Wie is verwerkingsverantwoordelijke voor de verschillende gegevens van een boa: politiegegevens, toezichtsgegevens en personeelsgegevens?

Een boa-organisatie verwerkt drie soorten gegevens, elk met een eigen regime en soms een andere verwerkingsverantwoordelijke:

• politiegegevens uit de opsporingstaak: de Wpg, via het Besluit politiegegevens boa. Verwerkingsverantwoordelijke is de werkgever, bij een gemeentelijke boa de gemeente (zie ‘Is de gemeente of het college de verwerkingsverantwoordelijke voor de politiegegevens van boa's’);
• gegevens uit toezicht en bestuursrechtelijke handhaving: de AVG en de UAVG. Verwerkingsverantwoordelijke is in de regel het bestuursorgaan dat de taak uitvoert, zoals het college of de burgemeester (zie ‘Welke privacywet geldt voor mij als toezichthouder, en op welke grondslag verwerk ik persoonsgegevens’);
• personeelsgegevens van de boa zelf, zoals de akte van opsporingsbevoegdheid, de screening, de opleiding en het personeelsdossier: de AVG. Verwerkingsverantwoordelijke is de werkgever. Bij een gemeente is dat de gemeente, niet het college (artikel 2 Ambtenarenwet 2017).

Personeelsgegevens van de boa zijn dus geen politiegegevens. De nota van toelichting bij het Besluit politiegegevens boa zegt ook dat de werkgever voor andere doelen dan de opsporing onder de AVG valt.

Leg in het verwerkingsregister per soort verwerking vast wie de verwerkingsverantwoordelijke is. Controleer dat: in veel registers staat bij personeelsgegevens het college of het bestuur genoemd, terwijl de werkgever de verwerkingsverantwoordelijke is.