RIS314908 Bijlage 1 Wpg verbeterrapport

In dat geval zijn er immers enkele aanvullende normen van toepassing (zoals het aanwijzen van bevoegd functionarissen (paragraaf 2.1.1) en het documenteren van het doel van het onderzoek als onderdeel van de documentatieplicht (hoofdstuk 3). o Onderzoek in de DPIA ook of er sprake is/kan zijn van terbeschikkingstelling binnen het Wpg-domein (punt 17, paragraaf 4.1.1), verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee (punt 21, paragraaf 4.1.1), doorgifte aan derde landen (punt 22, paragraaf 4.1.1), verstrekking aan derden structureel voor samenwerkingsverbanden (punt 23, paragraaf 4.1.1) of rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten (punt 24 paragraaf 4.1.1) o Voer na afronding van de DPIA’s de risico-mitigerende maatregelen uit, die in de DPIA’s zijn geïdentificeerd. - Draag er zorg voor dat Wpg-verwerkingen in het verwerkingsregister worden vastgelegd (wacht op een beslissing op centraal niveau over de wijze waarop het verwerkingsregister wordt ingericht).

98/122

Gemeente Den Haag – Wpg verbeterrapport

Werkinstructies Stel werkinstructies op die in lijn zijn met wettelijke eisen uit de AVG en de Wpg, die de boa en andere geautoriseerde medewerkers bij de uitvoering van opsporingstaken en de verwerking van politiegegevens in acht dienen te nemen, waarbij ten minste aandacht is voor doelbinding + noodzakelijkheid, rechtmatigheid en vermelding van herkomst + juistheid en volledigheid politiegegevens (paragraaf 2.1.1) Boa registratiesysteem (CityControl) Ga bij de leverancier van CityControl na of de onderstaande maatregelen/instellingen kunnen worden doorgevoerd en implementeer deze maatregelen dan: -

Het aanbrengen van een onderscheid tussen feiten en persoonlijke oordelen (punt 5, paragraaf 3.1.1) Het aanbrengen van een onderscheid tussen categorieën van betrokkenen: verdachte, slachtoffer, derden, veroordeelden (punt 12, paragraaf 3.1.1) Het documenteren van i) het doel, als sprake is van een artikel-9 verwerking (hetgeen nog niet duidelijk is), ii) verstrekkingen of doorgiften van politiegegevens die plaatsvinden op grond van paragraaf 3 Wpg, iii) de feitelijke of juridische redenen, die ten grondslag liggen aan de afwijzing van een verzoek, wanneer een verzoek van een betrokkene wordt afgewezen (zie punt 27, paragraaf 3.1.1)

Vraag de leverancier van CityControl om een ‘TPM’ of derde partij mededeling (oftewel een rapport opgemaakt door een onafhankelijke externe auditor) type 2 rapport om de effectieve werking van de beheersingsmaatregelen aan te tonen (paragraaf 6.1.1). Neem bij de aanbesteding van een nieuwe Wpg-applicatie een right-to-audit op in de (verwerkers)overeenkomst met de leverancier en maak afspraken over het aanleveren van een periodieke TPM type 2 rapport. Houd bij de aanbesteding ook rekening met de Wpg-vereisten, waaronder de beveiligingsnormen als vermeld in paragraaf 6.1.1.

Toepasselijkheid normen Ga na of de volgende normen van toepassing zijn op de verwerkingen: - 11. Autorisaties: aanwijzen functionarissen (paragraaf 2.1.1) - 15. Geautomatiseerde individuele besluitvorming (paragraaf 5.1.1) - 17. Ter beschikking stellen van politiegegevens binnen het Wpg-domein (paragraaf 4.1.1.) 99/122

Gemeente Den Haag – Wpg verbeterrapport

-

19. Ondersteunende taken (paragraaf 3.1.1) 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee (paragraaf 4.1.1) 22. Doorgifte aan derde landen (paragraaf 4.1.1) 23. Verstrekking aan derden structureel voor samenwerkingsverbanden (paragraaf 4.1.1) 24. Rechtstreekse verstrekking aan inlichtingen- of veiligheidsdiensten (paragraaf 4.1.1) 27. Documentatie (paragraaf 3.1.1)

Indien de conclusie luidt dat deze normen niet van toepassing zijn, documenteer de juridische onderbouwing daarvan en sla deze ter voorbereiding op de eerstvolgende audit op een gemakkelijk vindbare plaats op. Overhandig de betreffende onderbouwing bij de eerstvolgende audit om aan te tonen dat een deugdelijke juridisch inhoudelijke afweging is gemaakt over de toepasselijkheid van de norm. 10.2.2 Onderwijs (III) & Werk, Inkomen en Zorg (Vb) – (OCW)

Leerlingzaken (III) Inventarisatie, DPIA en verwerkingsregister - Inventariseer de verwerkingen die onder de Wpg vallen en toets de rechtmatigheid van deze verwerkingen (dat kan door middel van een DPIA, zie hierna). - Voer een DPIA(‘s) uit op de Wpg-verwerkingen. o Onderzoek als onderdeel van deze DPIA(‘s) of er art. 9 verwerkingen (zouden kunnen) plaatsvinden. In dat geval zijn er immers enkele aanvullende normen van toepassing (zoals het aanwijzen van bevoegd functionarissen (paragraaf 2.1.1) en het documenteren van het doel van het onderzoek als onderdeel van de documentatieplicht (hoofdstuk 3). o Breng zorgvuldig in kaart wanneer sprake is van de verwerking van politiegegevens (Wpg) en wanneer slechts van persoonsgegevens (AVG) bij de aanpak van het schoolverzuim (punt 1, paragraaf 3.1.2). o Onderzoek in de DPIA ook of er sprake is/kan zijn van terbeschikkingstelling binnen het Wpg-domein (punt 17, paragraaf 4.1.2), verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee (punt 21, paragraaf 4.1.2), doorgifte aan derde landen (punt 22, paragraaf 4.1.2), en verstrekking aan derden structureel voor samenwerkingsverbanden (punt 23, paragraaf 4.1.2). o Neem in de DPIA eventueel ook mee hoe de rechtstreekse verstrekking aan het OM op een veilige manier kan worden ingericht (punt 24, paragraaf 4.1.2).

o Voer na afronding van de DPIA’s de risico-mitigerende maatregelen uit, die in de DPIA’s zijn geïdentificeerd. 100/122