W

Auditdienst Rijk
M nisterie van Fimnden

departementaal VERTROUWELIJK

Assurancerapport
Privacy audit Wet politiegegevens Bureau
Economische Handhaving
Verslagperiode 9 maart 2019

1626802

31 december 2021

00001

departementaal VERTR0UWELI3K

Colofon

Titel

Privacy audit Wet politiegegevens Bureau Economische

Handhaving
Uitgebracht aan

Persoonsgegevens

Datum

15 december 2022

Kenmerk

2022 0000323799

Inlichtingen
Auditdienst Rijk
Persoonsgegevens

departementaal VERTROUWELIJK

1626802

00001

departementaal VERTR0UWELI3K

Inhoud

Bureau Economische Handhaving votdoet in belangrijke mate niet aan de

Wpg

5

Afkeurend oordeel—5
De basis voor ons afkeurend oordeel—5

1
1 1
1 2

2

Inleiding onderzoek—8
Aanleiding—8
Doelstelling—8

2 1 18

Bevindingen onderzoek—9
Bevindingen per Wpg onderwerp—9
Reikwijdte nog niet alle bestanden met poiitiegegevens binnen het BEH zijn
geidentificeerd en vastgelegd—9
Doel van verwerkingen doelbinding niet vastgelegd—9
Noodzakelijkheid en rechtmatigheid van poiitiegegevens niet geborgd—9
Juistheid en volledigheid van poiitiegegevens niet geborgd—9
Onderscheid feiten en persoonlijk oordeel niet geborgd—9
Gegevensbescherming door beveiliging en ontwerp niet aanwezig of aantoonbaar
geimplementeerd—9
Gegevensbescherming door standaardinstellingen niet aanwezig of aantoonbaar
geimplementeerd—10
Gegevensbeschermingseffectbeoordeling DPIA niet beschreven en uitgevoerd—10
Uitgangspunten verwerking bijzondere categorieen van poiitiegegevens niet
beschreven en technische en organisatorische maatregelen niet aangetroffen—10
Autorisaties en toegang tot poiitiegegevens niet inzichteiijk—10
Autorisaties aangewezen functionarissen niet vastgelegd—10
Onderscheid tussen verschillende categorieen van betrokkenen is onduidelijk—10
Verwerker en verwerkersovereenkomst niet in opzet beschreven—10
Geheimhoudingsplicht is geborgd—10
Geautomatiseerde individuele besluitvorming—10
Uitvoering van de dagelijkse politietaak—11
Ter beschikking stellen van poiitiegegevens binnen het Wpg domein—11
Geautomatiseerd vergelijken en in combinatie zoeken—11

2 1 19

Ondersteunende taken—11

2 1 20

Bewaartermijnen verwijderen en vernietigen zijn niet inzichteiijk—11
Verstrekking van poiitiegegevens aan anderen dan politie en Koninklijke

2 1
2 1 1

2 1 2
2 1 3

2 1 4
2 1 5

2 1 6
2 1 7

2 1 8
2 1 9

2 1 10
2 1 11

2 1 12
2 1 13

2 1 14

2 1 15
2 1 16

2 1 17

2 1 21

marechaussee—11
2 1 22

2 1 26

Doorgiften aan derde landen—11
Verstrekking aan derden structureel voor samenwerkingsverbanden—11
Rechtstreekse verstrekking—11
Informatie aan de betrokkene recht op inzage rectificatie en verwijdering is
geborgd—11
Register van verwerkingsactiviteiten is niet actueel—11

2 1 27

Documentatie—11

2 1 23

2 1 24
2 1 25

2 1 28

Logging—12

2 1 29

Audits—12

2 1 30

Melding datalekken 12
Functionaris voor gegevensbescherming—12

2 1 31

departementaal VERTROUWELIJK

1626802

00001

departementaal VERTR0UWELI3K

3

Aanbevelingen en of vervoigstappen—13

4

Verantwoording onderzoek—16
Werkzaamheden en afbakening—16
Object van onderzoek—16
Afbakening—16

4 1
4 1 1
4 1 2
4 1 3

Criteria

4 1 4

Verantwoordelijkheden van de IT Auditor—16

16

4 2

Gehanteerde Standaard—17

4 3

Verspreiding rapport—17

5

Ondertekening—18
Managementreactie BEH—19

departementaal VERTROUWELIJK

1626802

00001

departementaal VERTR0UWELI3K

Bureau Economische Handhaving voldoet in

beianghjke mate niet aan de Wpg

Het doel van dit assurance onderzoek is met een redelijke mate van zekerheid een
oordeel te geven of door het Bureau Economische Handhaving aan de bepaiingen
van

de Wpg op adequate wijze uitvoering is gegeven in de periode 9 maart 2019

t m 31 december 2021

Afkeurend oordeel

Op basis van de significantie van de aangeiegenheid die staat beschreven in de
sectie basis voor ons een afkeurend oordeei zijn wij tot de condusie gekomen dat
het Bureau Economische Handhaving in de periode 9 maart 2019 t m 31 december
2021 de Wpg niet getrouw naleefde
De basis voor ons afkeurend oordeel

Uit ons onderzoek is naar voren gekomen dat het Bureau Economische Handhaving
BEH

in de periode 9 maart 2019 t

voideed aan de Wpg

m

31 december 2021 in beiangrijke mate niet

Het BEH heeft nog niet aiie bestanden met politiegegevens

geidentificeerd en gedocumenteerd Daarnaast is het doei van de verwerkingen niet
vastgeiegd Tevens ontbreken er uitgangspunten aangaande noodzakeiijkheid
rechtmatigheid juistheid en voiiedigheid van poiitiegegevens Ook zijn bewaar
verwijder en vernietigstermijnen niet aantoonbaar inzichteiijk gemaakt

Tabel 1

Tabel 2

Nr

Toelichting gebruikte kleuren
Groen

Voidoet aan de norm

Oranje

Voidoet deeis aan de norm

Rood

Voidoet niet aan de norm

Grijs

Norm is niet onderzocht

Wit

Norm is niet van toepassing

Overzicht condusie per Wpg onderv erp
Condusie

Norm

S
s

8

S

5 van 21

1626802

1

Reikwijdte

X

2

Doelbinding

X

3

Noodzakeiijkheid

4

Juistheid en voiiedigheid politiegegevens

5

Onderscheid feiten en persoonlijk oordeel

6

Gegevensbescherming door beveiliging en ontwerp

7

Gegevensbescherming door standaardinstellingen

c

S

S

a

s

tl

o

rechtmatigheid politiegegevens

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

X

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

Nr

Conclusie

Norm

S
e

IS

8

S

i£

8

Gegevensbeschermingseffectbeoordeling

9

Bijzondere categorieen van politiegegevens

X

10

Autorisaties en toegang tot politiegegevens

X

11

Autorisaties

12

Onderscheid tussen verschillende categorieen van betrokkenen

13

Verwerker en verwerkersovereenkomst

14

Geheimhoudingsplicht

15

Geautomatiseerde individuele besluitvorming

16

Uitvoering van de dageiijkse politietaak

17

Ter beschikking stellen van politiegegevens binnen het Wpg domein

18

Geautomatiseerd vergelijken en in combinatie zoeken

19

Ondersteunende taken

20

Bewaartermijnen verwijderen en vernietigen

21

Verstrekking

DPIA

o

aanwijzen functionarissen

van

politiegegevens aan

X

X

X

anderen dan politie en

Koninklijke marechaussee

X

Doorgiften aan derde landen

X

23

Verstrekking aan derden structureel voor samenwerkingsverbanden

X

24

Rechtstreekse verstrekking
Informatie aan de betrokkene

recht op inzage

rectificatie en

verwijdering

X

26

Register

X

27

Documentatie

X

28

Logging

X

29

Audits

X

30

Melding datalekken

X

31

Functionaris voor gegevensbescherming

Tabei 3

e

X

22

25

oi

Organisatortsche en technische beheerslngsmaatregelen

t b v normen 6

7 10 13

en 24

Nr

Conclusie

Norm

c

S

Id
o

S van 21

1626802

1

Wijzigingenbeheer

2

Logische toegangs beveiliging

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

5

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

7 van 21

1626802

3

Beheervan kwetsbaarheden

4

Cryptografle

5

Vulnerability scans en Penetratietesten

patch management

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

1

Inleiding onderzoek

1 1

Aanleiding
De Wet Politiegegevens Wpg is sinds 2007 van toepassing verkiaard op de
verwerking van persoonsgegevens die in het kader van de poiitietaak worden
verwerkt Naar aanieiding van de inwerkingtreding van de Aigemene verordening
gegevensbescherming AVG in 2018 is de Wpg in 2019 aangepast en is het Besiuit
politiegegevens buitengewoon opsporingsambtenaar Bpg boa in werking getreden
Vanaf dat moment vaiien buitengewone opsporingsambtenaren boa s die voor hun
opsporingstaak persoonsgegevens verwerken onder de Wpg De Wpg is daarmee
van toepassing op de taken van het Bureau Economische Handhaving
BEH van de
Beiastingdienst
De Wpg schrijft voor dat de verwerkingsverantwoordelijke de naleving van de regeis
gesteld in de Wpg controleert door middel van periodieke audits zowel intern als
extern Werkgevers van boa s zijn verpiicht om elk jaar een interne Wpg audit uit te
voeren en
van

elke 4 jaar een externe Wpg audit

hierna Privacy audit

Het resultaat

de Privacy audit moet worden gedeeid met de Autoriteit Persoonsgegevens

AP

als de bij wet aangestelde toezichthouder in Nederland
De Wpg bepaalt dat de eerste Privacy audit 2 jaar na inwerkingtreding moet worden

uitgevoerd De auditverplichting is met ingang van 09 03 2019 van kracht
geworden voor de werkgevers van boa s Dit betekent dat de eerste Privacy audit
in 2021 uitgevoerd moet worden De AP heeft echter de werkgevers van boa s 1 jaar
uitstel gegeven waardoor zij tot en met 31 12 2022 de tijd hebben om het resultaat
van

de eerste Privacy audit naar de AP te sturen

Door het BEH is aan de Auditdienst Rijk

ADR

gevraagd om deze eerste Privacy

audit in 2022 uit te voeren

1 2

Doelstelling
Het doel van dit Assurance onderzoek is om met een redelijke mate van zekerheid
oordeel te geven of door het Bureau Economische Handhaving aan de
bepalingen van de Wpg op adequate wijze uitvoering is gegeven in de periode 9

een

maart 2019 t m 31 december 2021

Om dit oordeel te geven is er door de ADR

gekeken naar
•

De opzet en het bestaan van maatregelen en procedures die in de borging
van

•

de wettelijke eisen moeten voorzien

De werking van de getroffen

maatregelen en procedures

Concreet betekent dit het beantwoorden van de vraag of in voldoende mate is

geborgd dat voldaan wordt aan wetsartikelen van de Wpg die betrekking hebben op
de hoofdgebieden
Aigemene bepalingen art 3 7
Verwerking van politiegegevens art 8 15
Verstrekking van politiegegevens art 16 24
•

•

•

•

Rechten van betrokkenen

•

Controle en toezicht

art 25 31

art 32 34

art 36

Het onderzoek is uitgevoerd met het toetsingskader dat gebaseerd is op de in de
Wpg en Bpg gestelde eisen evenals de NOREA Handreiking Privacy audit Wet
politiegegevens Wpg voor Boa s

8 van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

2

Bevindingen onderzoek

2 1

Bevindingen per Wpg onderwerp
Reikwijdte nog niet alie bestanden met politiegegevens binnen bet BEH zijn
geidentificeerd en vastgelegd
Wij hebben vastgesteld dat het BEH nog niet alle bestanden met politiegegevens
binnen de organisatie heeft geidentificeerd en vastgelegd Het onderscheid tussen
toezicht AVG en opsporing Wpg is niet aantoonbaar en in het register van
verwerkingsactiviteiten zijn niet aiie taken van het BEH vastgeiegd Dit geidt tevens
voor de onderliggende systemen gespecificeerd naar taak en soort poiitiegegevens
Wij hebben geen procedure aangetroffen om het overzicht van de inventarisatie van
verwerkingen van politiegegevens periodiek te actualiseren

2 1 1

2 1 2

Doe van verwerkingen

doelbinding

niet vastgelegd

Wij hebben vastgesteld dat het BEH in het register van verwerkingsactiviteiten de in
de wet genoemde doeleinden niet vastgelegd en gekoppeld heeft aan de taken van

het BEH

Er wordt enkel verwezen naar een taak van het BEH en niet naar het Wpg

artikel

Daarnaast hebben wij niet in opzet en bestaan uitgangspunten aangetroffen

aangaande het vastleggen van het doel in onderliggende systemen alsmede de
controle hierop
2 1 3

Noodzaketijkheid en rechtmatigheid van poiitiegegevens niet geborgd
Wij hebben geen uitgangspunten dan wel procedures aangetroffen die borgen dat de
politiegegevens daartoe toereikend ter zake dienend en beperkt zijn tot wat
noodzakelijk is en dat de herkomst van gegevens voor art 9 verwerkingen wordt
vermeld Het collegiaal tegenlezen
vier ogen principe dat is aangedragen heeft
enkel betrekking op grammatica en strafrechtelijke onderbouwing Het omvat geen
Wpg aspecten en het tegenlezen is niet in opzet vastgelegd

2 1 4

Juistheid en voliedigheid van poiitiegegevens niet geborgd

Wij hebben vastgelegd dat het BEH geen controles dan wel procedures op de
kwaliteit heeft ingericht ten behoeve van de borging van de juistheid en
nauwkeurigheid van politiegegevens Het collegiaal tegenlezen vier ogen principe
dat is aangedragen heeft enkel betrekking op grammatica en strafrechtelijke
onderbouwing Het omvat geen Wpg aspecten en het tegenlezen is niet in opzet
vastgelegd
2 1 5

Onderscheid feiten en persooniijk oordeel niet geborgd

Wij hebben geen uitgangspunten dan wel procedures aangetroffen om
politiegegevens die op feiten zijn gebaseerd voor zover mogelijk te onderscheiden
van politiegegevens die op een persooniijk oordeel zijn gebaseerd Het collegiaal
tegenlezen vier ogen principe dat is aangedragen heeft enkel betrekking op
grammatica en strafrechtelijke onderbouwing Het omvat geen Wpg aspecten en het
tegenlezen is niet in opzet vastgelegd
2 1 6

9 van 21

1626802

Gegevensbescherming door beveiiiging en ontwerp niet aanwezig of aantoonbaar
geimplementeerd
Wij hebben geen vastgesteld beleid en procedures voor de bescherming van de
politiegegevens alsmede uitgangspunten aangaande privacy by design aangetroffen
Er is geen aantoonbare risicoanalyse uitgevoerd waaruit het risiconiveau blijkt met
betrekking tot ongeoorloofde of onrechtmatige verwerking en tegen opzettelijk
verlies vernietiging of beschadiging zie verder 2 1 8
Passende technische en
organisatorische maatregelen zijn niet in opzet beschreven en in bestaan
aantoonbaar geimplementeerd

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

2 1 7

Gegevensbescherming door standaardinsteUingen niet aanwezig of aantoonbaar
geimplementeerd
Wij hebben geen vastgesteld beleid en procedures voor de bescherming van de
politiegegevens aangetroffen alsmede uitgangspunten aangaande privacy by
default Passende technische en organisatorische maatregelen zijn niet in opzet
beschreven en niet in bestaan aantoonbaar geimplementeerd

2 1 8

GegevensbeschermingseffectbeoordeUng DPIA niet beschreven en uitgevoerd
Wij hebben vastgesteld dat het BEH geen proces heeft beschreven aangaande het
uitvoeren van een DPIA In de praktijk voert het BEH geen DPIA uit wanneer een
verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van
betrokkenen kan opieveren Hierdoor worden binnen het BEH geen risico s
systematisch geidentificeerd en beoordeeld waardoor een geen passend pakket van
organisatorische en technische maatregelen geimplementeerd kan worden Wei
hebben wij een pre pia
WMK toets willen mogen kunnen uit het verleden
aangetroffen voor de taak deponeren jaarrekening De verdere handelingen naar
aanleiding van de WMK toets zijn niet inzichtelijk

2 1 9

Uitgangspunten verwerking bijzondere categorieen van politiegegevens niet
beschreven en technische en organisatorische maatregelen niet aangetroffen

Wij hebben geen uitgangspunten in opzet aangetroffen betreffende de verwerking
van bijzondere categorieen van politiegegevens In het register van

verwerkingsactiviteiten staat aangegeven dat geen bijzondere categorieen van
politiegegevens worden verwerkt In de praktijk blijkt dit echter wel het geval te
zijn Wij hebben geen passende technische en organisatorische maatregelen
aangetroffen om de verwerking van deze bijzondere categorieen van
politiegegevens te beschermen
2 1 10

Autorisaties en toegang tot politiegegevens niet inzichtelijk

Wij hebben geen geformaliseerde procesbeschrijvingen en procedures voor het
autorisatiebeheer aangetroffen

Een autorisatie

en

functiescheidingsmatrix en

controles met rapportages op deze zijn niet aanwezig

Het is niet aantoonbaar

inzichtelijk gemaakt welke personen vanuit hun functie toegang hebben tot
bepaalde politie gegevens
2 1 11

aangewezen functionarissen niet vastgeiegd
Wij hebben vastgesteld dat een lijst van bevoegde functionarissen ontbreekt

Autorisaties

In de

praktijk is de Teamleider als bevoegd functionaris aangewezen Formalisatie hiervan
ontbreekt

2 1 12

Onderscheid tussen verschiilende categorieen van betrokkenen is onduidelijk

Wij hebben vastgesteld dat in het register van verwerkingsactiviteiten summier de
verschiilende categorieen van betrokkenen zijn weergegeven Waar en op welke
manier deze categorieen van betrokkenen in de onderliggende systemen worden
verwerkt is niet inzichtelijk
2 1 13

Verwerker en verwerkersovereenkomst niet in opzet beschreven
Wij hebben geen uitgangspunten in opzet aangetroffen betreffende verwerkers dan
wel het opstellen van verwerkersovereenkomsten In het register van

verwerkingsactiviteiten is aangegeven dat er geen sprake is van verwerkers

10 van 21

1626802

2 1 14

Geheimhoudingspiicht is geborgd
Wij hebben vastgesteld dat geheimhoudingspiicht voor Boa s op diverse manieren is
geborgd de eed en gelofte bij indiensttreding een specifieke aanvullende VOG en
de aandacht tijdens diverse bewustwordingsinitiatieven

2 1 15

Geautomatiseerde individuele besluitvorming

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

Door BEH worden geen besluiten genomen die alleen zijn gebaseerd op
geautomatiseerde verwerking Derhalve is deze norm niet verder onderzocht

2 1 16

Uitvoering van de dagelijkse poUtietaak
Door het BEH worden geen art
niet verder onderzocht

2 1 17

8 gegevens worden verwerkt

Derhaive is deze norm

Ter beschikking stellen van politiegegevens binnen het Wpg domein
Door BEH worden geen politiegegevens ter beschikking gesteld binnen het Wpg

domein
2 1 18

Derhalve is deze norm niet onderzocht

Geautomatiseerd vergelijken en in combinatie zoeken
BEH maakt geen gebruik van gegevens die geautomatiseerd vergleken worden of
combinatie met elkaar worden verwerkt Derhalve is deze norm niet onderzocht

2 1 19

Ondersteunende taken
Door het BEH worden geen gegevens verwerkt waarbij sprake is van art

verwerkingen
2 1 20

2 1 21

13

Derhaive is deze norm niet verder onderzocht

Bewaartermijnen verwijderen en vernietigen zijn niet inzichtetijk
Wij hebben geen uitgangspunten procesbeschrijving of werkinstructies aangetroffen
waarin bewaartermijnen en het verwijderen en vernietigen van politiegegevens zijn
beschreven Ook zijn geen aantoonbare waarborgen aangetroffen die
bewerkstelligen dat gegevens conform de wet worden gecontroleerd verwijderd en
vernietigd
Verstrekking van politiegegevens aan anderen dan politie en Koninklijke
marechaussee
Door het BEH vinden geen verstrekkingen

Koninklijke marechaussee
2 1 22

plaats aan anderen dan politie en

Deze norm is niet verder onderzocht

Doorgiften aan derde landen
Door het BEH vindt geen doorgifte plaats van gegevens aan derde landen

Derhalve

is deze norm niet onderzocht

2 1 23

Verstrekking aan derden structureel voor samenwerkingsverbanden
Vestrekking van politiegegevens aan derden structureel voor
samenwerkingsverbanden vindt niet plaats Derhalve is deze norm niet onderzocht

2 1 24

Rechtstreekse verstrekking
Door het BEH vinden geen rechtstreekse verstrekkingen plaats
norm

2 1 25

Derhalve is deze

niet onderzocht

Informatie aan de betrokkene recht op image rectificatie en verwijdering is

geborgd
Het BEH maakt gebruik van de standaard processen van de Belastingdienst ten
aanzien van het verstrekken van informatie
de betrokkene

recht op inzage rectificatie en
Omdat de afgelopen periode geen verzoeken

verwijdering
hebben plaatsgevonden zijn het bestaan en werking niet door ons vast te stellen
aan

2 1 26

Register van verwerkingsactiviteiten Is niet actueel
Wij hebben vastgesteld dat het register van verwerkingsactiviteiten niet volledig en
actueel is

2 1 27

Documentatie

Wij hebben vastgesteld dat geen volledige schriftelijke vastlegging aanwezig is van
de onderdelen genoemd in art 32 lid 1 dan wel een proces om invulling te geven aan
de documentatieplicht

11

1626802

van

21

I Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

2 1 28

Logging
De norm aangaande logging kent nog geen wettelijke basis

nog

niet in werking is getreden

aangezien art 32a Wpg

Derhalve is deze niet verder getoetst en

geevalueerd
2 1 29

Audits

Wij hebben vastgesteld dat aan de eisen zoals gesteld in de Regeling Periodieke
Audit politiegegevens geen uitvoering is gegeven

2 1 30

Melding datalekken
Wij hebben vastgesteld dat BEH voor het melden van datalekken BEH gebrulk maakt
van de standaard procedure van de belastingdienst Omdat zich de afgelopen
periode geen datalekken hebben voorgedaan is het bestaan en de \«erking niet door
ons vast te stellen

2 1 31

Functionaris voor gegevensbescherming

Wij hebben vastgesteld dan de FG voor het ministerie van Financien is aangesteld

aangemeid bij de AP Ook hebben wij vastgesteld dat een jaarlijks verslag van de
bevindingen van de FG vanwege het Wpg volwassenheldsniveau van de
gegevensverwerkende organlsatle niet voorhanden is
en

12 van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

3

Aanbevelingen en of vervoigstappen

Op basis van de geconstateerde bevindingen uit hoofdstuk 2 doen wij de volgende
aanbevelingen
1

Reikwijdte identificeer de bestanden dan wel informatiestromen van
verwerkingen van politiegegevens binnen de organisatie en actualiseer naar
aanleiding hiervan de registratie in het register van verwerkingsactiviteiten
Besteed hierbij tevens aandacht aan de Wpg verwerkingsgrondsiag
Beschrijf daarnaast in opzet een Wpg kwaiiteitshandboek waarin het
onderscheid tussen toezicht

2

AVG

en

opsporing Wpg

is opgenomen

Doelbinding update de registratie in het register van
verwerkingsactiviteiten door de in de wet genoemde doeieinden te koppeien
aan de taken van het BEH Beschrijf daarnaast in opzet een Wpg
kwaiiteitshandboek waarin het vastleggen van het doel evenals de controle
is opgenomen

3

rechtmatigheid politiegegevens beschrijf in opzet
Wpg kwaiiteitshandboek waarin de noodzakelijkheid en rechtmatigheid

Noodzakelijkheid
een
van

de verwerking van politiegegevens is opgenomen

Besteed daarbij

tevens aandacht dat de herkomst van gegevens voor art

9 verwerkingen
Beschrijf daarnaast een werkinstructie betreft een controle
hierop alsmede de technische en organisatorische maatregelen die hierbij

wordt vermeld
horen
4

Juistheid en volledigheid politiegegevens

beschrijf in opzet een Wpg

kwaiiteitshandboek waarin de juistheid en volledigheid van de verwerking
van

politiegegevens is opgenomen Beschrijf tevens een werkinstructie

betreft een controle hierop alsmede de technische en organisatorische

maatregelen die hierbij horen
5

Onderscheid feiten en persoonlijk oordeel

beschrijf in opzet een Wpg

kwaiiteitshandboek waarin het onderscheid tussen feiten en persoonlijk
oordeel is opgenomen

Beschrijf tevens een werkinstructie betreft een

controle hierop alsmede de technische en organisatorische maatregelen die

hierbij horen

13 van 21

1626802

6

Gegevensbescherming door beveiliging en ontwerp voer een
risicoanalyse uit om het risiconiveau voor de verwerkingen van
politiegegevens vastte stellen Beschrijf en implementeer op basis hiervan
passende technische en organisatorische maatregelen die nodig zijn om de
risico s te beperken Leg de uitgangspunten aangaande beveiliging van
gegevens en privacy by design vast in een gegevensbeschermingsbeleid Zie
verder relatie met aanbevelingen onder nummer 8

7

Gegevensbescherming door standaardinstellingen beschrijf en
implementeer op basis van een risicoanalyse passende technische en
organisatorische maatregelen die nodig zijn om de risico s te beperken Leg
de uitgangspunten aangaande beveiliging van gegevens en privacy by
default vast in een gegevensbeschermingsbeleid Zie verder reiatie met
aanbevelingen onder nummer 8

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

8

DPIA beschrijf in opzet
Gegevensbeschermingseffectbeoordeling
het proces aangaande de uitvoering van een DPIA en voer een DPIA uit voor
de verwerkingen die waarschijnlijk een hoog risico voor de rechten en
vrijheden van betrokkenen kunnen opleveren Beschrijf en implementeer op
basis hiervan passende technische en organisatorische maatregelen om de
geidentificeerde risico s te kunnen mitigeren zie tevens onderdeel 6 en 7

9

Bijzondere categorieen van politiegegevens beschrijf in opzet een Wpg
kwaliteitshandboek waarin het verwerken van bijzondere persoonsgegevens
is opgenomen en de manier waarop het BEH hiermee omgaat Beschrijf
tevens in een werkinstructie de controle hierop alsmede de technische en
organisatorische maatregelen die hierbij horen

10

Autorisaties en toegang tot politiegegevens

beschrijf in opzet het
functiescheidingsmatrices door
de verantwoordelijken vastleggen Zorg periodiek voor een controle van
deze en rapporteer waar nodig doorbrekingen De implementatie van een
ondersteunend faciliterend systeem voor de gegevensverwerkingen kan
hierbij helpen
autorisatiebeheer en laat de autorisatie

11

Autorisaties

en

aanwijzen functionarissen beschrijf in opzet een lijst van

bevoegde functionarissen alsmede een proces dat deze lijst actueel dient te
houden

Beschrijf in opzet een Wpg kwaliteitshandboek waarin de functie en
rolbeschrijving van de bevoegde functionarissen is opgenomen
12

Onderscheid tussen verschiliende categorieen van betrokkenen

beschrijf in opzet een Wpg kwaliteitshandboek waarin het onderscheid
tussen verschiliende categorieen van betrokken is opgenomen alsmede het

vastleggen van dit onderscheid in de onderliggende informatiesystemen
13

Verwerker en verwerkersovereenkomst geen aanbevelingen

14

Geheimhoudingsplicht geen aanbevelingen

15

Geautomatiseerde individuele besluitvorming

16

Uitvoering van de dageiijkse politietaak geen aanbevelingen

geen aanbevelingen

17 Ter beschikking stellen van politiegegevens binnen het Wpg domein

geen

aanbevelingen

14 van 21

1626802

18

Geautomatiseerd vergelijken en in combinatie zoeken

19

Ondersteunende taken

20

Bewaartermijnen verwijderen en vernietigen beschrijf in opzet de
wijze waarop met bewaartermijnen en het verwijderen en vernietigen van
gegevens moet worden omgegaan Voorziet hierbij in voldoende waarborgen
om te bewerkstelligen dat de gegevens conform de wet worden
gecontroleerd verwijderd en vernietigd

21

Verstrekking van politiegegevens aan anderen dan politie en Koninklijke
marechaussee geen aanbevelingen

22

Doorgiften aan derde landen

geen aanbevelingen

geen aanbevelingen

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

geen aanbevelingen

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

23

Verstrekking aan derden structureel voor samenwerkingsverbanden geen
aanbevelingen

24

Rechtstreekse verstrekking

25

Informatie aan de betrokkene

geen aanbevelingen
recht op inzage

rectificatie en verwijdering

geen aanbeveiingen
26

Register zorg dat het register van verwerkingen actueel is en borg dat bij
de geplande verbeteringsslag de verplichte onderdelen in het register
worden opgenomen

27

Documentatie

28

Logging geen aanbevelingen

29

Audits

borg een voiiedige en toegankelijke schriftelijke vastiegging
documentatieplicht van de onderdelen genoemd in art 32 lid 1

zorg dat interne audits periodiek worden uitgevoerd en laat deze

opnemen in de auditkalender

15 van 21

1626802

30

Melding datalekken geen aanbeveiingen

31

Functionaris voor gegevensbescherming

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

geen aanbevelingen

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

4

Verantwoording onderzoek

4 1

Werkzaamheden en afbakening

4 1 1

Object van onderzoek
Het object van onderzoek van deze Privacy audit zijn de verwerkingen van
poiitiegegevens die onder de verantwoordeiijkheid van de
verwerkingsverantwoordelijke binnen het BEH plaatsvinden Het onderzoek richt
zich hierbij op de beheersingsmaatregelen in de processen en de systemen die
gebruikt worden bij de uitvoering van de opsporingstaak en de vastlegging van de
politiegegevensgegevens hierbij
De redelijke mate van zekerheid die gegeven is of aan de bepalingen van de Wpg op
adequate wijze uitvoering is gegeven gaat over de vastgestelde wettelijke periode
van

4 1 2

onderzoek van 09 03 2019 tot en met 31 12 2021

Afbakening
Het onderzoek richt zich alleen op de procedures en
treffen

maatregelen die het BEH moet

De ADR verricht geen onderzoek naar door derden aan het BEH geieverde

faciliteiten

voor zover de verantwoordeiijkheid is belegd bij andere dan het BEH
dergelijke gevallen wordt wel gekeken naar de gemaakte afspraken tussen de
partijen en de regie vanuit het BEH gericht op de realisatie van de afspraken

4 1 3

In

Criteria
De

generieke algehele beheersingsdoelstelling voor de privacy audit Wpg voor

boa s is het voorzien in de borging van de wettelijke eisen met betrekking tot de

verwerking van poiitiegegevens door boa s Hiertoe heeft het BEH
beheersingsmaatregelen getroffen die in opzet bestaan en werking door de ADR
worden getoetst De ADR maakt bij deze toetsing gebruik van de volgende criteria
Opzet

De

beheersingsmaatregen beschreven die indien deze
een redelijke mate van zekerheid bieden voor de
borging van de wettelijke eisen met betrekking tot de verwerking van
poiitiegegevens door boa s
De organisatie heeft de beheersingsmaatregelen overeenkomstig de opzet
daadwerkelijk geimplementeerd en toegepast
De
heeft
de
de
organisatie
beheersingsmaatregelen
gedurende
verslaggevingsperiode voigens de opzet toegepast ingevai van handmatige
beheersingsmaatregelen zijn deze toegepast door competente en bevoegde
organisatie

heeft de

werken zoals beschreven

Bestaan

Werking

personen
Dm tot een beoordeling te komen worden de bevindingen en eventuele

rest risico s

gewogen waarbij gebruik wordt gemaakt van vooraf gedefinieerde key controls

Hierbij wordt rekening gehouden met mitigerende maatregelen en de risico s voor
In het toetsingskader zijn de key controls aangegeven
in de laatste kolom De normen die als key control zijn gedefinieerd betreffen

de rechten van betrokkenen

aspecten die een groter risico kunnen vormen voor de rechten van betrokkenen
indien er niet aan wordt voldaan

Indien niet of niet helemaal wordt voldaan aan een norm

beoordeeld

wordt het restrisico

Bij het beoordelen van het restrisico wordt rekening gehouden met het
key control is gedefinieerd

feit of een norm als

4 1 4

16 van 21

1626802

Verantwoordelijkheden van de IT Auditor

| Privacy audit Wet poiitiegegevens Bureau Economische Handhaving

departementaai VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

Onze verantwoordelijkheid is
een

op basis van onze werkzaamheden het geven van
oordeel over de opzet het bestaan en de working van beheersingsmaatregelen

die verband houden met de beheersingsdoelstellingen

Wij hebben onze opdracht
uitgevoerd overeenkomstig
vastgesteld door
Nederlandse Orde van Register EDP Auditors NOREA
Dit vereist dat wij voldoen
aan de voor ons geldende ethische voorschriften en onze werkzaamheden zodanig
plannen en uitvoeren dat een redelijke mate van zekerheid wordt verkregen over de
vraag of de beheersmaatregelen in alle van materieel belang zijnde aspecten op
afdoende wijze zijn opgezet bestaan en werkten gedurende controleperiode
Richtlijn 3000D Directs opdrachten

Een assurance opdracht om te rapporteren over de opzet

het bestaan en de

beheersingsmaatregelen omvat het uitvoeren van werkzaamheden ter

werking
verkrijging van assurance informatie over de opzet het bestaan en de werking van
beheersingsmaatregelen De geselecteerde werkzaamheden zijn afhankelijk van de
door de IT auditor toegepaste oordeelsvorming met inbegrip van het inschatten
van de risico s dat beheersingsmaatregelen zijn opgezet en werkten
van

Wij zijn van mening dat de door ons verkregen assurance informatie voldoende en
geschikt is om een onderbouwing voor onze conclusie met beperking te bieden
4 2

Gehanteerde Standaard
Deze opdracht is uitgevoerd volgens de Richtlijn voor assurance
IT auditors

4 3

Verspreiding rapport
De opdrachtgever
eigenaar van

opdrachten door

NOREA Richtlijn 3000D

is

Persoonsgegevens

dit rapport

De ADR is de interne auditdienst van het Rijk

Dit rapport is primair bestemd voor

de opdrachtgever met wie wij deze opdracht zijn overeengekomen

Voor

openbaarmaking door het opdrachtgevende ministerie van door de ADR aan dit
ministerie uitgebrachte rapporten gelden de voorschriften uit de Wet open overheid
De minister van Financien stuurt elk halfjaar een overzicht van door de ADR

uitgebrachte rapporten naar de Tweede Kamer

17 van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

5

Ondertekening

Den

Haag 20 december 2022

Persoonsgegevens

Auditdienst Rijk

IS van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTROUWELIJK

Managementreactie BEH

Belastingdienst

iwyju

a^uiLH

Utrecht

Auditdienst Rijk

Grote

Accouni FIN EZK LNV

Ondernemingen

La vi

PersQonsqeqevens

Landelijke direcde

Postbus 20701

2500 cw Den Haag

Croeselaan 14
3521 CA Utrecht
l osttue IBbUU

3501 CM

Ulrecfit

bek

3t nl

Cartact| «rsoon

Persoonsgegevens
Betreft

Managementreactie bij Assurancerapport Privacy audit Wet

3ela

politiegegevens Bureau Bconomische Hand having

Datum

tingclleri

t nl

20 decembei 2022

Uwkenm«rtc

Geachpa^oonsgegevejis

Audit iVet Dolltjegegeveris Bureau
Economischc Hondliaving

De Belastlngdienst Directie Grote ondernemingen herkent zlch In de conclusles
van

het orderzoek van de Audit Dierst Rijk ADR

naar het voldoer aar

2D22

0000277625

de

verplichtingen uit de Wet politiegegevens Wpg in de periods 2019 tot en met
2021 door het Bureau Economische Handhaving BEH
Ik dank de ADR voor hst
uitvoeren van de audit en de aanbevelinger in het rapport Ik neem de
aarbevelingen integraal over
BEH kwam in 2021 tot het inzicht dat bepaalde verplichtingen uit de Wpg van

voorbereidirgen zijn getroffer voorde verplichte in

toepassing zijn

waarna

externe audits

In het najaar 2022 zijn daarbij de eerste

en

bevindingen opgekomen

die op dat moment aanieidirg zijn geiwaest om de verbeterpunten projectmatig

irzichtelijk te maken en op te pakken De aanbeveiinger van de ADR worden in dit
project betrokken In januari 2023 zal dit leiden tot een integraal verbeterpian en
in maart 2023 tot eer verbeterrapport
Vooruitlopend hierop riaakt BEH op dit moment werk van de in het ADR rappoit
opgenomen aanbevelinger

Zo is eer aanvang gemaakt met het opstellen van

DPIA’s en worden procesbeschrijvingen versneld opgepekt Ook wordt onderzosk

gedaan naar de aanschaf of ontwikkeling van een ondersteunend ICT systeem dat
voorziet in de Wpg specifieke verplichtingen Daarnaast is per werkproces een
risicoregister opgesteld met de daarbij te nemen beheersmaatregelen en zijn
stepper gezet in hetaanwijzen van bevoegd functionanssen en hetopzetten van
eer register BEH zal alls inspanningen betrachten om eind januari 2023 al een
groot deel van de aarbevelingen opgevolgd te hebben
Realistiscb gezien zal een deel

van de verbetermaatregelen nieh op korte termijn
zijn gei mplementeerd De aanschaf van een passend ICT systeem is bijvoorbeeld
eer traject dat larger dan een jaar zal duren We onderzoeken of tijdelijke

alternatieve beheersmaatregelen mogelijk zijn om de risico s zo goed

mogelijk te
beperken Aanbevelingen die met op korte termijn kunnen worden
gei mplementeerd zullen in de jaarlijkse interne audit worden meegenomer

Pagirwnumner 1 van 2

19 van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

departementaal VERTR0UWELI3K

Eind 2023 zal BEH een hercontrole laten uitvoeren door de ADR Het is onze

Grate Onderneiiii

een belangrijke
vachtlng dat door de maatregslen dis genomen
vorbetering te zien zal zijn ten opzichte van hot woorliggende rapport

Land

v€P

lijkQ drecba

Ostiini
f

ih f’mtrT JQ33

Oits k^nnierk

Hooqacht and

Aiflil Wrt PoIrtingf^pifiHia Bun au

t^anoiiibctie Hii

00Ulte

2022

634

Persoonsgegevens

20 van 21

1626802

| Privacy audit Wet politiegegevens Bureau Economische Handhaving

departementaal VERTROUWELIJK

00001

Auditdienst Rijk

Postbus 20201
2500 EE

Den Haag

Persoonsgegevens

1626802

00001