Rapport. De omgang door NRS B.V. met de toegang tot het NRS Informatie Systeem (NIS)

Rapport

De omgang door NRS B.V. met de toegang tot het NRS Informatie Systeem (NIS)

Auteurs

mr. D.J. (Dirk) de Jong (De Jong & Partners ICT Juristen) mr. drs. L.C.P. (Lesley) Broos (Mitopics)

Opdrachtgever

Dr. Ir. J. Dommerholt, Directeur NRS B.V.

Datum

10 februari 2004

Versie

definitief

RAPPORT “De omgang door NRS B.V. met de toegang tot het NRS Informatie Systeem (NIS)”

INHOUDSOPGAVE

1. Voorwoord / inleiding

2

2. Samenvatting

5

3. Het NRS Informatiesysteem

6

3.1 Historie en achtergrond 3.2 Beknopte beschrijving 3.3 Vastgelegde gegevens 3.4 Functies en hun output 4. Autorisatie

12

4.1 Autorisatieprocedure 4.2 Beheerorganisatie 4.3 Loggings 5. Protocol Gegevensverstrekkingen NIS

15

5.1 Doel en inhoud protocol 5.2 Indeling in categorieën 5.3 Normen 5.4 Schematische weergave 5.5 Verantwoording verstrekkingen 6. Implementatie normenstelsel

19

7. Bijlage A

20

Pagina 1 van 21


1.

Voorwoord / inleiding

Inleiding en vraagstelling Dit rapport is het resultaat van het verzoek van de directie van NRS B.V. (hierna: NRS) om de wijze waarop NRS omgaat met de toegang tot gegevens in het NRS Informatie Systeem (hierna: NIS) inzichtelijk en transparant in beeld te brengen. Het uitgangspunt bij het opstellen van het rapport was, een beschrijving te geven van de situatie ten aanzien van de toegang door NRS tot het NIS. Het rapport is gebaseerd op de informatie die is aangereikt door de binnen de organisatie werkzame geïnterviewde personen. Met name van belang waren daarbij de gesprekken die zijn gevoerd met zowel de personen die binnen NRS operationeel verantwoordelijk zijn terzake het beheer van NIS, als met de eindverantwoordelijke personen daarvoor.

Informatiebronnen Wij baseren onze bevindingen, naast voornoemde gesprekken, op een korte demonstratie van het NIS en op de juistheid en volledigheid van de inhoud van de navolgende stukken: a)

overzicht autorisatie van functies, inclusief wachtwoorden en aard van toegang

b) functioneel ontwerp verschillende functies (handboek NRS producten) c)

rapport EDP-audit, TPM 2002 Ernst & Young

d) meer of minder uitgebreide systeembeschrijvingen van NIS (CR Delta in vogelvlucht) e)

reactie van de heer mr. M.O. Meulenbelt op NMa klacht FHRS d.d. 24 december 1998

f)

handboek NRS

g) NRS Overzicht Deelname producten veehouders per 1 november 2003 h) overzicht CR Delta Deelname producten veehouders per 1 november 2003 i)

hiërarchie organisaties(Organization chart)

j)

NRS Jaarstatistieken 2002

k) handleiding NIS l)

handboek NIS

m) ISO-procedure beveiliging informatiesysteem n) notitie gebruik van NIS-gegevens d.d. 24 april 2003 (ref. nummer DIR/03.0094/JJ/JV) o) kopie van een getekende overeenkomst tussen NRS en een VVB p) kopie van een getekende overeenkomst tussen NRS en een KI q) diverse e-mail correspondentie gedurende het onderzoeksproject.

Pagina 2 van 21


Context NRS is een werkmaatschappij van CR Delta VRV Holding B.V.. De CR Delta VRV groep kent enkele werkmaatschappijen die werkzaam zijn in de rundveeverbeteringsbranche in binnen- en buitenland. NRS is verantwoordelijk voor de ontwikkeling, productie en handel in informatieproducten op het gebied van rundveehouderij en rundveeverbetering. Het NRS verzamelt en bewerkt, onder meer, allerlei door de markt aangeleverde gegevens over fok- en melkvee tot informatieproducten. Het betreft producten als stamboekregistratie en -certificaten, KI gegevens, rundveegegevens (zoals bijvoorbeeld exterieur gegevens), melkproductiegegevens, etcetera. De verzamelde gegevens en de daarmee te genereren informatieproducten zijn van groot belang voor de veehouders en de spelers in de melkveehouderij en de veeverbeteringsbranche. Een andere werkmaatschappij binnen de CR Delta VRV groep is Holland Genetics B.V.. Holland Genetics is actief op de markt van ontwikkeling, productie en handel in genetische producten. Overige werkmaatschappijen zijn CR Delta Noord B.V., CR Delta Oost B.V., CR Delta Zuid-West B.V. en de CV VRV. Deze organisaties zijn met name actief in het verlenen van diensten binnen de rundveehouderij en rundveeverbetering. Deze organisaties zijn daarmee directe concurrenten van andere spelers op de markt van rundveeverbetering. Deze andere spelers leveren ook gegevens aan het NRS Informatie Systeem (NIS) dat door NRS wordt beheerd en waarin deze gegevens worden bewerkt tot informatieproducten. Enkele van hen zien in deze situatie een reden om achterdochtig te zijn. NRS ziet zich dan ook geconfronteerd met vragen met de strekking: “Worden onze

concurrenten die zich binnen de CR Delta VRV holding groep bevinden niet bevoordeeld door hun positie in dezelfde groep als waarin NRS zich bevindt, aangezien zij als werkmaatschappijen van de groep waartoe ook NRS behoort “dichter bij het vuur” zitten?”’. Deze achterdocht heeft geleid tot mededingingsrechtelijke procedures. NRS vraagt zich af hoe aan de markt duidelijk te maken dat bevoordeling van eigen werkmaatschappijen binnen de CR Delta VRV groep niet aan de orde is.

Enkele relevante feiten Een van de werkmaatschappijen van CR Delta VRV Holding B.V., te weten NRS, voert, als eigenaar van het NIS, ten aanzien van het NIS de bewerkings- en beheertaken uit voor klanten. Een aantal van deze klanten zijn werkmaatschappijen van de CR Delta VRV Holding B.V.. De gegevens die opgeslagen zijn in het NIS vormen de basis voor diverse informatieproducten waarvan de beschikbaarheid in evenredige mate van commercieel belang is voor alle partijen binnen de sector: evenzeer voor klanten van NRS binnen de CR Delta VRV groep (de werkmaatschappijen) als voor klanten van NRS buiten de CR Delta VRV groep. NRS verzamelt en vermarkt zelf ook informatieproducten direct en indirect aan veehouders en derden.

Pagina 3 van 21


Misbruik van haar informatiepositie door NRS, in haar hoedanigheid als bewerker en beheerder van het NIS en met name van de gegevens daarin, zou werkmaatschappijen van CR Delta VRV Holding B.V. -volgens de klacht bij de NMa- kunnen bevoordelen boven klanten die zich buiten de CR Delta VRV groep bevinden. NRS is zich zeer bewust van deze positie en wil zich optimaal inzetten om aan te tonen dat deze wijze van bevoordeling niet aan de orde is. In dit kader dient dit rapport dan ook te worden bezien. Binnen NRS is bij de voor NIS verantwoordelijke beheerders een sterk besef aanwezig van de normen waaraan zij dienen te voldoen bij het verstrekken van gegevens / informatieproducten uit het NIS, ongeacht of de ontvanger daarvan zich binnen of buiten de CR Delta VRV Groep bevindt. Om deze normen eenduidig kenbaar te maken binnen en buiten de NRS organisatie, is de geldende normenset gecodificeerd in een protocol, dat in hoofdstuk 5 van dit rapport is opgenomen. Alvorens in te gaan op het protocol wordt eerst nader ingegaan op feitelijkheden omtrent het NIS en de bijbehorende autorisatiesystematiek. Daarna wordt het protocol uiteengezet en tenslotte is in dit rapport opgenomen de wijze waarop NRS het normenstelsel uit het protocol (door middel van loggings etc.) binnen haar organisatie geborgd heeft omwille van de gewenste transparantie en controleerbaarheid.

Pagina 4 van 21


2.

Samenvatting

De onderzochte problematiek betreft de toegang tot het NRS Informatie Systeem (hierna: NIS) die NRS B.V. (hierna: NRS) heeft in haar hoedanigheid als werkmaatschappij van CR Delta VRV Holding B.V. en eigenaar / exploitant van het NIS en verantwoordelijke voor het beheer van het NIS. Tot de klantenkring van NRS behoren partijen waarvan een deel wel en een deel geen onderdeel uitmaakt van de CR Delta VRV groep, maar die wel elkaars concurrenten kunnen zijn op de verschillende deelmarkten. Al deze klanten van NRS leveren gegevens aan het NIS dat door NRS wordt beheerd en waarin deze gegevens worden bewerkt tot informatieproducten. Klanten van NRS hebben on-line toegang tot bepaalde gegevens en informatieproducten uit het NIS, kunnen daarnaast NRS verzoeken functies voor hen uit te voeren en kunnen bovendien selecties op maat aanvragen bij NRS om bijvoorbeeld een overzicht samen te stellen dat niet standaard on-line beschikbaar is. Enkele van de klanten die zich buiten de CR Delta VRV groep bevinden, confronteren NRS met vragen die impliceren dat de klanten van NRS die zich binnen de CR Delta VRV groep bevinden, bevoordeeld (kunnen) worden door NRS, welke bevoordeling concurrentie vervalsend zou (kunnen) werken. In dit kader is het van belang dat voldoende aandacht wordt besteed aan het bevorderen van transparantie en controleerbaarheid voor belanghebbenden buiten NRS, met betrekking tot de omgang door NRS met de toegang tot het NIS. Immers vragen als:

- “Misbruiken personen met bijzondere toegang tot NIS-gegevens deze niet om op verzoek van hun collega’s in de CR Delta VRV groep van (bijvoorbeeld Holland Genetics) informatie aan te leveren die externe KI’s dus niet uit het systeem kunnen halen?” - “Gebruiken NIS-beheerders, die tevens een deeltijd-taak vervullen bij een KI binnen de CR Delta VRV groep, wel de juiste login-gegevens ? Met andere woorden: misbruiken zij hun login-gegevens als beheerder niet in de uitvoering van hun werkzaamheden voor de andere werkmaatschappijen van CR Delta VRV?” kunnen niet uitsluitend gepareerd worden met een beroep op de technische beveiligingsmogelijkheden en maatregelen waarover het NIS beschikt. Het betreft hier immers aspecten van menselijke integriteit. Om dergelijke kritische vragen te kunnen pareren is van belang dat de omgang door NRS (en NIS-beheerders in het bijzonder) met de toegang tot het NIS zo goed mogelijk transparant en controleerbaar gemaakt wordt voor belanghebbenden buiten NRS. Hiertoe is vanuit een centraal perspectief en op overkoepelend niveau de binnen NRS geldende normenset in kaart gebracht en “gecodificeerd” in een protocol. Dit protocol vormt, in samenhang met de in dit rapport beschreven maatregelen zoals (al dan niet geautomatiseerde) vastlegging van gegevensverstrekkingen, een eenduidig referentiepunt dat voor belanghebbenden binnen én buiten de CR Delta VRV groep de omgang door NRS met de toegang tot het NIS transparant en controleerbaar maakt.

Pagina 5 van 21


3.

Het NRS Informatiesysteem

3.1

Historie en achtergrond

Het stamboek, de rechtsvoorganger van NRS, zoals destijds in 1874 opgericht, is altijd een privaatrechtelijke organisatie geweest (vereniging). Op 1 september 1998 zijn de activiteiten van het Koninklijke NRS ondergebracht in een productdivisie van CR Delta u.a. en vervolgens in een aparte vennootschap met de naam NRS B.V.. In 1990 is door NRS het huidige NIS gebouwd. De rundveehouders hebben voor de uitoefening van hun bedrijf behoefte aan gegevens van en over het rundvee. De verzameling van deze gegevens gebeurt door werkmaatschappijen van CR Delta VRV Holding B.V. en / of andere zelfstandige derde-organisaties. Deze werkmaatschappijen en derde-organisaties kunnen met NRS een overeenkomst afsluiten voor de verwerking van hun gegevens via het NIS (klantrelatie). Deze gegevens komen samen bij NRS en worden daar verwerkt tot fokkerij- en managementinformatie ten behoeve van de rundveehouderij. Hierdoor komt voor de individuele veehouder betrouwbare informatie op een efficiënte manier beschikbaar.

3.2

Beknopte beschrijving

Doelstelling NRS beoogt met het NIS in het belang van alle veehouders al dan niet gewaarmerkte gegevens, die eenmaal zijn vastgelegd, maximaal te benutten. Hiertoe beschikt het NIS over een veehouderdeel en een organisatiedeel. •

Veehouderdeel: Het verzamelen van gegevens over bedrijven en runderen en deze te vertalen naar bruikbare informatie voor veehouders in de vorm van informatieproducten.

•

Organisatiedeel: Het registreren van lidmaatschappen van organisaties en productdeelnames en het genereren van gerelateerde facturen alsmede bruikbare informatie voor organisaties.

Eigendom en verantwoordelijkheid NRS is eigenaar van het NIS. De afdeling Organisatieproducten is verantwoordelijk voor het Organisatiedeel. De afdeling Veehouderproducten is verantwoordelijk voor het Veehouderdeel.

Beheer en exploitatie NRS beheert het NIS maar verzamelt en vermarkt zelf ook informatieproducten direct en indirect aan veehouders en derden (exploitatie).

Pagina 6 van 21


Context Het NIS wordt centraal gehost in het pand van NRS te Arnhem. Voor gebruikers op afstand is het NIS benaderbaar via een on-line verbinding. Het NIS is gemaakt om bedrijfsmatige processen bij de veehouders en organisaties in de rundveeverbetering met informatieproducten te ondersteunen. Informatieproducten worden door NRS geproduceerd met gebruikmaking van gegevens die zijn opgeslagen in de database van het systeem. De informatie kan tegen betaling door middel van vele media worden verstrekt, zoals papier, diskette, tape of met behulp van datacommunicatie en directe computerverbindingen. De medewerkers van de verschillende organisaties in de rundveeverbetering die samenwerken met NRS (“Gegevensleveranciers”) beheren de gegevens van de veehouders (NB: de veehouders kunnen informatie ook rechtstreeks aan het NRS aanleveren) en zorgen er voor, dat de informatie in het NIS up-to-date blijft met inachtneming van landelijke en internationale richtlijnen op dit vlak 1.

gegevensleveranciers

beheerder (NRS)

klanten (VVB’s, KI’s) derden (zuivel, laboratoria, I&R etc.)

gegevensaanvragers klanten (VVB’s, KI’s)

NIS exploitant (NRS)

derden (accountants, dierenartsen etc.)

veehouders

Figuur 1: Plaats van NRS

1

In het bijzonder: Richtlijn 77/504/EEG (+ latere wijzigingen). Op basis van de Richtlijn is een Beschikking

vastgesteld: Beschikking van de Commissie van 27 juni 1994 (94/515): ”Vaststelling van methoden inzake prestatieonderzoek en van methoden voor de beoordeling van de genetische waarde van raszuivere runderen”. Pagina 7 van 21


In figuur 1 is aangegeven wat de plaats van NRS is in relatie tot andere organisaties. De figuur geeft de relatie weer van NRS met de leveranciers van gegevens en de afnemers van informatie. Er kan onderscheid gemaakt worden tussen: •

Gegevensleveranciers o

Veehouders (leveren gegevens aan het NIS, via VVB’s, KI’s of via NRS)

o

Klanten

o

•

Veeverbeteringsorganisaties (VVB’s)

KI-verenigingen (KI’s)

Derden

Zuivelfabrikanten

Laboratoria

Beheerder van het Informatie en Registratie Systeem (I&R)

etc.

Gegevensaanvragers o

Veehouders (ontvangen informatie uit het NIS, via VVB’s, KI’s of via NRS)

o

Klanten

o

•

Veeverbeteringsorganisaties (VVB’s)

KI-verenigingen (KI’s)

Derden

Accountants

Dierenartsen

etc.

NRS o

Beheerder van het NIS

o

Exploitant van NRS informatieproducten

Pagina 8 van 21


NB: Omwille van de eenduidigheid wordt in het verdere rapport met de term: -

´Klanten´ gedoeld op de directe afnemers van gegevens en informatieprodukten van NRS, te weten: VVB’s, KI’s en Veehouders;

-

‘Veehouder’ gedoeld op een natuurlijke persoon die een rundveehouderij voert en (desgewenst via een andere ‘gegevensleverancier’) gegevens over zijn bedrijf en runderen aanlevert aan het NIS en/of informatieproducten uit het NIS ontvangt;

-

´Derden´ gedoeld op andere gegevensaanvragers dan Klanten aan wie NRS gegevens en informatieproducten beschikbaar stelt op basis van specifieke afspraken of wettelijke verplichtingen;

-

´Gegevensaanvrager´ gedoeld op Klant(en) en/of Derde(n).

Pagina 9 van 21


3.3

Vastgelegde gegevens

Een beschrijving van alle gegevensgroepen, gegevenselementen en de waarden die elk gegevenselement kan aannemen is vastgelegd in het datamodel van het NIS. Het datamodel is afgestemd met het informatiemodel voor de rundveehouderij van de takorganisatie, voorheen stichting, TAURUS. Hieronder volgt een uiteenzetting van de belangrijke gegevensgroepen op alfabetische volgorde, met een indeling naar rund, bedrijf en overig. Alleen gegevensgroepen die ‘landbouwkundig’ interessant en in de huidige versie van het NIS actief gebruikt worden zijn vermeld. •

Gegevensgroepen runderen: Afkalving, Afwijkende eigenaar rund, Alternatieve registratie, Buitenlandse fokwaarden, Buitenlandse prestaties, Buitenlandse registratie, Dagproductie koe, Dekinfo koe, Embryo, Embryowinning, Et-koe, Erfelijke afwijking rund, Fokwaarde exterieur, Fokwaarde geboorteverloop, Fokwaarde melkbaarheid, Fokwaarde melkproductie, Geboortegegevens, Gebruikseigenschappen, Implantatie, Inseminatie, Keuring rund, KI stierinzet, Koe, Lactatie koe, Melkbaarheid, Melking koe, Nakomelingen stier, Non-return stier, Predikaat rund, Ras rund, Rund, Rund op bedrijf, Stier, Stier bij KI, Stier in KI-pakket.

•

Gegevensgroepen bedrijven: Bedrijfsondersteuning, Dagproductie bedrijf, Deelname product (of dienst), Eigen stieropgave stieradvies, Groep runderen bedrijf, Keuring bedrijf, Levering gegevens, Lidmaatschappen KI, Melking bedrijf, Melklevering, Naam stal, Rundveebedrijf, Tanknummer bedrijf, Volgnummer rund bedrijf.

•

Overige gegevensgroepen: Aanvraag producten, Autorisatie gebruik gegevens, Kopie product, Relatie, Systeemgegevens.

Pagina 10 van 21


3.4

Functies en hun output

NRS kan met NIS met name ondersteuning bieden aan Veehouders bij processen rond melkproductie, veevervanging en voortplanting. Door koppeling van gegevens die NRS aangeleverd krijgt van Klanten en van derden (bijvoorbeeld zuivelfabrikanten) op basis van afspraken met hen, neemt de waarde van de informatieproducten toe. NRS kan in dit verband de volgende informatieproducten leveren: •

Melkproductieregistratie-Uitslag, Koekaart, Jaaroverzicht, Celgetal-Uitslag, Koe-Agenda, Voortplanting, Celgetal, Kwotumplan, Voortplantingsplan, Fokkerij-Overzicht, Exterieur-Uitslag, Stieradvies, Veedata, Stamboom.

NRS kan aan Klanten en Derden tenslotte ook informatieproducten leveren zoals: •

Ledenlijsten, een overzicht van alle leden van een organisatie die deelnemen aan een bepaalde activiteit of een abonnement hebben op een bepaald informatieproduct;

•

Exportcertificaten;

•

Overzicht van nakomelingen van een bepaalde stier;

•

Overzicht van de koeien met de hoogste koe-indexen of jongvee met de hoogste verwachtingswaarden.

Informatieproducten worden onder meer op abonnementsbasis geleverd. De Veehouder bepaalt in de meeste gevallen zelf hoe vaak per jaar hij het betreffende product wenst te ontvangen. Sommige producten zijn gekoppeld aan de frequentie van de Melkproductieregistratie, andere worden naar keuze twee- of viermaal per jaar verzonden. Naast een abonnement bestaat de mogelijkheid om via een aanvraag eenmalig een informatieproduct te ontvangen. Hierbij ontvangt de Veehouder de informatie op het door hem gewenste moment. Een voorbeeld hiervan is een aanvraag voor een Voortplantingsplan voorafgaand aan een bedrijfsbezoek van de dierenarts in het kader van Bedrijfsbegeleiding. Voor een actueel overzicht van alle informatieproducten verwijzen wij naar de zg. tarievenbundel. In afwijking van het bovenstaande kunnen Klanten NRS verzoeken om een selectie op maat (zie verder hoofdstuk 4.2 alinea 2 ‘selecties op maat’).

Pagina 11 van 21


4

Autorisatie

4.1

autorisatieprocedure

1. Gebruik van functies van het NIS. Het gebruik van functies van NIS is gekoppeld aan een wachtwoord. De toegekende wachtwoorden zijn uniek. Bij elk wachtwoord hoort een groep functies waarvan gebruikt gemaakt kan worden. Per functie is bepaald welke gegevens een gebruiker, gebruikmakend van zijn/haar wachtwoord en gezien de activiteiten van de Gegevensaanvrager waarvoor hij/zij werkzaam is, mag raadplegen, invoeren, wijzigen en/of afvoeren. Bij iedere aanroep van een functie wordt door het systeem gecontroleerd of de gebruiker, gebruikmakend van zijn/haar wachtwoord en gezien de activiteiten van de Gegevensaanvrager waarvoor hij/zij werkzaam is, wel bevoegd is de opgegeven functie te starten en welke gegevens bij het uitvoeren van die functie al dan niet mogen worden geraadpleegd, ingevoerd, gewijzigd en/of afgevoerd. De autorisaties van de functies zijn volkomen transparant in de sector.

2. Gebruik van gegevens binnen een functie •

De Veehouder heeft zeggenschap over de gegevens die betrekking hebben op diens eigen veehouderijbedrijf.

•

Door in het NIS vast te leggen welke activiteiten een VVB of KI verricht voor welke Veehouders, is tevens vastgelegd welke gegevens van welke Veehouders door welke VVB of KI benaderd mogen worden. Elke VVB of KI mag immers gegevens over Veehouders en runderen waarvoor die VVB of KI activiteiten verricht benaderen.

•

Voor het gebruik van gegevens door Derden moet de betreffende Veehouder toestemming aan die Derde geven. De betreffende Derde dient deze toestemming aan NRS te kunnen overleggen bij het aanvragen van gegevens. Zo dient een dierenarts of accountant schriftelijke toestemming aan de Veehouder te vragen voor het gebruik van zijn gegevens die opgeslagen zijn in het NIS. Een aantal producten is echter van een zodanig algemeen belang voor de veeverbetering, dat de Veehouder door deelname aan een gegevensverzameling contractueel onderschrijft dat zijn gegevens daarvoor worden gebruikt. Een voorbeeld is het gebruik van de melkproductieregistratie bij de fokwaardeschatting voor melkproductiekenmerken.

Pagina 12 van 21


Samengevat Bij iedere aanroeping van een functie wordt gecontroleerd of de gebruiker bevoegd (geautoriseerd) is de opgevraagde gegevens op te vragen, in te voeren, te wijzigen en / of af te voeren. Bij het aanroepen van een functie wordt er altijd een aantal standaardcontroles uitgevoerd: •

Autorisatiecontrole waaronder controle op functie niveau en op gegevens niveau

•

Controle op aanwezigheid van de gevraagde gegevens

•

Bij UBN (Uniek Bedrijfsnummer) of relatie- en levensnummer wordt gecontroleerd of deze nummers wel aan de moduluscontrole voldoen.

3. Selecties op maat Gebruikers van Gegevensaanvragers die niet over online-toegang tot een of meer functies van NIS beschikken (bijvoorbeeld omdat een bepaalde functie vanuit het perspectief van systeembelasting niet on-line mag worden opgestart) kunnen NRS verzoeken om voor hen (een) bepaalde functie(s) uit te voeren. Gebruikers van Gegevensaanvragers die informatie uit het NIS willen opvragen die niet met een voor-gedefinieerde functie uit NIS te destilleren is, kunnen NRS verzoeken om voor hen die selectie op maat mogelijk te maken en voor hen uit te voeren. In beide gevallen hanteert NRS een protocol (zie hoofdstuk 5) om vast te stellen of de gevraagde gegevens / informatieproducten wel aan de betreffende aanvrager mogen worden verstrekt. Van dergelijke verstrekkingen vindt zowel automatische logging in het systeem als handmatige logging plaats om het handelen van NRS in reactie op dergelijke aanvragen transparant en controleerbaar te houden. Momenteel komen wekelijks doorgaans tussen de nul en de vijf verzoeken voor een selectie op maat bij NRS binnen.

Pagina 13 van 21


4.2

beheerorganisatie

Het beheer van het NIS is de verantwoordelijkheid van NRS en binnen NRS belegd bij die afdelingen waarvoor de (sub)informatiesystemen zijn bedoeld. Een beperkte en vaste groep beheerders van NRS (thans twee personen bij afdeling Organisatieproducten en drie personen bij afdeling Veehouderproducten) houdt zich hiermee bezig. Het soort gegevens dat wordt opgeslagen en de informatieproducten die het systeem voortbrengt komen tot stand in overleg met gebruikersgroepen, die zijn samengesteld uit medewerkers van Klanten en Derden.

Medewerkers Voor de functionele beheertaken wordt door de functionele beheerders (‘applicatiebeheerders’) gebruik gemaakt van de functies van het NIS danwel van selecties op maat. Voor zowel functionele als technische beheertaken (zoals het oplossen van storingen door programmeurs etcetera) geldt de procedure rondom het protocol gegevensverstrekking zoals die in hoofdstuk 5 van dit rapport opgenomen is. Binnen NRS is systeemontwikkeling gescheiden van de operationele werkzaamheden. Binnen NRS zijn functiebeschrijvingen aanwezig. In de arbeidsovereenkomsten tussen NRS en haar medewerkers is een geheimhoudingsbeding opgenomen. De taak van security officer voor het NRS is ondergebracht bij de afdeling kwaliteitsmanagement van CR Delta VRV Holding B.V.. Naast werkzaamheden ten aanzien van logische en fysieke toegangsbeveiliging voert de security officer controles uit in het kader van change management, operationele werkzaamheden en de back-up en uitwijkregeling.

Proces NRS draagt de verantwoordelijkheid voor het beschikbaar stellen van het systeem en de uitwerking van beveiligingsaspecten. De te nemen beveiligingsmaatregelen zijn zodanig opgesteld, dat het systeem na een storing en/of een systeemuitval zo snel mogelijk weer operationeel kan zijn. Voor grote storingen of vernietiging van het systeem is een rampenplan opgesteld. Naast de beschikbaarheid van het systeem draagt het NRS zorg voor een back-up van de gegevens, de toegang tot het systeem (datacommunicatie) en het onderhoud van de systeemgegevens. De gebruikers van het systeem hebben de verantwoordelijkheid om op basis van de geldende richtlijnen en procedures de gegevens correct te onderhouden. Daarnaast dienen de gebruikers maatregelen te nemen om, in geval van calamiteiten met betrekking tot het systeem, toch zo snel mogelijk verder te kunnen. Dit betekent dat in principe mutaties van minimaal twee werkdagen opnieuw uitgevoerd moeten kunnen worden. Het is daarom verstandig om als dat mogelijk is de mutaties te bewaren (ingevulde formulieren e.d.). Bepaalde invoergegevens moeten langer bewaard worden. Dit is beschreven bij de betreffende subsystemen. Pagina 14 van 21


4.3

loggings

Het gebruik van functies wordt door het NIS automatisch vastgelegd in een “audit-bestand”. Uit dit bestand is onder meer af te leiden door welke organisatie welke functie wanneer aangeroepen is. Op basis van dit bestand vindt facturering plaats. Dit bestand wordt tenminste één jaar na creatie bewaard. Gedurende 15 dagen vanaf het aanroepen is aan de hand van een logging tevens traceerbaar vanaf welke locatie de functie is aangeroepen. Logging van selecties op maat die door NRS op basis van verzoeken van Gegevensaanvragers en in overeenstemming met het protocol (hoofdstuk 5) worden uitgevoerd, vindt op beperkter schaal plaats en kent een bewaartermijn van tenminste 15 dagen3. Deze loggings vormen, in combinatie met de handmatige vastlegging van gegevensverstrekkingen door beheerders van het NIS, belangrijke input voor de verantwoording over gegevensverstrekkingen door NRS. Anders gezegd, deze loggings dragen bij aan de transparantie en controleerbaarheid van NRS voor wat betreft het volgen van het protocol (hoofdstuk 5) bij het aanroepen van functies van het NIS, bijvoorbeeld in het kader van gegevensverstrekking aan een Gegevensaanvrager die een bepaalde functie niet on-line kan starten. Binnen NRS is de dba-functionaris (database administrator) de enige functionaris die de mogelijkheid heeft om mutaties rechtstreeks in de database van het NIS aan te brengen. Dit is mogelijk met het programma Altadata. Het gebruik van deze programmatuur wordt opgenomen in de logfile. Wijzigingen direct op de database worden uitsluitend aangebracht op schriftelijk verzoek.

3

Bij batchprocessen geldt dat er binnen een batchjob een logfile (jobjournal) wordt gemaakt die tijdelijk op disc

wordt bewaard (voor het eventueel oplossen van foutsituaties) en vervolgens wordt verwijderd; de metagegevens van de job worden vastgelegd in de accountingjournal. Metagegevens zijn o.a.: tijdstip, jobnaam, service, terminal mnemonic. Voor een mac-sessie geldt hetzelfde als voor een job; hier wordt een macjournal gedurende de sessie bijgehouden die na afloop van de sessie meestal wordt verwijderd en de metagegevens worden opgeslagen in de accountingjournal. Vindt de verwijdering niet plaats aan het eind van de sessie, bijvoorbeeld als er wat fout is gegaan, dan wordt deze op papier afgedrukt en verwijderd van disc. De terminal mnemonic die wordt vastgelegd in de accountingjournal is, met gebruik van de systemjournal, te herleiden tot de naam van degene die de job of mac-sessie heeft uitgevoerd. De systemjournal wordt 15 dagen bewaard. Pagina 15 van 21


5

Protocol Gegevensverstrekkingen NIS

1.

Doel en inhoud protocol

Dit protocol heeft ten doel: a) informatie te verstrekken ten behoeve van alle binnen de NRS werkzame personen die op enigerlei wijze betrokken zijn bij het beheer en de bewerking en het gebruik van het NIS en/of in het NIS opgeslagen informatie; b) als leidraad te dienen bij de besluitvorming over het doen van gegevensverstrekkingen uit het NIS aan Klanten (binnen én buiten de CR Delta VRV groep), door de bij NRS werkzame personen die belast zijn met het beheer van het NIS. In dit protocol zijn derhalve de normen en regels vastgelegd rondom het gebruik en verstrekking van gegevens in het NIS die door NRS worden beheerd. Om de toepasbaarheid van de normen transparant te maken worden de gegevens en de gebruikers daarvan onderverdeeld in categorieën. Het protocol dient door medewerkers van NRS gehanteerd te worden indien zij op verzoek van een Gegevensaanvrager ofwel functies uitvoeren ofwel een selectie op maat uitvoeren.

Pagina 16 van 21


2.

Indeling van klanten en informatieproducten

De herkomst van de verschillende gegevens in het NIS is bepalend voor de vraag of daarop gebaseerde informatieproducten aan een bepaalde Gegevensaanvrager mogen worden verstrekt. Ten behoeve van de toetsing wordt een onderscheid gemaakt tussen verschillende soorten gegevensleveranciers, soorten informatieproducten en soorten Gegevensaanvragers.

Gegevensleveranciers Klanten:

•

•

Veehouders leveren gegevens aan NRS, al dan niet via VVB´s en/of KI’s

•

De klanten CR Delta Noord, - Oost en – Zuid West en Holland Genetics

Individuele Veehouders CR Delta Noord, CR Delta Oost, CR Delta Zuid

hebben als gemeenschappelijk kenmerk dat zij binnen de CR Delta VRV

West, Holland Genetics

Holding Groep vallen

KI Samen, FHRS, VVB West Veluwe, ALta, Ned Vereniging voor KI Kampen, VVB Silvolde, etc •

zij buiten de CR Delta VRV Holding Groep vallen

Derden:

•

De overige genoemde klanten hebben als gemeenschappelijk kenmerk dat

(zuivelfabrikanten, laboratoria, etc)

Informatieproducten binnen NRS Aard van de informatie Informatieproducten gebaseerd op gegevens van één partij

Nadere bijzonderheden •

Iedere klant kan de gegevens opvragen die hem zelf betreffen en die hij zelf aan het systeem heeft verschaft

•

Ten aanzien van de zg. "erkende gegevens" op basis van de NRS erkenningen (stamboek, MPR, Exterieur, KI en Fokwaarde) geldt dat deze voor voor o.a. fokwaardeschatting en statistieken kunnen worden benut en

Overige NRS Informatieproducten

onder gelijke voorwaarden voor alle partijen beschikbaar zijn. •

Klanten kunnen afnemer zijn van deze producten; voor alle klanten gelden daarbij gelijke voorwaarden

Gegevensaanvragers •

Klanten

•

en/of KI’s bij NRS aan

Individuele Veehouders CR Delta Noord, CR Delta Oost, CR Delta Zuid

•

Vereniging voor KI Kampen, VVB Silvolde, etc •

Derden

(dierenartsen, accountants, etc)

Pagina 17 van 21

Aan individuele klanten worden desgevraagd de gegevens verstrekt die door hen zelf aan het NIS zijn verschaft

WestHolland Genetics KI Samen, FHRS, VVB West Veluwe, ALta, Ned

Individuele veehouders vragen informatieproducten, al dan niet via VVB’s

•

Voor alle individuele klanten geldt dat geen informatie wordt verstrekt, voorzover deze is gebaseerd op gegevens, die een andere klant dan de aanvragende klant aan het NIS heeft verschaft, tenzij deze andere klant hiervoor toestemming heeft gegeven, dan wel sprake is van een wettelijke verplichting


3.

Normen

De basisnormen waarop dit protocol is gebaseerd zijn de volgende:

Gelijke behandeling 1.

Alle aanvragen van Klanten om gegevens en informatie worden door NRS gelijk behandeld, ongeacht of deze Klanten binnen of buiten de CR Delta VRV Holding ressorteren Toegang tot informatie

2.

Gegevens uit het NIS a. Worden verstrekt aan de Klant die deze gegevens aan het NIS heeft verschaft b. Worden in alle andere gevallen niet verstrekt, tenzij de Klant die de gegevens aan het NIS heeft verschaft daarvoor toestemming4 heeft gegeven5

3.

Voor NRS en haar informatieproducten geldt dat: a. Gegevens en / of informatie met betrekking tot NRS Informatieproducten alleen worden verstrekt aan de Klant, voor zover deze gegevens en /of informatie gebaseerd zijn op door die Klant geleverde gegevens 6 b. NRS aan Klanten / Derden geen toestemming kan geven tot gebruik van door NRS ingebrachte gegevens, tenzij schriftelijk anders overeengekomen Transparantie

4.

De wijze waarop de normen worden nageleefd door deze naleving wordt inzichtelijk gemaakt door vastlegging van aanvragen en verstrekkingen van gegevens

Strikte toepassing van deze norm binnen NRS leidt ertoe dat geen enkele Gegevensaanvrager (binnen noch buiten de CR Delta VRV groep) concurrentievoordelen kan genieten uit het gebruik van informatie opgeslagen in het NIS.

4

Toestemming: Gegevensleveranciers kunnen onderling bilateraal afspraken maken over de onderlinge

beschikbaarstelling van elkaars gegevens en daarop gebaseerde informatieproducten, die in het kader van hun respectieve verkoop en dienstverlening worden verzameld en verwerkt in het NIS. 5

Verstrekking kan hiernaast ook geschieden op basis van een wettelijke verplichting.

6

Verstrekking kan hiernaast ook geschieden op basis van een wettelijke verplichting.

Pagina 18 van 21


4.

Verantwoording verstrekkingen

In Bijlage A is een tabel opgenomen met informatie die per aanvraag en/of verstrekking wordt vastgelegd door de verantwoordelijke beheerder van het NIS. Deze vastlegging dient tot het bevorderen van de transparantie en controleerbaarheid van het verstrekkingenbeleid met betrekking tot het NIS.

Pagina 19 van 21


6

Implementatie van normenstelsel

In dit hoofdstuk wordt aangegeven op welke wijze NRS het normenstelsel zoals vastgelegd in het protocol (hoofdstuk 5) in haar organisatie heeft geborgd. De verantwoordelijke beheerders binnen NRS hebben in de interviews aangegeven, dat de vaste normenset zoals deze is verwoord in het protocol, stelselmatig en consciëntieus wordt gehanteerd. Interpretatie van de normen blijft bij de vele verschillende gegevens aanvragen steeds noodzakelijk. Gezien de veelvormigheid van de aanvragen is interpretatie van de normen in voorkomende gevallen onontkoombaar. De normen waaraan wordt getoetst zijn echter helder verwoord en maken deze interpretatie objectief mogelijk. Als grondnorm bij de interpretatie geldt het adagium ”bij twijfel niet inhalen”. Gebleken is dat er, met het oog op interne verantwoording over het hanteren van de genoemde normen, in ieder geval vanaf augustus 2003 sprake is van systematische vastlegging door de verantwoordelijke beheerders van individuele informatieverzoeken afkomstig van klanten binnen of buiten de CR Delta VRV groep. Ook de daaropvolgende beslissingen ten aanzien van de verstrekkingen aan deze klanten worden vastgelegd. Hierdoor is op structurele wijze interne verantwoording mogelijk ten aanzien van verstrekkingen van gegevens en/of weigeringen daarvan in relatie tot de soort aanvrager en het gebruiksdoel van de aanvrager -in ieder geval tot op zeker detailniveau. Het afleggen van deze verantwoording door de verantwoordelijke beheerders vindt, zoals in de gevoerde gesprekken aan de orde is gekomen, ook daadwerkelijk plaats.

Pagina 20 van 21


BIJLAGE A

REGISTRATIE EN VERANTWOORDING AANVRAGEN EN VERSTREKKINGEN

Model van een tabel waarin aanvragen en verstrekkingen worden bijgehouden Volgnr

Datum aanvraag

1 2 3 4 5 etc

Pagina 21 van 21

Aanvrager

Gevraagde

Welke gegevens levert

gegevens

aanvrager

Verstrekte gegevens

Verstrekker

Rapport. De omgang door NRS B.V. met de toegang tot het NRS Informatie Systeem (NIS)

Recommend Documents