De auditverplichting van de Wet politiegegevens: van IT-audit naar privacy compliance

Voor de werkgevers van buitengewone opsporingsambtenaren (boa’s) komt een belangrijke deadline in zicht: de rapportage over de verplichte IT-audit van de Wet politiegegevens (Wpg) moet uiterlijk 31 december 2022 bij de Autoriteit Persoonsgegevens zijn ingediend. Niels van der Meij van Accoris vertelt over de uitdagingen, kansen en need to knows van de Wpg-audit.

Op grond van de Wpg zijn organisaties die persoonsgegevens verwerken in het kader van de politietaak verplicht om tenminste een keer per jaar een interne IT-audit uit te voeren. Daarnaast vindt een keer per vier jaar een externe IT-audit plaats door een geregistreerde IT-auditor. 

De auditverplichting geldt sinds 1 januari 2019 niet alleen voor de politie, maar ook voor de werkgevers van buitengewone opsporingsambtenaren (boa’s), zoals gemeenten, Rijkswaterstaat en vervoersbedrijven zoals de Nederlandse Spoorwegen. Ook dienstverleners van deze organisaties, zoals datacenters en applicatieleveranciers, zijn auditplichtig als zij persoonsgegevens voor opsporingstaken verwerken. 

Wpg-auditplicht

“Idealiter kijken organisaties niet alleen naar de Wpg-auditplicht, maar ook naar de mogelijkheden om vanuit een verplichte audit werk te maken van de naleving van alle relevante privacyregels in de hele organisatie”, zegt Niels van der Meij, IT-auditor en partner van Accoris, een bureau met consultants en IT-auditors. ”De verplichte Wpg-audits geven een impuls aan acties om dataprotectie binnen de gehele organisatie te verbeteren. IT-auditing is immers een belangrijk middel om inzicht te krijgen in de mate van compliance aan de wet- en regelgeving.” 

Een valkuil bij IT-audits is volgens Van der Meij, die tijdens het Dataprotectie & Privacy Congres van Outvie een kennissessie verzorgt over Wpg-audits voor boa-organisaties, dat er te snel en te sterk wordt gefocust op de auditcyclus en de wettelijke eisen aan de inhoud en uitvoering van de audit. “Daardoor wordt over het hoofd gezien dat er eerst actie moet worden ondernomen om maatregelen te implementeren om persoonsgegevens goed te beschermen. Het einddoel is nu eenmaal om dataprotectie en informatiebeveiliging binnen de bedrijfsvoering te borgen – de wettelijke eisen uit de Wpg zijn daar een onderdeel van.” 

De stappen van een IT-audit 

Wat komt er allemaal kijken bij de verplichte externe Wpg-audit? Van der Meij onderscheidt vijf stappen in het proces. “Het begint ermee dat de organisatie nadenkt over het normenkader, waarvoor beroepsorganisatie NOREA een handreiking heeft ontwikkeld. De organisatie brengt dan in kaart welke gegevensverwerkingen er plaatsvinden en waarover willen we verantwoording afleggen via de audit? Daarna gaat het erom een auditor met kennis van zaken te selecteren die van het onderzoek een zinnig en goed leesbaar rapport maakt. 

De auditor voert vervolgens interviews uit met betrokkenen in de organisatie om na te gaan of de beschreven processen functioneren zoals de bedoeling is. Op basis van het opgebouwde dossier komt de auditor tot een oordeel.” Tot slot wordt er een audit-rapport opgeleverd met een verslag van het uitgevoerde werk: de resultaten, bevindingen en eindconclusie, inclusief een onderbouwing van het oordeel. In bijlagen worden doorgaans ook aanbevelingen opgenomen. 

Na vier jaar wordt het gehele externe auditproces herhaald. “In de tussentijd gaat de organisatie aan de slag met de aanbevelingen en de jaarlijkse interne audits. Er worden bijvoorbeeld processen aangepast en systemen geactualiseerd om continu en aantoonbaar te voldoen aan de normen die in de eerste stap van het auditproces zijn geformuleerd. Soms vraagt dat om relatief kleine aanpassingen, maar soms zijn er ook ingrijpende veranderprojecten nodig. De aanbevelingen van de IT-auditor geven daarbij richting: we adviseren niet op detailniveau, maar maken wel de onderwerpen duidelijk waarmee je zeker rekening moet houden.”