Cliëntgegevens wijzigen en de audit-log teruglezen

Gegevens wijzigen is dagelijks werk. Kunnen aantonen wie wat wijzigde is een wettelijke verwachting. Het tweede gebeurt hier vanzelf terwijl jij het eerste doet — maar het helpt om te weten wat er precies wordt vastgelegd, en waar de grenzen liggen.

Gegevens wijzigen

Open het dossier en pas aan wat er is veranderd: adres, contactgegevens, rekeningnummers, de maatregel. Wijzigingen zijn direct zichtbaar voor iedereen die aan het dossier is toegewezen.

Bijzondere gegevens gedragen zich anders. Het burgerservicenummer en identiteitsdocumenten staan in een apart, afgeschermd databaseschema dat niet via de gewone gegevens-API bereikbaar is. Ze worden versleuteld opgeslagen met een sleutel die alleen voor dit ene dossier geldt.

Wat de log vastlegt

Elke handeling levert een regel op met vaste onderdelen: welke gebruiker, welk dossier, wat voor soort handeling, om welk onderdeel het ging, wat er veranderde en op welk moment.

Er zijn zes soorten handelingen. Aanmaken, wijzigen en verwijderen spreken voor zich. Koppelen en ontkoppelen leggen vast wanneer je bijvoorbeeld een document aan een schuld hangt of die koppeling weer losmaakt. En dan is er inzage.

Die laatste is de bijzondere. Bij bijzondere persoonsgegevens wordt niet alleen het aanpassen vastgelegd maar ook het lezen ervan. Vraagt iemand een BSN op of bekijkt hij een identiteitsdocument, dan staat dat erin — ook als er verder niets is gewijzigd. Voor gewone dossiervelden gebeurt dat niet; dat zou de log vullen met ruis waar niemand iets aan heeft.

Waarom inzage loggen ertoe doet

Bij een datalek of een klacht is de vraag zelden "wie heeft dit veranderd". De vraag is "wie heeft dit gezien".

Zonder inzage-registratie kun je die vraag niet beantwoorden, en dan blijft er weinig over dan aannemelijk maken dat het wel goed zat. Met inzage-registratie laat je zien welke medewerker op welk moment welk gegeven heeft opgevraagd. Dat is het verschil tussen een verantwoording en een verhaal.

Het is ook de reden dat de log zelf in een afgeschermd schema staat, buiten het bereik van de gewone API. Een logboek dat via dezelfde weg te benaderen is als de gegevens die het bewaakt, beschermt weinig.

De log teruglezen

Open in het dossier de historie voor het chronologische overzicht. Je kunt filteren op periode, op medewerker, op soort handeling en op het onderdeel waar het over ging.

In de praktijk gebruik je dat op drie manieren. Bij een interne vraag — "wie heeft dit rekeningnummer aangepast?" — is het een opzoekactie van tien seconden in plaats van een reconstructie. Bij toezicht toon je aan dat alleen toegewezen medewerkers toegang hadden tot een dossier. En bij een inzageverzoek onder de AVG zie je precies wie wanneer bij welke gegevens kon.

Een eigenaar kan over dossiers heen kijken, wat nodig is bij organisatiebrede vragen. Een medewerker ziet de historie van de dossiers waaraan hij is toegewezen.

Waar de log op steunt

Een audit-log is precies zo betrouwbaar als de zekerheid dat iedereen onder zijn eigen naam werkt. Dat is geen technisch probleem maar een afspraak binnen je kantoor.

Deel dus nooit inloggegevens, ook niet "even snel" bij ziekte of vakantie. Op het moment dat twee mensen hetzelfde account gebruiken, zegt elke regel in de log alleen nog dat er iemand van dat account iets deed — en daarmee vervalt het hele nut. Iemand tijdelijk toegang geven doe je met een eigen account en een toewijzing; hoe dat werkt staat in Medewerkers uitnodigen en rollen instellen.

Zet daarnaast tweestapsverificatie aan voor het hele team. Een gestolen wachtwoord maakt de log niet onjuist, maar wel onbruikbaar als bewijs — je kunt dan immers niet meer hardmaken dat de handeling van die persoon kwam. Zie Tweestapsverificatie activeren voor je team.

Wat je niet moet doen

Corrigeer een fout door de juiste waarde in te voeren, niet door te proberen de oude te laten verdwijnen. De log bewaart beide, en dat is de bedoeling: bij de rekening en verantwoording kun je laten zien dat je een fout hebt opgemerkt en hersteld. Een dossier zonder correcties oogt misschien netter, maar een dossier waarin zichtbaar wordt bijgestuurd is geloofwaardiger — zie Rekening en verantwoording opstellen en indienen.