27. Raadsinformatiebrief 2026-047540 inzake externe audits De Wet politiegegevens (Wpg) 2021-2024 en 2025.pdf

Middels inspectie van de TPM-verklaring van Eljakim hebben wij vastgesteld dat het informatiesysteem CAReL3 zowel de raadplegingen als de mutaties logt en dat Eljakim de logging beschermt. De gemeente heeft in de controleperiode echter geen actieve controle(s) uitgevoerd op de logging. Daarnaast ontbreekt beleid/ procedures wat de log principes zijn en welke activiteiten periodiek uitgevoerd dienen te worden. Voldoet deels in opzet, bestaan en werking. Aanbevelingen: Stel een procedure op waarin (SMART) is beschreven onder welke voorwaarden door wie, wanneer en op welke wijze de logging voor onderzoek kan worden gebruikt en pas deze toe. 29 Audits Art 33 Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Na de hercontrole in 202 4 is in 202 4 ook een nulmeting uitgevoerd (geen formele interne audit). In 2025 in een volwaardige interne audit uitgevoerd. Dit valt echter buiten de controleperiode waardoor niet (geheel) voldaan wordt aan de eisen zoals gesteld in de Regeling Periodieke Audit politiegegevens. Voldoet in opzet . Voldoet deels in bestaan . Voldoet niet in werking. Geen aanbevelingen. 30 Melding datalekken Art 33a De organisatie detecteer t en behandelt privacy gerelateerde incidenten op gepaste wijze om de gevolgen te beperken en maatregelen te nemen om toekomstige inbreuken te voorkomen.

De verantwoordelijkheden van de behandeling van datalekken zijn belegd in de organisatie, de daadwerkelijke Gemeente Albrandswaard heeft voor het registreren en afhandelen van datalekken een procedure opgesteld. Datalekken worden bijgehouden in het Register datalekken. Gemeente Albrandswaard heeft aangegeven dat er in de controleperiode geen datalekken zijn gemeld t.a.v. de Wpg. Voldoet in opzet. Bestaan en werking: non-occurrence. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 57 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen uitvoering wordt beheerst, gedocumenteerd en geëvalueerd. De melding van een datalek aan de AP vindt tijdig en volledig plaats. Betrokkenen worden, indien vereist, tijdig en volledig in kennis gesteld van een inbreuk op de beveiliging als deze inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden betekent.

31 Functionaris voor gegevensbescherming Art 36 Er is een functionaris voor gegevensbescherming aangesteld die toezicht houdt op:  het naleven van de WPG;  het beleid van de verwerkings- verantwoordelijke met betrekking tot de bescherming van persoonsgegevens;  de toewijzing van de autorisaties, bedoeld in art 6;  de bewustmaking en opleiding van de boa’s betrokken bij de verwerking van politiegegevens;  de audits;  de uitvoering van de DPIA's. De FG stelt jaarlijks een verslag op van zijn bevindingen en stelt het ter Gemeente Albrandswaard heeft een FG aangesteld voor de AVG en de Wpg. De FG heeft jaarverslagen opgesteld en ter beschikking aan de verwerkingsverantwoordelijke over 2023, 2024 en 2025. De contactgegevens van de FG zijn in de privacy verklaring vermeld en op de gemeentelijke website van Albrandswaard gepubliceerd. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 58 van 65 Strafrechtelijke handhaving in het kader van de Leerplichtwet (Domein III) Nr Onderwerp Verwijzing artikel Norm Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen beschikking aan de verwerkingsverantwoordelijke. De functionaris voor gegevensbescherming is aangemeld bij de Autoriteit Persoonsgegevens en de contactgegevens van de FG zijn openbaar gemaakt.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 59 van 65 Bijlage 2 – Beschrijving van de beheersingsmaatregelen en testresultaten (technische en organisatorische beheersingsmaatregelen) Zoals in paragraaf 1.4.1 is aangegeven, verwerkt Gemeente Albrandswaard politiegegevens in de volgende informatiesystemen: Domein Verwerking Informatiesysteem Beheerorganisatie(s) Leverancier I Openbare ruimte CityControl Technisch Beheer: Sig max Functioneel Beheer: Gemeente Albrandswaard Sigmax III Onderwijs/leerplicht CAReL3 Technisch Beheer: E ljakim Functioneel Beheer: Gemeente Albrandswaard Eljakim Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 60 van 65 Domein I - CityControl (leverancier Sigmax) Domein I - CityControl # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 1 Wijzigingenbeheer Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van applicaties tijdig, geautoriseerd en getest worden doorgevoerd. Doelstelling: Zeker stellen dat wijzigingen op een correcte en gecontroleerde wijze worden doorgevoerd waardoor de veilige werking van ICT- voorziening wordt gegarandeerd.

Scope: Applicatie-, hosting (verwerker)- of SAAS leverancier van de WPG-geclassificeerde verwerkende systemen. Op basis van inspectie van de assurance-rapportage van Sigmax (kenmerk: 2412R.AH203 en 2510R.AH81), hebben wij vastgesteld dat aan deze norm wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 2 Logische toegangs- beveiliging De inzet van identiteit- en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van de rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken. Doelstelling: Het efficiënter maken van het identiteit- en toegangsbeheer en zorgen dat functies en gegevens uitsluitend beschikbaar worden Op basis van inspectie van de assurance-rapportage van Sigmax (kenmerk: 2412R.AH203 en 2510R.AH81), hebben wij vastgesteld dat aan deze norm wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 61 van 65 Domein I - CityControl # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen gesteld aan diegenen waarvoor deze bedoeld zijn als waarborg voor vertrouwelijkheid en integriteit.

Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. 3 Beheer van kwetsbaarheden (patch- management) Informatie over technische kwetsbaarheden van informatiesystemen die worden gebruikt behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden te worden geëvalueerd en passende maatregelen te worden genomen om het risico dat ermee samenhangt aan te pakken. Doelstelling: Zeker stellen dat technische en software kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. Op basis van inspectie van de assurance-rapportage van Sigmax (kenmerk: 2412R.AH203 en 2510R.AH81), hebben wij vastgesteld dat aan deze norm wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 4 Cryptografie Ter bescherming van politiegegevens behoort een beleid voor het gebruik van cryptografische beheersingsmaatregelen te worden ontwikkeld en geïmplementeerd. Doelstelling: Op basis van inspectie van de assurance-rapportage van Sigmax (kenmerk: 2412R.AH203 en 2510R.AH81), hebben wij vastgesteld dat aan deze norm wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 62 van 65 Domein I - CityControl # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, authenticiteit en/of integriteit van politiegegevens te beschermen. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. 5 Vulnerability scans en Penetratietesten Penetratietesten en vulnerability scans worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de systemen waarin politiegegevens verwerkt worden. Doelstelling: Het verkrijgen van inzicht in de weerstand die de systemen kunnen bieden aan pogingen om het te compromitteren. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. Op basis van inspectie van de assurance-rapportage van Sigmax (kenmerk: 2412R.AH203 en 2510R.AH81), hebben wij vastgesteld dat aan deze norm wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen.

Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 63 van 65 Domein III - CAReL3 (leverancier Eljakim Information Technology) Domein III – CAReL3 # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen 1 Wijzigingenbeheer Wijzigingenbeheer is procesmatig en procedureel zodanig uitgevoerd dat wijzigingen in de ICT-voorzieningen van applicaties tijdig, geautoriseerd en getest worden doorgevoerd. Doelstelling: Zeker stellen dat wijzigingen op een correcte en gecontroleerde wijze worden doorgevoerd waardoor de veilige werking van ICT- voorziening wordt gegarandeerd. Scope: Applicatie-, hosting (verwerker)- of SAAS leverancier van de WPG-geclassificeerde verwerkende systemen. Op basis van de inspectie van de TPM van Eljakim (BKBO/220428-1/V2/TPM), hebben wij vastgesteld dat aan deze beheersingsmaatregel wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 2 Logische toegangs - beveiliging De inzet van identiteit - en toegangsmiddelen levert betrouwbare en effectieve mechanismen voor het vastleggen en vaststellen van de identiteit van gebruikers, het toekennen van de rechten aan gebruikers, het controleerbaar maken van het gebruik van deze middelen en het automatiseren van arbeidsintensieve taken.

Doelstelling: Het efficiënter maken van het identiteit- en toegangsbeheer en zorgen dat functies en gegevens uitsluitend beschikbaar worden gesteld aan diegenen waarvoor deze bedoeld zijn als waarborg voor vertrouwelijkheid en integriteit. Op basis van de inspectie van de TPM van Eljakim (BKBO/220428-1/V2/TPM), hebben wij vastgesteld dat aan deze beheersingsmaatregel wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 64 van 65 Domein III – CAReL3 # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. 3 Beheer van kwetsbaarheden (patch- management) Informatie over technische kwetsbaarheden van informatiesystemen die worden gebruikt behoort tijdig te worden verkregen, de blootstelling van de organisatie aan dergelijke kwetsbaarheden te worden geëvalueerd en passende maatregelen te worden genomen om het risico dat ermee samenhangt aan te pakken. Doelstelling: Zeker stellen dat technische en software kwetsbaarheden tijdig en effectief worden aangepakt en zo een stabiele omgeving wordt gecreëerd. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen.

Op basis van de inspectie van de TPM van Eljakim (BKBO/220428-1/V2/TPM), hebben wij vastgesteld dat aan deze beheersingsmaatregel wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. 4 Cryptografie Ter bescherming van politiegegevens behoort een beleid voor het gebruik van cryptografische beheersingsmaatregelen te worden ontwikkeld en geïmplementeerd. Doelstelling: Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid, Op basis van de inspectie van de TPM van Eljakim (BKBO/220428-1/V2/TPM), hebben wij vastgesteld dat aan deze beheersingsmaatregel wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen. Datum 26 februari 2026 Versie 1.0 - Definitief Kenmerk 20260226 GEM-ALB ASSURANCE-RAPPPORT PRIVACY AUDIT WPG Pagina 65 van 65 Domein III – CAReL3 # Onderwerp Beheersingsmaatregel Bevindingen Opzet Bestaan Werking Conclusies en aanbevelingen authenticiteit en/of integriteit van politiegegevens te beschermen. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. 5 Vulnerability scans en Penetratietesten Penetratietesten en vulnerability scans worden procesmatig en procedureel, ondersteund door richtlijnen, uitgevoerd op de infrastructuur van de systemen waarin politiegegevens verwerkt worden.

Doelstelling: Het verkrijgen van inzicht in de weerstand die de systemen kunnen bieden aan pogingen om het te compromitteren. Scope: Hosting, leverancier van de WPG-geclassificeerde verwerkende systemen. Op basis van de inspectie van de TPM van Eljakim (BKBO/220428-1/V2/TPM), hebben wij vastgesteld dat aan deze beheersingsmaatregel wordt voldaan. Voldoet in opzet, bestaan en werking. Geen aanbevelingen.