Wpg-beleid Brabantse Waterschappen 2025 – 2027

1.1 Over dit document

De Wet politiegegevens (Wpg) is een Nederlandse wet die de rechten en plichten regelt voor organisaties die politiegegevens verwerken, waaronder waterschappen die werken met Buitengewoon Opsporingsambtenaren (BOA’s). Politiegegevens zijn persoonsgegevens die worden verwerkt in het kader van opsporing en handhaving.

Dit document is in het bijzonder bestemd voor zowel de BOA’s, als voor de bevoegd functionaris, FG, CISO, administratief personeel, beleidsmedewerkers, leidinggevenden, (privacy)adviseurs en auditors die in aanraking komen met politiegegevens.

1.2 Relatie met de applicatie BRS

De Brabantse Waterschappen hebben ervoor gekozen om de Wpg voor een belangrijk deel te implementeren in de applicatie BRS (BOA Registratie Systeem). Dit document kan niet los van die implementatie worden gezien. Een deel van de taken en verplichtingen die de Wpg aan de Brabantse Waterschappen oplegt is in deze applicatie geïmplementeerd en geborgd. Waar dit van toepassing is zal dit document dan ook naar BRS verwijzen.

1.3 Wpg en AVG

Waterschappen die werken met BOA’s, moeten zorgen voor een duidelijk beleid en procedures die voldoen aan zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wpg.

De AVG is niet van toepassing op gegevens die worden verwerkt voor de opsporing of vervolging van strafbare feiten. Voor dat soort gegevens geldt de Wpg. Dit Wpg-beleid document staat daarom naast het Privacy beleid Brabantse Waterschappen.

1.4 Missie van het waterschap m.b.t. het beschermen van politiegegevens

Het waterschap wil een betrouwbare overheid zijn voor de burgers, een betrouwbare partner voor andere overheden, bedrijven en organisaties en een betrouwbare werkgever voor zijn medewerkers. Het waterschap wil daarom de politiegegevens die door het waterschap worden verwerkt optimaal beschermen. Het waterschap draagt zorg voor:

• •

  Voldoende technische en organisatorische beveiliging van politie- en persoonsgegevens (o.m. op basis van de Baseline Informatiebeveiliging Overheid, kortweg BIO);

• •

  Bewustwording bij het bestuur, management en de medewerkers over de juiste verwerking van politie en persoonsgegevens (door middel van onder andere Wpg trainingen, berichten op Spraakwater, richtlijnen/protocollen);

• •

  Het kunnen uitoefenen door betrokkene van zijn rechten (beschreven in de privacyverklaring Wpg op de websites van de drie Brabantse waterschappen).

1.5 Het waterschap en het verwerken van Politiegegevens

Persoonsgegeven

Persoonsgegevens zijn gegevens betreffende een identificeerbaar of geïdentificeerde natuurlijke persoon. Het gaat dus om alles dat in verband kan worden gebracht met een natuurlijke persoon:

naam, foto, telefoonnummer, personeelsnummer, maar ook een bankrekeningnummer, gps-positie of kenteken. Audio-en video-opnames zijn ook persoonsgegevens.

Belangrijk is dat de persoon nog niet geïdentificeerd hoeft te zijn. Het is al een persoonsgegeven als het tot identificatie kán leiden.

Bijzondere persoonsgegevens

Binnen de AVG en Wpg worden bijzondere categorieën persoonsgegevens omschreven als gevoelige gegevens die extra bescherming vereisen vanwege hun aard. De bijzondere categorieën persoonsgegevens omvatten onder andere:

• 1.

  Biometrische identificatiegegevens

• 2.

  Gezondheidsgegevens

• 3.

  Juridische gegevens, strafrechtelijke veroordelingen en/of opgelegde verboden

• 4.

  Beeld-, audio- of video-opnamen (voor bijzondere persoonsgegevens)

• 5.

  Filosofische of religieuze overtuigingen

• 6.

  Politieke overtuigingen

• 7.

  Raciale en etnische gegevens

• 8.

  Seksuele gegevens

• 9.

  Vakbondslidmaatschap

Deze categorieën persoonsgegevens worden als bijzonder beschouwd omdat ze informatie bevatten die zeer persoonlijk is en waarvan de verwerking grote gevolgen kan hebben voor de betrokkenen.

Daarom vereist de Wpg dat dergelijke gegevens alleen mogen worden verwerkt als het strikt noodzakelijk is voor de uitvoering van de wettelijke taken van de politie en dat er passende beveiligingsmaatregelen worden getroffen om deze gegevens te beschermen.

Politiegegeven

Een politiegegeven is een persoonsgegeven of een bijzonder persoonsgegeven dat verwerkt wordt in het kader van de opsporingstaak. Hiervoor geldt de Wpg. Een politiegegeven is dus een specifieke versie van een persoonsgegeven.

2.1 Scope

Dit Wpg-beleid is van toepassing op de verwerking van politiegegevens die zich bevinden binnen de informatiehuishouding van het gehele waterschap en op de informatie-uitwisseling van het waterschap met andere organisaties.

Binnen de scope van dit beleid vallen ook de diensten die door externe partijen worden uitgevoerd namens het waterschap. Voor deze diensten en dienstverlening geldt dat desbetreffende partijen zich aansluiten bij het beleid van het waterschap en de hieruit voortkomende beveiligingsmaatregelen.

2.2 Bereik

Locaties waterschap:

De Wpg en daarmee ook dit beleid is van toepassing:

• •

  op alle locaties van het waterschap: hoofdkantoor, districts- of regiokantoren, gemalen, rioolwaterzuiveringsinstallaties en objecten in beheer van het waterschap;

• •

  op iedere locatie waar medewerkers zich met persoonsgegevens van het waterschap bevinden (veldwerk, thuiswerken) al dan niet ondersteund met mobiele apparatuur 1 .

Waar bevinden zich de politiegegevens?

De Wpg en daarmee ook dit beleid geldt voor politiegegevens:

• •

  die geautomatiseerd worden verwerkt;

• •

  die in een bestand zijn opgenomen;

• •

  die bedoeld zijn om in een bestand te worden opgenomen;

• •

  die op papier worden verwerkt.

Ook kunnen politiegegevens van het waterschap door derden verwerkt worden, waarbij het waterschap verwerkingsverantwoordelijke blijft.

Het Wpg-beleid geldt voor:

• •

  bestuurders;

• •

  alle medewerkers van het waterschap, inclusief tijdelijk personeel, ingehuurd personeel en stagiairs.

2.3 Werking en evaluatie

Om te voldoen aan de Wpg-wetgeving moeten alle organisaties waar BOA’s actief zijn eens in de

vier jaar een externe audit laten uitvoeren. De resultaten van deze audit moeten, conform een vast rapportageformat, aan de Autoriteit Persoonsgegevens worden opgeleverd.

Naast de verplichte externe audit, wordt de werking van dit Wpg-beleid door middel van een interne audit management-cyclus (PDCA) ieder jaar getoetst op juiste werking en aan de geldende normen. Indien het noodzakelijk is (zoals bijvoorbeeld bij wijziging van de toepasselijke regelgeving) wordt het Wpg-beleid tussentijds aangepast. Over de wijzigingen wordt vervolgens gecommuniceerd naar belanghebbenden.

De audits zijn verder toegelicht in paragraaf 4.2 Audits.

2.4 Verantwoordelijkheid verwerking politiegegevens

Het verwerken van politiegegevens vindt plaats in opsporing- en vervolgingsprocessen die binnen afdelingen/processen zijn belegd. Dit betekent dat management van deze afdelingen/processen binnen het waterschap de primaire verantwoordelijkheid dragen voor een goede verwerking en beveiliging van persoonsgegevens op hun afdeling en in hun processen.

Bekendheid met dit Wpg-beleid is daarvoor de minimum vereiste.

2.5 Rollen

Specifiek voor de bescherming van politiegegevens zijn de volgende rollen geïntroduceerd:

2.6 Wet- en regelgeving

Het Wpg-beleid Brabantse Waterschappen is afgeleid van de wet‐ en regelgeving die op het waterschap van toepassing is. Voor privacy en Wpg is de meest relevante regelgeving:

• •

  Algemene Verordening Gegevensbescherming (AVG);

• •

  Uitvoeringswet Algemene verordening gegevensbescherming (UAVG).

• •

  Wet politiegegevens (Wpg)

• •

  Algemene Wet Bestuursrecht (Awb)

• •

  Besluit Politiegegevens buitengewoon opsporingsambtenaren

2.7 Landelijke en Europese ontwikkelingen

Landelijke ontwikkelingen

• 1)

  Aanpassing in Nationale Regelgeving:

  De Wpg wordt regelmatig aangepast om te voldoen aan nieuwe inzichten en ontwikkelingen op het gebied van gegevensbescherming en privacy. Recente wijzigingen hebben betrekking op de versterking van de beveiliging van politiegegevens en de implementatie van strengere controlemechanismen. Dit is noodzakelijk om te voldoen aan de steeds strengere eisen op het gebied van privacy en gegevensbescherming.

• 2)

  Toezicht en Handhaving:

  De AP heeft haar rol als toezichthouder uitgebreid en legt meer nadruk op handhaving van de Wpg. Dit betekent dat er strengere controles en audits plaatsvinden om te garanderen dat organisaties die politiegegevens verwerken, zoals gemeenten en waterschappen, voldoen aan de wettelijke eisen.

Europese ontwikkelingen

• 1)

  Cyber Resilience Act:

  De EU werkt aan de "Cyber Resilience Act", die gedetailleerde cyber security-eisen stelt voor producten met digitale elementen, waaronder hardware en software. Dit heeft implicaties voor de verwerking van politiegegevens, aangezien producten die dergelijke gegevens verwerken moeten voldoen aan strenge beveiligingseisen om te voorkomen dat gevoelige gegevens in verkeerde handen vallen.

• 2)

  Versterking van de Algemene Verordening Gegevensbescherming (AVG):

  De AVG blijft een belangrijke invloed uitoefenen op de Wpg. De EU is voortdurend bezig met het aanscherpen van de regelgeving rondom gegevensbescherming en privacy. Dit zorgt ervoor dat de Wpg in lijn blijft met Europese standaarden en dat er consistentie is in de bescherming van persoonsgegevens binnen de EU.

Conclusie

De ontwikkelingen op zowel nationaal als Europees niveau tonen een duidelijke trend naar strengere regelgeving en betere bescherming van gevoelige gegevens waaronder politiegegevens. Organisaties zoals waterschappen moeten proactief blijven om te voldoen aan deze veranderende eisen, waarbij aandacht voor beveiliging, transparantie en naleving van de wet cruciaal is. Het bijhouden van deze ontwikkelingen en het implementeren van de vereiste maatregelen zal helpen om de privacy van betrokkenen te waarborgen en boetes en andere sancties te voorkomen.

Beleid

2.8 Doelstellingen Wpg-beleid

Het waterschap is een moderne functionele overheid met oog voor wat de samenleving van ons vraagt, waarbij het waarborgen van privacy en naleven van Wpg-wetgeving voorwaarden zijn.

Dit Wpg-beleid geeft hiervoor principes die belangrijk zijn voor het afwegen van belangen.

Bij de borging van de Wpg binnen het waterschap, wordt bij het uitvoeren van deze taken rekening gehouden met de volgende uitgangspunten:

• •

  Recht op Privacy: Ieder individu heeft recht op privacy en bescherming van zijn of haar politiegegevens om nadelige gevolgen in de persoonlijke sfeer te voorkomen of te beperken.

• •

  Voldoen aan Wpg -bepalingen: Het waterschap voldoet aan de wettelijke bepalingen uit de Wpg, zoals de aantoonbaarheid van het voldoen aan de Wpg en het uitvoeren van de rechten van betrokkenen.

• •

  Risicogerichte Aanpak: Er wordt continu een afweging gemaakt tussen de verwerking en het risico dat de verwerking (mogelijk voor de betrokkene) met zich meebrengt.

• •

  Privacy by Design en by Default: Het waterschap past "privacy by design en by default" toe bij het ontwikkelen van nieuwe informatiesystemen, waardoor er al in de beginfase rekening wordt gehouden met de bescherming van politiegegevens. De aandacht voor privacy blijft gedurende de gehele levensduur van het systeem bestaan om de beveiliging van politiegegevens te optimaliseren.

Door deze uitgangspunten te volgen, zorgt het waterschap ervoor dat de verwerking van politiegegevens in lijn is met de Wpg en dat de privacy van betrokkenen gedurende de gehele levenscyclus van de gegevensverwerking wordt gewaarborgd.

2.9 Sturing

Het proces "verwerken en beschermen politiegegevens" is een cyclisch proces (PDCA) en wordt opgenomen in de bestaande planning & control cyclus van de organisatie. Dit houdt in dat de activiteiten die in het kader van de Wpg moeten worden uitgevoerd in een meer jaarlijkse planning zijn opgenomen.

2.10 Risicomanagement

Beschermen en verwerken politiegegevens is gebaseerd op risicomanagement.

Omdat er beperkingen zijn in menskracht, geld en middelen wordt vastgesteld waar de inzet ervan het meeste effect heeft op het bijdragen aan de organisatiedoelstellingen en het voorkomen van schade voor betrokkenen en aan de organisatie.

2.11 Uitgangspunten voor privacy

De uitgangspunten voor politiegegevens zijn in de volgende 11 paragrafen verwoord.

2.12 Rechten van betrokkenen

Betrokkenen hebben op grond van de Wpg diverse rechten. De rechten van betrokkenen onder de Wpg zijn vergelijkbaar met, maar in bepaalde opzichten ook strenger en specifieker dan die onder de AVG. De verschillen zijn inzichtelijk gemaakt in de onderstaande tabel.

• 1.

  Recht op Inzage

  Betrokkenen hebben het recht om te weten of hun persoonsgegevens worden verwerkt en, indien dat het geval is, om toegang te krijgen tot die gegevens en bepaalde informatie daarover.

• 2.

  Recht op Rectificatie

  Betrokkenen kunnen verzoeken om onjuiste persoonsgegevens te corrigeren.

  Dit recht is van toepassing als de gegevens onjuist of onvolledig zijn.

• 3.

  Recht op Verwijdering

  Betrokkenen hebben het recht om te verzoeken dat hun persoonsgegevens worden verwijderd als deze onrechtmatig worden verwerkt of niet langer nodig zijn voor de doeleinden waarvoor ze zijn verzameld of verwerkt.

• 4.

  Recht op Beperking van de Verwerking

  Betrokkenen kunnen de verwerking van hun persoonsgegevens beperken onder bepaalde omstandigheden, zoals wanneer de juistheid van de gegevens wordt betwist.

• 5.

  Recht van Bezwaar

  Betrokkenen hebben het recht om bezwaar te maken tegen de verwerking van hun persoonsgegevens, tenzij de verwerking noodzakelijk is voor de uitvoering van de taak van de verwerkingsverantwoordelijke.

• 6.

  Recht op Kennisgeving van Datalekken

  Betrokkenen moeten worden geïnformeerd over datalekken die waarschijnlijk een hoog risico inhouden voor hun rechten en vrijheden, tenzij er specifieke redenen zijn om deze kennisgeving uit te stellen of achterwege te laten, bijvoorbeeld in het belang van een strafrechtelijk onderzoek.

Het waterschap draagt er zorg voor dat betrokkenen op transparante en eenvoudige wijze hun Wpg rechten kunnen uitoefenen conform de wettelijke voorwaarden en termijnen.

Het waterschap biedt een digitaal formulier aan waarmee via de website van het waterschap op eenvoudige wijze door betrokkene een verzoek kan worden gedaan inzake de verwerking van de Wpg persoonsgegevens.

De betrokkene ontvangt uiterlijk binnen de daarvoor gestelde wettelijke termijn een reactie op zijn verzoek aangaande de verwerking van zijn Wpg persoonsgegevens.

2.13 Logging

De Wpg verplicht tot het langs elektronische weg vastleggen van de volgende verwerkingen van politiegegevens:

Het verzamelen, wijzigen, raadplegen, verstrekken, doorgeven, combineren of vernietigen van politiegegevens.

Deze logging wordt uitsluitend gebruikt voor de controle van de rechtmatigheid van de gegevensverwerking, voor interne controles, ter waarborging van de integriteit en de beveiliging van de politiegegevens en voor strafrechtelijke procedures.

2.14 Datalek

Alle constateringen en vermoedens van een inbreuk in verband met politiegegevens worden gemeld en vastgelegd.

Het waterschap heeft een helder en up-to-date datalekprotocol, waarmee effectief en efficiënt gehandeld kan worden bij een geconstateerd (mogelijk) datalek:

• •

  melden van een datalek door een burger kan telefonisch (telefoonnummer op de website) tijdens openingstijden van het kantoor en 24 uur per dag 7 dagen per week via het contactformulier op de website;

• •

  de Helpdesk (ICT) is de eerste lijn waar een (mogelijk) datalek intern gemeld wordt en volgens het protocol wordt opgepakt;

• •

  het protocol voorziet in het doen van een melding bij de Autoriteit Persoonsgegevens als dat aan de orde is;

• •

  het datalekprotocol geeft aan wanneer opschaling naar een calamiteit aan de orde is.

• •

  hoe te handelen bij een calamiteit betreffende persoonsgegevens is opgenomen in de calamiteitenplannen van het waterschap;

• •

  een evaluatie van het datalek ter lering en verbetering is een verplichte stap in het protocol.

• •

  eventuele melding bij de toezichthoudende autoriteit van een datalek vindt na consultatie met de FG plaats.

In aanvulling op het (AVG) Datalek protocol, geldt voor Wpgdatalek protocol het volgende:

• 1)

  Voor politiegegevens kan de melding aan de AP worden uitgesteld, beperkt of achterwege gelaten als dat de opsporing, vervolging of berechting zou kunnen belemmeren.

• 2)

  Alle incidenten waarbij de beveiliging van persoonsgegevens is geschonden (zoals datalekken), moeten schriftelijk worden vastgelegd.

  Dit omvat de feiten rond de inbreuk, de gevolgen ervan, en de maatregelen die zijn genomen om de inbreuk te corrigeren.

2.15 Documentatieplicht

Het waterschap heeft een documentatieplicht. Hiervoor zijn processen ingericht om het volgende vast te leggen:

• •

  De doelen van de onderzoeken;

• •

  Alle verstrekkingen of doorgiftes van politiegegevens;

• •

  De doeleinden voor artikel 9 onderzoeken (zie ook Bijlage 3 – Wettelijke grondslagen voor het verwerken van persoonsgegevens);

• •

  Feitelijke of juridische redenen die ten grondslag liggen aan een afwijzing van een inzageverzoek;

• •

  Datalekken.

Deze documentatieplicht is geborgd in BRS.

2.16 Noodzakelijkheid, rechtmatigheid, vermelding herkomst en doelbinding

Politiegegevens worden alleen verwerkt als dat nodig is voor de in de wet genoemde doeleinden.

Het waterschap borgt dat politiegegevens niet op een onrechtmatige wijze worden verwerkt en dat er altijd sprake is van doelbinding. De herkomst van gegevens voor artikel 9 verwerkingen wordt altijd vermeld.

Hiervoor gelden deze maatregelen:

• 1.

  Politiegegevens worden slechts verwerkt voor zover dit noodzakelijk is voor de bij of krachtens de Wpg geformuleerde doeleinden.

• 2.

  Politiegegevens worden slechts verwerkt voor zover dit behoorlijk en rechtmatig is, de gegevens rechtmatig zijn verkregen en de gegevens, gelet op de doeleinden waarvoor zij worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.

• 3.

  Politiegegevens die zijn verkregen voor een doel, kunnen worden verwerkt voor een ander doel, voor zover deze Wpg uitdrukkelijk daarin voorziet en de verwerking voor dat andere doel noodzakelijk is en in verhouding staat tot dat doel.

• 4.

  Politiegegevens kunnen voor een ander doel worden verwerkt door personen en instanties die bij of krachtens de Wpg met het oog op een zwaarwegend algemeen belang of wetgeving van de Europese Unie zijn aangewezen.

• 5.

  Bij de verwerking van politiegegevens op grond van de artikelen 9 en 10 worden de herkomst van deze gegevens en de wijze van verkrijging vermeld.

Het waterschap voert aantoonbaar periodiek controles uit of vast te stellen of de bovenstaande maatregelen worden gevolgd.

Ten minste jaarlijks controleert de FG de dossiers en verwerkingen op noodzaak, rechtmatigheid en doelbinding.

2.17 Proportionaliteit, noodzakelijkheid en subsidiariteit

Voor alles wat je met politiegegevens doet, geldt dat je moet beoordelen of:

• 1)

  De verwerking in verhouding staat tot het doel dat je hebt (proportionaliteit);

• 2)

  Alle gegevens daadwerkelijk noodzakelijk zijn (noodzakelijkheid);

• 3)

  Je het doel kunt bereiken op een manier, die minder inbreuk maakt op de privacy van betrokkenen (subsidiariteit).

2.18 Juistheid en volledigheid politiegegevens

Het waterschap ziet toe dat de verwerkingsverantwoordelijke procedures heeft opgesteld en controles heeft ingericht op de kwaliteit ten behoeve van de borging van de juistheid en nauwkeurigheid van politiegegevens. Daarnaast zijn er procedures opgesteld voor het vernietigen en rectificeren van politiegegevens.

Hiervoor gelden deze maatregelen:

• 1.

  Het opnemen van maatregelen als gegevens onjuist worden verstrekt.

• 2.

  Het opnemen van maatregelen t.b.v. borging van juistheid en volledigheid.

• 3.

  Het inrichten van de maatregelen t.b.v. juistheid en volledigheid.

• 4.

  Het inrichten van de maatregelen t.b.v. onjuist verstrekte gegevens.

• 5.

  Het zichtbaar toezichthouden door de FG voor de Wpg op juistheid en volledigheid.

2.19 Onderscheid feiten en persoonlijk oordeel

Het waterschap ziet toe dat organisatorische en technische maatregelen zijn ingericht om politiegegevens die op feiten zijn gebaseerd, voor zover mogelijk, te onderscheiden van politiegegevens die op een persoonlijk oordeel zijn gebaseerd

2.20 Boetes

Het niet of niet juist naleven van de Wpg, kan leiden tot een boete van de Autoriteit Persoonsgegevens (AP). De AP kan ook andere maatregelen opleggen, zoals een last onder dwangsom, een verwerkingsverbod, een berisping of een waarschuwing.

Naast de basisboete kan de boete worden aangepast op basis van verschillende factoren, zoals de aard en ernst van de overtreding, de getroffen maatregelen om de schade te beperken, en de mate van samenwerking met de toezichthouder.

In Paragraaf 2.5 Rollen, zijn de specifieke rollen voor de Wpg benoemd (de FG, de Bevoegd Functionaris en de BOA). Naast deze specifieke Wpg rollen hebben ook andere functies binnen de organisatie verantwoordelijkheden in het kader van de Wpg.

Deze verantwoordelijkheden voor het verwerken van persoonsgegevens conform wet- en regelgeving zijn in de tabel hieronder opgenomen.

4.1 Controles

Self-assessments en veiligheidscontroles ten aanzien van de effectiviteit van de geïmplementeerde maatregelen ter beveiliging van persoonsgegevens worden uitgevoerd onder

verantwoordelijkheid van de betreffende managers/proceseigenaren van het waterschap. Verbeterpunten die naar aanleiding van deze controles worden vastgesteld, zijn onderdeel van de planning in de reguliere PDCA cyclus van de organisatie.

Geconstateerde afwijkingen worden als incident in het incident registratiesysteem vastgelegd, afgehandeld en gerapporteerd.

Een deel van de controles is binnen BRS geborgd, een deel zal daarbuiten in de organisatie belegd moeten worden.

4.2 Audits

Binnen het waterschap worden in het kader van kwaliteitsmanagement periodiek in- en externe audits uitgevoerd op informatiebeveiligingsaspecten, waaronder ook de beveiliging van politiegegevens.

Jaarlijks wordt er een interne audit uitgevoerd. Elke vier jaar vindt een externe audit plaats.

Naar eigen inzicht van het waterschap kunnen er ook op ad hoc basis interne of externe audits worden uitgevoerd. Verbeterpunten die naar aanleiding van interne en/of externe audits worden vastgesteld, worden onderdeel van de reguliere rapportagecyclus.

De interne en externe auditor voeren de Wpg-audit uit aan de hand van de handreiking van NOREA4 .

Daarin staat een richtlijn 3000-D normenkader van normen die de externe auditor over een periode van 4 jaar toetst. Voor veel normen uit dit normenkader is het echter niet wenselijk en soms zelfs onmogelijk, om deze over de cyclus van 4 jaar te toetsen.

Dit betekent dat niet ieder jaar alle normen getoetst hoeven te worden. Wel is verplicht dat uiteindelijk in die 4 jaar alle normen over een periode van 12 maanden zijn getoetst.

In de NOREA handreiking zijn 7 normen als toezicht maatregelen aangeduid.

Deze toezicht maatregelen moeten wel over de gehele cyclus van 4 jaar toetsen.

Het is daarom belangrijk om deze toezicht maatregelen ook tijdens iedere jaarlijkse interne audit te toetsen:

• 1.

  Jaarlijks toezicht van de FG op de doelbinding.

• 2.

  Controles op de noodzakelijkheid en rechtmatigheid door de FG (of PO).

• 3.

  Controles op het vernietigen en rectificeren van politiegegevens.

• 4.

  Controles op uitvoering DPIA’s.

• 5.

  Beschikbaarheid logbestanden.

• 6.

  Planning, uitvoering en rapportage van de interne audits.

• 7.

  Overige toezichttaken van de FG.

5.1 Bijlage 1 – Afkortingen

AP Autoriteit Persoonsgegevens

AVG Algemene verordening gegevensbescherming

BF Bevoegd Functionaris

BIO Baseline Informatiebeveiliging Overheid

BOA Buitengewoon opsporingsambtenaar

BRS BOA Registratie Systeem

BSN Burgerservicenummer

CIP Centrum Informatiebeveiliging en Privacybescherming

CISO Chief Information Security Officer

CPW Coördinatorenoverleg Privacy Waterschappen

DPIA Data Protection Impact Assessment of gegevensbeschermingseffectbeoordeling

FG Functionaris gegevensbescherming

GEB Gegevensbeschermingseffectbeoordeling of DPIA

Wpg Wet politiegegevens

5.2 Bijlage 2 – Belangrijke definities

„Persoonsgegevens”:

alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

„Verwerking”:

een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.

„Verwerkingsverantwoordelijke”:

een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoons- dan wel politiegegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

„Verwerker”:

een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoons- dan wel politiegegevens verwerkt;

„Inbreuk in verband met persoonsgegevens of politiegegevens” ( " datalek " ):

een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;

“Politiegegevens”:

Politiegegevens zijn alle gegevens die door of voor een politie-instantie worden verwerkt voor de uitvoering van de politietaak. Deze gegevens zijn specifiek bedoeld voor het voorkomen, opsporen, onderzoeken en vervolgen van strafbare feiten en voor het handhaven van de openbare orde.

De Wet politiegegevens (Wpg) legt de nadruk op het verwerken van deze gegevens op een wijze die de privacy van individuen beschermt, terwijl het mogelijk maakt om effectief politiewerk te verrichten.

Kenmerken van Politiegegevens:

• 1.

  Specifiek Doel:

  Politiegegevens worden verzameld en verwerkt voor duidelijk gedefinieerde politietaken. Dit omvat activiteiten zoals criminaliteitsbestrijding, handhaving van de openbare orde, en het bieden van hulp bij noodsituaties.

• 2.

  Gevoelig Karakter:

  Deze gegevens kunnen zeer gevoelig zijn en betrekking hebben op strafrechtelijke feiten, verdenkingen, en andere informatie die relevant is voor politieonderzoeken.

• 3.

  Beperkte Toegang:

  Toegang tot politiegegevens is strikt gereguleerd en beperkt tot diegenen die deze gegevens nodig hebben voor de uitvoering van hun politietaken.

• 4.

  Bewaartermijnen:

  De Wpg stelt specifieke bewaartermijnen vast voor politiegegevens, waarbij gegevens niet langer worden bewaard dan noodzakelijk is voor het doel waarvoor ze zijn verzameld.

• 5.

  Verwerking en Beveiliging:

  De verwerking van politiegegevens moet voldoen aan strenge beveiligingsmaatregelen om de integriteit, vertrouwelijkheid en beschikbaarheid van de gegevens te waarborgen.

Voorbeelden van Politiegegevens:

• •

  Strafrechtelijke Verleden:

  Informatie over eerdere veroordelingen en strafbare feiten.

• •

  Onderzoekgegevens:

  Gegevens verzameld tijdens lopende politieonderzoeken, zoals getuigenverklaringen en bewijsmateriaal.

• •

  Opsporingsinformatie:

  Gegevens over personen die worden verdacht van betrokkenheid bij strafbare feiten.

• •

  Incidentrapportages:

  Verslagen van incidenten die de politie heeft afgehandeld, zoals meldingen van geweld, diefstal, of overlast.

Door het zorgvuldig beheren en beveiligen van politiegegevens, draagt het waterschap bij aan het waarborgen van zowel de privacy van individuen als de effectiviteit van politietaken. De Wpg biedt een duidelijk kader voor hoe deze gevoelige gegevens op een verantwoordelijke en wettelijk conforme manier moeten worden behandeld.

5.3 Bijlage 3 – Wettelijke grondslagen voor het verwerken van persoonsgegevens

De AVG kent zes grondslagen voor de verwerking van persoonsgegevens.

Een verwerking van persoonsgegevens voor AVG moet minimaal op één van de zes grondslagen zijn gebaseerd.

De Wpg heeft een andere invalshoek. De Wpg stelt dat de verwerking van politiegegevens gebaseerd moet zijn op een noodzakelijke grondslag die specifiek verband houdt met de uitvoering van de politietaak.

Daarnaast kent de Wpg drie verwerkingsgrondslagen waarvan er (tot op heden) slechts twee op de (BOA’s van de) waterschappen van toepassing zijn. Dit zijn de volgende grondslagen:

Artikel 8: Dagelijkse politietaak

Persoonsgegevens die verwerkt worden in het kader van de dagelijkse opsporingstaak, vallen onder artikel 8 van de Wpg. Dit gaat over zaken als foutief aanbieden van afval maar ook het proces verbaal opmaken bij onrechtmatig afgeschoten wild of tuinafvaldump.

Artikel 9: Gerichte verwerkingen

Dit artikel maakt het mogelijk om gegevens te verwerken die specifiek gericht zijn op bepaalde personen of concrete gebeurtenissen. De inbreuk op de privacy is bij deze verwerkingen groter dan bij artikel 8. Het gaat hier bijvoorbeeld om onderzoeken waarbij bijzondere opsporingsbevoegd heden worden ingezet, zoals het plaatsen van een baken onder een auto bij verdenking van stroperij of stelselmatige observatie bij verdenking van een milieudelict.

Nota bene: Artikel 13 Ondersteunende taken is niet op het waterschap van toepassing.

Het waterschap verwerkt alleen persoonsgegevens als daar een wettelijke grondslag voor is. In onderstaande tabel zijn de grondslagen van de AVG en de Wpg met elkaar vergeleken.

5.4 Bijlage 4 – Bewaartermijnen Wpg

Afhankelijk van de grondslag van de verwerking van politiegegevens worden de onderstaande bewaartermijnen gehanteerd.

5.5 Bijlage 5 – Geraadpleegde bronnen

• •

  Wet politiegegevens,

• •

  Algemene verordening Gegevensbescherming, 27 april 2016, Europees Parlement

• •

  Uitvoeringswet Avg

• •

  Praktijkhandboek Wpg, Suzanne Franken, september 2023

• •

  Handboek Handhaving, Waterschap De Dommel, 1 februari 2024

• •

  Plan van aanpak Wpg versie 2, Waterschap De Dommel

• •

  BIO Risicoassessment Informatieveiligheid en Privacy Wpg v1.0, Waterschap Aa en Maas

• •

  DPIA BRS v1.2

• •

  NOREA Handreiking Privacy audit Wpg voor boa’s versie 2024 1.0, 3 september 2024

• •

  FAQ – Privacy Audit Wpg versie 1, NOREA, 17 november 2021

• •

  De 10 dingen die je wilt weten over de Wpg - Verdonck, Klooster & Associates (vka.nl)