De Wet politiegegevens (Wpg) regelt hoe boa's (buitengewoon opsporingsambtenaren) en andere opsporingsinstanties persoonsgegevens mogen verwerken. De Wpg staat naast de AVG: waar de AVG de algemene verwerking van persoonsgegevens regelt, kent de Wpg eigen regels voor opsporing, handhaving en strafvordering. Voor iedere boa-organisatie is Wpg-compliance verplicht; een Functionaris voor Gegevensbescherming houdt toezicht.
Op zoek naar een oplossing om goed te kunnen voldoen aan de eisen van de Wpg audit? Normity helpt je graag verder. Met onze gebruikersvriendelijke en complete software, ondersteund door onze adviseurs.
De Wpg is een wet die regelt hoe persoonsgegevens mogen worden verwerkt door politie en andere opsporingsinstanties. Het gaat hierbij om gegevens die worden verzameld in het kader van opsporing, vervolging en handhaving van de openbare orde. De Wpg is van toepassing op een breed scala aan opsporingsinstanties, waaronder de politie, de Koninklijke Marechaussee, de Fiscale Inlichtingen- en Opsporingsdienst (FIOD) en dus ook boa's.
De Wpg stelt eisen aan de verwerking van persoonsgegevens, zoals de vereisten voor rechtmatigheid, doelbinding, proportionaliteit, subsidiariteit en beveiliging. Daarnaast voorziet de Wpg in verschillende rechten voor betrokkenen, zoals het recht op inzage, correctie, verwijdering en verzet tegen de verwerking van hun persoonsgegevens.
Boa's hebben beperkte bevoegdheden in vergelijking met de politie. Ze mogen bijvoorbeeld geen huiszoeking doen, geen verdachten aanhouden en geen wapens dragen. Toch hebben ze wel de taak om toezicht te houden op de naleving van wet- en regelgeving, en daarbij kunnen ze geconfronteerd worden met persoonsgegevens.
Boa's mogen persoonsgegevens verwerken in het kader van hun taakuitoefening, maar moeten daarbij wel voldoen aan de eisen van de Wpg. Dit betekent onder andere dat ze de gegevens alleen mogen verwerken voor het specifieke doel waarvoor ze zijn verzameld, dat ze de gegevens niet langer mogen bewaren dan noodzakelijk en dat ze de gegevens goed moeten beveiligen.
Bij het verwerken van persoonsgegevens moeten boa's ook rekening houden met de rechten van betrokkenen. Als iemand bijvoorbeeld vraagt om inzage in de gegevens die over hem of haar zijn verzameld, moet de boa daar gehoor aan geven, tenzij er een wettelijke uitzondering van toepassing is.
Daarnaast moeten boa's erop letten dat ze niet meer persoonsgegevens verwerken dan nodig is voor hun taak. Dit betekent dat ze niet zomaar allerlei persoonsgegevens mogen verzamelen omdat dat handig is of omdat het later misschien van pas kan komen. De gegevens moeten altijd relevant zijn voor de taak waarvoor ze worden verzameld.
Wie met de Wet politiegegevens (Wpg) aan de slag gaat, komt al snel termen tegen als betrokkene, grondslag, bewaartermijn, verwerkingsregister en noodzakelijkheid. In dit artikel zetten we de tien belangrijkste Wpg-begrippen op een rij, elk met een heldere toelichting — handig als referentie tijdens implementatie of audit.
Het Wpg-verwerkingsregister is vergelijkbaar met het AVG-verwerkingsregister, maar kent aanvullende eisen: onder meer over bewaartermijnen, rechtsgrondslagen per artikel en expliciete koppeling aan politietaken. In dit artikel lees je welke extra elementen het Wpg-register moet bevatten en hoe je dit naadloos aanvult op een bestaand AVG-verwerkingsregister.
Boa's (buitengewoon opsporingsambtenaren) verwerken persoonsgegevens die vanaf een bepaald moment niet onder de AVG, maar onder de Wet politiegegevens (Wpg) vallen. Dat heeft gevolgen voor bewaartermijnen, rechten van betrokkenen en verwerkingsregisters. Dit artikel is de introductie van onze serie over de Wpg voor boa's en wat die in praktijk betekent.
De vragen die we het vaakst krijgen over Wpg voor boa's, met korte en feitelijke antwoorden.
De Wpg (Wet politiegegevens) is Nederlandse wetgeving die regelt hoe politiegegevens mogen worden verwerkt — strenger dan de AVG. Sinds 2019 geldt de Wpg ook voor BOA's (buitengewoon opsporingsambtenaren), naast de verwante Wjsg (Wet justitiële en strafvorderlijke gegevens). De wet stelt zware eisen aan doelbinding, bewaartermijnen en autorisaties.
De Wpg geldt voor alle BOA's die persoonsgegevens verwerken in het kader van opsporing of handhaving van strafbare feiten — dus bij boetes, waarschuwingen, processen-verbaal en onderliggende dossiers. Voorbeelden: gemeentelijke BOA's, parkeertoezichthouders, omgevingsdienst-BOA's, NVWA-inspecteurs en Belastingdienst-BOA's.
De AVG is generiek privacyrecht. De Wpg is specifiek voor opsporingsgegevens en gaat op veel punten verder: striktere doelbinding, verplichte logging van alle zoekvragen, zware autorisatiecontroles, specifieke bewaartermijnen (1, 5 of 20 jaar afhankelijk van gegevenstype) en verplichte periodieke audits. Voor opsporingsgegevens geldt de Wpg, niet de AVG.
De Wpg gaat over politiegegevens (opsporing, handhaving). De Wjsg gaat over justitiële en strafvorderlijke gegevens (na aanhouding, in de strafrechtketen). BOA's verwerken beide gegevenstypes, afhankelijk van hun rol. De twee wetten overlappen qua eisen, maar hebben andere bewaartermijnen en doelbindingen.
De Wpg vereist onder meer: aanwijzing van een Functionaris voor de Gegevensbescherming (FG), vastlegging van alle verwerkingen in een register, autorisatiebeheer per gebruiker en systeem, logging van alle handelingen, vernietiging na vervaltermijnen en een jaarlijkse interne audit plus een externe privacy-audit elke vier jaar.
De Wpg-audit is een verplichte externe audit die BOA-organisaties elke vier jaar moeten laten uitvoeren door een geaccrediteerde IT-auditor. De audit toetst of de organisatie voldoet aan de eisen uit de Wpg en het Besluit politiegegevens. De uitkomst wordt aangeboden aan de minister en vormt de basis voor verbetertrajecten.
De Wpg stelt zware eisen aan informatiebeveiliging: sterke authenticatie, logging, encryptie, pseudonimisering en fysieke beveiliging van systemen. BOA-organisaties leunen vaak op de BIO of ISO 27001 voor de technische invulling. Zonder deugdelijke informatiebeveiliging is Wpg-naleving praktisch onmogelijk.
Niet-naleving kan leiden tot bestuurlijke sancties door de Autoriteit Persoonsgegevens, aanwijzingen van de minister, boetes of intrekking van de BOA-aanwijzing. Bij ernstige tekortkomingen — zoals ongeautoriseerde toegang tot politiegegevens — kunnen ook tuchtrechtelijke maatregelen volgen tegen individuele medewerkers.