IN CONTROL STATEMENT PARTICULIEREN
COMPLIANTIE TOETS
Prog ramma ICS
10

BEVINDINGEN

EN

EVALUATIE

P

juli 2023

^ Ti

U
208120

lOOOl

Leeswijzer
Deze presentatie bestaat uit 4 onderdelen die zelfstandig leesbaar zijn

leesbaarheid te bevorderen is gebruik gemaakt van iconen

Om de

je kan zo snel en eenvoudig

binnen de onderdelen van de presentatie switchen in plaats van de gebruikelijk

toetsen

Inhoudsopgave op de dia fyoorbeeldl
Door hier op te klikken ga je direct naar de betreffende dia

Rechtsboven op de dia rvoorbeeldl
Door hier op te klikken ga je terug naar de dia van het betreffende onderdeel

Rechtsboven op de dia Tvoorbeeldj

QBE

Als een onderdeel uit meerdere dia s bestaat kan je voor
m

of terugbladeren

b v deze iconen

Programmanagement ICS P

208120

lOOOl

jji^Inhoudsopgave

1

fl

1

Inleiding

2

MDT P Stappen uitgevoerde toets AVG

3

Managementsamenvatting bevindingen
Bijiage samenvatting bevindingen

4

208120

BIO en AW

wio

ytku \
wtiy
Wtot

Samen verbeteren

lOOOl

A

i
A

^^1 Inleiding
T

In de driehoek IV
van

D van 13 nnei 2022 is afgestemd dat de focus in 2022 bij de aanpak en uitvoeren

de toets op de compliantie voor de Algemene Verordening Gegevensbescherming

Baseline Informatiebeveiliging

AVG

de

de Archiefwet AW ligt bij de meest risicovolle
De storing en de rapportage op de voortgang van de toets op de compliantie
BIO

en

bedrijfsprocessen
loopt via de via de stuurgroep ICS

In Control Statement

Na uitvoeren van de pilot MDT

22

op basis van de aanbevelingen stuurgroep ICS 9 sep
heeft de directie P haar MDT P in 4® kwartaal 2022 ingericht met een vaste kern 3 fte inhuur

22
en

2 fte vast

van

de ketens

en een

IH

S

juli

flexibele kern
E en BBK

en

Capaciteit voor de flexibele kern is in het portfolio 2023 2024

opgenomen

Het MDT P is vanaf medio november 2022 operationeel

Doel van het MDT P is het uitvoeren van de

toets op de compliantie voor de hoog risicovolle

bedrijfsprocessen via de ketenlijn Als aanpak is
helft van 2023 in ieder geval
gekozen om dit al lerend te ontwikkelen en te zorgen dat in de
een hoog risicovol bedrijfsproces van de ketens IH
BBK en S E te hebben getoetst en uiterlijk mei
23 deze aanpak te evalueren

Eind mei 2023 heeft het MDT P 3 bedrijfsprocessen afgerond op basis van afstemmingen met de
flexibele kern kaderstellers referentie architect domein architect informatie architect en korte

afstemmingen met vele college s in het werkveld In dit document zijn de bevindingen van het
MDT P de vervolgacties op basis van deze bevindingen en de aanpak voor het vervolg binnen de
ketens IH

208120

S

E en BBK opgenomen

lOOOl

i
A1 X

2 MDT P Stappen toets AVG^ BIO en AW
f

u

Inrichten

■

V IC M1 RM\W

^
^anbevelin

p—
Controkcljiil

ToepassenN
controielijst

MDT P
^

i

Ic

A

A

Future

Bevindingen
2021

Milo
■

°

P

2022

^UlM

WIWV wiiy
whece

T2

documentatie’

Interviews

vragen
Update juni

208120

\

m

2023

2024

Basis

2023

Manvullend^
documentatie

lOOOl

MANAGEMENTSAMENVATTING
BEVINDINGEN MDT P

208120

lOOOl

i

A

3 Managementsamenvatting
In de periode december 2022

mei 2023 heeft het MDT P de volgende 3

bedrijfsprocessen in

de voile breedte en diepgang aan de hand van de controlelijst getoetst

bedrijfsproces [IH] Opieggen ambtshalve aanslag
Keten S E
bedrijfsproces [EB] Afhandelen aangifte erfbelasting
Keten BBK
bedrijfsproces [BZ] Behandelen Bezwaar IH
De aanpak voor de toets is bij de 3 ketens uniform gebleven Bij het uitvoeren van de toets is
naast collegiale afstemming belastingdienst breed ook regelmatig afstemmingen geweest
■

Keten IH

■

■

met de kaderstellers

referentie

domein

en

informatie architect over de antwoorden en

geconstateerde omissies
Bij het uitvoeren van de toets en de gehouden interviews is een rode draad te zien in de
bevindingen en geconstateerde omissies AVG BIO en AW binnen de 3 ketens Aanleiding voor
het MDT P om verder te onderzoeken of
a

de omissies voor het gehele domein gelden

b

bij de verbetertrajecten voor nieuwe functionaliteiten of bij nieuwe systemen de
geconstateerde omissies zijn aangepakt
De aanvullende onderzoeken tonen aan dat de geconstateerde bevindingen bij het toetsen van
het bedrijfsproces niet specifiek voor een bedrijfsproces opgaan maar dat deze bevindingen
gelden binnen het gehele domein van de keten

208120

lOOOl

i

A

3 Managementsamenvatting

vervolg

In de bijiage zijn de bevindingen gedetailleerder opgenomen

m

hoog over zijn de geconstateerde

onnissie als volgt
BiJiage
bevindingen

In de huidige documentatie van procesontwerpen

datamodellen

administratieve organisatie

wettelijke uitvoeringsrichtlijnen is geen onderlinge relatie bij het kunnen inzien
verwerken corrigeren verwijderen en beperken van persoons en bijzondere
persoonsgegevens Daarnaast beoordeelt de controlelijst niet integraal de compliantie op AVG
en

my w
WE

BIO en archiefwet
Het dossier van de door het MDT gebruikte documenten

analyses bevindingen en geconstateerde
omissies zijn opgeslagen in een CP omgeving die overdragen kunnen worden aan de keten en
lijnorganisatie
De geconstateerde omissies binnen de opzet en bestaan van de bedrijfsprocessen zijn te groot om
met behulp van pleisters tijdelijk op te lossen De structurele opiossing in de huidige opzet van
de verticale data architectuur VDA geeft nog niet voldoende inzicht in het verwerken corrigeren
verwijderen en inzien van gegevens op procesniveau
Het organiseren van de status en de ontwikkeling van niet fiscale wet

en

regelgeving in een

multidisciplinair team bij de keten is aan te bevelen
De bevindingen en conclusie van het MDT P is door de directie afgestemd met onder meer de
directie IV Keten Gegevens IH S8tE BBK en cd IV D Uit deze afstemmingen zijn geen andere
inzichten en bevindingen na voren gekomen geschetste beeld is herkenbaar
208120

lOOOl

MANAGEMENTSAMENVATTING
BIJLAGE

208120

SAMENVATTING BEVINDINGEN MDT P

lOOOl

Wfa ^

m

Samenvatting bevindingen
Samenvatting gebruik controlelijst

Samenvatting bevindingen AVG

0

208120

Samenvatting bevindingen overig

lOOOl

3 Samenvatting bevindingen controlelijst
•

Bedoeld als tijdelijke maatregel voor AVG

BIO en archiefwet

terwiji structurele opiossingen ontwikkeld zouden worden
•

Bedoeld om inzicht te krijgen in compliantie bedrijfsprocessen

•

Controlelijst bekijkt aspecten van een bedrijfsproces en vraagt
om aanvullingen

■BTEO

IVJa fUV

❖

Voorbeelden zijn dan onderdelen uit de AVG en de archiefwet
AVG

tn^

»«

■

«rk

•arhr^

Kinderen onder de 16

nationaliteit

bijzondere persoonsgegevens

m

Archiefwet
•

plaats informatieobjecten en actualiteit vernietigingsverklaring

Er is geen sprake van een volledige compliantie als de

controlelijst wordt doorgevoerd
•

Wat er niet is vastgelegd

compliant te zijn

maak daar een GAP lijst van als activiteit om in 2 jaar aantoonbaar

maar

Er ontbreekt teveel om aanvullingen te doen

er

ontbreekt een ontvangende

infra structuur

verbeteringen in aan te brengen en er ontbreekt een control framework
Het is te omvangrijk en te onbeheerst om elk bedrijfsproces af te lopen en aan te vullen
Alles moet worden aangevuld
De afhankelijkheden tussen de verantwoordelijkheden binnen en buiten de keten voor de
thema s in de controlelijst zijn complex
om

208120

lOOOl

Samenvatting bevindingen AVG
Persoonsdata wordt niet geclassificeerd als zodanig in documenten als domein
en

solution architectuur

Er wordt geen relatie gelegd tussen werkprocessen en

persoons gegevens en

daarmee ontbreekt ook de basis voor compliantie
Het verlenen van fysieke toegang in applicaties tot verwerking van
persoonsgegevens is niet gedocumenteerd
De primaire AVG rechten zijn niet gedocumenteerd in de domein

architectuur Dit betreft onder andere het recht op inzage

en

solution

correctie

verwijdering beperking etc
Er wordt geen onderscheid gemaakt tussen gestructureerde en

ongestructureerde persoonsdata
Er is geen gedocumenteerd proces of documentatie aangetroffen die de
datakwaliteit van persoonsdata beheerd
Er is geen relatie gelegd tussen de strikt te gebruiken persoonsdata en de

beschikbare persoonsdata

Er is geen

invulling gegeven aan het need to know

principe

208120

lOOOl

Samenvatting bevindingen overig
Er is geen specifiek en concreet beleid op privacy

by design

De controlelijst beoordeelt niet integraal de compliantie op AVG

archiefwet

BIO en

Het is een deelwaarneming

De toepassing van de archiefwet is geen onderdeel van domeinarchitectuur ook
niet van andere ketenprocessen
Het wijzigingsproces werkt op onderdelen niet volledig

Een voorbeeld zijn

domein architecturen die niet voorzien van een afwijkingsverslag worden

afgetekend

In dit afwijkingsverslag staan dan die punten uit de toepasselijke

referentiearchitecturen die niet zijn verwerkt in de afgetekende domein
architectuur

Op nieuwe 2018 2022 applicaties en ontwikkelingen zien we geen wijziging
op bovenstaande Er lopen wel ontwikkelingen maar samenhang en zicht
ontbreekt

208120

lOOOl

4

Samen verbeteren

u

Voor verbeteren van het zicht op het verwerken van

Doel en grondslag verwerken gegevens BP
Bij hoog privacvrisica uitvoerer DPIA

Privacy by design

persoonsgegevens zal de directie Particulieren op
ketenniveau een afzonderlijk MDT 2 0 inrichten
Het MDT 2 0 zal langs de lijnen van bestaande

toekomstgerichte standaarden

VDA

HDA

AO en modelleerconventies procesontwerp

kader

de

Need to know

Gemodelleerde datamodel
Het datamodel dat is gemodelleerd op een

keten of bedrijfsproces vanuit de VDA
welke kan warden toegekend aan een

werkproces

Het werkptoces of processtap
De processtap binnen een werkproces
in een schematische weergave

Per werkprooes en

data element

combi natie

pracesmodel AO

7

■

m

□e metadata van de relatie tuasen de

gemodelleerde data bp wp

o a

Welk type persoons gegevens warden
verwerkt
Grondslag overerfbaar van bedrijfsproces

gegevens en bedrijfsprocessen in een schema
modefleren met als doel aantoonbaar compliant te

Verwerkingen register
Type verwerking CRUD
Onderdeel van een informatieobject

zijn in opzet en bestaan

Archiefwaardig

Het MDT 2 0 traject duurt zo lang als dat nodig is om deze inzichten voor een bedrijfsproces af
te ronden maar kent na 3 maanden wel een evaluatie moment

Het MDT 2 0 zal al lerend

producten ontwikkelen en zal zorgen dat inzicht wordt verkregen op benodigde tijd kennis en
expertise middelen en op het duurzaam in stand houden van de werkwijze
De samenstelling van het MDT 2 0 zal nader en in gezamenlijkheid binnen en buiten de keten

bepaald worden
Persoonsgegevens

archiefwet

maar

bestaan zeker uit leden met operationele kennis van VDA

modelleerconventies
Persoonsgegevens

AO

Organisatie procesontwerper IV
bij deze pilot van het IDS cluster

Persoonsgegevens

de AVG

P gv

de

Het streven is per 1 September 2023 te starten met het MDT 2 0 als pilot bij de keten Schenk
en

208120

Erfbelasting voor het bedrijfsproces [EB] Afhandelen Aangifte
lOOOl

BIJLAGE
AANPAK

208120

MDT P

lOOOl

m
b Uifri

Organisatie

en

m

overlegstructuur ICS P
V

OTBO
OrMlto«lc

Persoonsgegevens
Persoonsgegevens

\

V

H

\

V

\
\

\

cd C F

IVBiDj

C f IV»0
Muurgrow ICS

\
\

\

\
\

Unt
dtrec uii m

A

T»l|ranKr«lCS P

i
f

P gv

Partial eren

Stuurgroep

Umt
dir«ct«ur«n

\

f

\

ICS P

\

Wr Partiaihcf cn

I

l raj« ct

marugtnwtc
ICS P

Ddgelijks b«stuuf
ICS

I Weekstart I Weekstart
AOT^P

Operationeel
medio nov 22

VMU

k«m

Fle cil»k

MD

AO

[C

ttan

Mm

ttam

♦

ICS coer4nator«n
ftrOOMKBCAPP

Pro «aS«id«rt AO

Pro^«ctt id«rf HDT

GOMKBCAPP

GOMKSCAPP

PMO

op«t
AO

FIcvM
tcM

208120

lOOOl

Jf

m

b U^

m

Toepassen controlelijst
Sessie MDT P met cd IV
•

•

•

D

kadersteller

Doel van de controlelijst
Ontstaan van de controlelijst

Uitleg gebruik van de controlelijst aan de hand van
□ 20211206 Rapport modeluitwerking vl 0_mst
□ 20211201 Toelichting controlelijst AVG BIO Archiefwet vl l
□ 20211115 Concept controlelijst AVG BIO Archiefwet vO 4
□ p gv lies 20220909 Bijiage 5 Bedrijfsprocessen toetsen met controlelijst AVG_BIO_AW

Afstemmen vraag
•

antwoord

Kadersteller AVG
Persoonsgegevens

•

Kadersteller Informatiehuishouding

Instructie architectuur
•

•

208120

Referentie architecte
Domein architecten

lOOOl

LJr
t

m

Ert Basis documentatie
r\c\o9

1^

CJOO

Solution architectuur

fe

I

fa

Solution architectuur Generiek Document en
Archiefbeheer

Solution Architectuur Generiek Bezwaarproces
Solution Architectuur UDA Automatisch Bepalen

Aangifteplicht
Solution Architectuur Verbeteren Beheer en Voortbrenging

rekenregels
Solution architectuur Conserverende aanslagen

208120

lOOOl

j

r

m

Interviews vragen
Inhoudelijke en of toelichtende vragen toelichtingen opgehaald bij
Adviseur Bedrijfsvoering

Vaktechniek

Persoonsgegevens

Business Analisten

r

Persoonsgegevens

Collega s MDT MKB

GO en CAP

H

Datacodrdinatoren P
Domein architecten

1

Informatiemanagement IV
Kadersteller AVG
Kadersteller Informatiehuishouding

m

^

id

Persoonsgegevens

Lead architecten
Solution architecten

A

Product owner
Persoonsgegevens

wm^

^

4A

Reference architecten
Release Train Engineer

Persoonsgegevens

208120

lOOOl

Jf
yy

Aanvullende documenten
Voor het kunnen beantwoorden van de vragen bleek basis documentatie nog niet

voldoende

onder meer de volgende aanvullende documentatie zijn meegenomen

bij de

toets

Jaarplan keten S E
Jaarplan keten IH
Jaarplan keten Gegevens
Jaarplan directie Particulieren
Programmarapportage AVG 19 juli 2018
AWR AWB wet op de inkomstenbelasting

successiewet

HBBBn

Nieuwsbrieven Toezicht

I

Besluiten DTBD

op het terrein van AVG BIO en AW
Waarborgenkader voor selectie instrumenten

i

L

J

i

Verwerkingenregister Belastingdienst 2019
Documenten CP etc

Afstemmen vraag o antwoord
•

•

Andere ketens

directies

Projectmanagement

Afstemmen vraag o antwoord
Procesdeskundigen
Specialisten
•

•

208120

lOOOl

4

1

n

Li tii i

Bevindingen controlelijst

m

Bevindingen controielijst

Controlelijst zelf niet de invulling ervan
Compliantie
Het MDT

Toepassen
Resultaten

Bevindingen AVG
Bevindingen Archiefwet
Baseline

I

Informatiebeveiliging
verheid

Bevindingen BIO

i

208120

lOOOl

D© COntrolclijst zdf met de mvulling ervan
•

Bevindingen m deta
V

1T

f

Er is geen sprake van een volledige compliantie als de controlelijst wordt

doorgevoerd
•

De vragen en thema s van de controlelijst kennen een niet benoemd detailniveau

•

De instructie over de toepassing en gebruik van de controlelijst is kort

structuur in

de nazorg ontbreekt
•

De controlelijst is of levert geen GEB DPIA

De controlelijst kan wel de noodzaak

daartoe aantonen

208120

lOOOl

Bevindingen controlelijst Compliantie
De controlelijst wordt soms ook wel compliantie toets genoemd

maar dat

XI»
1

—

Bevindingen m deta

M IT

f

kan de

controlelijst niet zijn Als we de controlelijst zien als een deelverzameling van de drie
AVG BIO en archiefwet dan blijkt dat niet alle onderdelen hiervan zijn opgenomen
blijkt dat voor elk bedrijfsproces binnen Particulieren de BIO in de benoemde
aspecten nagenoeg beter of scherper wordt gedekt door de AVG en dat tal van
hoofdstukken uit de BIO niet worden genoemd in de controlelijst De BIO zou niet als
uitgangspunt voor deze controlelijst hoeven en moeten worden gebruikt

Tevens

w
tj

a
a

an

208120

lOOOl

■•p

i

•

S o

•

Bevindingen in deta
w

Het MDT P is een werkwijze die in hoge mate onafhankefijkheid organiseert omdat
er geen

formele lijnen liggen met andere organisatieonderdelen

Kennis van de belastingdienst en het voortbrengingsproces meet worden mee

georganiseerd in het MDT
Over het algemeen is er vriendelijkheid en openheid over het onderwerp

Er wordt

ruimte gemaakt in agenda s zonder TWR codes vooraf en achteraf Dit hangt

mogelijk af van de aanwezige IV kennis bij het MDT P
Er is initieel uitleg gegeven door de kaderstellers van IV

D

maar daarna

De controlelijst laat zich niet organiseren als een auditplan
organisatie van het controlewerk lastig te organiseren is

waardoor de

wel bereidwillig

208120

maar

tonen ze

zijn feitelijk weinig betrokken

lOOOl

1

A

K

1
ise^irf
j

Bevindingen controlelijst toepassing
•

Het is aan te bevelen om validatie bij de start in het MDT te organiseren

•

De betrokken medewerkers

van

met name het voortbrengingsproces

O
Bevindingen in deta

moeten ook

voorgelicht worden over het MDT de controlelijst en het doel van de controlelijst
•

Een Excel format is niet handig voor het bijhouden van zaken als volledigheid en

voortgang Investeer op zijn minst in een web based tool hiervoor Deze zijn
eenvoudig on premise te maken
•

De controlelijst heeft een focus op de AVG

9 hoofdstukken

en

de Archief wet

1

hoofdstuk
•

De documentatie in de voortbrenging is vaak niet uniform opgezet
een

•

wat zorgt voor

langere doorlooptijd

De domeinarchitectuur verwerkt niet alle elementen van de dan vigerende

referentiearchitectuur
•

De domeinarchitectuur wordt niet aantoonbaar getoetst op compliantie met de

toepasselijke referentiearchitecturen
•

De rechtmatigheid

hier komen ze en dit gaan ze doen

van

het MDT ontbreekt

buiten de directie P waardoor vragen soms niet of niet volledig beantwoord blijven

208120

lOOOl

i

A

^ j Bevindingen controlelijst resultaten
Door de vraagstelling in de controlelijst

1
Bevindingen in deta
ise^irt
j

of in het antwoord op een vraag of als bij

aanwezigheid van de documentatie of de organisatie al dan niet is aangetroffen
binnen het bepaalde bedrijfsproces
is het bij een negatief antwoord nog steeds
onbekend of het een gap is Door het gebrek aan normen is een negatieve
beantwoording van de controlelijst vraag altijd een gap maar de mate waarin dit
een gap is kan niet worden vastgesteld
•

De referentie architectuur wordt beleefd als toekomstmuziek

als een ooit te

bereiken status
om

•

de AVG

Vermeldingswaardig is wel dat die toekomstmuziek als het gaat
BIO en de archiefwet er maar karig in de DA s vanaf komen

In de onderzochte documentatie wordt weinig

ingegaan op niet fiscale wet en
regelgeving de eisen die daarin gesteld worden en de vrijheden die genomen
kunnen worden

208120

lOOOl

1

A

Al^6

Bevindingen AVG
Er wordt niet of nauwelijks naar de wet

1

1

Li

of instructies daarover

verwezen

Bevindingen in detail

als het al gaat

persoonsgegevens in documentatie
Persoonsdata wordt niet geclassificeerd als zodanig in documenten als domein

over

en

solution architectuur
Er wordt geen relatie gelegd tussen werkprocessen en

persoons gegevens
De logging van elke verwerking van persoonsgegevens is niet aangetroffen in de

docunnentatie

Ook wordt het principe van de GLO niet gedocumenteerd

gevonden
Het verlenen van toegang tot verwerking van persoonsgegevens is niet gedocumenteerd
De primaire rechten zijn niet gedocumenteerd in de domein en solution architectuur en
is geen onderwerp van referentiearchitectuur Dit betreft onder andere het recht op
inzage correctie verwijdering beperking etc
Er wordt geen onderscheid gemaakt tussen gestructureerde en ongestructureerde
persoonsdata
Er is geen gedocumenteerd proces of documentatie aangetroffen die de datakwaliteit
van persoonsdata beheerd
Er is geen relatie gelegd tussen de strikt te gebruiken persoonsdata en de beschikbare
persoonsdata Er wordt dus geen invulling gegeven aan het need to know principe
In een enkel geval wordt een solution architectuur voorzien van een WMK toets en een
DPIA maar de GEB procedure wordt zeker niet geheel gevoigd
208120

lOOOl

1

A

0

Bevindingen Archiefwet
•

K

1
Bevindingen in deta
ise^irt
j

De status van de toepassing van de archiefwet is onbekend in de onderzochte

processen en documenten
•

Er wordt verwezen naar processen of opiossingen die bij IV CAP of bij CFD bekend

zouden moeten zijn

208120

maar

niet zijn beschreven in een donneinarchitectuur

•

Op geen van de 11 punten bij het hoofdstuk archiefwet in de controlelijst is een
antwoord of een invulling te geven op basis van de huidige domein en proces
documentatie en gesprekken

•

Het programma IHH biedt geen inzicht op het onderzochte procesniveau
ambtshalve aanslag in de controlelijst

•

De aannanne dat de controlelijst antwoord kan geven op status van archiefwet op
bedrijfsprocesniveau is niet juist

bijv

lOOOl

Baseline

i

A

Informatlebevelliging
verheld

\

•

Bevindingen BIO

Bevindingen in detail

MOT P

Het wijzigingsproces werkt op onderdelen niet volledig

Een voorbeeld zijn domein

architecturen die niet voorzien van een afwijkingsverslag worden afgetekend

In dit

afwijkingsverslag staan dan die punten uit de toepasselijke referentiearchitecturen
die niet zijn verwerkt in de afgetekende domein architectuur
•

Als het gaat om zicht op de verwerking en bescherming van persoonsdata komen de

beschouwde bedrijfsprocessen er karig van af Persoonsgegevens worden nauwelijks
geclassificeerd als zodanig
•

Er wordt weinig documentatie gevonden van de aan de applicatiecomponent

toegewezen applicatiefunctie s Dit maakt de samenstelling van de autorisaties niet
transparent en zeker niet als er persoonsgegevens worden verwerkt
•

De BIO aspecten

zoals eerder ook al gemeld

worden beter bediend vanuit de AVG

De BIO met behulp van de controlelijst speelt daarmee geen rol in de beoordeling
van

de onderzochte bedrijfsprocessen van de ketens vallend onder de

verantwoordelijkheid Particulieren

208120

lOOOl

Jf

j

yy

MDT P
¥W^if1l Aanbevelingen
•

Neem de geconstateerde omissies over en behandel deze als een

bevinding uit een
audit Initieer de oorzaakanalyse definieer de correctie en corrigerende maatregelen
cd IV D Keten en IV

•

•

Initieer en creeer kaders voor privacy by design

archiefwet
cd IV

D

specifiek de AVG en de
De BIO is per definitie een CFW en maak gebruik van de applicatie ITSM

cd Vaktechniek cd C

Informeer

over de

•

voor

resultaten van de toetsing door het MDT P van de
Persoonsgegevens

Bepaal in hoeverre het programma IHH in staat is om de verplichtingen van de
archiefwet na te komen op afzienbare termijn sso cfd p bdo ids
Organiseer de status en de ontwikkeling van niet fiscale wet en regelgeving in met
name

de domeinarchitectuur

voortbrengingsproces cd IV
•

CFW

F

onderzochte bedrijfsprocessen
•

d cd vaktechniek

Beeindigen toetsen met de controlelijst en starten met het verbeteren van de
omissies met behulp van een control frame work

•

{cd iv

maar

D

ook in de solution architectuur en het

cd C

F

Consolideer dit in Privacy

by design beleid

Het team van AVG BIO en AW specialisten moet aangevuld worden met kennis van IT
en

in het bijzonder het organisatorische onderdeel van het Belastingdienst

voortbrengingsproces

P keten en p bdo ics ids

tussen haakies de coordinerende vemntwoordeliiken vanuit het ^ezichtsveld MDT P

208120

lOOOl

Jf
m

Ad vies voor het traject verbeteren

regelgeving op om zicht te krijgen op het
verwerken van gegevens voor de als meest hoog risicovolle geprioriteerde
bedrijfsprocessen op het niveau van processtap en activiteit en begin bij de keten
S8iE voor het bedrijfsproces Afhandelen aangifte erfbeiasting
Zet een

pilot voor niet fiscale wet

en

In de piiot worden gegevens en

bedrijfsprocessen in een schema gemodelleerd met
ais doel aantoonbaar compliant te zijn voor opzet en bestaan
Werk daarbij langs de iijnen van bestaande toekomstgerichte standaarden
kader AO en modelleerconventies procesontwerp
werkwijze om het inzicht op te bouwen
HDA

en

VDA

ontwikkei gaandeweg een

De pilot duurt zo langs als dat nodig is om deze inzichten voor een

bedrijfsproces af

te ronden maar kent na 3 maanden wei een evaluatiemoment

Bepaal in deze pilot de duur benodigde mensen en middelen complexiteit en het
duurzaam in stand houden van de werkwijze
Deelnemers aan de pilot zullen nader bepaald worden
met operationele kennis van VDA

AO

Organisatie

procesontwerper IV

Persoonsgegevens

208120

Persoonsgegevens

maar

bestaan zeker uit leden
modelleerconventies

de AVG en de archiefwet

Betrek ook

bij deze piiot

lOOOl