Document · PDF

RIS314908 Bijlage 1 Wpg verbeterrapport

Commissie Bestuur 10 mei 2023, gemeente Den HaagBij agendapunt: Brief wethouder Werk, Wijken en Dienstverlening, mevrouw Parbhudayal inzake Uitvoeringsdata digitalisering en dienstverlening 202326.348 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 2 van 4

kan worden ingericht dat de verwerkingen zoals vermeld in artikel 33 lid 1 sub a t/mc Wpg daarin kunnen worden gedocumenteerd (indien

33/122

Gemeente Den Haag – Wpg verbeterrapport van deze audit hebben voorgedaan. -

en zodra dergelijke verwerkingen zouden plaatsvinden). Zo niet, beslis dan hoe en ander het beste gedocumenteerd kan gaan worden. Richt een procedure voor het melden en het registreren van datalekken in om aan het vereiste in artikel 33 lid 4 Wpg te voldoen. Indien en voor zover er reeds een procedure is opgezet om aan de verplichting op grond van artikel 33 lid 5 AVG te voldoen, kan daarbij worden aangesloten.

3.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW)

Er wordt geen onderscheid gemaakt tussen persoonsgegevens (die alleen vallen onder de AVG) en politiegegevens (die tevens vallen onder de WPG). In het deelregister OCW is op regel 142 de verwerking benoemd. Echter zijn relevante kolommen niet gevuld, waardoor informatie ontbreekt.

Maak de registratie compleet. Maak daarbij onderscheid tussen verwerkingen van persoonsgegevens die onder de AVG en verwerkingen van persoonsgegevens die onder de Wpg worden verwerkt.

Inventariseer de verwerkingen die vallen onder de Wpg. Zie verdere maatregelen zoals vermeld onder “26 Register” in deze paragraaf 3.1.2.

De afdeling Misbruik & Oneigenlijk gebruik (M&O) heeft nog geen

Meld de verwerking aan bij de privacy officer voor opname in het verwerkingsregister.

Inventariseer de verwerkingen die vallen onder de Wpg. Zie verdere maatregelen zoals genoemd onder “26 Register" in deze paragraaf 3.1.2.

Reikwijdte

1 (Vb) Reikwijdte

Werking

1 (III)

Aanbeveling audit

Bestaan

Conclusies audit

Opzet

Onderwerp Wpg

Verbetermaatregelen

34/122

Gemeente Den Haag – Wpg verbeterrapport informatie doorgegeven aan het verwerkingsregister m.b.t. AVG en Wpg verwerkingen. 5 (III) Onderscheid tussen feiten en oordeel

In het handboek wordt de nadruk gelegd op het objectief en feitelijk vastleggen van informatie (bijvoorbeeld met de zin "Let op: jouw tekst bij "bevindingen" moet objectief zijn, let op dat je hierin niet je eigen mening vermeldt, ook niet tussen de regels door".

Onderzoeken of dit onderscheid in LBA kan worden geïmplementeerd.

Onderzoek of een onderscheid tussen feiten en persoonlijke oordelen in LBA kan worden geïmplementeerd. Zo ja, voer deze implementatie door. Zorg ervoor dat het onderscheid tussen feiten en persoonlijke oordelen wordt doorgevoerd in de procesbeschrijving(en) in LBA. Beschrijf het onderscheid tussen feiten en persoonlijk zo nodig in de nog op stellen werkinstructies/bestaande werkinstructies. Onderzoek of de deelwaarnemingen door de kwaliteitsmedewerkers voldoende frequent worden uitgevoerd en worden gedocumenteerd.

Kwaliteitsmedewerkers toetsen op basis van een deelwaarneming de dossiers en signaleren gebruik van meningen. 9 (III) Bijzondere categorieën van politiegegevens 9 (Vb)

Geen evidence voor werking ontvangen.

De verwerking van bijzondere categorieën van politiegegevens is niet

Leg vast welke bijzondere categorie politiegegevens worden verwerkt.

Zie voorgestelde maatregelen “9” interne audit alsmede onder “9 (III) Bijzondere categorieën van politiegegevens” bij de interne audit.”

Inventariseer of bijzondere categorieën van politiegegevens worden verwerkt binnen de processen omtrent Fraude Pgb en WMO. Zorg dat de eventuele verwerkingen waarin bijzondere categorieën van politiegegevens voorkomen worden gedocumenteerd in het Wpg

35/122

Gemeente Den Haag – Wpg verbeterrapport Bijzondere categorieën van politiegegevens

vastgelegd in het verwerkingsregister.

12 (III)

In LBA wordt geen onderscheid tussen categorieën. Documenten worden niet gelabeld naar categorie betrokkene.

Onderscheid tussen verschillende categorieën van betrokkenen 19 (III) Ondersteunende taken

Leg daarbij de onvermijdelijkheid van deze verwerking vast.

In de onderzochte documenten wordt geen aandacht besteed aan bijzondere categorieën politiegegevens.

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Maak in LBA een indicator per document waarmee de betrokkene gelabeld kan worden als verdacht, getuige, etc.

Ga na of er in LBA een duidelijk onderscheid kan worden gemaakt tussen categorieën van betrokkenen (verdachte, slachtoffer, derden, veroordeelden) en pas dit onderscheid, voor zover mogelijk, toe (bijv. door middel van labels).

19 (Vb) Ondersteunende taken

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van

verwerkingsregister. Licht in het verwerkingsregister toe waarom de verwerking daarvan onvermijdelijk is voor het doel van de verwerking en hoe de gegevens zijn beveiligd. Stel voor werkinstructies voor boa’s op of breng anderszins onder de aandacht bij hen dat bijzondere categorieën van politiegegevens in beginsel niet mogen worden verwerkt, tenzij dat onvermijdelijk is voor het doel van de verwerking en dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon.

36/122

Gemeente Den Haag – Wpg verbeterrapport deze audit hebben voorgedaan. -

20 (III) Bewaartermijnen, verwijderen en vernietigen

Bewaartermijnen, verwijderen en vernietigingen zijn niet in LBA geïmplementeerd.

Richt de bewaartermijn in LBA conform de Wpg.

20 (Vb) Bewaartermijnen, verwijderen en vernietigen

26 (III) Register

eerstvolgende audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat deze norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan deze norm te voldoen en voer deze maatregelen uit. Inventariseer in welke bestanden politiegegevens worden verwerkt, voor welk doel deze politiegegevens worden verwerkt en stel op grond daarvan de specifieke bewaartermijnen vast. Onderzoek de mogelijkheden voor het inrichten van maatregelen (geautomatiseerd of handmatig), om te borgen dat politiegegevens tijdig worden verwijderd en vernietigd. Pas deze maatregelen toe en controleer periodiek of de betreffende politiegegevens daadwerkelijk zijn verwijderd, respectievelijk vernietigd.

Er zijn geen richtlijnen beschreven m.b.t. bewaartermijnen, verwijderen en vernietigen van persoonsgegevens.

Stel richtlijnen op t.a.v. bewaartermijnen, verwijderen en vernietigen van persoonsgegevens.

Zie verbetermaatregelen zoals vermeld onder “20 (III) Bewaartermijnen, verwijderen en vernietigen” in deze paragraaf.

Hoewel de verwerking is benoemd in het deelregister van OCW, is de vastgelegde informatie over deze verwerking niet compleet. Onduidelijk is of deze verwerking al tijdens de verslagperiode is opgenomen.

Maak de registratie in het verwerkingsregister compleet. Update de informatie (aantoonbaar) eenmaal per jaar.

Zie verbetermaatregelen zoals vermeld onder 26 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 3.1.1.

37/122

Gemeente Den Haag – Wpg verbeterrapport 26 (Vb) Register

Er wordt geen verwerkingsregister bijgehouden

Meld de verwerking aan bij de privacy-officer en vermeld de gevraagde informatie in het verwerkingsregister.

Zie verbetermaatregelen zoals vermeld onder 26 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 3.1.1.

Interne audit Onderwerp Wpg

Bevindingen audit

Aanbeveling audit

Verbetermaatregelen

Als voorbereiding op de interne audit is de gemeentelijke handhavingsorganisatie geïnventariseerd waar de bijzondere opsporingsambtenaren werkzaam zijn (boa’s). Deze boa’s hebben specifieke opsporingstaken waarbij de politiegegevens worden verwerkt. Door de afdeling leerplicht worden de volgende soorten verzuim onderscheiden, namelijk:

Door de afdeling leerplicht wordt bij de aanpak van het schoolverzuim nog geen onderscheid gemaakt tussen persoonsgegevens en politiegegevens. Dit dient in het verwerkingsregister te worden beschreven.

Reikwijdte

•

• •

•

Breng zorgvuldig in kaart wanneer sprake is van de verwerking van politiegegevens (Wpg) en wanneer slechts van persoonsgegevens (AVG) bij de aanpak van het schoolverzuim. Zie voor het overige de verbetermaatregelen zoals vermeld onder “1 (III) Reikwijdte” bij de externe audit.

Waar ligt de knip tussen persoonsgegevens (AVG) en politiegegevens (Wpg) bij de aanpak van het schoolverzuim?

Absoluut verzuim (jongere heeft geen

schoolinschrijving);

Relatief verzuim; Langdurig relatief verzuim (langer dan 28 dagen ongeoorloofd afwezig); Luxeverzuim.

38/122

Gemeente Den Haag – Wpg verbeterrapport Alle soorten verzuimprocessen hebben een mogelijke koppeling met de workflow ‘proces-verbaal’. De leerplichtambtenaar kan namelijk zelfstandig besluiten om verder te gaan met een proces-verbaal. Wanneer het proces-verbaal onderdeel is van de strafrechtelijke aanpak, dan zijn dit politiegegevens. 2 Doelbinding

Het concept verwerkingsregister OCW is gebaseerd op processen. Het betreffende proces is omschreven als ‘leerplichtverzuim melding’ met het verwerkingsdoel ‘het beoordelen van een melding van leerplichtverzuim’.

Welke definitie hanteert de gemeente Den Haag voor een verwerking en hoe dient een verwerking te worden omschreven?

- Bepaal het juiste abstractieniveau voor de verwerkingen binnen het proces ‘leerplichtverzuim melding’. - Zie voor het overige de verbetermaatregelen zoals vermeld onder “1 (III) Reikwijdte” en “26 (III) Verwerkingsregister” bij de externe audit.

Deze omschrijving is summier, omdat de leerling dossiers in LBA worden toegepast voor zowel de leerplicht (5 tot 16 jaar) als de kwalificatieplicht (16 tot 18jaar). Daarna blijft de leerling geregistreerd in het kader van de RMC-wetgeving (tot 23 jaar) en de Participatiewet (tot 27 jaar). De inrichting van de Leerling Basisadministratie (LBA) is voor wat betreft de leerplicht en de kwalificatieplicht gebaseerd op de landelijke aanpak schoolverzuim. De politiegegevens worden verwerkt voor de strafrechtelijke aanpak van het schoolverzuim. Hierover is nog weinig vermeld.

39/122

Gemeente Den Haag – Wpg verbeterrapport 5 Onderscheid feiten en Persoonlijk oordeel

De situatie en omstandigheden worden zo feitelijk mogelijk beschreven (dus de feiten zelf of op feiten gebaseerd). Hierover zijn afspraken gemaakt met de leerplichtambtenaren. Suggestieve elementen worden zoveel mogelijk weggelaten. Ook een conclusie omvat geen nieuwe feiten, maar doet een aanbeveling over de feiten die zijn geconstateerd.

Geen andere verbetermaatregelen dan zoals vermeld onder “5 (III) Onderscheid feiten en persoonlijk oordeel” bij de externe audit.

Borg dat de kwaliteitsmedewerkers niet alleen toetsen of er gezondheidsgegevens worden verwerkt, maar dat zij ook controles uitvoeren op eventuele andere bijzondere categorieën van politiegegevens. Neem dit als zodanig op in de werkinstructie voor kwaliteitsmedewerkers. Onderzoek of het onvermijdelijk is om geboorteplaats en nationaliteit te vermelden voor het doel van de verwerking en de gegevens afdoende zijn beveiligd conform het bepaalde in art. 5 Wpg. Documenteer de afspraken die zijn gemaakt met de leerplichtambtenaren, zodat deze bij de eerstvolgende audit kunnen worden overgelegd. Onderzoek of de deelwaarnemingen van door de kwaliteitsmedewerkers voldoende frequent worden uitgevoerd en worden gedocumenteerd. Zo niet, draag daar dan zorg voor.

De kwaliteitsmedewerkers toetsen de dossiers (op basis van een deelwaarneming) en signaleren het gebruik van subjectieve meningen. 9 Bijzondere categorieën van politiegegevens

Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats. Hierover zijn afspraken gemaakt met de leerplichtambtenaren. Bijvoorbeeld worden er geen gegevens over de gezondheid van een leerling verzameld, alleen of een leerling in staat is om onderwijs te volgen. De kwaliteitsmedewerkers toetsen de dossiers (op basis van een deelwaarneming) en signaleren geregistreerde medische diagnoses zoals ziekten of aandoeningen. Als een jongere in de Haagse Bron wordt opgezocht, dan staan ook de geboorteplaats en de nationaliteit vermeld, die mogelijk meer informatie geven over iemands afkomst. Ook

40/122

Gemeente Den Haag – Wpg verbeterrapport staat het BSN in de Haagse Bron vermeld. 12 Onderscheid tussen verschillende categorieën van betrokkenen

16 Uitvoeren van de dagelijkse opsporingstaak

20 Bewaartermijnen, verwijderen en vernietigen

In het proces-verbaal wordt onderscheid gemaakt tussen de verschillende categorieën van betrokkenen. Betrokkenen zijn de leerling, de ouders of verzorgers, de voogd, de school (coördinator passend onderwijs/ teamleider) en de hulpverlenende instanties. Leerling en ouders kunnen in het proces-verbaal opgevoerd worden als verdachte of als betrokkene(s). In verslagen wordt wel aangegeven over wie het gaat, maar er is geen zoekfunctie om alle informatie van een specifieke betrokkene op te vragen (in relatie tot een specifieke leerling). Een leerling dossier wordt niet gesloten; het proces wordt gesloten, maar het dossier blijft toegankelijk. Hierdoor blijft inzage mogelijk in de historie van een leerling. Er is een duidelijke knip nodig, want de gegevens die in het kader van de Wpg worden verwerkt hebben een beperkte bewaartermijn die korter is dan de periode dat je leerplichtig bent (5 –18 jaar). De workflow in LBA wordt doorlopen, maar de leerplichtambtenaar kan ook een eigen werkwijze hanteren om documenten in het leerling dossier op te slaan (bijvoorbeeld door ze op te

Waar ligt de knip tussen persoonsgegevens (AVG) en politiegegevens (Wpg) bij de aanpak van het schoolverzuim?

Geen andere verbetermaatregelen dan zoals vermeld onder “12 (III) Onderscheid tussen verschillende categorieën van betrokkenen” bij de externe audit.

Breng zorgvuldig in kaart wanneer sprake is van de verwerking van politiegegevens (Wpg) en wanneer slechts van persoonsgegevens (AVG) bij de aanpak van het schoolverzuim. Het is raadzaam om dit mee te nemen bij de uitvoering van DPIA’s. Richt LBA zodanig in dat politiegegevens een jaar na de datum van eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis).

Hoe controleert Pronexus BV of de bewaartermijn is verstreken? Welke procedure wordt gehanteerd voor het verwijderen en vernietigen van de leerling dossiers?

Geen andere verbetermaatregelen dan zoals vermeld onder “20 (III) Bewaartermijnen, verwijderen en vernietigen” bij de externe audit. Het beantwoorden van de vragen hiernaast kan helpen bij de implementatie van de verbetermaatregelen.

41/122

Gemeente Den Haag – Wpg verbeterrapport slaan als notities). De manier waarop wordt geregistreerd kan dus per medewerker verschillen; doordat verschillende werkwijzen worden toegepast is het lastiger om automatisch te kunnen schonen. Jaarlijks worden de bewaartermijnen van de afgesloten leerling dossiers door Pronexus BV gecontroleerd; als de bewaartermijn is verstreken, dan wordt het leerling dossier vernietigd. In LBA worden de persoonsgegevens opgenomen van alle in de gemeentelijke basisregistratie personen opgenomen personen in de leeftijd van 5 tot 27 jaar, hun ouders en hun broers en zussen. Een leerling dossier wordt afgesloten als de leerling naar een andere gemeente verhuist of de leerling een leeftijd bereikt van 23 jaar voor RMCwetgeving of 27 jaar voor de Participatiewet. Officiële stukken moeten volgens interne regels in DMS-Plato worden gearchiveerd. Aangezien LBA niet is gekoppeld met DMS-Plato, worden deze stukken handmatig via de app ‘DMS-Plato’ geüpload naar het systeem. Dit zijn onder andere bepaalde schoolinschrijvingen, vrijstellingen, proces-verbaal,

Bijvoorbeeld: wordt er een selectielijst opgesteld? Wanneer wordt een leerling dossier afgesloten? Wat gebeurt er als een leerling buiten de doelgroep valt; wordt het dossier dan afgesloten? Wat is de bewaartermijn als een leerling dossier wordt afgesloten? Is het mogelijk om een afgesloten leerling dossier (als geheel) te verwijderen uit het systeem LBA en te archiveren in het systeem DMSPlato? (Op dat moment is namelijk pas de bewaartermijn bekend) Is de datakwaliteit in het systeem LBA goed genoeg om automatisch te kunnen schonen? Wat is de (technische) impact van het automatisch schonen in het systeem LBA? Is het mogelijk om de afgesloten leerling dossiers als bulk (per jaargang) te verwijderen uit het systeem LBA en te archiveren in het systeem DMS-Plato? (In verband met automatisering van deze handelingen)

42/122

Gemeente Den Haag – Wpg verbeterrapport aangetekende uitnodigingen van de leerplichtambtenaar en schoolverklaringen. Deze stukken blijven echter in het systeem LBA beschikbaar, omdat het een lopend dossier betreft. Hier is dus sprake van dupliceren in plaats van archiveren. Mede door deze constructie wordt niet aan de wettelijke bewaartermijnen voldaan, want de stukken in DMS Plato hebben geen einddatum. 26 Register

Gemeente Den Haag heeft geen officieel register van verwerkingsactiviteiten (verwerkingsregister). Zo’n register bevat informatie over de persoonsgegevens/ politiegegevens die worden verwerkt. De CPO heeft toegezegd om in 2021 een top 40 van gemeentelijke verwerkingen op te leveren, zodat we deze kunnen publiceren voor de burger en instanties. Deze top 40 van gemeentelijke verwerkingen is nog niet gepubliceerd.

Wanneer is het gemeentelijke verwerkingsregister gereed? (Het voor ingevulde verwerkingsregister van de VNG bevat ongeveer 160 verwerkingen)

Past informatie over de politiegegevens in het gemeentelijke verwerkingsregister?

Geen andere verbetermaatregelen dan zoals vermeld onder “26 (III) Register” bij de externe audit.

De leerplichtambtenaar gebruikt LBA voor de vastlegging van de aanpak ‘schoolverzuim’. LBA is een SAASoplossing, waarbij de software als

43/122

Gemeente Den Haag – Wpg verbeterrapport online dienstverlening wordt aangeboden. 27 Documentatie

De documentatieplicht is nog niet geregeld; een schriftelijke vastlegging van:

• Doelen van het onderzoek; • Doorgifte of verstrekking van politiegegevens; • Uitzonderingen bij recht op inzage; • Inbreuk op de beveiliging van persoonsgegevens (datalekken).

Wil gemeente Den Haag dit centraal of decentraal vastleggen? Kunnen afdelingen hier naar verwijzen of moeten ze zelf een procedure opstellen? Doelen, doorgifte of verstrekking: beschikbaar in centrale verwerkingsregister? Uitzonderingen bij recht op inzage: beschikbaar in centrale registratie over verzoeken van betrokkenen? c) Inbreuk op de beveiliging van persoonsgegevens: beschikbaar in centrale datalekkenregister?

Geen andere verbetermaatregelen dan zoals vermeld onder “26 (III) documentatie” bij de externe audit. Opmerking nav vragen auditor zoals hiernaast weergegeven: wij adviseren om enkel de inbreuk op de beveiliging (datalekken) centraal vast te leggen, maar de rest in de gebruikte boa registratiesysteem vast te leggen.

Verwerking is benoemd. Er is echter geen relatie met de Wpg gelegd.

Procedures/werkinstructies ontbreken waarin het onderscheid tussen 'feiten' en 'persoonlijk oordeel' wordt gemaakt.

Reikwijdte

5 Onderscheid feiten en oordeel

Aanbeveling audit

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

3.1.3 Werk, inkomen en zorg (Va) – (SZW) Verbetermaatregelen

Pas het verwerkingsregister aan op basis van de Wpg. Richt processen in om het register periodiek te updaten.

Zie verbetermaatregelen zoals vermeld onder 1 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 3.1.1

Beschrijf het onderscheid tussen feiten en persoonlijk oordeel ook in de nog op stellen werkinstructies. Onderzoek of het onderscheid tussen feiten en persoonlijk oordeel in de gebruikte

Onderzoek of een onderscheid tussen feiten en persoonlijke oordelen in de gebruikte applicaties kan worden geïmplementeerd. Zo ja, voer deze implementatie door. Zorg ervoor dat het onderscheid tussen feiten en persoonlijke oordelen wordt doorgevoerd in de procesbeschrijving(en). Beschrijf het onderscheid tussen feiten en persoonlijk zo nodig in de nog op stellen werkinstructies/bestaande werkinstructies.

44/122

Gemeente Den Haag – Wpg verbeterrapport applicaties kan worden geïmplementeerd. 9 Bijzondere categorieën van politiegegevens

Er is niet aangetoond dat is vastgelegd dat deze gegevens onvermijdelijk zijn voor het doel van de verwerking.

12 Onderscheid tussen verschillende categorieën van betrokkenen 16 Uitvoering van de dagelijkse politietaak

Inventariseer of bijzondere categorieën van politiegegevens worden verwerkt binnen de processen omtrent uitkeringsfraude en PW. Zorg dat de eventuele verwerkingen waarin bijzondere categorieën van politiegegevens voorkomen worden gedocumenteerd in het Wpg verwerkingsregister. Licht in het verwerkingsregister toe waarom de verwerking daarvan onvermijdelijk is voor het doel van de verwerking en hoe de gegevens zijn beveiligd. Stel voor werkinstructies voor boa’s op of breng anderszins onder de aandacht bij hen dat bijzondere categorieën van politiegegevens in beginsel niet mogen worden verwerkt, tenzij dat onvermijdelijk is voor het doel van de verwerking en dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon.

Er is geen evidence aangeleverd.

Ga na of er in de gebruikte applicaties een duidelijk onderscheid kan worden gemaakt tussen categorieën van betrokkenen (verdachte, slachtoffer, derden, veroordeelden) en pas dit onderscheid, voor zover mogelijk, toe (bijv. door middel van labels).

Er is geen evidence aangeleverd.

Breng alle artikel 8 Wpg verwerkingen in kaart die (mogelijk) verband houden met de processen. Ons advies is om dit direct mee te nemen in de nog uit te voeren DPIA’s. Zo ja, controleer of er maatregelen zijn ingesteld om te borgen dat artikel 8 Wpg gegevens één jaar na datum van eerste verwerking worden opgeslagen (achter schot plaatsen) en alleen beschikbaar zijn voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis). Zie verder de verbetermaatregelen zoals genoemd onder “20 Bewaartermijnen, verwijderen en vernietigen.”

45/122

Gemeente Den Haag – Wpg verbeterrapport 19 Ondersteunende taken

Er is geen evidence aangeleverd

20 Bewaartermijnen, verwijderen en vernietigen

Er is geen evidence aangeleverd.

26 Register

Verwerking is benoemd. Er is echter geen relatie met de Wpg gelegd.

Pas het verwerkingsregister aan op basis van de Wpg. Richt processen in om het register periodiek te updaten.

Onderzoek of artikel 13 verwerkingen zich überhaupt voordoen en deze norm aldus van toepassing is. Indien de conclusie luidt dat deze norm niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat deze norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan deze norm te voldoen en voer deze maatregelen uit. Inventariseer in welke bestanden politiegegevens worden verwerkt, voor welk doel deze politiegegevens worden verwerkt en stel op grond daarvan de specifieke bewaartermijnen vast. Onderzoek de mogelijkheden voor het inrichten van maatregelen (geautomatiseerd of handmatig), om te borgen dat politiegegevens tijdig worden verwijderd en vernietigd. Pas deze maatregelen toe en controleer periodiek of de betreffende politiegegevens daadwerkelijk zijn verwijderd, respectievelijk vernietigd. Zie verbetermaatregelen zoals vermeld onder 26 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 3.1.1.

46/122

Gemeente Den Haag – Wpg verbeterrapport

4 Grip op relaties Wpg-conforme gegevensuitwisseling andere partijen, partners en derden De gegevens die boa’s verwerken vallen in veel gevallen onder de Wpg. Ter uitvoering van boa-taken is het delen van politiegegevens in bepaalde situaties gewenst en zelfs vereist. Zowel de Wpg als de Bpgboa bevatten specifieke bepalingen die beschrijven aan welke partijen gegevens verstrekt mogen worden. Een boa kan op twee manieren gegevens delen met anderen, dit is bepalend voor welke specifieke verplichtingen omtrent het delen van politiegegevens uit de Wpg of Bpgboa van toepassing zijn. Wanneer politiegegevens binnen het Wpgdomein worden gedeeld spreken we van ‘ter beschikking stellen’ van politiegegevens. Wanneer politiegegevens met externe partijen worden gedeeld dan is er sprake van ‘verstrekking van politiegegevens’. Uit de bevindingen van de audits volgt dat de diensten binnen de Gemeente Den Haag niet in alle gevallen voldoende inzicht hebben in gegevensdeling met betrekking tot de werkzaamheden van boa’s. Binnen bepaalde processen is het onduidelijk of politiegegevens door boa’s worden gedeeld en zo ja, met welke partijen. Hieruit vloeit voort dat niet getoetst kan worden of gegevensdeling binnen deze processen voldoet aan de specifieke wettelijke verplichtingen omtrent gegevensdeling uit de Wpg.

Wij adviseren om zo spoedig mogelijk te onderzoeken of en met welke partijen politiegegevens (kunnen) worden gedeeld door boa’s. De specifieke verplichtingen uit de Wpg omtrent het delen van politiegegevens worden onderstaand kort toegelicht. Ter beschikkingstellen van politiegegevens in het Wpg-domein Politiegegevens worden binnen het Wpg-domein ter beschikking gesteld indien dit noodzakelijk is voor de uitvoering van een politietaak (artikel 15 Wpg). Hierbij geldt het ‘need-to-know-principe’, dit betekent dat er voorafgaand aan het delen van gegevens altijd een noodzakelijkheids-, proportionaliteits- en subsidiariteitsafweging moet worden gemaakt. Onder het Wpg-domein vallen de politie, Koninklijke Marechaussee, Rijksrecherche en opsporingsambtenaren van de bijzondere opsporingsdiensten. Politiegegevens mogen binnen het Wpg-domein enkel ter beschikking worden gesteld aan personen die geautoriseerd zijn om die politiegegevens te verwerken. Artikel 2:13 Bpg beschrijft de specifieke gevallen waar in het ter beschikking stellen van gegevens kan worden geweigerd. Naast de algemene bepalingen omtrent ter beschikkingstelling zijn in de artikelen 8 t/m 13 Wpg nadere voorwaarden opgenomen voor de ter beschikkingstelling van politiegegevens.

Politiegegevens die voor een bepaald doel zijn verzameld (bijvoorbeeld voor de uitvoering van een dagelijkse politietaak, artikel 8 Wpg) mogen alleen ter beschikking worden gesteld voor de doeleinden die in het artikel staan. Daarnaast is in sommige gevallen instemming van een bevoegd functionaris (zoals de betrokken onderzoeksleider of de leidinggevende) vereist.

47/122

Gemeente Den Haag – Wpg verbeterrapport

Verstrekken van gegevens aan partijen buiten het Wpg-domein De Wpg kent een ‘gesloten verstrekkingsregime’. In beginsel geldt er een geheimhoudingsplicht voor politiegegevens, maar politiegegevens kunnen aan derden worden verstrekt, indien dit noodzakelijk is. Politiegegevens mogen alleen worden verstrekt aan personen en/of organisaties die zijn opgenomen in de Wpg en het Bpg en onder de voorwaarden die staan in de Wpg en het Bpg. De volgende verstrekkingsmogelijkheden zijn opgenomen: - Verstrekkingen aan gezagsdragers en opsporingsambtenaren (artikel 16 Wpg); - Verstrekkingen aan inlichtingendiensten (artikel 17 Wpg); - Verstrekkingen aan derden structureel (artikel 18 Wpg); - Verstrekkingen aan derden incidenteel (artikel 19 Wpg); - Verstrekkingen aan derden structureel voor samenwerkingsverbanden (artikel 20 Wpg); - Verstrekkingen aan derden ten behoeve van wetenschappelijk onderzoek en statistiek (artikel 22 Wpg); en - Rechtstreekse verstrekkingen (artikel 23 en 24 Wpg). Daarnaast zijn in artikel 6 en 7 van het Bpg boa voor boa’s twee mogelijkheden beschreven om gegevens te verstrekken die voor de politie niet gelden. Beide artikelen hebben betrekking op het verstrekken van opsporingsgegevens die een boa zelf heeft verzameld en mogelijk heeft verrijkt.

In de openbaar beschikbare documenten “Verstrekkingenwijzer voor BOAs” en “Naslagwerk Verstrekken” is zeer overzichtelijk uitgewerkt met wie gegevens gedeeld mogen worden en wat de voorwaarden zijn. Wij adviseren de Gemeente Den Haag om deze documenten te gebruiken als naslagwerk bij het in kaart brengen van gegevensdeling en eventueel bij het vaststellen van verdere verbetermaatregelen. Daarnaast adviseren wij de Gemeente Den Haag om deze documenten onder de aandacht te brengen bij de boa’s die betrokken zijn bij het delen van politiegegevens en eventueel bij te voegen aan procesbeschrijvingen of werkinstructies.

48/122

Gemeente Den Haag – Wpg verbeterrapport

Het is belangrijk om in acht te nemen dat wanneer gegevens worden gedeeld binnen het Wpg-domein, deze gegevens gekwalificeerd blijven als politiegegevens. Bij verstrekking van gegevens buiten het Wpg-domein worden gegevens niet meer gekwalificeerd als politiegegevens, maar ‘gewone’ persoonsgegevens. Hieruit vloeit voort dat deze verwerking onder andere wettelijke regimes, zoals de AVG valt. Zie onderstaande afbeeldingen ter verduidelijking van reikwijdte van de AVG, Wpg en Bpg Boa en het onderscheidt in ter beschikkingstelling en het verstrekken- van politiegegevens:

Bron: S. Franken, Praktijkhandboek Wet politiegegevens voor boa’s. Goed omgaan met persoonsgegevens. Uitgave februari 2022. p. 20 en 59 (Figuur 3 en Bijlage D).

Los van de voorgaande algemene conclusies, treft u hieronder een overzicht van de concrete conclusies en aanbevelingen die zijn gedaan in beide audits, alsmede de door ons voorgestelde verbetermaatregelen naar aanleiding daarvan. 49/122

Gemeente Den Haag – Wpg verbeterrapport

4.1

Audits en verbetermaatregelen

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

Ter beschikking stellen van politiegegevens binnen het Wpgdomein

Aanbeveling audit

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

4.1.1 Openbare ruime (I) & Milieu, welzijn en infrastructuur (II) – (DSB) Verbetermaatregelen

21 Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

Onderzoek of binnen de processen politiegegevens ter beschikking worden gesteld aan partijen binnen het Wpgdomein. Indien de conclusie luidt dat ter beschikkingstelling van politiegegevens binnen het Wpg-domein niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat ter beschikkingstelling van politiegegevens binnen het Wpg-domein wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan Wpg verplichtingen ten aanzien van ter beschikkingstelling binnen het Wpg-domein te voldoen en voer deze maatregelen uit. Onderzoek of binnen de processen politiegegevens worden verstrekt aan anderen dan politie en Koninklijke marechaussee (buiten Wpg-domein). Indien de conclusie luidt dat het verstrekken van politiegegevens aan anderen dan politie en koninklijke marechaussee niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op.

Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk

50/122

Gemeente Den Haag – Wpg verbeterrapport

22 Doorgiften aan derde landen

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

23 Verstrekking aan derden structureel voor samenwerkingsverbanden

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan

juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat het verstrekken van politiegegevens aan anderen dan politie en Koninklijke marechaussee wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan de Wpg verplichtingen ten aanzien van het verstrekken van politiegegevens aan anderen dan politie en koninklijke marechaussee te voldoen en voer deze maatregelen uit. Onderzoek of binnen de processen doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land plaatsvindt. Indien de conclusie luidt dat doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm.

Indien de conclusie luidt dat doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten nog worden uitgevoerd om aan de Wpg verplichtingen ten aanzien doorgifte aan derde landen te voldoen en voer deze maatregelen uit. Onderzoek of binnen de processen politiegegevens structureel aan derden worden verstrekt voor samenwerkingsverbanden. Indien de conclusie luidt dat het structureel verstrekken van politiegegevens aan derden voor samenwerkingsverbanden niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk

51/122

Gemeente Den Haag – Wpg verbeterrapport

24 Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat het structureel verstrekken van politiegegevens aan derden voor samenwerkingsverbanden wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten nog worden uitgevoerd om aan de Wpg verplichtingen ten aanzien van het structureel verstrekken van politiegegevens aan derden voor samenwerkingsverbanden te voldoen en voer deze maatregelen uit. Onderzoek of binnen de processen rechtstreekse verstrekking van politiegegevens op grond van artikel 23 Wpg plaatsvindt. Indien de conclusie luidt dat rechtstreekse verstrekking op grond van artikel 23 Wpg niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat rechtstreekse verstrekking op grond van artikel 23 Wpg wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten nog worden uitgevoerd om aan de Wpg verplichtingen ten aanzien rechtstreekse verstrekking te voldoen en voer deze maatregelen uit.

52/122

Gemeente Den Haag – Wpg verbeterrapport

17 (III)

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Ter beschikking stellen van politiegegevens binnen het Wpgdomein. 17 (Vb) Ter beschikking stellen van politiegegevens binnen het Wpgdomein.

21 (III) Verstrekking van politiegegevens aan anderen dan politie en

Er is geen lijst met bevoegde functionarissen aanwezig. In het document Werkinstructie Onderzoek Rechtmatigheid Toezicht M&O.docx is beschreven dat akkoord wordt gevraagd bij de Officier van Justitie voor het doen van strafrechtelijk onderzoek. Dit wordt vastgelegd in de signaallijst. N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van

Aanbeveling audit

Stel een lijst van bevoegde functionarissen op.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

4.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) Verbetermaatregelen

Zie -verbetermaatregelen zoals vermeld onder 17 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Breng in kaart onder welke omstandigheden er politiegegevens ter beschikking worden gesteld aan partijen binnen het Wpg-domein. Stel een werkinstructie voor boa’s op met daarin de basisregels die zij in acht moeten nemen voorafgaand aan de verstrekking van politiegegevens, zoals proportionaliteit en subsidiariteit. Stel een actuele lijst van bevoegd functionarissen op. Zorg ervoor dat de werkinstructie en actuele lijst onder de aandacht wordt gebracht van boa’s betrokken bij het ter beschikkingstellen van politiegegevens binnen de processen en de bevoegd functionarissen. Draag er zorg voor dat de verdere verwerking van arttikel-9 gegevens alleen plaatsvindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris. Beslis waar en hoe dergelijke toestemming wordt vastgelegd (bijv. in het boa registratiesysteem).

Zie verbetermaatregelen zoals vermeld onder 21 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

53/122

Gemeente Den Haag – Wpg verbeterrapport Koninklijke marechaussee

deze audit hebben voorgedaan.

21 (Vb)

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Zie verbetermaatregelen zoals vermeld onder 21 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Zie verbetermaatregelen zoals vermeld onder 22 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Zie verbetermaatregelen zoals vermeld onder 22 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Zie verbetermaatregelen zoals vermeld onder 23 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Zie verbetermaatregelen zoals vermeld onder 23 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee 22 (III) Doorgiften aan derde landen

22 (Vb) Doorgiften aan derde landen

23 (III) Verstrekking aan derden structureel voor samenwerkingsverbanden 23 (Vb) Verstrekking aan derden structureel voor samenwerkingsverbanden

54/122

Gemeente Den Haag – Wpg verbeterrapport 24 (III) Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten

E-mail is geen veilige methode om vertrouwelijke documenten te versturen. Vertrouwelijkheid labels waren in de onderzoeksperiode nog niet in gebruik.

Maak bij het versturen van emails gebruik van de vertrouwelijkheidslabels en bijbehorende beveiligingsmaatregelen en controleer periodiek of dit wordt nageleefd.

Stel een werkinstructie voor boa’s op voor rechtstreekse verstrekking van politiegegevens aan het OM. Zorg dat bij rechtstreekse verstrekking van het proces-verbaal aan het OM door middel van het versturen van e-mails gebruik wordt gemaakt van vertrouwelijkheidslabels en bijbehorende beveiligingsmaatregelen en leg dit vast in voorgenoemde werkinstructie. Zorg ervoor dat de werkinstructie onder de aandacht worden gebracht van boa’s die betrokken zijn bij rechtstreekse verstrekking. Zorg dat periodiek toezicht wordt gehouden op naleving van voorenoemde maatregelen.

24 (Vb) Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten

De procedure is niet beschreven. De lijst is niet aanwezig.

Stel een procedure op mb.t. rechtstreekse verstrekkingen.

Stel een werkinstructie voor boa’s op voor rechtstreekse verstrekking van politiegegevens aan het OM. Zoek uit of de fysieke verstrekking in drievoud aan het OM voldoet aan de beveiligingseisen ex artikel 23 lid 4 Wpg. Zorg ervoor dat de werkinstructies onder de aandacht worden gebracht van boa’s die betrokken zijn bij rechtstreekse verstrekking. Zorg dat periodiek toezicht wordt gehouden op naleving van voorgenoemde werkinstructies.

Er is geen evidence aangeleverd.

Verwerker en Verwerkersovereenkomst

Aanbeveling audit

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

4.1.3 Werk, inkomen en zorg (Va) – (SZW) Verbetermaatregelen

De norm is enkel van toepassing op Socrates en niet op de G:schijf. Draag er zorg voor dat de verwerkersovereenkomst met Socrates de eerstvolgende audit kan worden getoond of sluit een verwerkersovereenkomst met Socrates (indien en voor zover een dergelijke overeenkomst nog niet is gesloten)

55/122

Gemeente Den Haag – Wpg verbeterrapport -

17 Ter beschikking stellen van politiegegevens binnen het Wpg-domein 21 Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee 22 Doorgiften aan derde landen 23 Verstrekking aan derden structureel voor samenwerkingsverbanden 24 Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten

Documenteer ten aanzien van de G:schijf waarom deze norm niet van toepassing is (juridische onderbouwing daarvan) en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Zie verbetermaatregelen zoals vermeld onder 17 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Er is geen evidence aangeleverd.

Zie verbetermaatregelen zoals vermeld onder 21 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Er is geen evidence aangeleverd.

Zie verbetermaatregelen zoals vermeld onder 22 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Er is geen evidence aangeleverd.

Zie verbetermaatregelen zoals vermeld onder 23 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

Er is geen evidence aangeleverd.

Zie verbetermaatregelen zoals vermeld onder 24 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB)” in paragraaf 4.1.1.

56/122

Gemeente Den Haag – Wpg verbeterrapport

5 Risicobeheersing In control van risico’s door analyses en sturing Gegevensbeschermingseffectbeoordeling (DPIA) Overeenkomstig de AVG is de verwerkingsverantwoordelijke, wanneer een verwerking van politiegegevens een hoog risico voor de privacy van betrokkenen met zich meebrengt, op grond van de Wpg verplicht om een DPIA uit te voeren (artikel 4c lid 1 t/m 3 Wpg). Verwerkingen van politiegegevens zullen vrijwel altijd hoog-risico verwerkingen zijn en dus een DPIA vereisen. De DPIA dient ten minste te resulteren in: -

een algemene beschrijving van de beoogde verwerkingen; een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen; de beoogde maatregelen in de zin van waarborgen, veiligheidsmaatregelen en mechanismen om die risico’s weg te nemen of te beperken; en de voorzorgs- en beveiligingsmaatregelen en mechanismen om politiegegevens te beschermen en aan te tonen dat aan de verplichtingen uit de Wpg is voldaan met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere betrokken personen. -

Wij adviseren de Gemeente Den Haag om een hoge prioriteit te geven aan het uitvoeren van DPIA’s. Het uitvoeren van een DPIA zal voor de Gemeente - Den Haag naar verwachting een waardevol instrument zijn om verwerkingen van politiegegevens binnen de diensten op een gestructureerde wijze in kaart te brengen en de rechtmatigheid daarvan te toetsen. Op basis van de beoordeling kan geïdentificeerd worden welke vereisten van de Wpg, Bpg en Bpg boa van toepassing zijn binenn de diensten en aan welke vereisten nog niet is voldaan. Indien binnen een en hetzelfde proces zowel verwerkingen van politiegegevens als “gewone” persoonsgegevens plaatsvinden, is het raadzaam om in de DPIA specifiek aandacht te besteden aan de overgang tussen beide regimes. Nadat de DPIA is uitgevoerd kan worden bepaald worden welke concrete risico mitigerende maatregelen – er naast de verbetermaatregelen zoals opgenomen in dit verbeterplan - getroffen moeten worden aan de Wpg te voldoen. Geautomatiseerde besluitvorming Om een eerlijke verwerking van persoonsgegevens te waarborgen zijn in de Wpg diverse rechten aan de betrokkene toegekend. In de Wpg is een specifiek verbod opgelegd aan de verwerkingsverantwoordelijke om betrokkenen niet te onderwerpen aan uitsluitend geautomatiseerde besluitvorming, met inbegrip van profilering (artikel 7a Wpg).

Dit verbod is niet van toepassing indien is voorzien in voorafgaande menselijke tussenkomst door of namens de verwerkingsverantwoordelijke. Eenzelfde soort verbod is vastgelegd in de AVG. Voor de uitvoering van politietaken is het wenselijk om informatie uit verschillende bronnen (geautomatiseerd) met elkaar in verband te brengen. De Wpg biedt een wettelijke grondslag voor het geautomatiseerd vergelijken en in combinatie doorzoeken van politiegegevens (artikel 11 Wpg). 57/122

Gemeente Den Haag – Wpg verbeterrapport

Aan het geautomatiseerd vergelijken en in combinatie zoeken zijn aan strikte verplichtingen verbonden. Politiegegevens kunnen worden vergeleken en doorzocht voor zover dat noodzakelijk is voor een gerichte verwerking van politiegegevens (artikel 9 en 10 Wpg). In de Wpg wordt het onderscheid tussen geautomatiseerd vergelijken en gecombineerd vergelijken en gecombineerd zoeken. In dit verbeterplan volgen wij de definities uit de Handreiking Privacy audit Wpg voor Boa’s: • •

Geautomatiseerd vergelijken: het met een binaire zoeksleutel van (een) trefwoord(en) zoeken van bepaalde politiegegevens. Het resultaat van deze gerichte zoekslag is een uitkomst van hit/no hit. Gecombineerd verwerken: zonder binaire zoeksleutel binnen (een selectie van) beschikbare politiegegevens zoeken naar verbanden. Het resultaat van deze vrije zoekslag is een verzameling van gegevens die voldoen aan bepaalde gemeenschappelijke kenmerken. Deze gemeenschappelijke kenmerken kunnen een profiel van indicatoren of bepaalde kenmerken (trefwoorden) inhouden.

Audit De verwerkingsverantwoordelijke dient elke vier jaar een externe privacy audit uit te laten voeren (artikel 33 Wpg). In de audit dienen de wijze waarop de verwerkingen georganiseerd zijn, de maatregelen en procedures die daarop van toepassing zijn en de werking van deze maatregelen en procedures, beoordeeld te worden. Ter voorbereiding van deze externe audit dient er tenminste jaarlijks een interne audit plaats te vinden (artikel 3 Regeling periodieke audit politiegegevens). Wij adviseren om een meerjarenplan op te stellen tot het uitvoeren van de interne audits, zodat de verschillende diensten weten wanneer zij aan de beurt zijn en zich optimaal kunnen voorbereiden (ga na of het meerjarenplan zoals voorgesteld in Bijlage 11 van de interne audit kan worden bekrachtigd en worden uitgerold).

58/122

Gemeente Den Haag – Wpg verbeterrapport

5.1

Audits en verbetermaatregelen

De PIA voor CityControl heeft geen definitieve status.

Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)

Aanbeveling audit

Bij nieuwe aanbesteding van een Wpg applicatie een DPIA opstellen die geaccordeerd is door de Privacy Officer en/of de Functionaris Gegevensverwerking.

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

5.1.1 Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) - (DSB) Verbetermaatregelen

15 Geautomatiseerde individuele besluitvorming

N.v.t. aangezien deze werkzaamheden zich niet in de verslagperiode van deze audit hebben voorgedaan.

Onderzoek op welke DPIA de conclusie uit de audit betrekking heeft. Identificeer of en op welke verwerkingen van politiegegevens er een DPIA moeten worden uitgevoerd. Voer eventueel een DPIA pre-screening uit. Controleer de status van de geïdentificeerde DPIA’s en actualiseer indien nodig het DPIA overzicht. Controleer of het huidige DPIA template van de Gemeente Den Haag ook geschikt is voor de uitvoering van een Wpg DPIA en pas het template zo nodig aan. Voer de DPIA uit. De FG dient toe te zien op de uitvoering van DPIA’s en desgevraagd advies te verstrekken over de DPIA’s. Voer na afronding van de DPIA’s de risico-mitigerende maatregelen uit die in de DPIA’s zijn geïdentificeerd. Beslis of er een nieuwe applicatie wordt aangekocht. Zorg dat bij de aanbesteding van een nieuwe applicatie voorafgaand aan het verwerken van politiegegevens een DPIA wordt uitgevoerd. Onderzoek of binnen de processen geautomatiseerde besluitvorming plaatsvindt. Indien de conclusie luidt dat geautomatiseerde besluitvorming niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm.

59/122

Gemeente Den Haag – Wpg verbeterrapport -

18 Geautomatiseerd vergelijken en in combinatie zoeken

31 Functionaris voor gegevensbescherming

We hebben geen documenten ontvangen waarin beschreven staat wie en onder welke voorwaarden gebruik kan worden gemaakt van geautomatiseerd vergelijken (Hit/Nohit) en/of in combinatie zoeken.

Beschrijf wie en onder welke voorwaarden gebruik kan worden gemaakt van geautomatiseerd vergelijken (Hit/No-hit) en/of in combinatie zoeken en pas de autorisaties in City Control hierop aan.

Er vindt geen periodieke rapportage plaats voor de Wpg.

Rapporteer periodiek over de Wpg.

Indien de conclusie luidt dat geautomatiseerde besluitvorming wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan Wpg verplichtingen ten aanzien van geautomatiseerde besluitvorming te voldoen en voer deze maatregelen uit. Stel een autorisatiematrix op waarin is vastgelegd wie en onder welke voorwaarden gebruik kan maken van geautomatiseerd vergelijken (Hit/No-hit) en/of in combinatie zoeken. De FG dient toe te zien op de toewijzing van de autorisaties. Implementeer op basis van de autorisatiematrix de toegekende autorisaties in CityControl.

De FG dient jaarlijks een verslag op te stellen van zijn bevindingen ten aanzien van de Wpg naleving binnen de Gemeente Den Haag en dit ter beschikking te stellen. Indien en voor zover de FG reeds jaarlijks rapporteert over de naleving van de AVG, is het raadzaam de Wpg-naleving te integreren in deze jaarlijkse rapportage. Zo niet, dan dient er een template voor de jaarrapportage m.b.t. de naleving van de Wpg te worden opgesteld.

Aanbeveling audit

6 (III)

Er is geen aantoonbare risico-analyse uitgevoerd. De applicatie is bereikbaar via

Voer een DPIA uit en bepaal op basis daarvan in overleg met de leverancier de benodigde

Werking

Conclusies audit

Bestaan

Onderwerp Wpg

Opzet

5.1.2 Onderwijs (III) & Werk, inkomen en zorg (Vb) – (OCW) Verbetermaatregelen

Identificeer of en op welke verwerkingen van politiegegevens er een DPIA moeten worden uitgevoerd. Voer eventueel een DPIA pre-screening uit.

60/122

Gemeente Den Haag – Wpg verbeterrapport Gegevensbescherming door beveiliging en ontwerp

6 (Vb) Gegevensbescherming door beveiliging en ontwerp 8 (III)

internet met username/wachtwoord combinatie en 2FA. LBA loop niet mee in de jaarlijkse ISMS cycles. De inrichting van LBA sluit niet (meer) aan bij de werkwijze. Er wordt onderscheid gemaakt tussen AVG en WPG verwerking.

aanpassingen in het systeem. Vraag de leverancier om een Wpg certificering.

Er is geen risico-analyse uitgevoerd. Er heeft geen toezicht plaatsgevonden.

Gegevensbeschermingseffectbeoordeling/ Data

Maak LBA uitsluitend toegankelijk via de VDI van gemeente Den Haag.

Blokkeer openbaar toegang via internet.

Voer een risico-analyse uit. Stel procedures met mitigerende maatregelen volgend uit de vastgestelde risico's.

Richt het periodiek toezicht in.

Er is geen DPIA uitgevoerd.

Het vertrekpunt voor het Wpg compliant maken van deze verwerking is het opstellen van een BIO Baselinetoets en een DPIA. Stel deze op en gebruik deze om de benodigde maatregelen te treffen, documentatie aan te passen en (met de leverancier) LBA in te richten.

Er is geen DPIA uitgevoerd.

Voer de DPIA uit.

Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)

8 (Vb)

Controleer de status van de geïdentificeerde DPIA’s en actualiseer indien nodig het DPIA overzicht. Controleer of het huidige DPIA template van de Gemeente Den Haag ook geschikt is voor de uitvoering van een Wpg DPIA en pas het template zo nodig aan. Voer de DPIA’s uit. De FG dient toe te zien op de uitvoering van DPIA’s en desgevraagd advies te verstrekken over de DPIA’s. Voer de risico-mitigerende maatregelen uit die in de DPIA’s zijn geïdentificeerd. Houd daarbij rekening met de aanbevelingen van de auditor, namelijk: i) Onderzoek of de LBA inmiddels uitsluitend toegankelijk is via de VDI en ii) Blokkeer openbare toegang tot LBA via het internet. Zie met betrekking tot het uitvoeren van een DPIA de maatregelen zoals vermeld onder 8 (III) ” Gegevensbeschermingseffect-beoordeling/ Data protection impact assessment (DPIA)” in paragraaf 5.1.1. Zie met betrekking tot het houden van periodiek toezicht de maatregelen zoals vermeld onder 2 “Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – DSB” in paragraaf 2.1.1. Voer een BIO baselinetoets uit. Zie met betrekking tot het uitvoeren van een DPIA de maatregelen zoals vermeld onder 8 (III) ” Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)” in paragraaf 5.1.1.

Zie met betrekking tot het uitvoeren van een DPIA de maatregelen zoals vermeld onder 8 (III) ” Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)” in paragraaf 5.1.1.

61/122

Gemeente Den Haag – Wpg verbeterrapport protection impact assessment (DPIA) 15 (III) Geautomatiseerde individuele besluitvorming

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

15 (Vb) Geautomatiseerde individuele besluitvorming 18 (III) Geautomatiseerd vergelijken en in combinatie zoeken

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

Onderzoek of binnen de processen geautomatiseerde besluitvorming plaatsvindt. Indien de conclusie luidt dat geautomatiseerde besluitvorming niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. Indien de conclusie luidt dat geautomatiseerde besluitvorming wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan Wpg verplichtingen ten aanzien van geautomatiseerde besluitvorming te voldoen en voer deze maatregelen uit. Zie verbetermaatregelen zoals vermeld onder “15 (III) Geautomatiseerde individuele besluitvorming”.

Onderzoek of binnen de processen geautomatiseerd geautomatiseerd vergelijken en in combinatie zoeken voorkomt. Indien de conclusie luidt dat deze norm niet van toepassing is, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijk juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm.

62/122

Gemeente Den Haag – Wpg verbeterrapport -

18 (Vb) Geautomatiseerd vergelijken en in combinatie zoeken 31 (III) Functionaris voor gegevensbescherming 31 (Vb) Functionaris voor gegevensbescherming

N.v.t. aangezien deze werkzaamheden niet in de verslagperiode van deze audit hebben voorgedaan.

Indien de conclusie luidt dat de norm wel van toepassing is, stel dan vast welke concrete verbetermaatregelen er nog moeten worden uitgevoerd om aan Wpg verplichtingen ten aanzien van geautomatiseerde besluitvorming te voldoen en voer deze maatregelen uit. Zie verbetermaatregelen zoals vermeld onder 18 (III) Geautomatiseerd vergelijken en in combinatie zoeken” in deze paragraaf.

Er vindt geen periodieke rapportage plaats over de Wpg.

Rapporteer periodiek over de Wpg.

Zie verbetermaatregelen zoals vermeld onder “31 (III) Functionaris voor gegevensbescherming” bij openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) in paragraaf 5.1.1.

Er vindt geen periodieke rapportage plaats over de Wpg.

Rapporteer periodiek over de Wpg.

Zie verbetermaatregelen zoals vermeld onder “31 (III) Functionaris voor gegevensbescherming” bij openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) in paragraaf 5.1.1.

Interne audit Onderwerp Wpg

Bevindingen audit

Een gegevensbeschermingseffectbeoordeling (GEB)/ data protection impact assessment (DPIA) is een methode die op basis van een procesbeschrijving/ de informatiestromen de belangrijkste privacyrisico’s in kaart brengt. Er heeft nog geen GEB/ DPIA op het proces ‘ongeoorloofd verzuim’ plaatsgevonden.

Gegevensbeschermi ngseffectbeoordeling/ data protection impact assessment (DPIA)

Aanbeveling audit

Verbetermaatregelen -

Geen andere verbetermaatregelen dan zoals vermeld onder 8 (III) ”Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA)” bij de externe audit in deze paragraaf.

63/122

Gemeente Den Haag – Wpg verbeterrapport 18 Geautomatiseerd vergelijken en in combinatie zoeken

29 Audits

Geautomatiseerd vergelijken en in combinatie zoeken is niet van toepassing.

Geen andere verbetermaatregelen dan zoals vermeld onder “18 (III) Geautomatiseerd vergelijken en in combinatie zoeken” bij de externe audit in deze paragraaf.

Zorg dat er een meerjarenplan wordt opgesteld met betrekking tot het uitvoeren van audits. Bekijk of het meerjarenplan zoals voorgesteld in Bijlage 11 van de interne audit kan worden bekrachtigd en worden uitgerold. Zorg ervoor dat op centraal niveau duidelijke afspraken met de auditors worden gemaakt over de uit te voeren audits, waaronder over het gehanteerde toetsingskaders, de concrete normen waaraan wordt getoetst en de verslagperiode (zie nadere toelichting in paragraaf 1.2). Zorg ervoor dat de stakeholders binnen de diensten worden geïnformeerd over de betreffende afspraken die zijn gemaakt met de auditors, zodat zij zich goed kunnen voorbereiden op de audit en de auditors daadwerkelijk van de juiste informatie kunnen voorzien.

← Vorig deel Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12562524/1