27. Raadsinformatiebrief 2026-047540 inzake externe audits De Wet politiegegevens (Wpg) 2021-2024 en 2025.pdf

Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Een aanvullende werkinstructie is eind 2024 opgesteld waarin is aangegeven dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze worden verwerkt. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - doelbinding in het register van verwerkingen eind 2025 opgenomen is. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 29 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking 10 Autorisaties en toegang tot politie- gegevens Art 6 lid 1 t/m 6 Art 6a Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to-know).

Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens. Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. Er is geen formeel (gedocumenteerd) proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens gedocumenteerd. Daarnaast zijn geen periodieke controles uitgevoerd om de identiteit en toegangsrechten van gebruikers te beoordelen. Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat onbevoegden autorisaties hebben (gekregen). Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - het proces t.a.v. autoriseren, de-autoriseren en periodiek beoordelen van toegangsrechten beschreven is; - In de tussentijd geen wijzigingen hebben plaatsgevonden (non-occurrence); - een controle is uitgevoerd op de actualiteit van de rechten. O 26 Register Art 31d lid 1 en 2 De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat: k) de naam en de contactgegevens van de Gemeente Albrandswaard heeft eind 2025 een (intern) verwerkingsregister opgesteld waarin de verwerking van politiegegevens uit Domein III zijn opgenomen.

Daarnaast is ook eind 2025 een jaarlijks proces ingesteld Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 30 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking verwerkings-verantwoordelijke, de gezamenlijk verwerkings- verantwoordelijken en de functionaris voor gegevensbescherming; l) de doelen van de verwerking; m) de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; n) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; o) in voorkomend geval, het gebruik van profilering; p) in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; q) een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van dat borgt dat het verwerkingsregister actueel wordt gehouden.

Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. - het register van verwerkingen eind 2025 geformaliseerd is en up to date wordt gehouden. Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 31 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking doorgiften, waarvoor de politiegegevens bedoeld zijn; r) zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; s) zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging, bedoeld in artikel 4a; t) de toekenning van de autorisaties, bedoeld in artikel 6.

De verwerker houdt een register bij dat de volgende gegevens bevat: d) de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkings- verantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming; Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 32 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking e) de categorieën van verwerkingen die namens iedere verwerkings- verantwoordelijke zijn uitgevoerd; f) indien van toepassing, doorgiften van politiegegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie, indien door de verwerkings-verantwoordelijke uitdrukkelijk daartoe geïnstrueerd indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 4a. 28 Logging Art 32a De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in art 32a lid 1.

De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne Middels inspectie van de TPM-verklaring van Eljakim hebben wij vastgesteld dat het informatiesysteem CAReL3 zowel de raadplegingen als de mutaties logt en dat Eljakim de logging beschermt. De gemeente heeft in de controleperiode echter geen actieve controle(s) uitgevoerd Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - uitgangspunten t.a.v. logging zijn opgenomen. - periodiek een controle wordt uitgevoerd om logfiles te beoordelen. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 33 van 34 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Beheersingsmaatregel Bevindingen externe audit Conclusie Bevindingen hercontrole Conclusie Opzet Bestaan Werking Opzet Bestaan Werking controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. op de logging. Daarnaast ontbreekt beleid/ procedures wat de log principes zijn en welke activiteiten periodiek uitgevoerd dienen te worden. 29 Audits Art 33 Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens.

Na de hercontrole in 2024 is in 2024 ook een nulmeting uitgevoerd (geen formele interne audit). In 2025 in een volwaardige interne audit uitgevoerd. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat: - in 2025 een volwaardige interne audit is uitgevoerd op de Wpg. O Datum 10 juli 2026 Kenmerk Rapport 20260710 DBA-GEM ALB Hercontrole Pr ivacy audit Wpg Versie 1.0 - Definitief Pagina 34 van 34 Bijlage 2 – Beschrijving van de beheersingsmaatregelen en testresultaten (technische en organisatorische beheersingsmaatregelen) Zoals in sectie 1.3 is aangegeven, verwerkt gemeente Albrandswaard politiegegevens in Domein I en III. Gemeente Albrandswaard maakt voor deze verwerkingen gebruik van de volgende informatiesystemen: Domein Verwerking Informatiesysteem Beheerorganisatie(s) Leverancier I Openbare ruimte CityControl Technisch Beheer: Sig max Functioneel Beheer: Gemeente Albrandswaard Sigmax III Onderwijs/leerplicht CAReL3 Technisch Beheer: E ljakim Functioneel Beheer: Gemeente Albrandswaard Eljakim Bij de externe privacy audit met kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG zij geen onvolkomenheden vastgesteld.

Hercontrole heeft hierom niet plaatsgevonden op de betreffende normen. Assurance-rapport NOREA Richtlijn 3000D Privacy-audit Wet politiegegevens 1 januari 2021 tot en met 31 december 2024 Gemeente Albrandswaard Uitgebracht door: Duijnborgh Audit B.V. Onderzoeker(s): Edin Golotic Frank Kossen RE Uitgebracht aan: Gemeente Albrandswaard Contactpersoon: Monique Joghi Datum: 26 februari 2026 Rapportnummer: 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Versie: 1.0 Status: Definitief Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 2 van 65 Inhoud 1 ASSURANCE-RAPPORT VAN DE ONAFHANKELIJKE AUDITOR .................................................................... 4 1.1 ONS AFKEUREND OORDEEL .................................................. ................................................... ................. 4 1.2 DE BASIS VOOR ONS AFKEUREND OORDEEL .................................................. ................................................ 4 1.3 CRITERIA ................................................... ................................................... ....................................... 7 1.4 AANGELEGENHEDEN MET BETREKKING TOT DE REIKWIJDTE VAN ONS ONDERZOEK ..................................................

7 1.4.1 Object van onderzoek.................................................................................. ............................. 7 1.4.2 Specificatie van de controleperiode .................................................................. ........................ 7 1.4.3 Beperkingen........................................ ................................................... .................................. 8 1.5 BEOOGDE GEBRUIKERS EN DOEL .................................................. ................................................... ........... 8 1.6 VERANTWOORDELIJKHEDEN GEMEENTE ALBRANDSWAARD .................................................. ............................ 8 1.7 VERANTWOORDELIJKHEDEN VAN DE IT-AUDITOR .................................................. ........................................ 8 1.8 AANBEVELING MET BETREKKING TOT DE HERCONTROLE .................................................. ................................. 9 2 BESCHRIJVING PRIVACY-DOELSTELLINGEN ............................................................................................. 10 3 MANAGEMENTREACTIE .........................................................................................................................

15 BIJLAGE 1 - BESCHRIJVING VAN DE BEHEERSINGSMAATREGELEN EN TESTRESULTATEN (WPG BEHEERSINGSMAATREGELEN) ........................................................................................................................ 16 BIJLAGE 1A - TOEZICHT EN HANDHAVING - OPENBARE RUIMTE (D OMEIN I) ................................................ ................... 17 BIJLAGE 1B – STRAFRECHTELIJKE HANDHAVING IN HET KADER VAN DE LEERPLICHTWET (D OMEIN III) .................................... 38 BIJLAGE 2 – BESCHRIJVING VAN DE BEHEERSINGSMAATREGELEN EN TESTRESULTATEN (TECHNISCHE EN ORGANISATORISCHE BEHEERSINGSMAATREGELEN) ...................................................................................... 59 DOMEIN I - CITY CONTROL (LEVERANCIER SIGMAX ) ................................................. ................................................. 6 0 DOMEIN III - CAR EL3 (LEVERANCIER ELJAKIM INFORMATION TECHNOLOGY ).................................................. ................ 63 Datum | 26 februari 2026 Versie | 1.0 - Definitief Kenmerk | 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina | 3 van 65 Colofon Voor | u | ligt | het | assurance-rapport | inzake | de | politiegegevens | die | de | buitengewoon opsporingsambtenaren (boa’s) van gemeente Albrandswaard verwerken en die in een bestand zijn opgenomen, of die bestemd zijn daarin te worden opgenomen.

Deze verwerkingen vallen onder de reikwijdte van de Wet politiegegevens (Wpg) en het Besluit politiegegevens voor buitengewoon opsporingsambtenaren (Bpg boa). Dit rapport is gebaseerd op de NOREA Handreiking Privacy audit Wpg voor boa’s 2024, versie 1.0 d.d. 3 september 2024 , de Richtlijn 3000D van de NOREA (Assurance- opdrachten door IT-auditors) en is opgesteld door Duijnborgh Audit B.V.. Ons rapport wordt uitgebracht in twee versies: Het ‘short form’ rapport bevat de basiselementen en is bedoeld voor de toezichthouder. Het ‘long form’ rapport bevat in Bijlagen 1 en 2 aanvullende informatie die in beginsel uitsluitend bedoeld is voor gemeente Albrandswaard, zoals een overzicht van de getoetste interne beheersingsmaatregelen en | de door ons vastgestelde bevindingen en aanbevelingen. Het voorliggende rapport is de ‘long form’ versie van ons rapport. Contactgegevens: Duijnborgh Audit B.V. Bezoekadres | : | Utrecht Businesspark Papendorp Papendorpseweg 75 3528 BJ Utrecht Postadres | : | Postbus 40270 3504 AB Utrecht Telefoon | : | +31(0) 88 160 1700 Fax | : | +31(0) 88 160 1799 Contactgegevens | : | E.

Golotic E-mail/mobiele telefoon | : | e.golotic@dbaudit.nl | +31611188449 Bankrelatie | : | ABN-AMRO bank | NL03 ABNA 0547830025 Kamer van koophandel | : | Utrecht | 34224905 Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 4 van 65 1 Assurance-rapport van de onafhankelijke auditor Aan: gemeente Albrandswaard 1.1 Ons afkeurend oordeel Naar ons oordeel voldoen de door Albrandswaard getroffen beheersingsmaatregelen om te voorzien in de borging van de wettelijke eisen met betrekkin g tot de verwerking van politiegegevens in opzet, bestaan en werking gedurende de controleperiode (zi e sectie 1.4.2) in belangrijke mate niet aan de gestelde criteria (zie sectie 1.3). Vanwege het belang en de omvang van de aangelegenheden die hierna zijn beschreven, geven wij een afkeurend oordeel. H et overzicht met oordelen per beheersingsmaatregel is hierna in paragraaf 1.2 ‘De basis voor ons afkeurend oordeel’ weergegeven. Ons oordeel is gevormd op basis van de aangelegenheden die in dit assurance-rapport zijn uiteengezet.

De specifieke, getoetste beheersingsmaatregelen en de aard, timing en resultaten van die toetsingen zijn opgenomen in Bijlage 1 – Beschrijving van de beheersingsdoelstellingen, beheersingsmaatregelen en testresultaten (Wpg) en Bijlage 2 - Beschrijving van de beheersingsdoelstellingen, beheersingsmaatregelen en testresultaten (technische en organisatorische maatregelen). 1.2 De basis voor ons afkeurend oordeel Wij hebben vastgesteld dat een aanzienlijk deel van de hiernavolgende Wpg onderwerpen niet (rood) of niet volledig (oranje) zijn opgezet, bestaan en/ of effectief werken. Omdat er bij 10 of meer beheersingsmaatregelen in opzet, bestaan en/of werking niet wordt voldaan aan de door de wetgever gestelde eisen, zijn deze aangelegenheden materieel en van diepgaande negatieve invloed op het beschermen van de privacy van betrokkenen. Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, waaronder de NOREA Richtlijn 3000D ’Assurance-opdrachten door IT-auditors (Directe-opd rachten)’. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. On ze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van Gemeente Albrandswaard en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA.

Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor onze oordelen. Toelichting gebruikte kleuren: 0 Groen - De beheersingsmaatregelen voldoen; 0 Oranje - De beheersingsmaatregelen voldoen deels. Om geheel aan de beheersingsmaatregelen te voldoen dien(t)(en) de geconstateerde afwijking(en) te worden opgelost; 0 Rood - De beheersingsmaatregelen voldoen niet. Om aan de beheersingsmaatregelen te voldoen dien(t)(en) de geconstateerde afwijking(en) te worden opgelost; 0 Grijs - Niet onderzocht. De redenen waarom normen niet zijn onderzocht zijn als volgt aangeduid: Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 5 van 65 *) Bestaan bij betreffende norm niet kunnen toetsen wegens non-occurrence; **) Norm geheel niet van toepassing omdat het betreffend proces zich niet voordoet bij gemeente Albrandswaard. Domein I (Strafrechtelijke handhaving openbare ruimte) Domein I Onderwerpen Conclusie Opzet Bestaan Werking 1. Reikwijdte 2. Doelbinding 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst 4. Juistheid en volledigheid politiegegevens 5. Onderscheid feiten en oordeel 6. Gegevensbescherming door beveiliging en ontwerp 7. Gegevensbescherming door standaardinstellingen 8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA) 9.

Bijzondere categorieën van politiegegevens 10. Autorisaties en toegang tot politiegegevens 11. Autorisaties: aanwijzen functionarissen ** ** ** 12. Onderscheid tussen verschillende categorieën van betrokkenen 13. Verwerker en Verwerkersovereenkomst 14. Geheimhoudingsplicht 15. Geautomatiseerde individuele besluitvorming ** ** ** 16. Uitvoering van de dagelijkse politietaak 17. Ter beschikking stellen van politiegegevens binnen het WPG -domein ** ** ** 18. Geautomatiseerd vergelijken en in combinatie zoeken ** ** ** 19. Ondersteunende taken ** ** ** 20. Bewaartermijnen, verwijderen en vernietigen 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee * * 22. Doorgiften aan derde landen ** ** ** 23. Verstrekking aan derden structureel voor samenwerkingsverbanden ** ** ** 24. Rechtstreekse verstrekking ** ** ** 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering * * 26. Register 27. Documentatie * * 28. Logging 29. Audits 30. Melding datalekken * * 31. Functionaris voor gegevensbescherming Technische en organisatorische onderwerpen Informatie systeem CityControl Oordelen Opzet Bestaan Werking 1. Wijzigingenbeheer 2. Logische toegangsbeveiliging 3. Beheer van kwetsbaarheden (patchmanagement) 4. Cryptografie 5.

Vulnerability scans en Penetratietesten Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 6 van 65 Domein III (Onderwijs/ Leerplicht) Domein III Onderwerpen Conclusie Opzet Bestaan Werking 1. Reikwijdte 2. Doelbinding 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst 4. Juistheid en volledigheid politiegegevens 5. Onderscheid feiten en oordeel 6. Gegevensbescherming door beveiliging en ontwerp 7. Gegevensbescherming door standaardinstellingen 8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA) 9. Bijzondere categorieën van politiegegevens 10. Autorisaties en toegang tot politiegegevens 11. Autorisaties: aanwijzen functionarissen ** ** ** 12. Onderscheid tussen verschillende categorieën van betrokkenen 13. Verwerker en Verwerkersovereenkomst 14. Geheimhoudingsplicht 15. Geautomatiseerde individuele besluitvorming ** ** ** 16. Uitvoering van de dagelijkse politietaak 17. Ter beschikking stellen van politiegegevens binnen het WPG -domein ** ** ** 18. Geautomatiseerd vergelijken en in combinatie zoeken ** ** ** 19. Ondersteunende taken ** ** ** 20. Bewaartermijnen, verwijderen en vernietigen 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee * * 22. Doorgiften aan derde landen ** ** ** 23.

Verstrekking aan derden structureel voor samenwerkingsverbanden ** ** ** 24. Rechtstreekse verstrekking ** ** ** 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering * * 26. Register 27. Documentatie * * 28. Logging 29. Audits 30. Melding datalekken * * 31. Functionaris voor gegevensbescherming Technische en organisatorische maatregelen Informatie systeem CAReL3 Onderwerpen Oordelen Opzet Bestaan Werking 1. Wijzigingenbeheer 2. Logische toegangsbeveiliging 3. Beheer van kwetsbaarheden (patchmanagement) 4. Cryptografie 5. Vulnerability scans en Penetratietesten Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 7 van 65 1.3 Criteria De (generieke) algehele beheersingsdoelstelling voor de privacy audit Wpg voor boa’s is het voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Hiertoe heeft de organisatie beheersingsmaatregelen getroffen die in opzet, bestaan en werking door de IT-auditor worden getoetst.

De IT-auditor maakt bij deze toetsing gebruik van de volgende criteria Opzet De organisatie heeft de beheersingsmaatregen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Bestaan De organisatie heeft de beheersingsmaatregelendaadw erkelijk geïmplementeerd en toegepast. Werking De organisatie heeft de beheersingsmaatregelen gedu rende de controleperiode toegepast, ingeval van handmatige beheersingsmaatre gelen zijn deze toegepast door competente en bevoegde personen. 1.4 Aangelegenheden met betrekking tot de reikwijdte van ons onderzoek 1.4.1 Object van onderzoek De scope van ons onderzoek bij gemeente Albrandswaard bestond uit de hierna genoemde verwerkingen van politiegegevens: # Organisatieonderdeel Domein Processen/verwerkingen Applicaties 1 Team handhaving I Openbare Ruimte CityControl 2 Team leerplicht III Onderwijs (Leerplicht) CAReL3 Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde verwerkingen van politiegegevens en doen daar derhalve ook geen uitspraak over. 1.4.2 Specificatie van de controleperiode Ons onderzoek ten aanzien van de opzet, het bestaan en de werking van beheersingsmaatregelen strekte zich uit tot de periode 1 januari 2021 tot en met 31 december 2024.

Uitzondering hierop vormen een aantal zogenaamde ‘Toezichtmaatregelen’. Dit betreft de beheersingsmaatregelen:  Planning, uitvoering, en rapportage van de interne audits (#29);  Toezichttaken van de FG (#31). Het onderzoeken van de hiervoor genoemde ‘Toezichtmaatregelen’ strekte zich uit tot de volledige controleperiode (1 januari 2021 tot en met 31 december 2024). Hierbij merken wij op dat de controleperiode 1 janu ari 2021 tot en met 31 december 2021 bij een eerdere externe privacy audit (onder verwijzing naa r kenmerk BKBO/220704-4/EWPG en de rapportdatum 17 april 2023) is onderzocht en aan de AP is gerapporteerd. Om ‘dubbeling’ te voorkomen, maakt deze specifieke periode geen onder deel uit van de thans onderzochte Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 8 van 65 controleperiode. De controleperiode is daarmee beperkt tot 1 januari 2022 tot en met 31 december 2024. 1.4.3 Beperkingen Wij kunnen niet uitsluiten dat, indien wij aanvulle nde beheersingsmaatregelen zouden hebben onderzocht, wellicht andere onderwerpen zouden zijn geconstateerd die voor rapportering in aanmerking zouden zijn gekomen. Bovendien is de projectie van oordelen naar de toek omst onderhevig aan het risico dat interne beheersingsmaatregelen ineffectief kunnen worden.

1.5 Beoogde gebruikers en doel Gemeente Albrandswaard dient ingevolge artikel 33 2 e lid van de Wet politiegegevens een afschrift van de controleresultaten van de privacy audit aan de Autoriteit persoonsgegevens te zenden. In eerste instantie betreft dit het ‘short form’ rappo rt (rapport exclusief bijlagen). De Autoriteit persoonsgegevens kan, in het kader van haar toezichthoudende taak, het ‘long form’ rapport (rapport inclusief bijlagen) zonder opgaaf van redenen bij g emeente Albrandswaard opvragen. Voor de verstrekking van beide rapportages geldt als voorwa arde dat de rapportage origineel, volledig en ongewijzigd ter inzage wordt aangeboden. Het is, zonder onze uitdrukkelijke voorafgaande sch riftelijke toestemming, niet toegestaan de rapportages met anderen dan de Autoriteit persoonsg egevens te delen. Het verstrekken van deze toestemming kan omgeven zijn met nadere voorwaarden. 1.6 Verantwoordelijkheden gemeente Albrandswaard Gemeente Albrandswaard is verantwoordelijk voor de opzet, het bestaan en de werking van de relevante beheersingsmaatregelen gedurende de contr oleperiode, om te voldoen aan de wettelijke eisen van de in de Wet Politiegegevens (Wpg) en het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpg boa) gestelde bepalingen.

1.7 Verantwoordelijkheden van de IT-auditor Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële afwijkingen als gevolg van fraude of fouten ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA’ (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsmanagem ent inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voors chriften, professionele standaarden en andere Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 9 van 65 relevante wet- en regelgeving. Wij voldoen aan de s pecifieke vereisten voor de uitvoering van de externe privacy audit, zoals bepaald in artikel 5 van de Regeling periodieke audit politiegegevens 1. De werkzaamheden zijn afhankelijk van de door de IT -auditor toegepaste professionele oordeelsvorming en bestonden uit een combinatie van inspectie van documentatie, het houden van interviews, het evalueren van de resultaten van de uitgevoerde interne controles en het verrichten van eigen (aanvullende) testwerkzaamheden.

Onze bevindingen zijn opgenomen in de bijlagen 1 en 2. 1.8 Aanbeveling met betrekking tot de hercontrole Wij hebben vastgesteld dat gemeente Albrandswaard n iet (geheel) voldoet aan het bij of krachtens de we t bepaalde. Inzake de uitvoering van de hercontrole 2, bevelen wij Gemeente Albrandswaard aan om deze do or een externe auditor te laten uitvoeren. Wij baseren deze aanbeveling op het volgende: - Overwogen aspect(en) voor de aanbeveling (zie paragraaf 2.4 van de Handreiking); - Het gegeven dat sprake is van een afkeurend oordeel. Utrecht, 26 februari 2026 Duijnborgh Audit B.V. E. Golotic F. Kossen RE 1 Zie hiervoor de Regeling van de Minister van Justit ie, de Minister van Binnenlandse Zaken en de Minist er van Defensie van 9 december 2008, nr. 5578598/08, houdende nadere regels ten aa nzien van het toezicht op de naleving van de bij of krachtens de Wet politiegegevens gegevens voorschriften (Regeling periodieke audit po litiegegevens). 2 Anders dan de eerste auditcyclus, is in deze auditc yclus op suggestie van de AP de diepgang van de her controle gewijzigd. Als de hercontrole plaatsvindt binnen een half jaar na uit voering van de externe privacy audit, volstaat een beoordeling van de opzet en het bestaan van de beheersingsmaatregelen.

Wordt de her controle uitgevoerd tussen een half jaar en een jaa r, dan vindt deze plaats op opzet, bestaan en werking van de beheersingsmaatregelen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 10 van 65 2 Beschrijving privacy-doelstellingen Om de privacy van de verwerkte politiegegevens ten behoeve van de wettelijke taak te kunnen waarborgen en te kunnen voldoen aan de eisen die de wet daaraan stelt, heeft gemeente Albrandswaard beheersingsmaatregelen getroffen in lijn met de illustratieve beheersingsmaatregelen uit de NOREA Handreiking Privacy audit Wpg (boa). D ie illustratieve beheersingsmaatregelen zijn gebaseerd op de Wet politiegegevens en het Besluit politiegegevens buitengewoon opsporingsambtenaren en omvatten de te verwachten o nderwerpen en - beheersingsmaatregelen, gericht op beheersing van privacy in gegevensverwerkende processen en indicatieve controles, in lijn met de geldende wet- en regelgeving. Onderstaand zijn deze onderwerpen en illustratieve beheersingsmaatregelen weergegeven. Onderwerpen en beheersingsmaatregelen 1. Reikwijdte De verwerkingsverantwoordelijke heeft bestanden met politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. 2. Doelbinding Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden.

Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze, worden verwerkt. 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst van gegevens voor art 9 verwerkingen wordt vermeld. 4. Juistheid en volledigheid politiegegevens  De verwerkingsverantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens. 5. Onderscheid feiten en oordeel Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. 6. Gegevensbescherming door beveiliging en ontwerp  Er is (aantoonbaar) een risicoanalyse uitgevoerd waaruit het risiconiveau blijkt m.b.t. ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging.  De verwerkingsverantwoordelijke identificeert, evalueert en mitigeert systematisch en periodiek factoren die het beschermen van politiegegevens tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging in gevaar brengen en past de maatregelen hierop aan.

 De organisatie heeft gegevensbeschermingsbeleid en procedures ontwikkeld en vastgesteld. De verwerkingsverantwoordelijke heeft de maatregelen die nodig zijn om het risico te beperken (passende technische en organisatorische maatregelen) aantoonbaar geïmplementeerd.  Privacy by design wordt toegepast/geborgd (bijv. bij ontwikkelingen/ wijzigingen). 7. Gegevensbescherming door standaardinstellingen De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat standaard:  alleen die politiegegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking;  politiegegevens niet zonder tussenkomst van een natuurlijke persoon voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt. 8. Gegevensbeschermings-effectbeoordeling / Data protection impact assessment (DPIA)  Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert worden binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt door middel van een DPIA die ten minste aan de eisen gesteld in de wet voldoet.  De verwerkingsverantwoordelijke beoordeelt, indien nodig of wanneer sprake is van een verandering van het risico, of de verwerking in overeenstemming met de DPIA wordt uitgevoerd en past de DPIA zo nodig aan. 9.

Bijzondere categorieën van politiegegevens Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 11 van 65 Onderwerpen en beheersingsmaatregelen Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij:  Dat onvermijdelijk is voor het doel van de verwerking.  Dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon.  De gegevens afdoende zijn beveiligd. 10. Autorisaties en toegang tot politiegegevens  Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to-know).  Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens.  Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. 11. Autorisaties: aanwijzen functionarissen Er is een actuele lijst van, door de verwerkingsverantwoordelijke aangewezen, bevoegde functionarissen. 12.

Onderscheid tussen verschillende categorieën van betrokkenen De verwerkingsverantwoordelijke heeft geborgd dat, voor zover mogelijk, duidelijk onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. 13. Verwerker en Verwerkersovereenkomst  De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking heeft die nodig is om aantoonbaar te maken dat de verplichtingen in de verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken.  De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen.  Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling.  Er zijn afspraken vastgesteld en vastgelegd m.b.t. de handelswijze bij een inbreuk op de beveiliging.  Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met toestemming van de verwerkingsverantwoordelijke. Aan deze andere verwerker (subverwerker) is bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. 14.

Geheimhoudingsplicht Er is geborgd dat de ambtenaar van politie of de persoon aan wie politiegegevens ter beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. 15. Geautomatiseerde individuele besluitvorming  Besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking die voor de betrokkene nadelige rechtsgevolgen (kunnen) hebben of hem in aanmerkelijke mate treft, worden niet genomen tenzij voorzien is in de voorwaarden genoemd in de wet.  Het verbod op het gebruik van profilering dat leidt tot discriminatie van personen op grond van de bijzondere categorieën van politiegegevens (art 5) is bekend binnen de organisatie. Dit beperkte verbod op profilering is onderwerp van de bewustwordingssessies binnen de organisatie. 16. Uitvoering van de dagelijkse politietaak  Geborgd is dat art 8 politiegegevens één jaar na de datum van de eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hitno-hit basis).

 Geborgd is voor zover dat noodzakelijk is met het oog op de uitvoering van de dagelijkse politietaak politiegegevens ten aanzien waarvan in art 8 lid 1 genoemde termijn is verstreken geautomatiseerd worden vergeleken met politiegegevens die worden verwerkt op grond van art 8 lid 1 teneinde vast te stellen of verbanden bestaan tussen de betreffende gegevens. De gerelateerde gegevens kunnen verder worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak. 17. Ter Beschikking stellen (voor verdere verwerking)  Geborgd is dat de verdere verwerking van art 9 gegevens alleen plaats vindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris.  Geborgd is dat de ter beschikking stellen van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a conform de richtlijnen gesteld in de wet plaatsvindt. 18. Geautomatiseerd vergelijken en in combinatie zoeken Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 12 van 65 Onderwerpen en beheersingsmaatregelen  Geborgd is dat gegevens alleen geautomatiseerd worden vergeleken met andere politiegegevens of met andere dan politiegegevens binnen de richtlijnen gesteld in art 11.

 Geborgd is dat gegevens alleen in combinatie met elkaar worden verwerkt binnen de richtlijnen gesteld in art 11 lid 4.  Geborgd is dat het in combinatie verwerken van art 8 politiegegevens beperkt is tot de boa’s die daarvoor geautoriseerd zijn.  Geborgd is dat de ambtenaren die geautomatiseerd vergelijken en ambtenaren die in combinatie zoeken over voldoende kennis en vaardigheden beschikken. 19. Ondersteunende taken Geborgd is dat voor de verwerkingen bedoeld in art 13 lid 1 t/m 3, van tevoren is voldaan aan de schriftelijke vereisten (art 13 lid 4). 20. Bewaartermijnen, verwijderen en vernietigen  Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt.  De verwerkingsverantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden gecontroleerd, verwijderd en vernietigd.  Geborgd is dat Politiegegevens na verwijdering maximaal vijf jaar worden bewaard. Indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen zoals genoemd in de Archiefwet voldaan. 21.

Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee  Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd.  Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg).  Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet.  Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht.  De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij.  Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatig wijze zijn verstrekt. 22. Doorgiften aan derde landen  De doorgifte van gegevens aan verwerkingsverantwoordelijke in derde landen vindt alleen plaats indien er een adequaatsheidsbesluit is van de Commissie van de Europese Unie of indien één van de uitzonderingsgronden zoals genoemd in de wet van toepassing is.

 De doorgifte van gegevens aan derde landen wordt vastgelegd (documentatieplicht).  Indien doorgifte plaatsvindt op basis van art 17a lid 2 onderdeel a of b, lid 3 of lid 5 is (aantoonbaar) voldaan aan de gestelde eisen in de wet.  Indien politiegegevens van een andere lidstaat afkomstig worden doorgegeven aan derde landen is de toestemming van de verantwoordelijke autoriteit van deze lidstaat beschikbaar. 23. Verstrekking aan derden structureel voor samenwerkingsverbanden  De verwerkingsverantwoordelijke heeft inzicht in de samenwerkingsverbanden waarbij politiegegevens worden verstrekt.  In de beslissing voor het verstrekken van politiegegevens t.b.v. een samenwerkingsverband wordt vastgelegd: o Ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is, o Ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt, o Het doel waartoe dit is opgericht, o Welke gegevens worden verstrekt, o De voorwaarden onder welke de gegevens worden verstrekt en o Aan welke personen of instanties de gegevens worden verstrekt. o De daadwerkelijke verstrekking van gegevens wordt vastgelegd. 24.

Rechtstreekse verstrekking Datum | 26 februari 2026 Versie | 1.0 - Definitief Kenmerk | 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina | 13 van 65 Onderwerpen en beheersingsmaatregelen  | De organisatie heeft geborgd dat rechtstreekse verstrekking uitsluitend plaatsvindt voor zover noodzakelijk op grond van art 23 en alleen voor zover voldaan kan worden aan de beveiligingseisen.  | De rechtstreekse verstrekking op basis van art 23 lid 2 vindt alleen plaats aan de aangewezen personen. 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering  | De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit beknopt, toegankelijk en duidelijk, zodat de betrokkene zijn rechten kan uitoefenen. De informatievoorziening voldoet aan de eisen gesteld in art 24b lid 1 en 2.  | Bij uitstel, beperking of achterwege laten van de verstrekking van informatie bedoeld in 24b lid 2 is de uitstel, beperking of achterwege laten alsmede de duur van deze maatregel onderbouwd.  | Verzoeken tot inzage, rectificatie, vernietiging van betrokkenen worden - met inachtneming van het gestelde in artikel 27 - tijdig en adequaat afgehandeld.

 | De organisatie borgt dat bij een verzoek tot inzage (art 25 lid 1) of rectificatie (art 28 lid 1) dat de betrokkene zonder onnodige vertraging in kennis wordt gesteld van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid een klacht in te dienen bij de AP.  | Een weigering gevolg te geven aan het verzoek conform art 24a lid 4 is onderbouwd. Elke weigering of beperking van de inzage wordt aan de betrokkene toegelicht, met vermelding van de feitelijke of juridische gronden die aan het besluit ten grondslag liggen. 26. Register De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat: a) | de naam en de contactgegevens van de verwerkingsverantwoordelijke, de gezamenlijk verwerkingsverantwoordelijken en de functionaris voor gegevensbescherming; b) | de doelen van de verwerking; c) | de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; d) | een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; e) | in voorkomend geval, het gebruik van profilering; f) | in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; g) | een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor

de politiegegevens bedoeld zijn; h) | zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; i) | zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging, bedoeld in artikel 4a; j) | de toekenning van de autorisaties, bedoeld in artikel 6. De verwerker houdt een register bij dat de volgende gegevens bevat: a) | de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkingsverantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming; b) | de categorieën van verwerkingen die namens iedere verwerkingsverantwoordelijke zijn uitgevoerd; c) | indien van toepassing, doorgiften van politiegegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie, indien door de verwerkingsverantwoordelijke uitdrukkelijk daartoe geïnstrueerd d) | indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 4a. 27. Documentatie  | De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de onderdelen genoemd in art 32 lid 1. De bedoelde politiegegevens worden conform art 32 lid 4 bewaard.

 | De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land of aan een internationale organisatie.  | De schriftelijke melding van een gemeenschappelijke verwerking van politiegegevens aan de AP is geborgd. 28. Logging  | De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de vastlegging langs elektronische weg (logging) van ten minste de volgende verwerkingen van politiegegevens in geautomatiseerde systemen: het Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 14 van 65 Onderwerpen en beheersingsmaatregelen verzamelen, wijzigen, raadplegen, verstrekken onder meer in de vorm van doorgiften, combineren of vernietigen van politiegegevens (32a lid1).  De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, voor interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures (32a lid 2). 29. Audits Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling periodieke audit politiegegevens. 30.

Melding datalekken  De organisatie detecteert en behandelt privacy gerelateerde incidenten op gepaste wijze om de gevolgen te beperken en maatregelen te nemen om toekomstige inbreuken te voorkomen.  De verantwoordelijkheden van de behandeling van datalekken zijn belegd in de organisatie, de daadwerkelijke uitvoering wordt beheerst, gedocumenteerd en geëvalueerd.  De melding van een datalek aan de AP vindt tijdig en volledig plaats.  Betrokkenen worden, indien vereist, tijdig en volledig in kennis gesteld van een inbreuk op de beveiliging als deze inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden betekent. 31. Functionaris voor gegevensbescherming  Er is een functionaris voor gegevensbescherming aangesteld die toezicht houdt op: o het naleven van de Wpg; o het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens; o de toewijzing van de autorisaties, bedoeld in art 6; o de bewustmaking en opleiding van de ambtenaren van politie betrokken bij de verwerking van politiegegevens; o de audits; o de uitvoering van de DPIA's.  De Functionaris Gegevensbescherming stelt jaarlijks een verslag op van zijn bevindingen en stelt het ter beschikking aan de verwerkingsverantwoordelijke.

 De functionaris voor gegevensbescherming is aangemeld bij de Autoriteit Persoonsgegevens en de contactgegevens van de FG zijn openbaar gemaakt. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 15 van 65 3 Managementreactie Betreft: Managementreactie Gemeente Albrandswaard op het Assurance-Rapport Privacy Audit Wpg van Duijnborgh Audit B.V.. Gemeente Albrandswaard heeft kennisgenomen van het voorliggende assurance-rapport. Het rapport sluit aan bij de situatie per 31 december 2024 van gemeente Albrandswaard inzake onze verwerking(en) van politiegegevens. We delen de conclusies zoals weergegeven in het rapport. Wel willen we opmerken dat een groot deel van de ge rapporteerde bevindingen in de tussentijd (periode vanaf medio 2025 tot heden) is opgelost. H et rapport geeft daarnaast een aantal aandachtspunten waaraan de gemeente Albrandswaard de komende periode verder aandacht aan zal gaan schenken. De bijlagen van dit rapport zijn vertrouwelijk en uitsluitend bestemd voor gemeente Albrandswaard.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 16 van 65 Bijlage 1 - Beschrijving van de beheersingsmaatregelen en testresultaten (Wpg beheersingsmaatregelen) In de onderstaande tabel hebben wij in de kolom ‘Bevindingen’ de resultaten van onze werkzaamheden gericht op het vaststellen van de opzet, het bestaan en/of de werking van de beheersingsmaatregelen vastgelegd. In de kolom ‘Conclusie en aanbeveling’ geven wij aan of aan de criteria voor de opzet, het bestaan en/of de werking wordt voldaan (eventueel) aangevuld met een aanbeveling ter verbetering. Zoals in paragraaf 1.4.1 is aangegeven, verwerkt gemeente Albrandswaard politiegegevens in het/de volgende Domein(en): # Organisatieonderdeel Domein Processen/verwerkingen Applicaties 1 Team handhaving I Openbare Ruimte CityControl 2 Team leerplicht III Onderwijs (Leerplicht) CAReL3 In deze bijlage zijn alle bevindingen, tekortkomingen en aanbevelingen beschreven m.b.t. de verwerkingen van politiegegevens door Team handhaving in Domein I en het Team leerplicht in Domein III.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 17 van 65 Bijlage 1a - Toezicht en Handhaving - Openbare Ruimte (Domein I) Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 1 Reikwijdte Art 2, lid 1 en 2 De verwerkingsverantwoordelijke heeft verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. De gemeente heeft de verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd in het verwerkingsregister. Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Gemeente Albrandswaard gebruikt de applicatie CityControl van Sigmax voor de verwerkingen van politiegegevens. Deze verwerkingen zijn in CityControl geïdentificeerd en gedocumenteerd. Voldoet in opzet. Voldoet deels in bestaan en werking. Geen aanbevelingen. 2 Doelbinding Art 3 lid 1, 3 en 4 Art 8 lid 1 Art 9 lid 1 en 2 Art 11 (m.u.v. lid 2) Art 13 Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden.

Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze, worden verwerkt. De doelbindingen zijn beschreven in het verwerkingsregister. Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Instructies m.b.t. de verwerking van politiegegevens zoals de (wettelijke) vereisten t.a.v. de doelbinding, de rechtmatige verwerking en het zoveel mogelijk voorkomen van politiegegevens buiten CityControl zijn summier vastgelegd in de ‘Handleiding Wpg’. Voldoet deels in opzet, bestaan en werking. Aanbeveling: Beschrijf de doelbinding en het voorkomen van onrechtmatig verwerking uitgebreider(er) en specifieker in de Handleiding Wpg. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 18 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens worden verwerkt als dat niet nodig is voor de in de wet genoemde doeleinden.

3 Noodzakelijkheid & rechtmatigheid, vermelding herkomst Art 3 lid 2 en 5 Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst van gegevens voor art 9 verwerkingen wordt vermeld. De opleidings- en aanstellingseisen van de boa waarborgen voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat de persoonsgegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). Gemeente Albrandswaard heeft de (wettelijke) vereisten t.a.v. de noodzakelijkheid, rechtmatigheid en de vermelding herkomst beschreven in de ‘Handleiding WPG’. De handleiding is echter pas eind 2025 geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. De opleidings- en aanstellingseisen van de boa’s waarborgen voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat de persoonsgegevens daartoe toereikend, ter zake Voldoet deels in opzet, bestaan en werking. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 19 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens niet toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). 4 Juistheid en volledigheid politiegegevens Art 4, lid 1 De verwerkingsverantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens. Boa’s krijgen tijdens hun boa opleiding uitgebreide instructies inzake de borging van de juistheid en nauwkeurigheid van persoonsgegevens. De boa’s in Domein I maken gebruik van CityControl van Sigmax. CityControl beschikt over actieve GBA, RDW, en Nationaal Parkeerregister (NPR) - koppelingen die er (mede) voor zorgen dat de juistheid en nauwkeurigheid van politiegegevens is geborgd. Op basis van de inspectie van de TPM-verklaring van Sigmax hebben wij vastgesteld dat het informatiesysteem CityControl het rectificeren/ corrigeren van politiegegevens ondersteunt.

In de ‘Handleiding Wpg’ is gedocumenteerd dat per half jaar een controle wordt uitgevoerd op juistheid en nauwkeurigheid. Deze controle is echter in 2024 niet uitgevoerd. Voldoet in opzet. Voldoet deels in bestaan en werking. Aanbeveling: Voer de controle uit de Handleiding Wpg uit (paragraaf 3.2) uit waarbij de juistheid en volledigheid van de politiegegevens worden gecontroleerd. 5 Onderscheid feiten en persoonlijk oordeel Art 4 lid 3 Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die Het maken van onderscheid tussen feiten en persoonlijke oordelen is een (vast) onderdeel van de generieke boa-opleiding. Voldoet deels in opzet, bestaan en werking. Aanbevelingen: Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 20 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen op een persoonlijk oordeel zijn gebaseerd. In de ‘ Handleiding WPG’ zijn geen concrete richtlijnen opgenomen om feiten en persoonlijk oordelen te onderscheiden.

Op basis van de inspectie van de TPM van Sigmax, hebben wij vastgesteld dat CityControl standaard mogelijkheden biedt om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens die op feiten zijn gebaseerd niet, voor zover mogelijk, worden onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. In de ‘Handleiding Wpg’ is gedocumenteerd dat per half jaar een controle wordt uitgevoerd op juistheid en nauwkeurigheid. Deze controle is echter in 2024 niet uitgevoerd. Neem uitgangspunten op in de handleiding t.a.v. onderscheid feiten en persoonlijke oordeel Voer de controle uit de Handleiding Wpg uit (paragraaf 3.2) uit. 6 Gegevensbescherming door beveiliging en ontwerp Art 4a, lid 1 t/m 5 Er is (aantoonbaar) een risicoanalyse uitgevoerd waaruit het risiconiveau blijkt m.b.t. ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging.

De verwerkingsverantwoordelijke identificeert, evalueert en mitigeert systematisch en periodiek factoren die Op basis van de inspectie van de TPM van Sigmax hebben wij vastgesteld dat Sigmax een DPIA heeft uitgevoerd en dat de gegevensbescherming conform art 4a, lid 1 t/m 5 binnen de applicatie CityControl door beveiliging en ontwerp is gewaarborgd. Zie ook #8 Voldoet in opzet bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 21 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen het beschermen van politiegegevens tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging in gevaar brengen en past de maatregelen hierop aan. De organisatie heeft gegevensbeschermingsbeleid en procedures ontwikkeld en vastgesteld. De verwerkingsverantwoordelijke heeft de maatregelen die nodig zijn om het risico te beperken (passende technische en organisatorische maatregelen) aantoonbaar geïmplementeerd. Privacy by design wordt toegepast/geborgd (bijv. bij ontwikkelingen/ wijzigingen).

7 Gegevensbescherming door standaard- instellingen Art 4b lid 1a en lid 1b De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat standaard:  alleen die politiegegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking;  politiegegevens niet zonder tussenkomst van een natuurlijke persoon voor een onbeperkt aantal natuurlijke De verantwoordelijkheid voor technische en organisatorische maatregelen ligt bij Sigmax (als leverancier en beheerder van CityControl). Sigmax brengt (jaarlijks) een assurance-rapport (TPM) uit m.b.t. de technische- en organisatorische maatregelen. Middels inspectie van de TPM-verklaring hebben wij vastgesteld dat Sigmax passende technische- en organisatorische maatregelen heeft getroffen. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 22 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen personen toegankelijk worden gemaakt.

8 Gegevensbeschermings- effectbeoordeling/ Data protection impact assessment (DPIA) Art 4c Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert worden binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt door middel van een DPIA die ten minste aan de eisen gesteld in de wet voldoet. De verwerkingsverantwoordelijke beoordeelt, indien nodig of wanneer sprake is van een verandering van het risico, of de verwerking in overeenstemming met de DPIA wordt uitgevoerd en past de DPIA zo nodig aan. Het proces voor gegevensbeschermingsbeleid in het algemeen en het uitvoeren van DPIA’s in het bijzonder, is beschreven. In 2022 is een DPIA voor CityControl uitgevoerd. Er zijn in de tussentijd geen wijzigingen geweest die een update van de uitgevoerde DPIA vereisen. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 9 Bijzondere categorieën van politiegegevens Art 5 Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij:  dat onvermijdelijk is voor het doel van de verwerking;  dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon;  de gegevens afdoende zijn beveiligd. Eind 2025 is een werkinstructie voor de boa’s opgesteld waarin instructies voor het verwerken van bijzondere politiegegevens zijn gedocumenteerd.