Dienst verlenings overeenkomst Injus
Dienst verlenings overeenkomst Injus
Betreffende:
verstrekking detentiegegevens aan de Belastingdienst/Toeslagen
22 maart 2019
Inhoud
3
5
6
4 ICT beheer en gebruikersondersteuning
9
10
11
12
13
14
1.1 Partijen
Het Ministerie van Justitie en Veiligheid voert de regie op het beheer van het Informatieportaal Justitiabelen (Injus). Injus bevat detentiegegevens van volwassen gedetineerden, jeugdige gedetineerden met en zonder een PIJ-maatregel en onder tbs-gestelden met dwangverpleging. Eigenaar van het systeem is het Ministerie van Justitie en Veiligheid. Het technisch en applicatie beheer ligt bij de aanbieder en uitvoerend beheerder van de voorziening (Justitiële Informatiedienst, Justid).
In deze Dienstverleningsovereenkomst zijn de volgende rollen en partijen genoemd:
• Eigenaar voorziening : het Ministerie van Justitie en Veiligheid: Directoraat-Generaal Straffen en Beschermen/Directie Sanctietoepassing en Jeugd (hierna: DGSenB).
• Eigenaar van de gegevens : Dienst Justitiële Inrichtingen (DJI) en het OM.
• Afnemer, gebruiker van Injus: Belastingdienst/Toeslagen (hierna: Belastingdienst).
• Aanbieder en uitvoerend beheerder van de voorziening : Justid.
1.2 Doelstelling document, structuur van de overeenkomst
Deze dienstverleningsovereenkomst bevat de afspraken tussen de Belastingdienst, als afnemer en gebruiker van informatie afkomstig uit Injus, het Ministerie van Justitie en Veiligheid als eigenaar van de voorziening en Justid als aanbieder en uitvoerend beheerder van Injus.
Doelen van deze dienstverleningsovereenkomst zijn:
• Het vastleggen van de afspraken over de diensten die met Injus geboden worden aan de Belastingdienst;
• Het beschrijven van de kwaliteits- en prestatieniveaus van de te leveren diensten;
• De voorwaarden te benoemen waaronder de Belastingdienst informatie uit Injus kan gebruiken.
1.3 Governance
Met het tekenen van deze overeenkomst bevestigen partijen dat zij zich conformeren aan de afspraken rond de governance (besturing) van de voorziening Injus en de daarmee samenhangende processen. Partijen verplichten zich te houden aan de bepalingen zoals beschreven in deze overeenkomst. Met deze aansluiting verplicht de Belastingdienst zich om deel te nemen aan een incidenteel operationeel overleg Injus met de eigenaar van gegevens DJI/OM en de Beheerder van Injus, Justid. Er is een contactpersoon
waarbij incidenten kunnen worden gemeld, vragen kunnen worden gesteld over de dienst en er kan gebruik worden gemaakt van de diensten zoals beschreven in paragraaf 3.1.
1.4 Duur, beëindiging en scope van de overeenkomst
De dienstverleningsovereenkomst is van onbepaalde duur. Wanneer organisaties willen aansluiten, is het Ministerie van Justitie en Veiligheid, DGSenB verantwoordelijk voor het controleren van de rechtmatigheid en juistheid van het aanvragen van toegang tot de systemen en/of het toetsen van de (aansluit-) voorwaarden. Justid krijgt van DGSenB de opdracht tot aansluiting van de Belastingdienst.
Deze overeenkomst eindigt na schriftelijke opzegging van 1 maand door een der betrokken partijen.
Einde van de overeenkomst betekent dat de afnemer, niet langer informatie verkrijgt uit Injus. Ook na het einde van de overeenkomst zijn de betrokken partijen gehouden om alles omtrent het gebruik van Injus en de in Injus vastgelegde gegevens geheim te houden en vertrouwelijk te behandelen. De overeenkomst geldt niet als beëindigd zolang de afnemer niet alle beveiligingsmaatregelen heeft getroffen die behoren bij het beëindigen van de overeenkomst zoals benoemd in paragraaf 3.2.
De Belastingdienst kan te allen tijde het gebruik van de diensten met Injus beëindigen. De Belastingdienst is verplicht dit te melden bij DGSenB en bij Justid. Aan deze beëindiging zijn geen kosten verbonden.
De DGSenB kan de dienstverleningsovereenkomst met de Belastingdienst eenzijdig opzeggen als daar een voldoende zwaarwegende grond voor bestaat. Dit geschiedt middels een aangetekende brief aan de directeur van de Belastingdienst/Toeslagen. Concreet kan dit het geval zijn indien de Belastingdienst bij herhaling niet heeft voldaan aan een van de voorwaarden voor informatiebeveiliging Injus en zich niet heeft gehouden aan de van toepassing zijnde wettelijke verplichtingen en bepalingen. Als na een
schriftelijke waarschuwing ook niet gebleken is dat zij passende maatregelen heeft getroffen om herhaling te voorkomen, is DGSenB gemachtigd tot genoemde opzegging. Het is aan de Belastingdienst om aan te tonen dat zij wel degelijk passende maatregelen heeft genomen om herhaling te voorkomen en dat zij wel degelijk voldoet aan de voorwaarden voor de informatiebeveiliging Injus.
1.5 Geheimhouding
Partijen zijn tot geheimhouding verplicht met betrekking tot informatie over elkaars organisatie en over al hetgeen waarvan redelijkerwijs is aan te nemen dat bekendmaking daarvan de belangen van een andere partij kan schaden voor zover deze informatie niet al behoort tot het publieke domein.
De eigenaar van het systeem (DGSenB) is verantwoordelijk voor het correct uitvoeren van de afgesproken werkzaamheden die moeten leiden tot de exclusiviteit, beschikbaarheid en correctheid (integriteit)
xxx Xxxxx.
Injus is gekoppeld met de DJI-bronsystemen van Penitentiaire Inrichtingen, Justitiële Jeugd Inrichtingen en Forensisch Psychiatrische Centra ten behoeve van het informeren van de Belastingdienst.
De afnemer mag de persoonsgegevens uit Injus welke hij kan zien, op grond van artikel 6, eerste lid, onderdeel e, AVG in combinatie met artikel 10 van de AVG verwerken ten behoeve van zijn taak.
Tevens is onder verwijzing naar artikel 17 van de ARBIT-2018 (Algemene Rijksvoorwaarden bij IT-overeenkomsten 2016), de afnemer van Injus gehouden tot:
• Geheimhouding van alle Persoonsgegevens en informatie die zij als uitvloeisel van deze dienstverleningsovereenkomst verwerkt, behoudens in zoverre die Persoonsgegevens of informatie klaarblijkelijk geen geheim of vertrouwelijk karakter hebben, dan wel reeds algemeen bekend zijn.
• Het treffen van passende technische en organisatorische beveiligingsmaatregelen om de persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking (artikel 18 ARBIT-2018)
• Bij verschil van mening tussen partijen over intellectuele eigendomsrechten op (delen van) een Prestatie wordt er, behoudens tegenbewijs, vanuit gegaan dat die rechten bij de eigenaar van Injus berusten (artikel 8 ARBIT-2018).
Voor zover de Belastingdienst, als overheidsorgaan in de zin van artikel 1, onder b, van de Archiefwet (Aw), is aan te merken, dient deze te voldoen aan de Aw. Dit betekent dat deze organisatie dient te bepalen welke informatie al dan niet gearchiveerd dan wel vernietigd dient te worden conform de Aw. Eigenaar en
aanbieder van de voorziening is verantwoordelijk voor het creëren van de randvoorwaarden waarbinnen de Belastingdienst, zo nodig en conform instructies van de eigenaar van de gegevens, voor de uitvoering van de Aw, kan zorgen.
Daarbij heeft de Belastingdienst wel een signalerende taak indien er mogelijk in strijd met de Aw wordt gehandeld. Dit betekent concreet voor deze overeenkomst dat partijen:
• Verplicht zijn de archiefbescheiden (ongeacht de vorm of informatiedrager) die onder hen berusten, in goede, geordende en toegankelijke staat te brengen en te bewaren.
• Zorg te dragen voor de vernietiging van de daarvoor in aanmerking komende archiefbescheiden.
3.1 Omschrijving en doel van de dienstverlening
Door de informatieverstrekking worden de volgende gegevens over personen van achttien jaar en ouder in de strafrechtsketen ter beschikking gesteld aan de Belastingdienst. Het betreft hierbij volwassen gedetineerden, jeugdige gedetineerden met en zonder een PIJ-maatregel en onder tbs-gestelden
met dwangverpleging.
Uit Injus kunnen zowel de actuele als de historische detentie(s) van de justitiabele beschikbaar worden gesteld. Van elke detentie worden de volgende detentie gegevens verstrekt:
• Identificerende persoonsgegevens (waaronder BSN);
• Startdatum detentie
• Verwachte einddatum detentie
• Voorwaardelijke Invrijheidsstelling (VI-)gegevens, met de duur en indicatie ja/nee bij bijzondere voorwaarden (de inhoud van de bijzondere voorwaarden is nog niet beschikbaar)
• Executie-indicator
• Detentieadres
• Insluitingstitels
• Detentie-regimes
• Eventuele verloven, met start-/einddatum, verlofadressen en eventuele voorwaarden
• Eventuele verlofmachtigingen PIJ en/of TBS, met start-/einddatum en verlofadressen
• Eventuele onttrekkingen
De gegevensbehoefte van de Belastingdienst betreft:
Periodiek op verzoek een bestand te ontvangen met daarin de voornoemde gegevens van personen (BSN’s) die voldoen aan de volgende criteria:
• Alle personen met een startdetentie die kleiner of gelijk is aan een door de Belastingdienst gestelde datum én waarvan de einde detentie leeg is (persoon is nog gedetineerd) óf de einde detentie is groter of gelijk aan voornoemde datum (persoon is uit detentie).
• En waarbij deze persoon tijdens detentie niet kan worden aangemerkt als een verzekerde voor de Wet op de zorgtoeslag
Bv periodes die als “Extra Murale Detenties” kunnen worden aangemerkt, worden niet opgenomen in het bestand, omdat de betreffende persoon dan wel verzekerde is voor de Wet op de zorgtoeslag.
Noodzaak:
De Belastingdienst voert met enige regelmaat controles uit op de juistheid en volledigheid van de uitbetaalde toeslagen. Eén van deze controles richt zich op de start en het einde van de detentie. In het Toeslagen Verstrekkingen Systeem (TVS) worden op drie manieren start- en eindmeldingen detentie opgevoerd:
• Door de burger zelf
• Door de burger via belastingtelefoon/behandelaar toeslagen
• Door toezichtsactie op basis van Injus-gegevens (via deze actie worden meldingen massaal/ geautomatiseerd ingelezen).
Volgens artikel 11, tweede lid, Algemene wet inkomensafhankelijke regelingen (Awir) is de Belastingdienst het organisatieonderdeel van de rijksbelastingdienst dat is belast met het toekennen, uitbetalen en terugvorderen van tegemoetkoming. Hieronder valt ook de zorgtoeslag. Om zijn wettelijke taak te kunnen uitoefenen wil de Belastingdienst voornoemd bestand ontvangen.
Xxxxxxx hebben op grond van artikel 17 van de Awir de plicht om wijzigingen in hun situatie zelf tijdig door te geven aan de Belastingdienst. Hieronder valt ook de verplichting om een detentie te melden als deze ertoe leidt dat de Minister van Justitie en Veiligheid verantwoordelijk wordt voor de geneeskundige zorg van de gedetineerde (zie artikel 5, eerste lid 4, van de Uitvoeringsregeling Awir). Dat gebeurt echter niet altijd. Om die reden vraagt de Belastingdienst gegevens op uit Injus, ter controle van de situatie van ontvangers van toeslagen.
Ingevolge artikel 38, eerste lid, van de Awir dienen openbare lichamen, rechtspersonen die bij of krachtens een bijzondere wet rechtspersoonlijkheid hebben verkregen, de onder hen ressorterende instellingen
en diensten, alsmede lichamen die hoofdzakelijk uitvoering geven aan het beleid van het Rijk en ieder ander die bij algemene maatregel van bestuur is aangewezen, kosteloos de gegevens en inlichtingen waarvan kennisneming van belang kan zijn voor de uitvoering van de wet aan de Belastingdienst te verstrekken. Hiertoe behoort ook de Minister van Justitie en Veiligheid. Op grond van artikel 1b, eerste lid, Uitvoeringsbesluit Awir, dient de verstrekking van deze gegevens plaats te vinden onder vermelding van het BSN van degene op wie de gegevens betrekking hebben.
Op grond van het voorgaande kan de Belastingdienst de gevraagde detentiegegevens opeisen. Doel:
Aan de hand van de verstrekte detentiegegevens controleert de Belastingdienst de juistheid en volledigheid
van de uitbetaalde toeslagen.
De dienstverlening heeft betrekking op:
• Het beschikbaar stellen van een bestand vanuit Injus;
• Escalatie bij Portefeuille Ketenregie, DGSenB indien noodzakelijk geacht
DGSenB vraagt Justid om via Injus detentiegegevens over personen in de strafrechtsketen (door) te leveren aan de Belastingdienst. De verstrekking van de gegevens vindt plaats door het beschikbaar stellen van
een bestand.
De in deze overeenkomst genoemde verwerkingsverantwoordelijke van een deel van de gegevens (DJI) is alleen verantwoordelijk voor de kwaliteit van de DJI gegevens zelf. De juistheid van de justitiële gegevens wordt beoordeeld door Justid. Detentiegegevens, vastgelegd bij DJI, worden door Justid verrijkt middels een check op gegevens bij de Strafrechtsketendatabank (SKDB) met relevante OM-zaaks informatie, zoals bijvoorbeeld datum onherroepelijk en voorwaarden. De gegevens vanuit DJI en vanuit Justid worden via Injus gezamenlijk aangeboden aan de Belastingdienst.
3.2 Informatiebeveiliging
Injus ondersteunt een zorgvuldige verwerking van persoonsgegevens. Alleen de informatie die voor samenwerking relevant is, wordt gedeeld tijdens de samenwerking en na afloop geschoond. Van belang is dat de Belastingdienst informatie uit Injus slechts tijdelijk en zo kort mogelijk bewaard in zijn eigen bronsysteem. Bij (her)gebruik van de opgeslagen gegevens in bronsysteem, dient een check op actualiteit van de gegevens uit Injus plaats te vinden.
Daardoor wordt een dubbele opslag van gegevens voorkomen en risico’s vermeden zoals het verlies aan actualiteit en onduidelijkheid over wie verantwoordelijk is voor de gegevens.
Aanbieder en uitvoerend beheerder draagt zorg namens DJI voor de verwerking en doorlevering van gegevens via Injus. Het gebruik van gegevens wordt door aanbieder te allen tijde gelogd. Hierdoor is te traceren of gegevens rechtmatig zijn verstrekt. Bij gebleken onjuistheid van verstrekte gegevens wordt nagegaan waar de onjuistheid ontstaan is (bij de toelevering van gegevens door DJI waar DJI verantwoordelijke van is, of de verwerking en doorlevering van gegevens door opdrachtnemer). De
Belastingdienst meldt de geconstateerde onjuistheid terug aan Justid over de geconstateerde onjuistheid en maakt afspraken tot herstel van de vastgestelde onjuist aangeleverde gegevens.
Er is met inachtneming van de vigerende wet- en regelgeving het Informatiebeveiligingsplan Injus opgesteld. Het plan geeft aan dat de beveiliging zich minimaal moet bevinden op het niveau van Risicoklasse II en/of Departementaal Vertrouwelijk als het gaat om de bescherming van persoonsgegevens. De wet- en regelgeving stellen via het informatiebeveiligingsplan eisen aan de afnemers van Injus.
De Belastingdienst als afnemer moet voldoen aan de wettelijke regelgeving als het gaat om gegevensbeveiliging en computerbeveiliging. De wet- en regelgeving stellen hierbij eisen aan de afnemers van Injus. Zij moet aantonen te voldoen aan normen op het gebied van informatiebeveiliging en het servicemanagementsysteem (of gelijkwaardig). Relevante normen in dit verband zijn de Baseline informatiebeveiliging Rijksdienst (BIR), NEN-ISO/IEC 27001:2005 en NEN-ISO-IEC 20000-1:2011.
De Belastingdienst is verantwoordelijk voor de toepassing van de informatie-veiligheidsstandaarden. De informatiebeveiliging moet zich minimaal bevinden op het niveau van Risicoklasse II en/of Departementaal Vertrouwelijk als het gaat om de bescherming van persoonsgegevens. Indien zich een beveiligingsincident voordoet met een grote inbreuk op de vertrouwelijkheid of integriteit van de informatie, zal DGSenB door de betrokken manager van de Belastingdienst direct geïnformeerd worden.
3.3 Autorisaties
De Belastingdienst is verantwoordelijk voor het aanwijzen van de ontvanger van de gevraagde informatie.
Bij de Belastingdienst is een lokaal beheerder aangesteld die een aantal medewerkers autoriseert om de informatie uit Injus te mogen ontvangen. Er is een beheerlijst opgesteld (lijst met zogenaamde gemandateerde personen). Deze wordt bij iedere wijziging aangepast en verstuurd naar Justid. De geautoriseerde functionaris van de Belastingdienst moet beschikken over de voor hem benodigde informatie. De autorisaties zijn hierop ingericht.
De door de geautoriseerde medewerker opgevraagde gegevens zullen door Justid te allen tijde worden gelogd. Dit om mogelijk misbruik achteraf vast te stellen. Indien blijkt dat sprake is van onrechtmatigheid van het bevragen van informatie, zullen de verantwoordelijke directeur van de Belastingdienst, DGSenB en DJI door Justid in kennis worden gesteld.
3.4 Datalekken
De Belastingdienst is verantwoordelijk voor het melden van eventuele datalekken conform de hiervoor vastgesteld procedure binnen het Rijk (zie artikel 9 ARVODI verwerkersovereenkomst).
gebruikersondersteuning
Aanbieder en uitvoerend beheerder van het portaal Injus is verantwoordelijk voor het functioneel en technisch beheer van Injus. Eigenaar van de keten voorziening bepaalt als strategisch beheerder de kaders voor het functioneel beheer. Eigenaar van de gegevens levert de gegevens die benodigd zijn.
Door Justid wordt de volgende gebruikersondersteuning verleend:
• Zijn van aanspreekpunt voor technische, operationele en juridische vragen met betrekking tot Injus.
• Het beheren van de lijst met gemandateerde personen.
Voor Injus vindt centrale financiering plaats conform hetgeen vastgelegd in het Document Financiële Afspraken – DFA, tussen DGSenB, en Justid.
DGSenB dient verantwoording af te leggen aan de keten over het gebruik van de middelen, Justid voorziet in samenspraak met DGSenB in een manier waarop de keten hierin inzicht krijgt binnen de bestaande kaders. Nadere uitsplitsing zal in overleg worden vastgesteld en daarover zal worden gerapporteerd aan DGSenB, wat vervolgens door vertaald wordt naar de verantwoording aan de ketenpartners. De wens van rapporteren kan verschillen gedurende de looptijd van de dienstverleningsovereenkomst. Echter zal altijd in overleg tussen DGSenB en Justid verandering in rapporteren worden vastgesteld.
Het verstrekken van informatie aan de Belastingdienst wordt om juridische redenen niet doorberekend.
Het contactpunt van de eigenaar (xxxxxxxxxx@xxxxxxx.xx) fungeert als informatiepunt voor de afnemer, en als gebruiker voor algemene vragen over de opzet en werking van Injus in generieke zin. De helpdesk van de aanbieder en uitvoerend beheerder van Injus (xxxx@xxxxxx.xx, 0889989000) fungeert als aanspreekpunt voor de afnemer. De helpdesk kan ook gebruikt worden voor specifieke vragen over de opzet en werking van de door Justid geleverde dienst, alsmede het melden van verstoringen van Injus. Justid meldt verstoringen direct bij het contactpunt van eigenaar.
Op deze dienstverleningsovereenkomst is Nederlands recht van toepassing. Ingeval zich een geschil met betrekking tot Injus voordoet tussen aanbieder en afnemer, gebruiker en dit geschil niet na deugdelijk gevoerd onderling overleg tot oplossing kan worden gebracht, zullen de betrokken partijen het geschil voorleggen aan eigenaar. Die kan een voor de aanbieder en afnemer, gebruiker bindende uitspraak doen. Deze uitspraak kan voor een overheids-afnemer slechts terzijde worden gesteld door een besluit van de ministerraad en door een uitspraak van de rechter.
Indien zich in de toekomst wijzigingen voordoen in de dienstverlening of wetgeving zal in gezamenlijk overleg tussen partijen worden gekeken welke gevolgen hiervan zijn.
Voor iedere wijziging en elke release wordt door zowel eigenaar van de gegevens als Justid beoordeeld of deze onder de werking van deze overeenkomst valt. Als dit het geval is kan de overeenkomst worden
aangevuld met een addendum. Is dit niet het geval, dan zal een separaat traject worden doorlopen alvorens aan de werkzaamheden begonnen wordt.
Er is geen verandercapaciteit beschikbaar. Indien door additionele wensen van de Belastingdienst en/of aanpassingen naar aanleiding van gewijzigde/ nieuwe wetgeving de prestaties die partijen op grond van deze overeenkomst moeten leveren aantoonbaar worden verzwaard c.q. uitgebreid, dan is sprake van (incidenteel) meerwerk die voor vergoeding in aanmerking komt. Indien er sprake is van meerwerk zal Justid dit direct melden bij de eigenaar van de voorziening. Hierbij zal rekening worden gehouden met artikel 38, eerste lid, Awir, waarin wordt gesteld dat de gegevens kosteloos worden verstrekt, mits ze van belang kunnen zijn voor de uitvoering van de Awir.
Als gegevens naar de mening van partijen onjuist zijn, wordt dit door aanbieder en uitvoerend beheerder gemeld aan de verantwoordelijke van het gegeven. De verantwoordelijke zal de gegevens waar nodig en relevant corrigeren. In de tijdelijke situatie verrijkt of corrigeert aanbieder de gegevens, dit in overleg met de eigenaar van de gegevens.
Beveiligingsincidenten met potentie tot escalatie en/of een impact op andere ketenpartners moeten direct gemeld worden aan de centrale helpdesk van Justid en DGSenB. Er is een contactpersoon aangewezen voor het rapporteren van beveiligingsincidenten. Voor integriteitsschendingen is ook een vertrouwenspersoon aangewezen die meldingen in ontvangst neemt.
Indien één of meerdere bepalingen van dit convenant in strijd is met een dwingend wettelijk voorschrift, dan zal de desbetreffende bepaling komen te vervallen en zullen partijen overleg plegen over de formulering van een nieuwe en rechtens toelaatbare bepaling, waarbij zoveel mogelijk doel en strekking van de vervallen bepaling in acht wordt genomen. Het hiervoor genoemde laat de toepasselijkheid van het overige in dit convenant bepaalde onverlet.
De detentiegegevens blijven, conform de termijnen die DJI hanteert, bewaard voor een periode van tien jaar, gerekend vanaf het moment dat de veroordeelde de detentie heeft ondergaan. De executie- en detentiegegevens van een veroordeelde worden niet vernietigd zolang de straf niet volledig ten uitvoer is gelegd.
Aan de behandeling van inzage en correctieverzoeken op grond van de Avg en vanaf 6 mei 2018 geldt de richtlijn opsporing en vervolging). Injus ondersteunt een zorgvuldig verwerking van persoonsgegevens. Alleen de informatie die voor samenwerking relevant is, wordt gedeeld tijdens de samenwerking en na afloop geschoond. Gegevens van de betrokken organisaties blijven in hun eigen bronsystemen.
Gelet op de verantwoordelijkheid van eigenaar gegevens ten aanzien van gegevens afkomstig uit de eigen systemen, zal Justid inzage- en correctieverzoeken met betrekking tot de gegevens doorsturen naar de eigenaar van deze gegevens ter verdere behandeling. Voor zover inzage- en correctieverzoeken betrekking hebben op de justitiële gegevens die in de systemen van Justid vastgelegd zijn, zal deze, in zijn functie als uitvoerder van de Wjsg, deze in behandeling nemen.
Eigenaar ketenvoorziening
Naam Xxx Xxxxxx
Functie Directeur Sanctietoepassing en Jeugd, wnd Directoraat-Generaal Straffen en Beschermen
Plaats en datum Xxx Xxxx, 00 mei 2019 Handtekening
Gebruiker ketenvoorziening
Naam Xxxxxx Xxxxxxxxx
Functie Directeur Belastingdienst / Dienst Toeslagen Plaats en datum Utrecht, 23 april 2019
Handtekening
TG 569 - 1Z*1FD