Regeling WPG Defensie

1

Deze regeling is van toepassing op verwerking van politiegegevens door de Koninklijke Marechaussee die in een bestand zijn opgenomen of die bestemd zijn daarin te worden opgenomen en waarvoor de Minister van Defensie de verwerkingsverantwoordelijke is in de zin van de Wet politiegegevens.

2

Deze regeling is niet van toepassing op de verwerking van politiegegevens:

• a.

  voor activiteiten met uitsluitend persoonlijke doeleinden;

• b.

  voor de interne bedrijfsvoering.

1

De Commandant Koninklijke Marechaussee is Wpg-beheerder.

2

De Wpg-beheerder draagt zorg voor naleving van de regelgeving omtrent verwerking van politiegegevens door de Koninklijke Marechaussee. Hij doet dit namens de minister.

3

Ieder jaar rapporteert de Wpg-beheerder zijn bevindingen aan de functionaris voor gegevensbescherming WPG. Hij doet dit uiterlijk op 31 december van dat jaar.

4

De Wpg-beheerder zorgt er voor dat contacten met de Autoriteit persoonsgegevens geschieden door tussenkomst van de functionaris voor gegevensbescherming WPG.

5

De Wpg-beheerder kan zijn taken geheel of gedeeltelijk opdragen aan een Wpg-onderbeheerder. Hieronder valt het binnen de Koninklijke Marechaussee coördineren van de uitvoering van de regelgeving die van toepassing is op de verwerking van politiegegevens.

6

In uitzondering op het vorige lid kan de Wpg-beheerder het aangaan of beëindigen van een verwerkersovereenkomst, bedoeld in artikel 1.5, niet aan de Wpg-onderbeheerder opdragen.

7

De Wpg-beheerder deelt het opdragen van de taken mee aan de functionaris voor gegevensbescherming WPG.

1

De Wpg-beheerder wijst binnen de Koninklijke Marechaussee één of meer privacyfunctionarissen aan. Hij deelt dit mee aan de functionaris voor gegevensbescherming WPG.

2

De privacyfunctionaris:

• a.

  adviseert binnen Defensie over de toepassing van regelgeving die betrekking heeft op de verwerking van politiegegevens;

• b.

  adviseert binnen Defensie over gecoördineerde uitvoering daarvan;

• c.

  ziet toe op de verwerking van politiegegevens;

• d.

  draagt zorg voor melding van een datalek aan de Autoriteit persoonsgegevens.

3

De privacyfunctionaris rapporteert zijn bevindingen jaarlijks aan de Wpg-beheerder.

1

De Wpg-beheerder kan politiegegevens laten verwerken door een verwerker, met inachtneming van artikel 6c van de wet en artikel 6:1b van het Besluit politiegegevens.

2

De overeenkomst tot verwerking van de betreffende politiegegevens wordt vastgelegd in een schriftelijke verwerkersovereenkomst tussen de verwerker en de Wpg-beheerder die optreedt namens de minister.

1

Er is een functionaris voor gegevensbescherming WPG. Hij wordt tijdig betrokken bij alle aangelegenheden die verband houden met de bescherming van politiegegevens.

2

De functionaris voor gegevensbescherming WPG vervult binnen het Ministerie van Defensie de taken, genoemd in artikel 36, derde lid, van de wet en ziet toe op de afwikkeling van klachten en het evalueren van incidenten over het verwerken van politiegegevens binnen het ministerie.

3

De functionaris voor gegevensbescherming WPG rapporteert jaarlijks aan de minister over de naleving van de wet en daarop gebaseerde regelgeving binnen het ministerie.

4

Voor de uitoefening van het toezicht beschikt de functionaris voor gegevensbescherming WPG over de bevoegdheden als bedoeld in Titel 5.2 van de Algemene wet bestuursrecht. De functionaris voor gegevensbescherming WPG maakt alleen gebruik van zijn bevoegdheden als dat nodig is voor de vervulling van zijn taak.

5

De functionaris voor gegevensbescherming WPG wordt alle medewerking verleend die hij redelijkerwijs kan vorderen, tenzij een wettelijke geheimhoudingsplicht daar aan in de weg staat.

6

De verwerkingsverantwoordelijke maakt de contactgegevens van de functionaris voor gegevensbescherming WPG openbaar. Hij deelt deze mee aan de Autoriteit persoonsgegevens.

1

Er is een register van verwerkingsactiviteiten, als bedoeld in artikel 31d van de wet, van het ministerie.

2

Het register wordt opgesteld en geactualiseerd door de Wpg-beheerder.

3

Voordat met een nieuwe of gewijzigde verwerking van politiegegevens wordt begonnen, wordt deze verwerking opgenomen in het register.

4

Het register omvat:

• a.

  de in artikel 31d, eerste lid, van de wet bedoelde gegevens;

• b.

  indien van toepassing, een afschrift van de afspraken met een verwerker, als bedoeld in artikel 6c, tweede lid, van de wet;

• c.

  algemene informatie over de locaties en ICT-systemen waar de verwerking plaatsvindt;

• d.

  informatie over de onderdelen van het proces ten behoeve waarvan het verwerken van persoonsgegevens plaatsvindt;

• e.

  indien van toepassing een afschrift van de gegevensbeschermingseffectbeoordeling, bedoeld in artikel 4c van de wet.

5

De functionaris voor gegevensbescherming WPG en de Autoriteit persoonsgegevens krijgen op hun verzoek toegang tot het register.

1

De Wpg-beheerder zorgt voor de elektronische vastlegging van ten minste het verzamelen, wijzigen, raadplegen, verstrekken, doorgeven, combineren of vernietigen van politiegegevens, conform artikel 32a van de wet.

2

De minimale duur van de logging van een politiegegeven is vier jaar.

1

De Wpg-beheerder voert de gegevensbeschermingseffectbeoordeling uit als bedoeld in artikel 4c van de wet, aan de hand van het Model gegevensbeschermingseffectbeoordeling Rijksdienst (PIA).

2

Het projectplan dat op de voorgenomen gegevensbeschermingseffectbeoordeling betrekking heeft, wordt ter advies voorgelegd aan de functionaris voor gegevensbescherming WPG. Het projectplan wordt daarnaast voorgelegd aan de Chief Information Officer als de gegevensverwerking gepaard gaat met de bouw of vergaande aanpassing van een ICT-systeem.

3

Een voltooide PIA bestaat uit:

• a.

  een algemene beschrijving van de voorgenomen verwerkingen en de verwerkingsdoeleinden;

• b.

  een beschrijving en beoordeling van de rechtsgrond en de noodzaak van de voorgenomen verwerkingen in relatie tot de verwerkingsdoeleinden;

• c.

  een beschrijving en beoordeling van risico’s van de voorgenomen verwerkingen voor de rechten en vrijheden van de betrokkenen; en

• d.

  een beschrijving van de voorzorgs- en beveiligingsmaatregelen en mechanismen om de politiegegevens te beschermen en aan te tonen dat is voldaan aan de wet en daarop gebaseerde regelgeving, met inachtneming van de rechten en gerechtvaardigde belangen van betrokkenen.

4

Wanneer uit de gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico als bedoeld in artikel 33b, eerste lid, van de wet oplevert, wordt de Autoriteit persoonsgegevens geraadpleegd, door tussenkomst van de functionaris voor gegevensbescherming, conform art. 33b van de wet.

1

De privacyfunctionaris meldt een inbreuk op de beveiliging, als bedoeld in artikel 33a, eerste lid, van de wet, aan de Autoriteit persoonsgegevens. Hij stuurt een kopie daarvan aan de functionaris voor gegevensbescherming WPG.

2

De melding bevat de in artikel 33a, tweede lid, van de wet genoemde gegevens.

3

De privacyfunctionaris doet de melding binnen 72 uur nadat hij kennis heeft genomen van het datalek.

4

Als het niet waarschijnlijk is dat de inbreuk op de beveiliging een risico voor de rechten en vrijheden van personen met zich meebrengt, doet de privacyfunctionaris de melding zodra hij de informatie kan verstrekken, genoemd in artikel 33a, tweede lid van de wet.

5

Een te late melding gaat vergezeld van een motivering van de vertraging.

1

De privacyfunctionaris deelt de inbreuk op de beveiliging mee aan de betrokkene wanneer deze inbreuk waarschijnlijk een hoog risico voor de rechten en vrijheden van personen met zich meebrengt.

2

De mededeling bevat de in artikel 33a, vijfde lid, van de wet genoemde gegevens.

3

De mededeling is niet vereist wanneer:

• a.

  passende technische en organisatorische maatregelen zijn getroffen en toegepast op de politiegegevens waarop het datalek betrekking heeft;

• b.

  maatregelen zijn getroffen om er voor te zorgen dat het hoge risico, bedoeld in het eerste lid, zich waarschijnlijk niet meer zal voordoen; of

• c.

  de mededeling een onevenredige inspanning zou vergen. In dat geval volgt een openbare vergelijkbare maatregel waarmee betrokkene even doeltreffend wordt geïnformeerd.

4

De mededeling kan worden uitgesteld, beperkt of achterwege gelaten:

• a.

  ter vermijding van belemmering van de gerechtelijke onderzoeken of procedures;

• b.

  ter vermijding van nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen;

• c.

  ter bescherming van de openbare of de nationale veiligheid;

• d.

  ter bescherming van de rechten en vrijheden van derden;

• e.

  in geval van een kennelijk ongegrond of buitensporig verzoek.

1

Op verzoek van betrokkene wordt hem conform artikel 24a van de wet informatie verstrekt over de verwerking van politiegegevens. Dit wordt gedaan in beknopte en toegankelijke vorm en voor zover beveiliging dit toelaat.

2

Op verzoek van betrokkene worden hem conform artikel 24b van de wet de gegevens verstrekt, tenzij ten aanzien van betrokkene het gegronde vermoeden bestaat dat hij een strafbaar feit heeft gepleegd of zal gaan plegen.

1

Betrokkene richt verzoeken om inzage, rectificatie, aanvulling en vernietiging van politiegegevens, als bedoeld in de artikelen 25 en 28 van de wet, aan de Wpg-beheerder.

2

Het verzoek kan namens betrokkene worden gedaan door de Autoriteit persoonsgegevens of door de advocaat van betrokkene. Betrokkene machtigt zijn advocaat met een bijzondere, daartoe strekkende schriftelijke machtiging.

3

Het verzoek kan namens betrokkene worden gedaan door zijn wettelijk vertegenwoordiger als betrokkene jonger is dan 16 jaar of onder curatele is gesteld.

4

De Wpg-beheerder neemt het verzoek in behandeling.

5

Bij het in behandeling nemen van het verzoek stelt de Wpg-beheerder

• a.

  de identiteit van de verzoeker en van betrokkene vast;

• b.

  betrokkene, in geval van een verzoek om inzage of rectificatie, schriftelijk in kennis van de ontvangst van het verzoek, de termijn voor uitsluitsel en de mogelijkheid om naar aanleiding daarvan een klacht in te dienen bij de Autoriteit persoonsgegevens.

6

Het verzoek wordt afgewezen:

• a.

  bij een kennelijk ongegrond of buitensporig verzoek; of

• b.

  voor zover dit een noodzakelijke en evenredige maatregel is

  • 1e.

    ter vermijding van belemmering van de gerechtelijke onderzoeken of procedures;

  • 2e.

    ter vermijding van nadelige gevolgen voor de voorkoming, de opsporing, het onderzoek en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen;

  • 3e.

    ter bescherming van de openbare of de nationale veiligheid; of

  • 4e.

    ter bescherming van de rechten en vrijheden van derden.

7

Op een verzoek om inzage in de gegevens wordt binnen zes weken beslist, tenzij sprake is van verdaging als bedoeld in artikel 25, tweede lid, van de wet.

8

Op een verzoek om rectificatie, aanvulling of vernietiging van de politiegegevens, wordt binnen vier weken beslist.

9

Een afwijzing van het verzoek wordt gemotiveerd.

1

Het besluit als bedoeld in artikel 5.2, zevende en achtste lid, bevat de mededeling dat bezwaar gemaakt kan worden en aan wie het bezwaar gericht dient te zijn.

2

Binnen zes weken na de dag van verzending van een besluit als bedoeld in artikel 5.2, zevende en achtste lid, kan een ieder wiens belang rechtstreeks bij dit besluit is betrokken, bezwaar maken.

1

Politiegegevens worden slechts verwerkt met inachtneming van artikel 3 van de wet.

2

De Wpg-beheerder treft de nodige maatregelen overeenkomstig artikel 4 van de wet, waaronder:

• a.

  het vernietigen of rectificeren van politiegegevens zodra blijkt dat deze onjuist zijn;

• b.

  het vernietigen of verwijderen van politiegegevens zodra deze niet langer noodzakelijk zijn voor het doel waarvoor ze zijn verwerkt;

• c.

  het vernietigen of verwijderen van politiegegevens zodra een wettelijke bepaling dit vereist;

• d.

  het onderscheiden tussen feitelijke politiegegevens en politiegegevens die op een persoonlijk oordeel zijn gebaseerd.

1

Politiegegevens worden alleen verwerkt door ambtenaren, tewerkgesteld of ingedeeld bij de Koninklijke Marechaussee die dit doen in de uitoefening van de politietaak en voorzover zij voor die verwerking zijn geautoriseerd door de Wpg-beheerder.

2

De Wpg-beheerder onderhoudt een systeem van autorisaties dat voldoet aan de vereisten van zorgvuldigheid en evenredigheid, conform artikel 6 van de wet.

1

De Audit Dienst Rijk kan, eventueel op verzoek van de functionaris voor gegevensbescherming WPG, een audit uitvoeren naar de naleving van de wet en deze regeling.

2

Wanneer een auditdienst het voornemen heeft een audit te verrichten, wordt de functionaris voor gegevensbescherming WPG hiervan op de hoogte gesteld.

3

De auditdienst rapporteert haar bevindingen aan de minister en aan de functionaris voor gegevensbescherming WPG.