Binnen onze gemeente zijn buitengewoon opsporingsambtenaren (boa’s) actief die de politie ondersteunen bij het handhaven van de openbare orde en veiligheid. Bij de uitvoering van deze taken verwerken boa’s ook persoonsgegevens. Met het oog op de nieuwe Europese privacyregels vragen wij ons af of waar we als gemeente op moeten letten bij de gegevensverwerking door boa’s.
Antwoord in het kort
Vanaf 6 mei 2018 gelden er nieuwe, specifieke regels voor de gegevensverwerking in verband met de opsporingstaken van buitengewoon opsporingsambtenaren. Ook moet er bij de gegevensverwerking door boa’s rekening worden gehouden met de Algemene verordening gegevensbescherming (AVG) die per 25 mei 2018 van toepassing wordt. De gegevensverwerkingssystemen van gemeenten moeten zowel op de AVG als de specifieke privacyregels in het kader van opsporing en vervolging worden ingericht. Hierbij is het van belang dat de gegevens die door een boa in de rol van opsporingsambtenaar worden verkregen en de gegevens die door een boa in een andere rol (bijvoorbeeld van toezichthouder) worden verkregen voldoende worden afgebakend.
Gegevensverwerking door boa’s
Gemeentelijke boa’s die de politie ondersteunen bij het handhaven van de openbare orde en veiligheid hebben doorgaans meerdere rollen. Boa’s die zijn aangesteld als gemeentelijke handhaver zijn bevoegd tot de opsporing van strafbare feiten (artikel 142 Wetboek van Strafvordering). Daarnaast verrichten boa’s diverse activiteiten, zoals toezichthouder en ogen en oren op straat, die niet onder de opsporingstaak van boa’s vallen.
Bij de uitvoering van beide taken verwerken boa’s persoonsgegevens die worden opgeslagen in de gegevensverwerkingssystemen van gemeenten. Met de inwerkingtreding van de Algemene Verordening Gegevensbescherming en de richtlijn gegevensverwerking opsporing en vervolging is het van belang dat gemeenten een verwerkingssysteem faciliteren waarin een duidelijk onderscheid tussen de verschillende grondslagen voor de verwerking van persoonsgegevens wordt gewaarborgd.
Richtlijn gegevensverwerking opsporing en vervolging
De nieuwe Europese richtlijn gegevensverwerking opsporing en vervolging stelt eisen aan de proportionaliteit en rechtmatigheid van gegevensverwerking met het oog op onderzoek naar en de voorkoming, opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Op grond van deze richtlijn mogen persoonsgegevens uitsluitend voor welbepaalde, uitdrukkelijk omschreven en legitieme doeleinden worden verzameld en niet op een met deze doelen onverenigbare wijze worden verwerkt.
De Europese richtlijn gegevensbescherming opsporing en vervolging moet uiterlijk 6 mei 2018 geïmplementeerd zijn in nationale wetgeving. Om aan deze verplichting te voldoen, past Nederland de Wet politiegegevens (Wpg) en het Besluit politiegegevens bijzondere opsporingsdiensten (Bpg) aan. Het voorstel tot wijziging van de Wpg is inmiddels aangeboden aan de Tweede Kamer. Door de implementatie van de richtlijn worden de huidige nationale regels rondom persoonsgegevensverwerking in het kader van politiële en justitiële activiteiten uitgebreid, bijvoorbeeld ten aanzien van de rechten van betrokkene bij persoonsgegevensverwerking. Er worden tevens nieuwe verplichtingen geïntroduceerd, zoals een meldplicht voor inbreuken op de beveiliging van persoonsgegevens.
Ook boa’s zullen bij de uitvoering van hun taken met deze eisen te maken krijgen. Een gedeelte van de Wpg wordt daarom van overeenkomstige toepassing verklaard op de verwerking van persoonsgegevens door boa’s (artikel 46 Wpg). In de Wpg wordt omschreven hoe gegevensverwerking in het kader van opsporing en vervolging mag plaatsvinden. Zo wordt in de Wpg onder meer bepaald dat politiegegevens onder bepaalde voorwaarden geautomatiseerd kunnen worden vergeleken met andere politiegegevens voor zover dit noodzakelijk is voor het onderzoek.
Algemene verordening gegevensbescherming
De richtlijn gegevensverwerking opsporing en vervolging heeft een grote overlap met de Algemene verordening gegevensbescherming (AVG) die per 25 mei 2018 in Nederland van toepassing is. Decentrale overheden en betrokkenen zijn rechtstreeks aan de regels van de AVG gebonden. In tegenstelling tot de richtlijn hoeft de verordening dus niet te worden omgezet in nationale wetgeving. De AVG biedt de lidstaten echter nog wel ruimte om bepaalde keuzes te maken. In Nederland zijn deze uitgewerkt in de Uitvoeringswet AVG.
De AVG is van toepassing wanneer persoonsgegevens worden verwerkt. Zowel het verzamelen, het vastleggen als het inzien van persoonsgegevens valt onder het begrip verwerken. Het verwerken van persoonsgegevens is alleen toegestaan wanneer deze verwerking op rechtmatige, behoorlijke en transparante wijze geschiedt. Bovendien dient de gegevensverzameling te berusten op welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (artikel 5 en 6 AVG).
Gevolgen voor de gemeentelijke praktijk
De richtlijn gegevensverwerking opsporing en vervolging en de Wpg zijn uitsluitend van toepassing op boa’s wanneer zij gegevens verwerken in hun rol als opsporingsambtenaar. De persoonsgegevensverwerking door boa’s in verband met overige toezichtstaken valt onder de werking van de AVG.
De verschillende grondslagen voor persoonsgegevensverwerking hebben invloed op de verplichtingen voor gemeenten. Gemeenten dienen in persoonsgegevensverwerkingssystemen voor boa’s een expliciete voorziening te treffen, waarmee een onderscheid wordt aangebracht tussen enerzijds de persoonsgegevens die gemeentelijke boa’s in het kader van hun opsporingstaak verwerken en anderzijds de gegevens die zij in het kader van hun andere taken verwerken.
Dit onderscheid kan volgens de Memorie van Toelichting bij de gewijzigde Wpg worden gerealiseerd door het apart labelen van de gegevens die de boa’s verwerken in het kader van hun opsporingstaak. Daarnaast dienen de gemeenten de autorisatie te regelen om deze gegevens te mogen verwerken. Tevens moet de verwerkingsverantwoordelijke gemeente op grond van de aangepaste Wpg logbestanden bijhouden voor de controle van de rechtmatigheid van de gegevensverwerking in het kader van de opsporingstaak.
Meer informatie
Algemene Verordening Gegevensbescherming, Kenniscentrum Europa Decentraal
