Boa-werkgevers die hun externe audit over de omgang met persoonsgegevens niet op orde hebben, krijgen tot uiterlijk 1 maart 2024 hiervoor de tijd. Eigenlijk moest dit verslag op zondag 31 december worden aangeleverd. Omdat interne procedures voor vertraging kunnen zorgen, krijgen boa-werkgevers twee maanden extra de tijd om de rapportages aan te leveren.
Dat kondigt de Autoriteit Persoonsgegevens (AP) aan via een persverklaring.
Boa-werkgevers en omgang met persoonsgegevens
Een buitengewoon opsporingsambtenaar of boa is een werknemer die, veelal in opdracht van overheidsorganisaties, wordt ingezet voor controlerende taken en handhavingsdoeleinden. Zo kan een boa erop toezien dat reizigers met een geldig vervoersbewijs in het openbaar vervoer reizen, dat hangjongeren geen overlast veroorzaken, of dat er geen afval wordt gedumpt in natuurgebieden.
Bij het verrichten van deze werkzaamheden kan het voorkomen dat een boa een boete moet uitschrijven. Daarvoor verwerkt hij persoonsgegevens van degene die de regels overtreedt. Registratie van deze gegevens kan in sommige gevallen grote gevolgen hebben, bijvoorbeeld als je een Verklaring Omtrent het Gedrag (VOG) moet aanvragen van je werkgever.
Om die reden bepaalt de Wet politiegegevens (Wpg) dat werkgevers die boa’s in dienst hebben verplicht zijn om ieder jaar een interne audit uit te voeren. Daarnaast moet er eens in de vier jaar een externe audit plaatsvinden door een onafhankelijke partij. De uitkomsten van dit onderzoek worden opgestuurd naar de Autoriteit Persoonsgegevens. Aan de hand van deze rapporten controleert de toezichthouder of een organisatie op de juiste manier omgaat met persoonsgegevens.
Meer dan de helft van de boa-organisaties voldoet niet aan de regels
Op papier is glashelder vastgelegd hoe en wanneer interne en externe audits dienen plaats te vinden. De praktijk is echter een stuk weerbarstiger. Veel boa-werkgevers sturen de gevraagde reportages niet of te laat op naar de toezichthouder. In juni 2022 had slechts één op de drie organisaties hun Wpg-audit op tijd aangeleverd. De AP gaf hen een jaar de tijd om hun zaken op orde te krijgen.
Begin dit jaar meldde de Autoriteit Persoonsgegevens opnieuw dat boa-werkgevers massaal vergeten hun rapportage aan te leveren. Van de ruim 600 organisaties die een Wpg-audit moesten aanleveren, deed minder dan de helft dat. Daarop besloot de toezichthouder om met deze partijen in gesprek te gaan.
Dat zette geen zoden aan de dijk. Afgelopen juni concludeerde de privacywaakhond opnieuw dat meer dan de helft van de boa-werkgevers nog altijd niet voldoet aan de regels en verplichte Wpg-audits niet of te laat aanlevert. Ook laat de kwaliteit van de externe rapporten te wensen over. De organisaties kregen tot 31 december de tijd om verbetermaatregelen door te voeren.
Boa-werkgevers mogen niet van aanlevertermijn afwijken
De Autoriteit Persoonsgegevens heeft nu echter besloten om de aanlevertermijn van de Wpg-audit te verlengen tot vrijdag 1 maart 2024. Reden om dit uitstel te verlenen is dat interne processen voor vertraging kunnen zorgen bij het toesturen van de audit. Boa-werkgevers krijgen daarom twee maanden extra de tijd om afschriften van de hercontrole van de Wpg-audit aan te leveren.
“We willen dat boa-werkgevers hun zaken op orde hebben, zodat burgers erop kunnen vertrouwen dat er zorgvuldig wordt omgegaan met hun persoonsgegevens”, zo vertelt AP-bestuurslid Katja Mur. De Autoriteit Persoonsgegevens benadrukt dat organisaties die met boa’s werken niet op eigen initiatief van deze termijn mogen afwijken.
