Ketenuitgangspunten

De in deze architectuur benoemde thema’s geven gezamenlijk aan welke beweging de ketenarchitectuur de komende 5-10 jaar moet maken. In de Basis Start Architectuur uit 2013 lag de focus op andere thema’s, nl.

1. Identiteit vaststellen;
2. Digitaal werken;
3. Inzage- en correctierecht;
4. Keten management informatie en
5. Samenwerking in de keten.

Met name de eerste 2 thema’s leveren een dilemma op. Er wordt in de migratieketen nog altijd langs deze lijnen gewerkt. De doelen behorende bij deze thema’s zijn echter grotendeels bereikt, dus deze thema’s zijn niet meer maatgevend voor de verandering die we de komende 5-10 jaar moeten maken. Daarom hebben we ervoor gekozen om deze niet meer als thema’s op te nemen. De principes laten vallen is echter ook niet wenselijk. Belangrijke samenwerkafspraken binnen de keten zijn gestoeld op deze principes. Daarom nemen we ze hier op als “ketenuitgangspunten”. Zie hier voor een compleet overzicht van de principes uit de BSA 2013.

Naast deze principes uit de BSA 2013 zijn er nog 2 belangrijke onderwerpen die ook als uitgangspunt beschouwd kunnen worden: gegevensbescherming en informatieveiligheid (zie ook de de kaders). Deze kaders zijn ook niet nieuw. Het volgen van de AVG, BIO en andere normenkaders is al jaren het uitgangspunt. Ook het hoe ligt in hoge mate vast in bestaande normenkaders. Daarom geen eigenstandige principes (we volgen bestaande normenkaders), maar wel goed om hier nogmaals te noemen als uitgangspunt.

Nr. uit BSA 2013	Uitgangspunt	Thema BSA 2013
BSA1	Biometrie wordt gebruikt om de identiteit vast te stellen	Identiteit
BSA2	Afname en gebruik van biometrie wordt uniform toegepast	Identiteit
BSA3	Elke vreemdeling heeft één v-nummer en elk v-nummer hoort bij één vreemdeling	Identiteit
BSA4	In de keten is alle uitwisseling digitaal	Digitaal werken
BSA6	Processturing vindt digitaal plaats	Digitaal werken
BSA7	Alle instanties en personen in een dossier zijn uniek identificeerbaar	Digitaal werken
BSA14	Centrale voorzieningen ondersteunen plaats en tijdonafhankelijk werken	Samenwerking
-	Privacy-by-design is het uitgangspunt bij het ontwerp en doorontwikkeling van de keteninformatievoorziening	-
-	De keteninformatievoorziening is veilig	-

Privacy-by-design is het uitgangspunt bij het ontwerp en doorontwikkeling van de keteninformatievoorziening

Volgens de Algemene Verordening Gegevensbescherming (AVG) heeft iedereen die onder de reikwijdte van de AVG valt recht op bescherming van de persoonlijke levenssfeer (privacy). Iedereen mag verwachten dat we in de keten niet meer gegevens delen dan strikt noodzakelijk voor het uitoefenen van een bepaalde taak (beginsel van doelbinding). Dit geldt ook voor de vreemdelingen die naar Nederland komen en daarmee onder Nederlands recht vallen. Dit betekent voor de keteninformatievoorziening o.a. dat:

• Er niet meer persoonsgegevens dan nodig worden verzameld en gedeeld en deze gegevens daar waar nodig worden geanonimiseerd of gepseudonimiseerd;
• Enkel diegenen die vanuit rol of functie binnen de migratieketen daartoe gerechtigd zijn, toegang krijgen tot gegevens en dat dit enkel geldt voor het doel waarvoor ze ingewonnen zijn;
• Al bij het ontwerp en inrichting van de systemen en koppelingen rekening wordt gehouden met deze eisen, zodat dit niet achteraf met moeite moet worden afgedwongen.

De keteninformatievoorziening is veilig

De laatste jaren is het aantal (gepubliceerde) beveiligingsincidenten (en meer specifiek: datalekken) binnen en buiten de overheid fors toegenomen, dus dit is een belangrijk aandachtspunt voor de keteninformatievoorziening. Vreemdelingen mogen van de keten verwachten dat de gegevensbeveiliging adequaat is, zodat gegevens niet in verkeerde handen mogen vallen of gemanipuleerd kunnen worden. Om dit te bereiken wordt uitgegaan van een zero-trust architectuur. Hierin hebben actoren of systemen alleen toegang tot gegevens als zij daarvoor zijn geautoriseerd. Dit betekent voor de keteninformatievoorziening o.a. dat:

• Beveiliging en autorisatiebeheer vanaf het begin in het ontwerp moet worden meegenomen;
• Systemen en gegevensuitwisselingen worden volgens een lagenprincipe (‘defense in depth’) beveiligd;
• de risico’s worden gemonitord, risico mitigerende maatregelen worden genomen en dat er verantwoord wordt naar de betrokkenen.