RIS324412 Bijlage Herstelplan WPG Versie 2.0 inclusief reactie FG
Tekst van het document
De verwerking van persoonsgegevens door de gemeente Den Haag in de uitoefening van haar taken valt in beginsel onder de Algemene verordening gegevensbescherming (AVG). Indien een buitengewoon opsporingsambtenaar (boa) persoonsgegevens verwerkt bij de uitvoering van zijn of haar opsporingstaak, is in plaats van de AVG de Wet politiegegevens (Wpg) van toepassing. Conform artikel 33 Wpg jo. artikel 6:5 Bpg dient de verwerkingsverantwoordelijke (de werkgever van de boa) periodiek audits te laten uitvoeren: • •
Externe audit: eens per vier jaar, waarvan de meest recente op 29 juli 2025 heeft plaatsgevonden. Interne audit: jaarlijks, ter voorbereiding op de externe audit.
De uitkomsten van de externe audit worden gedeeld met de Autoriteit Persoonsgegevens (AP). Indien tekortkomingen worden geconstateerd, schrijft artikel 4 van de Regeling periodieke audits politiegegevens voor dat binnen drie maanden een herstelplan (verbeterrapport) wordt opgesteld. Dit document vormt dat herstelplan. De wet onderscheidt zes domeinen van boa-werkzaamheden. Binnen de gemeente Den Haag zijn uitsluitend de volgende domeinen van toepassing: • • • •
Domein I – Openbare ruimte (DSB) Domein II – Milieu, welzijn en infrastructuur (DSB en DSO) Domein III – Onderwijs (OCW) Domein V – Werk, inkomen en zorg (SZW en OCW)
De domeinen IV (Openbaar vervoer) en VI (Generieke opsporing) zijn niet van toepassing en blijven buiten beschouwing. Externe audit (2025): Uitgevoerd door de Gemeentelijke Accountantsdienst (Assurance rapport NOREA 3000D). Conclusie: de getroffen beheersingsmaatregelen waren in significante mate onvoldoende opgezet, niet aanwezig of onvoldoende effectief. 1. Doel en opzet herstelplan Dit herstelplan is gebaseerd op de bevindingen van de externe audit. Externe audit (2025): Uitgevoerd door de Gemeentelijke Accountantsdienst (Assurance rapport NOREA 3000D). Conclusie: Naar het oordeel van de GAD voldoen de door de gemeente Den Haag getroffen beheersingsmaatregelen om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens in opzet, bestaan en werking gedurende de controleperiode in belangrijke mate niet aan de gestelde criteria. De onderwerpen die reeds als afdoende (groen) of niet zijn onderzocht / non occurence (grijs) zijn beoordeeld, worden niet meegenomen. Alle overige onderwerpen (rood en oranje) zijn opgenomen. Het herstelplan is gestructureerd op basis van de domeinen, de normen uit de NOREA-handreiking en de taken/kernthema’s conform het Wpg-raamwerk van de Gemeente Den Haag: 1 2 3 4 5 6 7 8
Beleid & sturing Wetmatigheid Rechtmatigheid Rechten van betrokkenen Samenwerkingen Risicomanagement (compliance) Informatiebeveiliging Buiten scope
2. Beheersmaatregelen Om te voldoen aan de Wet politiegegevens (Wpg) en structurele tekortkomingen in de verwerking van politiegegevens te herstellen, zijn gerichte beheersmaatregelen nodig. Deze maatregelen zijn onderverdeeld in twee niveaus: • •
Strategisch/centraal niveau Decentraal niveau per domein 2.1 Beheersmaatregelen op strategisch/centraal niveau
Op centraal niveau draait het om sturing, beleid en toezicht. De gemeente stelt kaders op voor rechtmatige gegevensverwerking, wijst verantwoordelijken aan (zoals een Wpg-functionaris), en borgt monitoring en rapportage. Deze maatregelen zorgen voor bestuurlijke verankering en centrale regie op het herstelproces. #
Bevinding
Beheersmaatregel
Actiehouder
Verwachte datum oplossing
Status
Juridische Zaken
Q4 2025
Gest art
Toelichting
4. Rechten van betrokkenen 25
De gemeente beschikt niet over voldoende duidelijke procedures en werkinstructie s ten aanzien van het toezicht op verzoeken en de afhandeling, hoe een verzoek beoordeeld dient te worden en hoe politiegegeven s gerectificeerd of verwijderd dienen te worden na een verzoek.
Stel procedures en werkinstructies op voor het toezicht op verzoeken en de afhandeling hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Er was al een gemeente brede Wpg procedure opgesteld voor de rechten van betrokkenen. Deze wordt dienst specifiek aangevuld.
2.2 Beheersmaatregelen op decentraal niveau per Domein Op decentraal niveau worden maatregelen getroffen binnen de domeinen waar boa’s actief zijn, zoals openbare orde, milieu en verkeer. Denk aan het verbeteren van werkprocessen, het trainen van medewerkers in Wpg-conform handelen, en het herstellen van gegevenskwaliteit. Deze maatregelen sluiten aan bij de operationele praktijk en versterken de naleving lokaal.
2.2.1Openbare ruimte (I) & Milieu, welzijn en infrastructuur (II) – (DSB) #
Bevinding
Actiehou der
Verwachte datum oplossing
Status
Toelichting
Stel procedures en werkinstructies op voor het toezicht op verzoeken en de afhandeling hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Manager Operaties HHO i.s.m. Privacy Officer HHO en functioneel beheer HHO
Q1 2026
Wordt gestart, zodra de beheersmaatreg el op strategisch / centraal niveau op norm 25 is opgelost.
Vanuit de HHO is het wenselijk om de samenwerking met functioneel beheer op te zoeken.
Neem alle ontvangers van verstrekkingen op in het verwerkingsregister.
Manager Operaties HHO, Privacy Officer HHO i.s.m. ECP
Q1 2026
Gestart
Gebeurt op basis van uitvragen door het ECP. Is al gebeurd op 3 september en viel daarmee net buiten de auditperiode. We hebben de (drie) kolommen doorlopen en geaccordeerd. Er is afgesproken dat dit volgt 2 keer per jaar, de volgende uitvraag volgt in december 2025.
Stel procedures op ten behoeve van het toezicht op verstrekkingen en onjuiste of onrechtmatige verstrekkingen.
Privacy Officer HHO
Nader te bepalen
Wordt gestart na inventarisatie Expertisecentr um privacy over centraal verstrekkingen register in Q4 2025.
De HHO beschikt over een eigen procedure/ toetsingskader om vast te stellen of een verstrekking rechtmatig of onrechtmatig is. De HHO valt binnen het gesloten verstrekkingen regime mag daardoor zeer
Beheersmaatre gel
4. Rechten van betrokkenen 25
De gemeente beschikt niet over voldoende duidelijke procedures en werkinstructies ten aanzien van het toezicht op verzoeken en de afhandeling, hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
5. Samenwerkingen 21
De gemeente beschikt niet over procedures en werkinstructies ten aanzien van het toezicht op verstrekkingen en onjuiste of onrechtmatige verstrekkingen.
beperkt verstrekken.
7. Informatiebeveiliging / Technische en organisatorische maatregelen 10
28
2
Vastgesteld dat in 2024 geen periodieke review op rollen/rechten en gebruikers zijn uitgevoerd
Borg dat er een periodieke beoordeling plaatsvindt van de autorisaties en gebruikers in CityControl
Manager Operaties HHO i.s.m. Privacy Officer HHO
Q1 2026
Gestart
De periodieke review heeft voor de eerste keer in 2025 plaatsgevonden. Daarmee viel het net buiten de vorige auditperiode. Dit wordt wel meegenomen in de hercontrole.
Er vindt in CityControl geen logging plaats op wijzigingen van rollen/rechten en functiewijziginge n, hierdoor hebben wij hiervan niet de werking vast kunnen stellen.
Borg dat wijzigingsverzoeken en wijzigingen in rollen/rechten in of buiten CityControl worden bijgehouden.
Functioneel beheer HHO City Control
Q1 2026
Gestart
De procedure zal getoetst worden bij Internal Audit. De HHO gaat hierop wel een aanscherping doen: de resultaten van een periodieke update van de autorisatiematri x moeten beter worden geborgd en dus worden opgeslagen.
Gedurende de controleperiode zijn door de gemeente geen beoordelingen uitgevoerd op de loggingbestande n van CityControl voor gegevensverwer kingen.
Controleer of de in opzet opgenomen procedure voor de analyse van logbestanden ten aanzien van de rechtmatige gegevensverwerking en en de integriteit hiervan is geïmplementeerd en periodiek wordt uitgevoerd.
Functioneel
Q1 2026
Gestart
Zie hiervoor onderdelen 10. Interne Audit zal vanuit het vierogenprincipe moet meekijken met onze werkwijze. De werkwijze is een steekproef.
Voor de gebruikersorgan isatiemaatregelen ten aanzien van de configureerbare wachtwoordinst ellingen dat deze niet aansluit op het wachtwoordbel eid van de gemeente Den Haag voor de
Implementeer het wachtwoordbeleid in CityControl.
Privacy Officer HHO /Functionee l beheer HHO
Q1 2026
Gestart
Er is wachtwoordbele id in het systeem opgenomen en op papier beschreven. De HHO onderzoekt met de leverancier in welke mate het volledige wachtwoordbele id van de gemeente Den Haag kan
beheer HHO City Control
hoge rechten accounts. Er is geen Multi Factor Authenticatie (MFA) ingesteld.
worden geïmplementeer d. Stel Multi Factor Authentication in
Privacy Officer HHO /Functionee l beheer HHO
Q1 2026
Gestart
Hiervoor zal een risicoacceptatieproce dure worden opgestart. Er spelen wat onderliggende zaken die technisch van aard zijn die de praktijk van de BOA’s ernstig kunnen beïnvloeden.
2.2.2 Onderwijs (III) – [OCW] #
Bevinding
Beheersmaatrege l
Actiehouder
Verwacht e datum oplossing
Status
Toelichting
Leerling- en Onderwijszaken
Oktober 2025
Opgelost
De ingevulde correctieform ats zullen vanaf nu in hard copy worden bewaard.
Zie norm 2
Zie norm 2
Opgelost
Zie norm 2 Zie norm 2
3. Rechtmatigheid 2
De gemeente heeft deze collegiale toetsen over de controleperiode niet bewaard. Hierdoor hebben wij niet kunnen vaststellen dat deze maatregel bestond en heeft gewerkt.
3
Zie norm 2
Bewaar het Correctieformat (Kwaliteitscheck) Procesverbaal, zodat de collegiale toets zichtbaar is. Ga eventueel in gesprek met de leverancier van LB om na te gaan of de toets in het informatiesysteem kan worden opgeslagen. Zie norm 2
4
Zie norm 2
Zie norm 2
Zie norm 2
Zie norm 2
Opgelost
De gemeente niet beschikt over een procedure en/of werkinstructie waarin rectificatie en verwijderingen van politiegegevens zijn opgenomen.
Leerling- en Onderwijszaken
Q1 2026
Wordt gestart, zodra de beheersmaa tregel op strategisch / centraal niveau op norm 25 is opgelost.
5
De gemeente niet beschikt over een procedure en/of werkinstructie waarin rectificatie en verwijderingen van politiegegevens zijn opgenomen. Zie norm 2
Zie norm 2
Zie norm 2
Zie norm 2
Opgelost
Zie norm 2
Stel procedures en werkinstructies op voor het toezicht op verzoeken en de afhandeling hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Leerling- en Onderwijszaken
Q1 2026
Wordt gestart, zodra de beheersmaa tregel op strategisch / centraal niveau op norm 25 is opgelost.
Afhankelijkhei d met de beheersmaatr egel op strategisch / centraal niveau op norm 25.
Formaliseer het verstrekkingen proces (gericht op de monitoring op gedane verstrekkingen).
Leerling- en Onderwijszaken
Nader te bepalen
Wordt gestart na inventarisati e Expertisecen trum privacy over centraal
4. Rechten van betrokkenen 25
De gemeente beschikt niet over voldoende duidelijke procedures en werkinstructies ten aanzien van het toezicht op verzoeken en de afhandeling, hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
5. Samenwerkingen 21
Domein III beschikt niet over procedures en werkinstructies ten aanzien van het toezicht op
verstrekkingen en onjuiste of onrechtmatige verstrekkingen Domein III beschikt niet over een register van verstrekkingen aan anderen.
verstrekking enregister in Q4 2025. Hanteer een verstrekkingenregiste r waarin alle verzoeken tot verstrekking aan anderen en de afhandelingen worden bijgehouden.
Leerling- en Onderwijszaken
Nader te bepalen
Controleer het verwerkingsregister en neem hierin alle ontvangers van verstrekkingen op.
Leerling- en Onderwijszaken
Q4 2025
Wordt gestart na inventarisati e Expertisecen trum privacy over centraal verstrekking enregister in Q4 2025. Gestart
7. Informatiebeveiliging / Technische en organisatorische maatregelen 28
De logging op dossiers wordt steekproefsgewij s gecontroleerd, maar er is niet vastgelegd hoe deze controles bijdragen aan het waarborgen van de rechtmatigheid en integriteit van de gegevensverwerk ing.
Implementeer een doelmatige procedure voor analyse van logbestanden ten aanzien van de rechtmatige gegevensverwerkinge n en de integriteit hiervan.
Leerling- en Onderwijszaken
Q1 2026
Gestart
Er is reeds een procedure opgesteld. Dit viel echter buiten de controleperiod e. De procedure zal getoetst worden bij Internal Audit.
2.2.3 Werk, Inkomen en Zorg (Va) – (SZW) #
Bevinding
Beheersmaatregel
Actiehoude r
Verwachte datum oplossing
Status
Stel concrete beheersmaatregelen op die het onderscheid tussen verschillende categorieën van betrokkenen borgen. Maak aantoonbaar dat maatregelen worden uitgevoerd
H&F
Q1 2026
Nog op te starten
Maak inzichtelijk waarop de conclusies van de collegiale toets is gebaseerd.
H&F
Q1 2026
Nog op te starten
Januari 2025
Opgelost
H&F
Q1 2026
Nog op te starten
H&F
Q1 2026
Nog op te starten
H&F
Q1 2026
Nog op te starten
1.Beleid & sturing 12
Er zijn geen maatregelen beschreven die het onderscheid tussen verschillende categorieën van betrokkenen borgen anders dan de monitoring door de Bevoegd Functionaris Van de collegiale toets worden alleen de conclusies van de steekproef vastgelegd waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, waardoor er een audittrail ontbreekt.
2. Wetmatigheid 20
De gebruikte Gschijf en vanaf oktober 2024 SharePoint biedt niet de mogelijkheid bewaartermijn te automatiseren.
De nieuwe applicatie CityControl is na afloop van de controleperiode geïmplementeerd, waardoor deze buiten de reikwijdte van onze controle viel.
3. Rechtmatigheid 2
3
Van de collegiale Maak aantoonbaar toets worden alleen waarop de conclusies de conclusies van de van de collegiale toets steekproef vastgelegd is gebaseerd. waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, waardoor er een audittrail ontbreekt. Er één verwerking Leg de goedkeuring onder handen is schriftelijk vast en waarvan geen maak aantoonbaar schriftelijke waarop de goedkeuring goedkeuring door de is gebaseerd. bevoegd functionaris op doelbinding heeft plaatsgevonden bij de start van het dossier in 2024, dit heeft mondeling plaatsgevonden. Van de collegiale Maak aantoonbaar toets worden alleen waarop de conclusies de conclusies van van de collegiale toets is de steekproef gebaseerd.
Toelichting
4
5
vastgelegd waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, In de werkinstructie van de Sociaal Rechercheur is in vuistregels beschreven dat de Sociaal Rechercheur zorg moet dragen dat gegevens juist, volledig en actueel zijn. Echter zijn geen concrete maatregelen beschreven. Van de collegiale toets worden alleen de conclusies van de steekproef vastgelegd waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, waardoor er een audittrail ontbreekt Van de collegiale toets worden alleen de conclusies van de steekproef vastgelegd waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, waardoor er een audittrail ontbreekt. Er zijn geen technische maatregelen aanwezig die de juistheid en volledigheid van de gebruikte gegevens waarborgt.
Stel concrete maatregelen op die borgen dat politiegegevens juist en volledig zijn.
H&F
Q1 2026
Nog op te starten
Maak aantoonbaar waarop de conclusies van de collegiale toets is gebaseerd.
H&F
Q1 2026
Nog op te starten
Maak aantoonbaar waarop de conclusies van de collegiale toets is gebaseerd en controleer op onderscheid feit/persoonlijk oordeel.
H&F
Q1 2026
Nog op te starten
Januari 2025
Opgelost
H&F
T2 2026
Nog te starten
H&F
Q1 2026
Wordt gestart, zodra de beheersm aatregel op strategisc h/ centraal niveau op norm 25 is opgelost.
De nieuwe applicatie CityControl is geïmplementeerd. Laat een DPIA uitvoeren op het gewijzigde proces en volg de hieruit voortvloeiende maatregelen op.
4. Rechten van betrokkenen 25
De gemeente beschikt niet over voldoende duidelijke procedures en werkinstructies ten aanzien van het toezicht op verzoeken en de afhandeling, hoe een verzoek beoordeeld dient te worden en hoe politiegegevens
Stel procedures en werkinstructies op voor het toezicht op verzoeken en de afhandeling hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Afhankelijkheid met de beheersmaatreg el op strategisch / centraal niveau op norm 25.
gerectificeerd of verwijderd dienen te worden na een verzoek.
5. Samenwerkingen 21
In de werkinstructie is niet beschreven: Dat de verstrekking beveiligd dient te worden uitgevoerd. - Dat de bewaartermijnen van verstrekkingen dienen te worden bewaakt. - Wat de vervolgstappen zijn nadat een verstrekking onjuist of onrechtmatig is geweest. Er heeft in 2024 een verstrekking aan het OM plaatsgevonden, maar hier is geen schriftelijke vastlegging van gemaakt. Hierdoor ontbreekt een audittrail ten aanzien van de beoordeling van de verstrekking aan het OM.
Neem in de werkinstructies op: Verstrekking dient beveiligd te worden uitgevoerd. Bewaartermijnen dienen te worden bewaakt. - De vervolgstappen nadat een verstrekking onjuist of onrechtmatig is geweest.
H&F
Q1 2026
Nog op te starten
Maak aantoonbaar waarop de conclusies van de collegiale toets zijn gebaseerd en Leg verstrekkingen (schriftelijk) vast ten behoeve van de audittrail.
H&F
Q1 2026
Nog op te starten
Neem in de werkinstructie van de Bevoegd Functionaris op dat verplicht periodiek een controle wordt uitgevoerd op het gebruiken van bijzondere persoonsgegevens. Maak aantoonbaar waarop de conclusies van de collegiale toets is gebaseerd.
H&F
Q1 2026
Nog op te starten
H&F
Q1 2026
Nog op te starten
Voer jaarlijks conform de procedure de periodieke actualisatie uit van het verwerkingsregister.
H&F
Juli 2025
Opgelost
Leg verstrekkingen (schriftelijk) vast ten behoeve van audittrail.
H&F
Q1 2026
Nog op te starten
6. Risicomanagement (compliance) 9
26
27
De controle door de Bevoegd Functionaris is te vrijblijvend.
Van de collegiale toets worden alleen de conclusies van de steekproef vastgelegd waardoor de onderliggende punten waarop gecontroleerd wordt niet zijn vastgelegd, waardoor er een audittrail ontbreekt. De periodieke actualisatie van het verwerkingsregister conform de procedure is niet uitgevoerd in de controleperiode. Voor de verstrekking uit norm#21 is
onvoldoende aangetoond dat voldaan is aan de documentverplichti ng.
7. Informatiebeveiliging / Technische en organisatorische maatregelen De nieuwe applicatie CityControl is na afloop van de controleperiode geïmplementeerd, waardoor deze buiten de reikwijdte van onze controle viel.
H&F
Januari 2025
Opgelost
Na afronding van de herijking van de DPIA in verband met het gewijzigde proces, kunnen er nieuwe maatregelen worden aanbevolen.
7
Er wordt gebruik gemaakt van een netwerkschijf (Gschijf) die onvoldoende mogelijkheden biedt de informatie op een adequate manier te beveiligen en hierop toe te zien. Er kan daarom geen sprake zijn van “privacy by design”. Zie norm 6
Zie norm 6
H&F
Januari 2025
Opgelost
Zie norm 6
10
Zie norm 6
Zie norm 6
H&F
Januari 2025
Opgelost
Zie norm 6
28
Implementatie van logging op de Gschijf is niet mogelijk. Op basis van interviews met betrokken medewerkers en inspectie van documentatie hebben wij vastgesteld dat gegevens worden verwerkt op een netwerkshare (Gschijf) die onvoldoende mogelijkheden biedt de informatie op een adequate manier te beveiligen en hierop toe te zien.
Zie norm 6
H&F
Januari 2025
Opgelost
Zie norm 6
Zie norm 6
H&F
Januari 2025
Opgelost
Zie norm 6
6
1 t/m 5
2.2.4 Werk, Inkomen en Zorg (Vb) – (OCW) #
Beheersmaat regel
Actiehouder
Verwachte datum oplossing
Status
Toelichting
Er zijn geen
Stel concrete
Misbruik en
Q2-2026
Nog op te starten
Deze
maatregelen
maatregelen op
Oneigenlijk
procedures/we
beschreven die
die onderscheid
gebruik
rkinstructies
het onderscheid
tussen
worden bij de
tussen
verschillende
implementatie
verschillende
categorieën
van het
categorieën van
betrokkenen
informatiesyst
betrokkenen
borgen.
eem
Bevinding
1.Beleid & sturing 12
borgen anders
opgenomen.
dan de
Q2-2026
monitoring door de Bevoegd Functionaris
2. Wetmatigheid 20
In de werkinstructie van de Sociaal Rechercheur worden de bewaartermijne n beschreven, echter ontbreken concrete maatregelen om de bewaartermijne n te borgen De gebruikte Gschijf en vanaf oktober 2024 SharePoint biedt niet de mogelijkheid bewaartermijne n te automatiseren.
Vertaal het kader bewaartermijne n naar concrete maatregelen en migreer naar een applicatie waarin bewaartermijne n, conform Wpg, te automatiseren zijn.
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyste em te implementeren.
Migreer naar een applicatie waarin bewaartermijne n conform Wpg te automatiseren zijn.
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyste em te implementeren.
Neem in de werkinstructie van de Sociaal Rechercheur concrete maatregelen op die de juistheid en volledigheid van gegevens borgen.
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
3. Rechtmatigheid 4
In de werkinstructie van de Sociaal Rechercheur is in vuistregels beschreven dat de Sociaal Rechercheur zorg moet dragen dat gegevens juist, volledig en actueel zijn. Echter zijn geen concrete maatregelen beschreven.
4. Rechten van betrokkenen 25
De gemeente beschikt niet over voldoende duidelijke procedures en werkinstructies ten aanzien van het toezicht op verzoeken en de afhandeling, hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Stel procedures en werkinstructies op voor het toezicht op verzoeken en de afhandeling hoe een verzoek beoordeeld dient te worden en hoe politiegegevens gerectificeerd of verwijderd dienen te worden na een verzoek.
Misbruik en Oneigenlijk gebruik
Q2-2026
Wordt gestart, zodra de beheersmaatreg el op strategisch / centraal niveau op norm 25 is opgelost.
Afhankelijkhei d met de beheersmaatre gel op strategisch / centraal niveau op norm 25.
Geen
Neem concrete
Misbruik en
Q2-2026
Nog op te starten
Deze
procesbeschrijv
maatregelen op
Oneigenlijk
procedures/we
ing of
in de
gebruik
rkinstructies
werkinstructie
werkinstructies
worden bij de
ten aanzien van
die borgen dat
implementatie
het ter
politiegegevens
van het
beschikking
conform de
informatiesyst
stellen van
richtlijnen in de
eem
politiegegevens.
wet ter
opgenomen.
beschikking
Q2-2026
5. Samenwerkingen 17
worden gesteld binnen het Wpg domein.
21
In de
Neem in de
Misbruik en
werkinstructie
werkinstructies
Oneigenlijk
procedures/we
is niet
op: -
gebruik
rkinstructies
beschreven: -
Verstrekking
worden bij de
Dat de
dient beveiligd te
implementatie
verstrekking
worden
van het
beveiligd dient
uitgevoerd. -
informatiesyst
te worden
Bewaartermijnen
eem
uitgevoerd. -
dienen te worden
opgenomen.
Dat de
bewaakt. - De
Q2-2026
bewaartermijne
vervolgstappen
n van
nadat een
verstrekkingen
verstrekking
dienen te
onjuist of
worden
onrechtmatig is
bewaakt. - Wat
geweest.
de vervolgstappen zijn nadat een verstrekking onjuist of
Q2-2026
Nog op te starten
Deze
onrechtmatig is geweest.
7. Informatiebeveiliging / Technische en organisatorische maatregelen Implementeer een applicatie waarin de gegevens voldoende beveiligd kunnen worden verwerkt.
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
7
Er wordt gebruik gemaakt van een netwerkschijf (G-schijf) die onvoldoende mogelijkheden biedt de informatie op een adequate manier te beveiligen en hierop toe te zien. Gegevens worden vanaf oktober 2024 verwerkt op SharePoint die onvoldoende mogelijkheden biedt de informatie op een adequate manier te beveiligen en hierop toe te zien. Zie norm 6
Zie norm 6
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten Nog
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
10
Zie norm 6
Zie norm 6
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
28
implementatie van logging op de G-schijf is niet mogelijk.
Zie norm 6
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
1 t/m 5
Op basis van interviews met betrokken medewerkers en inspectie van documentatie hebben wij vastgesteld dat gegevens worden verwerkt op een netwerkshare (G-schijf) en SharePoint site die onvoldoende
Zie norm 6
Misbruik en Oneigenlijk gebruik
Q2-2026
Nog op te starten
Er loopt een traject om een Wpg informatiesyst eem te implementere n.
6
mogelijkheden biedt de informatie op een adequate manier te beveiligen en hierop toe te zien
Bijlage – Reactie Functionaris Gegevensbescherming op het herstelplan Wet politiegegevens (Wpg) Gemeente Den Haag – Functionaris Gegevensbescherming Datum: 18-11-2025 De FG zal de uitvoering van het herstelplan blijven volgen en hierover periodiek rapporteren. De FG juicht de ambitieuze termijnen waarbinnen de beheersmaatregelen in het herstelplan worden uitgevoerd toe. Als deze inderdaad ook worden gehaald, zijn er bij de hercontrole van de externe auditor in 2026 flinke stappen gezet. Functionaris Gegevensbescherming Gemeente Den Haag