Juridische en organisatorische context¶
Gemeenschappelijke Bronontsluiting (GBO) staat niet op zichzelf. Verschillende nationale en Europese ontwikkelingen vragen om betrouwbare, veilige en interoperabele toegang tot overheidsbronnen.
Deze ontwikkelingen hebben ieder een eigen doel, doelgroep en juridisch kader. Toch stellen ze voor een belangrijk deel dezelfde eisen aan bronontsluiting.
GBO richt zich op deze gemeenschappelijke opgave. GBO voorkomt dat bronhouders voor iedere toepassing een aparte oplossing moeten maken en beheren.
GBO vormt geen zelfstandig nieuw stelsel. GBO gebruikt bestaande afspraken, standaarden, voorzieningen en governance waar dat mogelijk is.
Relevante ontwikkelingen en stelsels¶
Drie ontwikkelingen vormen de directe aanleiding voor GBO: de EUDI-Wallet, het Once-Only Technical System (OOTS) en Delen via Toestemming met Private dienstverleners (DvTP).
Ook andere ontwikkelingen bepalen de context van GBO. Deze richten zich vooral op gegevensuitwisseling, digitale infrastructuur en interoperabiliteit.
| Ontwikkeling of stelsel | Betekenis voor GBO |
|---|---|
| Regie op Gegevens | Dit beleidsdossier gaat onder andere over het delen van gegevens. Burgers kunnen gegevens uit overheidsbronnen beschikbaar stellen aan zichzelf of dienstverleners. DvTP komt voort uit deze ontwikkeling. |
| EUDI-Wallet | De EUDI-Wallet ondersteunt digitale identificatie en het gebruik van digitale attestaties. GBO ondersteunt de toegang tot gegevens uit authentieke overheidsbronnen. |
| Single Digital Gateway / OOTS | OOTS ondersteunt de uitwisseling van bewijsstukken tussen bevoegde overheidsorganisaties in Europa. De Basisinfrastructuur OOTS vormt het Nederlandse aansluitpunt op OOTS. GBO ondersteunt de ontsluiting van Nederlandse overheidsbronnen. |
| Delen via Toestemming met Private dienstverleners (DvTP) | DvTP ondersteunt gegevensdeling met private dienstverleners op initiatief van de burger. GBO levert hiervoor de gemeenschappelijke bronontsluiting. |
| Federatief Datastelsel (FDS) | Het FDS ontwikkelt afspraken en standaarden voor gegevensuitwisseling binnen de overheid. GBO gebruikt deze afspraken, standaarden en stelselfuncties waar dat mogelijk is. |
| Generieke Digitale Infrastructuur (GDI) | De GDI bevat generieke afspraken, standaarden en voorzieningen voor digitale overheidsdienstverlening. GBO gebruikt bestaande GDI-voorzieningen waar dat mogelijk is. |
| Nederlandse Digitaliseringsstrategie (NDS) | De NDS stuurt op samenhang, hergebruik en interoperabiliteit binnen de digitale overheid. GBO sluit aan op deze uitgangspunten. |
| Interoperabel Europa | Europese regels stellen eisen aan de interoperabiliteit van digitale publieke diensten. GBO moet daarom ook aansluiten op Europese afspraken, standaarden en infrastructuren. |
Deze ontwikkelingen komen bij de bronhouder samen. Een bronhouder kan dezelfde gegevens voor meerdere toepassingen beschikbaar moeten stellen.
GBO voorkomt dat een bronhouder hiervoor steeds een andere technische en organisatorische oplossing nodig heeft.
Betrokken partijen¶
Verschillende partijen zijn betrokken bij GBO. Sommige partijen leveren of gebruiken gegevens. Andere partijen stellen kaders, beheren voorzieningen of houden toezicht.
| Partij of rol | Betrokkenheid bij GBO |
|---|---|
| Burger | De burger is rechthebbende op persoonsgegevens en initieert of stuurt de gegevensdeling. Dit kan via DvTP, OOTS of de EUDI-Wallet. |
| Bronhouder | De bronhouder beheert de overheidsbron. De bronhouder blijft verantwoordelijk voor de gegevens, de leverbaarheid en het eigen juridische regime. |
| Private dienstverlener | Een private dienstverlener gebruikt binnen DvTP gegevens uit overheidsbronnen. Dit gebeurt met een geldige grondslag en voor een afgebakend doel. |
| Sectorvertegenwoordiger | Een sectorvertegenwoordiger bundelt en stemt gegevensbehoeften af namens een sector of groep private dienstverleners. |
| Europese bevoegde autoriteit | Een bevoegde autoriteit kan binnen SDG/OOTS bewijsgegevens aanvragen of leveren voor een aangewezen Europese procedure. |
| Wallet-actoren | Het EUDI-stelsel kent verschillende rollen rond attestaties. Voorbeelden zijn issuers, walletgebruikers, relying parties en Qualified Trust Service Providers (QTSP's). |
| Ministerie van BZK | BZK heeft een kaderstellende en coördinerende rol voor GBO. Het ministerie verzorgt ook de interdepartementale afstemming. |
| Vakdepartementen | Vakdepartementen zijn verantwoordelijk voor de beleids- en wettelijke kaders binnen hun domein. Zij zijn betrokken bij sectorale verstrekkingsregels en geheimhoudingsplichten. |
| Project GBO | Het project werkt de gemeenschappelijke afspraken, standaarden en benodigde voorzieningen uit. Het project brengt benodigde wijzigingen in bij de verantwoordelijke stelsels. |
| FDS-stelselbeheer | Het FDS-stelselbeheer beheert afspraken en stelselfuncties van het FDS. GBO gebruikt deze onderdelen waar dat mogelijk is. |
| Logius | Logius beheert verschillende onderdelen van de GDI die voor GBO relevant zijn. Voorbeelden zijn voorzieningen voor identificatie en pseudonimisering. |
| RINIS | RINIS beheert de Basisinfrastructuur OOTS. Deze infrastructuur vormt de schakel tussen het Europese OOTS en Nederlandse overheidsbronnen. |
| Rijksinspectie Digitale Infrastructuur (RDI) | De RDI heeft taken rond toezicht en uitvoering binnen de digitale vertrouwensinfrastructuur. Deze infrastructuur is onder andere relevant voor de EUDI-Wallet. |
| Autoriteit Persoonsgegevens en sectorale toezichthouders | Deze toezichthouders toetsen de naleving van privacywetgeving en andere regels voor de verwerking en verstrekking van gegevens. |
De verantwoordelijkheid verschilt per gegevensstroom. GBO verandert de bestaande verantwoordelijkheid voor gegevens niet.
De bronhouder blijft verantwoordelijk voor de bron. De afnemer blijft verantwoordelijk voor het rechtmatige gebruik van de ontvangen gegevens.
GBO levert gemeenschappelijke afspraken en mechanismen. Daarmee kunnen partijen hun verantwoordelijkheden op een consistente manier invullen.
Juridische context¶
Gegevensdeling via GBO valt onder bestaande Nederlandse en Europese wet- en regelgeving. De geldende grondslag hangt af van de toepassing en de gegevens.
De belangrijkste wettelijke kaders zijn:
| Wet- of regelgeving | Relevantie voor GBO |
|---|---|
| Algemene Verordening Gegevensbescherming (AVG) | De AVG stelt eisen aan de verwerking van persoonsgegevens. Belangrijke onderwerpen zijn rechtmatigheid, doelbinding, dataminimalisatie, transparantie, beveiliging en de rechten van betrokkenen. |
| eIDAS-verordening en het Europese raamwerk voor digitale identiteit | Dit is het juridische kader voor elektronische identificatie, de EUDI-Wallet en elektronische attestaties van attributen. |
| Single Digital Gateway-verordening (EU) 2018/1724 | Deze verordening vormt de juridische basis voor de Single Digital Gateway en het Once-Only Technical System. |
| Uitvoeringsverordening (EU) 2022/1463 | Deze verordening werkt de technische en organisatorische regels voor OOTS verder uit. |
| Wet algemene bepalingen burgerservicenummer (Wabb) | De Wabb stelt beperkingen aan het gebruik van het BSN. Dit is vooral relevant bij gegevensdeling met private partijen. |
| Wet digitale overheid (Wdo) | De Wdo vormt een belangrijk nationaal kader voor de digitale overheid en generieke digitale voorzieningen. |
| Sectorale wet- en regelgeving | Bronhouders moeten voldoen aan de regels van hun eigen domein. Deze regels kunnen voorwaarden of geheimhoudingsplichten bevatten voor het verstrekken van gegevens. |
| Verordening Interoperabel Europa | Deze verordening stelt eisen aan de interoperabiliteit van digitale publieke diensten. GBO moet daarom aansluiten op Europese kaders. |
| Informatiebeveiligings- en cyberbeveiligingskaders | Onder andere de Baseline Informatiebeveiliging Overheid en relevante cyberbeveiligingswetgeving stellen eisen aan de beveiliging van gegevensuitwisseling. |
Juridische uitgangspunten¶
Voor iedere gegevensverstrekking moet een geldige juridische grondslag bestaan. Ook moet vooraf duidelijk zijn voor welk doel de afnemer de gegevens gebruikt.
GBO ondersteunt doelbinding en dataminimalisatie. De afnemer krijgt alleen de gegevens die nodig zijn voor het afgesproken doel.
Burgersturing en transparantie zijn belangrijk bij gegevensdeling die de burger zelf initieert. De burger moet weten welke gegevens worden gedeeld en met wie.
Ook het doel en de voorwaarden van de gegevensdeling moeten duidelijk zijn.
Identificerende gegevens vragen extra bescherming. Partijen mogen het BSN alleen verwerken als daarvoor een wettelijke grondslag bestaat.
Dit is vooral belangrijk bij gegevensdeling met private partijen. GBO gebruikt daarom waar nodig pseudonimisering om onnodige verspreiding van het BSN te voorkomen.
Gegevensuitwisseling moet achteraf controleerbaar zijn. GBO moet daarom logging, toezicht, controle en verantwoording ondersteunen.
Aanvullende juridische grondslag voor DvTP¶
Voor DvTP speelt een specifiek juridisch aandachtspunt. Verschillende sectorale wetten bevatten geheimhoudingsplichten voor bestuursorganen.
Toestemming of een verzoek van de burger doorbreekt zo'n geheimhoudingsplicht niet altijd. Voor sommige gegevensstromen is daarom een aanvullende wettelijke grondslag nodig.
Het wetgevingstraject voor DvTP werkt deze grondslag verder uit. Daarbij zijn BZK, vakdepartementen, bronhouders en toezichthouders betrokken.
Dit traject is een randvoorwaarde voor gegevensstromen waarvoor de huidige wetgeving nog geen passende grondslag biedt.
Organisatorische context¶
GBO krijgt geen aparte positie naast bestaande stelsels. GBO sluit zoveel mogelijk aan op bestaande verantwoordelijkheden, afspraken en voorzieningen.
Afspraken voor gegevensuitwisseling binnen de overheid sluiten waar mogelijk aan op het FDS.
GBO gebruikt bestaande voorzieningen uit de GDI in plaats van nieuwe voorzieningen met dezelfde functie te maken.
De aansluiting op het Europese OOTS loopt via de Nederlandse Basisinfrastructuur OOTS.
Voor de EUDI-Wallet sluit GBO aan op de nationale en Europese inrichting van het EUDI-stelsel.
Soms dekken bestaande afspraken, standaarden of voorzieningen de behoefte van GBO niet. Het project beschrijft dan welke aanvulling nodig is.
Het project brengt deze aanvulling in bij het verantwoordelijke stelsel. Zo voorkomt GBO een aparte governance- en beheerstructuur.
Governance en beheer¶
Tijdens de projectfase coördineert het project GBO de uitwerking. Voor de structurele situatie moet duidelijk zijn welke organisatie ieder onderdeel beheert.
De governance moet in ieder geval de volgende onderwerpen afdekken:
- besluiten over nieuwe of gewijzigde gegevensbehoeften;
- prioritering van wijzigingen en beschikbare capaciteit;
- beheer van gemeenschappelijke afspraken en standaarden;
- beheer van gemeenschappelijke voorzieningen;
- toetreding van deelnemers;
- wijzigings- en versiebeheer;
- servicebeheer, incidentafhandeling en escalatie;
- toezicht, naleving en controle.
Deze taken hoeven niet bij één centrale GBO-organisatie te liggen. Per taak moet duidelijk zijn welk bestaand stelsel of welke organisatie verantwoordelijk is.
Bestuurlijke besluitvorming¶
De bestuurlijke inbedding van GBO moet aansluiten op de bestaande governance van de digitale overheid.
Het eerdere beschrijvend document noemt de pGDI als plaats voor besluiten over prioriteiten, capaciteit, gegevensbehoeften en ontwerpkeuzes.
De precieze rol van de pGDI binnen GBO is nog niet uitgewerkt.