Begin bij de taak waarvoor gegevens worden gebruikt
Beschrijf wat de medewerker doet, waarom persoonsgegevens nodig zijn en op welke taak dat gebruik berust. Maak vervolgens duidelijk wie gegevens vastlegt, raadpleegt, verstrekt of ontvangt. Betrek de proceseigenaar en privacyexpertise bij twijfelgevallen.
De juridische beoordeling kan verschillen tussen opsporingswerk en andere werkzaamheden. Een bestaand AVG-register of algemene privacyverklaring is daarom geen vervanging voor het beoordelen van Wpg-verwerkingen. Ook een leverancier die zegt ‘AVG-proof’ te zijn, beantwoordt daarmee de Wpg-vragen niet.
Vertaal het onderscheid naar systemen en werkinstructies
Als één systeem meerdere taken ondersteunt, moet duidelijk zijn hoe gegevens bij het juiste doel en regime worden gehouden. Kijk naar autorisaties, categorieën, logging, bewaartermijnen en verstrekking. Welke maatregelen nodig zijn, volgt uit de concrete inrichting en toepasselijke regels.
Medewerkers moeten weten wat ze in welke situatie doen en bij wie zij twijfel melden. Beschrijf herkenbare voorbeelden in de instructies. Laat beleid, systeeminrichting en dagelijkse uitvoering op elkaar aansluiten; alleen een label ‘Wpg’ bij een dossier maakt dat nog niet waar.
Houd uitvoering, FG-toezicht en audit uit elkaar
De verwerkingsverantwoordelijke blijft verantwoordelijk voor naleving en auditverplichtingen. De FG adviseert en houdt toezicht. De periodieke Wpg-audit heeft eigen eisen aan onderzoek en auditor. Een algemeen AVG-onderzoek vervangt deze audit niet.
Datajuristen kan helpen bij afbakening, werkinstructies, verbetermaatregelen en het voorbereiden van bewijs. De wettelijke onafhankelijke externe Wpg-audit wordt afzonderlijk uitgevoerd door een auditor die aan de toepasselijke eisen voldoet. Bij open bevindingen moeten rapport, termijnen en hercontrolevereisten gezamenlijk worden bekeken.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Concrete taak en doel beschreven
- Gegevensstromen en ontvangers in beeld
- AVG/Wpg-afbakening inhoudelijk beoordeeld
- Rechten, logging en bewaren uitgewerkt
- Toezicht, audit en herstel belegd
Veelgestelde vragen
Verder met uw vraag.
Geldt de Wpg voor iedere medewerker van een gemeente?
Nee. Beoordeel de taak en concrete verwerking. De Wpg kan bij opsporingswerk spelen; de organisatie verwerkt daarnaast veel gegevens onder de AVG.
Kan de FG de Wpg-audit uitvoeren?
De AP onderscheidt FG-toezicht van het uitvoeren van de Wpg-audit en hercontrole. Richt de rollen apart in en laat het auditonderzoek door een passende auditor uitvoeren.
Officiële bronnen
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.