Wpg-beleid Brabantse Waterschappen 2025 – 2027

2.11.1 Rubricering van politiegegevens

De AVG onderkent de volgende persoonsgegeven:

•(Gewone) persoonsgegevens;

•Bijzondere persoonsgegevens;

•Strafrechtelijke persoonsgegevens;

•Nationaal identificatienummer (Burgerservicenummer, BSN).

Strafrechtelijke gegevens onder de AVG zijn geen bijzondere persoonsgegevens. Het is een aparte categorie en de verwerking van strafrechtelijke gegevens is verboden. Tenzij een beroep gedaan kan worden op een specifieke wettelijke uitzondering (zoals de Wpg) én op één van de grondslagen voor het verwerken van gewone persoonsgegevens (zie hiervoor Bijlage 3 – Wettelijke grondslagen voor het verwerken van persoonsgegevens).

Voor het waterschap is het van belang dat strafrechtelijke gegevens alleen verwerkt mogen worden onder de Wpg.

Of een persoonsgegeven een persoonsgegeven onder de AVG is of een politiegegeven onder de Wpg hangt af van de aard van de verwerking van het persoonsgegeven. In onderstaande tabel is dit weergegeven.

Persoonsgegeven

Verwerking voor:

Onderhavig aan wetgeving:

Soort gegeven:

(gewoon) persoonsgegeven

Toezicht

AVG

Persoonsgegeven

Opsporing en vervolging

Wpg

Politiegegeven

Bijzonder persoonsgegevens

Toezicht

AVG

Persoonsgegeven

Opsporing en vervolging

Wpg

Politiegegeven

Strafrechtelijk persoonsgegeven

Opsporing en vervolging

Wpg

Politiegegeven

2.11.2 Het waterschap gaat passend en veilig om met politiegegevens

•Hierbij maakt het waterschap gebruik van gangbare beveiligingsnormen en risicomethodieken (zoals o.a. opgenomen in de BIO);

•controle en audits zijn een onderdeel van het bestaande kwaliteitssysteem binnen het waterschap;

•het waterschap beveiligt met gezond verstand: €100 euro uitgeven om een waarde van €1 te beschermen is geen optie).

2.11.3 Verantwoordelijkheid voor het juist verwerken van persoonsgegevens

Verwerken van politiegegevens is een managementverantwoordelijkheid. Dit betekent dat leidinggevenden de primaire verantwoordelijkheid dragen voor een goede informatiebeveiliging op hun afdeling/binnen hun proces.

BOA's gebruiken het systeem dat is aangewezen voor verwerking van Wpg gegevens

2BRS

conform de wettelijke bepalingen en de gebruikershandleiding(en) en voorkomen dat er zonder noodzaak registraties van politiegegevens buiten BRS worden aangelegd ('schaduwsystemen').

BOA’s laten alle gegevensinvoer achterwege die niet absoluut noodzakelijk is op grond van de in de wet genoemde doeleinden.

Rechtstreekse verstrekking vindt alleen plaats op basis van de Wet op de justitiële documentatie en op de verklaringen omtrent het gedrag.

Politiegegevens worden alleen verstrekt aan anderen dan politie en Koninklijke marechaussee voor zover dit noodzakelijk is voor de doeleinden zoals deze in de Wet politiegegevens en het Besluit politiegegevens zijn genoemd.

Nota bene: Het waterschap verstrekt geen politiegegevens aan anderen dan politie en Koninklijke marechaussee. Indien dit toch noodzakelijk blijkt, dan verloopt de verstrekking via de BF en draagt de BF er zorg voor dat deze verwerking in het verwerkingsregister wordt opgenomen.

Nota bene: Het verstrekken van politiegegevens aan bevoegde autoriteiten in andere lidstaten van de EU of aan organen en instanties zoals bedoeld in art. 15a voor zover dat voortvloeit uit een rechtsinstrument op grond van het verdrag betreffende de werking van de EU, vindt niet plaats.

2.11.4 Kennisuitwisseling en opbouw

Tussen de Brabantse waterschappen vindt kennisuitwisseling plaats over informatieveiligheid, privacy en de Wpg.

De Brabantse waterschappen participeren in programma’s en overlegorganen binnen en buiten de sector ten aanzien van informatiebeveiliging en privacy. Voorbeelden hiervan zijn:

•het programma Informatiebeveiliging en Privacy van het Waterschapshuis (HWH Amersfoort). Het waterschap neemt deel aan de CPW (Coördinatoren privacy waterschappen);

•Het CIP, een publiek-private netwerkorganisatie met als doel faciliteren van kennisdeling op het gebied van informatiebeveiliging en privacy.

Samen met andere sectoren en het Nationaal Cyber Security Center (NCSC) wordt kennis uitgewisseld.

Er is nauwe samenwerking met het CERT-WM

3Computer Emergency Response Team Water Management

over bedreigingen en weerbaarheid tegen actuele dreigingen.

2.11.5 Samenwerking met marktpartijen en partners

Waar privacy-expertise nodig is die binnen het waterschap ontbreekt, wordt gebruik gemaakt van de kennis van marktpartijen en partners. Dit doen we ook als we een onafhankelijke externe blik nodig hebben, bijvoorbeeld voor testen en audits.

2.11.6 Verwerkersovereenkomst

Het waterschap kan werkzaamheden uitbesteden aan derden. Daarvoor is het soms nodig dat het waterschap persoonsgegevens verstrekt aan deze andere partij. Wanneer die partij politiegegevens verwerkt namens het waterschap is de andere partij "verwerker" in de zin van de Wpg. Het waterschap is en blijft verwerkingsverantwoordelijke met betrekking tot deze persoonsgegevens.

Voor de Brabantse waterschappen verwerkt NatuurNetwerk BV politiegegevens in de applicatie BRS. NatuurNetwerk BV is hiermee verwerker. Het waterschap is de verwerkingsverantwoordelijke.

Kenmerkend van een verwerker is:

•dat deze niet aan het gezag van het waterschap is onderworpen;

•dat deze niet zelf doel en middelen van de verwerking van de persoonsgegevens bepaalt.

Dit is en blijft de verantwoordelijkheid van het waterschap.

De Wpg bepaalt dat met iedere verwerker vóór de verwerking van politiegegevens afspraken worden gemaakt en vastgelegd over het verwerken en beveiligen van de deze gegevens. Deze overeenkomst wordt de "verwerkersovereenkomst" genoemd.

•Informatie over het al dan niet afsluiten van een verwerkersovereenkomst bij een overeenkomst met een verwerker is in te winnen bij de Privacydesk;

•het waterschap gebruikt de door het CPW opgestelde modellenverwerkersovereenkomsten;

•het waterschap houdt in het verwerkingsregister een overzicht bij van alle door het waterschap afgesloten verwerkersovereenkomsten.

2.11.7 Register van verwerkingen

De Wpg verplicht het waterschap om een register bij te houden van alle verwerkingen van politiegegevens. Conform Wpg artikel 31d lid 1 legt het waterschap de volgende informatie vast:

•De naam en contactgegevens van de verwerkingsverantwoordelijke

•De naam en contactgegevens van de FG

•De doelen van de verwerking

•de categorieën van ontvangers aan wie politiegegevens zijn of zullen worden verstrekt, met inbegrip van ontvangers in derde landen of internationale organisaties

•Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens;

•In voorkomend geval, het gebruik van profilering;

•in voorkomend geval, de categorieën van doorgiften van politiegegevens aan een derde land of een internationale organisatie;

•Een aanwijzing van de rechtsgrondslag van de verwerking, met inbegrip van doorgiften, waarvoor de politie gegevens bedoeld zijn;

•Zo mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens worden verwijderd of vernietigd;

•Zo mogelijk, een algemene beschrijving van de technische en organisatorische maatregelen ter beveiliging;

•Of er een verwerkersovereenkomst met een verwerker is afgesloten.

Voor het up-to-date houden van het register van verwerkingen zijn (proces)managers verantwoordelijk voor:

•Het tijdig aanleveren van de juiste gegevens;

•Het periodiek actueel houden van het register en het registeren van nieuwe en bestaande verwerkingen binnen het Wpg-domein;

•Het uitvoeren van een zichtbare periodieke actualisatie van het verwerkingsregister conform de procedure.

Nota bene: Het waterschap neemt geen besluiten die uitsluitend gebaseerd zijn op geautomatiseerde verwerking (profilering).

Nota bene: Geautomatiseerde vergelijking met andere politiegegevens of met andere dan politiegegevens vindt niet plaats. Indien dit toch noodzakelijk is, dan kan dit alleen via de BF plaatsvinden en zorgt de BF ervoor dat deze verwerking in het verwerkingsregister wordt opgenomen.

Nota bene: Het waterschap geeft geen politiegegevens door aan derde landen. Indien dit toch noodzakelijk is, dan kan dit alleen via de BF plaatsvinden en zorgt de BF ervoor dat deze verwerking in het verwerkingsregister wordt opgenomen.

Nota bene: Het waterschap verstrekt geen politiegegevens structureel aan derden voor samenwerkingsverbanden. Indien dit toch noodzakelijk is, dan kan dit alleen via de BF plaatsvinden en zorgt de BF ervoor dat deze verwerking in het verwerkingsregister wordt opgenomen.

2.11.8 Privacy by design and by default

Privacy by design and by default heet in de Wpg ‘gegevensbescherming door beveiliging en ontwerp (art. 4a en 4b van de Wpg)’’.

Bij het waterschap wordt vanaf het begin van de ontwikkeling van een proces, systeem of dienst rekening gehouden met privacy (het “privacy by design” en “privacy by default” principe).

Dit houdt in dat er zeer kritisch gekeken wordt naar onder andere dataminimalisatie en het gebruik van andere technieken om persoonsgegevens in (informatie)systemen te beschermen.

Daarbij zijn de volgende uitgangspunten van toepassing:

Uitgangspunt

Beschrijving

Proactief en preventief

Privacy is vanaf de initiatie een aandachtspunt. Begin met privacy in een zo vroeg mogelijk stadium, dus bij de beleidsvorming en de eerste opzet van de proces/systeemarchitectuur en win advies in bij de Privacydesk.

Privacy by default

Als de betrokkene in een systeem een keuze kan maken uit meerdere opties, dan is de meest strikte bescherming van privacy de standard optie. De betrokkene hoeft zelf niets te doen om de privacy optimaal te beschermen.

Privacy geïntegreerd in het ontwerp

Privacy maatregelen zijn integraal onderdeel van de informatieverwerking. Dit geldt voor de technische systemen én de processen die de informatie verwerken.

Privacy by design

Privacy by design waarborgt de privacy, inclusief de beveiliging, gedurende de gehele levenscyclus van de persoonsgegevens van verzamelen/ontwerpen tot vernietiging. Het zorgdragen voor veiligheid is geen eenmalige actie.

Zichtbaarheid en transparantie – houd het open

Inzicht en transparantie over hoe persoonsgegeven worden verwerkt moet mogelijk zijn voor zowel de betrokkene, de eigen organisatie en de toezichthouder. Op de website van het waterschap is voor iedereen de privacyverklaring van het waterschap te lezen.

2.11.9 Centralisatie datavoorziening

Het beleid van het waterschap is om politiegegevens centraal op te slaan. Daarvoor wordt gebruik gemaakt van BRS. Zo ontstaat een centrale plek waar alle gegevens opgeslagen kunnen worden en is er maximale controle op de toegang en behandeling van deze gegevens. Het helpt ook om te voldoen aan eisen uit de Wpg (zoals juistheid, opslagbeperking, minimale gegevensverwerking en uitoefening van rechten van betrokkenen).

Er is een procedure ingericht om toegang te verlenen tot de politiegegevens in BRS. Hiervoor is een autorisatiematrix opgesteld waarin, op basis van functie of rol, medewerkers worden geautoriseerd binnen BRS. De autorisaties worden minimaal tweemaal per jaar gecontroleerd en de resultaten van de controle worden vastgelegd.

2.11.10 Privacy risico’s in kaart brengen

Een DPIA is een methode om in een vroeg ontwikkelstadium op een gestructureerde manier risico’s met betrekking tot privacy- en politiegegevens in beeld te brengen alvorens een nieuw(e) werkproces/ applicatie/software wordt aangeschaft of in gebruik genomen.

Een DPIA is op grond van de Wpg verplicht als de (nieuwe/gewijzigde) verwerking waarschijnlijk een hoog privacy risico oplevert voor de betrokkenen. Dat is in ieder geval het geval bij:

Wanneer een soort verwerking van politiegegevens, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context of doelen ervan, waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert, voert de verwerkingsverantwoordelijke voorafgaande aan de verwerking een beoordeling uit van het effect van de voorgenomen verwerkingsactiviteiten op de bescherming van persoonsgegevens.

In principe wordt altijd een advies ingewonnen bij de Privacydesk over het al dan niet uitvoeren van een DPIA.

Een uitgevoerde DPIA kan worden herhaald als er zich wijzigingen in de verwerking of in de “omgeving” (bv jurisprudentie) voordoen.

Een DPIA voor de verwerking van politiegegevens komt grotendeels overeen met de DPIA voor de verwerking van persoonsgegevens. Omdat er toch enkele verschillen zijn, is ervoor gekozen om twee aparte DPIA’s templates op te stellen. De Wpg-DPIA is geen onderdeel van dit Wpg-beleid en wordt apart opgeleverd.