Twee derde van de instanties die buitengewoon opsporingsambtenaren inzet heeft geen auditrapportage ingeleverd rondom de omgang met persoonsgegevens. Volgens de Wet politiegegevens moeten boa's aantonen hoe zij data beschermen.
De Autoriteit Persoonsgegevens gaat bij de organisaties 'om tekst en uitleg vragen', schrijft de privacytoezichthouder. De AP had de betreffende auditrapporten uiterlijk op 31 december van vorig jaar moeten ontvangen, maar kreeg ze in veel gevallen niet.
Het gaat om audits die overheidsinstanties moeten laten uitvoeren wanneer zij buitengewoon opsporingsambtenaren of boa's inzetten. Dat kan bijvoorbeeld een gemeente of de NS zijn; parkeercontroleurs of conducteurs hebben meestal boa-taken. Naast overheidsinstanties vallen ook bedrijven soms onder de verplichting. Voor het uitvoeren van sommige boa-taken, zoals het uitschrijven van boetes, is het nodig om persoonsgegevens van burgers te verzamelen. De instanties die de boa's inzetten moeten jaarlijks een interne audit uitvoeren waarin staat hoe er wordt omgegaan met persoonsgegevens. Daarnaast moet er iedere vier jaar een externe audit worden uitgevoerd. Het rapport van de externe audit moet naar de Autoriteit Persoonsgegevens worden gestuurd.
De verplichting voor een externe audit komt niet uit de AVG, maar vanuit de Wet politiegegevens of de Wpg. De Autoriteit Persoonsgegevens houdt daar toezicht op. Tijdens een audit wordt gekeken hoe de verwerking van politiegegevens is georganiseerd en welke maatregelen en procedures een bedrijf of overheid heeft genomen rondom bijvoorbeeld beveiliging, dataminimalisatie en logging.
De auditverplichting werd op 1 januari 2019 in de wet opgenomen. Daarin stond dat de rapporten van de eerste externe audits binnen twee jaar moesten worden ingeleverd, maar de AP gaf instanties vervolgens een jaar uitstel. Dat deed de toezichthouder omdat het de audits dermate belangrijk vond, dat het instanties extra tijd wilde geven ze goed uit te voeren. Daarom werd 31 december 2022 de uiterste deadline voor het inleveren van de auditrapporten.
Maar nog steeds heeft het merendeel van de instanties de verplichte auditrapportage niet ingeleverd, schrijft de AP nu. Meer dan 600 instanties hadden dat moeten doen, maar slechts een derde van die groep heeft dat gedaan. De AP noemt geen specifieke aantallen. Overigens komt het gebrek aan auditrapportages niet helemaal als een verrassing; in juni van vorig jaar waarschuwde de AP al dat er nog veel te weinig rapporten binnen waren gekomen.
"Het lage aantal opgeleverde Wpg-auditrapporten baart ons zorgen", zegt bestuurslid Katja Mur van de AP. "Mensen van wie gegevens door een boa worden geregistreerd moeten erop kunnen vertrouwen dat zorgvuldig wordt omgegaan met die registratie. De impact van een registratie op een burger kan erg groot zijn. In sommige gevallen kan iemand er jarenlang last van hebben. Daar moeten werkgevers zich bewust van zijn."
De waakhond gaat de bedrijven vóór 20 januari om opheldering vragen. De AP zegt 'niet uit te sluiten dat er handhavende activiteiten voortvloeien uit de gesprekken'. Net als bij toezicht op de AVG heeft de AP een boetebevoegdheid waar het gaat om de Wpg.