is niet specifiek gericht op gege onderdeel van het beveiligingsvoorschrift omgang met informatie afgegeven voor het voldoen aan de BIR. Overige interne co worden niet uitgevoerd. Conclusie en aanbevelingen Zie eerdere aanbevelingen over het opzetten van een stelsel van inter balances om de gegevensbeveiliging en de datakwaliteit te monitoren en permanent te garanderen. Indien (een deel van) de verwerking bij een verwerker plaatsvindt, hoe draagt u zorg voor de gegevensbeveiliging, Logius draagt naast de verantwoordelijkheid over gege verantwoordelijkheid voor de beveiliging van de gegeve nsve Met derden dienen tevens afspraken gemaakt te worde waarborgen.

Het rapport dat de kwetsbaarheden op de RDA geanalyseerd. Uit de bevindingen zijn geen issues naar voren gekomen server en software, heeft hardening uitgevoerd waarmee k wordt alleen ter plekke bij deze partij zelf gegeven. De RDA met een eigen beveiligde omgeving. Op de verwerkingen bij Substantieel en specifiek de verwerkingen met betrekking tot de RDA geformaliseerd. Logius is voornemens om de RDA- server ge plan voor de langere termijn. Conclusie en aanbevelingen Vastgesteld is dat geen subverwerkersovereenkomst is opgesteld met partij in verband met de werking van DigiD Substantieel gerealiseerd te worden. Dit is door Logius onderkend en realiseren is onderhanden. Aanbevolen wordt om ook vanuit uit te voeren op de gegevens(verwerkingen) die bij derden zijn ondergebracht. Welke technische en organisatorische beveiligingsmaatregelen zijn getroffen om te voldoen aan de gestelde eisen in het beveiligingsbeleid en ter geautoriseerde of onrechtmatige verwerking/misbruik van (a) gegevens die in een eerd format staan (bv.

De voorzieningen van Logius (en daarmee DigiD) dienen te van Logius. Voor DigiD is een separaat info informatiebeveiligingsplan (Logius, 2016) . DigiD heeft re opgenomen in het informatiebeveiligingsplan DigiD. Dit plan uitgewerkt worden voor DigiD Substantieel. Daarnaast zijn beveiligingsmaatregelen beveiligingsvoorschriften (Logius, 2016) opgenomen. ebeveiliging binnen de afdeling Toegangsdiensten. ijn verantwoordelijk voor de implementatie van het informatiebeveiligingsbeleid binnen de teams DigiD Levering en Productontwikkeling en het toezien op de ialist is verantwoordelijk voor de uitvoering van het derhouden, bewaken en naleven van het nnen zijn verantwoordelijkheidsgebied. Het gevensbescherming, maar dit onderwerp vormt wel onderdeel van het beveiligingsvoorschrift omgang met informatie (Logius, 2016). Jaarlijks wordt een ICV controles op handhaving van het beveiligingsbeleid Zie eerdere aanbevelingen over het opzetten van een stelsel van inter ne beheersmaatregelen met checks and balances om de gegevensbeveiliging en de datakwaliteit te monitoren en permanent te garanderen. gevensverwerkingen die intern plaatsvinden ook verwerkingen die bij verwerkers zijn ondergebracht. den teneinde de beveiliging bij deze partijen te Het rapport dat de kwetsbaarheden op de RDA -server code heeft geïdentificeerd is door Logius geanalyseerd.

Uit de bevindingen zijn geen issues naar voren gekomen . De subleverancier van de RDA- kwetsbaarheden zijn gereduceerd. Inzicht in code RDA -server staat in een virtual private cloud bij Logius bij derde partijen in relatie tot de realisatie van DigiD Substantieel en specifiek de verwerkingen met betrekking tot de RDA -server is het toezicht nog onvoldoende geheel in eigen beheer te nemen. Dit is echter een Vastgesteld is dat geen subverwerkersovereenkomst is opgesteld met de subleverancier. Aangezien deze el wel persoonsgegevens verwerkt, dient dit nog n de actie om de subverwerkersovereenkomst te uit de eigen verantwoordelijkheid periodiek controles uit te voeren op de gegevens(verwerkingen) die bij derden zijn ondergebracht. te handelen conform het informatieveiligheidsbeleid nformatiebeveiligingsbeleid opgesteld en een reeds een deel van de beveiligingsmaatregelen n is nog in bewerking en zal de komende tijd verder uitgewerkt worden voor DigiD Substantieel.

61 Nr. Vraag wachtwoordbescherming, versleuteling, encryptie) en (b) gegevens die handmatig zijn opgetekend (bv. sloten op kasten)? Is er een hoger beschermingsniveau om gevoelige persoonsgegevens te beveiligen? Is bij het vaststellen van de maat regelen rekening gehouden met de Richtsnoeren Beveiliging van Persoonsgegevens, gepubliceerd door het College Bescherming Persoonsgegevens Bescherming Persoonsgegevens, 2013)? Bevindingen / Risico’s / Aanbevelingen wachtwoordbescherming, versleuteling, encryptie) en (b) gegevens die handmatig zijn opgetekend (bv. sloten op kasten)? Is er een hoger beschermingsniveau om gevoelige persoonsgegevens te beveiligen? Is bij het vaststellen van regelen rekening gehouden met de Richtsnoeren Beveiliging van Persoonsgegevens, gepubliceerd door het College Bescherming Persoonsgegevens (College In de applicatie- en infrastructuurarchitectuur is aandacht b beheersing.

Verder wordt bij elk increment de opgeleverde information leakage, aanvallen en zwakheden. Er wo informatiebeveiliging waaronder de BIR en ISO27001. Deze kant van I nformation Security Management Systemen en beveiligingsmaatregelen in de IT werkelijkheid. Dit geldt ov beveiligingsassessment komen. D aar staan wel normen in die webapplicaties. Beveiligingsmaatregelen zijn door Logius getroffen op basis van extern systeemgebruik, het uitvoeren van patroon de toegang op basis van toegekende rechten, het monitore alerts indien een onverwachte toegang wordt gedetecteerd. het systeem geldt een vier-ogenprincipe en wordt minimaal 2 het Beheer & Servicecentrum Logius gebruik van PKI- O certificaten. zijn opgeslagen wordt schijfencryptie toegepast. Er worden periodiek externe audits Gezien de vertrouwelijkheid van het BSN is ervoor gekozen om het BSN te vervangen door een sessie de gegevensuitwisseling met de RDA-server.

In het ontwerp is echter (polymorfe) pseudoniemen waardoor Logius en dienst aanbieders gebruikers. De ontwerpdocumentatie van DigiD Hoog maa naar verwachting gaat dit ook doorgevoerd worden voor DigiD Substantieel gebruik van DigiD sessiegegevens gelogd, waaronder het IP gebruiker heeft ingelogd. Deze IP- adressen worden niet koppelen aan de accountgegevens. T ransactiegegevens zijn in te zien door een beperkt aantal personen. Dit laat onverlet dat er sprake is van een cumulatie van inlog worden ontwikkeld met betrekking tot DigiD Substantieel. Conclusie en aanbevelingen Recent heeft de Algemene Rekenkamer geconstateerd dat de versleuteling waar DigiD toereikend is en niet voldoet aan de wettelijke eisen. D geconstateerd dat de informatiebeveiliging DigiD voldoet aan de normen. encryptie van gevoelige verzamelingen van persoonsgegevens verder evalueren en zo nodig aan te scherpen. Ook de mogelijkh gegevens verdient nader onderzoek om de privacyrisico 's te over het gebruik van identificerende persoonsgegevens aangaande Wij bevelen aan maatregelen te ontwerpen en te implemen gegevens waarborgen en controleerbaar maken zodat peri t besteed aan beveiligingsmaatregelen voor interne beheersing.

Verder wordt bij elk increment de opgeleverde applicatie door externe auditors gecontroleerd op wordt weliswaar verwezen naar normen voor e normen zien echter voor al toe op de procedurele n niet direct op de werking van de gerealiseerde overigens niet voor de normen die vanuit het ICT aar staan wel normen in die toezien op de technische beveiliging van Beveiligingsmaatregelen zijn door Logius getroffen op de bestaande DigiD zoals controles op onherkenning op gebruikersdata, het beperken van oren van toegang tot logging en het versturen van alerts indien een onverwachte toegang wordt gedetecteerd. Voor de uitvoering van gevoelige activiteiten op minimaal 2 -factor authenticatie toegepast. Daarnaast maakt O certificaten. Voor de vaste schijven waar gegevens Er worden periodiek externe audits uitgevoerd. Gezien de vertrouwelijkheid van het BSN is ervoor gekozen om het BSN te vervangen door een sessie -ID bij In het ontwerp is echter nog niet gekozen voor het gebruik van aanbieders wel beschikking hebben over BSN’s van aakt wel gebruik van polymorfe pseudoniemen en naar verwachting gaat dit ook doorgevoerd worden voor DigiD Substantieel .

Daarnaast worden door het gebruik van DigiD sessiegegevens gelogd, waaronder het IP -adres, de tijd van inloggen en de dienst waar de adressen worden niet gehasht opgeslagen. De loggegevens zijn te ransactiegegevens zijn in te zien door een beperkt aantal personen. loghistorie met gevoelige data. Additionele controles dat de versleuteling waar DigiD -gebruik van maakt niet De Algemene Rekenkamer heeft overigens wel geconstateerd dat de informatiebeveiliging DigiD voldoet aan de normen. Het verdient aanbeveling om de encryptie van gevoelige verzamelingen van persoonsgegevens verder te realiseren, op onderdelen te ijkheden van het pseudonimiseren van opgeslagen te beperken. De AVG geeft een aantal aanwijzingen over het gebruik van identificerende persoonsgegevens aangaande encryptie en pseudonimisering. enteren die de werkelijke toegang tot systemen en eriodieke of wellicht permanente monitoring op de 62 Nr. Vraag VI.4 Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften en voor het detecteren ervan?

Is er een calamiteitenplan om het gevolg van een onvoorziene gebeurtenis, waarbij persoonsgegevens worden blootgesteld aan onrechtmatige verwerkin g, of verlies van persoonsgegevens af te handelen? VI.5 Welke procedures en maatregelen bestaan er in geval van datalekken om deze te melden aan de Autoriteit Persoonsgegevens en aan de betrokkenen van wie de gegevens zijn gelekt? (Zie ook meldplicht datalekken Wbp en Richtsnoeren die de AP daarover heeft gepubliceerd) Bewaring/vernietiging VI.6 Hoe lang worden de persoonsgegevens bewaard? Geldt dezelfde bewaartermijn voor elk van de typen van verzamelde persoonsgegevens? Is het project onderworpen Bevindingen / Risico’s / Aanbevelingen beveiligings- en d atakwaliteitsaspecten plaatsvindt. Hierbij di betrokkenen , maar dient ook aandacht besteed te worden a uitvoeren van interne controles en het detecteren en si gnale karakteristieken van profiling.

Uiteraard is dit bedoeld ter bescherming van de procedures voor onderzoeken door het fraudeteam . Een verkeerd gebruik of een verkeerde int er toe leiden dat een gebruiker als een soort ‘verdachte’ w verdere ontwerp en implementatie strikte procedures geautomatiseerde, interne controles wordt omgegaan zodat de rechten van gerespecteerd. Betrokkenen dienen onverwijld geïnfo gecompromitteerd zijn en zij mogelijk nadelige gevolgen daarvan hebben of kunnen ondervinden. Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften en voor het detecteren ervan? Is er een calamiteitenplan om het gevolg van een onvoorziene gebeurtenis, waarbij persoonsgegevens worden g, of verlies van Een incidentmanagementprocedure en een calamiteitenp beveiligingsvoorschriften. In de procedurebeschrijving “ melden dat beschreven in geval sprake is van een potentieel datalek Koninkrijksrelaties, 2017).

Conclusie en aanbevelingen Procedureel zijn er geen aanbevelingen. In het ontwerp is geen informatie kunnen detecteren van een datalek. Het verdient aanbe technische maatregelen mogelijk zijn om datalekken of beveiligingsincidenten te kunnen detecteren. de eerdere aanbevel ingen over het verder ontwikkelen van direct toezien op effectieve werking van de beveiliging van de Welke procedures en maatregelen bestaan er in geval van de Autoriteit Persoonsgegevens en aan de betrokkenen van wie de gegevens zijn gelekt? (Zie ook meldplicht datalekken Wbp en Richtsnoeren die de AP daarover heeft gepubliceerd) In de procedurebeschrijving “melden datalekken” zijn de st app een (potentieel) datalek. Ten eerste wordt bepaald of het info kan zijn en het incident in geval van een potentieel datalek wordt opgeschaald naar wordt een adviesformat ingevuld om te bepalen of het datalek gemeld dient te worden bij de Persoonsgegevens (hierna: AP) en/of gebruikers indien ongu waarschijnlijk worden geacht.

Het datalek wordt ten slotte vi aan de AP (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, 2017) Hoe lang worden de persoonsgegevens bewaard? Geldt dezelfde bewaartermijn voor elk van de typen van verzamelde persoonsgegevens? Is het project onderworpen In het huidige ontwerp hanteert Lo gius de wettelijke bew persoonsgegevens via systeemlogging en vijf jaar voor gebr het bewaren van deze historische gegevens is het nakomen van wettelijke verplichtin dient niet beperkt te worden tot gebruikersdata door aan controles op intern gebruik van systemen. Het leren van vermoedens van identiteitsfraude hebben karakteristieken van profiling. Uiteraard is dit bedoeld ter bescherming van de betrokkenen en gelden er strikte . Een verkeerd gebruik of een verkeerde int erpretatie kan wordt gezien. Het verdient aanbeveling om bij het s op te stellen hoe met deze, al dan niet omgegaan zodat de rechten van betrokkenen blijven nformeerd te worden indien hun gegevens gecompromitteerd zijn en zij mogelijk nadelige gevolgen daarvan hebben of kunnen ondervinden. nplan is aanwezig in geval van inbreuk op de melden dat alekken” zijn de procedurestappen beschreven in geval sprake is van een potentieel datalek (Ministerie van Binnenlandse Zaken en Procedureel zijn er geen aanbevelingen.

In het ontwerp is geen informatie beschikbaar over het eventueel beveling om te verkennen of er gestructureerde technische maatregelen mogelijk zijn om datalekken of beveiligingsincidenten te kunnen detecteren. Zie ook an een stelsel van interne beheersmaatregelen die de beveiliging van de technische systemen en datakwaliteit. app en opgenomen die gevolgd dienen te worden bij informatiebeveiligingsincident een potentieel datalek kan zijn en het incident in geval van een potentieel datalek wordt opgeschaald naar calamiteit. Vervolgens datalek gemeld dient te worden bij de Autoriteit gunstige gevolgen voor de persoonlijke levenssfeer via een registratieformulier, binnen 72 uur, gemeld (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, 2017) . waartermijnen van 18 maanden voor verzamelde bruiksgegevens via transactielogging. Het doel van het bewaren van deze historische gegevens is het nakomen van wettelijke verplichtin gen, het kunnen 63 Nr. Vraag aan enige wettelijke/sectorale eisen met betrekking tot bewaring?

VI.7 Op welke beleidsmatige en technische gronden is deze termijn van bewaring gebaseerd? Bevindingen / Risico’s / Aanbevelingen aan enige wettelijke/sectorale eisen met betrekking tot controleren van de integriteit van de verzameld e data en ander doel is het kunnen uitvoeren van onderzoek naar ve casusposities of het verrichten va n onderzoek naar aanleidin een bewaartermijn van vijf jaar leidt tot een transactiebestand met records gebaseerd op het DigiD- gebruik over 2016. Bij een toenemend gebruik records uiteraard nog hoger. In het Besluit GDI is de wettelij van persoonsgegevens vastgelegd (Staatsblad van het Koninkrijk der Nederlanden, 2016) bewaartermijnen hebben een wettelijke grondslag, maar hebben ook een aantal kanttekeningen:
De reden voor het bewaren van de transactiegegev vijf jaar terug identiteitsfraude te kunnen detecteren en gronden op basis waarvan deze bewaartermijn wor zijn, zijn echter onvoldoende belicht in de wetgeving;
Een nadeel van het vastleggen van deze transactiegegevens is hoe meer informatie verzameld wordt over het ged voor profileren.

Hoe groter het bestand wordt, hoe groter het risico van misbruik wordt voor de gebruikers;
De bewaartermijnen van transactiegegevens ov maatschapp ij gevoelig bij burgerrechtenorganisatie komen op de bewaartermijn van vijf jaar. Conclusie en aanbevelingen Vanuit het perspectief van controlemogelijkheden, het afle afwikkeling van klachten kan de vraag gesteld worden of een is, mede gelet op het ontstaan van een risicovolle en omva verhoogd door wettelijke besluiten, waar Logius zich aan dient te houden om na te gaan of de getroffen beveiligingsmaatregelen nog i met zich meebrengen. Op welke beleidsmatige en technische gronden is deze Zoals bij de vorige vraag beschreven is de bewaartermijn bepaald op basis van een wettelijke grondslag. beleidsmatige en technische gronden op basis waarva onvoldoende belicht. Conclusie en aanbevelingen Ga bij de verdere ontwikkeling en impl ementatie van DigiD S wettelijke bewaartermijnen ook daadwerkelijk voor alle bet logbestanden.

Tref aanvullende maatregelen om de risico's van de steeds groter word data te beperken. Bijvoorbeeld door compartimentering, pseudonimisering en encryptie. afwegingen inzake bewaartermijnen het feit dat de inloghist n het afleggen van verantwoording daarover. Een vermeende fraudegevallen op basis van specifieke ding van klachten. Het gevolg van het hanteren van een bewaartermijn van vijf jaar leidt tot een transactiebestand met naar verwachting minstens 1,25 miljard gebruik over 2016. Bij een toenemend gebruik van DigiD wordt dit aantal elijke grondslag met betrekking tot de bewaartermijn (Staatsblad van het Koninkrijk der Nederlanden, 2016) . Deze bewaartermijnen hebben een wettelijke grondslag, maar hebben ook een aantal kanttekeningen: evens ligt in het creëren van de mogelijkheid om tot vijf jaar terug identiteitsfraude te kunnen detecteren en analyseren. De beleidsmatige en technische ordt gerealiseerd en wat de consequenties daarvan zijn, zijn echter onvoldoende belicht in de wetgeving; Een nadeel van het vastleggen van deze transactiegegevens is dat hoe langer ze bewaard worden, edrag van de gebruikers, wat gebruikt kan worden oe groter de waarde van het bestand wordt en hoe wordt voor de gebruikers; over inloggedrag van gebruikers liggen in de ties.

Vanuit die hoek zouden dus bezwaren kunnen afleggen van verantwoording, fraudeonderzoek en en bewaartermijn van vijf jaar daarvoor noodzakelijk vangrijke dataset. De bewaartermijnen zijn onlangs door wettelijke besluiten, waar Logius zich aan dient te houden . Hierdoor verdient het aanbeveling om na te gaan of de getroffen beveiligingsmaatregelen nog i n lijn zijn met de risico’s die deze bewaartermijnen is de bewaartermijn bepaald op basis van een wettelijke grondslag. De van deze bewaartermijn is bepaald zijn echter ementatie van DigiD S ubstantieel na in welke mate de nu gehanteerde etrokken gegevens gelden inclusief de technische logbestanden. Tref aanvullende maatregelen om de risico's van de steeds groter word ende set aan historische Bijvoorbeeld door compartimentering, pseudonimisering en encryptie. Betrek bij de de inloghist orie, zij het gedistribueerd, ook bij de 64 Nr. Vraag VI.8 Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn te vernietigen of verwijderen?

Worden alle persoonsgegevens, inclusief loggegevens, vernietigd? Is er controle op de en zo ja, door wie? Kan deze vernietiging (of verwijdering) ongedaan worden gemaakt? VII Transparantie Privacyprincipe: Transparantie VII.1 Is het doel van het verwerken van de gegevens bij de Gebruikers en/of publiekelijk bekend of kan het bekend worden gemaakt? Wat is de procedure om indien nodig, te informeren over het doel van de verwerking van hun persoonsgegevens? Zouden de Gebruikers worden verrast door de verwerking op het moment dat zij daarover worden geïnformeerd? VII.2 Indien u de persoonsgegevens direct van de betrokkenen verkrijgt, hoe stelt u hen van uw identiteit en het doel van de verwerking op de hoogte vóór het moment van verwerking? Bevindingen / Risico’s / Aanbevelingen dienstaanbieders waar gebruikers uiteindelijk inloggen beschikbaar is Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn te vernietigen of verwijderen?

Worden alle persoonsgegevens, inclusief loggegevens, vernietigd? Is er controle op de vernietiging en zo ja, door wie? Kan deze vernietiging (of verwijdering) Persoonsgegevens worden na afloop van de bewaartermijn jobs. Hierbij worden ook de loggegevens verwijderd. De au worden gemaakt, maar dit wordt ook gelogd en gesignale erd mocht de werking stagneren. Is het doel van het verwerken van de gegevens bij de en/of publiekelijk bekend of kan het bekend worden gemaakt? Wat is de procedure om Gebruikers, indien nodig, te informeren over het doel van de verwerking Gebruikers kunnen worden verrast door de verwerking op het moment dat zij Op de website van DigiD is een privacyverklaring te vi nden. Daarin staat opgesomd welke gegevens van gebruikers van DigiD worden verwerkt, met welke doelen d bewaard en aan welke derde partijen de ze worden verstrekt of het gebruik van DigiD niet expliciet gewezen op de privacyverklaring.

De hoogte gesteld van het doel van de verwerking van zijn pers Voordat een gebruiker zijn WID gaat scannen om DigiD Substantieel te hoogte gesteld dat controle plaatsvindt met de gegevens u verwerkt en wat het doel van deze verwerking is. In de privacyve van vijf jaar en is niet opgenomen hoe gebruikers het gebru het account kunnen laten opheffen met in acht name van gegevens. Conclusie en aanbevelingen De huidige privacyverklaring DigiD vereist nog actualisering op de voorgenomen bewaartermijnen. kader van transparantie verdient het ook aanbeveling om verdere introductie van DigiD Substantieel en wat er precies met de gegevens van verwerkingsstap. Dit verzoek is reeds door Logius in behand productie name van DigiD Substantieel. de persoonsgegevens direct van de betrokkenen verkrijgt, hoe stelt u hen van uw identiteit en het doel van de verwerking op de hoogte vóór het moment van verwerking?

De website van DigiD is beveiligd door middel van een beveiligingscertificaat. Op de inlog website staat niet vermeld dat Logius de eigenaar en beh privacyverklaring vermeld. De privacyverklaring is te vinden op de website van DigiD, maar de worden daar niet op gewezen bij h et aanvragen of gebruiken van DigiD. De hoogte gesteld van het doel van de verwerking van zijn pers Er is initiatief nodig van de gebruiker om achter de identiteit van Logius te kom Voor het scannen van een WID met de DigiD app wordt de beschikbaar is . ijn automatisch verwijderd door middel van batch automatische batch jobs zouden ongedaan kunnen erd mocht de werking stagneren. nden. Daarin staat opgesomd welke gegevens van dat wordt gedaan, hoe lang de gegevens worden ze worden verstrekt (DigiD, 2016). Gebruikers worden bij de aanvraag of het gebruik van DigiD niet expliciet gewezen op de privacyverklaring. De gebruiker wordt dus niet op de ersoonsgegevens vóór het moment van verwerking. zijn WID gaat scannen om DigiD Substantieel te behalen wordt hij ook niet op de s uit de BRP of het CRB, welke gegevens worden verwerkt en wat het doel van deze verwerking is.

In de privacyve rklaring ontbreekt tevens de bewaartermijn bruik van DigiD Substantieel kunnen beëindigen en n de gehanteerde bewaartermijnen van historische De huidige privacyverklaring DigiD vereist nog actualisering op de voorgenomen bewaartermijnen. In het m een communicatieplan op te stellen omtrent de en wat er precies met de gegevens van gebruikers gebeurt per ndeling genomen en wordt doorgevoerd voor de in De website van DigiD is beveiligd door middel van een beveiligingscertificaat. Op de inlog pagina van de beherende partij van DigiD is. Dit staat wel in de De privacyverklaring is te vinden op de website van DigiD, maar de gebruikers et aanvragen of gebruiken van DigiD. De gebruiker wordt dus niet op de ersoonsgegevens vóór het moment van verwerking. om achter de identiteit van Logius te kom en. wordt de gebruiker geïnformeerd dat het identiteitsbewijs 65 Nr. Vraag VII.3 Indien u de persoonsgegevens via een andere (overheids)organisatie verkrijgt, hoe zulle n de betrokkenen daarvan op de hoogte worden gesteld op het moment van verwerking?

VII.4 (Hoe) meldt u de betrokkenen aan wie de gegevens worden verstrekt (waar dit geen wettelijke verplichting is)? VIII Rechten van betrokkenen Privacyprincipe: Rechten van betrokkenen VIII.1 Verzamelt u de gegevens op basis van opt- in (verzameling uitsluitend als de betrokkene daarvoor toestemming heeft gegeven) of op basis van opt- out (verzameling tenzij de betrokkene daartegen bezwaar heeft gemaakt) en zijn de betrokkenen daarvan op de hoogte? Bevindingen / Risico’s / Aanbevelingen wordt gecontroleerd op basis van onder meer het documentnummer en de geldigheidsdatum. De wordt er echter niet van op de hoogte gesteld dat deze contro CRB en met welk doel dat wordt gedaan. Conclusie en aanbevelingen Aanbevolen wordt een verwijzing toe te voegen naar de privacyverklaring bij i een nieuwe DigiD, eventueel ook bij het inloggen met DigiD. controles worden uitgevoerd op een WID en de controles aanbeveling om misverstan den en wantrouwen te voorkomen. genomen en wordt doorgevoerd voor de in productie name van DigiD Substantieel.

Indien u de persoonsgegevens via een andere n de betrokkenen daarvan op de hoogte worden gesteld op het moment van Voor het scannen van een WID met de DigiD app wordt de wordt gecontroleerd op basis van onder meer het documentnummer en de geldigheidsdatum. De wordt er echter niet van op de hoogte gesteld dat deze contro CRB en met welk doel dat wordt gedaan. Conclusie en aanbevelingen In aanvulling op de aanbevelingen bij vraag VII.2 wordt aanbevolen een melding presenteren bij het scannen van een WID dat persoonsgegevens worden opgevraagd bij de BRP/het C met welk doel dit wordt gedaan. (Hoe) meldt u de betrokkenen aan wie de gegevens worden verstrekt (waar dit geen wettelijke verplichting is)? DigiD verstrekt in het kader van de authenticatie het BSN en het authenticatieniveau aan waar de gebruiker op dat moment wenst in te loggen . Verd zonder voorafgaande ondubbelzinnige toestemming van de gebruiker, m verplichtingen om gegevens te verstrekken.

Dit wordt middels de privacyverklaring van DigiD gemeld gebruikers (DigiD, 2016). in (verzameling uitsluitend als de betrokkene daarvoor toestemming heeft out (verzameling tenzij de betrokkene daartegen bezwaar heeft gemaakt) en zijn de Indien de gebruiker ervoor kiest een DigiD aan te vragen worden persoonsgegevens verwerkt. De gebruiker vult zelf gegevens in zoals het BSN waarna overige gegevens worden verzameld. De g ebruiker verzameling van gegevens maar wordt via de privacyverklari worden verzameld (DigiD, 2016). De gebruiker wordt hier echter niet op g gebruiken van DigiD. Op verzoek van de gebruiker kunnen verwijderd of afgeschermd, tenzij dit niet is toegestaan op grond van een wettelijke bepaling. Overigens is het gebruik van DigiD niet verplicht voor de wordt gecontroleerd op basis van onder meer het documentnummer en de geldigheidsdatum. De gebruiker trole plaatsvindt met de gegevens uit de BRP of het voegen naar de privacyverklaring bij i n elk geval het aanvragen van een nieuwe DigiD, eventueel ook bij het inloggen met DigiD.

Een nadere toelichting op de wijze waarop les bij derde partijen is eveneens een belangrijke den en wantrouwen te voorkomen. Dit verzoek is reeds door Logius in behandeling genomen en wordt doorgevoerd voor de in productie name van DigiD Substantieel. wordt de gebruiker geïnformeerd dat het identiteitsbewijs wordt gecontroleerd op basis van onder meer het documentnummer en de geldigheidsdatum. De gebruiker trole plaatsvindt met de gegevens uit de BRP of het wordt aanbevolen een melding aan de gebruiker te bij het scannen van een WID dat persoonsgegevens worden opgevraagd bij de BRP/het C RB en DigiD verstrekt in het kader van de authenticatie het BSN en het authenticatieniveau aan de dienstaanbieder erder worden geen gegevens aan derden verstrekt zonder voorafgaande ondubbelzinnige toestemming van de gebruiker, m et uitzondering van wettelijke verplichtingen om gegevens te verstrekken. Dit wordt middels de privacyverklaring van DigiD gemeld aan ervoor kiest een DigiD aan te vragen om deze te gebruiken als authenticatiemiddel vult zelf gegevens in zoals het BSN en het e-mailadres ebruiker geeft geen expliciete toestemming voor de aring wel op de hoogte gesteld van de gegevens die wordt hier echter niet op g ewezen bij het aanvragen of n persoonsgegevens worden verbeterd, aangevuld, verwijderd of afgeschermd, tenzij dit niet is toegestaan op grond van een wettelijke bepaling.

Overigens is het gebruik van DigiD niet verplicht voor de gebruiker. Echter gezien de ontwikkelingen dat 66 Nr. Vraag VIII.2 Indien u toestemming tot verwerking van persoonsgegevens aan de betrokkene vraagt (opt de betrokkene deze toestemming dan op een later tijdstip weer intrekken (opt- out)? Bij een weigering toestemming te geven of een dergelijk e intrekking, wat is dan de implicatie voor de betrokkene? VIII.3 Via welke procedure hebben betrokkenen de mogelijkheid zich tot de verantwoordelijke te wenden met het verzoek hen mede te delen of hun persoonsgegevens worden verwerkt? Hoe worden derden, die mogelijk bedenkingen hebben tegen een dergelijke mededeling, in de gelegenheid gesteld hun zienswijze te geven? VIII.4 Hoe kunnen betrokkenen een verzoek indienen voor het inzien van hun (verzamelde) gegevens? Hoe kan een verzoek van een betrokkene tot verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens in behandeling worden genomen?

Bevindingen / Risico’s / Aanbevelingen overheidsdiensten steeds minder toegankelijk worden buite dwang tot het gebruik van DigiD en dus dwang tot opt-in. Conclusie en aanbevelingen Het verdient aanbeveling de privacyverklaring te actuali Substantieel. Logius heeft aangegeven dat dit is opgepakt en wordt DigiD Substantieel. Indien u toestemming tot verwerking van persoonsgegevens aan de betrokkene vraagt (opt -in), kan de betrokkene deze toestemming dan op een later tijdstip out)? Bij een weigering toestemming te e intrekking, wat is dan de implicatie De gebruiker kan een verzoek doen bij de tweedelijns helpdesk het DigiD dergelijk verzoek wordt gedaan wordt het account geblokkeerd beschikbaar conform de bewaartermijn. Ook kan de g ebruiker geen DigiD aangemaakt kan worden met het betreffende voorkoming van fraude. Conclusie Geef duidelijk aan in de privacyverklaring hoe gebruikers beëindigen en hun account kunnen laten opheffen met in ach historische gegevens.

Via welke procedure hebben betrokkenen de mogelijkheid zich tot de verantwoordelijke te wenden met het verzoek hen mede te delen of hun persoonsgegevens worden verwerkt? Hoe worden derden, die mogelijk bedenkingen mededeling, in de gelegenheid Gebruikers kunnen zich tot Logius wenden middels e- mail, telefoon website en via Twitter. Op verzoek van de gebruiker kunnen zijn persoonsgegevens wo aangevuld, verwijderd of afgeschermd, tenzij dit niet is toegestaan op grond van een wettelijke bepaling. Hoe kunnen betrokkenen een verzoek indienen voor het inzien van hun (verzamelde) gegevens? Hoe kan een verzoek van een betrokkene tot verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens in De gebruiker va n DigiD kan zijn gebruikersnaam, telefoonnummer, BSN, e inzien door in te loggen op mijn.digid.nl. Het telefoonnummer en e zelf worden gewijzigd. De gebruiker kan tevens een inza indienen voor het verbeteren, aanvullen, verwijderen of afsch op grond van een wettelijke bepaling, door een e- mail te sturen aan Bij een verzoek tot inzage, verbetering, aanvulling of verwij identificeren door het verstrekken van het BSN en het bean kritieke activiteiten in de beheermodule, zoals het verwijderen van een account, is het vier toegepast.

De gebruiker kan een verzoek doen bij de tweedelijns helpdesk het DigiD dergelijk verzoek wordt gedaan wo rdt het account, inclusief alle gegevens in de beheermodule de transactielog blijven de gegevens wel beschikbaar conform de gebruiker zijn BSN op een afmeldlijst laten plaatsen zodat geen DigiD aangema iten de digitale kanalen om is feitelijk sprake van aliseren met de gegevensverwerking van DigiD Logius heeft aangegeven dat dit is opgepakt en wordt gerealiseerd voor in productiename van kan een verzoek doen bij de tweedelijns helpdesk het DigiD -account op te heffen. Indien een geblokkeerd . In de transactielog blijven de gegevens wel ebruiker zijn BSN op een afmeldlijst laten plaatsen zodat de BSN. Dit kan bijvoorbeeld gebruikt worden ter het gebruik van hun DigiD Substantieel kunnen cht name van de gehanteerde bewaartermijnen van mail, telefoon , per post, via een digitaal formulier op de kunnen zijn persoonsgegevens wo rden verbeterd, aangevuld, verwijderd of afgeschermd, tenzij dit niet is toegestaan op grond van een wettelijke bepaling. n DigiD kan zijn gebruikersnaam, telefoonnummer, BSN, e -mailadres en gebruiksgeschiedenis Het telefoonnummer en e -mailadres kunnen hier door de gebruiker zageverzoek indienen bij Logius en een verzoek chermen van gegevens, tenzij dit niet is toegestaan mail te sturen aan info@digid.nl of een brief te sturen. wijdering zal de gebruiker gevraagd worden zich te antwoorden van een aantal persoonlijke vragen.

Bij kritieke activiteiten in de beheermodule, zoals het verwijderen van een account, is het vier -ogenprincipe kan een verzoek doen bij de tweedelijns helpdesk het DigiD -account op te heffen. Indien een rdt het account, inclusief alle gegevens in de beheermodule verwijderd. In de transactielog blijven de gegevens wel beschikbaar conform de nu gestelde bewaartermijnen. Ook kan de zijn BSN op een afmeldlijst laten plaatsen zodat geen DigiD aangema akt kan worden met het 67 Nr. Vraag VIII.5 Is er een geschillenregeling of een partij waar de betrokkenen terecht kunnen bij vragen of klachten? Bevindingen / Risico’s / Aanbevelingen betreffende BSN. Dit kan bijvoorbeeld gebruikt worden ter voorkoming van fraude. Daarnaast kan de gebruiker het DigiD- account laten blokker een brief verstuurd naar het geregistreer de adres van de bevestigd dient te worden dat het account geblokkeerd mo wordt ontvangen, wordt het account na twee weken automatisch weer geactiveerd.

Is er een geschillenregeling of een partij waar de betrokkenen terecht kunnen bij vragen of klachten? Gebruikers kunnen zich tot Logius wenden middels e- mail, t website en via Twitter. Voor klachten geldt de klachtenregeling van het ministerie van BZK. BZK beschikt voorts over het Centraal Meldpunt Identiteitsfraude en werkdagen zowel via internet als per telefoon bereikbaar om identite betreffende BSN. Dit kan bijvoorbeeld gebruikt worden ter voorkoming van fraude. keren bij de tweedelijns helpdesk. In dit geval wordt de adres van de gebruiker met de mededeling dat schriftelijk moet blijven. Indien de schriftelijke bevestiging niet twee weken automatisch weer geactiveerd. l, telefoon, per post, via een digitaal formulier op de Voor klachten geldt de klachtenregeling van het ministerie van BZK. Het ministerie van BZK beschikt voorts over het Centraal Meldpunt Identiteitsfraude en -fouten (CMI).

Deze dienst is op werkdagen zowel via internet als per telefoon bereikbaar om identite itsfraude en -fouten te melden. 68 Bijlage II: Universele privacyprincipes De basis voor een PIA ligt in het identificeren van de zogenaamde p basis van een literatuurstudie zijn uit ver geïnventariseerd, welke relevant zijn voor de toetsing van het ontwerp Substantieel. De aanpak van Mazars gaat uit van onderstaande beschreven unive privacyprincipes door de OECD/OESO Limiteren van het verzamelen van gegevens De inrichting van een informatiesysteem is op het ondersteunen van het specifieke doel toegespitst. Identificatie en traceerbaarheid van het individu duurt niet langer dan strikt noodzakelijk is. Minimale gegevensverzameling worden uitsluitend verwerkt op basis van de limitatieve grondslagen in de Wet bescherming persoonsgegevens (Wbp). De Wbp kent de volgende wettelijke grondslagen op basis waarvan gegevens mogen worden verwerkt:
De betr okkene geeft expliciete toestemming;
De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene een partij is;
De gegevens zijn nodig voor het volgen van een wettelijke verplichting;
De betrokkene heeft er een vitaal belang
De gegevens zijn nodig voor de goede vervulling van een publiekrechtelijke taak;
De organisatie heeft een gerechtvaardigd belang bij de verwerking.

Doelbinding / limiteren van het gebruik van gegevens Persoonsgegeven s worden alleen voor vooraf welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en niet verder verwerkt als dit hiermee onverenigbaar is. De mogelijkheid om grote hoeveelheden gegevens binnen en buiten de organisatie te verspreid en wordt beperkt door gefragmenteerde opslag in plaats van het concentreren van alle gegevens in één database. Gegevenskwaliteit Vooraf wordt in een procedure vastgelegd aan welke kwaliteitseisen een verwerking moet voldoen. Kwaliteitseisen worden zoveel informatiesysteem afgedwongen. Verantwoording Verantwoordelijken nemen maatregelen om materiële beginselen in de Wbp te vertalen naar differentieerbare programma’s (nalevingsprogramma’s). De nalevingsprogramma’s wor gebaseerd op PIA’s om p rivacyrisico vertaald naar concrete maatregelen en procedures op strategisch niveau.

De borging kan aan externe belanghebbenden, met inbegrip van de Au Persoonsgegevens (AP), worden bewezen door monitoring, interne of externe audits. Beveiliging van gegevens (privacy by design / privacy enhancing technologies) Passende technische en organisatorische beveiligingsmaatregelen worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking op basis van een risico Daarbij wordt rekening gehouden met de stand van de techniek en de kosten van de implementatie. Onnodige verzameling en verdere verwerking van persoonsgegevens wordt 16 OECD / OESO: Organization for Economic Co Samenwerking en Ontwikkeling. II: Universele privacyprincipes De basis voor een PIA ligt in het identificeren van de zogenaamde p rivacyprincipe basis van een literatuurstudie zijn uit ver schillende documenten de p geïnventariseerd, welke relevant zijn voor de toetsing van het ontwerp De aanpak van Mazars gaat uit van onderstaande beschreven unive OECD/OESO 16 . van het verzamelen van gegevens De inrichting van een informatiesysteem is op het ondersteunen van het specifieke doel toegespitst.

Identificatie en traceerbaarheid van het individu duurt niet langer dan strikt noodzakelijk is. Minimale gegevensverzameling is het uitgangspunt. Persoonsgegevens worden uitsluitend verwerkt op basis van de limitatieve grondslagen in de Wet bescherming persoonsgegevens (Wbp). De Wbp kent de volgende wettelijke grondslagen op basis waarvan gegevens mogen worden verwerkt: okkene geeft expliciete toestemming; De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene een partij is; De gegevens zijn nodig voor het volgen van een wettelijke verplichting; De betrokkene heeft er een vitaal belang bij dat de gegevens worden verzameld; De gegevens zijn nodig voor de goede vervulling van een publiekrechtelijke taak; De organisatie heeft een gerechtvaardigd belang bij de verwerking. Doelbinding / limiteren van het gebruik van gegevens s worden alleen voor vooraf welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en niet verder verwerkt als dit hiermee onverenigbaar is.

De mogelijkheid om grote hoeveelheden gegevens binnen en buiten de en wordt beperkt door gefragmenteerde opslag in plaats van het concentreren van alle gegevens in één database. Vooraf wordt in een procedure vastgelegd aan welke kwaliteitseisen een verwerking moet voldoen. Kwaliteitseisen worden zoveel mogelijk via de functionaliteit van een informatiesysteem afgedwongen. Verantwoordelijken nemen maatregelen om materiële beginselen in de Wbp te vertalen naar differentieerbare programma’s (nalevingsprogramma’s). De nalevingsprogramma’s wor rivacyrisico ’s te elimineren of te mitigeren. Het geheel wordt vertaald naar concrete maatregelen en procedures op strategisch - , tactisch niveau. De borging kan aan externe belanghebbenden, met inbegrip van de Au Persoonsgegevens (AP), worden bewezen door monitoring, interne of externe audits. Beveiliging van gegevens (privacy by design / privacy enhancing technologies) Passende technische en organisatorische beveiligingsmaatregelen worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking op basis van een risico Daarbij wordt rekening gehouden met de stand van de techniek en de kosten van de implementatie.

Onnodige verzameling en verdere verwerking van persoonsgegevens wordt OECD / OESO: Organization for Economic Co - operation and Development / Organisatie voor Economische rivacyprincipe s. Op schillende documenten de p rivacyprincipes geïnventariseerd, welke relevant zijn voor de toetsing van het ontwerp van DigiD De aanpak van Mazars gaat uit van onderstaande beschreven unive rsele De inrichting van een informatiesysteem is op het ondersteunen van het specifieke doel toegespitst. Identificatie en traceerbaarheid van het individu duurt niet langer dan strikt is het uitgangspunt. Persoonsgegevens worden uitsluitend verwerkt op basis van de limitatieve grondslagen in de Wet bescherming persoonsgegevens (Wbp). De Wbp kent de volgende wettelijke grondslagen op basis De gegevens zijn noodzakelijk voor de uitvoering van een overeenkomst waarbij de De gegevens zijn nodig voor het volgen van een wettelijke verplichting; bij dat de gegevens worden verzameld; De gegevens zijn nodig voor de goede vervulling van een publiekrechtelijke taak; De organisatie heeft een gerechtvaardigd belang bij de verwerking. s worden alleen voor vooraf welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en niet verder verwerkt als dit hiermee onverenigbaar is.

De mogelijkheid om grote hoeveelheden gegevens binnen en buiten de en wordt beperkt door gefragmenteerde opslag in plaats van het Vooraf wordt in een procedure vastgelegd aan welke kwaliteitseisen een verwerking moet mogelijk via de functionaliteit van een Verantwoordelijken nemen maatregelen om materiële beginselen in de Wbp te vertalen naar differentieerbare programma’s (nalevingsprogramma’s). De nalevingsprogramma’s wor den ’s te elimineren of te mitigeren. Het geheel wordt , tactisch - en operationeel niveau. De borging kan aan externe belanghebbenden, met inbegrip van de Au toriteit Persoonsgegevens (AP), worden bewezen door monitoring, interne of externe audits. Beveiliging van gegevens (privacy by design / privacy enhancing technologies) Passende technische en organisatorische beveiligingsmaatregelen worden genomen tegen verlies of tegen enige vorm van onrechtmatige verwerking op basis van een risico -analyse.

Daarbij wordt rekening gehouden met de stand van de techniek en de kosten van de implementatie. Onnodige verzameling en verdere verwerking van persoonsgegevens wordt operation and Development / Organisatie voor Economische 69 voorkomen. Privacy by design en privacy enhancing technologies (PET) zijn hierbij essentieel:
Privacy by design houdt in dat al bij het ontwerp van de architectuur van het informatiesysteem de beginstelen subsidiariteit worden meegenomen. T diensten (zoals informatiesystemen) wordt ten eerste aandacht besteed aan privacyverhogende maatregelen, ook wel privacy enhancing technologie genoemd. Ten tweede wordt rekening gehouden met dataminimalisatie. Privacy by design verlaagt het risico dat achteraf noodzakelijke aanpassingen moeten worden gedaan die vaak tijdrovend en kostbaar zijn.
Privacy enhancing technologies (PET) privacy te waarborgen. Het is een samenhangend systeem van maatregelen dat privacy beschermt door het en/of ongewenste verwerking van persoonsgegevens zonder dat hierbij de functionaliteit van een informatiesysteem wordt aangetast.

Transparantie Gebruikers worden geïnformeerd over het gebruik van hun persoonsgegevens in samenhang met de gebruikte technologie en kunnen daarover controle uitoefenen. De gebruiker is hierdoor i n staat om bepaalde vormen van verwerking of onrechtmatig gedrag in rechte aan te vechten. Rechten van betrokkenen Gebruiker s hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vragen of zich tegen de verwerking ervan te verzetten. De zi jn persoonsgegevens zijn verstrekt en hiervan een overzicht ontvangen. De functionaliteit van de IT- infrastructuur is op het effectueren van deze rechten toegerust. voorkomen. Privacy by design en privacy enhancing technologies (PET) zijn hierbij houdt in dat al bij het ontwerp van de architectuur van het informatiesysteem de beginstelen van de noodzakelijkheid, proportionaliteit en worden meegenomen.

T ijdens de ontwikkeling van producten en diensten (zoals informatiesystemen) wordt ten eerste aandacht besteed aan privacyverhogende maatregelen, ook wel privacy enhancing technologie genoemd. Ten tweede wordt rekening gehouden met dataminimalisatie. Privacy by design verlaagt het risico dat achteraf noodzakelijke aanpassingen moeten worden gedaan die vaak tijdrovend en kostbaar zijn. Privacy enhancing technologies (PET) omvat a lle technische maatregelen om de privacy te waarborgen. Het is een samenhangend systeem van maatregelen dat privacy beschermt door het elimineren, verminderen of voorkomen van onnodige en/of ongewenste verwerking van persoonsgegevens zonder dat hierbij de functionaliteit van een informatiesysteem wordt aangetast. worden geïnformeerd over het gebruik van hun persoonsgegevens in samenhang met de gebruikte technologie en kunnen daarover controle uitoefenen. De n staat om bepaalde vormen van verwerking of onrechtmatig gedrag in s hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vragen of zich tegen de verwerking ervan te verzetten.

De gebruik er mag periodiek vragen aan welke instanties jn persoonsgegevens zijn verstrekt en hiervan een overzicht ontvangen. De functionaliteit infrastructuur is op het effectueren van deze rechten toegerust. voorkomen. Privacy by design en privacy enhancing technologies (PET) zijn hierbij houdt in dat al bij het ontwerp van de architectuur van het noodzakelijkheid, proportionaliteit en ijdens de ontwikkeling van producten en diensten (zoals informatiesystemen) wordt ten eerste aandacht besteed aan privacyverhogende maatregelen, ook wel privacy enhancing technologie s (PET) genoemd. Ten tweede wordt rekening gehouden met dataminimalisatie. Privacy by design verlaagt het risico dat achteraf noodzakelijke aanpassingen moeten worden lle technische maatregelen om de privacy te waarborgen. Het is een samenhangend systeem van maatregelen dat elimineren, verminderen of voorkomen van onnodige en/of ongewenste verwerking van persoonsgegevens zonder dat hierbij de worden geïnformeerd over het gebruik van hun persoonsgegevens in samenhang met de gebruikte technologie en kunnen daarover controle uitoefenen.

De n staat om bepaalde vormen van verwerking of onrechtmatig gedrag in s hebben naast het recht van transparantie, het recht om inzage, correctie, aanvulling, afscherming of verwijdering van hun persoonsgegevens te vragen of zich tegen er mag periodiek vragen aan welke instanties jn persoonsgegevens zijn verstrekt en hiervan een overzicht ontvangen. De functionaliteit 70 Bijlage III: Algemene p Het verwerken van persoonsgegevens kan risico’s vo Risico’s staan meestal niet op zich zelf, zijn soms in elkaar verweven, kunnen elkaar sterk beïnvloeden en laten zich daarom niet scherp afbakenen. De onderstaande risico’s die zich in de maatschapp ij kunnen voordoen, specifiek voor DigiD Substantieel. Identiteitsfraude Bij identiteitsfraude wordt misbruik gemaakt van valse of gestolen identiteitsgegevens. Deze gegevens gebruiken criminelen bijvoorbeeld voor het aanvr kopen van spullen op naam van een ander.

Naarmate meer persoonsgegevens worden verwerkt, neemt het risico op identiteitsfraude toe. Burgers en organisaties moeten terughoudend zijn met de uitwisseling van persoonsgegevens. 'Data deluge'-effect Het ‘data deluge’- effect houdt in dat de hoeveelheid persoonsgegevens die beschikbaar is, wordt verwerkt en wordt doorgegeven blijft groeien. Dit fenomeen wordt versterkt door zowel technologische ontwikkelingen, de groei van informatie het feit dat individuen steeds beter in staat zijn gebruik te maken van en te reageren op technologieën. Naarmate er meer gegevens beschikbaar zijn en mondiaal worden uitgewisseld, neemt ook het risico voor de privacy to Waardestijging van persoonsgegevens Toenemende hoeveelheden persoonlijke informatie gaat gepaard met een waardestijging in sociaal, politiek en economisch opzicht. In bepaalde sectoren, met name in onlineomgevingen, zijn persoonsgegevens de facto een b toegang tot onlinecontinent.

‘Function creep’ Function creep is het risico van het verschuiven van de doeleinden waarvoor de persoonsgegevens aanvankelijk mogen worden gebruikt. Dit risico kan ontstaan bij steeds groter groeiend e database met persoonsgegevens: In de loop van de tijd kan het inzicht of de behoefte ontstaan om die gegevens voor heel andere doeleinden te gaan gebruiken, dan ooit bij de aanleg van de database de bedoeling was. Profiling Het van overheidswege uitgege zorgt voor ongekende mogelijkheden om hiermee gebruik, personen te volgen en te profileren. Profileren houdt in dat van personen profielen worden gemaakt op basis van bijvoorbeeld hun leefpatroon, bestedingspatroon, betaalgedrag, eetgewoonten maatschapp elijke klassen worden ingedeeld of op een bepaalde manier in het maatschapp elijk verkeer worden bejegend. Dit gevolg kan optreden als het BSN wordt gebruikt om de effectiviteit, efficiency en betrouwbaarheid van administratieve processen te bevorderen door hieraan allerlei andere soorten van persoonsgegevens te koppelen.

Identificatie via het BSN opent voor de bur in toenemende mate de poort naar d Bijlage III: Algemene p rivacyrisico’s Het verwerken van persoonsgegevens kan risico’s vo or de privacy van de burger opleveren. Risico’s staan meestal niet op zich zelf, zijn soms in elkaar verweven, kunnen elkaar sterk beïnvloeden en laten zich daarom niet scherp afbakenen. De onderstaande risico’s die zich ij kunnen voordoen, zijn o ntleend aan literatuuronderzoek en specifiek voor DigiD Substantieel. Bij identiteitsfraude wordt misbruik gemaakt van valse of gestolen identiteitsgegevens. Deze gegevens gebruiken criminelen bijvoorbeeld voor het aanvr agen van toeslagen of voor het kopen van spullen op naam van een ander. Naarmate meer persoonsgegevens worden verwerkt, neemt het risico op identiteitsfraude toe. Burgers en organisaties moeten terughoudend zijn met de uitwisseling van persoonsgegevens. effect houdt in dat de hoeveelheid persoonsgegevens die beschikbaar is, wordt verwerkt en wordt doorgegeven blijft groeien.

Dit fenomeen wordt versterkt door zowel technologische ontwikkelingen, de groei van informatie - en communicatiesystemen, als door het feit dat individuen steeds beter in staat zijn gebruik te maken van en te reageren op technologieën. Naarmate er meer gegevens beschikbaar zijn en mondiaal worden uitgewisseld, neemt ook het risico voor de privacy to e. Waardestijging van persoonsgegevens Toenemende hoeveelheden persoonlijke informatie gaat gepaard met een waardestijging in sociaal, politiek en economisch opzicht. In bepaalde sectoren, met name in onlineomgevingen, zijn persoonsgegevens de facto een b etaalmiddel geworden voor Function creep is het risico van het verschuiven van de doeleinden waarvoor de persoonsgegevens aanvankelijk mogen worden gebruikt. Dit risico kan ontstaan bij steeds e database met persoonsgegevens: In de loop van de tijd kan het inzicht of de behoefte ontstaan om die gegevens voor heel andere doeleinden te gaan gebruiken, dan ooit bij de aanleg van de database de bedoeling was.

Het van overheidswege uitgege ven BSN als uniek identificerend gegeven voor een persoon, zorgt voor ongekende mogelijkheden om hiermee , in geval van een breed maatsch personen te volgen en te profileren. Profileren houdt in dat van personen profielen basis van bijvoorbeeld hun leefpatroon, bestedingspatroon, betaalgedrag, eetgewoonten . Hiermee kunnen zij worden gekarakteriseerd, in elijke klassen worden ingedeeld of op een bepaalde manier in het elijk verkeer worden bejegend. gevolg kan optreden als het BSN wordt gebruikt om de effectiviteit, efficiency en betrouwbaarheid van administratieve processen te bevorderen door hieraan allerlei andere soorten van persoonsgegevens te koppelen. Identificatie via het BSN opent voor de bur in toenemende mate de poort naar d ienstaanbieders door de overheid en het bedrijfsleven. or de privacy van de burger opleveren. Risico’s staan meestal niet op zich zelf, zijn soms in elkaar verweven, kunnen elkaar sterk beïnvloeden en laten zich daarom niet scherp afbakenen.

De onderstaande risico’s die zich ntleend aan literatuuronderzoek en zijn niet Bij identiteitsfraude wordt misbruik gemaakt van valse of gestolen identiteitsgegevens. Deze agen van toeslagen of voor het kopen van spullen op naam van een ander. Naarmate meer persoonsgegevens worden verwerkt, neemt het risico op identiteitsfraude toe. Burgers en organisaties moeten effect houdt in dat de hoeveelheid persoonsgegevens die beschikbaar is, wordt verwerkt en wordt doorgegeven blijft groeien. Dit fenomeen wordt versterkt door zowel en communicatiesystemen, als door het feit dat individuen steeds beter in staat zijn gebruik te maken van en te reageren op technologieën. Naarmate er meer gegevens beschikbaar zijn en mondiaal worden Toenemende hoeveelheden persoonlijke informatie gaat gepaard met een waardestijging in sociaal, politiek en economisch opzicht. In bepaalde sectoren, met name in etaalmiddel geworden voor Function creep is het risico van het verschuiven van de doeleinden waarvoor de persoonsgegevens aanvankelijk mogen worden gebruikt.

Dit risico kan ontstaan bij steeds e database met persoonsgegevens: In de loop van de tijd kan het inzicht of de behoefte ontstaan om die gegevens voor heel andere doeleinden te gaan gebruiken, dan ven BSN als uniek identificerend gegeven voor een persoon, geval van een breed maatsch appelijk personen te volgen en te profileren. Profileren houdt in dat van personen profielen basis van bijvoorbeeld hun leefpatroon, bestedingspatroon, zij worden gekarakteriseerd, in elijke klassen worden ingedeeld of op een bepaalde manier in het gevolg kan optreden als het BSN wordt gebruikt om de effectiviteit, efficiency en betrouwbaarheid van administratieve processen te bevorderen door hieraan allerlei andere soorten van persoonsgegevens te koppelen. Identificatie via het BSN opent voor de bur ger door de overheid en het bedrijfsleven. 71 Het BSN mag alleen worden gebruikt als daarvoor een wettelijke basis aanwezig is.

Dit geldt ook voor uniek identificerende gegevens als biometrische gegevens en identiteiten die tot op personen herleid kunnen worden. identificeerbare gegevens meer in het maatsch risico van het gebruik ervan buiten de wettelijk gestelde grenzen Inconsistente implementatie en naleving verantwoordingsbeginsel Vanwege de veelheid van partijen die bij de verwerking van persoonsgegevens (verantwoordelijken en verwerker privacybescherming bij de betrokke bescherming van de persoonlijke levenssfeer op onderdelen worden aangetast. Hierdoor ontstaan zwakke schakels in de keten van de verwerkingen van persoonsgegevens. Zwakke schakels kunnen een cumulatief bescherming van persoonsgegevens in een neerwaartse spiraal terecht komt. Het kan ook zijn, dat door de inconsistentie of niet correcte toepassing van de privacyprincipe s door een partij in de keten, de verwe belemmerd. Dit leidt niet alleen tot p additionele kosten.

Geheime (niet transparante) verwerking van persoonsgegevens Indien een verwerking niet transparant is voor de b omstandigheden zonder zijn toestemming, tegen zijn voorkeuren of anderszins onrechtmatig plaatsvinden. Doordat burgers niet op de hoogte zijn van het gebruik van hun persoonsgegevens, kunnen zij de impact ervan in het sociaal overzien. Zij hebben hier niet of nauwelijks controle meer over. Dit kan betekenen dat zij, zonder zich hiervan bewust te zijn, worden gestigmatiseerd en/of uitgesloten van sociaal maatschapp elijke voorzieningen. Ingeval dit be buitengewone inspanningen niet te achterhalen wat de oorzaak van de nadelige effecten is. Hierdoor is de burger ook niet of nauwelijks meer in staat om zijn wettelijke privacyrechten te effectueren. Net als bij onrechtmati gevolgen onomkeerbaar en onherstelbaar zijn. Niet toegestane verwerking van persoonsgegevens buiten de EU Doorgifte van persoonsgegevens naar landen buiten de EU en EER naar landen zonder adequaat p rivacybeschermingsniveau herbergt op voorhand een hoog risico van onrechtmatige verwerkingen van persoonsgegevens, alsmede het niet kunnen effectueren van rechten van betrokkenen.

Datalekken Ten gevolge van datalekken of breuken in de informatiebeveiligi persoonsgegevens in handen komen van onbevoegden en onrechtmatige verwerkingen tot gevolg hebben. Grote databases van overheidsdiensten en private partijen zijn gevoelig voor datalekken en onbevoegde uitwisseling van persoonsgegevens. Burgers heb geen weet van dergelijke datalekken. Hierdoor zijn zij vatbaar voor de gevolgen van alle hiervoor genoemde risico’s, die afhankelijk van de aard en omvang van het datalek, progressief in omvang kunnen toenemen. Omkering van de bewijslast v Doordat persoonsgegevens in een database voorkomen en door de verantwoordelijke als juist worden bestempeld bestaat het risico dat bewijslast omgekeerd wordt. Het BSN mag alleen worden gebruikt als daarvoor een wettelijke basis aanwezig is. Dit geldt ook voor uniek identificerende gegevens als biometrische gegevens en persistente pseudo identiteiten die tot op personen herleid kunnen worden.

Naarmate dergelijke uniek identificeerbare gegevens meer in het maatsch app elijk verkeer worden verspreid, neemt het risico van het gebruik ervan buiten de wettelijk gestelde grenzen toe. Inconsistente implementatie en naleving verantwoordingsbeginsel Vanwege de veelheid van partijen die bij de verwerking van persoonsgegevens verwerker s) zijn betrokken, varieert het niveau van privacybescherming bij de betrokke n verantwoordelijkheden en verwerker bescherming van de persoonlijke levenssfeer op onderdelen worden aangetast. Hierdoor ontstaan zwakke schakels in de keten van de verwerkingen van persoonsgegevens. Zwakke schakels kunnen een cumulatief effect veroorzaken waardoor het niveau van de bescherming van persoonsgegevens in een neerwaartse spiraal terecht komt. Het kan ook zijn, dat door de inconsistentie of niet correcte toepassing van de s door een partij in de keten, de verwe rking van persoonsgegevens wordt belemmerd.

Dit leidt niet alleen tot p rivacyrisico ’s maar ook tot onnodige bureaucratie en Geheime (niet transparante) verwerking van persoonsgegevens Indien een verwerking niet transparant is voor de b urger kan de verwerking onder omstandigheden zonder zijn toestemming, tegen zijn voorkeuren of anderszins onrechtmatig plaatsvinden. Doordat burgers niet op de hoogte zijn van het gebruik van hun persoonsgegevens, kunnen zij de impact ervan in het sociaal maatsch app overzien. Zij hebben hier niet of nauwelijks controle meer over. Dit kan betekenen dat zij, zonder zich hiervan bewust te zijn, worden gestigmatiseerd en/of uitgesloten van sociaal elijke voorzieningen. Ingeval dit be wustzijn ontstaat, is soms zonder buitengewone inspanningen niet te achterhalen wat de oorzaak van de nadelige effecten is. Hierdoor is de burger ook niet of nauwelijks meer in staat om zijn wettelijke privacyrechten te effectueren.

Net als bij onrechtmati g gebruik van uniek identificerende gegevens, kunnen de gevolgen onomkeerbaar en onherstelbaar zijn. Niet toegestane verwerking van persoonsgegevens buiten de EU Doorgifte van persoonsgegevens naar landen buiten de EU en EER naar landen zonder rivacybeschermingsniveau herbergt op voorhand een hoog risico van onrechtmatige verwerkingen van persoonsgegevens, alsmede het niet kunnen effectueren van rechten van betrokkenen. Ten gevolge van datalekken of breuken in de informatiebeveiligi persoonsgegevens in handen komen van onbevoegden en onrechtmatige verwerkingen tot gevolg hebben. Grote databases van overheidsdiensten en private partijen zijn gevoelig voor datalekken en onbevoegde uitwisseling van persoonsgegevens. Burgers heb geen weet van dergelijke datalekken. Hierdoor zijn zij vatbaar voor de gevolgen van alle hiervoor genoemde risico’s, die afhankelijk van de aard en omvang van het datalek, progressief in omvang kunnen toenemen.

Omkering van de bewijslast v oor de betrokkene Doordat persoonsgegevens in een database voorkomen en door de verantwoordelijke als juist worden bestempeld bestaat het risico dat bewijslast omgekeerd wordt. Het BSN mag alleen worden gebruikt als daarvoor een wettelijke basis aanwezig is. Dit geldt persistente pseudo - Naarmate dergelijke uniek elijk verkeer worden verspreid, neemt het Vanwege de veelheid van partijen die bij de verwerking van persoonsgegevens s) zijn betrokken, varieert het niveau van verwerker s. Hierdoor kan de bescherming van de persoonlijke levenssfeer op onderdelen worden aangetast. Hierdoor ontstaan zwakke schakels in de keten van de verwerkingen van persoonsgegevens. Zwakke effect veroorzaken waardoor het niveau van de bescherming van persoonsgegevens in een neerwaartse spiraal terecht komt. Het kan ook zijn, dat door de inconsistentie of niet correcte toepassing van de rking van persoonsgegevens wordt ’s maar ook tot onnodige bureaucratie en urger kan de verwerking onder omstandigheden zonder zijn toestemming, tegen zijn voorkeuren of anderszins onrechtmatig plaatsvinden.

Doordat burgers niet op de hoogte zijn van het gebruik van hun app elijk verkeer niet overzien. Zij hebben hier niet of nauwelijks controle meer over. Dit kan betekenen dat zij, zonder zich hiervan bewust te zijn, worden gestigmatiseerd en/of uitgesloten van sociaal wustzijn ontstaat, is soms zonder buitengewone inspanningen niet te achterhalen wat de oorzaak van de nadelige effecten is. Hierdoor is de burger ook niet of nauwelijks meer in staat om zijn wettelijke privacyrechten te g gebruik van uniek identificerende gegevens, kunnen de Doorgifte van persoonsgegevens naar landen buiten de EU en EER naar landen zonder rivacybeschermingsniveau herbergt op voorhand een hoog risico van onrechtmatige verwerkingen van persoonsgegevens, alsmede het niet kunnen effectueren Ten gevolge van datalekken of breuken in de informatiebeveiligi ng kunnen persoonsgegevens in handen komen van onbevoegden en onrechtmatige verwerkingen tot gevolg hebben.

Grote databases van overheidsdiensten en private partijen zijn gevoelig voor datalekken en onbevoegde uitwisseling van persoonsgegevens. Burgers heb ben in de regel geen weet van dergelijke datalekken. Hierdoor zijn zij vatbaar voor de gevolgen van alle hiervoor genoemde risico’s, die afhankelijk van de aard en omvang van het datalek, Doordat persoonsgegevens in een database voorkomen en door de verantwoordelijke als juist worden bestempeld bestaat het risico dat bewijslast omgekeerd wordt. 72 Consumenten worden gedwongen om in te stemmen met het gebruik van hun persoonsgegevens Voor diver se doelen en met het oog op direct marketing doeleinden worden consumenten haast gedwongen in te stemmen met de verwerking van persoonsgegevens. De risico’s die verbonden zijn aan d worden onvoldoende benadrukt. Consumenten worden gedwongen om in te stemmen met het gebruik van hun se doelen en met het oog op bijvoorbeeld het verkrijgen van diensten, gunsten of direct marketing doeleinden worden consumenten haast gedwongen in te stemmen met de verwerking van persoonsgegevens.

De risico’s die verbonden zijn aan d worden onvoldoende benadrukt. Consumenten worden gedwongen om in te stemmen met het gebruik van hun bijvoorbeeld het verkrijgen van diensten, gunsten of direct marketing doeleinden worden consumenten haast gedwongen in te stemmen met de verwerking van persoonsgegevens. De risico’s die verbonden zijn aan d eze verwerkingen 73 Bijlage IV: Afkortingen Afkorting Begrip AA Active Authentication AP Autoriteit Persoonsgegevens APDU App lication Protocol Data Unit BAC Basic Access Control BAP Basic Access Protection BIR Baseline Informatiebeveiliging Rijksdienst BRP Basisregistratie Personen BZK Binnenlandse Zaken en Koninkrijksrelaties CIS Card Interface Service CRB Centraal register Rijbewijzen en Bromfietscertificaten CSCA Country Signing Certificate Authority -- Diginetwerk DigiD Digitale Identiteit eIDAS Electronic Identity and Bijlage IV: Afkortingen en begrippen Betekenis / t oelichting Active Authentication Controleert of het een originele NFC betreft en dat deze niet gekloond is Autoriteit Persoonsgegevens De Autoriteit Persoonsgegevens houdt toezicht op het per soonsgegevens door organisaties en op de naleving van de Wbp en in de toekomst de AVG. lication Protocol Data Unit Communica tie tussen de NF WID- document en de NFC Basic Access Control Sleutel waarmee NFC- chip geopend kan worden (m.b.v.

MRZ) in geval van identiteitskaart of paspoort een authenticatie richting de chip. Met de BAC-sleutel kan de RDA kennis te hebben van de WID Basic Access Protection Sleutel waarmee NFC- chip geopend kan worden (m.b.v. MRZ) in geval van rijbewijs (CRB). Geldt als een authenticatie richting de chip. Met de BAP kan de bewijzen kenni s te hebben van de WID gegevens. Baseline Informatiebeveiliging Biedt één normenkader voor de beveiliging van de informatiehuishouding van de Rijksoverheid. Basisregistratie Personen BRP wordt beheerd door de RvIG. Voor de controle van de identiteitskaart of het paspoort wordt een bevraging naar de BRP gedaan. Binnenlandse Zaken en Koninkrijksrelaties Logius is de dienst digitale overheid en onderdeel van het ministerie van Binnen landse Zaken en Koninkrijksrelaties. De m inister van BZK is eindverantwoordelijke. Card Interface Service De middelen waar DigiD app worden gekoppeld middels een CIS aan de DigiD K ern.

De CIS geeft informatie van de RDA-server naar DigiD Kern en visa versa. Centraal register Rijbewijzen en Bromfietscertificaten CRB wordt beheerd door de RDW. Voor de controle van het rijbewijs wordt een bevraging naar het CRB gedaan. Country Signing Certificate Het DS-certifica at in de chip, waarmee de digit ale handtekening is geverifieerd, zijn uitgegeven door een CSCA. Diginetwerk is een afsprakenstelsel voor het koppelen van besloten netwerken van de overheid. Via deze gekoppelde netwerken kunnen overheidsorganisaties onderling gegevens uitwisselen. Digitale Identiteit Met DigiD kan worden ingelogd op website van dienstaanbieders in het BSN Electronic Identity and De eIDAS- verordening gaat over Controleert of het een originele NFC -chip deze niet gekloond is . De Autoriteit Persoonsgegevens houdt het gebruik van soonsgegevens door organisaties en op de naleving van de Wbp en in de toekomst de tie tussen de NF C-chip op het document en de NFC -reader. chip geopend kan worden (m.b.v.

MRZ) in geval van identiteitskaart of paspoort (BRP). Geldt als een authenticatie richting de chip. Met de RDA -server bewijzen kennis te hebben van de WID -gegevens. chip geopend kan worden (m.b.v. MRZ) in geval van rijbewijs (CRB). Geldt als een authenticatie richting de chip. Met de BAP kan de RDA-server s te hebben van de WID - Biedt één normenkader voor de beveiliging van de informatiehuishouding van de BRP wordt beheerd door de RvIG. Voor de identiteitskaart of het wordt een bevraging naar de BRP Logius is de dienst digitale overheid en onderdeel van het ministerie van landse Zaken en Koninkrijksrelaties. inister van BZK is DigiD app geactiveerd is worden gekoppeld middels een CIS aan de ern. De CIS geeft informatie van de naar DigiD Kern en visa versa. CRB wordt beheerd door de RDW. Voor de wordt een bevraging at in de chip, waarmee de ale handtekening is geverifieerd, dient te zijn uitgegeven door een CSCA.

Diginetwerk is een afsprakenstelsel voor het koppelen van besloten netwerken van de overheid. Via deze gekoppelde netwerken kunnen overheidsorganisaties onderling Met DigiD kan worden ingelogd op website s van dienstaanbieders in het BSN -domein. verordening gaat over 74 Afkorting Begrip Signature ICV In control verklaring(en) MRZ Machine Readable Zone NFC Near Field Communication PA Passive Authentication RDA Remote Document Authentication RDW Dienst Wegverkeer RvIG Rijksdienst voor Identiteitsgegevens SAML Security Assertion Markup Language SIEM Security Information and Event Management SOD Document Security Object TLS Transport Layer Security WID Wettelijk Identiteitsdocument Betekenis / t oelichting elektronische identificatie en heeft de betrouwbaarheidsniveaus Laag, Substantieel en Hoog bepaald. In control verklaring(en) Jaarlijks intern self - controles, waaronder in relatie tot informatiebeveiliging, die aan het management van Logius en van BZK wordt gerapp orteerd.

Machine Readable Zone Code dat is opgebouwd uit persoonlijke nummers en een algoritme ter verificatie (vanaf november 2014 aan de voorkant van het rijbewijs). Near Field Communication Een draadloze manier hoeveelheden informatie uit te wisselen binnen een straal van 10 centimeter. De chip communiceert met een ander NFC Met de NFC- reader wordt de chip op het WID gecontroleerd middels de RDA (controle met RDA- server Authentication Controleert of de gegevens op de het WID zijn gewijzigd. Remote Document Techniek waarmee een gebruiker, na een geslaagde inlog met zijn DigiD gebruikersnaam en wachtwoord, m.b.v. een Nederlands identiteitsdocument, in combinatie met een kaartlezer toegang krijgt tot digitale diensten. De kaartlezer communiceert hiertoe met de contactloze chip in het reisdocument en stelt via cryptografische processen vast dat de chip authentiek en onveranderd is aan de persoon die inlogt.

Dienst Wegverkeer RDW is de middelenuitgever van rijbewijzen. De RDW beheert het CRB. Rijksdienst voor Identiteitsgegevens RvIG is de middelenuitgever van Nederlandse identiteitsbewijzen. De RvIG beheert de BRP. Security Assertion Markup Een op XML gebaseerde standaard voor het uitwisselen van authenticatie autorisatiegegevens tussen domeinen. Security Information and Event Software die real- time de beveiliging analysee rt (in casu op infrastructuur Document Security Object Onderdeel van de chip dat door de staat van afgifte digitaal ondertekend wordt. bevat de representatie van de LDS (Logical Data Structure) in hash Layer Security Encryptieprotocol die de communicatie beveiligt. Wettelijk Identiteitsdocument Nederlands paspoort, Nederlandse ID en Nederlands Rijbewijs. identificatie en heeft de betrouwbaarheidsniveaus Laag, Substantieel - assessment van controles, waaronder in relatie tot informatiebeveiliging, die aan het management van Logius en het ministerie orteerd.

Code dat is opgebouwd uit persoonlijke nummers en een algoritme ter verificatie (vanaf november 2014 aan de voorkant van Een draadloze manier om kleine hoeveelheden informatie uit te wisselen binnen een straal van 10 centimeter. De chip communiceert met een ander NFC -apparaat. reader wordt de chip op het WID gecontroleerd middels de RDA -controle server ). Controleert of de gegevens op de chip van Techniek waarmee een gebruiker, na een geslaagde inlog met zijn DigiD gebruikersnaam en wachtwoord, m.b.v. een identiteitsdocument, in combinatie met een kaartlezer toegang krijgt tot digitale diensten. De kaartlezer communiceert hiertoe met de contactloze chip in het reisdocument en stelt via cryptografische processen vast dat de chip authentiek en onveranderd is en toebehoort aan de persoon die inlogt. is de middelenuitgever van rijbewijzen. CRB. is de middelenuitgever van Nederlandse identiteitsbewijzen.

De RvIG Een op XML gebaseerde standaard voor het uitwisselen van authenticatie - en autorisatiegegevens tussen domeinen. time de beveiliging rt (in casu op infrastructuur niveau). Onderdeel van de chip dat door de staat van afgifte digitaal ondertekend wordt. Het SOD bevat de representatie van de LDS -inhoud (Logical Data Structure) in hash -code. Encryptieprotocol die de communicatie Nederlands paspoort, Nederlandse ID -kaart