RIS318004 Hercontrole van de externe privacy audit Wpg

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

114

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de commissie Bestuur

DSB/10694501 RIS318004 Contactpersoon

Willemijn Ruel Dienst

Stadsbeheer Afdeling

Algemene Zaken Telefoonnummer

14070 Datum

E-mailadres

13 februari 204

willemijn.ruel@denhaag.nl

Onderwerp

Hercontrole van de externe privacy audit Wpg

Geachte voorzitter, Hierbij informeer ik u over de hercontrole van de externe privacy audit op de politiegegevens die de buitengewoon opsporingsambtenaren (boa’s) van de gemeente Den Haag verwerken. Deze hercontrole is uitgevoerd door de Gemeentelijk Audit Dienst (GAD). Achtergrond In de Wet politiegegevens (Wpg) zijn regels opgenomen voor het verwerken van persoonsgegevens die nodig zijn om de opsporing van strafbare feiten goed te kunnen uitvoeren. De Wpg zorgt voor een evenwicht tussen de belangen die met het uitvoeren van de opsporing van strafbare feiten gemoeid zijn en het beschermen van de privacy van burgers. Sinds 2019 vallen (persoons)gegevens die Buitengewoon opsporingsambtenaren (Boa’s) verwerken ook onder de Wpg. Om te toetsen of de gemeente aan de Wpg voldoet, verplicht de wet om periodiek audits uit te laten voeren; 1. elke vier jaar een externe audit en 2. jaarlijks een interne audit. Eind 2022 heeft GAD de eerste externe audit uitgevoerd, over het jaar 2021 en op alle vier de domeinen1 waarbinnen de gemeentelijke Boa’s zijn ondergebracht. Kort samengevat was de conclusie van de GAD op dat moment dat de gemeente de Wpg niet tijdig in het vizier had gekregen. De Wpg was nog onvoldoende bekend en geland binnen de organisatie en aan het merendeel van de normen werd niet voldaan.

De GAD heeft deze uitkomsten getoetst bij andere gemeenten, waar een vergelijkbaar beeld werd geconstateerd. In reactie op de audit is er een verbeterrapport opgesteld dat op 28 maart 2023 met de raad is gedeeld (RIS314908). Hierin is aangegeven dat in 2023 de verbetermaatregelen worden aangepakt om een duidelijke verbetering te kunnen laten zien bij de hercontrole aan het einde van dat jaar. Er werd echter ook aangegeven dat meer tijd nodig is om alle punten uit het verbeterrapport uit te voeren. Uit de hercontrole blijkt onder meer dat er, conform de ambitie uit het verbeterrapport, flinke stappen vooruit zijn gezet. De uitkomsten van de hercontrole die de GAD einde van 2023 heeft uitgevoerd worden gedeeld met de Autoriteit Persoonsgegevens.

1 Deze vier domeinen zijn: 1. Openbare ruimte (DSB/Handhavingsorganisatie); 2. Milieu, welzijn en infrastructuur

(DSB/Handhavingsorganisatie); 3. Onderwijs (OCW/L&OZ Leerlingzaken); 4. Werk, inkomen en zorg (SZW/Handhaving &Fraude en OCW/O&K – Misbruik & Oneigenlijk Gebruik).

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

T 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DSB/10694501

In deze brief wordt kort stilgestaan bij de achtergrond, de resultaten van de hercontrole en de vervolgstappen. Bijgevoegd vindt u het assurance-rapport inzake de hercontrole van de externe privacy audit van de GAD. In de commissie Bestuur van 10 mei 2023 heeft de wethouder Werk, Wijken en Dienstverlening toegezegd na de zomer met een nieuwe visie op Digitalisering te komen, waarin onder andere aandacht wordt besteed aan de implementatie van de Wpg. Zoals aangegeven in de commissie Bestuur van 13 december 2023 wordt op dit moment gewerkt aan de nieuwe visie op Digitalisering van de gemeente Den Haag en zal deze in het tweede kwartaal van 2024 beschikbaar komen. Audits en verbeterrapport De gemeente is verplicht zich te verantwoorden over de naleving van de Wpg door de gemeentelijke Boa’s. Dit gebeurt door interne en externe audits uit te voeren. De externe audit die eens in de vier jaar dient te worden uitgevoerd moet alle domeinen overzien waarbinnen Boa’s werkzaam zijn en gedeeld te worden met de Autoriteit Persoonsgegevens (AP). Gezien de uitkomsten van de eerdere externe audit heeft de gemeente een verbeterrapport opgesteld en is er binnen jaar een hercontrole uitgevoerd. Zowel de audit uit 2022 als deze hercontrole zijn uitgevoerd voor alle vier de bovengenoemde domeinen.

De Wpg audit heeft betrekking op de wijze waarop het verwerken van politiegegevens wordt beheerst door het beschrijven van de beheersmaatregelen in beleid, procedures en werkinstructies (opzet), het implementeren en daadwerkelijk toepassen hiervan in de dagelijkse praktijk (bestaan), het gedurende een aangesloten periode van 12 maanden toepassen van deze maatregelen (werking). In 2023 is er binnen de betrokken domeinen van de gemeente hard gewerkt om de verbetermaatregelen uit het verbeterrapport uit te voeren, hier is ook extra personele inzet voor beschikbaar gesteld. Met als doel bij de hercontrole een duidelijke verbetering te zien. Zoals hierboven ook gesteld, is voor het oplossen en goed inbedden van alle punten meer tijd nodig dan een jaar. Hercontrole De GAD heeft de definitieve rapportage van de hercontrole opgeleverd. Deze dient voor 1 maart 2024 te worden aangeleverd bij de AP2. De hercontrole is uitgevoerd op die normen: • die van toepassing zijn voor het domein; • én waarbij in de initiële audit tekortkomingen zijn geconstateerd (oranje of rood); • én waarbij de gemeente heeft aangegeven zaken te hebben gewijzigd, zodat hercontrole ook zinvol is. Bij de hercontrole is alleen getoetst op ‘opzet’ en ‘bestaan’. De periode waarin de onderzochte beheersmaatregelen hebben gewerkt is te kort om ook op de werking te toetsen (minder dan 12 maanden).

In het rapport schijft de GAD: “Naar ons oordeel, uitgezonderd de aangelegenheden die hierna zijn beschreven in paragraaf 1.10 ‘De basis voor ons oordeel met beperking’, in alle van materieel belang zijnde aspecten, zijn de door de gemeente Den Haag getroffen beheersingsmaatregelen om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens door boa’s op afdoende wijze opgezet en bestaan deze per 12-01- 2024.”

2

Normaliter dient de hercontrole van de GAD uiterlijk 31 december te worden aangeleverd. Op 1 december heeft de AP echter

gecommuniceerd dat de termijn is verlengd naar 1 maart 2024.

2/3

Gemeente Den Haag Ons kenmerk

DSB/10694501

Enerzijds zijn er flinke stappen vooruit gezet. Op alle domeinen zijn verbeteringen te zien. • Op de eerste twee domeinen Openbare Ruimte en Milieu, Welzijn en Infrastructuur staan alle getoetste onderdelen nu op groen. • Op het domein Onderwijs zijn, op twee onderdelen bij het criterium ‘bestaan’, na alle onderdelen groen. • Bij het domein Werk, inkomen en zorg is op relatief veel normen getoetst en zijn duidelijke verbeteringen te zien. Aan de andere kant zijn er aspecten die nog tijd en inzet vergen. Anderzijds vergt het uitvoeren van alle punten uit het verbeterrapport zoals aangegeven meer tijd dan een jaar. En ook in algemene zin vergt het voldoen aan de normen van de Wpg blijvende aandacht en inzet. Bij een volgende audit zal immers naast ‘opzet’ en ‘bestaan’ ook op ‘werking’ worden getoetst. Kortom; de resultaten sluiten aan bij hetgeen vorig jaar bij het verbeterrapport als ambitie is neergezet: een duidelijke verbetering bij de hercontrole. Echter, het voldoen aan de normen van de Wpg vergt blijvende aandacht en inzet vanuit de gemeente. Vervolg In 2025 zal er een volgende externe audit plaatsvinden. Voorafgaand aan de externe audit zal er interne audit plaatsvinden om te toetsen of de juiste maatregelen zijn genomen.

De uitkomsten van de hercontrole van de GAD heeft duidelijk gemaakt dat er flinke stappen zijn gezet binnen de gemeenten om te voldoen aan de normen van de Wpg. We zijn er echter nog niet en het onderwerp behoeft ook de komende jaren aandacht en inspanningen. De uitkomsten van de externe audit in 2025 zullen met u worden gedeeld. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

3/3