Begin bij de taak waarvoor gegevens worden gebruikt
Beschrijf wat de medewerker doet, waarom persoonsgegevens nodig zijn en op welke taak dat gebruik berust. Maak vervolgens duidelijk wie gegevens vastlegt, raadpleegt, verstrekt of ontvangt. Betrek de proceseigenaar en privacyexpertise bij twijfelgevallen.
Lees de toelichting
De juridische beoordeling kan verschillen tussen opsporingswerk en andere werkzaamheden. Een bestaand AVG-register of algemene privacyverklaring is daarom geen vervanging voor het beoordelen van Wpg-verwerkingen. Ook een leverancier die zegt ‘AVG-proof’ te zijn, beantwoordt daarmee de Wpg-vragen niet.
Vertaal het onderscheid naar systemen en werkinstructies
Als één systeem meerdere taken ondersteunt, moet duidelijk zijn hoe gegevens bij het juiste doel en regime worden gehouden. Kijk naar autorisaties, categorieën, logging, bewaartermijnen en verstrekking. Welke maatregelen nodig zijn, volgt uit de concrete inrichting en toepasselijke regels.
Lees de toelichting
Medewerkers moeten weten wat ze in welke situatie doen en bij wie zij twijfel melden. Beschrijf herkenbare voorbeelden in de instructies. Laat beleid, systeeminrichting en dagelijkse uitvoering op elkaar aansluiten; alleen een label ‘Wpg’ bij een dossier maakt dat nog niet waar.
Houd uitvoering, FG-toezicht en audit uit elkaar
De verwerkingsverantwoordelijke blijft verantwoordelijk voor naleving en auditverplichtingen. De FG adviseert en houdt toezicht. De periodieke Wpg-audit heeft eigen eisen aan onderzoek en auditor. Een algemeen AVG-onderzoek vervangt deze audit niet.
Lees de toelichting
Datajuristen kan helpen bij afbakening, werkinstructies, verbetermaatregelen en het voorbereiden van bewijs. De wettelijke onafhankelijke externe Wpg-audit wordt afzonderlijk uitgevoerd door een auditor die aan de toepasselijke eisen voldoet. Bij open bevindingen moeten rapport, termijnen en hercontrolevereisten gezamenlijk worden bekeken.
Wat moet in ieder geval zijn geregeld?
Concrete taak en doel beschreven
Gegevensstromen en ontvangers in beeld
AVG/Wpg-afbakening inhoudelijk beoordeeld
Rechten, logging en bewaren uitgewerkt
Toezicht, audit en herstel belegd
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.