27. Raadsinformatiebrief 2026-047540 inzake externe audits De Wet politiegegevens (Wpg) 2021-2024 en 2025.pdf

Raadsinformatiebrief Stationsstraat 4 – 3161 KP Rhoon - Postbus 1000 - 3160 GA Rhoon - T (010) 506 11 11 - E info@albrandswaard.nl De gemeenteraad van Albrandswaard Uw brief van: Ons kenmerk: 2026-047540 Uw kenmerk: Contact:M. Blijenburg Bijlage(n): Doorkiesnummer: 06-46986396 E-mailadres: m.blijenburg@albrandswaard.nl Datum: 25 augustus 2026 Betreft: Uitkomsten externe audits Wpg. Geachte raadsleden, INLEIDING De Wet politiegegevens (Wpg) bepaalt hoe onze boa’s en leerplichtambtenaren politiegegevens zorgvuldig, rechtmatig en veilig verwerken bij toezicht en handhaving. Naleving is noodzakelijk om de privacy van inwoners te beschermen, misbruik van gevoelige gegevens te voorkomen en bestuurlijke en juridische risico’s voor de gemeente te beperken. Daarmee draagt de wet bij aan betrouwbare handhaving én aan het vertrouwen van de gemeenteraad en inwoners in het gemeentelijk optreden. De gemeente is verplicht jaarlijks een interne Wpg-audit en eens per vier jaar een externe Wpg-audit te laten uitvoeren op de verwerking van deze politiegegevens. Bij tekortkomingen moet een verbeterplan worden uitgevoerd en vindt binnen één jaar een her controle plaats, zodat aantoonbaar aan de Wpg wordt voldaan. KERNBOODSCHAP Met deze raadsinformatiebrief informeren wij u dat de processen Wpg weer volledig op orde zijn gebracht. TOELICHTING De externe audit over 2021-2024 heeft plaatsgevonden.

Daarbij zijn bevindingen die hebben geresulteerd in het opstellen van een heronderzoek in 2025. Die bevindingen hebben vooral hun oorsprong in het gegeven dat het eerste jaar van ontvlechting (2024) in de verplichte externe audit viel en dat net het jaar was waarop onze gemeentelijke organisatie voor een groot deel opnieuw moest worden opgebouwd. Het heronderzoek over 2025 laat zien dat de processen in opzet en bestaan weer volledig op orde zijn. Voor de detail inhoud van de beide externe rapportages verwijzen wij u naar de bijlagen. CONSEQUENTIES De rapportages van de externe audits en het heronderzoek zijn verplicht gemeld aan de Autoriteit Persoonsgegevens (AP). Eventueel onvoldoende opvolging op bevindingen kunnen een aanwijzing van de AP tot gevolg hebben. VERVOLG De interne audits worden uitgevoerd door De BedrijfsvoeringsPartner (DBP). Eventuele bevindingen worden gerapporteerd en moeten leiden tot verbeteracties. Over de periode 2025 - 2028 zal de volgende externe audit plaatsvinden. BIJLAGEN 1. Assurance-rapport Privacy audit Wpg 2021-2024 Long form 2. Assurance-rapport Hercontrole Privacy Audit Wpg 2025 Long form Met vriendelijke groet, het college van de gemeente Albrandswaard, de secretaris de burgemeester, mr. drs. Florus van der Linden drs. Cees Pille

Assurance-rapport NOREA Richtlijn 3000D Privacy-audit Wet politiegegevens Hercontrole opzet en bestaan op basis van artikel 4 Regeling periodieke audit politiegegevens (artikel 33 5 e lid Wet politiegegevens en artikel 6:5, 4e lid Besluit Politiegegevens Gemeente Albrandswaard Uitgebracht door : Duijnborgh Audit B.V. Onderzoeker(s) : Edin Golotic Frank Kossen RE Uitgebracht aan : Gemeente Albrandswaard Contactpersoon : Monique Joghi Datum : 10 juli 2026 Kenmerk : 20260710 DBA-GEM ALB Hercontrole Privacy audit Wpg Versie : 1.0 Status : Definitief Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 2 van 34 Inhoud 1 ASSURANCE-RAPPORT VAN DE ONAFHANKELIJKE AUDITOR .................................................................... 4 1.1 ONS OORDEEL .................................................. ................................................... ................................. 4 1.2 DE BASIS VOOR ONS OORDEEL .................................................. ................................................... ............. 4 1.3 CRITERIA ................................................... ................................................... ....................................... 5 1.4 AANGELEGENHEDEN MET BETREKKING TOT DE REIKWIJDTE VAN ONS ONDERZOEK ..................................................

6 1.4.1 Object van onderzoek............................... ................................................... ............................. 6 1.4.2 Verbeterrapport ...................................................................................... ................................. 6 1.4.3 Beperkingen........................................ ................................................... .................................. 6 1.5 BEOOGDE GEBRUIKERS EN DOEL .................................................. ................................................... ........... 6 1.6 VERANTWOORDELIJKHEDEN GEMEENTE ALBRANDSWAARD ................................................... ........................... 7 1.7 VERANTWOORDELIJKHEDEN VAN DE IT-AUDITOR .................................................. ........................................ 7 2 BESCHRIJVING PRIVACY-DOELSTELLINGEN ............................................................................................... 8 3 MANAGEMENTREACTIE ......................................................................................................................... 13 BIJLAGE 1 – BESCHRIJVING VAN DE BEHEERSINGSMAATREGELEN EN TESTRESULTATEN (WPG BEHEERSINGSMAATREGELEN) ........................................................................................................................

14 BIJLAGE 2 – BESCHRIJVING VAN DE BEHEERSINGSMAATREGELEN EN TESTRESULTATEN (TECHNISCHE EN ORGANISATORISCHE BEHEERSINGSMAATREGELEN) ...................................................................................... 34 Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 3 van 34 Colofon Voor u ligt het assurance-rapport van de hercontrole inzake de externe privacy audit (20260710 DBA- GEM ALB Hercontrole Privacy audit Wpg) op de politi egegevens die de buitengewoon opsporingsambtenaren (boa’s) van Gemeente Albrandsw aard verwerken en die in een bestand zijn opgenomen, of die bestemd zijn daarin te worden opgenomen. De hercontrole heeft alleen betrekking op het onder deel of de onderdelen van de wet ten aanzien waarvan tijdens de externe privacy audit tekortkomi ngen zijn geconstateerd en heeft tot doel op systematische wijze te toetsen of door de verantwoordelijke zodanige maatregelen zijn getroffen dat aan de uitvoering van het onderdeel of de betreffende onderdelen van de wet thans op adequate wijze uitvoering is gegeven. Deze verwerkingen vallen onder de reikwijdte van de Wet politiegegevens (Wpg) en het Besluit politiegegevens voor buitengewoon opsporingsambtenaren (Bpg boa). Dit rapport is gebaseerd op NOREA Handreiking Privacy audit Wpg voor boa’s 2024, versie 1.0 d.d.

3 september 2024, de Richtlijn 3000D van NOREA (Assur ance-opdrachten door IT-auditors) en is opgesteld door Duijnborgh Audit. In dit rapport zijn de door ons vastgestelde bevindingen, conclusies en aanbevelingen beschreven. Ons rapport wordt uitgebracht in twee versies: Het ‘short form’ rapport bevat de basiselementen en is bedoeld voor de toezichthouder. Het ‘long form’ rapport bevat in Bijlagen 1 en 2 aanvullende informatie die in beginsel uitsluitend bedoeld is v oor Gemeente Albrandswaard, zoals een overzicht van de getoetste interne beheersingsmaatregelen en de door ons vastgestelde bevindingen en aanbevelingen. Het voorliggende rapport is de ‘long form’ versie van ons rapport. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 4 van 34 1 Assurance-rapport van de onafhankelijke auditor Aan: Gemeente Albrandswaard 1.1 Ons oordeel Naar ons oordeel voldoen bij de hercontrole de door Gemeente Albrandswaard getroffen beheersingsmaatregelen om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens in opzet en bestaan aan de gestelde criteria (zie sectie 1.3). Het overzicht met oordelen per beheersingsmaatregel is hierna in sectie 1.2 ‘De basis voor ons oordeel’ weergegeven.

Ons oordeel is gevormd op basis van de aangelegenheden die in dit assurance-rapport zijn uiteengezet. De specifieke, getoetste beheersingsmaatregelen en de aard, timing en resultaten van die toetsingen zijn opgenomen in Bijlage 1 – Beschrijving van de beheersingsdoelstellingen, beheersingsmaatregelen en testresultaten (Wpg) en Bijlage 2 - Beschrijving van de beheersingsdoelstellingen, beheersingsmaatregelen en testresultaten (technische en organisatorische maatregelen). 1.2 De basis voor ons oordeel Wij hebben met de hercontrole vastgesteld dat voor de hiernavolgende Wpg onderwerpen de door Gemeente Albrandswaard getroffen beheersingsmaatreg elen om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens in opzet en bestaan per 1 juni 2026 voldoen (groen) aan de gestelde criteria (zie sectie 1.3). Wij hebben ons onderzoek uitgevoerd volgens Nederla nds recht, waaronder NOREA Richtlijn 3000D ’Assurance-opdrachten door IT-auditors (Directe-opd rachten)’. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. On ze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van Gemeente Albrandswaard en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA.

Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor onze oordelen. Toelichting gebruikte kleuren: 0 Groen - De beheersingsmaatregelen voldoen; 0 Oranje - De beheersingsmaatregelen voldoen deels. Om geheel aan de beheersingsmaatregelen te voldoen dien(t)(en) de geconstateerde afwijking(en) te worden opgelost; 0 Rood - De beheersingsmaatregelen voldoen niet. Om aan de beheersingsmaatregelen te voldoen dien(t)(en) de geconstateerde afwijking(en) te worden opgelost; 0 Grijs - Niet onderzocht De redenen waarom normen niet zijn onderzocht zijn als volgt aangeduid: o) Norm niet getoetst op werking omdat de werking n iet kan worden aangetoond over een periode van (minimaal) zes maanden; Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 5 van 34 *) Bestaan/werking bij betreffende norm niet kunnen toetsen wegens non-occurrence; **) Norm geheel niet van toepassing omdat het betre ffend proces zich niet voordoet bij Gemeente Albrandswaard. Domein I (Strafrechtelijke handhaving openbare ruimte) Verwerking: Onderwerpen Externe audit Hercontrole Opzet Bestaan Werking Opzet Bestaan Werking 1. Reikwijdte o 2. Doelbinding o 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst o 4. Juistheid en volledigheid politiegegevens o 5. Onderscheid feiten en oordeel o 9.

Bijzondere categorieën van politiegegevens o 10. Autorisaties en toegang tot politiegegevens o 13. Verwerker en Verwerkersovereenkomst o 20. Bewaartermijnen, verwijderen en vernietigen o 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee * * * o 26. Register o 28. Logging o 29. Audits o Domein III (Onderwijs/ Leerplicht) Verwerking: Onderwerpen Externe audit Hercontrole Opzet Bestaan Werking Opzet Bestaan Werking 1. Reikwijdte o 2. Doelbinding o 10. Autorisaties en toegang tot politiegegevens o 26. Register o 28. Logging o 29. Audits o Technische en organisatorische maatregelen: Tijdens de externe privacy audit zijn geen afwijkingen geconstateerd. 1.3 Criteria De (generieke) algehele beheersingsdoelstelling voor de privacy audit Wpg voor boa’s is het voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Hiertoe heeft de organisatie beheersingsmaatregelen getroffen die door de IT-auditor bij de hercontrole worden getoetst.

De IT-auditor maakt bij deze toetsing gebruik van de volgende criteria: Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 6 van 34 Opzet De organisatie heeft de beheersingsmaatregen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Bestaan De organisatie heeft de beheersingsmaatregelendaadwerkelijk geïmplementeerd en toegepast. Werking De organisatie heeft de beheersingsmaatregelen gedu rende de controleperiode toegepast, ingeval van handmatige beheersingsmaatregelen zijn deze toegepast door competente en bevoegde personen. 1.4 Aangelegenheden met betrekking tot de reikwijdte van ons onderzoek 1.4.1 Object van onderzoek Deze hercontrole heeft alleen betrekking op het onderdeel of de onderdelen van de wet ten aanzien waarvan tekortkomingen zijn geconstateerd tijdens d e externe privacy audit (20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG) over de controleperiode 2021-2024 en heeft tot doel op systematische wijze te toetsen of door de verantwoordelijke zodanige maatregelen zijn getroffen dat aan de uitvoering van het onderdeel of de betreffende onderdelen van de wet thans op adequate wijze uitvoering is gegeven.

Wij hebben geen onderzoek uitgevoerd naar de tijden s de externe privacy audit effectief gebleken beheersingsmaatregelen en doen daar derhalve ook geen uitspraak over. 1.4.2 Verbeterrapport In artikel 4 lid 1 van de Regeling periodieke audit politiegegevens is de verplichting opgenomen dat indien bij het uitvoeren van de externe privacy aud it tekortkomingen zijn geconstateerd, de verantwoordelijke binnen drie maanden een verbeterrapport opstelt, waarin de maatregelen worden beschreven die getroffen zijn ter verbetering van de geconstateerde tekortkomingen. We hebben bij de oordeelsvorming het door Gemeente Albrandswaard tijdig (dat wil zeggen binnen drie maanden na de externe privacy audit) opgestelde verbeterrapport betrokken. 1.4.3 Beperkingen Wij kunnen niet uitsluiten dat, indien wij aanvulle nde beheersingsmaatregelen zouden hebben onderzocht, wellicht andere onderwerpen zouden zijn geconstateerd die voor rapportering in aanmerking zouden zijn gekomen. Bovendien is de projectie van oordelen naar de toek omst onderhevig aan het risico dat interne beheersingsmaatregelen ineffectief kunnen worden. 1.5 Beoogde gebruikers en doel Gemeente Albrandswaard dient ingevolge artikel 33 2 e lid van de Wet politiegegevens een afschrift van de controleresultaten van de hercontrole aan de Autoriteit persoonsgegevens te zenden.

In eerste instantie betreft dit het ‘short form’ rapport (rap port exclusief bijlagen). De Autoriteit persoonsgegevens kan, in het kader van haar toezichthoudende taak, het ‘long form’ rapport (rapport inclusief bijlagen) zonder opgaaf van redenen bij G emeente Albrandswaard opvragen. Voor de verstrekking van beide rapportages geldt als voorwa arde dat de rapportage origineel, volledig en ongewijzigd ter inzage wordt aangeboden. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 7 van 34 Het is, zonder onze uitdrukkelijke voorafgaande sch riftelijke toestemming, niet toegestaan de rapportages met anderen dan de Autoriteit persoonsg egevens te delen. Het verstrekken van deze toestemming kan omgeven zijn met nadere voorwaarden. 1.6 Verantwoordelijkheden Gemeente Albrandswaard Gemeente Albrandswaard is verantwoordelijk voor de opzet, het bestaan en de werking van de relevante beheersingsmaatregelen, om alsnog te vold oen aan de wettelijke eisen van de in de Wet Politiegegevens (Wpg) en het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpg boa) gestelde bepalingen. 1.7 Verantwoordelijkheden van de IT-auditor Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel.

Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële afwijkingen als gevolg van fraude of fouten ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA’ (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsmanagem ent inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voors chriften, professionele standaarden en andere relevante wet- en regelgeving. Wij voldoen aan de s pecifieke vereisten voor de uitvoering van de hercontrole, zoals bepaald in artikel 5 van de Regeling periodieke audit politiegegevens 1. De werkzaamheden zijn afhankelijk van de door de IT -auditor toegepaste professionele oordeelsvorming en bestonden uit een combinatie van inspectie van documentatie, het houden van interviews, het evalueren van de resultaten van de uitgevoerde interne controles en het verrichten van eigen (aanvullende) testwerkzaamheden. Onze bevindingen zijn opgenomen in de bijlagen 1 en 2. Utrecht, 10 juli 2026 Duijnborgh Audit B.V. F. Kossen RE E. Golotic 1 Zie hiervoor de Regeling van de Minister van Justitie, de Minister van Binnenlandse Zaken en de Minister van Defensie van 9 december 2008, nr.

5578598/08, houdende nadere regels ten aanzien van het toezicht op de naleving van de bij of krachtens de Wet politiegegevens gegevens voorschriften (Regeling periodieke audit politiegegevens). Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 8 van 34 2 Beschrijving privacy-doelstellingen Om de privacy van de verwerkte politiegegevens ten behoeve van de wettelijke taak te kunnen waarborgen en te kunnen voldoen aan de eisen die de wet daaraan stelt, heeft Gemeente Albrandswaard beheersingsmaatregelen getroffen in lijn met de illustratieve beheersingsmaatregelen uit NOREA Handreiking Privacy audit Wpg (boa). Die illustratieve beheersingsmaatregelen zijn gebaseerd op de Wet politiegegevens en het Besluit politiegegevens buitengewoon opsporingsambtenaren en omvatten de te verwachten o nderwerpen en -beheersingsmaatregelen, gericht op beheersing van privacy in gegevensverwerkende processen en indicatieve controles, in lijn met de geldende wet- en regelgeving. Onderstaand zijn deze onderwerpen en illustratieve beheersingsmaatregelen weergegeven. Onderwerpen en beheersingsmaatregelen 1. Reikwijdte De verwerkingsverantwoordelijke heeft bestanden met politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. 2.

Doelbinding Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden. Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een, met die doeleinden onverenigbare wijze, worden verwerkt. 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst van gegevens voor art 9 verwerkingen wordt vermeld. 4. Juistheid en volledigheid politiegegevens  De verwerkingsverantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens.  Er zijn procedures opgesteld voor het vernietigen en rectificeren van politiegegevens. 5. Onderscheid feiten en oordeel Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. 6.

Gegevensbescherming door beveiliging en ontwerp  Er is (aantoonbaar) een risicoanalyse uitgevoerd waaruit het risiconiveau blijkt en identificeert, evalueert en mitigeert systematisch en periodiek factoren die het beschermen van politiegegevens tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging in gevaar brengen en past de maatregelen hierop aan.  De organisatie heeft gegevensbeschermingsbeleid en procedures ontwikkeld en vastgesteld. De verwerkingsverantwoordelijke heeft de maatregelen die nodig zijn om het risico te beperken (passende technische en organisatorische maatregelen) aantoonbaar geïmplementeerd.  Privacy by design wordt toegepast/geborgd (bijv. bij ontwikkelingen/ wijzigingen).  De verwerkingsverantwoordelijke kan aantonen dat de verwerking van politiegegevens wordt verricht in overeenstemming met wat bepaald is in de wet. 7. Gegevensbescherming door standaardinstellingen De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat standaard:  alleen die politiegegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking;  politiegegevens niet zonder tussenkomst van een natuurlijke persoon voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt. 8.

Gegevensbeschermingseffectbeoordeling / Data protection impact assessment (DPIA)  Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert worden binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt door middel van een DPIA die ten minste aan de eisen gesteld in de wet voldoet. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 9 van 34 Onderwerpen en beheersingsmaatregelen  De verwerkingsverantwoordelijke beoordeelt, indien nodig of wanneer sprake is van een verandering van het risico, of de verwerking in overeenstemming met de DPIA wordt uitgevoerd en past de DPIA zo nodig aan. 9. Bijzondere categorieën van politiegegevens Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij:  Dat onvermijdelijk is voor het doel van de verwerking.  Dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon.  De gegevens afdoende zijn beveiligd. 10. Autorisaties en toegang tot politiegegevens  Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid.

Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to-know).  Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens.  Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. 11. Autorisaties: aanwijzen functionarissen Er is een actuele lijst van, door de verwerkingsverantwoordelijke aangewezen, bevoegde functionarissen. 12. Onderscheid tussen verschillende categorieën van betrokkenen De verwerkingsverantwoordelijke heeft geborgd dat, voor zover mogelijk, duidelijk onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. 13. Verwerker en Verwerkersovereenkomst  De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aantoonbaar te maken dat de verplichtingen in de Verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken.  De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen.

 Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling.  Er zijn afspraken vastgesteld en vastgelegd m.b.t. de handelswijze bij een inbreuk op de beveiliging.  Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met toestemming van de verwerkingsverantwoordelijke. Aan deze andere verwerker (subverwerker) is bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. 14. Geheimhoudingsplicht Er is geborgd dat de ambtenaar van politie of de persoon aan wie politiegegevens ter beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. 15. Geautomatiseerde individuele besluitvorming  Besluiten gebaseerd uitsluitend op geautomatiseerde verwerking dat voor de betrokkene nadelige rechtsgevolgen heeft of hem in aanmerkelijke mate treft, worden niet genomen tenzij voorzien is in de voorwaarden genoemd in de wet.  Het verbod op het gebruik van profilering die leidt tot discriminatie van personen op grond van de bijzondere categorieën van politiegegevens (art 5) is bekend binnen de organisatie. Dit beperkte verbod op profilering is onderwerp van de bewustwordingssessies binnen de organisatie. 16.

Uitvoering van de dagelijkse politietaak  Geborgd is dat art 8 politiegegevens één jaar na de datum van de eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis).  Geborgd is voor zover dat noodzakelijk is met het oog op de uitvoering van de dagelijkse politietaak politiegegevens ten aanzien waarvan in art 8 lid 1 genoemde termijn is verstreken geautomatiseerd worden vergeleken met politiegegevens die worden verwerkt op grond van art 8 lid 1 teneinde vast te stellen of verbanden bestaan tussen de betreffende gegevens. De gerelateerde gegevens kunnen verder worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak. 17. Ter Beschikking stellen (voor verdere verwerking)  Geborgd is dat de verdere verwerking van art 9 gegevens alleen plaats vindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris.

Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 10 van 34 Onderwerpen en beheersingsmaatregelen  Geborgd is dat de ter beschikking stellen van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a conform de richtlijnen gesteld in de wet plaatsvindt. 18. Geautomatiseerd vergelijken en in combinatie zoeken  Geborgd is dat gegevens alleen geautomatiseerd worden vergeleken met andere politiegegevens of met andere dan politiegegevens binnen de richtlijnen gesteld in art 11.  Geborgd is dat gegevens alleen in combinatie met elkaar worden verwerkt binnen de richtlijnen gesteld in art 11 lid 4.  Geborgd is dat het in combinatie verwerken van art 8 politiegegevens beperkt is tot de ambtenaren van politie die daarvoor geautoriseerd zijn.  Geborgd is dat de ambtenaren die geautomatiseerd vergelijken en ambtenaren die in combinatie zoeken over voldoende kennis en vaardigheden beschikken. 19. Ondersteunende taken Geborgd is dat voor de verwerkingen bedoeld in art 13 lid 1 t/m 3, van tevoren is voldaan aan de schriftelijke vereisten (art 13 lid 4). 20.

Bewaartermijnen, verwijderen en vernietigen  Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt.  De verwerkingsverantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden gecontroleerd, verwijderd en vernietigd.  Geborgd is dat Politiegegevens na verwijdering maximaal vijf jaar worden bewaard. Indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen zoals genoemd in de Archiefwet voldaan. 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee  Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd.  Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg).  Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet.  Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht.

 De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij.  Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatig wijze zijn verstrekt. 22. Doorgiften aan derde landen  De doorgifte van gegevens aan verwerkingsverantwoordelijke in derde landen vindt alleen plaats indien er een adequaatsheidsbesluit is van de Commissie van de Europese Unie of indien één van de uitzonderingsgronden zoals genoemd in de wet van toepassing is.  De doorgifte van gegevens aan derde landen wordt vastgelegd (documentatieplicht).  Indien doorgifte plaatsvindt op basis van art 17a lid 2 onderdeel a of b, lid 3 of lid 5 is (aantoonbaar) voldaan aan de gestelde eisen in de wet.  Indien politiegegevens van een andere lidstaat afkomstig worden doorgegeven aan derde landen is de toestemming van de verantwoordelijke autoriteit van deze lidstaat beschikbaar. 23. Verstrekking aan derden structureel voor samenwerkingsverbanden  De verwerkingsverantwoordelijke heeft inzicht in de samenwerkingsverbanden waarbij politiegegevens worden verstrekt.  In de beslissing voor het verstrekken van politiegegevens t.b.v.

een samenwerkingsverband wordt vastgelegd: o Ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is, o Ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt, o Het doel waartoe dit is opgericht, o Welke gegevens worden verstrekt, o De voorwaarden onder welke de gegevens worden verstrekt en o Aan welke personen of instanties de gegevens worden verstrekt. Datum | 10 juli 2026 Kenmerk Rapport | 20260710 DBA-GEM ALB Hercontrole Privacy audit Wpg Versie | 1.0 - Definitief Pagina | 11 van 34 Onderwerpen en beheersingsmaatregelen  | De daadwerkelijke verstrekking van gegevens wordt vastgelegd. 24. Rechtstreekse verstrekking  | De organisatie heeft geborgd dat rechtstreekse verstrekking uitsluitend plaatsvindt voor zover noodzakelijk op grond van art 23 en alleen voor zover voldaan kan worden aan de beveiligingseisen.  | De rechtstreekse verstrekking op basis van art 23 lid 2 vindt alleen plaats aan de aangewezen personen. 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering  | De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit beknopt, toegankelijk en duidelijk, zodat de betrokkene zijn rechten kan uitoefenen. De informatievoorziening voldoet aan de eisen gesteld in art 24b lid 1 en 2.

 | Bij uitstel, beperking of achterwege laten van de verstrekking van informatie bedoeld in 24b lid 2 is de uitstel, beperking of achterwege laten alsmede de duur van deze maatregel onderbouwd.  | Verzoeken tot inzage, rectificatie, vernietiging van betrokkenen worden - met inachtneming van het gestelde in artikel 27 - tijdig en adequaat afgehandeld.  | De organisatie borgt dat bij een verzoek tot inzage (art 25 lid 1) of rectificatie (art 28 lid 1) dat de betrokkene zonder onnodige vertraging in kennis wordt gesteld van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid een klacht in te dienen bij de AP.  | Een weigering gevolg te geven aan het verzoek conform art 24a lid 4 is onderbouwd. Elke weigering of beperking van de inzage wordt aan de betrokkene toegelicht, met vermelding van de feitelijke of juridische gronden die aan het besluit ten grondslag liggen. 26. Register  | De verwerkingsverantwoordelijke houdt een register bij dat de gegevens bevat zoals aangegeven in art 31d lid 1.  | De verwerker houdt een register bij dat de gegevens bevat zoals aangegeven in art 31d lid 2. 27. Documentatie  | De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de onderdelen genoemd in art 32 lid 1. De bedoelde politiegegevens worden conform art 32 lid 4 bewaard.

 | De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land of aan een internationale organisatie.  | De schriftelijke melding van een gemeenschappelijke verwerking van politiegegevens aan de AP is geborgd. 28. Logging  | De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in art 32a lid 1.  | De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. 29. Audits  | Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling periodieke audit politiegegevens. 30. Melding datalekken  | De organisatie detecteert en behandelt privacy gerelateerde incidenten op gepaste wijze om de gevolgen te beperken en maatregelen te nemen om toekomstige inbreuken te voorkomen.  | De verantwoordelijkheden van de behandeling van datalekken zijn belegd in de organisatie, de daadwerkelijke uitvoering wordt beheerst, gedocumenteerd en geëvalueerd.  | De melding van een datalek aan de Autoriteit Persoonsgegevens vindt tijdig en volledig plaats.

 | Betrokkenen worden, indien vereist, tijdig en volledig in kennis gesteld van een inbreuk op de beveiliging als deze inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden betekent. 31. Functionaris voor gegevensbescherming  | Er is een functionaris voor gegevensbescherming aangesteld die toezicht houdt op: o | het naleven van de Wpg; o | het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens; o | de toewijzing van de autorisaties, bedoeld in art 6; o | de bewustmaking en opleiding van de ambtenaren van politie betrokken bij de verwerking van politiegegevens; o | de audits; o | de uitvoering van de DPIA's. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 12 van 34 Onderwerpen en beheersingsmaatregelen  De Functionaris Gegevensbescherming stelt jaarlijks een verslag op van zijn bevindingen en stelt het ter beschikking aan de verwerkingsverantwoordelijke.  De Functionaris voor Gegevensbescherming is aangemeld bij de Autoriteit Persoonsgegevens.

Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 13 van 34 3 Managementreactie Betreft: Managementreactie op het hercontrole-rapport van gemeente Albrandswaard Het management heeft kennisgenomen van de uitkomste n van het heronderzoek Wpg door de externe auditor. Wij zijn positief over de constatering dat er in dit heronderzoek geen afwijkingen zijn vastgesteld ten aanzien van opzet en bestaan. In de externe audit 2024 zijn afwijkingen geconstateerd. Deze bevindingen zijn in 2025 actief opgepakt door het nemen van gerichte verbetermaatregelen. He t resultaat daarvan is dat de onderzochte beheersmaatregelen nu aantoonbaar zijn ingericht en aanwezig zijn. Het management ziet deze uitkomst als een bevestiging dat de ingezette verbeteracties effectief zijn geweest. Tegelijkertijd is blijvende aandacht nodig om de naleving van de Wpg structureel te borgen, ook in de werking van de processen. De organisatie blijft daarom sturen op periodieke monitoring, actualisatie van maatregelen en bewustwording binnen de betrokken teams. De bijlagen van dit rapport zijn vertrouwelijk en uitsluitend bestemd voor Gemeente Albrandswaard.

Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 14 van 34 Bijlage 1 – Beschrijving van de beheersingsmaatregelen en testresultaten (Wpg beheersingsmaatregelen) In deze bijlage zijn de beheersingsmaatregelen opgenomen die zijn getoetst tijdens de hercontrole. In de hiernavolgende tabellen hebben wij in de kolom ‘Bevindingen’ de resultaten van onze werkzaamheden gericht op het vaststellen van de opzet en het bestaan en/of de w erking van de beheersingsmaatregelen vastgelegd. In de kolom ‘Conclusies en aanbevelingen’ geven wij aan of aan de criteria voor de opzet, het bestaan en/of de werking wordt voldaan (eventueel) aangevuld met een aanbeveling ter verbetering. Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 1 Reikwijdte Art 2, lid 1 en 2 De verwerkings-verantwoordelijke heeft verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. De gemeente heeft de verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd in het verwerkingsregister.

Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Gemeente Albrandswaard gebruikt de applicatie CityControl van Sigmax voor de verwerkingen van politiegegevens. Deze verwerkingen zijn in CityControl geïdentificeerd en gedocumenteerd. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - het register van verwerkingen eind 2025 geformaliseerd is en up to date wordt gehouden. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 15 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 2 Doelbinding Art 3 lid 1, 3 en 4 Art 8 lid 1 Art 9 lid 1 en 2 Art 11 (m.u.v. lid 2) Art 13 Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden. Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze, worden verwerkt. De doelbindingen zijn beschreven in het verwerkingsregister.

Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Instructies m.b.t. de verwerking van politiegegevens zoals de (wettelijke) vereisten t.a.v. de doelbinding, de rechtmatige verwerking en het zoveel mogelijk voorkomen van politiegegevens buiten CityControl zijn summier vastgelegd in de ‘Handleiding Wpg’. Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens worden verwerkt als dat niet nodig is voor de in de wet genoemde doeleinden. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - de doelbinding eind 2025 in het register van verwerkingen opgenomen is.

O 3 Noodzakelijkhe id & rechtmatigheid , vermelding herkomst Art 3 lid 2 en 5 Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst De opleidings- en aanstellingseisen van de boa waarborgen voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat de persoonsgegevens Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - de handleiding Wpg eind 2025 geformaliseerd is waarin instructies t.a.v. noodzakelijkheid & O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 16 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking van gegevens voor art 9 verwerkingen* wordt vermeld. daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). Gemeente Albrandswaard heeft de (wettelijke) vereisten t.a.v. de noodzakelijkheid, rechtmatigheid en de vermelding herkomst beschreven in de ‘Handleiding WPG’.

De handleiding is echter pas eind 2025 geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. De opleidings- en aanstellingseisen van de boa’s waarborgen voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat de persoonsgegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens niet rechtmatigheid, vermelding herkomst opgenomen zijn. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 17 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). 4 Juistheid en volledigheid politie- gegevens Art 4, lid 1 De verwerkings-verantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens.

Boa’s krijgen tijdens hun boa opleiding uitgebreide instructies inzake de borging van de juistheid en nauwkeurigheid van persoonsgegevens. De boa’s in Domein I maken gebruik van CityControl van Sigmax. CityControl beschikt over actieve GBA, RDW, en Nationaal Parkeerregister (NPR) - koppelingen die er (mede) voor zorgen dat de juistheid en nauwkeurigheid van politiegegevens is geborgd. Op basis van de inspectie van de TPM- verklaring van Sigmax hebben wij vastgesteld dat het informatiesysteem CityControl het rectificeren/ corrigeren van politiegegevens ondersteunt. In de ‘Handleiding Wpg’ is gedocumenteerd dat per half jaar een controle wordt uitgevoerd op juistheid en nauwkeurigheid. Deze controle is echter in 2024 niet uitgevoerd. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - de periodieke controle op naleving van juistheid en volledigheid politiegegevens in 2025 twee keer is uitgevoerd.

O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 18 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 5 Onderscheid feiten en persoonlijk oordeel Art 4 lid 3 Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. Het maken van onderscheid tussen feiten en persoonlijke oordelen is een (vast) onderdeel van de generieke boa-opleiding. In de ‘ Handleiding WPG’ zijn geen concrete richtlijnen opgenomen om feiten en persoonlijk oordelen te onderscheiden. Op basis van de inspectie van de TPM van Sigmax, hebben wij vastgesteld dat CityControl standaard mogelijkheden biedt om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens die op feiten zijn gebaseerd niet, voor zover mogelijk, worden onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd.

In de ‘Handleiding Wpg’ is gedocumenteerd dat per half jaar een controle wordt uitgevoerd op juistheid en nauwkeurigheid. Deze controle is echter in 2024 niet uitgevoerd. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - in de handleiding WPG uitgangspunten opgenomen zijn t.a.v. feiten en persoonlijk oordeel; - de periodieke controle op naleving van diverse aspecten in 2025 twee keer is uitgevoerd. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 19 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 9 Bijzondere categorieën van politie- gegevens Art 5 Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij:  dat onvermijdelijk is voor het doel van de verwerking;  dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon;  de gegevens afdoende zijn beveiligd. Eind 2025 is een werkinstructie voor de boa’s opgesteld waarin instructies voor het verwerken van bijzondere politiegegevens zijn gedocumenteerd.

Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat bijzondere categorieën van politiegegevens in strijd met de Wpg en de interne richtlijnen worden verwerkt. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - eind 2025 in de handleiding Wpg uitgangspunten zijn opgenomen t.a.v. het omgaan met bijzondere categorie politiegegevens. O 10 Autorisaties en toegang tot politie- gegevens Art 6 lid 1 t/m 6 Art 6a Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to-know). Er is een proces voor het toewijzen, wijzigen en intrekken van Er is geen formeel (gedocumenteerd) proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens gedocumenteerd. Daarnaast zijn geen periodieke controles uitgevoerd om de identiteit en toegangsrechten van gebruikers te beoordelen.

Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - het proces t.a.v. autoriseren, de-autoriseren en periodiek beoordelen van toegangsrechten beschreven is; - in de tussentijd geen wijzigingen hebben plaatsgevonden (non-occurrence); - een controle is uitgevoerd op de actualiteit van de rechten. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 20 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking autorisaties t.b.v. de toegang tot politiegegevens. Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. 13 Verwerker en Verwerkers- overeen-komst Art 6c De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking heeft die nodig is om aantoonbaar te maken dat de verplichtingen in de Verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken.

De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen. Gemeente Albrandswaard heeft eind 2025 een verwerkersovereenkomst getekend met Sigmax. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - de verwerkersovereenkomst met Sigmax door beide partijen eind 2025 ondertekend is. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 21 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling. Er zijn afspraken vastgesteld en vastgelegd m.b.t. de handelswijze bij een inbreuk op de beveiliging.

Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met toestemming van de verwerkingsverantwoordelijke. Aan deze andere verwerker (subverwerker) is bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. 20 Bewaar- termijnen, verwijderen en vernietigen Art 4 lid 2 Art 8 lid 6 Art 9 lid 4 Art 14 Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt. Middels inspectie van de TPM-verklaring van Sigmax hebben wij vastgesteld dat bewaartermijnen van politiegegevens hard- coded zijn in CityControl en politiegegevens niet langer worden bewaard dan de Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - uitgangspunten t.a.v.

bewaartermijnen, verwijderen en vernietigingen van politie gegevens zijn gedocumenteerd en dat periodiek O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 22 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking De verwerkings-verantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden gecontroleerd, verwijderd en vernietigd. Geborgd is dat Politiegegevens na verwijdering maximaal vijf jaar worden bewaard. Indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen als genoemd in de Archiefwet voldaan. minimale tijd die nodig is, zoals vereist in wet- en regelgeving. Echter, er is geen procedure opgesteld waarin de verwijderingen en vernietigingen van politiegegevens zijn beschreven. Wel is in de handleiding aangegeven dat periodiek een controle op bewaartermijnen, verwijderen en vernietigen moet worden uitgevoerd. Deze is in de verslagperiode niet uitgevoerd. een controle plaats vindt t.a.v. de naleving hiervan.

21 Verstrekking van politie- gegevens aan anderen dan politie en Koninklijke marechaussee Art 16 Art 18 Art 19 Art 21 Art 22 Art 7 lid 1 Art 4 Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd. Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg). Eind 2025 zijn richtlijnen en werkinstructies opgesteld met betrekking tot de verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Non-occurrence: Gemeente Albrandswaard heeft aangegeven dat in de controleperiode * * Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - eind 2025 instructies zijn opgesteld met betrekking tot de verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee.

* O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 23 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet. Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht. De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij. Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatig wijze zijn verstrekt. geen verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee zijn geweest.

26 Register Art 31d lid 1 en 2 De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerkings-verantwoordelijke, Gemeente Albrandswaard heeft eind 2025 een (intern) verwerkingsregister opgesteld waarin de verwerking van politiegegevens van Domein I zijn opgenomen. Daarnaast is ook eind 2025 een jaarlijks proces ingesteld dat borgt dat het verwerkingsregister Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - het register van verwerkingen eind 2025 geformaliseerd is en up to date wordt gehouden.

O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 24 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking de gezamenlijk verwerkings- verantwoordelijken en de functionaris voor gegevensbescherming; b) de doelen van de verwerking; c) de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; d) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; e) in voorkomend geval, het gebruik van profilering; f) in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; g) een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de politiegegevens bedoeld zijn; actueel wordt gehouden. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens.

Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 25 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking h) zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; i) zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging, bedoeld in artikel 4a; j) de toekenning van de autorisaties, bedoeld in artikel 6.

De verwerker houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkings- verantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming; b) de categorieën van verwerkingen die namens iedere verwerkings- Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 26 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking verantwoordelijke zijn uitgevoerd; c) indien van toepassing, doorgiften van politiegegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie, indien door de verwerkings-verantwoordelijke uitdrukkelijk daartoe geïnstrueerd indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 4a. 28 Logging Art 32a De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in art 32a lid 1.

De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van Middels inspectie van de TPM-verklaring hebben wij vastgesteld dat het informatiesysteem CityControl zowel de raadplegingen als de mutaties logt en dat Sigmax de logging beschermt. De gemeente heeft in de controleperiode echter geen actieve controle(s) uitgevoerd op de logging. Daarnaast ontbreekt beleid/ procedures wat de log principes zijn en Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - uitgangspunten t.a.v. logging zijn opgenomen; - periodiek een controle wordt uitgevoerd om logfiles te beoordelen. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 27 van 34 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking politiegegevens en voor strafrechtelijke procedures. welke activiteiten periodiek uitgevoerd dienen te worden. 29 Audits Art 33 Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens.

Na de hercontrole in 2024 is in 2024 ook een nulmeting uitgevoerd (geen formele interne audit). In 2025 in een volwaardige interne audit uitgevoerd. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - in 2025 een volwaardige interne audit is uitgevoerd op de Wpg. O Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 1 Reikwijdte Art 2, lid 1 en 2 De verwerkings-verantwoordelijke heeft verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. De gemeente heeft de verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd in het verwerkingsregister.

Dit is echter pas eind 2025 voor de Wpg verwerkingen Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 28 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Gemeente Albrandswaard gebruikt de applicatie CAReL3 van Eljakim voor de verwerkingen van politiegegevens. Deze verwerkingen zijn in CAReL3 geïdentificeerd en gedocumenteerd. - het register van verwerkingen eind 2025 geformaliseerd is en up to date wordt gehouden. 2 Doelbinding Art 3 lid 1, 3 en 4 Art 8 lid 1 Art 9 lid 1 en 2 Art 11 (m.u.v. lid 2) Art 13 Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden. Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze, worden verwerkt. De doelbindingen is beschreven in het verwerkingsregister.