Document · PDF

RIS314908 Bijlage 1 Wpg verbeterrapport

Commissie Bestuur 10 mei 2023, gemeente Den HaagBij agendapunt: Brief wethouder Werk, Wijken en Dienstverlening, mevrouw Parbhudayal inzake Uitvoeringsdata digitalisering en dienstverlening 202326.348 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 4

Gemeente Den Haag Wpg verbeterrapport Considerati 27 januari 2023

In opdracht van: Sah Farooq (Manager ECP/CPO) Auteurs: Lisa Molenaars (Senior Legal Consultant) Lotte van de Puttelaar (Legal Consultant) Emma Versteeg (Legal Consultant)

Gemeente Den Haag – Wpg verbeterrapport

2/122

Gemeente Den Haag – Wpg verbeterrapport

Inhoudsopgave 1

Inleiding ...................................................................................................................................................................................................... 6 1.1 1.2 1.3

Interne audit ....................................................................................................................................................................................................................... 7 Externe audit ...................................................................................................................................................................................................................... 8 Opzet verbeterrapport.................................................................................................................................................................................................... 10

Inrichting privacybesturing ...................................................................................................................................................................... 13 2.1 Audits en verbetermaatregelen..................................................................................................................................................................................... 16 2.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) ................................................................................................................... 16 2.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) ...................................................................................................................................... 18 2.1.3 Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 26

Inzicht in verwerkingen ............................................................................................................................................................................ 28 3.1 Audits en verbetermaatregelen..................................................................................................................................................................................... 32 3.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) ................................................................................................................... 32 3.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) ...................................................................................................................................... 34 3.1.3 Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 44

Grip op relaties ......................................................................................................................................................................................... 47 4.1 Audits en verbetermaatregelen..................................................................................................................................................................................... 50 4.1.1 Openbare ruime (I) & Milieu, welzijn en infrastructuur (II) – (DSB) ..................................................................................................................... 50 4.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) ...................................................................................................................................... 53 4.1.3 Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 55

Risicobeheersing ...................................................................................................................................................................................... 57 5.1

3/122

Gemeente Den Haag – Wpg verbeterrapport

5.1.1 5.1.2 5.1.3 6

Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) - (DSB) .................................................................................................................... 59 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) ...................................................................................................................................... 60 Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 65

Beveiliging ................................................................................................................................................................................................ 67 6.1 Audits en verbetermaatregelen..................................................................................................................................................................................... 71 6.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) - (DSB) .................................................................................................................... 71 6.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) ...................................................................................................................................... 72 6.1.3 Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 80

Privacy-by-design ..................................................................................................................................................................................... 85 7.1 Audits en verbetermaatregelen..................................................................................................................................................................................... 86 7.1.1 Onderwijs (III), Werk, inkomen en zorg (Vb) – (OCW) ......................................................................................................................................... 86

Transparantie ............................................................................................................................................................................................ 90 8.1

8.1.1

Onderwijs (III) & Werk, Inkomen en Zorg (Vb) – (OCW) ...................................................................................................................................... 91

8.1.2

Werk, inkomen en zorg (Va) – (SZW) ..................................................................................................................................................................... 93

Cultuur ...................................................................................................................................................................................................... 95 9.1

Audits en verbetermaatregelen..................................................................................................................................................................................... 95 Overzicht verbetermaatregelen ............................................................................................................................................................ 96

10.1

Verbetermaatregelen op strategisch/centraal niveau ............................................................................................................................................ 96

10.2

Verbetermaatregelen op decentraal niveau, uitgesplitst per dienst .................................................................................................................... 98

10.2.1

Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) ................................................................................................................... 98

10.2.2

Onderwijs (III) & Werk, Inkomen en Zorg (Vb) – (OCW) .................................................................................................................................... 100

10.2.3

Werk, Inkomen en Zorg (Va) – (SZW) ................................................................................................................................................................... 104

10.3

Verbetermaatregelen voor de FG ........................................................................................................................................................................... 106 4/122

Gemeente Den Haag – Wpg verbeterrapport

Bijlagen ......................................................................................................................................................................................................... 107

5/122

Gemeente Den Haag – Wpg verbeterrapport

1 Inleiding Wanneer een gemeente haar taken uitvoert en daarbij persoonsgegevens verwerkt, is de Algemene verordening gegevensbescherming (AVG) van toepassing op de gegevensverwerkingen. Als een buitengewoon opsporingsambtenaar (boa) persoonsgegevens verwerkt, dan kunnen daarnaast of in plaats daarvan ook de Wet politiegegevens (Wpg), het Besluit politiegegevens (Bpg) en het Besluit politiegegevens voor buitengewoon opsporingsambtenaren (Bpgboa) van toepassing zijn op de gegevensverwerkingen. Conform artikel 33 Wpg jo. artikel 6:5 Bpg dient de verwerkingsverantwoordelijke (lees: de werkgever van de boa) twee jaren na inwerkingtreding van de Wpg (uitgesteld tot 31 december 2022), en vervolgens eenmaal in de vier jaren een externe privacy audit uit te laten voeren. Het object van het onderzoek van een privacy audit Wpg bestaat uit de verwerking(en) van politiegegevens die onder verantwoordelijkheid van de verwerkingsverantwoordelijke worden verwerkt. De uitkomsten van de externe audit dienen met de Autoriteit Persoonsgegevens (nationale toezichthouder) te worden gedeeld. Daarnaast dient op grond van artikel 3 van de Regeling periodiek audits politiegegevens jaarlijks eveneens een interne audit te worden uitgevoerd ter voorbereiding op de externe audit.

De interne audit heeft betrekking op één dan wel een aantal onderdelen van de Wpg en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Binnen de Gemeente Den Haag is in 2021 een interne audit uitgevoerd en in 2022 een externe audit. De short form van het externe auditrapport (de rapportage zonder bijlagen) is met de Autoriteit Persoonsgegevens gedeeld. In het externe auditrapport is geconcludeerd dat de door de Gemeente Den Haag getroffen beheersingsmaatregelen in significante omvang niet op afdoende wijze zijn opgezet, in significant opzicht niet bestaan of deze significant onvoldoende effectief hebben gewerkt gedurende de verslagperiode van de externe Wpg-audit om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door Boa’s die opsporingswerkzaamheden verrichten (de wettelijke eisen van de in de Wpg en het Bpgboa gestelde bepalingen).

Artikel 4 van de Regeling periodieke audits politiegegevens schrijft voor dat, indien bij het uitvoeren van de externe privacy audit tekortkomingen zijn geconstateerd (zoals het geval is – zie voorgaande conclusie), de verwerkingsverantwoordelijke binnen drie maanden een verbeterrapport opstelt, waarin de maatregelen worden beschreven die getroffen zijn ter verbetering van de geconstateerde tekortkomingen. Dit betreft dat verbeterrapport. 6/122

Gemeente Den Haag – Wpg verbeterrapport

In dit verbeterrapport is uitgegaan van de juistheid van de geconstateerde bevindingen in de externe en interne audit. Considerati heeft zelf geen onderzoek gedaan naar de opzet, de bestaan en de werking van de getoetste beheersingsmaatregelen binnen de Gemeente Den Haag.

Alvorens de opzet van dit verbeterrapport nader toe te lichten, volgt eerst een korte omschrijving van de interne- en externe audit die zijn uitgevoerd in opdracht van de Gemeente Den Haag.

1.1

Interne audit

Er zijn zes boa-werkterreinen (ook wel domeinen genoemd), namelijk: I. Openbare ruimte, met functies zoals parkeercontroleur/ integraal handhaver II. Milieu, welzijn en infrastructuur, met functies zoals jachtopziener, boswachter (o.a. Staatsbosbeheer, Natuurmonumenten, Landschappen), medewerker bouw- en woningtoezicht, inspecteur dierenbescherming III. Onderwijs, met functies zoals leerplichtambtenaar IV. Openbaar vervoer, met functies zoals conducteur, controleur openbaar vervoer (BOA-OV) V. Werk, inkomen en zorg, met functies zoals sociaal rechercheur, medewerkers arbeidsinspectie VI. Generieke opsporing, met functies zoals medewerker Dienst Vervoer & Ondersteuning (DJI), medewerker Belastingdienst/ douanebeambte, weginspecteurs van Rijkswaterstaat (Dienst Verkeers- en Watermanagement) Binnen de Gemeente Den Haag zijn volgens de interne en externe audit enkel boa’s in dienst binnen domeinen I (DSB), II (DSB en DSO), III (OCW) en V (SZW en OCW) . Domeinen IV en VI worden in dit verbeterrapport derhalve buiten beschouwing gelaten. 1

De scope van de interne audit betreft een nulmeting, die enkel betrekking heeft op de verwerking van politiegegevens door leerplichtambtenaren in hun rol van boa binnen de afdeling Leerling- en Onderwijszaken (domein III: onderwijs). Deze boa’s zijn onder meer belast met het handhaven van de Leerplichtwet en daaraan gerelateerde relevante wet- en regelgeving. In de interne audit is onderzoek gedaan naar de i) opzet en het ii) bestaan van 31 Wpg normen. De werking van deze 31 normen is kortom buiten beschouwing gelaten (een nadere uitleg over de begrippen “opzet”, “bestaan” en “werking” volgt in paragraaf 1.2). De normering die door de

Dienst Stadsbeheer (DSB), Dienst Stedelijke Ontwikkeling (DSO), Dienst Onderwijs, Cultuur en Welzijn (OCW), Dienst Sociale Zaken en Werkgelegenheidsprojecten (SZW)

7/122

Gemeente Den Haag – Wpg verbeterrapport

interne auditor is gehanteerd, is gebaseerd op het werkdocument ‘Audit Wet politiegegevens door gemeenten’ zoals opgesteld door de Informatie Beveiligingsdienst (IBD) en de handreiking ‘Privacy audit Wet politiegegevens (Wpg) voor boa’s’ zoals opgesteld door de NOREA.

Het interne audit onderzoek heeft plaatsgevonden in november 2021 t/m december 2021. Aangezien de nulmeting niet is ingestoken als een assurance-opdracht, staan in het interne auditrapport alleen de bevindingen per norm vermeld en wordt niet expliciet vermeld of de door de Gemeente Den Haag getroffen beheersingsmaatregelen wel/niet afdoende zijn opgezet en of bestaan om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door de leerplichtambtenaren. Op basis van de onderzoeksresultaten zijn wel aanbevelingen gedaan voor verbeteringen en onduidelijkheden benoemd.

1.2

Externe audit

In de externe audit zijn de hierna genoemde verwerkingen van politiegegevens door boa’s meegenomen (de scope van de externe audit is kortom een stuk ruimer): Nr.

Domein

Processen/verwerkingen

Applicaties

Organisatieonderdeel DSB/HHO

I. Openbare ruimte

• • •

Feit gecodeerd afdoen van strafrechtelijke boetes (combi- bon) Afdoen van feiten die niet feit gecodeerd afgehandeld kunnen worden Aanleveren van aanvullende pv’s op verzoek van het OM

CityControl

DSB/HHO

II. Milieu, welzijn en infrastructuur

• • •

Feit gecodeerd afdoen van strafrechtelijke boetes (combi- bon) Afdoen van feiten die niet feit gecodeerd afgehandeld kunnen worden Aanleveren van aanvullende pv’s op verzoek van het OM

CityControl

OCW/L&OZ Leerlingzaken

III. Onderwijs

•

Leerplicht

Leerling Basis Administratie (LBA)

NOREA is de beroepsorganisatie van IT-auditors in Nederland en beheert het register van gekwalificeerde IT –auditors.

8/122

Gemeente Den Haag – Wpg verbeterrapport 4

ZW/ Handhaving & Fraude

V (a) Werk, inkomen en zorg

• •

Uitkeringsfraude PW

Socrates, G-schijf

OCW/ O&K Misbruik & Oneigenlijk Gebruik

V (b) Werk, inkomen en zorg

• •

Fraude Pgb WMO

G-schijf

Het oordeel is in de externe audit per verwerking gegeven en uitgewerkt. Binnen domein V zijn twee verschillende verwerkingen - V(a) en V(b) onderzocht. In de externe audit is onderzoek gedaan naar 36 Wpg normen, waarvan er 5 specifiek betrekking hebben op technische en organisatorische maatregelen. Deze 5 normen zijn niet onderzocht tijdens de interne audit. De 36 Wpg normen zijn als zodanig omschreven in de handreiking ‘Privacy audit Wet politiegegevens (Wpg) voor boa’s’ zoals opgesteld door de NOREA. De normen zijn gebaseerd op de Wpg en het Bpboa en omvatten volgens de NOREA “de te verwachten onderwerpen en beheersingsmaatregelen, gericht op de beheersing van de privacy in gegevensverwerkende processen in indicatieve controles, in lijn met geldende wet- en regelgeving.” Voor de volgende periode is het raadzaam om de auditors (intern en extern) met een voorstel te laten komen welke organisatieonderdelen (2022-2025) er de komende jaren onderzocht zullen gaan worden, zodat de verschillende diensten binnen de Gemeente Den Haag zich hier gedegen op kunnen voorbereiden. De Wpg en meer in het bijzonder de Regeling periodieke audit politiegegevens stellen dat de privacy audit Wpg gericht is op de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien, alsmede de werking van de getroffen maatregelen en procedures.

De externe auditors hebben bij de toetsing van de 36 Wpg normen dan ook gebruikt gemaakt van de onderstaande criteria:

9/122

Gemeente Den Haag – Wpg verbeterrapport De organisatie heeft de beheersingsmaatregen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is aan de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s.

Opzet

Bestaan De organisatie heeft de beheersingsmaatregelen overeenkomstig de opzet daadwerkelijk geïmplementeerd en toegepast. Werking

De organisatie heeft de beheersingsmaatregelen gedurende de verslaggevingsperiode volgens de opzet toegepast, ingeval van handmatige beheersingsmaatregelen zijn deze toegepast door competente en bevoegde personen.

In andere woorden: er is kortom het volgende getoetst: i) de wijze waarop het verwerken van politiegegevens is georganiseerd; oftewel of er een ontwerp is (opzet), ii) of er processen zijn ingericht (bestaan) en iii) of de processen ook conform de opzet werken (werking). Het onderzoek ten aanzien van de werking van de normen is grotendeels beperkt tot de periode 1 januari 2021 – 31 december 2021. Uitzondering hierop vormt een aantal zogenaamde ‘Toezichtmaatregelen’, welk onderzoek zich wel heeft uitgestrekt tot de volledige verslagperiode (d.w.z. van 9 maart 2019 tot 23 november 2022). De externe auditors hebben door middel van kleuren in de aangehechte bijlages aangegeven of sprake was van opzet, bestaan en werking van de betreffende norm per onderzocht domein. De kleurencodes dienen als volgt geïnterpreteerd te worden: -

Onderwerpen die afdoende zijn opgezet, geïmplementeerd en effectief werken zijn groen. Onderwerpen die gedeeltelijk afdoende zijn opgezet, geïmplementeerd en/of effectief werken zijn oranje. Onderwerpen die niet afdoende zijn opgezet, geïmplementeerd en/of effectief werken zijn rood gemaakt. Onderwerpen die niet zijn onderzocht en/of niet van toepassing zijn, zijn grijs.

De onderzoeksresultaten zoals vastgelegd in de interne audit zijn door de externe auditors als input gebruikt voor hun oordeel ten aanzien van het leerplicht proces. Dit neemt niet weg dat de externe auditors hun eigen onafhankelijke oordeel hebben gevormd ten aanzien van de opzet, het bestaan en de werking van de betreffende normen.

1.3

Opzet verbeterrapport

Dit verbeterrapport is gebaseerd op de bevindingen en verbetermaatregelen zoals opgenomen in: i) de long version van de auditrapportage met de titel: Assurance rapport NOREA richtlijn 3000D” van 2 december 2022 zoals opgesteld door de Gemeentelijke Accountantsdienst (oftewel: de externe audit); en ii) de auditrapportage met de titel “21-10 CON Auditrapport naleving Wpg. Nulmeting naleving Wet politiegegevens door de leerplichtambtenaren/leerplichtteams van de afdeling Leerling- en Onderwijszaken” van 16 maart 2022 (oftewel: de interne audit”). 10/122

Gemeente Den Haag – Wpg verbeterrapport

In dit verbeterrapport komen de onderwerpen die volgens de externe audit reeds afdoende zijn opgezet, geïmplementeerd en effectief werken en aldus groen zijn gemarkeerd - niet terug. Ten aanzien daarvan hoeven immers geen verbetermaatregelen te worden doorgevoerd door de Gemeente Den Haag. Alle overige onderwerpen (dus ook de grijze) komen wel terug. In overleg met het Expertisecentrum Privacy (ECP) van de Gemeente Den Haag is besloten om dit verbeterrapport te structureren conform de acht kernthema’s die het raamwerk vormen voor het meten van de privacy volwassenheid binnen de Gemeente Den Haag. Langs deze acht kernthema’s zijn door het ECP voor alle diensten van de Gemeente Den Haag (met uitzondering van de GAD, de Ombudsman en de Raadsorganisatie) momenteel AVG-werkprogramma’s opgesteld. Door het verbeterrapport ook in te delen conform deze acht kernthema’s van de AVG-werkprogramma’s, zal de Wpg implementatie naar verwachting in dezelfde lijn als de AVG-werkprogramma’s omgezet kunnen worden in vergelijkbare Wpg-werkprogramma’s per dienst. Het voorgaande betekent concreet dat dit verbeterrapport is gestructureerd conform de volgende acht kernthema’s. 1. 2. 3. 4. 5. 6. 7. 8.

Inrichting privacybesturing Inzicht in verwerkingen Grip op relaties Risicobeheersing Beveiliging Privacy-by-design Transparantie Cultuur

De illustratieve beheersingsmaatregelen, die de interne en externe auditors als normenkader hebben gebruikt, zijn voor een deel een-op-een te koppelen aan voorgenoemde 8 kernthema’s. Om het aansluiten van de externe audit met de 8 kernthema’s mogelijk te maken en de leesbaarheid van de externe audit in het licht van de 8 kernthema’s te bevorderen, is ervoor gekozen om bij het opstellen van dit rapport hoofdzakelijk uit te gaan van de concrete aanbevelingen uit de externe audit, in plaats van de beheersingsmaatregelen als uitgangspunt te gebruiken. Hierdoor is de mogelijkheid gecreëerd om op eenzelfde wijze als bij de AVG-werkprogramma’s, uitvoering te geven aan het vervolg van de verbetermaatregelen zoals voorgesteld in dit rapport. De tabel met illustratieve beheersingsmaatregelen, nadere toelichtingen en voorgestelde testaanpak zoals opgesteld door de NOREA is aangehecht als Bijlage 1 aan dit verbeterrapport. Deze bijlage bevat concrete verwijzingen naar wetsartikelen alsmede een omschrijving van de 11/122

Gemeente Den Haag – Wpg verbeterrapport

illustratieve beheersingsmaatregelen, waaraan de auditors hebben getoetst. Het verdient dan ook aanbeveling deze bijlage bij de hand te houden tijdens de bestudering van dit rapport. Ieder afzonderlijk hoofdstuk vangt aan met een algemene toelichting die verband houdt met het specifieke kernthema, waarbij met name aandacht is voor eventuele overeenkomsten en verschillen tussen de Wpg en de AVG. In die algemene toelichting zijn eveneens concrete verbetervoorstellen opgenomen binnen grijze kaders. Deze verbetervoorstellen zijn vaak generiek van aard, doch in elk geval van belang voor verschillende diensten. Na de algemene toelichting volgen in ieder hoofdstuk tabellen. In die tabel zijn de conclusies (tweede kolom), aanbevelingen (derde kolom) en kleurencodering (vierde kolom) terug te vinden, die in de bijlages van de externe audit staan. In de vijfde kolom van de tabel zijn deze aanbevelingen, indien en voor zover mogelijk, door Considerati uitgewerkt in concretere verbetermaatregelen en te ondernemen stappen. Het voorgaande neemt niet weg dat door de Gemeente Den Haag nog bepaald zal moeten worden wie deze verbetermaatregelen concreet gaat uitvoeren en op welk niveau (strategisch/centraal of decentraal), waarna de verbetermaatregelen pas omgezet kunnen worden in concrete acties door de betreffende verantwoordelijken binnen de privacy organisatie en diensten.

De interne audit bevat geen conclusies. Daarom is ervoor gekozen om de bevindingen zoals opgenomen in de interne audit over te nemen (tweede kolom) en daarnaast de aanbevelingen weer te geven indien en voor zover die zijn gedaan (derde kolom). De vierde kolom bevat wederom verbetermaatregelen die zijn geformuleerd door Considerati. In hoofdstuk 10 van deze rapportage zijn de verbetermaatregelen opgenomen die naar ons oordeel de hoogste prioriteit hebben. Daarbij is een onderscheid gemaakt tussen maatregelen die het beste op strategisch/centraal niveau kunnen worden opgepakt en maatregelen die het beste op decentraal niveau, oftewel door de diensten zelf, kunnen worden opgepakt. De genoemde maatregelen kunnen grotendeels parallel aan elkaar worden opgepakt. Nota bene: bij een gebrek aan tijd, adviseren wij de lezer direct door te bladeren naar hoofdstuk 10. Maar let op: hoofdstuk 10 bevat niet alle verbetermaatregelen. Daarvoor zal de gehele rapportage moeten worden doorgelezen.

12/122

Gemeente Den Haag – Wpg verbeterrapport

2 Inrichting privacybesturing Taken, verantwoordelijkheden en managementaanpak Het is belangrijk om de taken en verantwoordelijkheden ten aanzien van de Wpg naleving binnen de Gemeente Den Haag als geheel, maar ook binnen elke dienst afzonderlijk, structureel te beleggen. Uit beide audits volgt dat deze taken en verantwoordelijkheden momenteel niet c.q. nauwelijks zijn belegd. Dat maakt het erg lastig voor de diensten om met de uitvoering van verbetermaatregelen te beginnen. Het is voor de diensten immers niet (voldoende) duidelijk welke acties er zelfstandig door de diensten moeten worden opgepakt en welke acties er op centraler niveau worden opgepakt c.q. worden gecoördineerd of dat zij anderszins ondersteuning kunnen verwachten vanuit de privacy organisatie. In lijn met de bevindingen in de interne audit, adviseren wij om zo spoedig mogelijk een strategie voor (het implementeren van) de Wpg binnen de Gemeente Den Haag te ontwikkelen. Omdat er veel overeenkomsten zijn tussen de AVG en Wpg, kan ervoor worden gekozen om de Wpg taken te beleggen binnen de huidige privacy organisatie. Door dit te doen kunnen bestaande processen, zoals het bijhouden van het verwerkingsregister, ook worden aangewend voor de Wpg. Dit heeft als bijkomend voordeel dat vraagstukken, die zowel de AVG als Wpg raken integraal kunnen worden benaderd.

Denk daarbij aan het uitvoeren van een DPIA op een proces, binnen welk proces zowel persoonsgegevens (AVG) als politiegegevens (Wpg) worden verwerkt. De privacy organisatie lijkt momenteel echter nog niet over genoeg kennis en expertise te beschikken om de Wpg voortvarend te kunnen implementeren. Wij adviseren dan ook om specifieke Wpg privacy officers aan te trekken om de Gemeente Den Haag de ondersteunen bij de implementatie van de maatregelen zoals voorgesteld in dit verbeterrapport. Bij het beleggen van concrete taken en verantwoordelijkheden binnen de Gemeente Den Haag, dient in elk geval rekening gehouden te worden met de verschillende functionarissen die als zodanig in de Wpg worden genoemd. Dat zijn de volgende: Functionaris voor de gegevensbescherming De functionaris voor de gegevensbescherming (FG) is een onafhankelijke functionaris die binnen de organisatie van de verwerkingsverantwoordelijke zowel toezicht houdt op naleving van de AVG als de Wpg. De FG informeert en adviseert over uw verplichtingen op grond van de Wpg, ziet toe op de naleving van de Wpg en op het interne gegevensbeschermingsbeleid, adviseert over DPIA’s en ziet toe op de uitvoering daarvan en rapporteert over zijn bevindingen. Ook boa werkgevers zijn verplicht om een FG aan te stellen die toezicht houdt op de naleving van de Wpg.

Meer concreet moet de FG-toezicht houden op: het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens, de toewijzing van de autorisaties, de bewustmaking en opleiding van de boa’s en andere functionarissen die betrokken zijn bij de verwerking van politiegegevens, de audits en de uitvoering van DPIA’s. Daarnaast is de FG verplicht om ieder jaar een 13/122

Gemeente Den Haag – Wpg verbeterrapport

schriftelijk verslag met bevindingen op te stellen over de naleving van de Wpg en dit verslag te delen met de verwerkingsverantwoordelijke. Op grond van de AVG is het opleveren van een dergelijk verslag geen verplichting. Wij hebben begrepen dat de Gemeente Den Haag reeds een FG heeft aangesteld. Onderzocht dient te worden of de FG over voldoende kennis en expertise beschikt om naast het toezicht op de AVG, ook toezicht te kunnen houden op de naleving van de Wpg. Privacyfunctionaris De privacyfunctionaris geeft advies en houdt toezicht op de verwerkingen van politiegegevens. Daarnaast heeft de privacyfunctionaris de taak om het overzicht bij te houden van de gegevensverwerkingen die gedocumenteerd dienen te worden op grond van de documentatieplicht. De privacyfunctionaris stelt daarnaast jaarlijks een verslag op van zijn bevindingen. Deze rol komt als zodanig niet in de AVG voor, maar wel in de Wpg. Conform het bepaalde in artikel 2 lid 1 Bpg boa is het aanstellen van een privacyfunctionaris binnen de boa- organisaties echter geen verplichting. Dit neemt niet weg dat het wel verstandig is om een – of zelfs meerdere Wpg privacyfunctionaris(sen)/officers aan te stellen. Deze personen kunnen een centrale rol vervullen bij het inrichten van het Wpg verwerkingsregister en het uitvoeren van de verbetermaatregelen zoals opgenomen in dit verbeterrapport.

Bevoegd functionaris Ten aanzien van elke artikel 9-verwerking dient een bevoegd functionaris (BF) te worden aangewezen. De BF heeft onder andere als taak om het doel van de artikel 9-verwerking te omschrijven en vast te leggen, personen te autoriseren voor de betreffende verwerking, erop toe te zien dat de herkomst en de wijze van verkrijgen van politiegegevens wordt vastgelegd en te beslissen over een eventuele verstrekking aan bijvoorbeeld een samenwerkingspartner. De BF dient te worden aangewezen door de werkgever van de boa. Vaak is de BF een coördinator of manager met voldoende kennis en vaardigheden over het specifieke type gegevens dat wordt verwerkt. - interne- als externe audit volgt dat er binnen enkele diensten geen artikel 9-verwerkingen plaatsvinden, althans dat deze zich niet Zowel uit de binnen de -verslagperiode hebben voorgedaan of dat hiervoor geen evidence is aangeleverd. Dat zou betekenen dat er geen noodzaak is om bevoegd functionarissen aan te stellen binnen die diensten. Wij adviseren om te onderzoeken of artikel 9-verwerkingen zich überhaupt kunnen voordoen binnen de diensten en dit gedocumenteerd vast te leggen. Dan kan op basis van die conclusie worden bepaald welke diensten er een - om bevoegde functionarissen aan te wijzen en binnen welke diensten niet. noodzaak is

14/122

Gemeente Den Haag – Wpg verbeterrapport

15/122

Gemeente Den Haag – Wpg verbeterrapport

2.1

Audits en verbetermaatregelen

We hebben geen stukken ontvangen waaruit blijkt dat toezicht is gehouden op doelbinding en dat gegevens niet op een onrechtmatige wijze worden verwerkt.

Periodiek toezicht op doelbinding en dat gegevens niet op een onrechtmatige wijze worden verwerkt.

We hebben geen stukken ontvangen waaruit blijkt dat toezicht is gehouden op de noodzakelijkheid en rechtmatigheid van politiegegevens.

Periodiek toezicht op noodzakelijkheid en rechtmatigheid (en indien van toepassing van art. 9 verwerkingen, toezicht op de vermelding van herkomst).

Doelbinding

3 Noodzakelijkheid en rechtmatigheid, vermelding herkomst

Aanbeveling audit

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

2.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) Verbetermaatregelen

De FG dient periodiek controles uit te voeren op het naleven van de wettelijke verplichtingen, waaronder controle op doelbinding. Stel een werkinstructie/beleid op, waaruit volgt hoe dit periodiek toezicht concreet wordt vormgegeven. Zoek bij het opstellen daarvan, indien en voor zover mogelijk, aansluiting bij bestaand beleid/werkinstructies ten aan zien van het houden van toezicht op de AVG. Voorzie in werkinstructies, die de boa bij de uitvoering van de opsporingstaak in acht dient te nemen, waarbij aandacht is voor doelbinding. Breng deze werkinstructies onder de aandacht bij nieuwe en bestaande medewerkers. De FG dient periodiek controles uit te voeren op het naleven van de wettelijke verplichtingen, waaronder of de politiegegevens die worden verwerkt, toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en of de herkomst vermeld is in het geval van art. 9 verwerkingen. Stel een werkinstructie/beleid op (zie verder onder 2). Onderzoek of er überhaupt weleens art. 9 verwerkingen plaatsvinden. Zo ja, wijs dan bevoegd functionarissen aan die toezicht houden op de vermelding van herkomst in het geval van art. 9 verwerkingen.

Onderzoek de mogelijkheden voor het automatiseren van processtappen of het inrichten van (technische) controles, om te borgen dat de verwerking van politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is. Bijvoorbeeld door waar mogelijk gebruik te maken van meerkeuze-opties in plaats van open invoervelden of het laten tegenlezen van documentatie die binnen de reikwijdte van de Wpg valt. Voorzie in werkinstructies, die de boa bij de uitvoering van de opsporingstaak in acht dient te nemen, waarbij aandacht is voor de

16/122

Gemeente Den Haag – Wpg verbeterrapport noodzakelijkheid, rechtmatigheid en (indien van toepassing de vermelding van herkomst). Breng deze werkinstructies onder de aandacht bij nieuwe en bestaande medewerkers 4 Juistheid en volledigheid politiegegevens

We hebben geen stukken ontvangen waaruit blijkt dat toezicht is gehouden op de juistheid en volledigheid van politiegegevens.

Periodiek toezicht op Juistheid en volledigheid politiegegevens.

11 Autorisaties: aanwijzen functionarissen

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

De FG dient periodiek controles uit te voeren op het naleven van de wettelijke verplichtingen, waaronder of de politiegegevens die worden verwerkt, juist en volledig zijn. Stel een werkinstructie/beleid op (zie verder onder 2). Onderzoek de mogelijkheden voor het automatiseren van processtappen of het inrichten van (technische) controles, om te borgen dat de politiegegevens juist en volledig zijn. Bijvoorbeeld door te controleren of de gegevens overeenkomen met de gegevens in het BRP of een foutmelding te tonen wanneer een mobiel telefoonnummer niet uit 10 cijfers bestaat of het laten tegenlezen van documentatie die binnen de reikwijdte van de Wpg valt. Voorzie in werkinstructies, die de boa bij de uitvoering van de opsporingstaak in acht dient te nemen, waarbij aandacht is voor de juistheid en volledigheid van politiegegevens. Breng deze werkinstructies onder de aandacht bij nieuwe en bestaande medewerkers Onderzoek of er art. 9 verwerkingen plaatsvinden en daarmee of deze norm aldus van toepassing is. Indien de conclusie luidt dat deze norm niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm.

Indien de conclusie luidt dat deze norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan de norm te voldoen en voer deze maatregelen uit. Indien de conclusie luidt dat deze norm wel van toepassing is, dient de FG toe te zien op de toewijzing van autorisaties.

17/122

Gemeente Den Haag – Wpg verbeterrapport

2 (III)

Doelbinding

2 (Vb)

Doelbinding

3 (III) Noodzakelijkheid en rechtmatigheid, vermelding herkomst

Er heeft geen toezicht plaatsgevonden op doelbinding en/of gegevens Er heeft geen toezicht plaatsgevonden op doelbinding en of gegevens op onrechtmatige wijze worden verwerkt. Er is geen BIO baselinetoets uitgevoerd. Er is geen DPIA uitgevoerd. Doelbinding is niet beschreven. Er heeft geen toezicht plaatsgevonden op de noodzakelijkheid, ter zake dienend en rechtmatigheid

Aanbeveling audit

Periodiek toezicht op doelbinding

Voer een BIO baselinetoets uit, stel een DPIA op. Richt het periodiek toezicht in.

Periodiek toezicht op noodzakelijkheid, rechtmatigheid en indien sprake is van art. 9 werkzaamheden de vermelding van herkomst

Verbetermaatregelen

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

2.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW)

Zie verbetermaatregelen zoals vermeld onder 2 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

Zie verder verbetermaatregelen zoals vermeld onder 8 (Vb) in paragraaf 5.1.2. Voer een BIO baselinetoets uit.

Zie verbetermaatregelen zoals vermeld onder 3 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

18/122

Gemeente Den Haag – Wpg verbeterrapport

3(Vb)

Noodzakelijkheid en rechtmatigheid, vermelding herkomst

4 (III)

Juistheid en volledigheid politiegegevens

4 (Vb)

Juistheid en volledigheid politiegegevens

van politiegegevens. Er heeft geen toezicht plaatsgevonden op de noodzakelijkheid, ter zake dienend en rechtmatigheid van politiegegevens. We hebben geen bewijsstukken ontvangen waaruit blijkt dat toezicht is gehouden op de juistheid en volledigheid van politiegegevens. Er heeft geen toezicht plaatsgevonden op de juistheid en volledigheid van politiegegevens. In processtap 2 (Onderzoek Rechtmatigheid Toezicht WMO JW_01 september 2022.docx) is benoemd dat

Periodiek toezicht op noodzakelijkheid, rechtmatigheid en vermelding herkomst.

Zie verbetermaatregelen zoals vermeld onder 3 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

Periodiek toezicht op Juistheid en volledigheid politiegegevens

Zie verbetermaatregelen zoals vermeld onder 4 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

Periodiek toezicht op juistheid en volledigheid van politiegegevens

Zie verbetermaatregelen zoals vermeld onder 4 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

19/122

Gemeente Den Haag – Wpg verbeterrapport verschillende bronnen worden geraadpleegd (+/-30), waaronder de BRP. De gegevens worden geregistreerd in het rapport van bevindingen. Deze stap wordt uitgevoerd op grond van de Awb. Gegevens vallen dan onder de Avg. Als de sfeerovergang naar strafrecht plaatsvindt, vallen de gegevens onder Wpg. In het interview is besproken dat rapporten worden tegengelezen. Er zijn geen applicatie controles op de invoer van gegevens. Wij hebben geen procedure aangetroffen

20/122

Gemeente Den Haag – Wpg verbeterrapport

11 (III)

Autorisaties: aanwijzen functionarissen

voor het vernietigen en rectificeren van politiegegevens. Er is een proces uitgeschreven waarin zorgvuldig de activiteiten worden uitgevoerd. Er is echter geen specifieke aandacht voor de verwerking van gegevens. N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan

11 (Vb) Autorisaties: aanwijzen functionarissen

Er is geen lijst met bevoegde functionarissen aanwezig

Stel een lijst bevoegde functionarissen op

Onderzoek of er art. 9 verwerkingen plaatsvinden en daarmee of deze norm aldus van toepassing is. Indien de conclusie luidt dat deze norm niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat deze norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan de norm te voldoen en voer deze maatregelen uit. Indien de conclusie luidt dat deze norm wel van toepassing is, dient de FG toe te zien op de toewijzing van autorisaties. Wijs bevoegd functionarissen aan. De FG dient toe te zien op de toewijzing van de autorisaties. Stel een actuele lijst van bevoegd functionarissen op. Stel specifieke werkinstructies voor artikel 9 verwerkingen op en houdt daarbij rekening met de specifieke taken van de

21/122

Gemeente Den Haag – Wpg verbeterrapport

bevoegd functionarissen. Zorg ervoor dat de werkinstructies onder de aandacht worden gebracht van boa’s die artikel 9 verwerkingen uitvoeren en bevoegd functionarissen.

22/122

Gemeente Den Haag – Wpg verbeterrapport

Interne audit Onderwerp Wpg

Bevindingen

Naar aanleiding van een verzuimmelding krijgt de leerplichtambtenaar:

Noodzakelijkheid, rechtmatigheid en vermelding herkomst

• •

Aanbeveling audit

Verbetermaatregelen

Geen andere verbetermaatregelen dan zoals vermeld onder 3 (III) “Onderwijs (III & Vb) – (OCW)” in paragraaf 2.1.2.

contactgegevens van de school; contactgegevens van de betreffende leerling en/of ouder(s)/verzorger(s).

Bij de eerste verzuimmelding wordt alleen een zogenaamde ‘kennisgevingsbrief’ verstuurd, tenzij uit de melding blijkt dat er meer nodig is. Bij een tweede melding start het onderzoek. Hiervoor wordt onder andere een gesprek gehouden met de ouders en de leerling (vanaf 12 jaar). De correspondentie (brieven/ mailberichten), verslagen en notities worden opgeslagen in de Leerling Basisadministratie. Wanneer sprake is van ongeoorloofd verzuim, dan worden eventuele oorzaken opgespoord en zo mogelijk betrokken hulpverleners betrokken. De betrokken

23/122

Gemeente Den Haag – Wpg verbeterrapport hulpverleners mogen alleen worden benaderd met toestemming van de ouders en/ of de jongere. De stafmedewerker is verantwoordelijk voor het handboek leerling zaken waarin de processen staan beschreven. De stafmedewerker LBA is verantwoordelijk voor het beheer van LBA en de workflows (geautomatiseerde processtappen). De kwaliteitsmedewerkers zijn verantwoordelijk voor de kwaliteitscontrole op de uitvoering van de werkinstructies. 4 Juistheid en volledigheid politiegegevens

LBA heeft de volgende koppelingen waaruit gegevens een-op-een worden overgenomen: •

•

Geen andere verbetermaatregelen dan zoals vermeld onder 4 (III) “Onderwijs (III & Vb) – (OCW)” in paragraaf 2.1.2.

DUO voor inschrijvingen en verzuimmeldingen (automatisch); Basisregistratie Personen voor NAW-gegevens (automatisch); SUWI voor werk & inkomen

24/122

Gemeente Den Haag – Wpg verbeterrapport (handmatig). LBA heeft geen koppeling met Outlook. Mailberichten worden handmatig naar LBA gekopieerd. De leerplichtambtenaar is inhoudelijk verantwoordelijk. De kwaliteitsmedewerker beoordeelt vooral het proces: zijn de relevante stappen doorlopen, is voldoende informatie verzameld voor een gefundeerde beslissing en zijn de doorlooptijden gehaald (op basis van een deelwaarneming). Voordat een proces-verbaal naar het Justitieel Casus Overleg wordt gestuurd, wordt het proces-verbaal ook inhoudelijk beoordeeld door een andere leerplichtambtenaar (collega). Met behulp van het vier ogen principe wordt de juistheid en volledigheid van een procesverbaal beoordeelden een inschatting gemaakt of het proces-verbaal zinvol is en pedagogische meerwaarde

25/122

Gemeente Den Haag – Wpg verbeterrapport heeft. Daarnaast wordt een proces-verbaal in het Justitieel Casus Overleg beoordeeld door de ketenpartners.

2.1.3 Werk, inkomen en zorg (Va) – (SZW)

Er heeft geen toezicht plaatsgevonden op doelbinding en of gegevens op onrechtmatige wijze worden verwerkt.

Periodiek toezicht op doelbinding en of gegevens op onrechtmatige wijze worden verwerkt.

Zie verbetermaatregelen zoals vermeld onder 2 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1.

We hebben geen bewijsstukken ontvangen waaruit blijkt dat toezicht is gehouden op de noodzakelijkheid, ter zake dienend en rechtmatigheid van politiegegevens.

Periodiek toezicht op noodzakelijkheid, rechtmatigheid en vermelding herkomst. Stel werkinstructies op, werk nieuwe medewerkers in. Maak een procedure voor verwerking van artikel 9 gegevens.

Zie verbetermaatregelen zoals vermeld onder 2 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1, met als verschil dat niet uitgezocht hoeft te worden of sprake is van artikel 9 verwerkingen, omdat dat hier het geval is volgens de audit.

We hebben geen bewijsstukken ontvangen waaruit blijkt dat toezicht is gehouden op de

Periodiek toezicht op Juistheid en volledigheid politiegegevens.

Zie verbetermaatregelen zoals vermeld onder 4 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 2.1.1

Doelbinding

3 Noodzakelijkheid en rechtmatigheid, vermelding herkomst

4 Juistheid en volledigheid politiegegevens

Werking

Aanbeveling audit

Bestaan

Conclusies audit

Opzet

Onderwerp Wpg

Verbetermaatregelen

26/122

Gemeente Den Haag – Wpg verbeterrapport juistheid en volledigheid van politiegegevens. 11 Autorisaties: aanwijzen functionarissen

Er is geen evidence aangeleverd. Onduidelijk is wie toestemming geeft voor het starten van een artikel 9 verwerking.

Stel werkinstructies en procesbeschrijvingen op. Maak hierbij duidelijk wie de bevoegd functionaris is.

Wijs bevoegd functionarissen aan. De FG dient toe te zien op de toewijzing van de autorisaties. Stel een actuele lijst van bevoegd functionarissen op Stel specifieke werkinstructies voor artikel 9 verwerkingen op en houdt daarbij rekening met de specifieke taken van de bevoegd functionarissen. Zorg ervoor dat de werkinstructies onder de aandacht worden gebracht van boa’s die artikel 9 verwerkingen uitvoeren en bevoegd functionarissen.

27/122

Gemeente Den Haag – Wpg verbeterrapport

3 Inzicht in verwerkingen Processen en verwerkingen binnen de domeinen

Verwerkingsregister De verwerkingsverantwoordelijke dient een register bij te houden van de verwerking van politiegegevens (artikel 31d Wpg). Daarin moet de volgende informatie worden vastgelegd: • De naam en de contactgegevens van de verwerkingsverantwoordelijke, de gezamenlijk verwerkingsverantwoordelijken en de functionaris voor gegevensbescherming; • De doelen van de verwerking; • De categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties; • Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; • In voorkomend geval, het gebruik van profilering; • In voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie; • Een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de politiegegevens bedoeld zijn; • Zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd; • Zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging; en • De toekenning van autorisaties bedoeld in artikel 6 Wpg. Dit register is kortom vergelijkbaar met het verwerkingsregister dat op grond van de AVG moet worden opgesteld.

In het register worden dus niet de daadwerkelijke persoonsgegevens van betrokkenen opgenomen. Het register geeft slechts door van middel van een beschrijving inzicht in de verwerkingsactiviteiten. Uit de audits volgt dat een Wpg-register nog niet is opgesteld. Omdat de informatie die in het Wpg-register moet worden vastgelegd grotendeels overeenstemt met de informatie die op grond van de AVG in het verwerkingsregister moet worden opgenomen, adviseren wij om te onderzoeken of de Wpg-verwerkingen aan het AVG-verwerkingsregister kunnen worden toegevoegd en of daarvoor dezelfde procedure kan worden gevolgd. De informatie in het “Register van verwerkingen Wpg basis” zoals beschikbaar gesteld door de VNG kan als input voor het Wpg register worden.

28/122

Gemeente Den Haag – Wpg verbeterrapport

Documentatieplicht Naast de registerplicht kent de Wpg ook een documentatieplicht (artikel 32 Wpg). De documentatieplicht houdt in dat bepaalde gegevensverwerkingen schriftelijk moeten worden vastgesteld. Waar de registerplicht betrekking heeft op een algemene beschrijving van alle verwerkingsactiviteiten, heeft de documentatieplicht betrekking op afzonderlijke verwerkingsactiviteiten in een specifiek geval. De AVG kent een dergelijke documentatieplicht niet, behalve waar te gaat om het registreren van datalekken (zie punt iv hieronder). De volgende verwerkingen moeten gedocumenteerd worden op grond van de documentatieplicht: i) Wanneer politiegegevens verwerkt worden in het kader van een onderzoek in verband met de handhaving van de rechtsorde in een bepaald geval (artikel 9-verwerkingen), dient het doel van dat onderzoek gedocumenteerd te worden. ii) Verstrekkingen of doorgiften van politiegegevens die plaatsvinden op grond van paragraaf 3 Wpg. Als de doorgifte van de politiegegevens plaatsvindt aan een derde land of aan een internationale organisatie, dient naast het feit dat de verstrekking heeft plaatsgevonden ook de datum en tijd van de doorgifte te worden vastgelegd, informatie over de ontvangende bevoegde autoriteit, de reden van de doorgifte en de doorgegeven gegevens zelf.

iii) Als een verzoek van een betrokkene wordt afgewezen, dient gedocumenteerd te worden wat de feitelijke of juridische redenen zijn die ten grondslag liggen aan de afwijzing van het verzoek. iv) Een inbreuk op de beveiliging van persoonsgegevens, inclusief de feiten over de inbreuk, de gevolgen ervan en de maatregelen die zijn getroffen ter correctie, moeten worden gedocumenteerd. De verwerkingen die onder de documentatieplicht vallen, moeten in schriftelijke vorm worden gedocumenteerd. Hieronder valt ook het bijhouden van “een register” in elektronische vorm. Hoe beter deze werkprocessen geautomatiseerd ondersteund worden, hoe eenvoudiger het is om aan deze documentatieplicht te voldoen. Het gemakkelijkste is om een en ander gedocumenteerd vast te leggen in de boa registratiesystemen. Datalekken (punt iv) kunnen het beste worden vastgelegd in het register waar ook datalekken worden gedocumenteerd die op grond van de AVG moeten worden geregistreerd.

29/122

Gemeente Den Haag – Wpg verbeterrapport

Bewaartermijnen Politiegegevens mogen, evenals normale persoonsgegevens, niet langer worden verwerkt dan noodzakelijk. Wanneer de gegevens niet langer noodzakelijk zijn of wanneer een wettelijke bepaling dat vereist, moeten de gegevens worden verwijderd en later vernietigd. Het is afhankelijk van het doel waartoe gegevens zijn verzameld hoelang de maximale verwerkingsperiode en de bijbehorende bewaartermijn zijn. In de Wpg zijn specifieke bewaartermijnen vastgelegd (dit in tegenstelling tot de AVG). Deze bewaartermijnen zijn afhankelijk van de doeleinden waarvoor de gegevens worden verwerkt. Voor boa’s zijn specifiek de artikelen 8, 9 en 13-verwerkingen van belang. Omdat de meeste verwerkingen die boa’s verrichten, artikel 8 verwerkingen zijn, wordt dat artikel hierna als voorbeeld genomen ter toelichting op de bewaartermijnen. Op grond van artikel 8 Wpg mogen gegevens die worden verzameld met het oog op de uitvoering van de dagelijkse politietaak, niet langer dan één jaar na de datum van eerste verwerking worden verwerkt. Na afloop van dat jaar dient ervoor zorg te worden gedragen dat de gegevens niet langer vrij toegankelijk zijn en niet zonder meer geraadpleegd kunnen worden. Artikel 8-gegevens mogen tot vijf jaar na de eerste verwerkingsdatum met een gerichte zoekvraag worden geraadpleegd en verwerkt (artikel 8 lid 2 Wpg).

Na afloop van die termijn dienen ze nog eens vijf jaar te worden bewaard (artikel 14 lid 1 Wpg) en daarna dienen ze te worden vernietigd. Dat ziet er als volgt uit:

Bron: S. Franken, Praktijkhandboek Wet politiegegevens voor boa’s. Goed omgaan met persoonsgegevens. Uitgave februari 2022. p. 6 (figuur 1).

30/122

Gemeente Den Haag – Wpg verbeterrapport

De registratiesystemen die boa’s gebruiken om politiegegevens in vast te leggen, moeten kortom zodanig worden ingericht dat de bewaartermijnen als vermeld in artikelen 8 en 9 Wpg – het liefst geautomatiseerd - geborgd kunnen worden. Uit de audits volgt dat de huidige boa registratiesystemen nog niet op deze wijze zijn ingericht. Er dient, in overleg met de leveranciers, te worden onderzocht of de huidige systemen de mogelijkheid bieden om ze Wpg conform in te richten. Zo niet, dan dient er gekeken te worden of er eventueel een ander boa registratiesysteem kan worden geïmplementeerd dat deze mogelijkheden wel biedt. Feiten en persoonlijke oordelen Politiegegevens dienen gelet op de doeleinden waarvoor zij worden verwerkt juist en nauwkeurig te zijn. Onjuiste politiegegevens moeten ‘onverwijld’ worden vernietigd of gerectificeerd. In de Wpg zijn eisen opgenomen ter uitvoering van deze verplichting. Zo moet de Het verdient aanbeveling om er, de voor toetsingskaders die ter uitvoering voor beidedat audits worden gebruiktdie in de op elkaarzijn af te verwerkingsverantwoordelijke zover dit mogelijk is, zorg voor dragen de politiegegevens optoekomst feiten gebaseerd testemmen, zodat de resultaten gemakkelijker met elkaar vergeleken kunnenoordeel worden.zijn gebaseerd.

onderscheiden van politiegegevens die op een persoonlijk Om te bewerkstellingen dat de boa’s een onderscheid maken tussen feiten en persoonlijke oordelen binnen hun verslaglegging, is eerst en vooral bewustzijn bij de boa’s vereist. Het op de juiste wijze inrichten van de velden in het boa registratiesystemen kan echter bijdragen aan het maken van dit onderscheid (bijv. een afzonderlijk veld creëren voor feiten en voor waardeoordelen of invulformulieren zodanig opzetten dat dit onderscheid wordt gemaakt). Daarnaast dienen de registratiesystemen zodanig te worden ingericht dat de herkomst en wijze van verkrijging daarvan kan worden genoteerd in geval van een artikel 9 verwerking (als daarvan sprake is).

Los van de voorgaande algemene conclusies, treft u hieronder een overzicht van de concrete conclusies en aanbevelingen die zijn gedaan in beide audits, alsmede de door ons voorgestelde verbetermaatregelen naar aanleiding daarvan. Het verdient aanbeveling om de toetsingskaders die ter uitvoering voor beide audits worden gebruikt in de toekomst op elkaar af te stemmen, zodat de resultaten gemakkelijker met elkaar vergeleken kunnen worden.

31/122

Gemeente Den Haag – Wpg verbeterrapport

3.1

Audits en verbetermaatregelen

3.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)

Het openbaarregister- verwerkingen en het (eigen) ‘verwerkingsregister Definitieve HHO 2022’ komen niet overeen.

Stem beide verwerkingsregisters op elkaar af en onderzoek of het verwerkingsregister maar op één plaats bijgehouden kan worden.

In procesbeschrijving(en) wordt geen onderscheid gemaakt tussen feiten en persoonlijk oordeel.

Beschrijf het onderscheid tussen feiten en persoonlijk oordeel in de procesbeschrijving(en).

Reikwijdte

5 Onderscheid feiten en oordeel

Onderzoek of het onderscheid tussen feiten en persoonlijk oordeel in City Control kan worden geïmplementeerd.

Werking

Aanbeveling audit

Bestaan

Conclusies audit

Opzet

Onderwerp Wpg

Verbetermaatregelen

12 Onderscheid tussen verschillende categorieën van betrokkenen

De categorieën van betrokkenen (verdachten, slachtoffer, benadeelde, veroordeelde, overtreder) in het

Stem de inhoud van de kolom 'Categorieën van betrokkenen' in het verwerkingenregister af met de onderscheiden categorieën van betrokkenen in City Control.

Inventariseer de verwerkingen die vallen onder de Wpg. Zie verdere maatregelen zoals genoemd onder “26 Register” Let op: Wpg verwerkingen uit het ‘Verwerkingsregister Definitieve HHO 2022’ worden pas gepubliceerd in het openbaarregister-verwerkingen wanneer de verwerkingen volledig zijn ingevuld in het interne register. Beide registers zullen dus nooit volledig overeenstemmen. Dit dient bij de eerstvolgende audit helderder te worden uitgelegd. Onderzoek of een onderscheid tussen feiten en persoonlijke oordelen in CityControl kan worden geïmplementeerd. Zo ja, voer deze implementatie door. Zorg ervoor dat het onderscheid tussen feiten en persoonlijke oordelen wordt doorgevoerd in procesbeschrijving(en) in CityControl. Beschrijf het onderscheid tussen feiten en persoonlijk zo nodig in de nog op stellen werkinstructies/bestaande werkinstructies. Onderzoek of de deelwaarnemingen door de kwaliteitsmedewerkers voldoende frequent worden uitgevoerd en worden gedocumenteerd. Zorg dat het onderscheid tussen categorieën van betrokkenen (verdachte, slachtoffer, derden, veroordeelden) wordt toegepast in het verwerkingsregister. Ga na of er in CityControl een duidelijk onderscheid kan worden gemaakt tussen categorieën van betrokkenen (verdachte,

32/122

Gemeente Den Haag – Wpg verbeterrapport 'Verwerkingsregister Definitieve HHO 2022' komt niet overeen met de categorieën van betrokkenen in City Control. 19 Ondersteunende taken

slachtoffer, derden, veroordeelden) en pas dit onderscheid, voor zover mogelijk, toe (bijv. door middel van labels).

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

26 Register

Een procedure voor het aanmelden, wijzigen en het actueel houden van het verwerkingsregister ontbreekt.

Beschrijf de procedure voor het aanmelden, wijzigen en het actueel houden van het verwerkingsregister en implementeer dit.

27 Documentatie

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode

Onderzoek of artikel 13 verwerkingen zich überhaupt voordoen en deze norm aldus van toepassing is. Indien de conclusie luidt dat deze norm niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat deze norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan deze norm te voldoen en voer deze maatregelen uit. Beslis of er een apart verwerkingsregister voor Wpg verwerkingen wordt opgesteld of dat Wpg verwerkingen in het bestaande verwerkingsregister worden opgenomen. Stel een procedure op voor het aanmelden, wijzigen en actueel houden van Wpg verwerkingen in het verwerkingsregister. Zoek, indien en voor zover mogelijk, aansluiting bij de procedure die is ingericht voor het bijhouden van het AVG verwerkingsregister. Voeg de verwerkingen van politiegegevens aan het verwerkingsregister toe conform voorgenoemde procedure. Voer een periodieke controle uit op de actualiteit en volledigheid van het verwerkingsregister. Ga na of CityControl zodanig is ingericht c.q.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12562524/1