Raadsbrief terugkoppeling Wpg-audit

Postadres Gemeente Nijmegen

Aan de gemeenteraad van Nijmegen

Postbus 9105 6500 HG Nijmegen Bezoekadres Korte Nieuwstraat 6 6511 PP Nijmegen T 14 024 nijmegen.nl

Datum Onderwerp

Contactgegevens nijmegen.nl/contact

2 juni 2026 Terugkoppeling Wpg-audit

Ons kenmerk E26.000247

Geachte leden van de raad, Inleiding Met deze brief informeren wij u over de onlangs uitgevoerde Wpg-audit. In 2019 is de Wet politiegegevens (hierna: Wpg) van toepassing verklaard op werkgevers van buitengewoon opsporingsambtenaren (hierna: boa’s). Daarmee zijn gemeenten verplicht om aan de Wpg te voldoen.

Bijlage(n) Privacy-audit 2025 Wet politiegegevens

Achtergrond Uit artikel 33 van de Wpg volgt een auditplicht voor de verwerkingsverantwoordelijken van politiegegevens. Dat zijn persoonsgegevens die worden verwerkt voor politietaken. Als gemeente vallen wij daar ook onder, wat betekent dat er elk jaar een audit wordt gedaan op gebied van de Wpg. Eens in de vier jaar dient de audit door een externe auditor gedaan te worden. In onze gemeente is dat voor het eerst gebeurd in 2021. De tweede externe audit heeft afgelopen jaar plaatsgevonden, is in november 2025 afgerond en ging over een controleperiode van 1 januari 2022 t/m 31 december 2024. De audit is toegevoegd als bijlage bij deze brief. Op grond van artikel 33 lid 2 Wpg dient een afschrift van de resultaten van de audit gedeeld te worden met de Autoriteit Persoonsgegevens, dit verloopt via de Functionaris Gegevensbescherming. Audit De audit is uitgevoerd op drie verschillende domeinen. Dit zijn het domein van Toezicht & Handhaving (domein 1), Leerplicht (domein 3) en Opsporing sociaal domein, ook wel bekend als sociale recherche (domein 5). Veruit de meeste dossiers met politiegegevens binnen onze gemeente bevinden zich in domein 1. Daar gaat het om duizenden dossiers ten opzichte van tientallen binnen domein 3 en 5.

Dat komt doordat politiegegevens standaard onderdeel zijn van de processen met betrekking tot handhaving binnen de openbare ruimte die worden uitgevoerd door boa’s. Binnen dit domein ligt dan ook het zwaartepunt van de gegevensverwerking en het bijkomende risico. De audit toetst binnen elk domein 36 onderwerpen (31 reguliere en 5 technische). Deze onderwerpen worden vervolgens getoetst op opzet, bestaan en werking. Kort gezegd gaat

Gemeente Nijmegen

Pagina 1 van 3

opzet over of er een plan is voor hoe we aan de gestelde eisen willen voldoen, bestaan gaat over of dat dit plan ook daadwerkelijk wordt uitgevoerd en werking toetst of wij kunnen aantonen dat we voldoen aan de gestelde eisen. Wanneer een onderwerp op opzet, bestaan of werking niet volledig groen is, dan voldoet dit onderwerp niet. Wanneer 10 of meer onderwerpen in totaal niet voldoen, leidt dit tot een afkeurend oordeel van de auditor. Terugkoppeling Algemeen oordeel De auditor is tot dat oordeel gekomen doordat er bij meer dan 10 onderwerpen niet wordt voldaan aan de wettelijk gestelde eisen. Met name op werking zijn nog veel stappen te zetten. Daarom heeft dit geleid tot een afkeurend oordeel. Verbeteragenda De audit wijst ons op concrete verbeterpunten. We pakken deze gestructureerd aan en focussen daarbij op twee hoofdknelpunten die in meerdere onderwerpen, verdeeld over de verschillende domeinen, terugkomen. Wanneer wij deze twee hoofdknelpunten volledig aanpakken, zijn we op weg naar een positief oordeel bij de volgende externe audit over 4 jaar. a. Logging en registratie verbeteren Een groot deel van de oranje of rode scores, hangt samen met het ontbreken van goede logging (het automatisch bijhouden wie welke politiegegevens wanneer heeft gebruikt.

Een klein deel van de processen waarin Wpg-gegevens verwerkt worden vinden plaats in systemen waarin de logging niet voldoet aan de wettelijk gestelde eisen. Dit maakt dat we bij deze processen niet kunnen aantonen dat politiegegevens enkel gebruikt zijn door medewerkers die deze echt nodig hadden voor hun werk. Zoals eerder genoemd, weegt dat door in rode of oranje scores op verschillende onderwerpen. Daarom gaan we onderzoeken of we deze processen kunnen verplaatsen naar digitale omgevingen die loggingsfunctionaliteiten hebben die aansluiten bij de wettelijke vereisten. Hierbij maken we wel een integrale afweging: we wegen de noodzaak af tegen wat realistisch haalbaar is. De komende periode brengen we de opties in kaart. b. Werkinstructies doorvoeren en toetsen in de praktijk Een ander knelpunt met meerdere oranje scores op het gebied van ‘werking’ tot gevolg, is dat de laatste aanpassing van het handboek (de volledige set aan werkinstructies voor de Wpg-processen) niet meegenomen is in de audit. We hebben dit handboek aangepast, maar de update is doorgevoerd nadat de auditperiode was afgelopen. Dit verklaart grotendeels waarom de score op 'werking' vaak achterblijft bij 'opzet' en 'bestaan'. Op papier staat inmiddels de juiste werkwijze beschreven, maar tijdens de auditperiode werkten medewerkers nog volgens de oude instructies.

De verwachting is daarom dat een deel van de huidige oranje scores bij een nieuwe toets groen zou zijn. De komende periode richten we ons erop dat medewerkers de nieuwe werkinstructies kennen en hier ook naar handelen.

Gemeente Nijmegen

Pagina 2 van 3

Positieve noot Hoewel het resultaat van de audit teleurstellend is, zijn er ook positieve ontwikkelingen. De verbeteringen sinds de vorige audit in 2021 zijn flink. De auditor constateert ook dat er een belangrijke verbetering ten opzichte van de voorgaande audit is gezet. Om dit meer concreet te maken: bij de vorige externe audit in 2021 scoorden we op alle domeinen bij veel meer onderdelen rood of oranje dan nu het geval is. Waar we toen nog fundamentele tekortkomingen hadden in de basis, zijn die grotendeels weggewerkt. De huidige tekortkomingen liggen voornamelijk op het gebied van logging en de doorvertaling van instructies naar de praktijk – beide concrete punten waar we nu op inzetten. De uitdaging is nu om de stijgende lijn door te zetten en de resterende tekortkomingen aan te pakken via het beschreven verbetertraject.

Vervolg Hoewel we veel verbetering zien ten opzichte van de vorige externe audit, realiseert het college zich dat er nog veel werk aan de winkel is. Daarom zijn we een Wpg-verbetertraject gestart dat zich met name richt op de twee hoofdknelpunten uit de verbeteragenda: het verbeteren van logging en registratie, en het doorvoeren en toetsen van werkinstructies in de praktijk. De FG wordt hierin betrokken. Dit traject moet leiden tot naleving van onze wettelijke verplichtingen. Deze verbeteringen voeren we de komende jaren door. We communiceren hierover met de Raad in de halfjaarlijkse raadsbrief over de voortgang op privacy en informatiebeveiliging. De eerste update volgt in de raadsbrief in het najaar. Dan is de hercontrole op de auditrapportage ook uitgevoerd. Daarin nemen we de voortgang van de verbeteragenda met betrekking tot de Wpg mee. Onze inzet is om zo snel mogelijk te voldoen aan de wettelijk gestelde verplichtingen en bij de volgende externe audit een positief oordeel te ontvangen.

Hoogachtend, Het college van burgemeester en wethouders van Nijmegen

A.P.W. van de Klift gemeentesecretaris

H.M.F. Bruls burgemeester

Gemeente Nijmegen

Pagina 3 van 3