De privacy audit wordt uitgevoerd door middel van een Electronic Data Processing (EDP) audit, ook wel IT-audit genoemd.

De privacy audit heeft tot doel op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Hiertoe vindt een beoordeling plaats van de volgende aspecten binnen de organisatie van de auditee:

1. a.

   de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien;

2. b.

   de werking van de getroffen maatregelen en procedures.

De resultaten van de interne audits worden betrokken bij de privacy audit.

Indien de verantwoordelijke de toegang tot bepaalde gegevens wenselijk noch noodzakelijk acht voor een goede uitvoering van de privacy audit, kan hij de toegang daartoe weigeren, dan wel aan beperkende voorwaarden verbinden. De verantwoordelijke deelt de auditor schriftelijk en gemotiveerd zijn beslissing mede.

De resultaten van de privacy audit worden in een auditrapportage vermeld. De auditrapportage bevat ten minste:

1. a.

   een beschrijving van de bij het uitvoeren van de audit gevolgde aanpak;

2. b.

   een beschrijving van de resultaten van de privacy audit;

3. c.

   het oordeel en de aanbevelingen van de auditor;

4. d.

   indien uit de resultaten van de privacy audit blijkt dat niet of niet geheel wordt voldaan aan het bij of krachtens de wet bepaalde, de aanbeveling van de auditor inzake de uitvoering van een hercontrole door een externe dan wel interne auditor.

Na afronding van de privacy audit wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.

De verantwoordelijke draagt zorg dat, mede ter voorbereiding op de privacy audit, tenminste jaarlijks een interne audit plaatsvindt.

De interne audit wordt uitgevoerd door middel van een Electronic Data Processing (EDP) audit, ook wel IT-audit genoemd.

De interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Hiertoe vindt een beoordeling plaats van de volgende aspecten binnen de organisatie van de auditee:

1. a.

   de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien;

2. b.

   de werking van de getroffen maatregelen en procedures.

De interne audit vindt plaats aan de hand van en overeenkomstig een auditplan. In het auditplan komen minimaal de volgende elementen aan de orde:

1. a.

   het doel van de interne audit;

2. b.

   de inhoud/object van de interne audit;

3. c.

   de doorlooptijd van de interne audit;

4. d.

   de onderzoeksinstrumenten die bij de interne audit worden ingezet en de bijdrage daarvan;

5. e.

   de wijze waarop en de termijn waarbinnen wordt gerapporteerd;

6. f.

   de beveiliging van de ten behoeve van de interne audit verzamelde informatie;

7. g.

   de geheimhoudingsplicht waartoe een ieder die betrokken is bij een interne audit verplicht is;

8. h.

   de aanbieding en verspreidingskring van de interne auditrapportage.

Indien de verantwoordelijke de toegang tot bepaalde gegevens noodzakelijk noch wenselijk acht voor een goede uitvoering van de interne audit, kan hij de toegang daartoe weigeren, dan wel aan beperkende voorwaarden verbinden. De verantwoordelijke deelt de interne auditor schriftelijk en gemotiveerd zijn beslissing mede.

De resultaten van de interne audit worden in een auditrapportage vermeld. De auditrapportage bevat minimaal:

1. a.

   een beschrijving van de bij het uitvoeren van de audit gevolgde werkwijze;

2. b.

   een beschrijving van de resultaten van de privacy audit;

3. c.

   het oordeel en de aanbevelingen van de auditor.

Na afronding van de interne audit wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.

Indien bij het uitvoeren van de privacy audit tekortkomingen zijn geconstateerd stelt de verantwoordelijke binnen drie maanden een verbeterrapport op waarin de maatregelen worden beschreven die getroffen zijn ter verbetering van de geconstateerde tekortkomingen.

Op basis van het verbeterrapport vindt de hercontrole plaats. De hercontrole heeft alleen betrekking op het onderdeel of de onderdelen van de wet ten aanzien waarvan tekortkomingen zijn geconstateerd en heeft tot doel op systematische wijze te toetsen of door de verantwoordelijke zodanige maatregelen zijn getroffen dat aan de uitvoering van het onderdeel of de betreffende onderdelen van de wet thans op adequate wijze uitvoering is gegeven.

De hercontrole wordt uitgevoerd door een externe auditor indien de auditor daartoe heeft geadviseerd. In alle andere gevallen wordt de hercontrole door een interne auditor uitgevoerd.

De resultaten van de hercontrole worden in een rapportage vastgelegd.

Na afronding van de hercontrole wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.

De auditor is ingeschreven als Register EDP-auditor bij de Nederlandse Orde van Register EDP-Auditors, dan wel bij een internationaal of Europees equivalent daarvan.

De auditor beschikt over gedegen en aantoonbare kennis en vaardigheden op het gebied van:

1. a.

   de politieorganisatie;

2. b.

   de informatievoorziening en processen van verwerking van politiegegevens;

3. c.

   de vigerende wet- en regelgeving, in het bijzonder de Wet politiegegevens, het Besluit politiegegevens en de Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming.

De auditor is onafhankelijk ten opzichte van de auditee.

De auditor is verplicht tot volledige geheimhouding van de informatie die hij in de loop van zijn auditactiviteiten verkrijgt, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht. Hij legt daartoe een geheimhoudingsverklaring af.

De functie van auditor kan worden voorgedragen voor aanwijzing als vertrouwensfunctie ingevolge artikel 3 van de Wet veiligheidsonderzoeken.

De interne auditor heeft een auditorenopleiding van de politie gevolgd.

De interne auditor beschikt over voldoende kennis en vaardigheden op het gebied van:

1. a.

   geautomatiseerde informatiesystemen en methoden en technieken rond EDP/IT- auditing;

2. b.

   de politieorganisatie;

3. c.

   de informatievoorziening en processen van verwerking van politiegegevens;

4. d.

   de vigerende wet- en regelgeving, in het bijzonder de Wet politiegegevens, het Besluit politiegegevens en de Algemene verordening gegevensbescherming en Uitvoeringswet Algemene verordening gegevensbescherming.

De interne auditor stelt zich onafhankelijk op ten opzichte van de auditee.