AP vordert dwangsom bij politie wegens gebrekkige bescherming gegevens

De Autoriteit Persoonsgegevens heeft een dwangsom van 40.000 euro gevorderd bij de Nationale Politie omdat de controle op de toegang tot gegevens niet op orde was en de politie die situatie niet heeft verbeterd.

De Nationale Politie had van de privacyorganisatie zes maanden de tijd gekregen om de controle op wie bepaalde gegevens gebruikt of inziet te verbeteren, maar de beveiliging was niet binnen de termijn verbeterd. De Autoriteit Persoonsgegevens probeert met de boete te bewerkstelligen dat dit alsnog gebeurt. Voldoet de politie alsnog niet aan de controle-eisen, dan kan de privacywaakhond een nieuwe last onder dwangsom opleggen.

De maatregel is het gevolg van een onderzoek uit 2015 naar de gegevensverwerking door de Nationale Politie via het nationaal Schengeninformatiesysteem. Daarbij kwamen vijf kwetsbaarheden aan het licht, waarvoor een totale last onder dwangsom van 200.000 euro werd opgelegd. Vier van de vijf onvolkomenheden werden aangepakt, maar na de termijn van zes maanden bleek het pijnpunt met betrekking tot de controle nog niet op orde.

Net als de Koninklijke Marechaussee en de Douane gebruikt de Nationale Politie het Schengeninformatiesysteem om te controleren wie het Schengengebied in- en uitgaat, als compensatie voor het wegvallen van grenscontroles. Een logsysteem legt vast wie het computersysteem gebruikt, maar de Nationale Politie controleerde de logs niet genoeg.

Reacties (51)

De Autoriteit Persoonsgegevens probeert met de boete te bewerkstelligen dat dit alsnog gebeurt.

Ik weet niet of dit valt onder "Geachte redactie" maar het is geen boete. Een dwangsom moet je pas betalen als je na een waarschuwing je gedrag niet genoeg corrigeert. Een boete krijg je meteen omdat je gedrag tegen de wet is. Je laptop in hibernate zetten is ook geen "uitzetten".

Ligt het aan mij, of is dit nogal een mild bedrag?
Verder is het een goede zaak dat deze dwangsom gevorderd is.

Tjah, je kan de Politie giga boete's geven maar dat gaan wij natuurlijk gewoon betalen. Ik denk ook niet dat het productief is om zo'n bedrijf/instantie direct helemaal het faillissement in te drukken ook als het niet om belastinggeld gaat.

Ook schijnt het bij de politie het probleem voor het deel juist in de ICT budgetten te zitten, ergens verwacht ik dus ook een zekere contra productiviteit als daar te hard in gehakt wordt.

[Reactie gewijzigd door Koffiebarbaar op 20 september 2018 17:40]

Wij gaan dat niet betalen.

De boete komt bij de overheid uit dus het is alsnog de overheid zichzelf een boete geeft. Gaat van de linker naar de rechter broekzak.
enige verschil is dat die 40.000 euro bij de begroting komt en verdeeld zal worden, dus komt niet in zijn geheel terug bij de politie.

Inderdaad, in de overheid gaat het geld in rondjes en de enige die er goed aan hebben zijn de bankieren en de administratieve hulp.

Als een persoon zijn dienst niet doet, gewoon ontslaan. Begin van boven aan, de minister, dan de hoofdcommisaris, kapiteinen, ...

10% van de jaarlijkse omzet toch? blijkbaar doen ze geen hele goeie zaken dan...

The GDPR creates two tiers of maximum fines depending on whether the controller or processor committed any previous violations and the nature of violation. The higher fine threshold is four percent of an undertaking’s worldwide annual turnover or 20 million euros , whichever is higher. The lower fine threshold fine is two percent of an undertaking’s worldwide annual turnover or 10 million euros, whichever is higher.

Maar dit zal niet direct om een GDPR violation gaan lijkt me.

[Reactie gewijzigd door RobinJ1995 op 20 september 2018 17:32]

Integendeel. De AVG eist dat men passende organisatorische en technische maatregelen moet nemen voor de bescherming van dergelijke gegevens. Één onderdeel van die beveiliging was het logging systeem. Dit is dus zeker een directe overtreding van de AVG. Nederland heeft in de uAVG (uitvoeringswet) de mogelijk gecreëerd om in plaats van een boete een last onder dwangsom op te leggen als corrigerende maatregel, zonder direct een boete op te leggen. Deze last onder dwangsom is een nationaal middel.

[Reactie gewijzigd door WouterL op 20 september 2018 18:37]

Dit voorval heeft niets met de avg te maken, maar de wjsg en wpg.

[Reactie gewijzigd door Baris op 20 september 2018 20:47]

Dit* en ja, dit viel inderdaad onder de oude Wbp. Maar als je deze twee wetten goed vergelijkt, zal je zien dat deze in grote lijnen overeen komen. Dit kun je zeker niet los zien van de AVG.

[Reactie gewijzigd door WouterL op 20 september 2018 20:29]

Ook niet. Er is een onderscheid tussen persoonsgegevens en strafrechtelijke gegevens, onder de wbp was dit niet anders. De definities van strafrechtelijke gegevens zijn wel in de avg en oude wbp opgenomen.

De verwerkingen genoemd in het artikel vinden plaats onder de wjsg/wpg.

Ja dat doen ze wel. Je verhaal raakt kant noch wal. De Wbp en AVG komen wel degelijk in grote lijnen overheen. Je moet je verhaal trouwens wat beter verwoorden. Ik kan er werkelijk waar geen kaas van maken.

Het punt is dat de AVG niet van toepassing is op persoonsgegevens die de politie verwerkt. Wat de AVG over boetes zegt, is dus niet relevant. Bij de politie kom je in principe uit bij de Wet politiegegevens (Wpg of Wpolg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg). In dit geval speelde ook de Wbp een rol, waar het ging om signaleringsgegevens, maar de Wbp is niet overtreden (zie het rapport van toen nog het Cbp https://autoriteitpersoon...is-ii-onvoldoende-op-orde).

Dat is helder

Blijkbaar begrijp jij het niet. Ik probeer duidelijk te maken dat de AVG niet van toepassing is op de set van verwerkingen genoemd in het artikel.

Lees de wjsg en de wbp, dan zul je de artikelen omtrent logging tegenkomen. Moet ik je linken met artikelen en al?

Doe maar

Houd eens op met kibbelen en lees gewoon het rapport, dit is het wettelijk kader:

Wettelijk kader
De Europese regelgeving betreffende SIS II is vastgelegd in de Verordening en het
Besluit.
Ten aanzien van het verwerken van SIS II-gegevens voor handhavingsdoeleinden – als
bedoeld in het Besluit – zijn de Wet politiegegevens (hierna: Wpg) en het Besluit
politiegegevens (hierna: Bpg) van toepassing. Ten aanzien van het verwerken van SIS
II-gegevens voor signaleringsdoeleinden – als bedoeld in de Verordening – is de Wbp
van toepassing.

En verschillen tussen WBP en AVG zijn ook eenvoudig te zoeken, zoals bijv:
http://danica.nl/verschillen-tussen-de-wbp-en-de-avg/

Welke omzet van de politie, enige die ik kan bedenken is boetes uitschrijven.

Dat bedoel ik dus (oh en het was natuurlijk een kwinkslag..)

Die komen niet van de Politie (CJIB). Noch zijn ze verstuurd in opdracht van de Politie (OM)

En werkt het uiteindelijk ook? Burger betaald toch wel, dus ik denk dat de politie er mooi maling aan heeft, en ze dit op hun eigen tempo oplossen.

[Reactie gewijzigd door Carlos93 op 20 september 2018 17:18]

Dat denk ik niet. De politie heeft ook een budget. En tuurlijk kunnen ze wegens omstandigheden wel ergens geld vandaan toveren. Maar als deze geintjes tevaak gebeuren zegt de overheid gewoon ja dag los je zooitje eerst maar eens op voor je nog meer geld wil hebben.

Het voelt wel erg als het schuiven met belastinggeld. En als de politie geld te kort komt, dan komen ze hun hand wel weer ophouden bij de belastingbetaler. Wat gebeurt er eigenlijk met het geld dat naar AP gaat?

Maar als deze geintjes tevaak gebeuren zegt de overheid gewoon ja dag los je zooitje eerst maar eens op voor je nog meer geld wil hebben.

Dan gooien we er toch een paar uit. ? Het geld is op . We moeten bezuinigen en niet iedereen gaat vrijwillig bij de tv werken..

We moeten bezuinigen

Heb je prinsjesdag wel gekeken? We hebben een aardig ruime overschot(wat wordt besteed aan het stoppen van gaswinning in Groningen en het aflossen van staatschuld), dus nog meer bezuinigen hoeven we niet.

[Reactie gewijzigd door NotCYF op 20 september 2018 18:03]

[...]
Heb je prinsjesdag wel gekeken?

Heb je de voorgaande comments gelezen.:? Het gaat over de politie en boetes en overheden die niet eeuwig blijven betalen.

..als deze geintjes tevaak gebeuren zegt de overheid gewoon ja dag los je zooitje eerst maar eens op voor je nog meer geld wil hebben.

Een overheids instantie als de politie moet aan de overheid een boete betalen, omdat ze geen budget krijgen vanuit die zelfde overheid om alles op ICT vlak op orde te hebben. Beetje pot ketel verhaal zo.

Zoals door anderen al aangegeven heeft ieder overheidsonderdeel een vast budget, vandaar ook dat het nieuws is als een bepaald onderdeel een aantal miljoen extra krijgt. Daarnaast is het zo dat ze een vrij strak gedefinieerd takenpakket hebben, wat minder activiteiten uitvoeren of minder blauw op straat om de IT problemen te bekostigen gaat dus ook niet werken.

Verder komt op deze manier ook duidelijk naar voren dat er onverantwoord is gehandeld. Als dat regelmatig voorkomt zullen er uiteindelijk kamer vragen komen en zal dit in het ergste geval gevolgen hebben voor de verantwoordelijke minister. Daarnaast is het zo dat bepaalde (nieuwe) taken soms bij verschillende diensten ondergebracht kunnen worden. Diensten die goed presteren zullen dan eerder in aanmerking komen, het heeft dus ook gevolgen voor de kansen van managers om door te groeien en voor hun reputatie.

ik denk dat de politie er mooi maling aan heeft, en ze dit op hun eigen tempo oplossen.

Alleen als je de politie ziet als een enkele entiteit, niet als een collectie individuen. Het kan simpel weg gewoon goedkoper zijn het gat open te laten dan het te dichten of ze redde het daadwerkelijk niet. Want 1x een boete van €40k kan op nationaal niveau wel een keer geïnt worden, maar €200k of €40k+ op een terugkerende basis zie ik koppen rollen bij de eindverantwoordelijke...

Ik denk echter dat ze nog steeds aan het ruimen zijn na de puinhoop van twee en een halfjaar geleden:
https://www.volkskrant.nl...tionale-politie~bd8f49a1/

Ben benieuwd of ze ook nog bij de Belastingdienst aankloppen, bv wegens het gebruik van bsn's in btw-nummers.

Verder riekt dit meer naar een reclamecampagne voor de avg. En prima op zich, ben allang blij dat er actief gehandhaafd wordt.

Ja.

https://www.zzp-nederland...-niet-in-btw-nummer-zzper

Zijn zij nu de eerste waarbij daadwerkelijk een dwangsom is opgelegd? Op zich voor de politie 4 van de 5 punten verbeteren vind ik toch al aardig wat voor zo een log bedrijf. Uiteindelijk zullen ze toch beter hun handen uit de mouwen moeten steken, wat wel weer goed is, want daar staat toch wat informatie die criminelen goed kunnen gebruiken. Alleen om een overheidsinstantie boetes te geven, dat is toch geen incentive? Zij zullen dit bedrag gewoon gaan vragen aan een potje wat de overheid maar moet gaan leveren. Gelukkig is het niet al te hoog en hoop ik dat ze er van leren, but time will tell.

Waar gaat dit geld nu heen en hoeveel nut heeft het als de ene overheidsinstantie de andere een boete geeft? Broekzak vestzak toch.

Een overheidsorganisatie die een andere overheidsorganisatie een boete op. Wegens slecht functionerende ICT. Het is meer een corrigerende tik op de vingers. Waar een symbolisch geld bedrag, als boete bij wordt geplakt.

Zoals uit het artikel ook al duidelijk wordt is het bedrag relatief laag omdat vier van de vijf punten wel aan werden gepakt, en behoort daarnaast een nieuwe dwangsom onder last nog tot de mogelijkheden. Bovendien wil een symbolisch bedrag niet zeggen dat er geen effect van uit gaat. Alleen al het feit dat het op deze manier in het nieuws komt zorgt ervoor dat het niet onder de pet gehouden kan worden en onder de aandacht van burger en politiek gebracht wordt.

Misschien even uitleggen dat de politie opspoort en gegevens bewaard onder de WPG (wet politie gegevens) en dat daar onder heel veel privacy gevoelige informatie rechtmatig bewaard mag worden. Klaarblijkelijk heeft een onderdeel van de politie dus ook AVG informatie bewaard (ook de eigen personeelsgegevens vallen daar onder) en is daar iets mis gegaan. Anyway, WPG is dus iets heel anders dan AVG.

Dus de politie valt ook onder de recente privacy wetgevingen? Het recht om vergeten te worden lijkt mij dan een heel interessante optie voor veel criminelen...

Dit is niet op grond van de Algemene Verordening Gegevensbescherming (AVG). o.a. Politie en Justitie zijn daarvan uitgesloten.

Fout; zij dienen zich ook aan de AVG te houden; echter zullen Politie en Justitie in de meeste gevallen een legale grond hebben om de persoonsgegevens te verzamelen, verwerken en bewaren.

[Reactie gewijzigd door Niekleair op 20 september 2018 19:29]

Onjuist. De AVG is niet van toepassing op de verwerking van persoonsgegevens "door de bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid." (artikel 2 lid 1 sub d AVG). Hiervoor hebben we andere wetten, met name de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens.

Naast de AVG is er een aparte Richtlijn gegevensbescherming politie en justitie. Deze lijkt geen onderdeel van de AVG te zijn.

Ik denk dat de nationale politie wel kan aandragen dat ze de gegevens van veroordeelde criminelen nodig hebben voor het verbeteren voor hun opsporingscapaciteiten, en de gegevens dus nodig hebben voor het uitvoeren van hun werk.

Het recht om vergeten te worden geldt wanneer er geen grond (meer) is tot verwerking van de gegevens. Een mogelijke grond is dat je je gegevens hebt gegeven (bv een account), maar een andere grond is bv rechtsvervolging.

tl;dr: het gaat hier niet op

Die 40K had de politie ook in iets nuttigs kunnen besteden wat een prutsers daar aan de top