Besluit van 28 mei 2025, houdende regeling van technische, personele en organisatorische maatregelen en nadere regels omtrent gegevensbeschermingsaudits ter uitvoering van de Wet coördinatie terrorismebestrijding en nationale veiligheid en wijziging van het Besluit politiegegevens, alsmede tot vaststelling van het tijdstip van inwerkingtreding van de Wet coördinatie terrorismebestrijding en nationale veiligheid (Besluit coördinatie terrorismebestrijding en nationale veiligheid)

• Published date: 03 June 2025
• Enactment Date: 28 May 2025
• Section: AMvB
• Gazette Issue: 148

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op de voordracht van Onze Minister van Justitie en Veiligheid van 7 februari 2025, directie Wetgeving en Juridische Zaken, nr. 6156363;

Gelet op artikel 3, derde lid, artikel 5, derde lid, en artikel 11 van de Wet coördinatie terrorismebestrijding en nationale veiligheid en artikel 18, eerste lid, van de Wet politiegegevens;

De Afdeling advisering van de Raad van State gehoord (advies van 26 maart 2025, nr. W16.25.00037/II);

Gezien het nader rapport van Onze Minister van Justitie en Veiligheid, van 27 mei 2025, directie Wetgeving en Juridische Zaken, nr. 6388928;

Hebben goedgevonden en verstaan:

Artikel 1. Definitie

In dit besluit wordt verstaan onder wet: Wet coördinatie terrorismebestrijding en nationale veiligheid.

Artikel 2. Werkwijze

• 1. Onze Minister legt het doel en de afbakening van de werkzaamheden vast die worden verricht ter uitvoering van artikel 2 van de wet.

• 2. Indien op grond van artikel 7, eerste lid, van de wet persoonsgegevens worden verstrekt legt Onze Minister vast:

  • a. of er sprake is van bijzondere categorieën van persoonsgegevens of van persoonsgegevens van strafrechtelijke aard;

  • b. op welke wijze artikel 7, tweede lid, van de wet is toegepast; en

  • c. indien de verstrekking betrekking heeft op een analyse van een trend of fenomeen als bedoeld in artikel 2, derde lid, van de wet: de motivering dat is voldaan aan artikel 7, derde lid, van de wet.

Artikel 3. Beschermingsmaatregelen

• 1. Onze Minister voorziet voor de verwerking van persoonsgegevens bij of krachtens de wet in:

  • a. actueel strategisch en tactisch risicogebaseerd informatiebeveiligingsbeleid waarin is vastgelegd op welke wijze invulling wordt gegeven aan de daarvoor geldende normen, waaronder in ieder geval de meest recente door Onze Minister van Binnenlandse Zaken en Koninkrijksrelaties en Onze Minister-President, Minister van Algemene Zaken, vastgestelde richtlijnen;

  • b. functiescheiding waardoor bij de uitvoering van de in artikel 2 van de wet bedoelde taak onderscheid wordt gemaakt in verschillende taken en rollen;

  • c. maatregelen waarmee de toegang tot persoonsgegevens op zorgvuldige wijze wordt geregeld;

  • d. het loggen van zoekopdrachten van de in artikel 3, eerste lid, onderdeel a, van de wet bedoelde publiek toegankelijke bronnen, voor zover dit onlinebronnen zijn en deze bronnen kunnen worden aangemerkt als sociale media, ten behoeve van het signaleren, analyseren en duiden van trends en fenomenen als bedoeld in artikel 2, derde lid, van de wet.

• 2. De persoonsgegevens die in verband met het loggen als bedoeld in het eerste lid, onderdeel d, worden vastgelegd, worden uitsluitend gebruikt voor controledoeleinden. Deze persoonsgegevens worden minimaal een jaar na het genereren van de logregel en ten minste tot de datum waarop de laatste externe gegevensbeschermingsaudit, bedoeld in artikel 4, eerste lid, heeft plaatsgevonden bewaard.

Artikel 4. Gegevensbeschermingsaudit

• 1. Onze Minister laat iedere vier jaar door middel van een externe gegevensbeschermingsaudit de wijze waarop uitvoering wordt gegeven aan de bij en krachtens de wet gestelde regels ten aanzien de in artikel 3, eerste lid, onderdeel a, van de wet bedoelde publiek toegankelijke bronnen, voor zover dit onlinebronnen zijn, in verband met het signaleren, analyseren en duiden van trends en fenomenen, controleren.

• 2. De in het eerste lid bedoelde controles hebben betrekking op de wijze waarop is voorzien in maatregelen en procedures en de werking van deze maatregelen en procedures waarmee beoogd wordt in de borging van de wettelijke eisen te voorzien.

• 3. In afwijking van het eerste lid laat Onze Minister de eerste zes jaar na inwerkingtreding van de wet eens in de twee jaar een externe gegevensbeschermingsaudit verrichten.

• 4. Onze Minister stuurt een afschrift van de controleresultaten van de externe gegevensbeschermingsaudit, bedoeld in het eerste lid, aan de Autoriteit Persoonsgegevens.

• 5. Ter voorbereiding op de controles, bedoeld in het eerste lid, laat Onze Minister ieder jaar een interne gegevensbeschermingsaudit verrichten.

Artikel 5. Wijziging Besluit politiegegevens

Aan artikel 4:3, eerste lid, onderdeel a, van het Besluit politiegegevens wordt onder vervanging van de punt in subonderdeel 10 door een puntkomma, een onderdeel toegevoegd, luidende:

• 11°. de uitvoering van artikel 2 van de Wet coördinatie terrorismebestrijding en nationale veiligheid.

Artikel 6. Inwerkingtreding

De wet en dit besluit treden in werking met ingang van de dag na de datum van uitgifte van het Staatsblad waarin dit besluit wordt geplaatst.

Artikel 7. Citeertitel

Dit besluit wordt aangehaald als: Besluit coördinatie terrorismebestrijding en nationale veiligheid.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 28 mei 2025

Willem-Alexander

De Minister van Justitie en Veiligheid, D.M. van Weel

Uitgegeven de derde juni 2025

De Minister van Justitie en Veiligheid, D.M. van Weel

NOTA VAN TOELICHTING Algemeen deel 1. Aanleiding

De Wet coördinatie terrorismebestrijding en nationale veiligheid (Stb. 2023, nr. 454) bevat de opdracht tot het stellen van regels bij algemene maatregel van bestuur ten aanzien van een aantal onderwerpen die dienen ter bescherming van persoonsgegevens. Het betreft:

• 1. Regels met betrekking tot te nemen technische, personele en organisatorische maatregelen, waaronder regels over functiescheiding, autorisatie voor het gebruik van bepaalde systemen, opslag en beveiliging (artikel 3, derde lid), en;

• 2. Nadere regels betreffende de inhoud en wijze van uitvoering van gegevensbeschermingsaudits ten aanzien van het gebruik van de in artikel 3, eerste lid, onderdeel a, bedoelde bronnen, voor zover dit onlinebronnen zijn (artikel 5, derde lid).

Dit besluit voorziet in deze regels. Op beide onderwerpen zal hierna nader worden ingegaan.

2. Inhoud besluit

2.1. Systematiek, begrenzingen en waarborgen

Om de regels in onderhavig besluit in de context van de Wet coördinatie terrorismebestrijding en nationale veiligheid (hierna: de wet) te kunnen plaatsen, zal hier eerst nader worden ingegaan op de kernsystematiek van de wet en de daarin opgenomen begrenzingen en waarborgen.

De aanleiding van de wet werd gevormd door de constatering dat voor de verwerking van persoonsgegevens die vereist is voor de uitvoering van een aantal werkzaamheden van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (hierna: NCTV) een wettelijke grondslag vereist is.1 De wet voorziet in deze grondslag in de vorm van de wettelijke taak, bedoeld in artikel 6, eerste lid, onderdeel e, en lidstatelijk recht als bedoeld in artikel 9, eerste lid, onderdeel g, van de Algemene Verordening Gegevensbescherming (hierna: AVG). Daarnaast bevat de wet diverse begrenzingen en waarborgen vanwege deze verwerking van persoonsgegevens. Deze hebben zowel als doel om persoonsgegevens te beschermen, als de naleving van de AVG te versterken en deze naleving controleerbaar te maken.

Zoals ook in de wetgeschiedenis aan bod kwam is in dit kader van belang om te benadrukken dat er al snel sprake is van een verwerking van persoonsgegevens in de zin van de AVG door de brede definiëring van de begrippen «persoonsgegevens» en «verwerking» in die verordening. Dus ook al is het doel niet om persoonsgegevens te verwerken, het feit dat in een set gegevens ook persoonsgegevens voorkomen en deze gegevens worden verwerkt, maakt dat er met betrekking tot die persoonsgegevens sprake is van een verwerking waarvoor de regels van de AVG gelden.2 Het begrip persoonsgegevens zoals gedefinieerd in de AVG omvat alle informatie over een geïdentificeerde of identificeerbare persoon. Als identificeerbaar wordt volgens de AVG beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. Wellicht ten overvloede geldt tot slot dat de verstrekking van «gegevens» in algemene zin niet gereguleerd is en geen grondslag vereist. Dit is pas anders als het persoonsgegevens betreft. Dit vanwege de bescherming van de persoonlijke levenssfeer die dit vereist.

De wet regelt in artikel 2 de coördinatietaak van de Minister van Justitie en Veiligheid (hierna: de Minister) op het terrein van terrorismebestrijding en de bescherming van de nationale veiligheid, ten behoeve van de samenhang en effectiviteit van het beleid en de door overheidsorganisaties te nemen maatregelen. Dit met het oog op het verhogen van de weerbaarheid tegen dreigingen en risico’s, het beschermen van de nationale veiligheidsbelangen en het voorkomen van maatschappelijke ontwrichting. In verband met deze coördinatietaak kan de Minister trends en fenomenen op dit terrein signaleren, analyseren en duiden. De NCTV voert de wet uit namens de Minister. Om die reden zal in deze toelichting gesproken worden over de taakuitvoering door de NCTV.

De wet regelt in artikel 3 welke persoonsgegevens en daarmee samenhangende andere gegevens voor deze taak gebruikt kunnen worden. Ook regelt de wet aan welke organisaties persoonsgegevens en daarmee samenhangende andere gegevens kunnen worden verstrekt (artikel 7 van de wet). Daarbij zijn steeds diverse begrenzingen en waarborgen opgenomen.

Ten aanzien van het signaleren, analyseren en duiden van trends en fenomenen geldt dat expliciet is vastgelegd dat dit geen bevoegdheid...