27. Raadsinformatiebrief 2026-047540 inzake externe audits De Wet politiegegevens (Wpg) 2021-2024 en 2025.pdf

Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat bijzondere categorieën van politiegegevens in strijd met de Wpg en de interne richtlijnen worden verwerkt. Voldoet niet in opzet. Voldoet deels in bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 23 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 10 Autorisaties en toegang tot politiegegevens Art 6 lid 1 t/m 6 Art 6a Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to- know). Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens. Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt.

Er is geen formeel (gedocumenteerd) proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens gedocumenteerd. Daarnaast zijn geen periodieke controles uitgevoerd om de identiteit en toegangsrechten van gebruikers te beoordelen. Voldoet niet in opzet, bestaan en werking. Aanbevelingen: Beschrijf het proces voor het uitgeven, wijzigen en intrekken van autorisaties en voer de controles* op de uitgegeven autorisaties aantoonbaar uit. *Deze controles dienen minimaal 2x per jaar te worden uitgevoerd (conform BIO BBN2). 11 Autorisaties: aanwijzen functionarissen Art 6 lid 7 Er is een actuele lijst van, door de verwerkings-verantwoordelijke aangewezen, bevoegde functionarissen. Er is/zijn geen bevoegde functionaris(sen) aangewezen om reden dat de gemeente binnen Domein I geen artikel 9 onderzoeken uitvoert. Niet van toepassing 12 Onderscheid tussen verschillende categorieën van betrokkenen Art 6b De verwerkingsverantwoordelijke heeft geborgd dat, voor zover mogelijk, duidelijk onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. CityControl maakt onderscheid tussen de verschillende categorieën van betrokkenen (o.a. verdachten, getuigen en slachtoffers). Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat onvoldoende onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen.

Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 13 Verwerker en Verwerkers - overeenkomst Art 6c De verwerker stelt de verwerkingsverantwoordelijke alle Gemeente Albrandswaard heeft eind 2025 een verwerkersovereenkomst getekend met Sigmax. Voldoet niet in opzet . Voldoet deels in bestaan en werking. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 24 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen informatie ter beschikking heeft die nodig is om aantoonbaar te maken dat de verplichtingen in de verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken. De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen. Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling. Er zijn afspraken vastgesteld en vastgelegd m.b.t. de handelswijze bij een inbreuk op de beveiliging.

Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met toestemming van de verwerkingsverantwoordelijke. Aan deze andere verwerker (subverwerker) is bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Geen aanbevelingen. 14 Geheimhoudingsplicht Art 7 Er is geborgd dat de boa of een andere persoon aan wie politiegegevens ter De gemeente heeft geborgd dat de boa of een andere persoon aan wie politiegegevens ter Voldoet in opzet, bestaan en werking. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 25 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. Geen aanbevelingen.

15 Geautomatiseerde individuele besluitvorming Art 7a Besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking die voor de betrokkene nadelige rechtsgevolgen (kunnen) hebben of hem in aanmerkelijke mate treft, worden niet genomen tenzij voorzien is in de voorwaarden genoemd in de wet. Het verbod op het gebruik van profilering dat leidt tot discriminatie van personen op grond van de bijzondere categorieën van politiegegevens (art 5) is bekend binnen de organisatie. Dit beperkte verbod op profilering is onderwerp van de bewustwordingssessies binnen de organisatie. Er worden geen besluiten genomen die uitsluitend zijn gebaseerd op geautomatiseerde verwerking. Niet van toepassing. 16 Uitvoering van de dagelijkse opsporingstaak Art 8 lid 1 en 2 Geborgd is dat art 8 politiegegevens één jaar na de datum van de eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis). Geborgd is voor zover dat noodzakelijk is met het oog op de uitvoering van de dagelijkse politietaak politiegegevens Middels inspectie van de TPM -verklaring hebben wij vastgesteld dat Sigmax maatregelen heeft genomen zodat (artikel 8) politiegegevens uitsluitend kunnen worden verwerkt op basis van gericht zoeken (hit/no hit basis).

Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 26 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen ten aanzien waarvan in art 8 lid 1 genoemde termijn is verstreken geautomatiseerd worden vergeleken met politiegegevens die worden verwerkt op grond van art 8 lid 1 teneinde vast te stellen of verbanden bestaan tussen de betreffende gegevens. De gerelateerde gegevens kunnen verder worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak. 17 Ter beschikking stellen van politiegegevens binnen het Wpg-domein Art 4 lid 1 Art 8 lid 4 Art 9 lid 3 Art 15 lid 1 en 2 Art 15a lid 1 en 2 Geborgd is dat de verdere verwerking van art 9 gegevens alleen plaats vindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris. Geborgd is dat de ter beschikking stellen van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a conform de richtlijnen gesteld in de wet plaatsvindt. De boa’s in Domein I verwerken geen politiegegevens binnen de reikwijdte van artikel 9.

Politiegegevens worden niet ter beschikking gesteld aan autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a. Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 27 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 18 Geautomatiseerd vergelijken en in combinatie zoeken Art 11 lid 1, 3, 4 en 5 Art 8 lid 3 Art 2:1 en 2:2 lid 1 Bpg Geborgd is dat gegevens alleen geautomatiseerd worden vergeleken met andere politiegegevens of met andere dan politiegegevens binnen de richtlijnen gesteld in art 11. Geborgd is dat gegevens alleen in combinatie met elkaar worden verwerkt binnen de richtlijnen gesteld in art 11 lid 4. Geborgd is dat het in combinatie verwerken van art 8 politiegegevens beperkt is tot de boa’s die daarvoor geautoriseerd zijn. Geborgd is dat de ambtenaren die geautomatiseerd vergelijken en ambtenaren die in combinatie zoeken over voldoende kennis en vaardigheden beschikken. Politiegegevens worden niet geautomatiseerd met andere politiegegevens vergeleken dan wel in combinatie met elkaar verwerkt. Niet van toepassing.

19 Ondersteunende taken Art 13 Geborgd is dat voor de verwerkingen bedoeld in art 13 lid 1 t/m 3, van tevoren is voldaan aan de schriftelijke vereisten (art 13 lid 4). Gemeente Albrandswaard verwerkt geen gegevens zoals bedoeld in artikel 13 Wpg. Niet van toepassing. 20 Bewaartermijnen, verwijderen en vernietigen Art 4 lid 2 Art 8 lid 6 Art 9 lid 4 Art 14 Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt. De verwerkingsverantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens Middels inspectie van de TPM-verklaring van Sigmax hebben wij vastgesteld dat bewaartermijnen van politiegegevens hard- coded zijn in CityControl en politiegegevens niet langer worden bewaard dan de minimale tijd die nodig is, zoals vereist in wet- en regelgeving. Echter, er is geen procedure opgesteld waarin de verwijderingen en vernietigingen van Voldoet deels in opzet, bestaan en werking. Aanbevelingen: Stel een procedure op waarin de bewaartermijnen, verwijderingen en vernietigingen zijn beschreven en pad deze toe.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 28 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen conform de wet worden gecontroleerd, verwijderd en vernietigd. Geborgd is dat Politiegegevens na verwijdering maximaal vijf jaar worden bewaard. Indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen als genoemd in de Archiefwet voldaan. politiegegevens zijn beschreven. Wel is in de handleiding aangegeven dat periodiek een controle op bewaartermijnen, verwijderen en vernietigen moet worden uitgevoerd. Deze is in de verslagperiode niet uitgevoerd. Voer periodiek de controle uit op bewaartermijnen, verwijderen en vernietigen van politiegegevens. 21 Verstrekking van politie- gegevens aan anderen dan politie en Koninklijke marechaussee Art 16 Art 18 Art 19 Art 21 Art 22 Art 7 lid 1 Art 4 Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd. Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg).

Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet. Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht. De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover Eind 2025 zijn richtlijnen en werkinstructies opgesteld met betrekking tot de verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Non-occurrence: Gemeente Albrandswaard heeft aangegeven dat in de controleperiode geen verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee zijn geweest. Voldoet niet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 29 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij.

Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatig wijze zijn verstrekt. 22 Doorgiften aan derde landen Art 17a De doorgifte van gegevens aan verwerkingsverantwoordelijke in derde landen vindt alleen plaats indien er een adequaatsheidsbesluit is van de Commissie van de Europese Unie of indien één van de uitzonderingsgronden zoals genoemd in de wet van toepassing is. De doorgifte van gegevens aan derde landen wordt vastgelegd (documentatieplicht). Indien doorgifte plaatsvindt op basis van art 17a lid 2 onderdeel a of b, lid 3 of lid 5 is (aantoonbaar) voldaan aan de gestelde eisen in de wet. Indien politiegegevens van een andere lidstaat afkomstig worden doorgegeven aan derde landen is de toestemming van de verantwoordelijke autoriteit van deze lidstaat beschikbaar. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat geen doorgifte plaats vindt van gegevens aan verwerkingsverantwoordelijke(n) in derde landen. Niet van toepassing.

23 Verstrekking aan derden structureel voor samen- werkingsverbanden Art 20 De verwerkingsverantwoordelijke heeft inzicht in de samenwerkingsverbanden Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat verstrekkingen aan derden Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 30 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen waarbij politiegegevens worden verstrekt. In de beslissing voor het verstrekken van politiegegevens t.b.v. een samenwerkingsverband wordt vastgelegd:  Ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is,  Ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt,  Het doel waartoe dit is opgericht,  Welke gegevens worden verstrekt,  De voorwaarden onder welke de gegevens worden verstrekt en  Aan welke personen of instanties de gegevens worden verstrekt.  De daadwerkelijke verstrekking van gegevens wordt vastgelegd. structureel voor samenwerkingsverbanden niet plaatsvinden.

24 Rechtstreekse verstrekking Art 23 De organisatie heeft geborgd dat rechtstreekse verstrekking uitsluitend plaatsvindt voor zover noodzakelijk op grond van art 23 en alleen voor zover voldaan kan worden aan de beveiligingseisen. De rechtstreekse verstrekking op basis van art 23 lid 2 vindt alleen plaats aan de aangewezen personen. Rechtstreekse verstrekkingen zoals hier bedoeld is het aan een derde langs geautomatiseerde weg, niet zijnde niet telefoon, fax of mail inzage geven in politiegegevens. Gemeente Albrandswaard heeft aangegeven dat geen sprake is van gekoppelde informatiesystemen. Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 31 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 25 Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering. Art 24a lid 1 t/m 4 Art 24b Art 25 Art 26 Art 27 Art 28 De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit beknopt, toegankelijk en duidelijk, zodat de betrokkene zijn rechten kan uitoefenen. De informatievoorziening voldoet aan de eisen gesteld in art 24b lid 1 en 2.

Bij uitstel, beperking of achterwege laten van de verstrekking van informatie bedoeld in 24b lid 2 is de uitstel, beperking of achterwege laten alsmede de duur van deze maatregel onderbouwd. Verzoeken tot inzage, rectificatie, vernietiging van betrokkenen worden - met inachtneming van het gestelde in artikel 27 - tijdig en adequaat afgehandeld. De organisatie borgt dat bij een verzoek tot inzage (art 25 lid 1) of rectificatie (art 28 lid 1) dat de betrokkene zonder onnodige vertraging in kennis wordt gesteld van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid een klacht in te dienen bij de AP. Gemeente Albrandswaard informeert betrokkenen op de website op transparante en toegankelijke wijze omtrent de mogelijkheid zijn rechten uit te oefenen. Gemeente Albrandswaard heeft aangegeven dat in de controleperiode geen verzoeken tot inzage, rectificatie, vernietiging van betrokkenen zijn geweest. Voldoet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 32 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Een weigering gevolg te geven aan het verzoek conform art 24a lid 4 is onderbouwd.

Elke weigering of beperking van de inzage wordt aan de betrokkene toegelicht, met vermelding van de feitelijke of juridische gronden die aan het besluit ten grondslag liggen. 26 Register Art 31d lid 1 en 2 De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerkings- verantwoordelijke, de gezamenlijk verwerkings-verantwoordelijken en de functionaris voor gegevensbescherming; b) de doelen van de verwerking; c) de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; d) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; e) in voorkomend geval, het gebruik van profilering; f) in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; Gemeente Albrandswaard heeft eind 2025 een (intern) verwerkingsregister opgesteld waarin de verwerking van politiegegevens van Domein I zijn opgenomen. Daarnaast is ook eind 2025 een jaarlijks proces ingesteld dat borgt dat het verwerkingsregister actueel wordt gehouden. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens.

Voldoet niet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 33 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen g) een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de politiegegevens bedoeld zijn; h) zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; i) zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging, bedoeld in artikel 4a; j) de toekenning van de autorisaties, bedoeld in artikel 6.

De verwerker houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkings- verantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming; b) de categorieën van verwerkingen die namens iedere verwerkings- verantwoordelijke zijn uitgevoerd; c) indien van toepassing, doorgiften van politiegegevens aan een derde land of een internationale Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 34 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen organisatie, onder vermelding van dat derde land of die internationale organisatie, indien door de verwerkings-verantwoordelijke uitdrukkelijk daartoe geïnstrueerd d) indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 4a. 27 Documentatie Art 32 lid 1 t/m 4 De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de onderdelen genoemd in art 32 lid 1. De bedoelde politiegegevens worden conform art 32 lid 4 bewaard.

De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land of aan een internationale organisatie. De schriftelijke melding van een gemeenschappelijke verwerking van politiegegevens aan de AP is geborgd. M.b.t. de schriftelijke vastleggingen als bedoeld in art. 32: a. de doelen van de onderzoeken, bedoeld in artikel 9, tweede lid; >> Gemeente Albrandswaard verwerkt geen art. 9 gegevens. b. de verstrekking of doorgifte van politiegegevens op grond van paragraaf 3, met uitzondering van de verstrekking, bedoeld in artikel 17 en artikel 24, eerste en tweede lid, indien dit zich niet verdraagt met het belang van de veiligheid van de staat; >> dit gebeurt niet (non-occurrence) . c. de feitelijke of juridische redenen die ten grondslag liggen aan een afwijzing, bedoeld in artikel 27, eerste lid; >> er zijn geen afwijzingen geweest in de controleperiode die betrekking hadden op de Wpg. d. een inbreuk op de beveiliging van persoonsgegevens, bedoeld in artikel 33a, inclusief de feiten omtrent de inbreuk, de gevolgen ervan en de maatregelen die zijn Voldoet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 35 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen getroffen ter correctie. >> in de controleperiode zijn geen (vermoede) datalekken geweest m.b.t. de Wpg . Datalekken (zowel AVG als Wpg) worden vastgelegd in het datalekkenregister. 28 Logging Art 32a De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in art 32a lid 1. De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. Middels inspectie van de TPM-verklaring hebben wij vastgesteld dat het informatiesysteem CityControl zowel de raadplegingen als de mutaties logt en dat Sigmax de logging beschermt. De gemeente heeft in de controleperiode echter geen actieve controle(s) uitgevoerd op de logging. Daarnaast ontbreekt beleid/ procedures wat de log principes zijn en welke activiteiten periodiek uitgevoerd dienen te worden. Voldoet deels in opzet, bestaan en werking.

Aanbevelingen: Stel een procedure op waarin (SMART) is beschreven onder welke voorwaarden door wie, wanneer en op welke wijze de logging voor onderzoek kan worden gebruikt en pas deze toe. 29 Audits Art 33 Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Na de hercontrole in 2024 is in 2024 ook een nulmeting uitgevoerd (geen formele interne audit). In 2025 in een volwaardige interne audit uitgevoerd. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Voldoet in opzet. Voldoet deels in bestaan. Voldoet niet in werking. Geen aanbevelingen. 30 Melding datalekken Art 33a De organisatie detecteer t en behandelt privacy gerelateerde incidenten op gepaste wijze om de gevolgen te beperken en maatregelen te nemen om toekomstige inbreuken te voorkomen. Gemeente Albrandswaard heeft voor het registreren en afhandelen van datalekken een procedure opgesteld. Datalekken worden bijgehouden in het Register datalekken. Voldoet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 36 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen De verantwoordelijkheden van de behandeling van datalekken zijn belegd in de organisatie, de daadwerkelijke uitvoering wordt beheerst, gedocumenteerd en geëvalueerd. De melding van een datalek aan de AP vindt tijdig en volledig plaats. Betrokkenen worden, indien vereist, tijdig en volledig in kennis gesteld van een inbreuk op de beveiliging als deze inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden betekent. Gemeente Albrandswaard heeft aangegeven dat in de controleperiode geen datalekken zijn gemeld t.a.v. de Wpg. 31 Functionaris voor gegevensbescherming Art 36 Er is een functionaris voor gegevensbescherming aangesteld die toezicht houdt op:  het naleven van de WPG;  het beleid van de verwerkings- verantwoordelijke met betrekking tot de bescherming van persoonsgegevens;  de toewijzing van de autorisaties, bedoeld in art 6;  de bewustmaking en opleiding van de boa’s betrokken bij de verwerking van politiegegevens;  de audits;  de uitvoering van de DPIA's. Gemeente Albrandswaard heeft een FG aangesteld voor de AVG en de Wpg.

De FG heeft jaarverslagen opgesteld en ter beschikking aan de verwerkingsverantwoordelijke over 2023, 2024 en 2025. De contactgegevens van de FG zijn in de privacy verklaring vermeld en op de gemeentelijke website van Albrandswaard gepubliceerd. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 37 van 65 Toezicht en Handhaving - Openbare Ruimte (Domein I) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen De FG stelt jaarlijks een verslag op van zijn bevindingen en stelt het ter beschikking aan de verwerkingsverantwoordelijke. De functionaris voor gegevensbescherming is aangemeld bij de Autoriteit Persoonsgegevens en de contactgegevens van de FG zijn openbaar gemaakt. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 38 van 65 Bijlage 1b – Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 1 Reikwijdte Art 2, lid 1 en 2 De verwerkingsverantwoordelijke heeft verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd.

De gemeente heeft de verwerkingen van politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd in het verwerkingsregister. Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Gemeente Albrandswaard gebruikt de applicatie CAReL3 van Eljakim voor de verwerkingen van politiegegevens. Deze verwerkingen zijn in CAReL3 geïdentificeerd en gedocumenteerd. Voldoet in opzet . Voldoet deels in bestaan en werking. Geen aanbevelingen. 2 Doelbinding Art 3 lid 1, 3 en 4 Art 8 lid 1 Art 9 lid 1 en 2 Art 11 (m.u.v. lid 2) Art 13 Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden. Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een onrechtmatige wijze, worden verwerkt. De doelbindingen is beschreven in het verwerkingsregister. Dit is echter pas eind 2025 voor de Wpg verwerkingen geformaliseerd en valt buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Een aanvullende werkinstructie is eind 2024 opgesteld waarin is aangegeven dat bij het verwerken van politiegegevens altijd sprake is Voldoet in opzet, bestaan en werking.

Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 39 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen van doelbinding en dat de gegevens niet op een onrechtmatige wijze worden verwerkt. 3 Noodzakelijkheid & rechtmatigheid, vermelding herkomst Art 3 lid 2 en 5 Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst van gegevens voor art 9 verwerkingen wordt vermeld. De opleidings- en aanstellingseisen van de boa leerplichtambtenaar waarborgen voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat de persoonsgegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). De leerplicht ambtenaren werken strikt conform de MAS en onderliggende richtlijnen (waaronder Werkinstructie LPA’s Albrandswaard).

De werkwijze borgt voor een belangrijk deel dat de verzameling en verwerking van politiegegevens is toegespitst op een gespecificeerd doel met een wettelijke grondslag en dat dat de persoonsgegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig). In beginsel worden in het kader van de Leerplichtwet geen artikel 9 gegevens verwerkt. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 4 Juistheid en volledigheid politiegegevens Art 4, lid 1 De verwerkingsverantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens. De leerplichtambtenaar houdt zich aan de wet- en regelgeving en aanvullende richtlijnen zoals vermeld in de MAS en de Werkinstructie LPA’s Albrandswaard. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 40 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Op basis van de TPM-verklaring van Eljakim hebben wij vastgesteld dat het informatiesysteem CAReL3 het rectificeren/ corrigeren van politiegegevens ondersteunt.

5 Onderscheid feiten en persoonlijk oordeel Art 4 lid 3 Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. Het onderscheiden van feiten en persoonlijke oordelen is een kernwaarde van de boa’s. Zowel tijdens de initiële opleiding als de opfriscursussen wordt hier veel aandacht aan besteed. De Werkinstructie LPA’s Albrandswaard voorziet in instructies om onderscheid te maken tussen feiten en persoonlijke oordelen. Wij hebben geen waarnemingen gedaan waaruit zou blijken dat politiegegevens die op feiten zijn gebaseerd niet, voor zover mogelijk, worden onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 6 Gegevensbescherming door beveiliging en ontwerp Art 4a, lid 1 t/m 5 Er is (aantoonbaar) een risicoanalyse uitgevoerd waaruit het risiconiveau blijkt m.b.t. ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging.

De verwerkingsverantwoordelijke identificeert, evalueert en mitigeert systematisch en periodiek factoren die het beschermen van politiegegevens Op basis van de inspectie van de TPM van Eljakim hebben wij vastgesteld dat Eljakim een DPIA heeft uitgevoerd en dat de gegevensbescherming conform art 4a, lid 1 t/m 5 binnen de applicatie CAReL3 door beveiliging en ontwerp is gewaarborgd. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 41 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging in gevaar brengen en past de maatregelen hierop aan. De organisatie heeft gegevensbeschermingsbeleid en procedures ontwikkeld en vastgesteld. De verwerkingsverantwoordelijke heeft de maatregelen die nodig zijn om het risico te beperken (passende technische en organisatorische maatregelen) aantoonbaar geïmplementeerd. Privacy by design wordt toegepast/geborgd (bijv. bij ontwikkelingen/ wijzigingen).

7 Gegevensbescherming door standaard- instellingen Art 4b lid 1a en lid 1b De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat standaard:  alleen die politiegegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking;  politiegegevens niet zonder tussenkomst van een natuurlijke persoon voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt. De verantwoordelijkheid voor technische en organisatorische maatregelen ligt bij Eljakim (als leverancier en beheerder van CAReL3). Eljakim brengt (jaarlijks) een assurance-rapport (TPM) uit m.b.t. de technische- en organisatorische maatregelen. Middels inspectie van de TPM-verklaring hebben wij vastgesteld dat Eljakim passende technische- en organisatorische maatregelen heeft getroffen. Voldoet in opzet, bestaan en werking. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 42 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 8 Gegevensbeschermings- effectbeoordeling/ Data protection impact assessment (DPIA) Art 4c Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert worden binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt door middel van een DPIA die ten minste aan de eisen gesteld in de wet voldoet. De verwerkingsverantwoordelijke beoordeelt, indien nodig of wanneer sprake is van een verandering van het risico, of de verwerking in overeenstemming met de DPIA wordt uitgevoerd en past de DPIA zo nodig aan. Het proces voor gegevensbeschermingsbeleid in het algemeen en het uitvoeren van DPIA’s in het bijzonder, is beschreven. Gemeente Albrandswaard beschikt over een DPIA beleid en verschillende templates die behulpzaam kunnen zijn bij het uitvoeren van een DPIA. In 2023 en 2024 is een DPIA uitgevoerd gericht op de uitvoering van de Leerplichtwet. Voldoet in opzet, bestaan en werking. Geen aanbevelingen.

9 Bijzondere categorieën van politiegegevens Art 5 Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij: a) dat onvermijdelijk is voor het doel van de verwerking; b) dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon; c) de gegevens afdoende zijn beveiligd. Eind 2024 is een werkinstructie voor de Leerplicht ambtenaren opgesteld waarin het verwerken van bijzondere politiegegevens is geformaliseerd. Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat bijzondere categorieën van politiegegevens in strijd met de Wpg en de interne richtlijnen worden verwerkt. Voldoet in opzet, bestaan en werking, Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 43 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 10 Autorisaties en toegang tot politiegegevens Art 6 lid 1 t/m 6 Art 6a Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat: De verwerkingsverantwoordelijke heeft die personen die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd voor alleen die gegevens (need-to- know).

Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens. Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. Er is geen formeel (gedocumenteerd) proces voor het toewijzen, wijzigen en intrekken van autorisaties t.b.v. de toegang tot politiegegevens gedocumenteerd. Daarnaast zijn geen periodieke controles uitgevoerd om de identiteit en toegangsrechten van gebruikers te beoordelen. Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat onbevoegden autorisaties hebben (gekregen). Voldoet niet in opzet, bestaan en werking. Aanbevelingen: Beschrijf het proces voor het uitgeven, wijzigen en intrekken van autorisaties en voer controle* op de uitgegeven autorisaties aantoonbaar uit. *Deze controles dienen minimaal 2x per jaar te worden uitgevoerd (conform BIO BBN2). 11 Autorisaties: aanwijzen functionarissen Art 6 lid 7 Er is een actuele lijst van, door de verwerkings-verantwoordelijke aangewezen, bevoegde functionarissen. Er is/zijn geen bevoegde functionaris(sen) aangewezen om reden dat de gemeente binnen Domein III geen artikel 9 onderzoeken uitvoert (conform berichtgeving van Ingrado).

Niet van toepassing 12 Onderscheid tussen verschillende categorieën van betrokkenen Art 6b De verwerkingsverantwoordelijke heeft geborgd dat, voor zover mogelijk, duidelijk onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. De processen -verbaal worden opgesteld o.b.v. eigen formats die zijn gebaseerd op de model pv’s die in de MAS zijn opgenomen. Hierin wordt onderscheid gemaakt tussen verschillende categorieën van betrokkenen. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 44 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Tijdens de audit hebben wij geen waarnemingen gedaan waaruit zou blijken dat onvoldoende onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. 13 Verwerker en Verwerkers- overeenkomst Art 6c De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking heeft die nodig is om aantoonbaar te maken dat de verplichtingen in de verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken.

De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen. Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling. Er zijn afspraken vastgesteld en vastgelegd m.b.t. de handelswijze bij een inbreuk op de beveiliging. Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met Gemeente Albrandswaard neemt de applicatie CAReL3 af van Eljakim. Gemeente Albrandswaard heeft een verwerkersovereenkomst afgesloten met Eljakim. Gemeente Albrandswaard heeft ons verteld dat binnen de verwerkingen van politiegegevens t.a.v. de Leerplichtwet geen gebruik wordt gemaakt van andere verwerkers dan de voornoemde. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 45 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen toestemming van de verwerkingsverantwoordelijke.

Aan deze andere verwerker (subverwerker) is bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. 14 Geheimhoudingsplicht Art 7 Er is geborgd dat de boa of een andere persoon aan wie politiegegevens ter beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. De gemeente heeft geborgd dat de leerplichtambtenaren of een andere persoon aan wie politiegegevens ter beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 15 Geautomatiseerde individuele besluitvorming Art 7a Besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking die voor de betrokkene nadelige rechtsgevolgen (kunnen) hebben of hem in aanmerkelijke mate treft, worden niet genomen tenzij voorzien is in de voorwaarden genoemd in de wet. Het verbod op het gebruik van profilering dat leidt tot discriminatie van personen op grond van de bijzondere categorieën van politiegegevens (art 5) is bekend binnen de organisatie. Dit beperkte verbod op profilering is onderwerp van de bewustwordingssessies binnen de organisatie. Er worden geen besluiten genomen die uitsluitend zijn gebaseerd op geautomatiseerde verwerking. Niet van toepassing.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 46 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 16 Uitvoering van de dagelijkse opsporingstaak Art 8 lid 1 en 2 Geborgd is dat art 8 politiegegevens één jaar na de datum van de eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis). Geborgd is voor zover dat noodzakelijk is met het oog op de uitvoering van de dagelijkse politietaak politiegegevens ten aanzien waarvan in art 8 lid 1 genoemde termijn is verstreken geautomatiseerd worden vergeleken met politiegegevens die worden verwerkt op grond van art 8 lid 1 teneinde vast te stellen of verbanden bestaan tussen de betreffende gegevens. De gerelateerde gegevens kunnen verder worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak. Middels inspectie van de TPM-verklaring hebben wij vastgesteld dat Eljakim maatregelen heeft genomen zodat (artikel 8) politiegegevens uitsluitend kunnen verwerkt op basis van gericht zoeken (hit/no hit basis). Voldoet in opzet, bestaan en werking. Geen aanbevelingen.

17 Ter beschikking stellen van politiegegevens binnen het Wpg-domein Art 4 lid 1 Art 8 lid 4 Art 9 lid 3 Art 15 lid 1 en 2 Art 15a lid 1 en 2 Geborgd is dat de verdere verwerking van art 9 gegevens alleen plaats vindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris. Geborgd is dat de ter beschikking stellen van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de Leerplicht verwerkt geen politiegegevens binnen de reikwijdte van artikel 9. De organisaties aan wie politiegegevens binnen het Wpg-domein beschikbaar worden gesteld, zijn beschreven (voorgeschreven) in de MAS. Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 47 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a conform de richtlijnen gesteld in de wet plaatsvindt. Politiegegevens worden niet ter beschikking gesteld aan autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in art 1, onderdeel a.

18 Geautomatiseerd vergelijken en in combinatie zoeken Art 11 lid 1, 3, 4 en 5 Art 8 lid 3 Art 2:1 en 2:2 lid 1 Bpg Geborgd is dat gegevens alleen geautomatiseerd worden vergeleken met andere politiegegevens of met andere dan politiegegevens binnen de richtlijnen gesteld in art 11. Geborgd is dat gegevens alleen in combinatie met elkaar worden verwerkt binnen de richtlijnen gesteld in art 11 lid 4. Geborgd is dat het in combinatie verwerken van art 8 politiegegevens beperkt is tot de boa’s die daarvoor geautoriseerd zijn. Geborgd is dat de ambtenaren die geautomatiseerd vergelijken en ambtenaren die in combinatie zoeken over voldoende kennis en vaardigheden beschikken. Politiegegevens worden niet geautomatiseerd met andere politiegegevens vergeleken dan wel in combinatie met elkaar verwerkt. Niet van toepassing. 19 Ondersteunende taken Art 13 Geborgd is dat voor de verwerkingen bedoeld in art 13 lid 1 t/m 3, van tevoren is voldaan aan de schriftelijke vereisten (art 13 lid 4). Gemeente Albrandswaard verwerkt geen gegevens zoals bedoeld in artikel 13 Wpg. Niet van toepassing.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 48 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 20 Bewaartermijnen, verwijderen en vernietigen Art 4 lid 2 Art 8 lid 6 Art 9 lid 4 Art 14 Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt. De verwerkingsverantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden gecontroleerd, verwijderd en vernietigd. Geborgd is dat Politiegegevens na verwijdering maximaal vijf jaar worden bewaard. Indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen als genoemd in de Archiefwet voldaan. Middels inspectie van de TPM-verklaring van Eljakim hebben wij vastgesteld dat het informatiesysteem CAReL3 voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden verwijderd. In de Werkinstructie LPA’s Albrandswaard zijn uitgangspunten opgenomen t.a.v. verwijderen, archiveren en vernietigen van de politiegegevens. Voldoet in opzet, bestaan en werking.

Geen aanbevelingen. 21 Verstrekking van politie- gegevens aan anderen dan politie en Koninklijke marechaussee Art 16 Art 18 Art 19 Art 21 Art 22 Art 7 lid 1 Art 4 Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd. Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg). Eind 2024 zijn richtlijnen en werkinstructies opgesteld met betrekking tot de verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee. Non-occurrence: Gemeente Albrandswaard heeft aangegeven dat in de controleperiode geen verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee zijn geweest. Voldoet in opzet. Bestaan en werking: non-occurrence. Aanbeveling: Stel richtlijnen/werkinstructies op met betrekking tot de verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 49 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet. Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht. De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij. Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatig wijze zijn verstrekt. 22 Doorgiften aan derde landen Art 17a De doorgifte van gegevens aan verwerkingsverantwoordelijke in derde landen vindt alleen plaats indien er een adequaatsheidsbesluit is van de Commissie van de Europese Unie of indien één van de uitzonderingsgronden zoals genoemd in de wet van toepassing is. De doorgifte van gegevens aan derde landen wordt vastgelegd (documentatieplicht).

Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat geen doorgifte plaats vindt van gegevens aan verwerkingsverantwoordelijke(n) in derde landen. Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 50 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Indien doorgifte plaatsvindt op basis van art 17a lid 2 onderdeel a of b, lid 3 of lid 5 is (aantoonbaar) voldaan aan de gestelde eisen in de wet. Indien politiegegevens van een andere lidstaat afkomstig worden doorgegeven aan derde landen is de toestemming van de verantwoordelijke autoriteit van deze lidstaat beschikbaar. 23 Verstrekking aan derden structureel voor samen- werkingsverbanden Art 20 De verwerkingsverantwoordelijke heeft inzicht in de samenwerkingsverbanden waarbij politiegegevens worden verstrekt. In de beslissing voor het verstrekken van politiegegevens t.b.v.

een samenwerkingsverband wordt vastgelegd:  Ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is,  Ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt,  Het doel waartoe dit is opgericht,  Welke gegevens worden verstrekt,  De voorwaarden onder welke de gegevens worden verstrekt en  Aan welke personen of instanties de gegevens worden verstrekt. Op basis van documentatieonderzoek, interviews en (deel-) waarnemingen hebben wij vastgesteld dat verstrekkingen aan derden structureel voor samenwerkingsverbanden niet plaatsvinden. Niet van toepassing. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 51 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen  De daadwerkelijke verstrekking van gegevens wordt vastgelegd. 24 Rechtstreekse verstrekking Art 23 De organisatie heeft geborgd dat rechtstreekse verstrekking uitsluitend plaatsvindt voor zover noodzakelijk op grond van art 23 en alleen voor zover voldaan kan worden aan de beveiligingseisen. De rechtstreekse verstrekking op basis van art 23 lid 2 vindt alleen plaats aan de aangewezen personen.

Rechtstreekse verstrekkingen zoals hier bedoeld is het aan een derde langs geautomatiseerde weg, niet zijnde niet telefoon, fax of mail inzage geven in politiegegevens. Gemeente Albrandswaard heeft aangegeven dat geen sprake is van gekoppelde informatiesystemen. Niet van toepassing. 25 Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering. Art 24a lid 1 t/m 4 Art 24b Art 25 Art 26 Art 27 Art 28 De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit beknopt, toegankelijk en duidelijk, zodat de betrokkene zijn rechten kan uitoefenen. De informatievoorziening voldoet aan de eisen gesteld in art 24b lid 1 en 2. Bij uitstel, beperking of achterwege laten van de verstrekking van informatie bedoeld in 24b lid 2 is de uitstel, beperking of achterwege laten alsmede de duur van deze maatregel onderbouwd. Verzoeken tot inzage, rectificatie, vernietiging van betrokkenen worden - Gemeente Albrandswaard informeert betrokkenen op de website op transparante en toegankelijke wijze omtrent de mogelijkheid zijn rechten uit te oefenen. Gemeente Albrandswaard heeft aangegeven dat in de controleperiode geen verzoeken tot inzage, rectificatie, vernietiging van betrokkenen zijn geweest. Voldoet in opzet. Bestaan en werking: non-occurrence Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 52 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen met inachtneming van het gestelde in artikel 27 - tijdig en adequaat afgehandeld. De organisatie borgt dat bij een verzoek tot inzage (art 25 lid 1) of rectificatie (art 28 lid 1) dat de betrokkene zonder onnodige vertraging in kennis wordt gesteld van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid een klacht in te dienen bij de AP. Een weigering gevolg te geven aan het verzoek conform art 24a lid 4 is onderbouwd. Elke weigering of beperking van de inzage wordt aan de betrokkene toegelicht, met vermelding van de feitelijke of juridische gronden die aan het besluit ten grondslag liggen. 26 Register Art 31d lid 1 en 2 De verwerkingsverantwoordelijke houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerkings- verantwoordelijke, de gezamenlijk verwerkings-verantwoordelijken en de functionaris voor gegevensbescherming; Gemeente Albrandswaard heeft eind 2025 een (intern) verwerkingsregister opgesteld waarin de verwerking van politiegegevens uit Domein III zijn opgenomen.

Daarnaast is ook eind 2025 een jaarlijks proces ingesteld dat borgt dat het verwerkingsregister actueel wordt gehouden. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de Voldoet niet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 53 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen b) de doelen van de verwerking; c) de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; d) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; e) in voorkomend geval, het gebruik van profilering; f) in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; g) een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de politiegegevens bedoeld zijn; h) zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; i) zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter

beveiliging, bedoeld in artikel 4a; eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 54 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen j) de toekenning van de autorisaties, bedoeld in artikel 6. De verwerker houdt een register bij dat de volgende gegevens bevat: a) de naam en de contactgegevens van de verwerker of verwerkers en van iedere verwerkings- verantwoordelijke ten behoeve van wie de verwerker handelt en, in voorkomend geval, van de functionaris voor gegevensbescherming; b) de categorieën van verwerkingen die namens iedere verwerkings- verantwoordelijke zijn uitgevoerd; c) indien van toepassing, doorgiften van politiegegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie, indien door de verwerkings-verantwoordelijke uitdrukkelijk daartoe geïnstrueerd d) indien mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen, bedoeld in artikel 4a.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 55 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 27 Documentatie Art 32 lid 1 t/m 4 De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de onderdelen genoemd in art 32 lid 1. De bedoelde politiegegevens worden conform art 32 lid 4 bewaard. De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land of aan een internationale organisatie. De schriftelijke melding van een gemeenschappelijke verwerking van politiegegevens aan de AP is geborgd. M.b.t. de schriftelijke vastleggingen als bedoeld in art. 32: a. de doelen van de onderzoeken, bedoeld in artikel 9, tweede lid; >> Gemeente Albrandswaard verwerkt geen art. 9 gegevens. b. de verstrekking of doorgifte van politiegegevens op grond van paragraaf 3, met uitzondering van de verstrekking, bedoeld in artikel 17 en artikel 24, eerste en tweede lid, indien dit zich niet verdraagt met het belang van de veiligheid van de staat; >> dit gebeurt niet (non-occurrence) . c.

de feitelijke of juridische redenen die ten grondslag liggen aan een afwijzing, bedoeld in artikel 27, eerste lid; >> er zijn geen afwijzingen geweest in de controleperiode die betrekking hadden op de Wpg. d. een inbreuk op de beveiliging van persoonsgegevens, bedoeld in artikel 33a, inclusief de feiten omtrent de inbreuk, de gevolgen ervan en de maatregelen die zijn getroffen ter correctie. >> in de controleperiode zijn geen (vermoede) datalekken geweest m.b.t. de Wpg . Datalekken (zowel AVG als Wpg) worden vastgelegd in het datalekkenregister. Voldoet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 56 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 28 Logging Art 32a De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in art 32a lid 1. De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures.