RIS324412 Externe privacy audit Wpg

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

dienst: dienstcode

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de commissie Bestuur

DSB/10997879 RIS324412 Contactpersoon

Diana Khougiani Dienst

Dienst Stadsbeheer Afdeling

DSB Algemene Zaken Telefoonnummer

14070 Datum

E-mailadres

20 januari 2026

diana.khougiani@denhaag.nl

Onderwerp

Externe privacy audit Wpg

Geachte voorzitter, Hierbij informeer ik u over de resultaten van de externe audit op de verwerking van politiegegevens door de buitengewoon opsporingsambtenaren (boa’s) van de gemeente Den Haag en de naar aanleiding daarvan getroffen beheersmaatregelen. Deze audit is uitgevoerd door de Gemeentelijke Accountantsorganisatie Den Haag (GAD). Achtergrond Voor de omgang met (persoons)gegevens zijn de belangrijkste regels vastgelegd in de AVG. Daarnaast gelden voor het verwerken van gegevens die nodig zijn voor opsporing, andere regels dan onder de AVG het geval is. Hiervoor geldt de Wet politiegegevens (Wpg). Sinds 2019 vallen (persoons)gegevens die boa’s verwerken als opsporingsambtenaar, ook onder de Wpg. Aangezien op diverse plekken in de organisatie boa's werkzaam zijn, heeft de gemeente dus rekening te houden met de Wpg. Om te toetsen of de gemeente hieraan voldoet, verplicht de Wpg om periodiek audits uit te laten voeren: (1) elke vier jaar een externe audit en (2) jaarlijks een interne audit waarbij wordt getoetst op de criteria opzet, bestaan en werking van de beheersmaatregelen. De resultaten van de externe audit dienen te worden aangeleverd bij de Autoriteit Persoonsgegevens (AP). Aansluitend op de externe audit is een hercontrole verplicht voor de normen die niet voldeden bij de externe audit.

De hercontrole richt zich daardoor grotendeels op het verbeterplan van de gemeente en de implementatie hiervan. Deze hercontrole wordt binnen een jaar door externe auditors uitgevoerd. De resultaten van de hercontrole dienen eveneens te worden aangeleverd bij de AP. De GAD heeft recent een externe audit uitgevoerd over de periode van 1 januari 2021 tot en met 31 december 2024. Daaruit blijkt dat de gemeente nog niet voor alle domeinen en normen voldoet aan de WPG.

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DSB/10997879

Audits en verbeterplan Boa’s zijn op meerdere plekken in de organisatie ondergebracht, waarbij grofweg een verdeling in vier domeinen kan worden gemaakt: 1. Domein Ι: Openbare ruimte (Handhavingsorganisatie); 2. Domein II: Milieu, welzijn en infrastructuur (Handhavingsorganisatie); 3. Domein III: Onderwijs (Leerlingzaken); 4. Domein V: Werk, inkomen en zorg: Va: Handhaving & Fraude; Vb: Misbruik & Oneigenlijk Gebruik. In 2022 is de eerste externe audit uitgevoerd in alle domeinen over de periode 9 maart 2019 tot en met 31 december 2021. Uit deze audit is gebleken dat de gemeente Den Haag niet voldeed aan de vereisten van de Wpg. Naar aanleiding daarvan zijn in alle domeinen verbetermaatregelen getroffen, waarbij is onderkend dat volledige naleving van de Wpg structurele en langdurige inspanning vereist en aanvullende structurele beheersmaatregelen noodzakelijk zijn. Eind 2023 - begin 2024 is een hercontrole uitgevoerd naar de opzet en bestaan. Het betreffende assurance-rapport is uitgebracht op 5 februari 2024. De audit toonde aan dat de gemeente vooruitgang heeft geboekt door de getroffen beheersmaatregelen en dat de domeinen I, II en III voldoen aan de vereisten van de Wpg op het gebied van opzet en bestaan. De huidige externe audit is uitgevoerd over de periode van 1 januari 2021 tot en met 31 december 2024.

Hieruit is gebleken dat ten opzichte van de hercontrole uit 2023 het beeld vergelijkbaar is. Domeinen I, II en III voldoen in grote mate aan de eisen, ook nu het criterium werking is meegenomen. Deze domeinen voldeden niet op het onderdeel Logging (norm 28), doordat deze norm tussentijds is aangescherpt. De afgelopen periode zijn stappen gezet om deze norm te adresseren. De resultaten hiervan zullen naar verwachting zichtbaar worden bij de hercontrole in 2026. Er blijven bevindingen die aandacht en verdere navolging vereisen. Domein V voldeed op meerdere punten nog niet aan de gestelde eisen, voornamelijk als gevolg van het ontbreken van een geschikt Wpg-informatiesysteem. Inmiddels is een Wpg-conform systeem geïmplementeerd in domein Va, waarmee uniforme logging, toegangsbeheer en de uitoefening van rechten van betrokkenen worden ondersteund. Voor domein Vb wordt dit naar verwachting in Q2 2026 geïmplementeerd. Hiermee wordt beoogd risico’s te beperken en de naleving van de Wpg te verbeteren. Het aantal verwerkingen binnen dit domein is relatief beperkt, wat van invloed is op de omvang van de geconstateerde risico’s. Naast de hiervoor beschreven acties, waarvan wordt verwacht dat deze bij een volgende audit een positief effect zullen hebben, zijn er nog enkele aandachtspunten die verdere opvolging vereisen. De belangrijkste aandachtspunten voor verbetering zijn: 1.

verstrekking van politiegegevens aan anderen dan de Politie en Koninklijke Marechaussee (norm 21); 2. logging (norm 28); 3. informatie aan de betrokkene(n), recht op inzage, rectificatie en verwijdering van gegevens (norm 25); 4. specifiek ten aanzien van Domein V: organisatorische en technische beheersingsmaatregelen waaronder de implementatie van een Wpg-informatiesysteem.

2/3

Gemeente Den Haag Ons kenmerk

DSB/10997879

Voor het oplossen van de geconstateerde tekortkomingen uit de externe audit dient door iedere dienst een verbeterplan te worden opgesteld. In dit plan worden de maatregelen beschreven die noodzakelijk zijn om de geconstateerde tekortkomingen adequaat te adresseren en op te lossen. Het verbeterplan omvat zowel centrale maatregelen, die gemeentebreed van toepassing zijn, als decentrale maatregelen, specifiek gericht op de betrokken diensten en afdelingen waar boa’s werkzaam zijn. Er is een verbeterplan opgesteld. De Functionaris Gegevensbescherming (FG) is hierbij nauw betrokken. Daarnaast is er binnen de gemeente reeds een procedure ingericht voor de uitoefening van de rechten van betrokkenen, zoals inzage, rectificatie en verwijdering van gegevens. Deze centrale procedure is geïmplementeerd en wordt in de komende periode aangevuld met domeinspecifieke protocollen. Hiermee wordt beoogd dat de rechten van betrokkenen zowel op gemeentebreed niveau als binnen de afzonderlijke werkterreinen op een uniforme en toegankelijke wijze worden toegepast. Vervolg In 2026 zal er een hercontrole plaatsvinden op de normen die in de externe audit niet voldeden. Deze normen zullen worden getoetst op alle drie de criteria (opzet, bestaan én werking). De interne audits zullen hieraan bijdragen. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

3/3