Verschillende overheidsorganisaties hebben te maken met de Wet politiegegevens (Wpg). Binnen gemeenten gaat het bijvoorbeeld om boa’s, sociaal rechercheurs en leerplichtambtenaren, wanneer zij opsporingsbevoegdheden uitoefenen. Ook waterschappen hebben boa’s in dienst. Bijvoorbeeld voor de opsporing van overtredingen rondom water- en milieuregels bij illegale lozingen van afvalwater.
Een boa houdt toezicht, maar kan ook strafbare feiten opsporen. Voor die werkzaamheden gelden niet altijd dezelfde privacyregels. Bij toezicht geldt meestal de Algemene verordening gegevensbescherming (AVG). Terwijl een boa bij opsporing te maken krijgt met de Wet politiegegevens (Wpg).
Dat onderscheid klinkt op papier misschien overzichtelijk. In de praktijk blijkt het vaak een stuk ingewikkelder. Want afhankelijk van het doel waarvoor het wordt verwerkt, kan hetzelfde gegeven onder de AVG óf de Wpg vallen. Daarnaast ontstaat er ook nog wel eens verwarring of je informatie bij toezicht en opsporing zomaar mag combineren. En zijn systemen, autorisaties en bewaartermijnen hier wel goed op ingericht?
Wpg-verplichting
De wet stelt specifieke eisen aan het verwerken van politiegegevens. Toch is de toepassing van de Wpg in de dagelijkse praktijk voor veel overheidsorganisaties nog relatief onbekend. Zo gaat het niet alleen om wat een boa vastlegt. Ook toegang tot gegevens, logging, bewaartermijnen, verstrekkingen en beveiliging spelen een belangrijke rol. Het is dus belangrijk dat de Wpg niet alleen op papier klopt.
Dat vraagt meer dan een beleidsdocument in de digitale la. De organisatie moet de eisen uit de Wpg ook daadwerkelijk vertalen naar hun processen, systemen en werkwijzen. Daarmee zorg je dat afspraken ook echt werken voor de boa’s en andere medewerkers die er iedere dag mee te maken hebben. Bovendien moeten medewerkers weten in welke gevallen zij onder de AVG werken, en in welke gevallen onder de Wpg. Zorgvuldigheid is hierbij extra belangrijk, omdat de verwerking van politiegegevens direct gevolgen kan hebben voor de rechten en belangen van inwoners.
Verschillende verplichtingen bij AVG en Wpg
Een belangrijk verschil tussen de AVG en de Wpg is de auditverplichting. Die is bij de Wpg veel uitgebreider. Organisaties die onder de Wpg-auditplicht vallen, voeren ieder jaar een interne Wpg-audit uit of laten deze uitvoeren. Iedere vier jaar is daarnaast een externe Wpg-audit verplicht.
Bij zo’n audit wordt gekeken of de organisatie aantoonbaar aan de Wpg voldoet. Beleid is daarbij belangrijk, al telt de praktijk minstens zo zwaar. Zijn autorisaties goed geregeld? Worden controles uitgevoerd? Is logging ingericht? En worden bewaartermijnen toegepast? De audit maakt de Wpg daarmee geen onderwerp om eens in de vier jaar uit de kast te trekken. Een goede inrichting vraagt het hele jaar aandacht.
Wanneer is jouw organisatie Wpg-proof?
Het helpt om eerst vast te stellen waar je als overheidsorganisatie staat. Een Wpg-nulmeting of scan geeft inzicht. Daarbij valt te denken aan inzichten zoals:
- Welke processen vallen onder de Wpg?
- Waar worden politiegegevens opgeslagen?
- Wie heeft toegang tot welke systemen en gegevens?
- Welke afspraken zijn al gemaakt? En welke onderdelen vragen nog aandacht?
Met een nul-meting of scan wordt duidelijk wat al goed is geregeld en waar nog verbeteringen nodig zijn. Dat helpt ook bij de voorbereiding op een interne of externe audit.
Ondersteuning bij Wpg-inrichting en audit
De Wpg is specialistische wetgeving en raakt verschillende onderdelen van de organisatie. Onze privacyprofessionals helpen je graag om de verplichtingen te vertalen, zodat ze ook echt werken in de praktijk.
Dat kan bijvoorbeeld met een Wpg-scan of nulmeting, ondersteuning bij de voorbereiding op een audit of het opvolgen van auditbevindingen. Ook helpen we bij beleid, werkinstructies en Wpg-DPIA’s.