Privacyverklaring LIV

Binnen het LIV, een samenwerkingsverband van de RDW, de politie en de Stichting Verzekeringsbureau Voertuigcriminaliteit (VbV), is de RDW aangewezen als de verwerkingsverantwoordelijke partij. Het LIV ondersteunt Politie en Justitie in de opsporing van voertuigcriminaliteit en voertuiggerelateerde criminaliteit. Naast de Politie zijn er andere organisaties die zich bezighouden met opsporing. Zij hebben alle hun eigen verwerkingsverantwoordelijkheid.

In de wet staat dat persoonsgegevens rechtmatig moeten worden verwerkt. Binnen het LIV hebben wij te maken met twee wetten: de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). 

Wet politiegegevens (Wpg): politietaak
Het verwerken van persoonsgegevens voor het ondersteunen van de politie valt onder de Wpg. 

Algemene verordening gegevensbescherming (AVG): interne bedrijfsvoering
Voor het verwerken van gegevens voor onze interne bedrijfsvoering is de AVG van toepassing. Dit zijn zaken zoals de personeelsadministratie, klachtenafhandeling, ICT-voorzieningen en communicatie.

De Wpg en de AVG geven aan op welke gronden het LIV verkregen gegevens mag verwerken. Dat zijn de limitatieve verwerkingsgrondslagen. Alleen als het gebruik van persoonsgegevens onder een van deze grondslagen valt, is de verwerking rechtmatig.

Overzicht van de verwerkingsgrondslagen en de redenen waarvoor het LIV de persoonsgegevens verwerkt.

Wet politiegegevens (Wpg)

Op basis van deze grondslagen in de Wpg verwerkt het LIV persoonsgegevens (artikel 8 en artikel 13 Wpg):

Dagelijkse politietaak (art. 8): politiegegevens kunnen worden verwerkt met het oog op de uitvoering van de dagelijkse politietaak: handhaving van wetten en regels, hulpverlening, surveillance, verkeerszaken en eenvoudige opsporingsonderzoeken.

Ondersteuning van de politietaak (art.13): politiegegevens die zijn verwerkt op basis van artikel 8, 9 of 10 kunnen ook voor andere doeleinden worden gebruikt. Bijvoorbeeld om verdachten of betrokkenen te identificeren, of voor specialistische onderwerpen, zoals de forensische opsporing.

Onze informatiesystemen maken gebruik van basisregistraties van overheidsinstellingen met publiekrechtelijke taken, zoals:

• Het kentekenregister van de RDW
• Het handelsregister van de Kamer van Koophandel (KvK)

Uit deze basisregistraties kunnen we ook persoonsgegevens halen. Wanneer we die gegevens hebben verwerkt zijn het voor ons politiegegevens geworden.

Algemene verordening gegevensbescherming (AVG)

Op basis van de volgende grondslagen in de AVG verwerkt het LIV persoonsgegevens (art. 6 lid 1 AVG):

a) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
b) de verwerking is noodzakelijk voor het vervullen van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen. Dat is bijvoorbeeld het geval bij het uitvoeren van ondersteunende taken bij het politieonderzoek.
c) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

Bij het ontwikkelen van nieuwe producten en diensten is privacybescherming een belangrijk aandachtspunt. Dat wil zeggen dat we al in de beginfase van een ontwerp nadenken over privacy verhogende maatregelen: privacy by design.

Als dat nodig is, voeren we een gegevensbeschermingseffectbeoordeling uit. We toetsen dan vooraf wat de effecten van de gegevensverwerking zijn op de gegevensbescherming van burgers. Blijkt er een hoog risico te zijn op inbreuk op de persoonlijke levenssfeer en dit risico kan niet worden afgedekt, dan leggen we de verwerking voor advies voor aan de Autoriteit Persoonsgegevens.

Autorisaties

Alleen medewerkers die daartoe bevoegd zijn krijgen toegang tot gegevens. Zij mogen
alleen die gegevens inzien die zij nodig hebben om hun werk te kunnen doen.

Logging 

De handelingen van medewerkers in politiesystemen en andere systemen worden gelogd. We houden bij wie welke handeling op welk tijdstip uitvoert in een bepaald bestand.

Logging-gegevens worden gebruikt:

• ter controle van de rechtmatigheid van de gegevensverwerking;
• voor interne controles;
• voor het waarborgen van de integriteit en de beveiliging van politiegegevens;
• voor strafrechtelijke procedures. 

Logbestanden gebruiken we voor beveiligingsdoeleinden en voor (intern) onderzoek achteraf. Denk aan onderzoek naar hacking. Ook kan met behulp van logging a-typisch gedrag van gebruikers en mogelijk onrechtmatig gebruik worden vastgesteld.

De logginggegevens kunnen verder worden gebruikt om de Autoriteit Persoonsgegevens (AP) te informeren in het geval van een datalek of om de burger of medewerker zijn of haar recht op inzage uit te oefenen.

Informatiebeveiliging

Het LIV neemt passende maatregelen - technisch en organisatorisch - om politie- of persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige verwerking, tegen opzettelijk verlies, vernietiging of beschadiging.

Wet politiegegevens (Wpg)

In de Wpg staan vaste bewaartermijnen voor persoonsgegevens. Ook maakt de Wpg onderscheid tussen verwijderen en vernietigen van gegevens. Als we gegevens verwijderen, zijn deze nog niet definitief weg. We zetten ze als het ware achter een digitaal schot en zijn in principe niet meer in te zien. Dat is alleen mogelijk als daar dringende redenen voor zijn en onder strikte voorwaarden.

Vernietigen is een definitieve handeling. De gegevens zijn niet meer terug te halen.

Artikel 13 is een apart artikel in de Wpg en gaat over de verdere verwerking van gegevens. Dat betekent dat er sprake is van een ander doel dan waarvoor de gegevens zijn verzameld. De bewaartermijnen voor het doel uit artikel 13 Wpg zijn vastgelegd in een apart protocol.

Bewaartermijn logging-gegevens voor WPG-gegevens

De bewaartermijn voor logging-gegevens is gekoppeld aan de periodieke privacy audits waartoe het LIV wettelijk is verplicht. Deze externe audits worden iedere 4 jaar uitgevoerd, waarna eventueel nog een hercontrole kan plaatsvinden. Voor het bewaren van logging-gegevens is daarom een maximale termijn van 5 jaar vastgesteld.

Tabel bewaartermijnen

Wet politiegegevens (Wpg)

De Wpg maakt onderscheid tussen verwijderen en vernietigen van gegevens. Als we gegevens verwijderen, zijn zij nog niet definitief weg. Ze komen als het ware achter een digitaal schot te staan en zijn niet meer in te zien. Alleen als mocht blijken dat we de gegevens nodig hebben voor een klachtenprocedure of omdat er verantwoording over moet worden afgelegd, dan kunnen we ze opvragen.

Als er een groot opsporingsonderzoek moet worden verricht wat een grote impact heeft op de rechtsorde, dan mogen deze gegevens opnieuw verwerkt, en dus ook geraadpleegd worden. Dit kan alleen als de officier van justitie daar opdracht voor geeft.

Vernietigen is een definitieve handeling. De gegevens zijn niet meer terug te halen.

Algemene verordening gegevensbescherming (AVG)

De AVG maakt geen onderscheid tussen verwijderen en vernietigen en spreekt alleen van vernietigen. We mogen gegevens niet langer bewaren dan noodzakelijk voor het doel van de verwerking. Daarna moeten we ze vernietigen. Hoe lang we de gegevens bewaren verschilt per geval.

Wet politiegegevens (Wpg)

De Wpg is ook van toepassing op de Koninklijke Marechaussee en de rijksrecherche:

Daarnaast is de Wpg van overeenkomstige toepassing op de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren (boa’s) en de vier bijzondere opsporingsdiensten:

• De Fiscale Inlichtingen- en Opsporingsdienst (FIOD),
• De Inspectie Sociale Zaken en Werkgelegenheid, Directie Opsporing (ISZW-DO)
• De Inlichtingen- en Opsporingsdienst van de Inspectie Leefomgeving en Transport (ILT/IOD)
• De Inlichtingen- en Opsporingsdienst van de Nederlandse Voedsel- en Waren Autoriteit (NVWA-IOD)

Het LIV is binnen het WPG domein verplicht gegevens ter beschikking te stellen aan andere opsporingsinstanties en organisaties die ook werkzaam zijn in het WPG domein. De samenwerkende partners in het LIV kunnen onderling binnen het WPG domein gegevens met elkaar delen.

Gegevens mogen niet altijd voor een ander doel worden gebruikt dan waarvoor zij zijn verzameld.

Algemene verordening gegevensbescherming (AVG)

Wanneer persoonsgegevens voor een ander doel worden verwerkt, moet worden gekeken of het nieuwe doel verenigbaar is met het oorspronkelijke doel. Dit houdt in dat het nieuwe doel niet te veel van het oorspronkelijke doel mag afwijken. 

De persoon op wie de persoons- of politiegegevens betrekking hebben, noemen we de betrokkene. De betrokkene heeft een aantal rechten, zoals het recht op:

• inzage
• rectificatie
• gegevenswissing/vernietiging
• beperking van de verwerking van gegevens
• overdraagbaarheid (alleen AVG)
• bezwaar/beroep

We hebben als LIV de plicht om u te informeren over de verwerkingen. Daarnaast stellen wij u op de hoogte als er is voldaan aan uw verzoek van rectificatie of gegevenswissing of de beperking van de verwerking van gegevens.

Wilt u informatie over de verwerking van uw persoonsgegevens, dan kunt u een schriftelijk verzoek indienen. Als u van mening bent dat de gegevens niet kloppen, dan kunt u een schriftelijk verzoek bij ons indienen waarin u aangeeft wat er gewijzigd moet worden.

We hebben het recht uw verzoek af te wijzen als:

• Het gerechtelijke onderzoeken of procedures zou belemmeren.
• Dat nadelige gevolgen heeft voor het voorkomen van het begaan van strafbare feiten, voor opsporing, onderzoek, vervolging of het opleggen van straffen.
• De openbare veiligheid in het geding is.
• De rechten en vrijheden van derden worden geschonden.
• De nationale veiligheid in het geding is.

Een verzoek kan ook worden afgewezen als het kennelijk een ongegrond of buitensporig verzoek is.

Wet politiegegevens (Wpg)

Recht op inzage (art. 25): U mag vragen of het LIV gegevens van u verwerkt. U moet dit schriftelijk doen. Zijn die gegevens er, dan kunt u ze inzien. U krijgt dan informatie over in ieder geval:

• Doelen en rechtsgrond van de verwerking.
• De betrokken categorieën van gegevens.
• De vraag of deze gegevens gedurende een periode van vier jaar voorafgaande aan het verzoek zijn verstrekt. Ook krijgt u informatie over de ontvangers of categorieën ontvangers van uw gegevens. Met name ontvangers in derde landen of internationale organisaties.
• De voorziene periode van opslag. Of, als dat niet mogelijk is, de criteria voor het bepalen van de bewaartermijn.
• Het recht om te vragen om rectificatie, vernietiging of afscherming van de verwerking van uw gegevens.
• Het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.
• De herkomst van de gegevens.

Recht op rectificatie en vernietiging van politiegegevens (art. 28): na schriftelijk verzoek heeft u het recht onjuiste gegevens te rectificeren of, indien nodig, aan te vullen.

Als uw gegevens: feitelijk onjuist, onvolledig, niet nodig voor het doel of in strijd met een wettelijk voorschrift worden verwerkt, kunt u een verzoek indien om deze gegevens te verbeteren, aan te vullen, te verwijderen, af te schermen of te markeren.

De beslissing op zowel het verzoek uit artikel 25 als 28 Wpg is een besluit in de zin van de Algemene Wet Bestuursrecht. U kunt hiertegen in beroep gaan. Ook kunt u zich wenden tot de Autoriteit Persoonsgegevens en vragen om bemiddeling of advies. Tegelijkertijd kan beroep worden ingesteld.

Wet politiegegevens (Wpg)

Op basis van de WPG hebt u het recht op inzage, recht op rectificatie en recht op vernietiging (zie nummer 8).

Het verzoek kan worden afgewezen voor zover dit een noodzakelijke en evenredige maatregel is. Dit geldt onder andere  ter vermijding van belemmering van gerechtelijke onderzoeken of procedure, ter bescherming van de openbare veiligheid, ter bescherming van rechten en vrijheden van derden en ter bescherming van de nationale veiligheid (art. 27 Wpg).

Algemene verordening gegevensbescherming (AVG)

Op basis van de AVG hebt u recht op inzage, rectificatie, vernietiging en beperking van de verwerking van gegevens, overdraagbaarheid en de mogelijkheid tot bezwaar/beroep.

Wilt u een dergelijk verzoek doen? Dan kunt u ons per post vragen om aan het door u genoemde verzoek te voldoen. Ook een gemachtigde of wettelijk vertegenwoordiger (van personen die nog geen 16 jaar zijn) kan ons dit vragen.

U stuurt uw brief naar:

1. De RDW, unit IV
   t.a.v. Verzoek inzake persoonsgegevens LIV
   Postbus 30000
   9640 RA  Veendam 
2. Bij uw brief stuurt u een kopie van een geldig legitimatiebewijs mee. U doet er verstandig aan om de foto en/of het BSN weg te lakken. Als u iemand gemachtigd heeft, voegt u de machtiging toe.
3. De RDW informeert u binnen 4 weken over de uitvoering van uw verzoek.

10.a. Functionaris voor gegevensbescherming (FG)

De RDW heeft een functionaris voor gegevensbescherming (FG). Deze houdt ook intern toezicht op de toepassing en naleving van de privacywetgeving bij het LIV, aangezien de RDW is aangewezen als verwerkingsverantwoordelijke partij.

De functionaris voor gegevensbescherming (FG) heeft de volgende taken:

• De FG informeert en adviseert de verwerkingsverantwoordelijke over de verplichting op grond van de privacywetgeving.
• Houdt toezicht op de naleving van de privacywetgeving.
• Geeft advies over de gegevensbeschermingseffectbeoordeling en ziet toe op de uitvoering ervan.
• Werkt samen met de Autoriteit Persoonsgegevens (AP) en is het contactpunt voor de AP.

De FG is te bereiken via: [email protected]

Let op: Voor het inzien van uw gegevens dient u een schriftelijk verzoek te richten aan het LIV. Voor de wijze waarop verzoeken kunnen worden gedaan: zie hiervoor nummer 9.

10.b. Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) is de nationale toezichthouder die toezicht houdt op de toepassing van de privacywetgeving. Wie klachten heeft over het gebruik van persoons- of politiegegevens door het LIV kan bij de AP terecht.