Wpg-audit met tekortkomingen: zo organiseert u het vervolg

Maak het auditrapport tot startpunt van de uitvoering

Lees daarbij precies wat de auditor heeft onderzocht. Gaat de bevinding over een ontbrekende afspraak, een maatregel die nog niet is ingevoerd of een werkwijze waarvan de werking niet aantoonbaar is? Die situaties vragen verschillende vervolgstappen. Een nieuwe beleidsregel kan bijvoorbeeld nodig zijn, terwijl daarnaast toegang in een systeem moet worden aangepast.

Stap 1: bevestig de processen waarop de Wpg van toepassing is

Binnen één organisatie kunnen de AVG en de Wpg naast elkaar spelen. Bij boa’s is de taak waarvoor gegevens worden verwerkt relevant: de opsporingstaak kan onder de Wpg vallen, terwijl andere werkzaamheden een ander kader hebben. De functietitel of de naam van een applicatie alleen geeft daarom onvoldoende duidelijkheid. Politie, uitleg AVG en Wpg.

Loop met de betrokken teams door de gegevensstroom: verzamelen, vastleggen, raadplegen, delen en uiteindelijk verwijderen of vernietigen. Noteer systemen, verantwoordelijken en externe partijen. Controleer of het auditrapport deze verwerking omvat. Een verbetering in de verkeerde afbakening kan een keurige werkinstructie opleveren die het onderzochte probleem niet oplost.

Stap 2: werk per bevinding van afspraak naar bewijs

Neem als voorbeeld een bevinding over autorisaties. Leg eerst vast welke medewerkers welke toegang nodig hebben en wie wijzigingen goedkeurt. Laat daarna de rechten in het systeem aanpassen. Controleer vervolgens met een steekproef of de afspraken worden gevolgd. Bewaar de onderbouwing van keuzes en controle zonder onnodig volledige opsporingsdossiers te kopiëren.

Gebruik voor iedere bevinding dezelfde vier vragen: wat veranderen we, wie voert het uit, wanneer is het ingevoerd en waarmee tonen we werking aan? Spreek ook af wie beoordeelt of het bewijs compleet genoeg is voor de volgende auditstap. De AP benadrukt in haar onderzoek dat Wpg-maatregelen moeten zijn ingericht én aantoonbaar in de praktijk moeten werken. AP, onderzoek naar Wpg-hercontroles.

Stap 3: bewaak de formele vervolgroute

Naast de vierjaarlijkse externe audit beschrijft de AP jaarlijkse interne audits voor boa-werkgevers. Een hercontrole is een afzonderlijke vervolgstap bij geconstateerde tekortkomingen. Controleer met de auditor welke onderdelen worden herbeoordeeld en welke planning en rapportageverplichtingen voor uw situatie gelden. Neem bestaande deadlines meteen op in de actielijst. AP, FG-nieuwsbrief januari 2024.

Artikel 33 Wpg bepaalt dat bij onvoldoende naleving binnen een jaar een hercontrole plaatsvindt op de onderdelen die niet voldeden. Een verbeterplan heft die verplichting niet op. Wet politiegegevens, artikel 33.

Stap 4: verdeel advies, uitvoering en beoordeling

De proceseigenaar organiseert de verandering. Privacyondersteuning kan helpen met analyse, instructies, afstemming en het bewijsdossier. De FG bewaakt vanuit diens eigen rol de aanpak en betrokkenheid. De AP geeft aan dat de FG de Wpg-audits en hercontrole niet zelf uitvoert. Leg daarom vast wie de onafhankelijke beoordeling verricht en of daarvoor een interne of externe auditor nodig is. AP, FG-nieuwsbrief.

Maak de afspraken concreet

Plan tussentijds een bespreking met de mensen die maatregelen daadwerkelijk uitvoeren. Vraag bij ieder punt om een concreet resultaat en een toelichting op eventuele vertraging. Wanneer een systeemwijziging afhankelijk is van een leverancier, leg dan vast wie die afhankelijkheid opvolgt. Daarmee ziet de directie tijdig waar extra inzet of een besluit nodig is, voordat de hercontrole dichtbij komt.

Veelgestelde vragen

Is een bijgewerkt beleid voldoende? Dat hangt van de bevinding af. Vaak moet ook zichtbaar worden dat medewerkers en systemen volgens de afspraak werken.

Kan een algemeen AVG-onderzoek de Wpg-audit vervangen? Nee. Een Wpg-audit heeft eigen eisen aan onderzoek en auditor. Laat de toepasselijke opdracht expliciet vaststellen.

Waarbij kan Datajuristen ondersteunen? Bij Wpg-vraagstukken, het vertalen van bevindingen naar maatregelen en auditvoorbereiding. De wettelijk vereiste onafhankelijke externe audit wordt afzonderlijk uitgevoerd door een auditor die aan de toepasselijke eisen voldoet. Bespreek uw auditrapport en deadlines tijdens de intake om passende ondersteuning af te bakenen.