Document · PDF

RIS314908 Bijlage 2 Assurance rapport NOREA 2 dec 2022 138

Commissie Bestuur 10 mei 2023, gemeente Den HaagBij agendapunt: Brief wethouder Werk, Wijken en Dienstverlening, mevrouw Parbhudayal inzake Uitvoeringsdata digitalisering en dienstverlening 20235.048 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeentelijke Accountantsdienst

Assurance rapport

NOREA richtlijn 3000D

GAD/2022.138 2 december 2022 Privacy audit Wet politiegegevens 9 maart 2019 – 23 november 2022 Spui 70, 2511 BT Den Haag www.denhaag.nl 1/17

Inhoud

ASSURANCE-RAPPORT VAN DE ONAFHANKELIJKE AUDITOR .................................... 4 OPDRACHT ............................................................................................................................................. 4 OBJECT VAN ONDERZOEK ...................................................................................................................... 4 SCOPE .................................................................................................................................................... 4 VERANTWOORDELIJKHEDEN GEMEENTE DEN HAAG ........................................................................... 5 ONZE ONAFHANKELIJKHEID EN KWALITEITSBEHEERSING ................................................................... 5 VERANTWOORDELIJKHEDEN VAN DE AUDITOR .................................................................................... 6 GEHANTEERDE CRITERIA ...................................................................................................................... 6 ONDERZOEK NAAR DE WERKING VAN BEHEERSINGSMAATREGELEN GEDURENDE DE VERSLAGPERIODE ...............................................................................................................................................

6 1.9 BEPERKINGEN ....................................................................................................................................... 7 1.10 AFKEUREND OORDEEL .......................................................................................................................... 7 1.11 DE BASIS VOOR ONS AFKEUREND OORDEEL .......................................................................................... 7 1.12 AANBEVELING MET BETREKKING TOT DE HERCONTROLE ................................................................... 12 1.13 BEPERKINGEN IN GEBRUIK EN VERSPREIDINGSKRING ....................................................................... 12 1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8

BESCHRIJVING PRIVACY DOELSTELLINGEN ................................................................... 13

2/17

Inleiding Voor u ligt het assurance-rapport inzake de politiegegevens die de buitengewoon opsporingsambtenaren (boa’s) van de Gemeente Den Haag verwerken en die in een bestand zijn opgenomen, of die bestemd zijn daarin te worden opgenomen. Deze verwerkingen vallen onder de reikwijdte van de Wet politiegegevens (Wpg) en het Besluit politiegegevens voor buitengewoon opsporingsambtenaren (Bpgboa). Dit rapport is gebaseerd op Richtlijn 3000D van de NOREA (Assurance-opdrachten door IT-auditors) en is opgesteld door de Gemeentelijke Accountantsdienst Den Haag. In dit rapport zijn de door ons vastgestelde bevindingen, conclusies en aanbevelingen beschreven. Ons rapport wordt uitgebracht in twee versies: Het ‘short form’ rapport bevat de basiselementen en is bedoeld voor de toezichthouder. Het ‘long form’ rapport bevat in Bijlagen 1 en 2 aanvullende informatie die in beginsel uitsluitend bedoeld is voor de Gemeente Den Haag, zoals een overzicht van de getoetste interne beheersmaatregelen en de door ons vastgestelde bevindingen en aanbevelingen. Het voorliggende rapport is de ‘short form’ versie van ons rapport.

3/17

Assurance-rapport van de onafhankelijke auditor

Aan: de gemeente Den Haag 1.1

Opdracht

Ingevolge de opdracht van de gemeente Den Haag hebben wij een onderzoek uitgevoerd naar de opzet, het bestaan en de werking van beheersingsmaatregelen die de wettelijke eisen van de in de Wet politiegegevens (Wpg) en het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpgboa) gestelde bepalingen waarborgen. In de Wpg en het Bpgboa zijn vereisten en regels opgenomen voor het verwerken van persoonsgegevens die nodig zijn om de opsporing van strafbare feiten goed te kunnen uitvoeren. De Wpg zorgt daarbij voor een evenwicht tussen de belangen die met het uitvoeren van de opsporing van strafbare feiten gemoeid zijn en het beschermen van de privacy van burgers. Om te kunnen beoordelen of dit evenwicht wordt gehandhaafd, is in artikel 33 van de Wpg bepaald dat de verwerkingsverantwoordelijke voor het verwerken van politiegegevens periodiek, door middel van het uitvoeren van audits, moet controleren of krachtens deze wet de voorgeschreven regels worden nageleefd. Een dergelijke controle moet volgens de Regeling periodieke audit politiegegevens twee jaar na inwerkingtreding van de wet en vervolgens elke vier jaar plaatsvinden. Deze controle is in de vorm van onderhavige privacy-audit uitgevoerd. 1.2

Object van onderzoek

Het object van onderzoek van deze privacy audit Wpg bestaat uit de beheersingsmaatregelen voor de verwerkingen van politiegegevens die onder verantwoordelijkheid van de verwerkingsverantwoordelijke worden verwerkt. Verwerkingen kunnen plaatsvinden in de volgende domeinen: Domein I II III IV V VI 1.3

Boa-werkterrein Openbare ruimte Milieu, welzijn en infrastructuur Onderwijs Openbaar vervoer Werk, inkomen en zorg Generieke opsporing

Scope

De scope van ons onderzoek bij de gemeente Den Haag bestond uit de hierna genoemde verwerkingen van politiegegevens:

4/17

# 1

Organisatieonderdeel DSB/HHO

Domein I

DSB/HHO

OCW/L&OZ Leerlingzaken SZW/ Handhaving & Fraude OCW/ O&K - Misbruik & Oneigenlijk Gebruik

III

4 5

Va Vb

Processen/verwerkingen • Feit gecodeerd afdoen van strafrechtelijke boetes (combibon). • Afdoen van feiten die niet feit gecodeerd afgehandeld kunnen worden • Aanleveren van aanvullende pv’s op verzoek van het OM • Feit gecodeerd afdoen van strafrechtelijke boetes (combibon). • Afdoen van feiten die niet feit gecodeerd afgehandeld kunnen worden • Aanleveren van aanvullende pv’s op verzoek van het OM • Leerplicht • Uitkeringsfraude • PW • Fraude Pgb • WMO

Applicaties CityControl

CityControl

Leerling Basis Administratie (LBA) Socrates, G-schijf G-schijf

Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde verwerkingen van politiegegevens en doen daar derhalve ook geen uitspraak over. 1.4

Verantwoordelijkheden gemeente Den Haag

De gemeente Den Haag is verantwoordelijk voor de opzet, het bestaan en de werking van de relevante beheersingsmaatregelen gedurende de periode 9 maart 2019 -23 november 2022. 1.5

Onze onafhankelijkheid en kwaliteitsbeheersing

Wij hebben de vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA nageleefd, welke is gebaseerd is op de fundamentele beginselen van integriteit, objectiviteit, vakbekwaamheid en zorgvuldigheid, vertrouwelijkheid en professioneel gedrag. Wij passen het Reglement Kwaliteitsbeheersing NOREA (RKBN) toe en bijgevolg onderhouden wij een uitgebreid systeem van de kwaliteitscontrole met inbegrip van gedocumenteerd beleid en de procedures met betrekking tot de naleving van de ethische voorschriften, professionele standaarden en de van toepassing zijnde wet- en regelgeving. Wij voldoen aan de specifieke vereisten voor de uitvoering van de externe privacy audit, zoals bepaald in artikel 5 van de Regeling periodieke audit politiegegevens 1.

Zie hiervoor de Regeling van de Minister van Justitie, de Minister van Binnenlandse Zaken en de Minister van Defensie van 9 december 2008, nr. 5578598/08, houdende nadere regels ten aanzien van het toezicht op de naleving van de bij of krachtens de Wet politiegegevens gegevens voorschriften (Regeling periodieke audit politiegegegevens).

5/17

1.6

Verantwoordelijkheden van de auditor

Wij hebben onze opdracht uitgevoerd in overeenstemming met de Richtlijn 3000D (Herzien) ‘Assuranceopdrachten door IT-auditors’ van NOREA. Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een assurance-opdracht dat wij daarmee, met een redelijke mate van zekerheid, voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Een redelijke mate van zekerheid wil zeggen dat onze assurance-opdracht is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens onze assurance-opdracht niet alle materiële fouten en fraude ontdekken. De werkzaamheden zijn afhankelijk van de door de IT-auditor toegepaste professionele oordeelsvorming en bestonden uit een combinatie van inspectie van documentatie, het houden van interviews, het evalueren van de resultaten van de uitgevoerde interne controles en het verrichten van eigen (aanvullende) testwerkzaamheden. Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is om een onderbouwing voor ons oordeel met een redelijke mate van zekerheid te bieden. 1.7

Gehanteerde criteria

De (generieke) algehele beheersingsdoelstelling voor de privacy audit Wpg voor boa’s is het voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s. Hiertoe heeft de organisatie beheersingsmaatregelen getroffen die in opzet, bestaan en werking door de IT-auditor worden getoetst. De ITauditor maakt bij deze toetsing gebruik van de volgende criteria

Opzet

De organisatie heeft de beheersingsmaatregen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is aan de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s.

Bestaan

De organisatie heeft de beheersingsmaatregelen overeenkomstig de opzet daadwerkelijk geïmplementeerd en toegepast.

Werking

De organisatie heeft de beheersingsmaatregelen gedurende de verslaggevingsperiode volgens de opzet toegepast, ingeval van handmatige beheersingsmaatregelen zijn deze toegepast door competente en bevoegde personen.

1.8

Onderzoek naar de werking van beheersingsmaatregelen gedurende de verslagperiode

Ons onderzoek ten aanzien van de werking van beheersingsmaatregelen is beperkt tot de periode 1 januari 2021 – 31 december 2021. Uitzondering hierop vormt een aantal zogenaamde ‘Toezichtmaatregelen’. Dit betreft de beheersingsmaatregelen:

6/17

• • • • • • •

Jaarlijks Toezicht van de FG op de doelbinding (#2); Controles op de noodzakelijkheid en rechtmatigheid door de FG (of PO) (#3); Controles op het vernietigen en rectificeren van politiegegevens (#4); Controles op uitvoering DPIA’s (#6 en #31); Beschikbaarheid logbestanden (#28); Planning, uitvoering, en rapportage van de interne audits (#29); Overige toezichttaken van de FG (#31).

Het onderzoeken van de hiervoor genoemde ‘Toezichtmaatregelen’ heeft zich uitgestrekt tot de volledige verslagperiode (9 maart 2019 tot 23 november 2022). 1.9

Beperkingen

Wij kunnen niet uitsluiten dat, indien wij aanvullende beheersingsmaatregelen zouden hebben onderzocht wellicht andere onderwerpen zouden zijn geconstateerd die voor rapportering in aanmerking zouden zijn gekomen. Bovendien is de projectie van oordelen naar de toekomst onderhevig aan het risico dat interne beheersingsmaatregelen ineffectief kunnen worden. 1.10

Afkeurend oordeel

Naar ons oordeel zijn de door de gemeente Den Haag getroffen beheersmaatregelen in significante omvang niet op afdoende wijze opgezet, bestaan deze in significant opzicht niet of hebben deze significant onvoldoende effectief gewerkt gedurende de verslagperiode van de externe Wpg-audit om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door Boa’s die opsporingswerkzaamheden (de wettelijke eisen van de in de Wet Politiegegevens (Wpg) en het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpgboa) gestelde bepalingen). Ons afkeurende oordeel is gevormd op basis van de geconstateerde (significante) afwijkingen die staan beschreven in de paragraaf 1.11 ‘De basis voor ons afkeurend oordeel’. 1.11

De basis voor ons afkeurend oordeel

Wij hebben vastgesteld dat de hiernavolgende Wpg onderwerpen niet (rood) of niet volledig (oranje) zijn opgezet, bestaan en/of effectief werken. Dit houdt in dat de interne beheersmaatregelen gedurende de gehele verslagperiode niet in afdoende mate waren opgezet, hebben niet bestaan en/of werkten niet effectief. Voor de volledigheid zijn de onderwerpen die afdoende zijn opgezet, geïmplementeerd en effectief werkten ook vermeld (groen). Dit geldt eveneens voor de onderwerpen die niet zijn onderzocht en/of niet van toepassing zijn (grijs). Omdat binnen de gemeente Den Haag meerdere verwerkingen van politiegegevens plaatsvinden, waarbij de oordelen per onderwerp onderling afwijken, hebben we ons oordeel per verwerking weergegeven. Conclusie Bestaan

Opzet

Onderwerpen

Werking

Verwerking 1/Domein I/DSB/HHO + Verwerking 2/Domein II/DSB/HHO

1. Reikwijdte 2. Doelbinding

7/17

Conclusie Werking

Bestaan

Opzet

Onderwerpen

3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst 4. Juistheid en volledigheid politiegegevens 5. Onderscheid feiten en oordeel 6. Gegevensbescherming door beveiliging en ontwerp 7. Gegevensbescherming door standaardinstellingen 8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA) 9. Bijzondere categorieën van politiegegevens 10. Autorisaties en toegang tot politiegegevens 11. Autorisaties: aanwijzen functionarissen 12. Onderscheid tussen verschillende categorieën van betrokkenen 13. Verwerker en Verwerkersovereenkomst 14. Geheimhoudingsplicht 15. Geautomatiseerde individuele besluitvorming 16. Uitvoering van de dagelijkse politietaak 17. Ter beschikking stellen van politie-gegevens binnen het WPG-domein 18. Geautomatiseerd vergelijken en in combinatie zoeken 19. Ondersteunende taken 20. Bewaartermijnen, verwijderen en vernietigen 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee 22. Doorgiften aan derde landen 23. Verstrekking aan derden structureel voor samenwerkingsverbanden 24. Recht-streekse verstrekking aan inlichtingen- of veiligheidsdiensten 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering 26. Register 27. Documentatie 28. Logging 29. Audits 30. Melding datalekken 31.

Functionaris voor gegevensbescherming Verwerking 1/Domein I + Verwerking 2/Domein II/CityControl applicatie

Conclusie

1. 2. 3.

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement)

4. 5.

Cryptografie Vulnerability scans en Penetratietesten

Werking

Bestaan

Opzet

Technische en organisatorische maatregelen

8/17

Verwerking 3/Domein III/OCW/L&OZ Leerlingzaken

Conclusie Werking

Bestaan

Opzet

Onderwerpen

1. Reikwijdte 2. Doelbinding 3. Noodzakelijkheid en rechtmatigheid, vermelding herkomst 4. Juistheid en volledigheid politiegegevens 5. Onderscheid feiten en oordeel 6. Gegevensbescherming door beveiliging en ontwerp 7. Gegevensbescherming door standaardinstellingen 8. Gegevensbeschermingseffectbeoordeling/ Data protection impact assessment (DPIA) 9. Bijzondere categorieën van politiegegevens 10. Autorisaties en toegang tot politiegegevens 11. Autorisaties: aanwijzen functionarissen 12. Onderscheid tussen verschillende categorieën van betrokkenen 13. Verwerker en Verwerkersovereenkomst 14. Geheimhoudingsplicht 15. Geautomatiseerde individuele besluitvorming 16. Uitvoering van de dagelijkse politietaak 17. Ter beschikking stellen van politie-gegevens binnen het WPG-domein 18. Geautomatiseerd vergelijken en in combinatie zoeken 19. Ondersteunende taken 20. Bewaartermijnen, verwijderen en vernietigen 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee 22. Doorgiften aan derde landen 23. Verstrekking aan derden structureel voor samenwerkingsverbanden 24. Recht-streekse verstrek-king aan inlichtingen- of veiligheidsdiensten 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering 26. Register 27. Documentatie 28. Logging 29. Audits 30. Melding datalekken 31. Functionaris voor gegevensbescherming Conclusie

1. 2. 3.

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement)

4. 5.

Cryptografie Vulnerability scans en Penetratietesten

Bestaan

Opzet

Technische en organisatorische maatregelen

Werking

Verwerking 3/Domein III/Leerling Basis Administratie (LBA) applicatie

9/17

Verwerking 4/Domein V a/SZW/Handhaving & Fraude

Conclusie Werking

Bestaan

Opzet

Onderwerpen

Functionaris voor gegevensbescherming Verwerking 4/Domein V a/Socrates applicatie

Conclusie

1. 2. 3.

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement)

4. 5.

Cryptografie Vulnerability scans en Penetratietesten

Werking

Bestaan

Opzet

Technische en organisatorische maatregelen

10/17

Verwerking 4/Domein V a/G-schijf

Conclusie

1. 2. 3. 4. 5.

Werking

Bestaan

Opzet

Technische en organisatorische maatregelen

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement) Cryptografie Vulnerability scans en Penetratietesten

Verwerking 5/Domein V b/OCW/O&K - Misbruik & Oneigenlijk Gebruik

Conclusie Werking

Bestaan

Opzet

Onderwerpen

11/17

Verwerking 5/Domein V b/G-schijf

Conclusie

1. 2. 3.

Wijzigingenbeheer Logische toegangsbeveiliging Beheer van kwetsbaarheden (patchmanagement)

4. 5.

Cryptografie Vulnerability scans en Penetratietesten

1.12

Aanbeveling met betrekking tot de hercontrole

Werking

Bestaan

Opzet

Technische en organisatorische maatregelen

Wij hebben vastgesteld dat de gemeente Den Haag niet (geheel) voldoet aan het bij of krachtens de wet bepaalde. Inzake de uitvoering van de hercontroles, bevelen wij de gemeente Den Haag aan om deze door een externe auditor te laten uitvoeren. Wij baseren deze aanbeveling op het volgende:

1.13

De deskundigheid en ervaring die binnen de GAD aanwezig is met betrekking tot de Wpg.

De deskundigheid en ervaring binnen de GAD met betrekking tot de afgifte van assurance verklaringen. Beperkingen in gebruik en verspreidingskring

De gemeente Den Haag dient ingevolge artikel 33 2e lid van de Wet politiegegevens een afschrift van de controleresultaten van de privacy audit aan de Autoriteit persoonsgegevens te zenden. In eerste instantie betreft dit het ‘short form’ rapport (rapport exclusief bijlagen). De Autoriteit persoonsgegevens kan, in het kader van haar toezichthoudende taak, het ‘long form’ rapport (rapport inclusief bijlagen) zonder opgaaf van redenen bij de gemeente Den Haag opvragen. Voor de verstrekking van beide rapportages geldt als voorwaarde dat de rapportage origineel, volledig en ongewijzigd ter inzage wordt aangeboden. Het is, zonder onze uitdrukkelijke voorafgaande schriftelijke toestemming, niet toegestaan de rapportages met anderen dan de Autoriteit persoonsgegevens te delen. Het verstrekken van deze toestemming kan omgeven zijn met nadere voorwaarden. Het is niet toegestaan deze rapportage te gebruiken in juridische conflicten tussen de gemeente Den Haag en andere (rechts)personen.

Gemeentelijke Accountantsdienst Den Haag 2 december 2022 Was getekend drs. E. Leicester RE CISA

12/17

Beschrijving privacy doelstellingen

Om de privacy van de verwerkte politiegegevens ten behoeve van de wettelijke taak te kunnen waarborgen en te kunnen voldoen aan de eisen die de wet daaraan stelt, heeft de gemeente Den Haag beheersingsmaatregelen getroffen in lijn met de illustratieve beheersingsmaatregelen uit de NOREA Handreiking Privacy audit Wpg (boa). Die illustratieve beheersingsmaatregelen zijn gebaseerd op de Wet politiegegevens en het Besluit politiegegevens buitengewoon opsporingsambtenaren en omvatten de te verwachten onderwerpen en -beheersingsmaatregelen, gericht op de beheersing van de privacy in gegevensverwerkende processen en indicatieve controles, in lijn met de geldende wet- en regelgeving. Onderstaand zijn deze onderwerpen en illustratieve beheersingsmaatregelen weergegeven. Onderwerpen en beheersingsmaatregelen 1. Reikwijdte De verwerkingsverantwoordelijke heeft bestanden met politiegegevens binnen de organisatie geïdentificeerd en gedocumenteerd. 2. Doelbinding Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden. Geborgd is dat bij het verwerken van politiegegevens altijd sprake is van doelbinding en dat de gegevens niet op een, met die doeleinden onverenigbare wijze, worden verwerkt. 3.

Noodzakelijkheid en rechtmatigheid, vermelding herkomst Er wordt geborgd dat de politiegegevens daartoe toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is (niet bovenmatig) en dat de herkomst van gegevens voor art 9 verwerkingen wordt vermeld. 4. Juistheid en volledigheid politiegegevens • De verwerkingsverantwoordelijke heeft controles op de kwaliteit ingericht ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens. • Er zijn procedures opgesteld voor het vernietigen en rectificeren van politiegegevens. 5. Onderscheid feiten en oordeel Er zijn maatregelen genomen om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd. 6. Gegevensbescherming door beveiliging en ontwerp • Er is (aantoonbaar) een risicoanalyse uitgevoerd waaruit het risiconiveau blijkt en identificeert, evalueert en mitigeert systematisch en periodiek factoren die het beschermen van politiegegevens tegen ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk verlies, vernietiging of beschadiging in gevaar brengen en past de maatregelen hierop aan. • De organisatie heeft gegevensbeschermingsbeleid en procedures ontwikkeld en vastgesteld.

De verwerkingsverantwoordelijke heeft de maatregelen die nodig zijn om het risico te beperken (passende technische en organisatorische maatregelen) aantoonbaar geïmplementeerd. • Privacy by design wordt toegepast/geborgd (bijv. bij ontwikkelingen/ wijzigingen). • De verwerkingsverantwoordelijke kan aantonen dat de verwerking van politiegegevens wordt verricht in overeenstemming met wat bepaald is in de wet. 7. Gegevensbescherming door standaardinstellingen De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen dat standaard: • alleen die politiegegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking; • politiegegevens niet zonder tussenkomst van een natuurlijke persoon voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt. 8. Gegevensbeschermings-effectbeoordeling / Data protection impact assessment (DPIA) • Indien een verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert worden binnen de organisatie de risico’s systematisch geïdentificeerd, beoordeeld en aangepakt door middel van een DPIA die ten minste aan de eisen gesteld in de wet voldoet.

• De verwerkingsverantwoordelijke beoordeelt, indien nodig of wanneer sprake is van een verandering van het risico, of de verwerking in overeenstemming met de DPIA wordt uitgevoerd en past de DPIA zo nodig aan.

13/17

Onderwerpen en beheersingsmaatregelen 9. Bijzondere categorieën van politiegegevens Er vindt geen verwerking van bijzondere categorieën van politiegegevens plaats, tenzij: • Dat onvermijdelijk is voor het doel van de verwerking. • Dit in aanvulling is op de verwerking van andere politiegegevens betreffende de persoon. • De gegevens afdoende zijn beveiligd. 10. Autorisaties en toegang tot politiegegevens • Er is een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid. Dit houdt in dat de verwerkingsverantwoordelijke die vanuit hun functie en de wet toegang mogen hebben tot bepaalde politiegegevens geautoriseerd zijn voor alleen die gegevens (need-to-know). • Er is een proces voor het toewijzen, wijzigen en intrekken van autorisaties ten behoeve van de toegang tot politiegegevens. • Er zijn maatregelen vastgesteld en geïmplementeerd die de identiteit en de toegangsrechten van een gebruiker controleert en rechtmatige toegang tot de gegevens borgt. 11. Autorisaties: aanwijzen functionarissen Er is een actuele lijst van, door de verwerkingsverantwoordelijke aangewezen, bevoegde functionarissen. 12. Onderscheid tussen verschillende categorieën van betrokkenen De verwerkingsverantwoordelijke heeft geborgd dat, voor zover mogelijk, duidelijk onderscheid wordt gemaakt in de verschillende categorieën van betrokkenen. 13.

Verwerker en Verwerkersovereenkomst • De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aantoonbaar te maken dat de verplichtingen in de verwerkersovereenkomst en de Wpg worden nageleefd en die nodig is om audits mogelijk te maken. • De verwerking door een verwerker vindt alleen plaats als een verwerkingsverantwoordelijke afdoende garanties heeft over de toereikendheid van de geïmplementeerde technische en organisatorische maatregelen. • Bij elke uitvoering van een gegevensverwerking door een verwerker zijn de taken en afspraken schriftelijk vastgesteld en vastgelegd in een (toereikende) overeenkomst of andere rechtshandeling. • Er zijn afspraken vastgesteld en vastgelegd met betrekking tot de handelwijze bij een inbreuk op de beveiliging. • Een andere partij is alleen ingeschakeld bij de uitvoering van de verwerking met toestemming van de verwerkingsverantwoordelijke. Aan deze andere verwerker (subverwerker) zijn bij een overeenkomst dezelfde verplichtingen inzake gegevensbescherming opgelegd. 14. Geheimhoudingsplicht Er is geborgd dat de ambtenaar van politie of de persoon aan wie politiegegevens ter beschikking zijn gesteld formeel bekend is met de plicht tot geheimhouding en de consequenties bij schending van deze plicht. 15.

Geautomatiseerde individuele besluitvorming • Besluiten gebaseerd uitsluitend op geautomatiseerde verwerking dat voor de betrokkene nadelige rechtsgevolgen heeft of hem in aanmerkelijke mate treft, worden niet genomen tenzij voorzien is in de voorwaarden genoemd in de wet. • Het verbod op het gebruik van profilering dat leidt tot discriminatie van personen op grond van de bijzondere categorieën van politiegegevens (artikel 5) is bekend binnen de organisatie. Dit beperkte verbod op profilering is onderwerp van de bewustwordingssessies binnen de organisatie. 16. Uitvoering van de dagelijkse politietaak • Geborgd is dat artikel 8 politiegegevens één jaar na de datum van de eerste verwerking zodanig worden opgeslagen (achter een schot worden geplaatst) dat ze alleen nog beschikbaar komen voor verdere verwerking op basis van de vergelijking van gegevens (hit-no-hit basis). • Geborgd is voor zover dat noodzakelijk is met het oog op de uitvoering van de dagelijkse politietaak politiegegevens ten aanzien waarvan in artikel 8 lid 1 genoemde termijn is verstreken geautomatiseerd worden vergeleken met politiegegevens die worden verwerkt op grond van artikel 8 lid 1 teneinde vast te stellen of verbanden bestaan tussen de betreffende gegevens. De gerelateerde gegevens kunnen verder worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak. 17.

Ter Beschikking stellen (voor verdere verwerking) • Geborgd is dat de verdere verwerking van artikel 9 gegevens alleen plaats vindt na toestemming (aantoonbaar) van de daartoe bevoegde functionaris. • Geborgd is dat de ter beschikking stelling van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de Europese Unie of aan organen en instanties belast met de taken, bedoeld in artikel 1, onderdeel a conform de richtlijnen gesteld in de wet plaatsvindt.

14/17

Onderwerpen en beheersingsmaatregelen 18. Geautomatiseerd vergelijken en in combinatie zoeken • Geborgd is dat gegevens alleen geautomatiseerd worden vergeleken met andere politiegegevens of met andere dan politiegegevens binnen de richtlijnen gesteld in artikel 11. • Geborgd is dat gegevens alleen in combinatie met elkaar worden verwerkt binnen de richtlijnen gesteld in artikel 11 lid 4. • Geborgd is dat het in combinatie verwerken van artikel 8 politiegegevens beperkt is tot de ambtenaren van politie die daarvoor geautoriseerd zijn. • Geborgd is dat de ambtenaren die geautomatiseerd vergelijken en ambtenaren die in combinatie zoeken over voldoende kennis en vaardigheden beschikken. 19. Ondersteunende taken Geborgd is dat voor de verwerkingen bedoeld in artikel 13 lid 1 t/m 3, van tevoren is voldaan aan de schriftelijke vereisten (artikel 13 lid 4). 20. Bewaartermijnen, verwijderen en vernietigen • Politiegegevens worden niet langer bewaard dan de minimale tijd die nodig is, zoals vereist door de toepasselijke wet- en regelgeving, of voor de doeleinden waarvoor deze zijn verwerkt. • De verwerkingsverantwoordelijke voorziet in voldoende waarborgen om te bewerkstelligen dat de gegevens conform de wet worden gecontroleerd, verwijderd en vernietigd.

• Geborgd is dat politiegegevens na verwijdering maximaal vijf jaar worden bewaard, indien van cultureel of historisch belang kan worden afgezien van vernietiging van de gegevens. Er wordt dan aan de bewaareisen zoals genoemd in de Archiefwet voldaan. 21. Verstrekking van politiegegevens aan anderen dan politie en Koninklijke marechaussee • Geborgd is dat politiegegevens alleen worden verstrekt aan personen of instanties buiten het politiedomein, voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd. • Geborgd is dat wanneer gegevens verstrekt worden er wordt voldaan aan de documentatieplicht (conform 6 lid 4 Bpg). • Geborgd is dat verstrekking alleen plaatsvindt in overeenstemming met het bevoegd gezag indien dit vereist is in de wet. • Bij verstrekkingen is geborgd dat de ontvangende partij wordt gewezen op zijn geheimhoudingsplicht. • De juistheid, volledigheid, actualiteit en betrouwbaarheid van politiegegevens bij verstrekking wordt, voor zover mogelijk, gecontroleerd en inzichtelijk gemaakt voor de ontvangende partij. • Er is een procedure voor het onverwijld in kennis stellen van de ontvanger van politiegegevens indien geconstateerd wordt dat onjuiste politiegegevens zijn verstrekt of dat politiegegevens op onrechtmatige wijze zijn verstrekt. 22.

Doorgiften aan derde landen • De doorgifte van gegevens aan verwerkingsverantwoordelijke in derde landen vindt alleen plaats indien er een adequaatsheidsbesluit is van de Commissie van de Europese Unie of indien één van de uitzonderingsgronden zoals genoemd in de wet van toepassing is. • De doorgifte van gegevens aan derde landen wordt vastgelegd (documentatieplicht). • Indien doorgifte plaatsvindt op basis van artikel 17a lid 2 onderdeel a of b, lid 3 of lid 5 is (aantoonbaar) voldaan aan de gestelde eisen in de wet. • Indien politiegegevens van een andere lidstaat afkomstig worden doorgegeven aan derde landen is de toestemming van de verantwoordelijke autoriteit van deze lidstaat beschikbaar. 23. Verstrekking aan derden structureel voor samenwerkingsverbanden • De verwerkingsverantwoordelijke heeft inzicht in de samenwerkingsverbanden waarbij politiegegevens worden verstrekt. • In de beslissing voor het verstrekken van politiegegevens ten behoeve van een samenwerkingsverband wordt vastgelegd: o Ten behoeve van welk zwaarwegend algemeen belang de verstrekking noodzakelijk is. o Ten behoeve van welk samenwerkingsverband de politiegegevens worden verstrekt. o Het doel waartoe dit is opgericht. o Welke gegevens worden verstrekt. o De voorwaarden onder welke de gegevens worden verstrekt. o Aan welke personen of instanties de gegevens worden verstrekt.

• De daadwerkelijke verstrekking van gegevens wordt vastgelegd.

15/17

Onderwerpen en beheersingsmaatregelen 24. Rechtstreekse verstrekking • De organisatie heeft geborgd dat rechtstreekse verstrekking uitsluitend plaatsvindt voor zover noodzakelijk op grond van artikel 23 en alleen voor zover voldaan kan worden aan de beveiligingseisen. • De rechtstreekse verstrekking op basis van art 23 lid 2 vindt alleen plaats aan de aangewezen personen. 25. Informatie aan de betrokkene, recht op inzage, rectificatie en verwijdering • De verwerkingsverantwoordelijke biedt de betrokkene informatie over de verwerking van persoonsgegevens en doet dit beknopt, toegankelijk en duidelijk, zodat de betrokkene zijn rechten kan uitoefenen. De informatievoorziening voldoet aan de eisen gesteld in artikel 24b lid 1 en 2. • Bij uitstel, beperking of achterwege laten van de verstrekking van informatie bedoeld in 24b lid 2 is de uitstel, beperking of achterwege laten alsmede de duur van deze maatregel onderbouwd. • Verzoeken tot inzage, rectificatie, vernietiging van betrokkenen worden - met inachtneming van het gestelde in artikel 27 - tijdig en adequaat afgehandeld. • De organisatie borgt dat bij een verzoek tot inzage (artikel 25 lid 1) of rectificatie (artikel 28 lid 1) dat de betrokkene zonder onnodige vertraging in kennis wordt gesteld van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid een klacht in te dienen bij de AP.

• Een weigering gevolg te geven aan het verzoek conform artikel 24a lid 4 is onderbouwd. Elke weigering of beperking van de inzage wordt aan de betrokkene toegelicht, met vermelding van de feitelijke of juridische gronden die aan het besluit ten grondslag liggen. 26. Register • De verwerkingsverantwoordelijke houdt een register bij dat de gegevens bevat zoals aangegeven in artikel 31d lid 1. • De verwerker houdt een register bij dat de gegevens bevat zoals aangegeven in artikel 31d lid 2. 27. Documentatie • De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de onderdelen genoemd in artikel 32 lid 1. De bedoelde politiegegevens worden conform artikel 32 lid 4 bewaard. • De verwerkingsverantwoordelijke borgt een volledige en toegankelijke schriftelijke vastlegging (documentatieplicht) van de doorgifte van politiegegevens aan een verwerkingsverantwoordelijke in een derde land of aan een internationale organisatie. • De schriftelijke melding van een gemeenschappelijke verwerking van politiegegevens aan de AP is geborgd. 28. Logging • De verwerkingsverantwoordelijke en de verwerker dragen zorg voor de logging van verwerkingen zoals opgenomen in artikel 32a lid 1.

• De organisatie gebruikt de logging uitsluitend ter controle van de rechtmatigheid van de gegevensverwerkingen, interne controles, ter waarborging van de integriteit en de beveiliging van politiegegevens en voor strafrechtelijke procedures. 29. Audits Er wordt uitvoering gegeven aan de eisen zoals gesteld in de Regeling periodieke audit politiegegevens. 30. Melding datalekken • De organisatie detecteert en behandelt privacy gerelateerde incidenten op gepaste wijze om de gevolgen te beperken en maatregelen te nemen om toekomstige inbreuken te voorkomen. • De verantwoordelijkheden van de behandeling van datalekken zijn belegd in de organisatie, de daadwerkelijke uitvoering wordt beheerst, gedocumenteerd en geëvalueerd. • De melding van een datalek aan de Autoriteit Persoonsgegevens vindt tijdig en volledig plaats. • Betrokkenen worden, indien vereist, tijdig en volledig in kennis gesteld van een inbreuk op de beveiliging als deze inbreuk waarschijnlijk een hoog risico voor hun rechten en vrijheden betekent. 31.

Functionaris voor gegevensbescherming • Er is een functionaris voor gegevensbescherming aangesteld die toezicht houdt op: o het naleven van de Wpg; o het beleid van de verwerkingsverantwoordelijke met betrekking tot de bescherming van persoonsgegevens; o de toewijzing van de autorisaties, bedoeld in artikel 6; o de bewustmaking en opleiding van de ambtenaren van politie betrokken bij de verwerking van politiegegevens; o de audits; o de uitvoering van de DPIA's. • De Functionaris Gegevensbescherming stelt jaarlijks een verslag op van zijn bevindingen en stelt het ter beschikking aan de verwerkingsverantwoordelijke.

16/17

Onderwerpen en beheersingsmaatregelen • De Functionaris voor Gegevensbescherming is aangemeld bij de Autoriteit Persoonsgegevens.

17/17

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12562525/1