Privacy-audit

Wat we doen

Een organisatie heeft de verplichting om te voldoen aan de op de organisatie rustende verplichtingen die voortvloeien uit de privacywetgeving. Indien niet wordt voldaan aan de desbetreffende verplichtingen kan door de toezichthouder handhavend worden opgetreden. Binnen onze praktijkgroep privacy en gegevensbescherming kunnen onze privacyspecialisten een privacy-audit uitvoeren. Zo kan een analyse worden gemaakt van de risico’s die een organisatie met betrekking tot privacy en gegevensbescherming loopt.

Daarnaast adviseert onze praktijkgroep in het opstellen van een privacy protocol. In een privacyprotocol wordt bijvoorbeeld de wijze van handelen vastgelegd bij een datalek.

Vragen over een privacy-audit? Neem dan contact met ons op.

Wat is een privacy-audit?

Een privacy-audit is een systematische toetsing van de manier waarop uw organisatie persoonsgegevens verwerkt, afgezet tegen de eisen van de Algemene verordening gegevensbescherming (AVG, Verordening (EU) 2016/679) en de Uitvoeringswet AVG (UAVG). De audit maakt zichtbaar waar uw organisatie compliant is en waar niet, en levert een concreet rapport met bevindingen, risico’s en aanbevelingen op prioriteit. Een privacy-audit is daarmee geen doel op zich, maar de basis voor onderbouwde keuzes: u weet welke maatregelen u eerst moet nemen en welke kunnen wachten. Voor onze klanten – van internationaal concern tot de bakker op de hoek – stemmen onze advocaten en bedrijfsjuristen de diepgang van de audit af op de omvang en risico’s van uw organisatie.

De verantwoordingsplicht: waarom een privacy-audit?

De AVG kent een verantwoordingsplicht (accountability). Op grond van artikel 5 lid 2 AVG moet u niet alleen voldoen aan de beginselen van gegevensverwerking, maar ook kunnen aantonen dat u dat doet. Een privacy-audit levert precies die documentatie en dat bewijs: een onderbouwd beeld van uw feitelijke situatie. Voldoet u niet, dan kan de Autoriteit Persoonsgegevens (AP) handhavend optreden met onder meer een last onder dwangsom of een bestuurlijke boete. Die boete kan op grond van artikel 83 AVG oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet. Naast het boeterisico spelen reputatieschade en aansprakelijkheid jegens betrokkenen (artikel 82 AVG) een rol. Een audit helpt deze risico’s tijdig in beeld te brengen en te beheersen.

Wat onderzoeken wij tijdens een privacy-audit?

Bij een volledige privacy-audit toetsen onze specialisten onder meer de volgende onderdelen:

• Verwerkingsregister – is er een actueel register van verwerkingsactiviteiten zoals artikel 30 AVG vereist, en dekt het alle verwerkingen?
• Grondslagen – berust elke verwerking op een geldige grondslag uit artikel 6 AVG (toestemming, overeenkomst, wettelijke plicht, vitaal belang, publieke taak of gerechtvaardigd belang)? Bij bijzondere persoonsgegevens geldt het strengere regime van artikel 9 AVG.
• Transparantie – voldoet de privacyverklaring aan de informatieplicht van de artikelen 13 en 14 AVG?
• Verwerkersovereenkomsten – zijn met alle verwerkers afspraken vastgelegd conform artikel 28 AVG?
• Beveiliging – zijn passende technische en organisatorische maatregelen getroffen (artikel 32 AVG)?
• Datalekken – is er een procedure voor het melden van een datalek aan de AP en betrokkenen (artikelen 33 en 34 AVG)?
• Bewaartermijnen – worden gegevens niet langer bewaard dan noodzakelijk en is een bewaarbeleid vastgelegd?
• Betrokkenenrechten – kan de organisatie verzoeken om inzage, rectificatie, verwijdering en dataportabiliteit (artikelen 15 tot en met 22 AVG) tijdig afhandelen?
• DPIA en FG – is voor risicovolle verwerkingen een DPIA (artikel 35 AVG) uitgevoerd en is, waar nodig, een functionaris gegevensbescherming aangesteld?

Onze aanpak: zo verloopt de audit

Een privacy-audit bij MKB Juristen verloopt in heldere stappen. Eerst brengen we de scope in kaart: welke processen, afdelingen en systemen verwerken persoonsgegevens? Vervolgens inventariseren we de verwerkingen en de bijbehorende grondslagen, gegevensstromen, leveranciers en bewaartermijnen. Daarna toetsen we de feitelijke situatie aan de AVG en de UAVG en leggen we de bevindingen vast in een rapport met een prioriteitenlijst. Tot slot bespreken we de uitkomsten en helpen we, als u dat wilt, bij het wegwerken van de tekortkomingen – bijvoorbeeld met een privacyprotocol, aangepaste verwerkersovereenkomsten of een verbeterplan. Omdat onze teams gemengd zijn (advocaten én bedrijfsjuristen) combineren we de juridische toetsing met praktische implementatie.

Privacy-audit, cookiescan en DPIA

Een privacy-audit staat zelden op zichzelf. Voor websites en online dienstverlening is vaak ook een cookiescan zinvol, omdat het cookiegebruik onder de telecomregels en de AVG valt. Constateert de audit risicovolle verwerkingen, dan is een DPIA de logische vervolgstap. Verwerkt u veel personeelsgegevens, dan raakt de audit ook aan privacy in het arbeidsrecht. Deze onderwerpen vallen alle binnen onze hoofdexpertise Privacy en gegevensbescherming, zodat u bij één team terechtkunt.

Veelgestelde vragen over de privacy-audit

Voor wie is een privacy-audit zinvol? Voor elke organisatie die persoonsgegevens verwerkt, ongeacht de omvang. Het detailniveau verschilt: een groot concern met internationale gegevensstromen vraagt een diepgaander onderzoek dan een lokale ondernemer, maar de verantwoordingsplicht geldt voor beide.

Hoe lang duurt een privacy-audit? Dat hangt af van de omvang en complexiteit van uw verwerkingen. Een quickscan voor een kleinere organisatie is vaak binnen enkele weken afgerond; een volledige audit bij een grotere organisatie kost meer tijd.

Wat levert het op? Een rapport met concrete bevindingen, een risico-inschatting en een prioriteitenlijst, zodat u gericht en aantoonbaar aan uw AVG-verplichtingen kunt werken.

Is een audit verplicht? De AVG schrijft geen periodieke audit voor, maar wel de verantwoordingsplicht van artikel 5 lid 2 AVG. Een audit is het instrument waarmee u aan die plicht voldoet.