Toezicht op beheer bijzondere politieregisters
Inleiding
Aanleiding voor deze circulaire zijn onder meer de door de Parlementaire Enquete Commissie Opsporingsmethoden (de commissie-Van Traa; Kamerstukken II 1995-1996, 24 072, nrs. 10-11) geconstateerde gebreken in de informatiehuishouding van de toenmalige criminele inlichtingendiensten (CID-en). De kwaliteit van de informatie in de registers van de CID-en was, aldus de commissie, beneden de maat. De commissie pleitte ervoor informatie op te nemen over een beperktere kring van mensen, informatie die zorgvuldig op rechtmatigheid en betrouwbaarheid wordt getoetst. Ook diende te worden voorzien in een adequaat beheer van de informatie, mede met het oog op de behandeling van een zaak ter terechtzitting.
De kaders voor de werkzaamheden van de CID-en werden en worden gevormd door de Politiewet 1993, het Wetboek van Strafvordering en de Wet politieregisters. Nadat door de wijzigingen van het Besluit beheer regionale politiekorpsen (Stb. 1999, 501), van het Wetboek van Strafvordering (de wet bijzondere opsporingsbevoegdheden; Stb. 1999, 245) en de Wet politieregisters (de wet bijzondere politieregisters; Stb. 1999, 244) een helder beeld is ontstaan van de nieuwe kaders waarbinnen de criminele inlichtingendienst in de toekomst haar taak moest vervullen, is de Regeling criminele inlichtingen eenheden (CIE-regeling) met ingang van 1 november 2000 in werking getreden (Stcrt. 2000, 198). Tevens heeft de toenmalige Registratiekamer een verklaring van overeenstemming ingevolge artikel 12 van de Wet politieregisters afgegeven ten aanzien van de reglementen bij de registers die worden gevoerd door de CIE-en, te weten het register zware criminaliteit, het voorlopig register en het informantenregister.
In de toelichting bij de CIE-regeling hebben wij aangegeven dat de Registratiekamer destijds heeft geadviseerd een verplichte periodieke auditvoorziening op te nemen in deze regeling. Wij hebben in dat verband opgemerkt dat een auditvoorziening ook naar ons oordeel een adequaat middel kan zijn om toezicht te houden op het beheer van de bijzondere politieregisters. Vanwege hun specifieke karakter zijn de voorschriften omtrent het toezicht niet opgenomen in de CIE-regeling. Wij hebben in de toelichting bij die regeling aangekondigd het toezicht te regelen in een afzonderlijke circulaire. De onderhavige circulaire bevat de aangekondigde voorschriften.
Teneinde de beheerders van de bij de CIE-en gevoerde registers (het register zware criminaliteit, het voorlopig register en het informantenregister) in staat te stellen uitvoering te geven aan een onderdeel van hun wettelijk opgedragen taak (zie artikel 7 van de Wet politieregisters), te weten het adequaat toezicht houden op de kwaliteit van de in politieregisters opgenomen persoonsgegevens, is een instrument ontwikkeld aan de hand waarvan de kwaliteit en de kwantiteit van die gegevens kunnen worden bezien.
Het bedoelde kwaliteitsbevorderende instrument bestaat uit twee elementen:
-
een jaarlijkse zelfevaluatie aan de hand van een vragenformulier met daarop in het eerste jaar na de inwerkingtreding van de onderhavige circulaire een zogenaamde review door een externe deskundige, en
-
een vierjaarlijkse externe onafhankelijke audit.
Deze circulaire heeft alleen betrekking op de zelfevaluatie en de review. De wijze waarop de onafhankelijke audit zal worden uitgevoerd, wordt op een later moment ingevuld. Een en ander zal mede worden vormgegeven aan de hand van de met de zelfevaluatie door de CIE-en opgedane ervaringen. De zelfevaluatie is derhalve de eerste stap in een proces tot kwaliteitsverbetering.
In het kader van het 'Project implementatie en voorlichting nieuwe wetgeving' (bedoeld zijn de eerder genoemde wet bijzondere opsporingsbevoegdheden en de wet bijzondere politieregisters), waarin vertegenwoordigers van de ministeries van Justitie en van Binnenlandse Zaken en Koninkrijksrelaties, de politie en het openbaar ministerie participeren, zijn de opzet en invulling van het auditsysteem getoetst door middel van pilots in een drietal regionale politiekorpsen. Doel van de pilots was niet om de desbetreffende korpsen c.q. de CIE-en te beoordelen en te voorzien van een kwalificatie 'goed' of 'slecht'. De pilots dienden aan het licht te brengen of het voorgestane model voor de zelfevaluatie een adequaat en bruikbaar instrument zou kunnen zijn waarbij kwaliteitverbetering voorop staat.
Uit de ervaringen met de pilots is naar voren gekomen dat de in deze circulaire opgenomen zelfevaluatie een nuttig instrument is om die gegevens te kunnen verkrijgen die voor de beheerder van de (bijzondere) politieregisters nodig zijn ter uitoefening van diens taken en bevoegdheden. Belangrijke uitkomst van de pilots is ook dat de waarde van de zelfevaluatie door de CIE-en en de betrokken CIE-officieren van justitie is onderkend en dat op basis van de resultaten van de pilots in de desbetreffende korpsen inmiddels verbetertrajecten zijn geïnitieerd.
In de toelichting bij de CIE-regeling hebben wij reeds aangegeven dat de beheerder van het korps c.q. van de registers dient te kunnen rekenen op betrokkenheid van het openbaar ministerie met het oog op een juiste werking van de bijzondere politieregisters. In de memorie van toelichting bij de wet bijzondere politieregisters hebben wij aangegeven dat het openbaar ministerie immers bij uitstek beschikt over de vereiste deskundigheid op het gebied van het strafrecht om te kunnen beoordelen of personen mogen worden geregistreerd in de registers. Te dien aanzien mag de beheerder op de inbreng van het openbaar ministerie rekenen. Het uiteindelijke toezicht op de inhoud van de registers moet dan ook in onze visie beschouwd worden als een gezamenlijke aangelegenheid; er is sprake van gedeelde verantwoordelijkheden, met dien verstande dat de beheerder uit hoofde van artikel 7 van de Wet politieregisters de eindverantwoordelijkheid draagt (Kamerstukken II, 25 398, nr. 3, blz. 11). De afstemming tussen de verschillende betrokkenen vindt plaats in het reguliere driehoeksoverleg. De Minister van Justitie heeft gezien het voorstaande het College van procureurs-generaal gevraagd te bevorderen dat het openbaar ministerie meewerkt aan het instrument van de zelfevaluatie en de review. Tijdens de pilots is gebleken dat het tijdbeslag voor de direct betrokkenen bestaat uit het invullen van een vragenlijst en het meewerken aan de review door de externe deskundige, door middel van een interview. Het College van procureurs-generaal heeft aangegeven dat in de nog te wijzigen instructie van het College voor de officier van justitie, belast met de gezagsuitoefening over de informatiehuishouding, nog aandacht zal worden besteed aan de bijdrage van het openbaar ministerie aan het onderhavige toezichtsinstrument.
Wij hechten eraan nogmaals op te merken dat een eventuele kwalificatie 'goed' of 'slecht' van de respectieve CIE-en niet aan de orde is. De zelfevaluatie heeft niet het doel tot een kwaliteitsvergelijking van de verschillende CIE-en te komen. De zelfevaluatie kan, naast de kwaliteitsverbetering van de gegevensbewerking bij de CIE-en, ook de wet- en regelgever op het onderhavige beleidsterrein ten goede komen. Over bijvoorbeeld de normen, zoals neergelegd in eerder genoemde (wettelijke) kaders, kan de zelfevaluatie bruikbare informatie opleveren die bijvoorbeeld tot bijstelling daarvan aanleiding zou kunnen geven. Zo kunnen bijvoorbeeld de ervaringen van de zelfevaluatie worden gebruikt bij het traject tot herziening van de Wet politieregisters waarmee dit najaar zal worden gestart.
De zelfevaluatie en de onafhankelijke audit hebben derhalve tot hoofddoel de kwaliteit te bevorderen van de bij de CIE-en in gebruik zijnde criminele informatie. Hieruit vloeit voort dat beide onderdelen van het instrumentarium verplicht worden voorgeschreven voor alle organisatorische eenheden van de Nederlandse politie die criminele inlichtingen verwerken. Het gaat om de CIE-en van de regionale politiekorpsen, de eenheden die ten behoeve van de kernteams op dit gebied werkzaam zijn, het Korps landelijke politiediensten, de Koninklijke marechaussee en de rijksrecherche.
Onderzocht wordt momenteel of een dergelijke systematiek eveneens zal worden ingevoerd voor de eenheden die zich bij de bijzondere opsporingsdiensten zullen gaan bezighouden met het verwerken van criminele informatie.
Op grond van de Wet politieregisters zijn het register zware criminaliteit en het voorlopig register bijzondere politieregisters. Deze circulaire zal zich evenwel ook uitstrekken tot het bij de CIE-en in gebruik zijnde informantenregister. Enkele beheerders van politieregisters hebben zich reeds gewend tot de Minister van Justitie met het verzoek ook het informantenregister te brengen onder paragraaf 3a van de Wet politieregisters. De Minister van Justitie heeft in zijn antwoord op deze vraag aangegeven dat het de voorkeur verdient ook ten aanzien van het informantenregister regels te stellen op formeelwettelijk niveau. In de toelichting bij de CIE-regeling is aangegeven dat op termijn zal worden voorzien in een formeelwettelijke regeling voor de registratie van informantengegevens.
Andere politieregisters die gevoelige informatie (kunnen) bevatten, zoals registers van de regionale inlichtingendienst, vallen niet onder de reikwijdte van deze circulaire. Het is van belang de omvang van de nu voorgestane systematiek beheersbaar te houden, zowel in aantallen te betrekken registers als in tijd gemeten.
Relatie tot bestaande instrumenten
De Regeling informatiebeveiliging politie (Stcrt. 1997, 60) geeft regels met betrekking tot de informatievoorziening van de regionale politiekorpsen, het Korps landelijke politiediensten en de ITO, in het bijzonder met betrekking tot de beveiliging daarvan. De regeling is van toepassing op 'het gehele proces van informatievoorziening en de gehele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie'.
Ter uitvoering van de regeling is het stelsel voor de aanpak van de informatiebeveiliging ontwikkeld. Het stelsel bevat normen en criteria voor zowel beleid, plan, uitvoering als auditing. Elke korpsbeheerder is op grond van de Regeling informatiebeveiliging politie, nader uitgewerkt in het stelsel, gehouden om volgens een vastgesteld schema een onafhankelijk oordeel (audits) te verkrijgen over de kwaliteit van de getroffen beveiligingsmaatregelen, over het handhaven of indien voorkomend het nalaten daarvan.
De criminele inlichtingen en informantgegevens die door de CIE-en worden verzameld en geregistreerd in de bijzondere politieregisters, maken onderdeel uit van de informatiehuishouding van het korps. Deze informatie vormt een bijzonder deel van de informatiehuishouding, aangezien voor de in bijzondere politieregisters opgeslagen gegevens specifieke voorschriften gelden. Het in deze circulaire opgenomen instrumentarium is afgestemd met en past in de aanpak van het hiervoor bedoelde stelsel voor de aanpak van de informatiebeveiliging, in die zin dat de review niet haaks staat op de Regeling informatiebeveiliging politie. Voor de specifieke beveiliging van de bijzondere politieregisters worden de relevante onderdelen van het bedoelde stelsel voor de aanpak van de informatiebeveiliging gevolgd. Hoewel de Regeling informatiebeveiliging politie niet van toepassing is op de Koninklijke marechaussee, is het systeem van zelfevaluatie wel toepasbaar op de Koninklijke marechaussee.
Het instrument van zelfevaluatie (inclusief review) en de EDP-audit
Het instrument dat bijdraagt aan verbetering van de kwaliteit van de informatiehuishouding van de CIE-en wat betreft de criminele inlichtingen en informantengegevens bestaat uit twee gedeelten en zal als volgt worden uitgevoerd binnen de CIE-en waarop deze circulaire van toepassing is:
1.
Een jaarlijks uit te voeren zelfevaluatie: aan de hand van een vragenlijst wordt door de eigen CIE binnen het eigen korps c.q. organisatie bezien hoe het ervoor staat. De eerste keer dat de CIE-en dit op basis van de bij deze circulaire gevoegde vragenlijst dienen te doen, zal door een team, bestaande uit de privacyfunctionaris, de chef CIE, de betrokken officier van justitie en een externe deskundige, direct na het invullen van de vragenlijst een korte review worden gehouden. In het kader van de review zal ook een gesprek met één van de leden van de korpsleiding plaatsvinden.
Wat betreft de uitvoering van de zelfevaluatie en van de review wordt verwezen naar de hierna komende toelichting op de vragenlijst, punten 2 en 7.
2.
Een toetsing door een onafhankelijke EDP-auditor. Deze toetsing wordt niet jaarlijks uitgevoerd, doch eens in de vier jaren. Een dergelijke periode is vergelijkbaar met die voor de audit op basis van het stelsel voor de aanpak van de informatiebeveiliging van de Nederlandse politie. Met inachtneming van de resultaten van de zelfevaluaties zal nadere invulling worden gegeven aan de EDP-audit.
De externe deskundige
Voor de review wordt gedurende het eerste jaar van de geldigheidsduur van deze circulaire een externe deskundige ingeschakeld. De externe deskundige wordt aangewezen door de Ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Justitie.
De externe is bekend met de werkzaamheden van de CIE, de relevante normen, alsmede de verschillende auditinstrumentaria. Derhalve is de externe tevens deskundig op het terrein van het uitvoeren van reviews. De externe is een onafhankelijke en onpartijdige EDP-auditor (RE).
De externe zal, voorafgaand aan het uitvoeren van de review op basis van de ingevulde vragenlijsten, worden gescreend.
De externe voert zijn werkzaamheden uit aan de hand van een vooraf door de Ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Justitie geaccordeerd plan van aanpak dat voor alle betrokken CIE-en zal worden gevolgd. Het uitvoeren van deelwaarnemingen in de registers is afhankelijk van de informatie die is te destilleren uit de vragenlijsten. Niet in alle gevallen is het immers noodzakelijk externe deelwaarnemingen uit te voeren. Daarvoor moet de externe de noodzaak en toegevoegde waarde eerst aantonen. Uit veiligheidsoverwegingen hoeven aan de externe nimmer persoonsgegevens te worden verstrekt.
Ten kantore van de externe deskundige zal geen dossier worden aangelegd. Dossiervorming geschiedt op de locatie van de CIE. De op de zelfevaluatie en review betrekking hebbende dossiers zullen door de externe worden verzegeld.
De externe deskundige zal na het houden van de review een rapport opstellen. Het rapport - dat voor iedere review op dezelfde wijze wordt vormgegeven - wordt aan de (korps)beheerder van de registers, de korpschef, de chef CIE en de betrokken CIE-officier van justitie overhandigd. Tevens ontvangen de Ministers van Binnenlandse Zaken en Koninkrijksrelaties en van Justitie een exemplaar, en ontvangt de Minister van Defensie een exemplaar van het rapport over de CIE van de Koninklijke marechaussee.
De uitkomsten van de zelfevaluatie en de review, in termen van sterke en verbeterpunten, zullen aanleiding vormen om binnen het korps c.q. de CIE een verbetertraject op te zetten. Afhankelijk van de 'zwaarte' van de gesignaleerde verbeterpunten en de organisatie van korps en CIE kan een plan van aanpak met tijdplanning worden geformuleerd. Het is voorstelbaar dat enkele verbeterpunten direct kunnen worden aangepakt, terwijl voor de realisatie van andere punten meer tijd nodig is. Over de vorderingen en resultaten van het verbetertraject dient de chef van de CIE periodiek te rapporteren aan de korpsleiding. Over de kwaliteit van de gegevensverwerking wordt periodiek aan het managementoverleg gerapporteerd en dient de korpsleiding regelmatig te worden geïnformeerd.
De rapporten zullen niet worden verstrekt aan het College bescherming persoonsgegevens. Wel zal genoemd college in algemene zin een terugkoppeling krijgen van de bevindingen. Het voorgaande laat overigens onverlet dat het College bescherming persoonsgegevens naar aanleiding van een concrete zaak gebruik kan maken van zijn bevoegdheden.
De rapporten worden onder geen andere dan de genoemde functionarissen verspreid.
Indien een verzoek tot openbaarmaking van een rapport op grond van de Wet openbaarheid van bestuur wordt ingediend, dient de beoordeling van het verzoek altijd plaats te vinden in overleg met het bevoegd gezag dat de verantwoordelijkheid draagt voor de desbetreffende CIE, zijnde de (korps)beheerder en de CIE-officier van justitie. Dit kan ertoe leiden dat aan de hand van de weigeringsgronden van de Wet openbaarheid van bestuur het verzoek geheel of gedeeltelijk wordt afgewezen.
Mutatis mutandis geldt dit gelijkelijk voor de Koninklijke marechaussee en de rijksrecherche.
Planning; kosten
In overleg met de externe deskundige wordt een planning voor de te houden reviews vastgesteld. De CIE-en worden hiervoor door de externe deskundige benaderd voor aanvang van de zelfevaluatie; daarbij zal tevens een planning voor het retourneren van de vragenlijsten worden gemaakt. Eén jaar na vaststelling van deze circulaire dienen de zelfevaluatie en de review te zijn gehouden ten aanzien van alle bijzondere politieregisters.
De kosten van de externe deskundige komen de eerste keer ten laste van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het Ministerie van Justitie. Indien voor de opvolgende jaren de korpsen de zelfevaluatie eveneens willen laten volgen door een extern begeleide review, dienen de korpsen de kosten daarvan zelf te voldoen. Hierbij kan worden opgemerkt dat door het op een adequate wijze doorvoeren van verbeteringsacties de volgende zelfevaluaties en reviews beperkt kunnen worden gehouden, zodat ook de kosten daarvan beperkt zijn.
De vanaf het tweede jaar door de korpsen zelf in te schakelen externe reviewer dient uiteraard te voldoen aan dezelfde kwaliteitseisen als hiervoor beschreven: onafhankelijk, deskundig wat betreft zowel de materie als de praktijk.