Wpg (Wet politiegegevens): complete gids voor politie en boa

Wat is de Wet politiegegevens? Uitleg en achtergrond

Wat is de Wpg?

De Wet politiegegevens (Wpg) regelt hoe buitengewoon opsporingsambtenaren (boa’s), de politie en andere opsporingsinstanties om dienen te gaan met persoonsgegevens die zij verwerken in het kader van de opsporing van strafbare feiten.

• Persoonsgegevens zijn alle gegevens die in verband kunnen worden gebracht met een natuurlijke persoon, zoals iemands naam, BSN, adres, gezondheidsgegevens en gegevens over zwartrijden.
• Verwerken houdt in: zo ongeveer alles wat je met persoonsgegevens kunt doen. Enkele voorbeelden: vastleggen, opslaan, raadplegen, bijwerken of wijzigen, gebruiken, doorsturen of ter beschikking stellen, afschermen en vernietigen.

Gemeenten die boa’s inzetten hebben regelmatig met deze wet te maken. Verwerkt een boa namelijk persoonsgegevens in het kader van de strafrechtelijke handhaving (opsporing) – bijvoorbeeld bij het opmaken van een proces-verbaal – dan is de Wpg van toepassing.

Zodra de Wpg van toepassing is, spreek je niet langer van ‘persoonsgegevens’, maar van ‘politiegegevens’. Dezelfde gegevens – iemands naam bijvoorbeeld – kunnen dus (‘gewoon’) persoonsgegevens óf politiegegevens zijn, afhankelijk van de context waarin ze worden verwerkt!

Waarom bestaat de Wpg?

Politiemensen, boa’s en andere opsporingsambtenaren komen tijdens hun werkzaamheden vaak in aanraking met persoonsgegevens. Iedereen heeft recht op bescherming van diens persoonsgegevens – ook tegenover opsporingsinstanties.

De AVG en de Wpg sluiten elkaar uit – maar waar ligt de grens?

Hoewel politiegegevens een bepaald type persoonsgegevens zijn, staan de AVG en de Wpg los van elkaar; het zijn twee afzonderlijke wettelijke regimes. Met andere woorden: voor iedere verwerking geldt altijd óf de ene óf de andere wet.

Voor organisaties die boa’s inzetten is het belangrijk om goed inzicht te hebben in welke verwerkingen onder welk regime vallen. Dat heeft namelijk gevolgen voor onder andere de toepasselijke verplichtingen, de rechten van betrokkenen en de scope en resultaten van de jaarlijkse audit.

Een handig ezelsbruggetje is de vraag: “welke pet heeft de boa op?”

Treedt de boa op als toezichthouder, en heeft deze dus diens toezichtspet op, dan is de AVG van toepassing op de verwerkingen die in dat kader plaatsvinden. Handelt de boa echter in het kader van diens opsporingstaak – en draagt deze dus diens opsporingspet – dan geldt de Wpg.

Maar waar ligt de grens tussen toezicht en opsporing precies? In de praktijk is dat niet altijd eenvoudig vast te stellen. Door het ontbreken van gezaghebbende rechtspraak bestaan hierover momenteel verschillende opvattingen.

Volgens de ene benadering begint de Wpg te gelden zodra sprake is van een concrete aanleiding voor opsporing. Volgens een andere benadering is bepalend het moment waarop de boa besluit strafrechtelijk te handhaven. Deze onduidelijkheid leidt in de praktijk soms tot discussie over de vraag wanneer een verwerking precies onder welke wet valt – zie onze blog over handhaving van Mulderfeiten.

AVG vs. Wpg: hoe verschillen de twee regimes in de praktijk?

Maar wat betekent dit bijzondere privacyregime nu in de praktijk? Kort gezegd: de AVG en de Wpg lijken op veel punten op elkaar, maar de laatste is op sommige vlakken strenger en specifieker. In deze sectie lees je over de belangrijkste verschillen tussen beide regimes.

Rechten van betrokkenen anders vormgegeven

Een van de meest opvallende verschillen zit in de rechten van betrokkenen. Net zoals in de AVG heeft de betrokkene recht op o.a. inzage, rectificatie en vernietiging van gegevens, maar onder de Wpg kunnen deze rechten vaker worden beperkt.

Zo kan een verzoek om vernietiging van politiegegevens worden afgewezen “ter vermijding van nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen”. Juist omdat politiegegevens worden gebruikt voor opsporing en handhaving, kent de Wpg ruimere uitzonderingen op de rechten van betrokkenen. Het zou natuurlijk ook best onhandig zijn als een verdachte in een strafzaak zijn politiedossier net zo makkelijk zou kunnen laten verwijderen als zijn account op een webwinkel…

Autorisaties en toegang

Waar de AVG slechts in brede zin spreekt over ‘passende technische en organisatorische maatregelen’, is de Wpg specifieker en verplicht deze tot het onderhouden van een systeem van autorisaties. Dit betekent onder meer dat je alleen politiegegevens mag verwerken (dus ook: inzien!) als je daartoe gemachtigd bent.

Dat betekent gelukkig niet dat alleen politiemensen en boa’s politiegegevens mogen verwerken. Ook personen zonder opsporingsbevoegdheid kunnen onder voorwaarden worden geautoriseerd, bijvoorbeeld om administratieve werkzaamheden m.b.t. processen-verbaal uit te voeren, bezwaar- of beroepschriften te behandelen of inzageverzoeken af te handelen. Ook uitzendkrachten, onderzoekers en stagiairs kunnen op deze manier met politiegegevens aan de slag.

Mocht je niet-boa’s willen autoriseren, dan moet je dit zorgvuldig regelen:

• Inhoudelijk: in de autorisatie moet o.a. worden vastgelegd welke gegevens mogen worden verwerkt, voor welk doel dat gebeurt en hoe lang de autorisatie geldig is. Ook moet het autorisatieformulier worden ondertekend door iemand die daartoe bevoegd is.
• Organisatorisch: er moeten goed werkende processen bestaan voor het toewijzen, wijzigen, intrekken en controleren van autorisaties. De autorisaties dienen minstens twee keer per jaar aantoonbaar gecontroleerd te worden. Dit betekent dat organisaties niet alleen de controle moeten uitvoeren, maar ook moeten kunnen laten zien dát die controle heeft plaatsgevonden.

Juist op het organisatorische vlak zien wij in de praktijk regelmatig tekortkomingen. Medewerkers wisselen van functie, vallen langdurig uit of verlaten de organisatie, stagiairs ronden hun stage af, tijdelijke krachten vertrekken… Autorisaties blijven dan soms onbedoeld actief, en zonder een goed werkende controleprocedure blijven dit soort afwijkingen vaak onopgemerkt.

Goed autorisatiebeheer is ook essentieel om datalekken te voorkomen. Immers: hoe meer mensen toegang hebben tot politiegegevens dan strikt noodzakelijk, hoe groter het risico op onbevoegde inzage en ongewenste verspreiding.

Gegevens delen met andere organisaties

Anders dan de AVG kent de Wpg voor het delen van politiegegevens met andere organisaties een specifiek kader. Lees hierover meer in sectie 4: politiegegevens delen met andere organisaties.

Logging verplicht

De Wpg schrijft voor dat heel precies wordt bijgehouden wie wanneer wat met politiegegevens heeft gedaan. Organisaties moeten daarom verschillende verwerkingen elektronisch loggen, waaronder het verzamelen, raadplegen, wijzigen, verstrekken (zie hierboven) en vernietigen van politiegegevens.

Hier zit een logische gedachte achter: als politiegegevens worden verwerkt, moet achteraf kunnen worden vastgesteld of dit rechtmatig heeft plaatsgevonden. En daarvoor is het nodig om te weten welke persoon op welk moment een bepaalde verwerking heeft uitgevoerd.

Net als bij autorisaties is ook logging voor een belangrijk deel een organisatorische uitdaging. Logging is pas écht nuttig als de logbestanden ook daadwerkelijk beoordeeld worden, en daarom dienen organisaties hun logbestanden minimaal jaarlijks te (laten) controleren.

Logging helpt niet alleen bij het achteraf beoordelen van een verwerking, maar heeft ook een preventieve werking: medewerkers weten immers dat hun handelingen worden bijgehouden en later kunnen worden gecontroleerd. Dit verkleint de kans op onbevoegde inzage van dossiers en andere onrechtmatige verwerkingen.

Strikte bewaartermijnen

Waar onder de AVG bewaartermijnen vaak per verwerking moeten worden bepaald, schrijft de Wpg voor alle politiegegevens precieze bewaartermijnen voor. Voor het overgrote merendeel van de politiegegevens – zogeheten artikel 8-gegevens – geldt het volgende regime:

• Jaar 1: gegevens ruim toegankelijk. Vanaf de eerste verwerkingsdatum mogen artikel 8-gegevens één jaar ruim worden geraadpleegd. Deze kunnen dan bijvoorbeeld in een overzicht van afgehandelde zaken staan.

• Jaar 2-5: alleen vindbaar na gericht zoeken. De daaropvolgende vier jaar mogen de gegevens alleen met een gerichte zoekvraag worden geraadpleegd en verwerkt, bijvoorbeeld door te zoeken op een naam, adres of kenteken.

  • Na vijf jaar worden de gegevens ‘verwijderd’. In deze context betekent dit niet dat de gegevens worden gewist, maar dat zij niet langer vrij toegankelijk zijn.

• Jaar 6-10: beperkte toegang. Vervolgens worden de politiegegevens nog vijf jaar bewaard met beperkte toegang. Gedurende deze termijn mogen de gegevens normaal gesproken alleen nog gebruikt worden voor audits en controles en om klachten af te handelen. In bijzondere gevallen, en alleen in opdracht van het bevoegd gezag, mag de verwijdering ongedaan gemaakt worden.

  • Na jaar tien worden de gegevens ‘vernietigd’, wat betekent dat ze definitief worden gewist.

In de praktijk is het vrijwel altijd onmogelijk om deze bewaartermijnen handmatig te bewaken. Boa-werkgevers maken dan ook vaak gebruik van specifieke software die bewaartermijnen automatisch bewaakt en gegevens op het juiste moment verwijdert en vernietigt.

Audits

De Wpg schrijft voor dat iedere organisatie die politiegegevens verwerkt jaarlijks een audit moet laten plaatsvinden. Tijdens deze audit wordt getoetst op welke onderdelen de organisatie aan de wet voldoet, en waar nog ruimte bestaat voor verbetering. In sectie 6 lees je meer over de Wpg-audit.

Overeenkomsten tussen de AVG en de Wpg

In de vorige sectie stonden de belangrijkste verschillen tussen de AVG en de Wpg centraal. Hier lees je over de belangrijkste overeenkomsten.

Gelukkig zullen veel verplichtingen bekend voorkomen voor organisaties die al ervaring hebben met de AVG. Enkele overeenkomsten:

• Zoals eerder besproken hebben betrokkenen onder beide regimes recht op o.a. inzage, rectificatie en vernietiging van hun politiegegevens, al zijn de uitzonderingen op deze rechten hier ruimer geformuleerd dan onder de AVG.
• Beide wetten kennen een meldplicht voor datalekken, die grotendeels overeenkomen.
• Iedere organisatie die politiegegevens verwerkt is verplicht een functionaris gegevensbescherming (FG) aan te stellen. Voor gemeenten en andere overheidsinstanties zal deze verplichting al bekend zijn uit de AVG. Het is mogelijk dat de organisatie één FG voor beide wetten aanstelt, maar niet verplicht.
• Onder beide regimes is een DPIA (data protection impact assessment) verplicht bij verwerkingen die waarschijnlijk een hoog privacyrisico met zich meebrengen.
• Ook organisaties die politiegegevens verwerken moeten een verwerkingsregister bijhouden, waarin gedetailleerde informatie over iedere verwerking te vinden is. Omdat de twee wetten andere eisen stellen aan de informatie die per verwerking moet zijn vastgelegd, kiezen veel organisaties ervoor om twee aparte verwerkingsregisters bij te houden.
• Als de organisatie politiegegevens laat verwerken door een verwerker, is een verwerkersovereenkomst verplicht. De verplichtingen die beide wetten stellen aan de inhoud van de verwerkersovereenkomst komen bijna volledig overeen.
• Ook de Wpg kent aanvullende regels voor het verwerken van bijzondere politiegegevens (o.a. politiegegevens waaruit etnische afkomst, politieke opvattingen, religieuze/levensbeschouwelijke overtuiging of seksuele gerichtheid blijkt).
• In beide regimes komen de beginselen van data protection by design en data protection by default terug. Organisaties moeten hun systemen en werkprocessen zo inrichten dat politiegegevens goed worden beschermd en dat alleen die gegevens worden verwerkt die noodzakelijk zijn voor het betreffende doel.

Politiegegevens delen met andere partijen

Een complexer onderdeel van de Wpg is het delen van politiegegevens met andere partijen. Anders dan onder de AVG kent de Wpg hiervoor een specifiek systeem.

Gelukkig is de hoofdregel eenvoudig: politiegegevens zijn geheim. Deze geheimhouding geldt in de volle breedte: wanneer ze met een andere organisatie gedeeld worden, rust ook op de ontvanger een geheimhoudingsplicht.

De hamvraag is met welke organisatie je voornemens bent politiegegevens te delen. Hierbij wordt onderscheid gemaakt tussen partijen binnen ‘het Wpg-domein’ en daarbuiten.

• Binnen het Wpg-domein bevinden zich alle personen en instanties die gegevens verwerken volgens het regime van de Wpg: alle boa’s binnen én buiten de eigen organisatie, de politie, de marechaussee, de Rijksrecherche en de vier bijzondere opsporingsdiensten (BOD’en).
• Voor deze partijen geldt vrij verkeer van politiegegevens. Sterker nog: politiegegevens móeten worden gedeeld voor zover de ontvanger deze nodig heeft voor diens opsporingstaak. In het kader van een strafrechtelijk onderzoek móet een boa een politieagent dus inzage geven in een bepaald dossier als dat nodig is.
• Politiegegevens delen binnen het Wpg-domein heet ‘ter beschikking stellen’. Voor terbeschikkingstellingen geldt géén documentatieplicht; je hoeft niets op te schrijven.

Voor het delen van politiegegevens met organisaties buiten het Wpg-domein gelden andere regels.

• Buiten het Wpg-domein bevinden zich alle andere partijen: collega’s die geen boa zijn, de burgemeester, het Openbaar Ministerie, de Zorg- en Veiligheidshuizen, bureau Halt, gemeenten, scholen…
  Let op: ook de boa zelf bevindt zich buiten het Wpg-domein als deze persoonsgegevens verwerkt als toezichthouder (‘diens toezichtspet draagt’)! Dit is bijvoorbeeld het geval als deze is aangewezen de logbestanden van diens collega’s te controleren .
• Het delen van politiegegevens buiten het Wpg-domein is alleen toegestaan als de Wpg daarin voorziet. Boa’s moeten dit van tevoren dus goed nagaan.
• Politiegegevens delen met een partij buiten het Wpg-domein heet ‘verstrekken’. Voor verstrekkingen geldt juist wel een documentatieplicht; per verstrekking moeten bepaalde gegevens worden vastgelegd (o.a. de datum van de verstrekking en een omschrijving van de verstrekte gegevens). Zo is achteraf altijd duidelijk met welke partijen buiten het Wpg-domein iemands politiegegevens gedeeld zijn.
• De ontvanger van de verstrekte gegevens zal deze voor een ander doel dan opsporing gaan verwerken. Voor die partij zijn het dus ook geen politiegegevens meer, en geldt niet langer de Wpg, maar een andere gegevensbeschermingswet (vaak: de AVG).

De Wpg-officer: rol en verantwoordelijkheden

De naleving van regels voor politiegegevens raakt vrijwel alle onderdelen van een organisatie die politiegegevens verwerkt: beleid, werkprocessen, applicatiebeheer, audits en bewustwording. Veel organisaties wijzen daarom een Wpg-officer aan die de werkzaamheden op dit gebied coördineert en als aanspreekpunt fungeert voor collega’s, management, auditors en externe partijen.

Wat is een Wpg-officer?

Een Wpg-officer is vergelijkbaar met een privacy officer (PO), maar dan met specifieke expertise op het gebied van politiegegevens. Waar een privacy officer zich doorgaans bezighoudt met de AVG, die ziet op gegevensbescherming in brede zin, onderscheidt de Wpg-officer zich door diens kennis en ervaring met de specifieke regels die gelden voor politiegegevens.

De functie moet niet worden verward met die van functionaris gegevensbescherming (FG). De FG – een verplichte rol voor iedere organisatie die politiegegevens verwerkt – fungeert als onafhankelijk toezichthouder en controleert of de organisatie de privacywetgeving naleeft. De Wpg-officer zit juist dichter op de praktijk, en helpt om de verplichtingen uit de wet te vertalen naar de dagelijkse praktijk.

Het aanstellen van een Wpg-officer is niet verplicht. Toch kiezen steeds meer organisaties hiervoor, omdat de rol helpt om de naleving structureel structureel te borgen.

Wat doet een Wpg-officer in de praktijk?

De werkzaamheden zijn gevarieerd, maar hebben één doel: ervoor zorgen dat de organisatie aantoonbaar voldoet aan de wettelijke eisen die gelden voor het verwerken van politiegegevens:

• Een belangrijk onderdeel van de functie van de Wpg-officer is het opstellen, uitvoeren en up-to-date houden van intern beleid en werkprocessen. Denk bijvoorbeeld aan procedures voor het toekennen van autorisaties aan nieuwe medewerkers en het periodiek controleren van logbestanden.
• Daarnaast houdt deze zich bezig met veel werkzaamheden die ook bekend zijn uit het werk van een privacy officer: verzoeken van betrokkenen afhandelen, DPIA’s uitvoeren, het verwerkingsregister bijhouden… Het verschil is dat deze werkzaamheden plaatsvinden binnen het kader van de Wpg, dat op verschillende punten afwijkt van de AVG.
• Verder speelt de Wpg-officer een belangrijke rol bij de Wpg-audit. Denk aan het verzamelen van documentatie, het inplannen en coördineren van de audit zelf en het opstellen van het verbeterplan na afloop.
• Tot slot houdt deze zich bezig met het vergroten van het privacybewustzijn binnen de organisatie, bijvoorbeeld door trainingen te verzorgen of door leermodules te ontwikkelen.

Welke kennis en vaardigheden zijn nodig?

Een goede Wpg-officer beschikt over een combinatie van juridische kennis, organisatorische en communicatieve vaardigheden. Kennis van de beide privacyregimes vormt daarbij de basis, maar minstens zo belangrijk is het vermogen om wettelijke verplichtingen te vertalen naar werkbare processen binnen de organisatie.

Daarnaast moet deze overzicht kunnen houden, nauwkeurig kunnen werken en verschillende belangen tegen elkaar kunnen afwegen. In de praktijk wordt veel samengewerkt met boa’s, management, functioneel applicatiebeheerders, auditors en functionarissen gegevensbescherming. Goede communicatieve vaardigheden zijn daarom onmisbaar.

Er bestaat geen vaste opleiding voor deze functie. Veel professionals hebben een achtergrond in privacy en gegevensbescherming, compliance, IT-recht of informatiebeveiliging. Praktijkervaring met de Wpg is daarbij minstens zo waardevol als theoretische kennis.

Wanneer kiezen organisaties voor externe ondersteuning?

Niet iedere organisatie beschikt over voldoende capaciteit of specialistische kennis om deze rol intern in te vullen of verder te professionaliseren. Organisaties kiezen bijvoorbeeld voor externe ondersteuning ter voorbereiding op een interne of externe audit, bij het vanaf de basis opzetten van compliance of bij tijdelijke uitval van een collega.

Externe ondersteuning kan zowel tijdelijk als structureel worden ingezet, afhankelijk van de behoeften van de organisatie. Sommige organisaties huren een Wpg-officer in voor een specifieke opdracht, terwijl andere ervoor kiezen de rol voor langere tijd extern te beleggen.

Lex Digitalis ondersteunt gemeenten en andere boa-werkgevers regelmatig bij het invullen van deze rol. Dankzij onze ervaring met Wpg-compliance, audits en de dagelijkse praktijk van boa-werkgevers kunnen wij organisaties snel ondersteunen bij zowel operationele als strategische vraagstukken. Daarbij kunnen we tijdelijke capaciteit leveren of helpen de organisatie structureel te versterken.

De Wpg-audit in de praktijk

Organisaties die politiegegevens verwerken zijn verplicht periodiek een Wpg-audit te laten uitvoeren. Maar hoe verloopt zo’n audit in de praktijk, en hoe zorg je ervoor dat jouw organisatie goed voorbereid is?

Wat is de Wpg-audit?

De Wpg-audit is de jaarlijks verplichte controle waarmee wordt beoordeeld in hoeverre de organisatie voldoet aan de eisen van de Wet politiegegevens. Tijdens de audit wordt niet alleen gekeken naar het bestaan van beleid en werkprocessen, maar ook naar de vraag of deze daadwerkelijk worden nageleefd.

Organisaties die politiegegevens verwerken moeten ten minste jaarlijks een interne audit uitvoeren. Deze richt zich op een of meerdere onderdelen van de Wpg en mag worden uitgevoerd door een interne auditor.

Eens in de vier jaar vindt daarnaast een externe audit plaats. Deze wordt uitgevoerd door een onafhankelijke auditor, en de auditresultaten moeten worden opgestuurd naar de Autoriteit Persoonsgegevens (AP).

De externe auditor toetst de organisatie aan de hand van de 36 normen die beschreven staan in een speciaal voor boa-organisaties ontwikkeld landelijk auditkader. Per norm wordt beoordeeld of de vereiste maatregelen beschreven staan (‘opzet’), geïmplementeerd zijn (‘bestaan’) en worden toegepast (‘werking’).

Wat betekent dat concreet? Neem bijvoorbeeld logging. Een procedure die alleen op papier bestaat, is onvoldoende. De auditor zal ook willen zien dat logging daadwerkelijk plaatsvindt, dat de logbestanden beschikbaar en beveiligd zijn én dat de organisatie deze periodiek controleert. Met andere woorden: niet alleen het beleid moet op orde zijn, maar ook de uitvoering.

De externe audit ziet telkens op een vaste auditperiode; organisaties kunnen dus niet zelf bepalen welke periode van vier jaar wordt beoordeeld. De resultaten van de externe audit over de periode 2021-2024 moesten bijvoorbeeld uiterlijk op 1 maart 2026 bij de AP zijn ingediend. De volgende externe audit ziet op de periode 2025-2028.

Hoe verloopt een Wpg-audit in de praktijk?

Een audittraject bestaat grofweg uit drie fasen: de voorbereiding, de audit zelf en de opvolging van de auditbevindingen.

Voor de audit

De meeste werkzaamheden vinden vaak al plaats voordat de auditor langskomt. De auditor verstrekt doorgaans een zogeheten PBC-lijst (prepare by customer), waarin deze op detailniveau aangeeft welke documenten, bewijsstukken en andere informatie moeten worden aangeleverd. Op deze manier is er tijdens de audit zelf voldoende ruimte voor interviews, steekproeven en discussie.

Tijdens de audit

Tijdens de audit gaat de auditor in gesprek met medewerkers binnen de organisatie. Ook voert deze steekproeven uit en vraagt deze om toelichting op procedures en werkwijzen.

De auditor spreekt bijvoorbeeld met boa’s, leidinggevenden, functioneel beheerders, privacy officers en/of Wpg-officers, de functionaris gegevensbescherming en de CISO (chief information security officer). Het doel is om vast te stellen of maatregelen en procedures niet alleen op papier bestaan, maar ook daadwerkelijk worden toegepast.

Na de audit

Na afloop stelt de auditor een auditrapport op. Hierin wordt per onderzochte norm toegelicht in hoeverre de organisatie in opzet, bestaan en werking voldoet aan de eisen van de Wpg. Als meer dan 10 van de 36 normen niet volledig voldoen in opzet, bestaan en/of werking, volgt een afkeurend oordeel.

Het rapport bevat niet alleen een oordeel, maar ook gedetailleerde aanbevelingen om de Wpg-compliance verder te verbeteren. Bij de externe audit moet daarnaast een samenvatting van de resultaten (het zogeheten short form-rapport) aan de Autoriteit Persoonsgegevens worden verstrekt.

Leidt de audit tot een afkeurend oordeel dan moet de organisatie binnen drie maanden een verbeterplan opstellen. Ook moet binnen een jaar na toezending van het rapport een hercontrole plaatsvinden op de onderdelen die onvoldoende scoorden. Het is vaak efficiënt om deze hercontrole te laten samenvallen met de interne audit van het jaar erop.

Praktijkcasus: gemeente Zutphen

Toen de gemeente Zutphen zich voorbereidde op de externe audit van 2025, besloot zij om ondersteuning in te schakelen. Saskia Hofman, teammanager Veiligheid, Vergunningen, Handhaving en Wijkregie, blikt terug op dit traject.

De aanleiding voor het traject was een brief van de Autoriteit Persoonsgegevens waarin werd gewezen op de mogelijkheid van handhavend optreden wanneer de gemeente niet aan de wet zou voldoen. “Ook daarvoor was ik me al bewust dat we niet in alle opzichten compliant waren, maar nu moesten we écht aan de bak.” De benodigde capaciteit en specialistische kennis had de gemeente niet in huis, en dus ging ze op zoek naar een externe partij.

Saskia had duidelijk voor zich waar ze naar op zoek was: een partij die niet alleen kon helpen met de voorbereiding op de eerstvolgende Wpg-audit, maar die ook voor duurzame bewustwording kon zorgen. “Gelukkig had ik in mijn eerste gesprek met Paul direct het idee dat hij snapte wat ik daarmee bedoelde, en hetzelfde bleek uit de tekst van de offerte.”

De gemeente schakelde Lex Digitalis in voor twee trajecten: één voor leerplicht (Domein III) en één voor de boa’s Openbare Ruimte (Domein I). Per domein werkten we stap voor stap aan het verbeteren van de compliance. Het traject omvatte een breed pakket aan werkzaamheden, die waar passend in samenspraak met de betrokken medewerkers plaatsvonden.

Zo schreven we onder meer beleid voor het autorisatiebeheer (toekennen, wijzigen, intrekken en controleren), met speciale aandacht voor niet-boa’s. Daarnaast schreven we beleid voor het controleren van de logbestanden, en richtten we een Wpg-verwerkingsregister in, inclusief een procedure om dit actueel te houden. Alle procedures, werkinstructies en controleformulieren bundelden we vervolgens per domein in een Wpg-handboek, zodat medewerkers alle relevante informatie op één centrale plek kunnen terugvinden.

Ook namen wij het plannen en coördineren van de audit op ons, inclusief het opvragen en aanleveren van de bewijsstukken op de PBC-lijst, en waren we tijdens de audit aanwezig voor het overleg met de auditor. Saskia: “Wat ik fijn vond, was dat jullie en de auditor elkaars taal spreken. Jullie begrijpen wat auditors willen zien, en maakten die verbinding voor ons.”

Het belangrijkste resultaat van het traject is volgens Saskia de toegenomen Wpg-bewustwording op de werkvloer. “Medewerkers hebben nu helder voor zich wat zij in de praktijk van de Wpg moeten weten voor hun eigen werkzaamheden. In dat kader was het prettig dat jullie uitlegden waarom de wet bepaalde eisen stelt.” Op die manier ontstond niet alleen meer begrip, maar ook meer eigenaarschap: medewerkers weten welke verplichtingen gelden, en spreken elkaar daar ook op aan.

“De audit is eigenlijk bijvangst”, merkt Saskia op. Een goed auditresultaat is geen doel op zich, maar het logische gevolg van een organisatie waarin de juiste processen aantoonbaar op de juiste manier worden uitgevoerd. Dat deze verbeteringen zich uiteindelijk ook vertaalden in een aanzienlijk beter auditresultaat is volgens Hofman dan ook vooral een bevestiging dat de organisatie op de goede weg is.

Veelgestelde vragen over de Wpg

Is de Wpg het enige relevante wettelijke kader voor de verwerkingen van politiegegevens door boa’s?

Nee. Hoewel vaak wordt gesproken over ‘de Wpg’, bestaat het relevante wettelijke kader uit meerdere regelingen. Naast de Wet politiegegevens zelf zijn ook het Besluit politiegegevens (Bpg), het Besluit politiegegevens buitengewoon opsporingsambtenaren (Bpg boa) en de Regeling periodieke audit politiegegevens van belang. Deze bevatten nadere regels over onderwerpen als autorisaties, verstrekkingen en audits.

Wij hebben maar één boa. Geldt de Wpg dan ook?

Ja; de omvang van de organisatie is niet relevant. Ook met slechts één boa in dienst geldt de Wpg voor alle verwerkingen die plaatsvinden in het kader van strafrechtelijke handhaving.

Is Wpg-geschikte software verplicht?

Nee, de Wpg verplicht organisaties niet om specifieke software te gebruiken. Wel moet software die wordt gebruikt voor het verwerken van politiegegevens aan verschillende wettelijke eisen voldoen. Zo moet logging bijvoorbeeld geautomatiseerd plaatsvinden en moeten passende technische en organisatorische beveiligingsmaatregelen zijn getroffen.

In de praktijk maken veel organisaties gebruik van speciaal voor de Wpg ontworpen software. Functionaliteiten zoals het automatisch toepassen van bewaartermijnen, het eenvoudig beheren van autorisaties en het ‘met één druk op de knop’ afhandelen van inzageverzoeken maken het een stuk eenvoudiger om aan de wet te voldoen.

Een bijkomend voordeel is dat dergelijke software vaak al periodiek wordt beoordeeld op Wpg-compliance. De resultaten van die beoordelingen kunnen vervolgens worden gebruikt als onderbouwing tijdens de audit.

Kunnen stagiairs en andere niet-opsporingsambtenaren toegang krijgen tot politiegegevens?

Ja, het is mogelijk om stagiairs, uitzendkrachten, onderzoekers en ondersteunend personeel te autoriseren voor het verwerken van politiegegevens. Dit dient wel zorgvuldig te gebeuren. Lees hierover meer in de sectie ‘autorisaties en toegang’.

Wat is het verschil tussen verwijderen en vernietigen van politiegegevens?

Hoewel deze begrippen in het dagelijks taalgebruik door elkaar worden gebruikt, hebben zij binnen de Wpg ieder hun eigen betekenis:

• ‘Verwijderen’ betekent hier min of meer hetzelfde als ‘achter schot plaatsen’: de politiegegevens bestaan nog wel, maar zijn niet langer vrij toegankelijk. Dit gebeurt voor de meeste politiegegevens vijf jaar na de eerste verwerking.
• ‘Vernietigen’ houdt in dat de politiegegevens definitief worden gewist. Voor de meeste politiegegevens gebeurt dit tien jaar na de eerste verwerking.

Moet een boa-werkgever aparte verwerkingsregisters bijhouden voor AVG- en Wpg-verwerkingen?

Dit is niet verplicht, maar kan wel erg handig zijn. Niet alleen stellen de AVG en de Wpg verschillende eisen aan de informatie die per verwerking moet worden vastgelegd, maar ook maakt een apart Wpg-verwerkingsregister direct inzichtelijk welke verwerkingen onder de Wpg vallen. Dat is ook handig bij het voorbereiden van een Wpg-audit.

Kan dezelfde persoon zowel functionaris gegevensbescherming (FG) als privacy officer / Wpg-officer zijn?

Nee, dit is niet mogelijk. De FG heeft een onafhankelijke toezichthoudende rol, terwijl een privacy officer of Wpg-officer juist uitvoerende compliancewerkzaamheden verricht. Het combineren van beide functies zou leiden tot een belangenconflict: de FG zou dan toezicht moeten houden op diens eigen werkzaamheden (“de slager die diens eigen vlees keurt”).

Mag ik de interne Wpg-audit door de FG laten uitvoeren?

Nee. De taak van de FG is om toezicht te houden op de naleving van de Wpg binnen de organisatie. Daaronder valt ook het toezicht op de uitvoering van de audits. Om die reden kan de FG de audits niet zelf uitvoeren.

De FG mag wel worden betrokken bij het auditproces. Het is immers onderdeel van diens takenpakket om de organisatie te informeren en te adviseren over de naleving van de Wpg.

Wat gebeurt er bij een afkeurend oordeel na de externe Wpg-audit? Krijgen wij nu een boete?

Niet automatisch. Een afkeurend oordeel leidt er in de eerste plaats toe dat de organisatie maatregelen moet nemen om de geconstateerde tekortkomingen te herstellen. Binnen drie maanden moet een verbeterplan worden opgesteld en binnen een jaar vindt een hercontrole plaats op de onderdelen die onvoldoende scoorden.

De Autoriteit Persoonsgegevens ontvangt het externe auditrapport en kan de bevindingen betrekken bij haar toezicht. Hoewel de AP over handhavingsbevoegdheden beschikt, zijn geen gevallen bekend waarin uitsluitend een afkeurend auditresultaat direct tot een boete heeft geleid.

Hoe lang duurt het om Wpg-compliance op orde te brengen?

Dat verschilt sterk per organisatie. Factoren zoals de omvang van de organisatie, het aantal boa’s, de gebruikte software, de beschikbare capaciteit en de huidige mate van compliance spelen hierbij een belangrijke rol.

Organisaties die al beschikken over duidelijke procedures, passende software en een actueel verwerkingsregister kunnen vaak relatief snel verbeteringen doorvoeren. Wanneer de basis nog moet worden ingericht, kan het traject aanzienlijk meer tijd vergen.

Hulp nodig met Wpg-compliance?

Compliance met de Wpg vraagt meer dan alleen kennis van de wet. Organisaties moeten beleid opstellen, werkprocessen juist inrichten en ervoor zorgen dat alle maatregelen ook daadwerkelijk worden uitgevoerd. Juist die combinatie van juridische, technische en organisatorische vraagstukken maakt Wpg-compliance in de praktijk vaak uitdagend.

Lex Digitalis ondersteunt gemeenten en andere boa-werkgevers bij alle aspecten van Wpg-compliance. Of het nu gaat om het opstellen van beleid, het tijdelijk invullen van de rol van Wpg-officer of het voorbereiden op een Wpg-audit: wij helpen organisaties om aantoonbaar aan de eisen van de Wpg te voldoen.

Benieuwd hoe jouw organisatie ervoor staat, of wil je sparren over een concreet vraagstuk? Neem gerust contact op voor een vrijblijvend gesprek; wij denken graag met je mee.