Tijd voor actie: de externe Wpg-audit van 2025 nadert

18/10/2024 – Eind 2025 komen werkgevers van Buitengewoon Opsporingsambtenaren (Boa’s) voor een cruciale deadline te staan: zij zijn dan verplicht een externe audit te laten uitvoeren op de verwerking van politiegegevens. In deze audit moeten gemeenten, waterschappen en andere Werkgevers van Boa’s aantonen dat hun verwerking van politiegegevens voldoet aan de strikte vereisten van de Wet politiegegevens (Wpg). Hoewel 2025 nog ver lijkt, is de tijd om actie te ondernemen beperkt, aangezien de audit de stand van zaken in 2024 zal beoordelen. Na meerdere jaren van voorbereidingen en eerdere controles zijn de verwachtingen van de Autoriteit Persoonsgegevens (AP) hooggespannen. Deze keer moeten Boa-werkgevers onomstotelijk bewijzen dat alle beheersingsmaatregelen volledig op orde zijn.  

Terugblik op eerdere audits 

De verplichting om een Wpg-audit uit te voeren is niet nieuw. Sinds 2019 vallen Boa’s onder de Wpg, en zijn de werkgevers van Boa’s verplicht om elk jaar een interne audit en om de vier jaar een externe audit uit te voeren aan de hand van het NOREA-kader. Deze audits waarborgen dat organisaties voldoen aan de wettelijke eisen voor de verwerking van politiegegevens. 

De eerste externe Wpg-audit vond plaats in 2022, nadat de AP Boa-werkgevers uitstel had verleend. De resultaten van die initiële audit waren echter teleurstellend. Veel organisaties scoorden onvoldoende op belangrijke beheersingsmaatregelen en werden verplicht om een verbeterplan op te stellen. Daarnaast moesten ze binnen een jaar een hercontrole laten uitvoeren en de resultaten hiervan bij de AP indienen. 

Bevindingen van de hercontroles 

In de zomer van 2024 publiceerde de AP een rapport waarin de resultaten van de hercontroles werden gepresenteerd. Uit deze quickscan bleek dat veel organisaties moeite hadden om tijdig en volledig te voldoen aan de wettelijke eisen voor de audit. Meer dan de helft van de circa 600 Boa-werkgevers bleef in gebreke, met name kleinere organisaties die minder dan vijf Boa's in dienst hebben. 

Toch was er ook positief nieuws: de AP constateerde dat de opzet van beheersingsmaatregelen over het algemeen sterk was verbeterd. Veel organisaties hadden aanzienlijke stappen gezet, vooral op het gebied van technische maatregelen zoals autorisaties en bewaartermijnen. Minder vooruitgang was geboekt op organisatorische vraagstukken, zoals de samenwerking tussen partijen en de verstrekking van gegevens aan derden. Deze aspecten blijven voor veel organisaties een uitdaging.  

Voorbereiding op de externe Wpg-audit van 2025 

Voor Boa-werkgevers die bij eerdere audits tekortkomingen vertoonden, is er nu nog tijd om verbeteringen door te voeren. De AP heeft in haar rapport door laten schemeren minder coulant te zijn, aangezien organisaties inmiddels meerdere jaren de tijd hebben gehad om hun processen te verbeteren en te voldoen aan de Wpg. Als uit de audit blijkt dat een organisatie nog steeds niet voldoet aan de wettelijke eisen, kunnen handhavende maatregelen volgen. Het is daarom van cruciaal belang dat organisaties de aanbevelingen van eerdere audits serieus nemen en hun beheersmaatregelen op orde krijgen. 

Uw organisatie voorbereiden op de audit 

Bij Considerati begrijpen we de complexiteit van het naleven van de Wpg. Onze ervaren privacy-experts kunnen uw organisatie helpen bij het voorbereiden op de komende audit. We ondersteunen u bij het aantonen van de opzet, het bestaan en de werking van uw beheersmaatregelen volgens het NOREA-kader. Zo zorgt u ervoor dat uw organisatie op een verantwoorde manier omgaat met politiegegevens en volledig compliant is tegen de tijd dat de audit plaatsvindt. Wacht niet te lang en neem vandaag nog contact met ons op om samen te werken aan een solide aanpak voor de Wpg-audit van 2025.