Bijzondere opsporing

Ja, buitengewone opsporingsambtenaren (boa’s) die voor hun opsporingstaak persoonsgegevens verwerken, vallen onder de Wet politiegegevens (Wpg). De werkgever van een boa heeft, als verwerkingsverantwoordelijke, toegang tot de persoonsgegevens die boa’s voor hun opsporingstaken verwerken.

Verwerkingsverantwoordelijke bij opsporingstaken

Boa’s kunnen als taak hebben bepaalde categorieën strafbare feiten op te sporen. Bijvoorbeeld op het terrein van openbaar vervoer, milieu of onderwijs. In zo’n geval geldt de Wpg. 

Boa’s kunnen in dienst zijn van de overheid, zoals boa’s die werken bij de Douane of Staatsbosbeheer, maar dat hoeft niet. Ze kunnen ook in dienst zijn van private organisaties. Bijvoorbeeld de Nederlandse Spoorwegen of Natuurmonumenten. 

Niet de werkgever, maar de individuele boa is belast met de opsporing. En die opsporing vindt plaats onder gezag van de officier van justitie. Boa’s verwerken de politiegegevens echter onder beheer van hun werkgever. Daarmee is de werkgever de verwerkingsverantwoordelijke. 

De werkgever is verantwoordelijk voor het toezicht op de naleving van de Wpg. Daarom heeft de werkgever toegang tot de gegevens die boa’s voor hun opsporingstaken verwerken.

Verwerkingsverantwoordelijke bij toezichtstaken 

De toezichtstaken van de boa vallen onder de Algemene verordening gegevensbescherming (AVG). De werkgever is ook dan de verwerkingsverantwoordelijke.

Zie ook

• Geldt de AVG ook voor politie en justitie?
• Geldt de Wpg-auditplicht ook voor boa's?

Ja. Buitengewone opsporingsambtenaren (boa’s) die voor hun opsporingstaken persoonsgegevens verwerken, vallen onder de Wet politiegegevens (Wpg). Dit betekent onder meer dat de Wpg-auditplicht ook geldt voor de werkgever van boa’s. De werkgever is namelijk de verwerkingsverantwoordelijke.

De Wpg-audits zijn een belangrijk instrument voor het interne toezicht van een verwerkingsverantwoordelijke.

Interne Wpg-audit: elk jaar

Werkgevers van boa’s zijn verplicht om elk jaar een interne Wpg-audit te doen.

Externe Wpg-audit: elke 4 jaar

Daarnaast moeten werkgevers elke 4 jaar een externe Wpg-audit laten uitvoeren en de resultaten daarvan aan de Autoriteit Persoonsgegevens (AP) sturen.

Zo nodig moeten zij na een jaar een hercontrole laten uitvoeren. De resultaten van de hercontrole moeten zij ook aan de AP sturen.

Moment externe Wpg-audit

De Wpg bepaalt dat de externe audit 2 jaar na inwerkingtreding van de auditverplichting voor de eerste keer moet worden uitgevoerd.

Die auditverplichting is met ingang van 1 januari 2019 (inwerkingtreding van de nieuwe Wpg) van kracht geworden voor (de werkgevers van) boa’s.

Werkgevers van boa’s moesten de eerste externe Wpg-audit dus in 2021 laten uitvoeren. En daarna eenmaal in de 4 jaar.

Dat betekent dat de volgende externe Wpg-audit in 2025 uitgevoerd moet worden (over de stand van zaken in 2024).

Zie ook

• Welke eisen worden gesteld aan een interne en externe Wpg-audit?
• Wanneer moet u het Wpg-auditrapport aanleveren bij de AP?
• Hoe moet u het Wpg-auditrapport aanleveren bij de AP?

Nee. Iedere werkgever van een of meer boa’s valt onder de auditplicht. Het maakt daarbij niet uit of deze werkgever een overheidsorganisatie is of niet.

Ook private organisaties kunnen boa’s in dienst hebben. Bijvoorbeeld de Nederlandse Spoorwegen of Natuurmonumenten.

De wetgever heeft de regels vastgesteld voor de wijze waarop interne en externe Wpg-audits moeten worden uitgevoerd en voor de inhoud van de audits. Deze regels zijn opgenomen in artikel 33 van de Wpg, artikel 6:5 van het Besluit politiegegevens en in de Regeling periodieke audit politiegegevens.

Eisen Wpg-audit

Voor een Wpg-audit gelden onder meer de volgende eisen:

• De resultaten van de externe Wpg-audit (het auditrapport) moeten aan de Autoriteit Persoonsgegevens (AP) worden gestuurd.
• Blijkt uit de interne of externe Wpg-audit dat niet (volledig) wordt voldaan aan de Wpg? Dan moet binnen 1 jaar een hercontrole worden uitgevoerd.
• De uitvoerders van de Wpg-audits zijn verplicht tot geheimhouding van de persoonsgegevens waarover zij de beschikking hebben gekregen.
• De controle moet gaan over hoe het verwerken van politiegegevens is georganiseerd, de maatregelen en procedures die daarop van toepassing zijn en de werking van deze maatregelen en procedures.
• De externe auditor moet onafhankelijk zijn en voldoen aan de eisen aan werkwijze, deskundigheid en betrouwbaarheid die in de Regeling periodieke audit politiegegevens staan.

Eigen verantwoordelijkheid

De invulling en toepassing van deze regels is de verantwoordelijkheid van de verwerkingsverantwoordelijke. De AP kan hierover niet oordelen of adviseren. Die invulling en toepassing hangen namelijk mede af van de specifieke situatie.

En daarover geeft de AP zelden een oordeel of specifiek advies. Want dat vraagt om een beoordeling van alle feiten, omstandigheden en belangen. En daarin heeft niet de AP, maar de verwerkingsverantwoordelijke bij uitstek het benodigde inzicht.

Zie ook

• Wanneer moet u het Wpg-auditrapport aanleveren bij de AP?
• Over welke periode moet uw Wpg-audit gaan als u gebruikmaakt van 1 jaar uitstel?
• Hoe moet u het Wpg-auditrapport aanleveren bij de AP?

Nee, dat mag niet. De functionaris gegevensbescherming (FG) heeft als taak toezicht te houden op de naleving van de Wet Politiegegevens (Wpg) in uw organisatie. Dit is inclusief de audits. Daarom kan de FG niet zelf ook de audits uitvoeren.

Als werkgever van boa's moet u de eerstvolgende externe Wpg-audit in 2025 laten uitvoeren. U moet de rapportage over de resultaten van de audit vervolgens uiterlijk 31 december 2025 aanleveren bij de Autoriteit Persoonsgegevens (AP).

De AP raadt echter aan het rapport zo snel mogelijk na de audit aan te leveren. Daarmee voorkomt u dat wordt gerapporteerd over inmiddels achterhaalde informatie.

Zie ook

• Hoe moet u het Wpg-auditrapport aanleveren bij de AP?

Bent u werkgever van boa’s, dan geldt de Wpg-auditplicht ook voor u. Dit betekent dat u elke 4 jaar een externe Wpg-audit moet laten uitvoeren. De resultaten daarvan moet u aan de Autoriteit Persoonsgegevens (AP) sturen.

Digitaal aanleveren

U levert het Wpg-auditrapport digitaal aan via: 
wpg-audit@autoriteitpersoonsgegevens.nl

Let hierbij op de volgende punten:

• Verwijder namen van personen uit het document. Het is daarna niet nodig het document versleuteld te versturen.
• Kies voor een leesbaar bestandsformaat, bij voorkeur pdf/A.
• Zorg dat de grootte van het bestand niet meer is dan enkele MB’s.

Template auditrapport

Wilt u de resultaten van uw audit vergelijken met die van anderen? En met de audits die u in de toekomst uitvoert? Dan is het handig om een template te gebruiken. 

U kunt hiervoor bijvoorbeeld gebruikmaken van het template dat NOREA heeft ontwikkeld.

Ontvangstbevestiging

U ontvangt na het versturen een automatische ontvangstbevestiging.

Let op: hou ook altijd een afschrift van de door u aangeleverde auditrapporten in uw eigen administratie.

En verder?

Verder hoeft u niets te doen richting de AP. Uiteraard moet u zelf passende opvolging geven aan de audit door het uitvoeren van verbeterplannen en hercontroles.

Zie ook

• Geldt de Wpg-auditplicht ook voor boa's?
• Welke eisen worden gesteld aan een interne en externe Wpg-audit?
• Wat doet de AP met uw Wpg-auditrapport?

De Autoriteit Persoonsgegevens (AP) registreert de aangeleverde Wpg-auditrapporten. Daarmee kijkt de AP of u voldoet aan uw wettelijke verplichting om het auditrapport aan de AP te sturen. 

Verder gebruikt de AP de ingezonden auditrapporten als algemene input voor het toezicht van de AP. Bijvoorbeeld om te kijken of er over bepaalde onderwerpen meer voorlichting nodig is. 

Let op: u krijgt geen individuele reactie van de AP op uw auditrapport.

Ja, dat kan. U kunt een bijzondere opsporingsorganisatie vragen of er persoonsgegevens over u zijn vastgelegd. En zo ja, welke gegevens dat zijn.

U doet uw verzoek om inzage schriftelijk. U kunt daarvoor onze Voorbeeldbrief verzoek om inzage politie, justitie of andere opsporingsdienst gebruiken.

Inhoud van de brief

U hoeft niet aan te geven waarom u inzage in uw gegevens wilt. Maar uw verzoek moet wel zo specifiek mogelijk zijn.

Verder moet u kunnen aantonen dat u inderdaad de persoon bent van wie u de gegevens wilt inzien. Vermeld daarom in uw brief uw volledige naam en voorletters, geboortedatum en adres. Een opsporingsorganisatie mag vragen om (een kopie van) uw legitimatiebewijs.

Kijk op de website van de betreffende organisatie hoe u uw verzoek om inzage kunt indienen.

Reactie op verzoek

De opsporingsorganisatie moet uw verzoek binnen 6 weken beantwoorden.

Kloppen de gegevens die een bijzondere opsporingsorganisatie over u heeft vastgelegd niet? Dan kunt u de organisatie vragen uw gegevens te rectificeren, aan te vullen of te vernietigen.

Schriftelijk verzoek

U dient uw verzoek schriftelijk in. U kunt hiervoor onze Voorbeeldbrief rectificatie of vernietiging bij politie, justitie of opsporingsdienst gebruiken.

Kijk op de website van de betreffende organisatie hoe u uw verzoek om inzage kunt indienen.

Reactie op verzoek

De opsporingsorganisatie moet uw verzoek binnen 6 weken schriftelijk beantwoorden.

Bent u het niet eens met de afwijzing? Dan kunt u de Autoriteit Persoonsgegevens (AP) vragen om te bemiddelen of te adviseren bij dit geschil.

Indienen verzoek AP om bemiddeling of advies

Wilt u een verzoek bij de AP indienen om bemiddeling of advies? Gebruik dan onze Voorbeeldbrief verzoek om bemiddeling of advies bij politie, justitie of opsporingsdienst.

Klacht indienen bij de AP

Denkt u dat een bijzondere opsporingsorganisatie niet volgens de privacyregels met uw persoonsgegevens omgaat? Dan kunt u een klacht indienen bij de AP.

Heeft u een vraag of klacht over het gebruik van uw persoonsgegevens door een bijzondere opsporingsorganisatie? Neem dan eerst contact op met de contactpersoon voor privacy van de betreffende organisatie.

U kunt bijvoorbeeld contact opnemen omdat u een verzoek om inzage wilt doen. Of het niet eens bent met de manier waarop de opsporingsorganisatie met uw persoonsgegevens omgaat.

Contactpersoon privacy

Op de website van de betreffende opsporingsorganisatie leest u bij wie u terecht kunt met uw vraag of klacht over privacy. Bijvoorbeeld bij een privacyfunctionaris. Of bij de Functionaris voor de gegevensbescherming.

Klacht indienen bij de Autoriteit Persoonsgegevens

Komt u er met de opsporingsorganisatie niet uit? Maar vermoedt u dat de organisatie persoonsgegevens verwerkt op een manier die in strijd is met de privacywet? Dien dan een klacht in bij de AP.