Vragen van de leden Van der Molen, PieterHeerma en Van den Berg (allen CDA) aan de Ministers van Sociale Zaken en Werkgelegenheid en van Volksgezondheid, Welzijn en Sport en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties over de last onder dwangsom werkgeversportaal UWV (ingezonden 5 februari 2019).

Vraag 1

Kunt u bevestigen dat de Unieke Zorgverlener Identificatie (UZI-pas) zal worden gecontinueerd als apart sectoraal eID-middel voor beroepen in de gezondheidszorg?

Vraag 2

Bent u voornemens om gebruik te maken van de mogelijkheid in de aanstaande Wet digitale overheid om voor een welbepaalde doelgroep (BIG-geregistreerden) af te wijken van de acceptatieplicht van de generieke elektronische identificatiemiddelen?

Vraag 3

Klopt het bericht, dat wanneer er sprake is van een apart sectoraal eID-stelsel voor toegang tot gezondheidsgegevens, het Uitvoeringsinstituut Werknemersverzekeringen (UWV) voor het vaststellen van het betrouwbaarheidsniveau, niet alleen naar de generieke Handreiking «Betrouwbaarheidsniveaus voor digitale dienstverlening, een handreiking voor overheidsorganisaties, versie 4» van Forum Standaardisatie moet kijken, maar ook naar de sectorale norm van VWS als vastgelegd in het «Onderzoek betrouwbaarheidsniveau patiëntauthenticatie bij elektronische gegevensuitwisseling in de zorg» (mei 2016, bijlage bij Kamerstuk 26 643, nr. 419)?

Vraag 4

Kunt u bevestigen dat in dit onderzoek wordt gesteld dat, wanneer zonder twijfel vastgesteld kan worden dat er sprake is van gezondheidsgegevens, inzage in het burgerservicenummer (BSN) en toepasselijkheid van het medisch beroepsgeheim geldt: Betrouwbaarheidsniveau Hoog eIDAS?

Vraag 5

Heeft het UWV nieuw onderzoek gedaan en is daarbij vastgesteld dat er sprake is van het beschikbaar stellen, verwerken, muteren en of inzage van gezondheidsgegevens via het werkgeversportaal?

Vraag 6

Kunt u bevestigen dat het beschikbaar stellen, verwerken, muteren en of inzage van gezondheidsgegevens niet per se leidt tot een verschil in het vereiste betrouwbaarheidsniveau? Heeft het UWV hiermee rekening gehouden bij het vaststellen van het betrouwbaarheidsniveau?

Vraag 7

Klopt het dat het UWV na de risicoanalyse in 2015 geen nieuwe risicoanalyse heeft uitgevoerd en dat het werkgeversportaal nog altijd eHerkenning niveau 3 (Betrouwbaarheidsniveau Substantieel eIDAS) voorschrijft om de door de Autoriteit Persoonsgegevens opgelegde dwangsom te voorkomen?

Vraag 8

Kunt u bevestigen dat de Autoriteit Persoonsgegevens (AP) in alinea 57 van het rapport «Last onder dwangsom UWV werkgeversportaal»1 suggereert dat het UWV mogelijk bezig is met een implementatie van een middel met een te laag betrouwbaarheidsniveau («Het had dan ook op de weg van het UWV gelegen om de reeds in 2015 uitgevoerde risicoanalyse opnieuw uit te voeren aan de hand van de meest recente versie van de Handreiking. Door dit niet te doen ontstaat het risico dat aan het einde van de implementatietermijn van, in dit geval, eHerkenning, mogelijk geen sprake (meer) is van een passend beveiligingsniveau»)? Zo ja, deelt u de mening dat het voorsorteren van het UWV op de Wet digitale overheid door eHerkenningsmiddelen voor te schrijven op een verkeerd niveau voor werkgevers kan leiden tot een investering in de verkeerde middelen?

Vraag 9

Is in het geval dat het UWV het verkeerde betrouwbaarheidsniveau voorschrijft aan werkgevers de dienst aansprakelijk voor kosten van een herstelactie door werkgevers die eHerkenningsmiddelen moeten omruilen en/of upgraden? Zo ja, kunt u dan een inschatting maken van de hoogte van de kosten? Zo nee, waarom niet?

Vraag 10

Hoeveel eHerkenningsmiddelen moeten er in totaal worden aangeschaft door werkgevers om de huidige geautoriseerde medewerkers toegang te geven tot het werkgeversportaal?

Vraag 11

Deelt u de mening dat deze casus aantoont dat er sprake is van een veel te lage inschatting van de financiële lasten voor bedrijven, zoals gesteld op bladzijde 49–50 van de memorie van toelichting van de Wet digitale overheid (Kamerstuk 34 972, nr. 3)? Zo ja, hoe groot moeten dan de financiële lasten voor de bedrijven worden ingeschat? Zo nee, waarom niet?

Vraag 12

Is het waar dat medewerkers verzuimbeheersing van het UWV zelf voor de verwerking van de persoons- en gezondheidsgegevens, UZI-passen moeten gebruiken om te voldoen aan de bevindingen uit het onderzoek van de Autoriteit Persoonsgegevens inzake de verwerking persoonsgegevens door UWV?2

Vraag 13

Kunt u bevestigen dat in de Wet-BIG wordt geregeld, dat ook bij het UWV voor de verwerking van gezondheidsgegevens de UZI-pas gebruikt moet worden nu dit sectorale eID-middel door de Minister van Volksgezondheid, Welzijn en Sport gecontinueerd zal worden?

Vraag 14

Zouden arbo en bedrijfsartsen en/of verzuimmedewerkers van werkgevers daardoor niet eHerkenning maar de UZI-pas dienen te gebruiken voor online toegang tot het werkgeversportaal?

Vraag 15

Kunt u deze vragen beantwoorden voor het algemeen overleg over SUWI op 20 februari 2019?

Naar boven