Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl
Vertrouwelijk/Aangetekend
Nationale Politie
T.a.v. de Korpschef
[VERTROUWELIJK]
Nieuwe Uitleg 1
2514 BP DEN HAAG
Datum Ons kenmerk
12 november 2018 z2018-05664
Contactpersoon
[VERTROUWELIJK]
Onderwerp
Last onder dwangsom
1. Inleiding
Bij besluit van 6 februari 2017 heeft de Autoriteit Persoonsgegevens (AP) aan de Nationale Politie (NP)een
last onder dwangsom opgelegd.1 Deze last onder dwangsom bestond uit vijf onderdelen en had betrekking
op de beveiligings- en opleidingsvoorschriften van het door de NP in gebruik zijnde nationaal
Schengeninformatiesysteem van de tweede generatie (N.SIS II). Na afloop van de begunstigingstermijn
heeft de AP vastgesteld dat de NP aan vier van de vijf lastonderdelen heeft voldaan. De AP heeft
geconstateerd dat de NP niet voldeed aan het lastonderdeel dat ziet op de regelmatige en proactieve
controle op logbestanden. Daarmee resteerde één overtreding van artikel 4, derde lid, van de Wet
bescherming politiegegevens (Wpg), die - zo volgt uit de in onderhavig besluit opgenomen beoordeling -
tot op heden voortduurt.
2. Verloop van de procedure
De AP heeft ambtshalve onderzoek verricht naar het gebruik van het N.SIS II door de NP. De
onderzoeksbevindingen zijn opgenomen in het rapport definitieve bevindingen van 22 oktober 2015
(onderzoeksrapport).2
Naar aanleiding van deze bevindingen heeft de AP bij besluit van 6 februari 2017 een last onder dwangsom
opgelegd, bestaande uit vijf onderdelen (I tot en met V). Dit besluit is thans onherroepelijk.
1
Met kenmerk z2015-00910.
2
Met kenmerk z2015-00126.
Bijlage(n): 2 1
Datum Ons kenmerk
12 november 2018 z2018-05664
De NP heeft na afloop van de begunstigingtermijn van zes maanden stukken toegezonden, waarin zij
kenbaar heeft gemaakt welke maatregelen zij heeft getroffen naar aanleiding van de opgelegde last onder
dwangsom.
Bij besluit van 12 maart 2018 heeft de AP vastgesteld dat de NP met de implementatie van de getroffen
maatregelen heeft voldaan aan lastonderdelen I tot en met IV. 3 De AP heeft verder vastgesteld dat niet is
voldaan aan lastonderdeel V. Derhalve is de AP in datzelfde besluit - dat thans onherroepelijk is -
overgegaan tot invordering van de verbeurde dwangsom van € 40.000,--.
In verband met de voortdurende overtreding ten aanzien van voornoemd lastonderdeel heeft de AP bij
brief van 29 maart 2018 het voornemen geuit (opnieuw) een last onder dwangsom op te leggen die strekt
tot het nemen van maatregelen waarmee de NP de resterende overtreding alsnog beëindigt.
Bij brief van 11 april 2018 heeft de NP haar zienswijze over dit voornemen naar voren gebracht.
Op 12 april 2018 heeft een hoorzitting plaatsgevonden, waarbij de NP in de gelegenheid is gesteld om haar
schriftelijke zienswijze mondeling toe te lichten. Het verslag van de hoorzitting is als bijlage 1 bij dit besluit
gevoegd.
Bij brief van 12 juni 2018 heeft de AP toelichting gevraagd op de door de NP voorgestelde werkwijzen.
Bij brief van 3 juli 2018 heeft de NP desgevraagd een aanvullende toelichting gegeven op haar zienswijze.
Bij brief van 29 augustus 2018 heeft de NP kenbaar gemaakt dat zij maatregelen heeft genomen ten aanzien
van de geconstateerde overtreding.
3. Achtergrond
In het onderzoeksrapport is onder meer vastgesteld dat de controle door de NP op de logbestanden die
worden gegenereerd in het kader van de gegevensverwerking in N.SIS II alleen plaatsvindt in het geval
sprake is van veiligheidssignalen, integriteitsonderzoeken, klachten of een technische storing.4 Derhalve
voldeed de NP niet aan artikel 4, derde lid, van de Wpg, waaruit voortvloeit dat logbestanden van onder
andere gebeurtenissen die gebruikersactiviteiten registreren regelmatig dienen te worden gecontroleerd
en beoordeeld. De last onder dwangsom van 6 februari 2017 strekte (onder meer) tot beëindiging van deze
overtreding.
De NP heeft twee werkwijzen voorgesteld – één voor de korte termijn en één voor de langere termijn –
waarmee zij meent de overtreding te kunnen beëindigen. Eerst bij brief van 29 augustus 2018 heeft de NP
aan de AP kenbaar gemaakt dat de beoogde en tijdelijke werkwijze inmiddels is ingevoerd. De AP vindt
evenwel – met een verwijzing naar de hierna vermelde overwegingen – dat de door de NP
geïmplementeerde werkwijze niet leidt tot de beëindiging van de destijds in het onderzoeksrapport en in
3
Met kenmerk z2017-10057.
4
Zie paragraaf 3.5 van het onderzoeksrapport.
2/12
Datum Ons kenmerk
12 november 2018 z2018-05664
de last onder dwangsom van 6 februari 2017 geconstateerde overtreding van artikel 4, derde lid, van de
Wpg. Dit vormt aanleiding voor de AP om op grond van artikel 35, tweede lid, van de Wpg5, in samenhang
bezien met artikel 58, tweede lid, onder d, van de Algemene verordening gegevensbescherming (AVG) en
artikel 16, eerste lid, van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) en
artikel 5:32, eerste lid, van de Algemene wet bestuursrecht (Awb) onderhavige last onder dwangsom op te
leggen. De last onder dwangsom strekt ertoe voornoemde voortdurende overtreding te beëindigen.
4. Toelichting wettelijk kader
Bij besluit van 12 maart 2018 heeft de AP vastgesteld dat de NP niet heeft voldaan aan onderdeel V van de
last onder dwangsom van 6 februari 2017. De NP heeft dit niet betwist. Op 29 maart 2018 heeft de AP het
voornemen geuit (opnieuw) een last onder dwangsom op te leggen ten aanzien van de thans resterende,
voortdurende overtreding. Sindsdien hebben er geen materiële wijzigingen in het wettelijk kader
plaatsgevonden die inhoudelijke gevolgen hebben voor onderhavig dossier.
Het wettelijk kader is opgenomen als bijlage 2 bij dit besluit.6
5. Zienswijze van de NP
Bij brieven van 11 april, 3 juli en 29 augustus 2018 beschrijft de NP twee werkwijzen waarmee zij meent de
overtreding van artikel 4, derde lid, van de Wpg te kunnen beëindigen. Het betreft:
1) een tijdelijke werkwijze, [VERTROUWELIJK] en
2) een automatische werkwijze die de NP op langere termijn wil invoeren [VERTROUWELIJK].7
[VERTROUWELIJK]
5
Artikel 47 van de Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van
natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming,
het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije
verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (Richtlijn (EU) 2016/680) ziet op de
bevoegdheden van toezichthoudende autoriteiten tot het treffen van corrigerende maatregelen. Deze Richtlijn is geïmplementeerd in
nationale wetgeving die ten tijde van onderhavig besluit nog niet in werking is getreden. Nu de implementatietermijn van deze
Richtlijn is verstreken, dient het nationale recht - waaronder artikel 35, tweede lid, van de Wpg - richtlijnconform te worden
geïnterpreteerd.
6
Voornoemde Richtlijn (EU) 2016/680 vereist onder meer dat passende technische en organisatorische maatregelen worden getroffen
om een op het risico afgestemd beveiligingsniveau te waarborgen. Gelet hierop heeft een richtlijnconforme interpretatie geen
materiele wijziging van het wettelijk kader tot gevolg.
Met betrekking tot de NEN-EN-ISO/IEC 27002:2017 (NEN-norm) geldt het volgende. Voor de beoordeling of sprake is van passende
technische en organisatorische beveiligingsmaatregelen sloot de AP eerder aan bij de nadere invulling die daaraan wordt gegeven in
de Code voor Informatiebeveiliging, de NEN-ISO/IEC 27002:2013 norm. Thans sluit zij aan bij de meest recente invulling, namelijk NEN-
EN-ISO/IEC 27002:2017. Op de website https://www.nen.nl/NEN-Shop/Norm/NENENISOIEC-270012017-nl.htm staat: ‘Deze Europese
aanvaarding wijkt inhoudelijk niet af van de NEN-ISO variant met publicatiedatum 2013’. De norm is materieel dus hetzelfde gebleven.
In onderhavig dossier is (met name) paragraaf 12.4 van dit document van belang.
7
Deze werkwijze is eerder naar voren gebracht in de correspondentie en stukken die de NP aan de AP heeft verzonden in het kader van
de controle door de AP op de naleving van lastonderdeel V van de eerder opgelegde last onder dwangsom. Het betreft
correspondentie van 4 augustus 2017, 24 november 2017, 4 december 2017 en 7 december 2017.
3/12
Datum Ons kenmerk
12 november 2018 z2018-05664
6. Beoordeling
Op grond van artikel 4, derde lid, van de Wpg dient de NP, kort gezegd, passende, technische en
organisatorische maatregelen te treffen om politiegegevens te beveiligen tegen onbedoelde of
onrechtmatige vernietiging, wijziging, ongeoorloofde mededeling of toegang. Dit betekent dat, gelet op de
invulling die de NEN-norm daaraan geeft, logbestanden van gebeurtenissen die gebruikersactiviteiten,
uitzonderingen en informatiebeveiligingsgebeurtenissen registreren, behoren te worden gemaakt,
bewaard en regelmatig te worden beoordeeld.
[VERTROUWELIJK]
De AP komt tot conclusie dat de NP met de implementatie van de tijdelijke en deels handmatige werkwijze
de logbestanden ten aanzien van N.SIS II niet regelmatig en proactief controleert op onrechtmatige
verwerkingen. Daarmee verkrijgt zij geen actueel en representatief beeld van onrechtmatige toegang of
onrechtmatig gebruik van politiegegevens. Gelet op het voorgaande duurt de overtreding van artikel 4,
derde lid, van de Wpg nog voort.
7. Last onder dwangsom en begunstigingstermijn
Op grond van artikel 35, tweede lid, van de Wpg, in samenhang bezien met artikel 58, tweede lid, onder d,
van de AVG, artikel 16, eerste lid, van de UAVG en artikel 5:32, eerste lid, van de Awb, is de AP in het
voorliggende geval bevoegd om een last onder dwangsom op te leggen.
De AP verbindt aan de last onder dwangsom een begunstigingstermijn van twaalf weken. Bij het
vaststellen van deze termijn heeft zij van belang geacht dat deze overtreding reeds in oktober 2015 is
geconstateerd en derhalve inmiddels in ieder geval drie jaar voortduurt. Tevens acht de AP van belang dat
de NP destijds in haar zienswijze van 12 april 2018 kenbaar heeft gemaakt dat de tijdige en handmatige
werkwijze grotendeels nog moest worden uitgewerkt, maar vanaf uiterlijk 1 september (dus iets meer dan
twintig weken later) operationeel kon zijn. Deze werkwijze is inmiddels operationeel, doch de AP heeft
geconcludeerd dat deze werkwijze niet voldoet om de overtreding weg te nemen..
Bij het vaststellen van de dwangsom acht de AP van belang dat de dwangsom die bij besluit van 6 februari
2017 is vastgesteld, voor de NP onvoldoende prikkel is gebleken om (volledig) aan de daaraan gekoppelde
last te voldoen. De hoogte van de dwangsom in dat besluit bedroeg in totaal maximaal
€ 200.000,-- voor vijf overtredingen, derhalve € 40.000,-- per overtreding. Met het oog op een spoedige
beëindiging van de reeds geruime tijd voortdurende overtreding, is de dwangsom in onderhavig besluit
verhoogd en loopt het extra te verbeuren bedrag na afloop van de begunstigingstermijn op met iedere twee
weken dat niet aan de last is voldaan.
Gelet op het voorgaande komt de AP tot het volgende. Indien de NP de geconstateerde overtreding niet
binnen twaalf weken beëindigt, verbeurt zij na afloop van die begunstigingstermijn voor iedere twee
weken dat niet aan de last is voldaan een dwangsom. De AP stelt de hoogte van deze dwangsom voor de
4/12
Datum Ons kenmerk
12 november 2018 z2018-05664
eerste twee weken na afloop van de begunstigingstermijn vast op een bedrag van € 50.000,-- (zegge:
vijftigduizend euro). Daarna wordt de dwangsom iedere twee weken daarbovenop vermeerderd met een
bedrag van € 20.000,-- (zegge: twintigduizend euro)8 tot een maximumbedrag van in totaal € 320.000,--
(zegge: driehonderdtwintigduizend euro).
8
Dit betekent dat de NP € 50.000,-- verbeurt als zij de overtreding twee weken na afloop van de begunstigingstermijn nog niet heeft
beëindigd; twee weken dáárna (vier weken na afloop van de begunstigingstermijn) verbeurt ze daarbovenop € 70.000,-- (in totaal
€120.000,--), twee weken daarna (zes weken na afloop van de begunstigingstermijn) verbeurt ze daarbovenop € 90.000,-- (in totaal
€210.000) en twee weken daarna (acht weken na afloop van de begunstigingstermijn) verbeurt ze daarbovenop € 110.000,-- (in totaal
320.000).
5/12
Datum Ons kenmerk
12 november 2018 z2018-05664
8. Dictum
De AP legt aan de NP de volgende last onder dwangsom op:
De NP dient binnen twaalf weken na dagtekening en met inachtneming van dit besluit in het kader van de
gegevensverwerking in N.SIS II maatregelen te nemen die ertoe leiden dat de logbestanden regelmatig en
proactief worden gecontroleerd op indicaties van onrechtmatige toegang of onrechtmatig gebruik van
politiegegevens.
Indien de NP niet uiterlijk binnen twaalf weken na datum van onderhavig dwangsombesluit de
maatregelen heeft uitgevoerd, verbeurt de NP een dwangsom van € 50.000,-- (zegge: vijftigduizend euro)
voor de eerste twee weken na afloop van de begunstigingstermijn dat de last niet (geheel) is uitgevoerd.
Daarna wordt de dwangsom iedere twee weken daarbovenop vermeerderd met een bedrag van € 20.000,--
(zegge: twintigduizend euro). Het maximaal te verbeuren bedrag is € 320.000,-- (zegge:
driehonderdtwintigduizend euro).
Indien de NP het verbeuren van de dwangsom direct na afloop van de begunstigingstermijn wenst te
voorkomen, raadt de AP de NP aan om de stukken - waarmee de NP kan aantonen dat zij voldoet aan de
last onder dwangsom (bijvoorbeeld door middel van een auditrapport) - tijdig, doch uiterlijk vier weken
voor het einde van de begunstigingstermijn aan de AP ter beoordeling toe te sturen.
Hoogachtend,
Autoriteit Persoonsgegevens,
Voor deze,
w.g.
mr. A. Wolfsen
Voorzitter
Bijlagen
Bijlage 1 – Verslag hoorzitting 12 april 2018
Bijlage 2 – Wettelijk kader
Rechtsmiddelen
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit een bezwaarschrift indienen bij de AP, Postbus 93374, 2509 AJ Den Haag, onder vermelding van
“Awb-bezwaar” op de envelop.
6/12
Datum Ons kenmerk
12 november 2018 z2018-05664
Bijlage 1 bij het besluit van 12 november 2018 met kenmerk z2018-05664
Verslag hoorzitting 12 april 2018
[VERTROUWELIJK]
7/12
Datum Ons kenmerk
12 november 2018 z2018-05664
Bijlage 2 bij het besluit van 12 november 2018 met kenmerk z2018-05664
Wettelijk kader
8/12
Datum Ons kenmerk
12 november 2018 z2018-05664
Wettelijk kader
Algemene verordening gegevensbescherming (AVG)
Artikel 58, tweede lid, onder d, van de AVG
2. Elk toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende
maatregelen:
(…)
d) de verwerkingsverantwoordelijke of de verwerker gelasten, waar passend, op een nader bepaalde
manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de
bepalingen van deze verordening;
Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)
Artikel 16, eerste lid, van de UAVG
1. De Autoriteit persoonsgegevens kan een last onder bestuursdwang opleggen ter handhaving van de bij
of krachtens de verordening of deze wet gestelde verplichtingen.
Algemene wet bestuursrecht (Awb)
Artikel 5:32, eerste lid, van de Awb:
1. Een bestuursorgaan dat bevoegd is een last onder bestuursdwang op te leggen, kan in plaats daarvan aan
de overtreder een last onder dwangsom opleggen.
Wet politiegegevens (Wpg)
Artikel 2, eerste lid, van de Wpg:
1. Deze wet is van toepassing op de verwerking van politiegegevens die in een bestand zijn opgenomen of
die bestemd zijn daarin te worden opgenomen.
Artikel 4, derde lid, van de Wpg:
3. De verantwoordelijke treft passende technische en organisatorische maatregelen om politiegegevens te
beveiligen tegen onbedoelde of onrechtmatige vernietiging, tegen wijziging, ongeoorloofde mededeling of
toegang, met name indien de verwerking verzending van gegevens via een netwerk of beschikbaarstelling
via directe geautomatiseerde toegang omvat, en tegen alle andere vormen van onrechtmatige verwerking,
waarbij met name rekening wordt gehouden met de risico’s van de verwerking en de aard van de te
beschermen gegevens. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en
de kosten van de tenuitvoerlegging, een passend beveiligingsniveau, gelet op de risico’s van de verwerking
en de aard van de politiegegevens.
Artikel 35, eerste en tweede lid, van de Wpg
9/12
Datum Ons kenmerk
12 november 2018 z2018-05664
1. Het College bescherming persoonsgegevens ziet toe op de verwerking van politiegegevens
overeenkomstig het bij en krachtens deze wet bepaalde.
2. De artikelen 51, tweede lid, 60, 61 en 65 van de Wet bescherming persoonsgegevens zijn van
overeenkomstige toepassing.
Richtlijn (EU) 2016/680 van het Europees Parlement en de Raad van 27 april 2016 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door
bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van
strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en
tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (Richtlijn (EU) 2016/680)
Artikel 1,eerste lid, van de Richtlijn (EU) 2016/680
Onderwerp en doelstellingen
1. Bij deze richtlijn worden de regels vastgesteld betreffende de bescherming van natuurlijke personen in
verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de
voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van
straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare
veiligheid.
Artikel 2 van de Richtlijn (EU) 2016/680
Toepassingsgebied
1. Deze richtlijn is van toepassing op de verwerking van persoonsgegevens door bevoegde autoriteiten
met het oog op de doeleinden van artikel 1, lid 1.
2. Deze richtlijn is van toepassing op de geheel of gedeeltelijk geautomatiseerde, alsmede op de niet-
geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd
zijn om daarin te worden opgenomen.
Artikel 29, eerste lid en tweede lid, onder e, van de Richtlijn (EU) 2016/680
Beveiliging van de verwerking
1. De lidstaten schrijven voor dat de verwerkingsverantwoordelijke en de verwerker, rekening houdend
met de stand van de techniek, de uitvoeringskosten en de aard, de reikwijdte, de context en de doeleinden
van de verwerking, alsmede met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten
en vrijheden van personen, passende technische en organisatorische maatregelen treffen om een op het
risico afgestemd beveiligingsniveau te waarborgen, met name met betrekking tot de in artikel 10 bedoelde
verwerking van bijzondere categorieën van persoonsgegevens.
2. Ten aanzien van de geautomatiseerde verwerking voorziet elke lidstaat erin dat de
verwerkingsverantwoordelijke of de verwerker, na beoordeling van het risico, maatregelen treft om:
(…)
10/12
Datum Ons kenmerk
12 november 2018 z2018-05664
e)ervoor te zorgen dat personen die bevoegd zijn om een geautomatiseerd verwerkingssysteem te
gebruiken, uitsluitend toegang hebben tot de persoonsgegevens waarop hun toegangsbevoegdheid
betrekking heeft („controle op de toegang tot de gegevens”);
Artikel 47, tweede lid, van de Richtlijn (EU) 2016/6809
2. Elke lidstaat voorziet erin bij wet dat elke toezichthoudende autoriteit effectieve bevoegdheden heeft
tot het treffen van corrigerende maatregelen, zoals:
a)de verwerkingsverantwoordelijke of de verwerker waarschuwen dat met de voorgenomen verwerkingen
waarschijnlijk een inbreuk op de krachtens deze richtlijn vastgestelde bepalingen wordt gemaakt;
b)de verwerkingsverantwoordelijke of de verwerker gelasten de verwerkingen, waar passend, op een nader
bepaalde manier en binnen een nader bepaalde periode in overeenstemming te brengen met deze
richtlijn, met name door het rectificeren of wissen van gegevens of verwerkingsbeperking te gelasten
overeenkomstig artikel 16;
c) een tijdelijke of definitieve begrenzing van het verwerken,, waaronder een verwerkingsverbod, opleggen.
Verordening (EG) Nr. 1987/2006 van het Europees Parlement en de Raad van 20 december 2006
betreffende de instelling, de werking en het gebruik van het Schengeninformatiesysteem van de tweede
generatie (SIS II) (hierna: de Verordening)
Artikel 10, eerste lid, onder i en k, van de Verordening:
1. Elke lidstaat neemt voor zijn N.SIS II passende maatregelen, waaronder de vaststelling van een
veiligheidsplan, opdat:
[…]
i) naderhand kan woverordenirden nagegaan en vastgesteld welke persoonsgegevens wanneer, door wie
en voor welk doel in een geautomatiseerd gegevensverwerkingssysteem zijn opgenomen (controle op de
opneming);
[…]
k) de doelmatigheid van de in dit lid bedoelde beveiligingsmaatregelen doorlopend wordt gecontroleerd
en met betrekking tot deze interne controle de nodige organisatorische maatregelen worden genomen om
ervoor te zorgen dat de voorschriften van deze verordening worden nageleefd (interne controle).
Artikel 44 van de Verordening:
1. De in elke lidstaat aangewezen autoriteiten waaraan de bevoegdheden bedoeld in artikel 28 van Richtlijn
95/46/EG („nationale controleautoriteiten”), waken zelfstandig over de rechtmatigheid van de verwerking
van SIS II-persoonsgegevens op hun grondgebied en de overdracht vanuit dat grondgebied, en de
uitwisseling en verdere verwerking van aanvullende informatie.
2. De nationale controleautoriteiten zorgen ervoor dat ten minste om de vier jaar een controle van de
gegevensverwerking in N. SIS II wordt verricht overeenkomstig internationale controlestandaarden.
3. De lidstaten zorgen ervoor dat de nationale controleautoriteiten voldoende middelen ter beschikking
hebben om hun taken uit hoofde van deze verordening te kunnen vervullen.
9
Artikel 47 van de Richtlijn (EU) 2016/680 ziet op de bevoegdheden van toezichthoudende autoriteiten tot het treffen van corrigerende
maatregelen. Deze Richtlijn is geïmplementeerd in nationale wetgeving die ten tijde van onderhavig besluit nog niet in werking is
getreden. Nu de implementatietermijn van deze Richtlijn is verstreken, dient het nationale recht - waaronder artikel 35, tweede lid,
van de Wpg - richtlijnconform te worden geïnterpreteerd.
11/12
Datum Ons kenmerk
12 november 2018 z2018-05664
Besluit 2007/533/JBZ van de Raad van 12 juni 2007 betreffende de instelling, de werking en het gebruik
van het Schengeninformatiesysteem van de tweede generatie (SIS II) (hierna: het Besluit)
Artikel 10, eerste lid, onder i en k, van het Besluit
1. Elke lidstaat neemt voor zijn N.SIS II passende maatregelen, waartoe ook een beveiligingsplan behoort,
opdat:
[…]
i) naderhand kan worden nagegaan en vastgesteld welke persoonsgegevens wanneer, door wie en voor
welk doel in een geautomatiseerd gegevensverwerkingssysteem zijn opgenomen (controle op de
opneming);
[…]
k) de doelmatigheid van de in dit lid bedoelde beveiligingsmaatregelen doorlopend wordt gecontroleerd
en met betrekking tot deze interne controle de nodige organisatorische maatregelen worden genomen om
ervoor te zorgen dat de voorschriften van dit besluit worden nageleefd (interne controle).
Artikel 60 van het Besluit:
1. Elke lidstaat zorgt ervoor dat een onafhankelijke autoriteit („nationale controleautoriteit”) zelfstandig
waakt over de rechtmatigheid van de verwerking van SIS II-persoonsgegevens op en vanuit zijn
grondgebied, met inbegrip van de uitwisseling en verdere verwerking van aanvullende informatie.
2. De nationale controleautoriteit zorgt ervoor dat ten minste om de vier jaar een controle van de
gegevensverwerking in N.SIS II wordt verricht overeenkomstig internationale controlestandaarden.
3. De lidstaten zorgen ervoor dat de nationale controleautoriteit voldoende middelen ter beschikking heeft
om haar taken uit hoofde van dit besluit te kunnen vervullen.
12/12