Schriftelijke vragen : De last onder dwangsom werkgeversportaal UWV

Vraag 1

Kunt u bevestigen dat de Unieke Zorgverlener Identificatie (UZI-pas) zal worden gecontinueerd
als apart sectoraal eID-middel voor beroepen in de gezondheidszorg?

Vraag 2

Bent u voornemens om gebruik te maken van de mogelijkheid in de aanstaande Wet digitale
overheid om voor een welbepaalde doelgroep (BIG-geregistreerden) af te wijken van
de acceptatieplicht van de generieke elektronische identificatiemiddelen?

Vraag 3

Klopt het bericht, dat wanneer er sprake is van een apart sectoraal eID-stelsel voor
toegang tot gezondheidsgegevens, het Uitvoeringsinstituut Werknemersverzekeringen
(UWV) voor het vaststellen van het betrouwbaarheidsniveau, niet alleen naar de generieke
Handreiking «Betrouwbaarheidsniveaus voor digitale dienstverlening, een handreiking
voor overheidsorganisaties, versie 4» van Forum Standaardisatie moet kijken, maar
ook naar de sectorale norm van VWS als vastgelegd in het «Onderzoek betrouwbaarheidsniveau
patiëntauthenticatie bij elektronische gegevensuitwisseling in de zorg» (mei 2016,
bijlage bij Kamerstuk 26 643, nr. 419)?

Vraag 4

Kunt u bevestigen dat in dit onderzoek wordt gesteld dat, wanneer zonder twijfel vastgesteld
kan worden dat er sprake is van gezondheidsgegevens, inzage in het burgerservicenummer
(BSN) en toepasselijkheid van het medisch beroepsgeheim geldt: Betrouwbaarheidsniveau
Hoog eIDAS?

Vraag 5

Heeft het UWV nieuw onderzoek gedaan en is daarbij vastgesteld dat er sprake is van
het beschikbaar stellen, verwerken, muteren en of inzage van gezondheidsgegevens via
het werkgeversportaal?

Vraag 6

Kunt u bevestigen dat het beschikbaar stellen, verwerken, muteren en of inzage van
gezondheidsgegevens niet per se leidt tot een verschil in het vereiste betrouwbaarheidsniveau?
Heeft het UWV hiermee rekening gehouden bij het vaststellen van het betrouwbaarheidsniveau?

Vraag 7

Klopt het dat het UWV na de risicoanalyse in 2015 geen nieuwe risicoanalyse heeft
uitgevoerd en dat het werkgeversportaal nog altijd eHerkenning niveau 3 (Betrouwbaarheidsniveau
Substantieel eIDAS) voorschrijft om de door de Autoriteit Persoonsgegevens opgelegde
dwangsom te voorkomen?

Vraag 8

Kunt u bevestigen dat de Autoriteit Persoonsgegevens (AP) in alinea 57 van het rapport
«Last onder dwangsom UWV werkgeversportaal»1 suggereert dat het UWV mogelijk bezig is met een implementatie van een middel met
een te laag betrouwbaarheidsniveau («Het had dan ook op de weg van het UWV gelegen
om de reeds in 2015 uitgevoerde risicoanalyse opnieuw uit te voeren aan de hand van
de meest recente versie van de Handreiking. Door dit niet te doen ontstaat het risico
dat aan het einde van de implementatietermijn van, in dit geval, eHerkenning, mogelijk
geen sprake (meer) is van een passend beveiligingsniveau»)? Zo ja, deelt u de mening
dat het voorsorteren van het UWV op de Wet digitale overheid door eHerkenningsmiddelen
voor te schrijven op een verkeerd niveau voor werkgevers kan leiden tot een investering
in de verkeerde middelen?

Vraag 9

Is in het geval dat het UWV het verkeerde betrouwbaarheidsniveau voorschrijft aan
werkgevers de dienst aansprakelijk voor kosten van een herstelactie door werkgevers
die eHerkenningsmiddelen moeten omruilen en/of upgraden? Zo ja, kunt u dan een inschatting
maken van de hoogte van de kosten? Zo nee, waarom niet?

Vraag 10

Hoeveel eHerkenningsmiddelen moeten er in totaal worden aangeschaft door werkgevers
om de huidige geautoriseerde medewerkers toegang te geven tot het werkgeversportaal?

Vraag 11

Deelt u de mening dat deze casus aantoont dat er sprake is van een veel te lage inschatting
van de financiële lasten voor bedrijven, zoals gesteld op bladzijde 49–50 van de memorie
van toelichting van de Wet digitale overheid (Kamerstuk 34 972, nr. 3)? Zo ja, hoe groot moeten dan de financiële lasten voor de bedrijven worden ingeschat?
Zo nee, waarom niet?

Vraag 12

Is het waar dat medewerkers verzuimbeheersing van het UWV zelf voor de verwerking
van de persoons- en gezondheidsgegevens, UZI-passen moeten gebruiken om te voldoen
aan de bevindingen uit het onderzoek van de Autoriteit Persoonsgegevens inzake de
verwerking persoonsgegevens door UWV?2

Vraag 13

Kunt u bevestigen dat in de Wet-BIG wordt geregeld, dat ook bij het UWV voor de verwerking
van gezondheidsgegevens de UZI-pas gebruikt moet worden nu dit sectorale eID-middel
door de Minister van Volksgezondheid, Welzijn en Sport gecontinueerd zal worden?

Vraag 14

Zouden arbo en bedrijfsartsen en/of verzuimmedewerkers van werkgevers daardoor niet
eHerkenning maar de UZI-pas dienen te gebruiken voor online toegang tot het werkgeversportaal?

Vraag 15

Kunt u deze vragen beantwoorden voor het algemeen overleg over SUWI op 20 februari
2019?