x.06 Notitie opvolgen audit Wet politiegegevens 027.pdf

Onderwerp

Uitkomsten van de audit op de uitvoering van de Wet politiegegevens

Wet politiegegevens Wanneer een gemeente haar taken uitvoert en daarbij persoonsgegevens verwerkt, is de Algemene Verordening Gegevensbescherming (AVG) altijd van toepassing. Maar als een Buitengewoon opsporingsambtenaar (BOA) persoonsgegevens verwerkt, dan ligt dat soms net even anders. Als een BOA werkzaamheden verricht als toezichthouder of bestuursrechtelijke handhaving toepast, dan zijn de regels en verplichtingen uit de Algemene verordening gegevensbescherming (AVG) van toepassing. Maar als een BOA zijn werkzaamheden verricht als opsporingsambtenaar, dan is de Wet politiegegevens (Wpg) van toepassing. Het merendeel van de BOA-werkzaamheden is bestuursrechtelijke handhaving, een klein deel van hun werkzaamheden is strafrechtelijke handhaving (naar schatting 5%). De huidige Wpg is van kracht sinds 2019 en regelt hoe de gemeente moet omgaan met de politiegegevens die worden verwerkt bij de opsporing van strafbare feiten. De Wpg lijkt inhoudelijk op de AVG, maar er zijn ook verschillen. Zo kent de Wpg regels over inrichting van systemen, informatiebeveiliging en gegevensbescherming en zijn er regels over vastgestelde bewaartermijnen. De politiegegevens moeten gescheiden worden opgeslagen van persoonsgegevens die onder de AVG vallen. Verder moet de inzage en wijziging van gegevens gelogd worden.

Daarnaast kent de Wpg strikte regels over het delen van politiegegevens met andere opsporingsdiensten en derden (ter beschikking stellen of verstrekken van politiegegevens). De gemeente Amsterdam verwerkt politiegegevens ten behoeve van: • de strafrechtelijke handhaving op leerplicht (systeem Erisa, directie Onderwijs, Jeugd en Zorg); • het uitvoeren van strafrechtelijke (fraude)onderzoeken o.g.v. Participatiewet, IOAW en IOAZ (systeem Sherlock, directie Inkomen); • de strafrechtelijke handhaving van milieudelicten door boswachters (systeem City control, directie Sport en Bos); • de strafrechtelijke handhaving in de openbare ruimte en in het openbaar vervoer (systeem City control, directie THOR). De Wpg verplicht de gemeente om vierjaarlijks een externe audit uit te laten voeren. De uitkomsten van de eerste audit zijn op 30 december 2022 zijn aangeboden aan de landelijk toezichthouder op de Wpg, de Autoriteit Persoonsgegevens. De gemeente heeft de resultaten van bijgevoegde audit tijdig aangeleverd.

Gemeente Amsterdam, raadsinformatiebrief

Datum 15 mei 2023 Pagina 2 van 4

Uitkomsten van de audit en de getroffen maatregelen In opdracht van de gemeente Amsterdam heeft auditor ACAM de wettelijk verplichte audit uitgevoerd naar de wijze waarop de gemeente invulling heeft gegeven aan haar verplichtingen onder de Wet Politiegegevens (Wpg) en het onderliggende Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpgboa). De uitkomst van de audit is dat de door de gemeente Amsterdam getroffen maatregelen niet op afdoende wijze zijn opgezet en het bestaan van borgende maatregelen niet of onvoldoende is aangetoond en de werking daarvan niet of onvoldoende effectief is. Dit betekent dat de gemeente niet voldoet aan de eisen van de Wpg. De belangrijkste tekortkomingen zijn dat we de gegevens niet gescheiden bewaren en het gebruik ervan niet loggen, we geen intern toezichthouder hebben aangesteld en in de werkbeschrijvingen en beleidsdocumenten de Wpg niet expliciet benoemen. De auditor heeft een aantal concrete verbeterpunten benoemd. Aanbeveling: Draag er voor zorg dat de informatiesystemen voldoen aan de verplichtingen uit de Wpg en de Bpgboa. De betrokken organisatieonderdelen hebben in kaart gebracht welke aanpassingen noodzakelijk zijn om te voldoen aan deze aanbeveling. Er zijn maatregelen genomen om de aanpassingen in bestaande systemen door te voeren. Het systeem van THOR is in het tweede kwartaal van 2023 aangepast (City Control).

Het systeem van Leerplicht zal naar verwachting medio 2024 worden aangepast (Erisa). De eisen ten aanzien van de Wpg worden uiteraard meegenomen in de inrichting. Aanbeveling: Benoem een Functionaris voor gegevensbescherming (FG) voor de Wpg door het college en geef invulling aan diens toezichtstaken. Het college is gestart met de werving van een nieuwe FG. Bij de aanstelling van de nieuwe FG krijgt die ook de toezichtstaken met betrekking tot de Wpg. Aanbeveling: Maak nieuw beleid op bepaalde gebieden: • beschrijving van hoe de doelbinding, de juistheid en de volledigheid van de verwerkingen van politiegegevens geborgd wordt. • een werkinstructie over verstrekkingen aan derden. • privacy by design en privacy by default. In de werkinstructies zullen onderwerpen als juistheid, volledigheid, verstrekking, documentatie en (oplegging van) geheimhouding nader worden geconcretiseerd. Daarbij zullen we de werkprocessen aanscherpen. Ook stellen we een verstrekkingenwijzer op voor de verstrekking van politiegegevens aan derden. De verstrekkingenwijzer maakt deel uit van de werkinstructies.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 15 mei 2023 Pagina 3 van 4

Aanbeveling: Maak bestaande (beleids-)documenten Wpg-specifiek. Het gaat daarbij om de governancebeschrijving voor het verwerken van persoonsgegevens, het stedelijk privacybeleid, de werkinstructie informatieverstrekking en de rechten van betrokkenen, de procesbeschrijving voor het uitvoeren van DPIA’s en de procesbeschrijving voor het vastleggen van verwerkingen. De aanpassingen worden opgesteld en waar nodig bestuurlijk vastgesteld. Het actualiseren en concretiseren van DPIA’s waarbij politiegegevens worden verwerkt wordt meegenomen in de Plan, Do, Act cyclus. Deze PDA-cyclus zorgt voor periodieke herijking van het voldoen aan wet- en regelgeving. Aanbeveling: Neem in het verwerkingenregister expliciet op of er politiegegevens verwerkt worden en neem daarin ook de eisen ten aanzien van profilering op. Er is een nieuwe applicatie aangeschaft waarmee het verwerkingenregister wordt bijgehouden. In de inrichting van deze applicatie is rekening gehouden met aparte velden voor de Wpg-registratie (verwerking politiegegevens, profilering, doorgifte en autorisatie). Het afgelopen jaar heeft de gemeente haar register van verwerkingen aan de hand van deze applicatie geactualiseerd. Op 1 april 2023 is deze nieuwe versie online gepubliceerd. Bij de verwerkingen in het register is opgenomen op welke wettelijke grondslag de gegevens worden verwerkt.

Aanbeveling: Besteed aandacht aan bewustwording van bij BOA’s. In 2021 en 2022 zijn bewustwordings- en trainingssessies gevolgd door de Functionaris Gegevensbescherming (toezichthouder AVG), Privacy Officers, adviseurs van de vakafdelingen en het merendeel van de BOA’s. In de jaarplannen van de desbetreffende afdelingen wordt de bewustwording en training nader uitgewerkt. Aanbeveling: Neem in de auditplanning voor de toekomst jaarlijks een interne audit op naar de Wpg en laat deze audit uitvoeren. In de auditplanning wordt een jaarlijkse interne Wpg-audit opgenomen. De uitkomsten van de audit zijn reeds aangeboden aan de Autoriteit Persoonsgegevens. Daarbij is ook aangegeven welke maatregelen de gemeente treft naar aanleiding van de uitkomsten van de audit De gemeente trekt voor de regie op de uitvoering van bovenstaande aanbevelingen een Privacy Officer Wpg aan. De verwachting is dat deze na de zomer start. Hiermee werkt de gemeente aan betere opvolging van de actiepunten.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Een routebeschrijving vindt u op amsterdam.nl

Datum 15 mei 2023 Pagina 4 van 4