Datenschutzaudit

Of uw maatregelen voor gegevensbescherming werken, blijkt zelden in het dagelijks werk, maar wel wanneer iemand goed kijkt. Een privacy-audit is die nauwkeurige blik, gepland en methodisch. Hier leest u wat een privacy-audit is, hoe hij verloopt en waarom uit gebruik genomen IT daarbij vaak een zwak punt is.

Wat is een privacy-audit?

Een audit is een controle aan de hand van een vaste maatstaf. Bij een privacy-audit is de maatstaf de AVG, de BDSG en interne richtlijnen. De auditors vergelijken de gewenste toestand met de werkelijke toestand en leggen afwijkingen vast in een rapport.

Een eigen ‘privacy-auditwet’ bestaat in Duitsland niet. De controleplicht volgt uit meerdere bepalingen van de AVG: art. 5 lid 2 vereist dat u de naleving kunt aantonen (Verantwoordingsplicht). Art. 32 lid 1 onder d vereist een procedure om de doeltreffendheid van de beschermingsmaatregelen regelmatig te toetsen. En art. 28 lid 3 onder h geeft u het recht verwerkers te controleren, ook ter plaatse.

Soorten en verloop

Soort	Wie controleert?	Typische aanleiding
Interne audit	Functionaris voor gegevensbescherming, interne audit	Jaarlijkse controle, nieuwe processen
Audit van dienstverlener	Uw bedrijf bij de verwerker	Selectie of lopende controle volgens art. 28 AVG
Externe audit	Onafhankelijke auditors of certificeringsinstelling	Certificering, klanteneis
Controle door de toezichthouder	Deelstaatlijke gegevensbeschermingsautoriteit	Klacht, datalek, steekproef

Het verloop is meestal vergelijkbaar: reikwijdte vaststellen, documenten opvragen, interviews houden en processen ter plaatse bekijken, steekproeven nemen, afwijkingen beoordelen en maatregelen afspreken. Een goed rapport noemt niet alleen gebreken, maar ook tegen wanneer ze worden verholpen.

Waar een audit bij uit gebruik genomen IT naar kijkt

In het dagelijks werk zijn servers en notebooks goed beschermd. Kritiek wordt het wanneer apparaten uit de exploitatie vallen en in dozen, kelders of bij de dienstverlener terechtkomen. Auditors vragen daarom typisch:

• Is er voor elke uitgebruikname een apparatenlijst met serienummers?
• Is elke overdracht gedocumenteerd, bijvoorbeeld door een overnameprotocol met zegelnummers? Deze keten heet Chain of custody.
• Is er voor elke gegevensdrager een wis- of vernietigingsbewijs dat aan het serienummer kan worden gekoppeld?
• Is er een verwerkersovereenkomst met de dienstverlener en een beschrijving van zijn technische en organisatorische maatregelen?

Welke gegevens in wis- en vernietigingsbewijzen moeten staan, laat onze gids zien Vernietigingscertificaat en wisrapport. Vragen die u vooraf aan een dienstverlener moet stellen, vindt u in Een ITAD-aanbieder kiezen.

Privacy-audit en Second IT

Second IT stelt de documenten ter beschikking die u voor uw audit nodig hebt: digitaal ondertekende wiscertificaten per apparaat, vernietigingscertificaten, auditrapporten en live tracking in het klantenportaal. De processen zijn gecertificeerd volgens ISO 9001, ISO 14001, ISO 45001 en ISO/IEC 27001. Per jaar vinden minstens drie externe audits plaats. Toegangscontrole, camerabewaking en de verplichting van medewerkers tot gegevensgeheimhouding horen bij de Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over de privacy-audit

Is een privacy-audit verplicht?

De AVG schrijft geen audit onder die naam voor. Ze vereist wel dat u de doeltreffendheid van uw beschermingsmaatregelen regelmatig toetst en de naleving kunt aantonen (art. 5 lid 2 en art. 32 lid 1 onder d AVG). Een audit is de gebruikelijke weg daarvoor.

Hoe vaak moet een privacy-audit plaatsvinden?

Er is geen vaste termijn. Veel bedrijven controleren eenmaal per jaar en daarnaast bij grotere wijzigingen, zoals een nieuwe dienstverlener of een nieuw proces voor het uit gebruik nemen.

Moet ik mijn afvoer- of wisdienstverlener zelf auditen?

U hebt daar het recht toe (art. 28 lid 3 onder h AVG). In de praktijk vervangen actuele certificaten en auditrapporten van onafhankelijke instanties vaak een eigen controle ter plaatse. Doorslaggevend is dat u de geschiktheid van de dienstverlener navolgbaar hebt beoordeeld.

Wat is het verschil tussen een interne en een externe privacy-audit?

Een interne audit wordt uitgevoerd door functionarissen voor gegevensbescherming of de interne audit. Een externe audit wordt uitgevoerd door onafhankelijke auditors of een certificeringsinstelling, bijvoorbeeld voor een certificering of op verzoek van klanten. Externe auditors brengen de onafhankelijke blik van buitenaf.

Wat gebeurt er na een privacy-audit met de vastgestelde gebreken?

De afwijkingen worden in een rapport vastgelegd. Een goed rapport noemt ook tegen wanneer ze moeten worden verholpen. Daarna spreekt u de maatregelen af en legt u vast wie ze uitvoert.