Richtlijn politie en justitie — gegevensbescherming in de strafrechtketen

De AVG geldt niet voor gegevensverwerking door politie, justitie en andere opsporingsdiensten met het oog op strafbare feiten. Voor dat domein geldt een eigen richtlijn uit 2016, in Nederland omgezet in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Voor een gewoon bedrijf is dit geen dossier — tot het moment dat het zelf met openbaar gezag is bekleed, bijvoorbeeld doordat medewerkers buitengewoon opsporingsambtenaar zijn, of dat het als leverancier politiegegevens verwerkt voor een korps of het Openbaar Ministerie. Het onderscheid met de AVG zit niet in het soort gegevens maar in de taak: dezelfde camerabeelden vallen onder de AVG bij een beveiligingsbedrijf en onder de Wpg bij de politie.

Waarvoor is dit bedoeld

Verdachten, veroordeelden, slachtoffers en getuigen moeten ook in de strafrechtketen beschermd zijn, maar met regels die rekening houden met lopend onderzoek. De richtlijn geeft die keten daarom een eigen regime, met dezelfde beginselen als de AVG — doelbinding, juistheid, beveiliging, aanwijzing van een functionaris voor gegevensbescherming, melding van datalekken zonder onnodige vertraging en waar mogelijk binnen 72 uur — maar met ruimere mogelijkheden om rechten van betrokkenen te beperken zolang dat het onderzoek zou schaden.

Voor wie

Voor bevoegde autoriteiten. Artikel 1, onderdeel l, van de Wet politiegegevens omschrijft dat als ‘iedere overheidsinstantie die bevoegd is voor de taken, bedoeld in onderdeel a, of ieder ander orgaan dat of iedere andere entiteit die is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de taken, bedoeld in onderdeel a’. Er is geen omvangsdrempel: het gaat om de taak, niet om de grootte van de organisatie. In Nederland vallen daaronder de politie, de Koninklijke Marechaussee, de rijksrecherche, het Openbaar Ministerie, de bijzondere opsporingsdiensten en, via de definitie van ambtenaar van politie in artikel 1, onderdeel k, ook buitengewoon opsporingsambtenaren voor zover zij politietaken uitvoeren.

Wat er niet onder valt

Alles wat buiten het Unierecht valt, activiteiten op het terrein van de nationale veiligheid en het gemeenschappelijk buitenlands en veiligheidsbeleid zijn uitgezonderd; de inlichtingen- en veiligheidsdiensten vallen in Nederland onder een eigen wet. Ook valt buiten dit regime wat een gewone onderneming zelf doet aan beveiliging, fraudeonderzoek, incidentenregisters of camerabewaking: die verwerkingen blijven onder de AVG, hoe strafrechtelijk het onderwerp ook is. Een bedrijf wordt niet vanzelf bevoegde autoriteit doordat het aangifte doet of met de politie samenwerkt.

Wat je moet doen

Wie wél onder de Wpg valt, mag politiegegevens alleen verwerken voor een van de doelen die de wet noemt, moet de verwerkingen vastleggen en loggen, passende beveiliging treffen, een functionaris voor gegevensbescherming aanwijzen en datalekken melden. Verstrekking aan anderen mag alleen waar de wet dat toestaat. De rechten van betrokkenen bestaan wel, maar kunnen worden beperkt en lopen via de verwerkingsverantwoordelijke, met de Autoriteit Persoonsgegevens als route om die beperking te laten toetsen.

Wanneer raakt dit een private partij

Er zijn drie praktische routes. De eerste is een medewerker die buitengewoon opsporingsambtenaar is: in het openbaar vervoer, bij parkeerbeheer, in natuurbeheer en bij sommige toezichthoudende diensten werken boa’s in dienst van een private werkgever, en wat zij in die hoedanigheid aan gegevens verwerken is politiegegeven. De tweede is de rol van verwerker voor een korps, het Openbaar Ministerie of een opsporingsdienst. De derde is een leverancier van ICT- of opslagdiensten waarin politiegegevens terechtkomen, ook zonder dat die leverancier de gegevens inhoudelijk gebruikt.

Wat de verwerkersrol inhoudt

Artikel 6c van de Wet politiegegevens regelt dat de verwerkingsverantwoordelijke uitsluitend verwerkers mag inschakelen die voldoende garanties bieden, dat de verwerking wordt vastgelegd in een schriftelijke overeenkomst waarin de verplichtingen staan, dat de verwerker alleen op instructie van de verantwoordelijke handelt tenzij de wet anders voorschrijft, dat het inschakelen van een subverwerker voorafgaande schriftelijke toestemming vergt, en dat de verwerker inbreuken op de beveiliging onverwijld meldt bij de verantwoordelijke. Voor een leverancier vertaalt dit zich in een ander contract dan de verwerkersovereenkomst die hij onder de AVG gewend is.

Twee wetten, twee gegevensstromen

De Wet politiegegevens gaat over het politiegegeven: ‘elk persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak’ (artikel 1). De Wet justitiële en strafvorderlijke gegevens gaat over justitiële gegevens — gegevens over de toepassing van het strafrecht of de strafvordering — en over strafvorderlijke gegevens, verkregen in het kader van een strafvorderlijk onderzoek, plus de persoonsdossiers met rapportages aan rechterlijke autoriteiten.

Verwerkingsverantwoordelijke

Bij de politie is dat de korpschef, bij de rijksrecherche het College van procureurs-generaal en bij de Koninklijke Marechaussee de Minister van Defensie. Voor justitiële gegevens is het de Minister van Justitie en Veiligheid, voor strafvorderlijke gegevens het College van procureurs-generaal. Een private partij die als verwerker optreedt, is dus zelf geen verantwoordelijke en bepaalt niets over doel en middelen.

De VOG loopt via de Wjsg

De verklaring omtrent het gedrag is geregeld in de Wet justitiële en strafvorderlijke gegevens, in de artikelen 28 en volgende. Dat is voor werkgevers het meest voorkomende raakvlak met dit dossier. De werkgever die een VOG verlangt, krijgt uitsluitend de verklaring zelf te zien, niet de justitiële gegevens waarop de beoordeling berust; de afweging vindt plaats bij de screeningsautoriteit van het ministerie.

Doorgifte buiten de EU

Artikel 17a van de Wet politiegegevens regelt doorgifte aan derde landen: die is mogelijk op grond van een adequaatheidsbesluit van de Europese Commissie, op grond van bindende waarborgen of een eigen beoordeling van het beschermingsniveau, of in specifieke uitzonderingsgevallen zoals een dringend gevaar voor de veiligheid. Doorgaans is vooraf toestemming nodig van de autoriteit waar de gegevens vandaan komen.

Een organisatie kan onder beide regimes vallen

De personeelsadministratie, de inkoop en de eigen bedrijfsvoering van een politiedienst vallen onder de AVG; de opsporingsgegevens onder de Wpg. Omgekeerd valt een vervoerbedrijf met boa’s voor het overgrote deel van zijn verwerkingen onder de AVG en alleen voor de opsporingstaak onder de Wpg. Wie beide regimes in huis heeft, moet de gegevensstromen gescheiden houden, omdat de grondslagen, bewaartermijnen en verstrekkingsregels niet uitwisselbaar zijn.

Nederlandse omzetting

De richtlijn is vastgesteld op 27 april 2016, gepubliceerd op 4 mei 2016 en in werking getreden op 5 mei 2016; de lidstaten kregen twee jaar om haar om te zetten. Nederland deed dat met een wijziging van de Wpg en de Wjsg van 17 oktober 2018, gepubliceerd in Staatsblad 2018, 401, in werking getreden op 1 januari 2019. Beide wetten zijn sindsdien vaak gewijzigd; de geldende versies dateren van 1 september 2026, toen de Verzamelwet gegevensbescherming doorwerkte.

Modernisering blijft uit

Een integrale herziening van de Wpg en de Wjsg wordt sinds 2022 aangekondigd — de wetten worden als versnipperd en moeilijk uitvoerbaar beschouwd — maar is per 11 september 2026 niet in een aanhangig wetsvoorstel terug te vinden. Wat er wel gebeurt, zijn wijzigingen via andere wetten, zoals de Wet gegevensverwerking door samenwerkingsverbanden en de Verzamelwet gegevensbescherming.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op zowel de Wpg als de Wjsg. Zij doet dat naast haar AVG-taak en met eigen bevoegdheden uit die wetten; daarnaast kent de Wpg een stelsel van periodieke controle op de naleving door de verwerkingsverantwoordelijke zelf.

Boete

Anders dan de AVG kent de richtlijn geen Europees boetemaximum. Zij laat de sancties aan de lidstaten, met als eis dat die doeltreffend, evenredig en afschrikkend zijn. In de praktijk bestaat het optreden van de Autoriteit Persoonsgegevens in dit domein vooral uit onderzoek, corrigerende maatregelen en openbare rapportage; welke boetebevoegdheid zij precies onder de Wpg en de Wjsg heeft, is hieronder als onzeker gemarkeerd.