Welk bewijs heeft u nodig voor een privacy-audit?

Leg per onderwerp vast wat wordt getoetst. Bij inzageverzoeken kan het gaan om herkenning, tijdige behandeling of bescherming van gegevens van anderen. Bij leveranciers kan het gaan om selectie, contractafspraken of opvolging van wijzigingen. Gebruik het overeengekomen toetsingskader; verzin tijdens het verzamelen geen andere maatstaf omdat daarvoor toevallig meer documenten beschikbaar zijn.

De AVG verlangt aantoonbare naleving en passende maatregelen, maar schrijft niet voor ieder proces één universeel bewijsformulier voor. U moet dus uitleggen waarom het gekozen materiaal de onderzoeksvraag ondersteunt. Bespreek die koppeling vooraf met de onderzoeker, zodat proceseigenaren gericht kunnen aanleveren en beperkingen tijdig zichtbaar worden.

Voor toegangsbeheer kan de inrichting bestaan uit een rollenbeleid en goedkeuringsprocedure. Uitvoering blijkt bijvoorbeeld uit toegekende rechten en afgehandelde aanvragen. Een periodieke controle en gesloten correcties laten zien dat afwijkingen worden opgepakt. Een screenshot van een instelling kan nuttig zijn, maar verklaart zonder datum, context en systeemnaam weinig over de onderzochte periode.

Gebruik documenten en registraties in samenhang. Een controleformulier waarop alleen ‘akkoord’ staat, maakt niet duidelijk welke populatie is gecontroleerd. Een export van alle gebruikers toont niet wie de noodzaak heeft beoordeeld. De bewijsmatrix hieronder maakt per vraag zichtbaar welk aanvullend stuk nodig kan zijn.

De tabel is opzij te schuiven.

Geef stukken een begrijpelijke naam of identificatie en noteer bron, datum, eigenaar en relatie met de norm. Bewaar waar nodig welke versie is beoordeeld. Als een leverancier een assurance-rapport verstrekt, controleert u de onderzochte dienst, periode en uitzonderingen. Een rapport voor een ander product of een andere organisatie is geen directe onderbouwing voor uw toepassing.

Beschrijf ook wat het bewijs niet laat zien. Een steekproef van vijf afgeronde verzoeken zegt niet zonder meer iets over alle verzoeken of over kanalen die buiten de selectie vielen. Noteer populatie, selectie en ontbrekende informatie. Zo kan de onderzoeker de bewijskracht beoordelen zonder dat een beperkte observatie ongemerkt een algemene conclusie wordt.

Bepaal welke gegevens werkelijk nodig zijn om de werking te beoordelen. Soms volstaat een procesregistratie met datums en statussen; soms is inzage in een inhoudelijk document nodig. Stem de overdrachtswijze, toegang en bewaarkeuze af. Houd een oorspronkelijke bron beschikbaar waar verificatie nodig is, maar verspreid haar niet automatisch met iedere samenvatting.

Afschermen moet de beoordeling mogelijk laten. Als alle relevante datums zijn verwijderd, kan tijdige afhandeling niet worden getoetst. Gebruik daarom een doelgerichte selectie of een gecontroleerd inzagemoment. Leg uit welke aanpassingen zijn gemaakt en waarom. Dat beschermt personen en voorkomt dat de onderzoeker verkeerde conclusies trekt uit een onvolledig gemaakt stuk.

De proceseigenaar laat de relevante systeeminstelling tonen en vraagt de leverancier welke verwerkingen onder de verwijdertaak vallen. Daarna wordt een gecontroleerde test besproken. Het blijkt dat bijlagen in een gekoppelde map niet worden meegenomen. Die constatering wordt als afzonderlijk punt geregistreerd, met een eigenaar en een afspraak over herstel en controle.

Het dossier bevat vervolgens beleid, scope van de verwijdertaak, testresultaat en opvolging van de afwijking. Het ontbreken van een aanvankelijk bewijsstuk werd niet automatisch als bewezen systeemfout bestempeld; gericht onderzoek maakte de situatie duidelijk. Dit fictieve voorbeeld beschrijft een onderzoeksaanpak en geen uitgevoerd klantresultaat.

Koppel herstel terug aan de oorspronkelijke afwijking. Beschrijf de maatregel, implementatiedatum, betrokken eigenaar en controle op werking. Als bewijs nog niet beschikbaar is omdat een procescyclus moet plaatsvinden, noteer dat openlijk. Maak onderscheid tussen ingevoerd en aantoonbaar werkend, zonder een eigen statuslabel te presenteren als het onafhankelijke oordeel van een auditor.

Gebruik het dossier daarna voor onderhoud. Spreek af wie documenten actualiseert en wanneer controles terugkomen. Een PO kan verzamelen en opvolging organiseren; de FG houdt onafhankelijk toezicht. Een wettelijke externe Wpg-audit blijft een afzonderlijke beoordeling met eigen eisen.