Bewerkersovereenkomst GBA
Bewerkersovereenkomst GBA
tussen enerzijds de gemeente Simpelveld en anderzijds <Leverancier>
Plaats | : | <woonplaats> |
Organisatie | : | <leverancier> |
Datum | : | <datum> |
Status | : | Definitief |
Versie | : | 1.0 |
De ondergetekenden:
De gemeente Simpelveld, gevestigd aan de Markt 1, 6369 AH te Simpelveld, ten deze vertegenwoordigd door zijn burgemeester, de heer de Boer en zijn gemeentesecretaris de xxxx Xxxxxxxxxx,
verder te noemen: 'de gemeente';
<leverancier>, gevestigd op de <straat>, <postcode> te <woonplaats> ten deze verte- genwoordigd door zijn directeur, de heer/ mevrouw <naam>, verder te noemen: 'de bewerker';
Hierna gezamenlijk te noemen Partijen.
In overweging nemende dat:
• de gemeente Simpelveld als verantwoordelijke voor de GBA op grond van artikel 15 Wet GBA, technische werkzaamheden laten verrichten door <leverancier> als bewerker;
verklaren te zijn overeengekomen als volgt:
Definities
Artikel 1
In deze overeenkomst en de daarop berustende bepalingen wordt verstaan onder:
Wet GBA | Wet gemeentelijke basisadministratie persoonsgegevens. |
Besluit GBA | Besluit gemeentelijke basisadministratie persoonsgegevens. |
Bewerker: | <leverancier>. |
Gemeente: | Het college van burgemeester en wethouders van de gemeente Simpelveld. |
Persoonsgegevens: | De persoonsgegevens, bedoeld in artikel 50 van het Besluit GBA. |
Beheerregeling GBA: | De regeling als bedoeld in artikel 14 wet GBA. |
GBA audit: | De periodieke audit als bedoeld in afdeling 7 van het Besluit GBA. |
GBA applicatie | De applicatie zoals gebruikt door de gemeente voor de verwerking van GBA gegevens en de datacommunicatie met het GBA netwerk. |
Netwerk: | Het GBA-netwerk als bedoeld in artikel 4 Wet GBA. |
SLA | De service level agreement tussen enerzijds de gemeente Simpel- veld en anderzijds <leverancier>. |
VOA: | Het geautomatiseerde systeem voor het verzenden en ontvangen van berichten in verband met de uitvoering van de wet GBA. |
Berichtenverkeer: | Automatische afhandeling van gegevensuitwisseling tussen ge- meenten, afnemers en het Vestigingsregister, zoals nader om- schreven in de systeembeschrijving GBA. |
Leverancier: | De leverancier van de GBA applicatie Centric te Gouda. |
Artikel 2
Levering diensten
Eisen en voorzie- ningen
1. De bewerker stelt de gemeente ter beschikking:
a) Housing van de windows omgeving t/m de zogenaamde VMWare laag conform de SLA.
b) Connectivity tussen de gemeente Heerlen en de gemeente Simpelveld. c) Uitwijk van de omgeving in Cybercenter van <leverancier>.
d) Beschikbaar stellen van Storage op het SAN conform de SLA.
e) Maken van backups conform de SLA.
2. De bewerker stelt de gemeente technisch in staat te voldoen aan haar uitvoeringsver- plichtingen ingevolge de Wet GBA. Dit houdt in de zorg voor:
a) het tijdens de netwerkbeschikbaarheidsuren inclusief de avondopenstellingen als be- doeld in de SLA ter beschikking stellen van de GBA-applicatie en afgeleide functie voor het berichtenverkeer met behulp van de VOA en beheren tijdens de helpdesk- uren als eveneens bedoeld in de SLA;
b) het installeren en beheren van de infrastructuur zoals beschreven in de SLA;
c) de dagelijkse back-up van de GBA-gegevens en het aan de applicatiebeheerder bie- den van een mogelijkheid tot tussentijdse back-up van de GBA-berichten, opgesla- gen in de database behorende bij de GBA applicatie;
d) de ICT infrastructuur uitwijk bij een calamiteit.
Artikel 3
1. De bewerker voldoet aan de volgende eisen:
a) de bewerker maakt de persoonsgegevens uitsluitend dienstbaar aan de in de SLA vastgelegde werkzaamheden;
b) bij het verrichten van de werkzaamheden handelt de bewerker in overeenstemming met de in en krachtens de Wet GBA gegeven voorschriften;
c) de bewerker stelt de gemeente in de gelegenheid toezicht op het naleven van deze overeenkomst uit te oefenen, waaraan de bewerker op verzoek van de gemeente onverwijld medewerking verleent;
d) op eerste vordering van de gemeente schort de bewerker de werkzaamheden op en stelt hij de persoonsgegevens onverwijld ter beschikking van de gemeente;
e) het is de bewerker verboden zonder toestemming van de gemeente de werkzaam- heden uit te besteden aan een andere bewerker.
2. De bewerker draagt, ter verzekering van de deugdelijke uitvoering van zijn werkzaam- heden, de beveiliging van de gegevensbestanden en de bescherming van de persoonlijke levenssfeer, tenminste zorg voor de volgende voorzieningen van technische en organisa- torische aard:
a) maatregelen gericht op personen die werkzaam zijn voor de bewerker;
b) maatregelen gericht op de toegang tot gebouwen en ruimten, in gebruik bij de be- werker, waar persoonsgegevens aanwezig zijn;
c) maatregelen gericht op een deugdelijke werking en beveiliging van de apparatuur en programmatuur die het gemeentelijke geautomatiseerde systeem vormen;
d) maatregelen gericht op het beheer van persoonsgegevens;
e) maatregelen voor het geval de geheimhouding van de persoonsgegevens is ge- schaad;
f) maatregelen bij calamiteiten.
3. De in het tweede lid genoemde werkzaamheden, werkt de bewerker uit in een Informa- tiebeveiligingsplan dat voldoet aan de eisen gesteld in de artikelen 20 tot en met 30 van de regeling GBA en de GBA audit;
4. De gemeente (beveiligingscoördinator) toetst tenminste een keer per jaar of de bewer- ker handelt in overeenstemming met de in het eerste en tweede lid van dit artikel ge- stelde eisen.
Eisen ten aanzien van be- heer
Beheer- regeling
Ontbindende voorwaarden
Inwerk- ingtreding en duur overeen- komst
Artikel 4
1. De bewerker stelt de gemeente in staat te voldoen aan de in bijlage 1 van deze over- eenkomst genoemde eisen van beheer;
2. De bewerker verbindt zich op eerste verzoek van de gemeente eraan mee te werken, systeemtechnische problemen zo spoedig mogelijk op te lossen.
Artikel 5
De bewerker verplicht zich tot naleving van de beheerregeling GBA zoals vastgesteld door de gemeente Simpelveld.
Artikel 6
1
. Voor zover op deze overeenkomst een machtiging als bedoeld in artikel 15 van de Wet GBA noodzakelijk is en deze machtiging met redenen omkleed niet wordt verleend, is de onderhavige overeenkomst van rechtswege ontbonden;
2. Een ontbinding van deze overeenkomst als bedoeld in lid 1, ontbindt tevens de SLA voor wat betreft het onderdeel verwerking van persoonsgegevens ingevolge de Wet GBA.
Artikel 7
1. Deze overeenkomst treedt in werking op <datum> en heeft een looptijd conform duur SLA;
2. Van opzegging is niet anders sprake dan bij de opzegging zoals beschreven in de SLA;
3. Partijen evalueren de werking van deze overeenkomst minimaal eenmaal per jaar gedu- rende de looptijd.
Artikel 8
Deze regeling kan worden aangehaald als bewerkersovereenkomst.
Onderte- kening
Aldus vastgesteld door burgemeester en wethouders van de gemeente Simpelveld bij besluit d.d. .
xx. X. xx Xxxx, burgemeester
Aldus goedgekeurd door <leverancier>
d.d. .
<naam>, <functie>
Bijlage 1
Deze bijlage heeft betrekking op artikel 4 van de Bewerkersovereenkomst GBA tussen de gemeente Simpelveld en <leverancier> .
Ter uitvoering van hoofdstuk 7 van de systeembeschrijving (eisen ten aanzien van het be- heer) van het Logisch Ontwerp GBA gelden voor de bewerker ten aanzien van beschikbaar- heid en responsetijden de volgende regels:
1. Minimaal eens per werkdag (00.00-24.00 uur) moeten de via het netwerk binnenge- komen berichten opgehaald worden en moeten de via het netwerk te verzenden be- richten aangeboden worden aan het netwerk.
2. In het berichtenbestand opgenomen berichten moeten binnen één werkdag verwerkt zijn en een eventueel antwoord moet dan ter verzending zijn aangeboden.
3. De gemeentelijke GBA-systemen en bijbehorende procedures moeten zodanig opge- zet zijn dat de burger voor al zijn enkelvoudige handelingen, waarbij zo'n systeem betrokken is, slechts één keer aan de balie hoeft te verschijnen, waarbij een redelij- ke afhandelingstrijd gewaarborgd is. Actualiseringen moeten binnen één werkdag zijn aangebracht en de bijbehorende berichten, welke spontane verstrekking van mutaties aan afnemers bevatten, moeten dan ter verzending zijn aangeboden.
4. Voor de gemeentelijke GBA-systemen geldt de eis dat ze aan gemiddeld 1 uur per dag verbinding met de Message Store services (zie bijlage IV) voldoende hebben voor het verwerken van de inkomende en aanleveren van de uitgaande berichten. Een GBA- systeem mag geen verbinding met de Message Store services onderhou- den als dat niet noodzakelijk is.
5. Voor de gemeentelijke GBA-systemen geldt de eis dat eventuele herhaalberichten van via het netwerk verzonden berichten moeten worden verstuurd indien na 3 werkdagen een verwacht antwoord nog niet is ontvangen.
Bijlage 2
Inleiding
<leverancier> gaat voor de gemeente Simpelveld IT-diensten verrichten zoals het ter beschikking stellen van de programmatuur, uitvoeren van de back-up van het GBA-bestand van de gemeente.
Wettelijke grondslag
Deze uitbesteding van technische en administratieve werkzaamheden door de gemeente Simpelveld aan de bewerker <leverancier>, is gebaseerd op artikel 15 wet GBA. Dit artikel is verder uitgewerkt in Afdeling 6, artikelen 50 tot en met 53, van het Besluit GBA. Op grond van artikel 51 Besluit GBA dienen de te verrichten werkzaamheden te worden vastgelegd in een door het college van burgemeester en wethouders van de uitbestedende gemeente en de bewerker te sluiten schriftelijke overeenkomst. Met de Bewerkersovereen- komst GBA geven partijen uitvoering aan deze bepaling.
Beheer en beveiliging
De materiële bepalingen van de artikelen 52 en 53 van het Besluit GBA hebben hun vertaling gekregen in artikel 3 van de Bewerkersovereenkomst GBA. In lid 1 van artikel 3 zijn de eisen waaraan de bewerker dient te voldoen uitgewerkt.
Lid 2 beschrijft de voorzieningen van technische en organisatorische aard die de bewerker dient te treffen teneinde een deugdelijke uitvoering en beveiliging te verzekeren. De basis voor deze voorzieningen is artikel 53 Besluit GBA, nader uitgewerkt in afdeling 4, artikelen 18 tot en met 30 van de Regeling GBA.
De feitelijke invulling van de genoemde maatregelen ter plaatse laat de wetgever aan de bewerker zelf over. Het is logisch dat die maatregelen gelijk moeten zijn aan de maatregelen die een verantwoordelijke had moeten treffen ingeval er geen sprake zou zijn van uitbesteding. De inhoud van de maatregelen dienen in een Informatiebeveiligingsplan verder te zijn uitgewerkt.
Het Informatiebeveiligingsplan moet voldoen aan de eisen zoals gesteld in de Regeling Periodieke audits. Tenminste een keer per jaar dient de gemeente te controleren of de bewerker zich houdt aan het Informa- tiebeveiligingsplan. Daarnaast controleert een auditinstelling eens per drie jaar of de verantwoordelijke vol- doet aan de gestelde eisen. De controle bij de bewerker valt binnen de reikwijdte van de audit. Daarmee krijgt de uitbestedende gemeente de beschikking over een objectief oordeel over de inhoud en handhaving van het beveiligingsplan van de bewerker.
De eisen ten aanzien van het beheer vloeien voort uit de systeembeschrijving GBA, in de praktijk bekend als Logisch Ontwerp GBA. De verplichtingen die de verantwoordelijke op grond van het Logisch Ontwerp GBA heeft met betrekking tot de beschikbaarheid van het systeem en de responsetijden, dienen door de bewerker onverkort te worden gegarandeerd.
Beheerregeling GBA
Op grond van artikel 14 wet GBA dient de verantwoordelijke de hoofdlijnen van beheer van de basisadmini- stratie vast te leggen in een beheerregeling. Buiten het feit dat naast al degenen die bij het beheer zijn be- trokken, ook de bewerker verplicht is zich aan de beheerregeling te houden, behoeft de beheerregeling aan- passing aan de uitbesteding van werkzaamheden aan de bewerker.