B21c Bijlage 2 - Verbeterplan Wet Politiegegevens

Verbeterplan WPG 2026 Naar aanleiding van het rapport van 27-2-2026 van de externe WPG audit is dit verbeterplan opgesteld. Acties zijn hieronder benoemd. Deze acties worden uitgevoerd vóór 1 augustus 2026 zodat de rapportage van de interne heraudit uiterlijk 26-8-2026 verstuurd kan worden naar de AP. Dit is in lijn met advies 1 zoals opgenomen in het DT-voorstel. In bijlage 1 zijn de aanbevelingen uit het externe audit rapport per norm opgenomen.

Actie Niet gecertificeerde systemen: - Onderzoek hoe de technische inrichting van systemen kan voldoen van de WPG. - Djuma - Zivver - Office 365 en netwerkschijven - E-mail en Whatsapp Privacy beleid - Actualiseren beleid voor Wpg - Doelbinding Wpg opnemen - Inzageverzoek op website voor Wpg Datalekprotocol - Aanpassen voor Wpg Verwerkingenregister - Beheer regelen - Compleet maken Verwerkersovereenkomsten - Verwijzen naar Wpg

Uitvoerder

Benodigde tijd Projectgroep: Afhankelijk Informatiespecialist van de keuze Privacy officer Senior Boa Regieteam VTH Informatieadviseur IV&P

regulier

IV&P

2 uur

IV&P / Boa-team

regulier

Informatieadviseurs 16 uur / IV&P

Voortgang Beleid VTH plant de eerste afspraak in. - dit is ondervangen door sjablonen in Citycontrol in 2026 -

-

Proces is al opgesteld zie ook niet gecertificeerde systemen

Handboek boa’s en werkinstructies - Bewaartermijnen verder uitwerken - Belang van doelbinding opnemen - Werkinstructie categorieën van betrokkenen opstellen - Werkinstructie verstrekkingen, inclusief documentatieplicht opstellen. - Procedure opstellen voor de handelwijze bij onrechtmatige verstrekkingen of verstrekking van onjuiste gegevens Autorisaties - Autorisatieprocedure formaliseren - Controles erop uitvoeren Logging - Procedure controleren logging opstellen - Log alle systemen en beveilig tegen wijzigen DPIA - Proces DPIA inrichten - Uitvoeren DPIA Systemen - Allemaal een TPM - Jaarlijks testen City control Controles - Aantoonbaar controleren - Richtlijnen opstellen - Jaarlijks rapporteren FG

Boa-team / Regieteam VTH / IV&P

40 uur

-Klaar, op website ingericht. -

Boa-team / Regieteam VTH / IV&P

20 uur

IV&P / Informatieadviseur

40 uur

- is deels geregeld voor Citycontrol

Boa-team / IV&P

40-60 uur

FG

Afhankelijk van de richting Regulier werk

-

Niet meer via Office365 Sjablonen opgesteld Rapport 2025 komt in Q2 2026

Heraudit uitvoeren - Opzet en bestaan - Conclusies heraudit naar AP sturen

Auditing, Processen & Kwaliteit (APK)

Regulier werk

-

In augustus heraudit rapport versturen uiterlijk 26-8-2026.

Bijlage 1: Aanbevelingen uit het audit rapport per norm. Alle aanbevelingen die per norm worden genoemd op gebied van opzet en bestaan. Deze zijn gebundeld in bovenstaand verbeterplan Norm 1: bestaan Identificeer en documenteer voor alle Wpg-verwerkingen in alle bijbehorende informatiesystemen de bestanden met politiegegevens. Zorg dat de systemen een TPM hebben. Norm 2: opzet WPG privacy beleid waarin de doelbinding is vastgelegd Belang van doelbindingen opnemen in handboek WPG Norm 4: bestaan Maak de juistheid en volledigheid van de politiegegevens in Office 365 aantoonbaar en doe hier controles op. Stel voor de controle richtlijnen vast. Norm 6: opzet en bestaan Schrijf in het privacy beleid passende maatregelen voor “privacy by design” voor. Test Citycontrol periodiek en aantoonbaar Voer aantoonbaar jaarlijkse controles uit op “privacy by design” Norm 7: opzet en bestaan “privacy by default” in privacy beleid opnemen Maatregelen in informatiesystemen en administratieve processen Norm 8: opzet en bestaan Maak een procesbeschrijving DPIA, voer DPIA uit. Maak hiervan gebruik van NOREA raamwerk Norm 10: opzet en bestaan Zorg voor geformaliseerde en vastgestelde autorisatieprocedure Procedure beoordelen toegangsrechten Richt een adequaat toegangsbeheerproces in Jaarlijkse controles op de autorisaties

Speciaal aandacht voor niet boa’s en Djuma Norm 12: opzet Draag zorg voor een werkinstructie met hierin aandacht voor verschillende categorieën van betrokkenen Norm 13: opzet en bestaan Verwerkersovereenkomsten afsluiten die refereren aan Wpg Norm 16: Werk in het handboek Wpg de bewaartermijnen verder uit. Norm 20: bestaan Leg geen gegevens vast op netwerkschijven. Gebruik Djuma en Office365 niet. Let ook op e-mails en Whatsapp Norm 21: opzet Procedure voor de handelwijze bij onrechtmatige verstrekkingen of verstrekking van onjuiste gegevens. Norm 25: opzet Procedure is in 2025 opgesteld. WPG opnemen in algemeen inzage verzoek op de website. Werkinstructie voor informatieplicht betrokkene en rechten van betrokkenen Dossier verzoeken Norm 26: opzet Regel het beheer van het verwerkingsregister Norm 27: opzet en bestaan Stel werkinstructie verstrekkingen op (inzage, rectificatie en verwijder verzoek) Controle op de documentatieplicht

Norm 28: opzet en bestaan Procedure controleren logging opstellen Log alle systemen Bescherm logbestanden tegen wijzigingen. Norm 30: Datalekprotocol toespitsen op Wpg Norm 31: Jaarlijks rapporteren aan de verwerkingsverantwoordelijke Aantoonbaar controleren door FG