Regeling van de Minister van Justitie, de Minister van Binnenlandse Zaken en de Minister van Defensie van 9 december 2008, nr. 5578598/08, houdende nadere regels ten aanzien van het toezicht op de naleving van de bij of krachtens de Wet politiegegevens gegevens voorschriften (Regeling periodieke audit politiegegegevens)
Regeling periodieke audit politiegegevens
De Minister van Justitie, de Minister van Binnenlandse Zaken en de Minister van Defensie;
De privacy audit wordt uitgevoerd door middel van een Electronic Data Processing (EDP) audit, ook wel IT-audit genoemd.
2
De privacy audit heeft tot doel op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Hiertoe vindt een beoordeling plaats van de volgende aspecten binnen de organisatie van de auditee:
a.
de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien;
b.
de werking van de getroffen maatregelen en procedures.
3
De resultaten van de interne audits worden betrokken bij de privacy audit.
4
Indien de verantwoordelijke de toegang tot bepaalde gegevens wenselijk noch noodzakelijk acht voor een goede uitvoering van de privacy audit, kan hij de toegang daartoe weigeren, dan wel aan beperkende voorwaarden verbinden. De verantwoordelijke deelt de auditor schriftelijk en gemotiveerd zijn beslissing mede.
5
De resultaten van de privacy audit worden in een auditrapportage vermeld. De auditrapportage bevat ten minste:
a.
een beschrijving van de bij het uitvoeren van de audit gevolgde aanpak;
b.
een beschrijving van de resultaten van de privacy audit;
c.
het oordeel en de aanbevelingen van de auditor;
d.
indien uit de resultaten van de privacy audit blijkt dat niet of niet geheel wordt voldaan aan het bij of krachtens de wet bepaalde, de aanbeveling van de auditor inzake de uitvoering van een hercontrole door een externe dan wel interne auditor.
6
Na afronding van de privacy audit wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.
De verantwoordelijke draagt zorg dat, mede ter voorbereiding op de privacy audit, tenminste jaarlijks een interne audit plaatsvindt.
2
De interne audit wordt uitgevoerd door middel van een Electronic Data Processing (EDP) audit, ook wel IT-audit genoemd.
3
De interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wet op adequate wijze uitvoering is gegeven. Hiertoe vindt een beoordeling plaats van de volgende aspecten binnen de organisatie van de auditee:
a.
de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien;
b.
de werking van de getroffen maatregelen en procedures.
4
De interne audit vindt plaats aan de hand van en overeenkomstig een auditplan. In het auditplan komen minimaal de volgende elementen aan de orde:
a.
het doel van de interne audit;
b.
de inhoud/object van de interne audit;
c.
de doorlooptijd van de interne audit;
d.
de onderzoeksinstrumenten die bij de interne audit worden ingezet en de bijdrage daarvan;
e.
de wijze waarop en de termijn waarbinnen wordt gerapporteerd;
f.
de beveiliging van de ten behoeve van de interne audit verzamelde informatie;
g.
de geheimhoudingsplicht waartoe een ieder die betrokken is bij een interne audit verplicht is;
h.
de aanbieding en verspreidingskring van de interne auditrapportage.
5
Indien de verantwoordelijke de toegang tot bepaalde gegevens noodzakelijk noch wenselijk acht voor een goede uitvoering van de interne audit, kan hij de toegang daartoe weigeren, dan wel aan beperkende voorwaarden verbinden. De verantwoordelijke deelt de interne auditor schriftelijk en gemotiveerd zijn beslissing mede.
6
De resultaten van de interne audit worden in een auditrapportage vermeld. De auditrapportage bevat minimaal:
a.
een beschrijving van de bij het uitvoeren van de audit gevolgde werkwijze;
b.
een beschrijving van de resultaten van de privacy audit;
c.
het oordeel en de aanbevelingen van de auditor.
7
Na afronding van de interne audit wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.
Indien bij het uitvoeren van de privacy audit tekortkomingen zijn geconstateerd stelt de verantwoordelijke binnen drie maanden een verbeterrapport op waarin de maatregelen worden beschreven die getroffen zijn ter verbetering van de geconstateerde tekortkomingen.
2
Op basis van het verbeterrapport vindt de hercontrole plaats. De hercontrole heeft alleen betrekking op het onderdeel of de onderdelen van de wet ten aanzien waarvan tekortkomingen zijn geconstateerd en heeft tot doel op systematische wijze te toetsen of door de verantwoordelijke zodanige maatregelen zijn getroffen dat aan de uitvoering van het onderdeel of de betreffende onderdelen van de wet thans op adequate wijze uitvoering is gegeven.
3
De hercontrole wordt uitgevoerd door een externe auditor indien de auditor daartoe heeft geadviseerd. In alle andere gevallen wordt de hercontrole door een interne auditor uitgevoerd.
4
De resultaten van de hercontrole worden in een rapportage vastgelegd.
5
Na afronding van de hercontrole wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.
De auditor is ingeschreven als Register EDP-auditor bij de Nederlandse Orde van Register EDP-Auditors, dan wel bij een internationaal of Europees equivalent daarvan.
2
De auditor beschikt over gedegen en aantoonbare kennis en vaardigheden op het gebied van:
a.
de politieorganisatie;
b.
de informatievoorziening en processen van verwerking van politiegegevens;
De auditor is onafhankelijk ten opzichte van de auditee.
4
De auditor is verplicht tot volledige geheimhouding van de informatie die hij in de loop van zijn auditactiviteiten verkrijgt, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht. Hij legt daartoe een geheimhoudingsverklaring af.