DPIA-model: Goooy als digitale werkplek

Een ingevulde basis voor de gegevensbeschermingseffectbeoordeling (DPIA) van een gemeente die Goooy in gebruik neemt voor e-mail, agenda, bestanden, chat en videovergaderen. De indeling volgt het Rapportagemodel DPIA Rijksdienst v3.0 (deel A tot en met D, vragen 1 tot en met 17), zodat de functionaris gegevensbescherming (FG) het herkent.

Wat Goooy zelf kan beantwoorden is ingevuld. Wat alleen de gemeente weet staat tussen «». De tekst beschrijft de software zoals die is; controleer de instellingen van uw eigen installatie in Beheer → Privacy (AVG) en Beheer → Compliance. Het verwerkingsregister daar (CSV) levert de gegevens voor vraag 2, 3, 6 en 10.

Technische achtergrond: privacy.md, security.md, audit.md, data-sovereignty.md, compliance.md.

Deel A. Beschrijving kenmerken gegevensverwerkingen

1. Voorstel

De gemeente «naam» vervangt «huidige omgeving, bijvoorbeeld Microsoft 365 / Exchange on-premises» door Goooy, een open-source werkplek (EUPL-1.2) met e-mail, agenda, contactpersonen, taken, notities, bestanden, samen bewerken van documenten, chat, videovergaderen, formulieren, een gedeelde inbox voor het KCC en elektronisch ondertekenen. Goooy draait op «eigen infrastructuur / bij hostingpartij X / bij de GR Y» in «datacenter, land».

Aanleiding: «soevereiniteit, kosten, exit uit een Amerikaanse leverancier, …».

2. Persoonsgegevens

Bijzondere en strafrechtelijke persoonsgegevens, BSN. De software bepaalt niet wat er in berichten en documenten staat. In het sociaal domein, bij burgerzaken en bij handhaving zullen e-mail en bestanden gezondheidsgegevens, strafrechtelijke gegevens en het BSN bevatten. «Beschrijf per afdeling wat er verwacht wordt.»

3. Gegevensverwerkingen

Opslaan, versturen, ontvangen, doorzoeken, delen, samen bewerken, archiveren en verwijderen van de gegevens hierboven. Per module staat de verwerking in het verwerkingsregister (Beheer → Privacy (AVG) → Verwerkingsregister). Daarnaast:

• Beveiligingslogboek van aanmeldingen, beheerhandelingen, delen, delegaties en exports (audit.md), optioneel doorgestuurd naar een SIEM.
• Spamfilter en malwarescan op binnenkomende e-mail (lokaal, geen externe dienst).
• Zoekindex over berichten, bestanden en contactpersonen (in de eigen database).
• Optioneel: AI-functies (samenvatten, opstellen, transcriptie) als de gemeente een taalmodel koppelt. «Wordt AI ingeschakeld? Zo ja: welke aanbieder, waar?»

4. Technieken en methoden van de gegevensverwerkingen

• Webapplicatie in de browser, desktop-apps en mobiele apps; standaardprotocollen voor bestaande clients (IMAP, SMTP, CalDAV, CardDAV, ActiveSync, MAPI/HTTP, EWS, JMAP).
• Opslag in PostgreSQL (gegevens) en S3-compatibele objectopslag (bijlagen, bestanden). Versleuteling van de opslag is een taak van de infrastructuur «beschrijf: versleutelde volumes, versleutelde objectopslag».
• Transport altijd via TLS 1.2 of 1.3; e-mail tussen servers met STARTTLS, DANE en MTA-STS (dns.md). Beveiligd mailen naar externen (NTA 7516): vertrouwde domeinen alleen over gecontroleerde TLS, anderen via een beveiligde omgeving met eenmalige code (secure-mail.md). S/MIME voor eind-tot-eindversleuteling van e-mail en eind-tot-eindversleuteling in chat zijn beschikbaar.
• Geen profilering en geen geautomatiseerde besluitvorming met rechtsgevolgen. Spamfilter en “Belangrijk/Overig” sorteren berichten, beslissen niets over personen. AI-functies doen alleen iets op verzoek van de gebruiker.
• Geen telemetrie naar de leverancier.

5. Verwerkingsdoeleinden

Communicatie en samenwerking van de gemeente bij de uitvoering van haar publieke taken en de bedrijfsvoering: correspondentie met burgers, bedrijven en ketenpartners, plannen, documenten maken en delen, overleg. Beveiliging en verantwoording (het beveiligingslogboek). «Vul aan met de taken van de gemeente.»

6. Betrokken partijen

7. Belangen bij de gegevensverwerkingen

Gemeente: een werkplek onder eigen regie, met gegevens binnen de EU en zonder afhankelijkheid van één leverancier. Betrokkenen: vertrouwelijke behandeling van hun gegevens, snelle en bereikbare communicatie met de gemeente.

8. Verwerkingslocaties

«Datacenter(s), land.» Met DATA_RESIDENCY=eu-strict weigert Goooy elke uitgaande verbinding buiten de lijst van EU-partijen die de beheerder heeft goedgekeurd, en start het niet op als een koppeling daarbuiten wijst (data-sovereignty.md). «Staat deze stand aan?» Back-ups: «locatie, andere aanbieder?».

9. Juridisch en beleidsmatig kader

AVG en UAVG, Archiefwet 1995 (en de Archiefwet 2021 zodra die in werking treedt) met de Selectielijst gemeenten en intergemeentelijke organen 2020, Wet open overheid, Cyberbeveiligingswet en BIO2, Wet digitale overheid (toegankelijkheid), «gemeentelijk privacy- en informatiebeveiligingsbeleid».

10. Bewaartermijnen

Verwijderde bijlagen en bestanden verdwijnen binnen ongeveer een uur uit de objectopslag. Uit back-ups verdwijnen ze pas als die verlopen.

Deel B. Beoordeling rechtmatigheid gegevensverwerkingen

11. Rechtsgrond

Art. 6 lid 1 sub e AVG (taak van algemeen belang, openbaar gezag) voor de communicatie in het kader van de publieke taken; sub c (wettelijke verplichting) voor het bewaren volgens de Archiefwet en het beveiligingslogboek (BIO2, Cbw); sub b (overeenkomst) voor de gegevens van medewerkers. «Laat de juridische afdeling dit per taak toetsen.»

12. Bijzondere persoonsgegevens

Zie vraag 2. Uitzonderingsgronden: «art. 9 lid 2 sub b/g/h AVG, art. 22 e.v. UAVG, per domein». BSN: art. 46 UAVG, alleen voor zover de wet het gebruik voorschrijft. Maatregelen in de software: DLP-regels die gevoelige gegevens in uitgaande e-mail, chat en deellinks herkennen en waarschuwen, maskeren of blokkeren (de BSN-herkenner komt met GEM-11); S/MIME; toegangsbeperking per map en bestand.

13. Doelbinding

De gegevens worden alleen gebruikt voor de doelen in vraag 5. Het beveiligingslogboek dient alleen beveiliging en verantwoording, «niet voor het beoordelen van medewerkers». AI-functies sturen alleen de tekst die de gebruiker aanbiedt naar het taalmodel.

14. Noodzaak en evenredigheid

Proportionaliteit en subsidiariteit: een werkplek is noodzakelijk voor het werk; een installatie in eigen beheer binnen de EU is een minder ingrijpend alternatief dan een dienst van een partij buiten de EU. Dataminimalisatie: geen telemetrie, optionele modules kunnen uit, gasttoegang beperkt tot chat en vergaderen, bewaartermijnen per categorie.

15. Rechten van betrokkenen

Beheer → Privacy (AVG) → Verzoeken van betrokkenen (privacy.md):

• Inzage (art. 15) en overdraagbaarheid (art. 20): zoeken op e-mailadres over de hele organisatie en een export als zip (berichten als .eml, overige gegevens als JSON). Beoordeel de export op gegevens van anderen voor u hem verstrekt.
• Rectificatie (art. 16): in de betreffende module (contactpersoon, account).
• Verwijdering (art. 17): per onderdeel, met typebevestiging; gegevens onder een bewaarplicht (legal hold) blijven staan, het beveiligingslogboek houdt zijn regels.
• Beperking en bezwaar (art. 18, 21): vastleggen in het verzoek; uitvoeren met een legal hold of een aanpassing in de module.
• Termijn: de software rekent een maand vanaf ontvangst en markeert verlopen verzoeken; verlengen met twee maanden wordt vastgelegd.

Elke stap staat in het beveiligingslogboek.

Deel C. Beschrijving en beoordeling risico’s voor de betrokkenen

16. Risico’s voor betrokkenen

Een eerste inschatting. Kans en impact zijn «laag / gemiddeld / hoog» zoals in het rapportagemodel; pas ze aan na de maatregelen van uw eigen installatie.

Deel D. Maatregelen en restrisico’s

17. Maatregelen

Organisatorisch: «instructie medewerkers, autorisatiematrix, periodieke controle van het beveiligingslogboek, incidentprocedure (Cbw), verwerkersovereenkomst».

Restrisico’s en conclusie: «na de maatregelen; acceptabel ja/nee; advies FG».

Ondertekening