De Wet digitale overheid (Wdo) vraagt van overheidsorganisaties dat zij per digitale dienst bepalen welk niveau van inloggen nodig is. Maar hoe maak je die afweging in de praktijk? De SVB gebruikte hiervoor de Regelhulp betrouwbaarheidsniveaus bij de AOW-aanvraag. Toen collega’s met verschillende expertises samen naar de risico’s keken, veranderde hun eerste oordeel. Dat leidde tot een beter onderbouwde keuze én waardevolle lessen voor veilige digitale dienstverlening. Een interview met Giannina Scarteddu en Kempe Kruisbrink.
Kempe Kruisbrink werkt ruim 30 jaar bij de Sociale Verzekeringsbank (SVB). In die tijd heeft hij de digitale dienstverlening flink zien veranderen. Tegenwoordig is hij product owner van ‘Mijn SVB’, het portaal waar klanten hun zaken met de SVB online regelen. Ook zijn collega Giannina Scarteddu, adviseur online dienstverlening, maakte veel van de ontwikkelingen van dichtbij mee: “Mijn SVB is in de loop der jaren steeds verder ontwikkeld. We hebben al veel stappen gezet in digitale dienstverlening. Met de komst van de Wdo kwam er een nieuwe opdracht bij: het classificeren van online diensten.”
Toegang tot alle diensten
Klanten van SVB krijgen via één inlog toegang tot ‘Mijn SVB’ waarachter zich 26 diensten bevinden. Voor vrijwel alle diensten moet op een hoog niveau worden ingelogd, vandaar deze keuze. Volgens de wet mag dit ook, omdat op een hoger betrouwbaarheidsniveau inloggen dan noodzakelijk altijd mag. De diensten die achter de inlog te vinden zijn, moeten wel allemaal afzonderlijk worden beoordeeld en geclassificeerd. De toegang tot ‘Mijn SVB’ is ook beschikbaar voor gemachtigden of wettelijk vertegenwoordigers die namens iemand anders handelen. Om de dienstverlening voor iedereen toegankelijk te houden, blijven diensten ook beschikbaar via de telefoon, de balie en schriftelijke communicatie.
Classificatie van de AOW-aanvraag
Binnen het classificatietraject van de AOW-aanvraag speelden Kruisbrink en Scarteddu een centrale rol. “De AOW-aanvraag is één van onze zwaarste diensten, omdat klanten hier veel privacygevoelige gegevens voor moeten aanleveren”, legt Scarteddu uit. Samen met een Integrated Risk Management (IRM) specialist, een security- en privacy officer en een inhoudelijk strateeg pakten zij de classificatie van de AOW-aanvraag . Om tot een zorgvuldig oordeel te komen, maakte het team gebruik van de Regelhulp betrouwbaarheidsniveaus. “De Regelhulp is echt handig”, vertelt Scarteddu. “Veel denkwerk is al voor je gedaan. Als je alleen de wet erbij pakt, moet je zelf alles interpreteren. De Regelhulp helpt om stap voor stap de juiste vragen te stellen.”
Kritische blik
Vooral het gezamenlijke proces maakte voor de SVB het verschil. Kruisbrink: “We zijn met elkaar in een ruimte gaan zitten en hebben de Regelhulp samen doorlopen. De eerste keer kwamen we uit op betrouwbaarheidsniveau laag voor de AOW-aanvraag. Dat vonden we verrassend. Toen de privacy officer aansloot, werden we tot nadenken aangezet. We zijn meer op gaan letten bij vragen als ‘wat zijn de gevolgen als gegevens in kwaadwillende handen terechtkomen?’. Bijvoorbeeld bankgegevens, gegevens van jezelf, je partner en tijdvakken dat je in het buitenland zat. Daar dachten we eerst niet echt over na, maar door de privacy officer kwamen we wel tot het inzicht dat die gegevens erg gevoelig zijn. De tweede beoordeling leidde tot een duidelijk andere conclusie: betrouwbaarheidsniveau substantieel.”
Wanneer is iets stigmatiserend?
Tijdens het classificeren kwam ook een interessante vraag voorbij: is het stigmatiserend als deze gegevens op straat komen te liggen? “Dat kun je op verschillende manieren bekijken”, zegt Scarteddu. “Iedereen krijgt AOW, dus dat is op zichzelf niet stigmatiserend. Het is een inkomen waar je gewoon recht op hebt. Toch moet je je wel afvragen of bijvoorbeeld gegevens van de aanvrager over het wonen en werken in het buitenland, of het ontvangen van gekorte AOW op één of andere manier stigmatiserend kunnen zijn. Onze belangrijkste les is om de tijd te nemen om samen na te denken. Door met verschillende expertises om tafel te zitten, ga je anders kijken naar risico’s”, zegt Scarteddu. “Je stelt elkaar vragen en ontdekt dingen waar je zelf niet direct aan denkt. Dat helpt uiteindelijk om de juiste keuzes te maken voor veilige digitale dienstverlening.”
Hulp bij het classificeren
Heb je na het lezen van dit artikel vragen over het classificeren van digitale diensten in het algemeen of specifiek binnen jouw organisatie, en wil je hier meer over weten? Er worden regelmatig online bijeenkomsten over dit onderwerp georganiseerd. Wil je zo’n bijeenkomst bijwonen of binnen je eigen organisatie organiseren? Mail dan naar digitaletoegang@minbzk.nl. Je krijgt daarna zo snel mogelijk bericht.
