‘Privacy Audit Proof’ logo voor betrouwbare verwerking van persoonsgegevens

Te midden van deze discussie presenteert NOREA, de beroepsorganisatie van IT-auditors, vernieuwde uitgangspunten voor het Privacy Audit Proof-logo. Hiermee kan tegemoet worden gekomen aan de zorgen van burgers, consumenten of patiënten (de ‘betrokkenen’ in termen van de privacywetgeving) dat hun persoonsgegevens zorgvuldig worden beheerd en verwerkt. Met dit logo kunnen verantwoordelijken voor de verwerking van persoonsgegevens op een transparante wijze aantonen dat met goed gevolg een audit is uitgevoerd naar de getroffen maatregelen en procedures ter bescherming van deze persoonsgegevens.

Een Privacy-audit is een uitgebreid onderzoek naar de noodzakelijke technische en organisatorische beheersingsmaatregelen. Deze maatregelen zorgen ervoor dat de computersystemen en databestanden waarin persoonsgegevens worden opgeslagen en bewerkt goed beveiligd zijn. Dit is nodig om ervoor te zorgen dat onbevoegden geen gebruik of misbruik kunnen maken van de opgeslagen persoonsgegevens. Bovendien wordt beoordeeld of de wijze van data-opslag voldoet aan de wettelijke uitgangspunten vastgelegd in de AVG, zodat de rechten van de betrokkenen afdoende zijn gewaarborgd. Deze Privacy-audit is gebaseerd op het door de NOREA ontwikkelde Privacy Control Framework, dat als het beoordelingskader wordt gebruikt. Dit onderzoek leidt tot een rapport dat uitsluitend door een deskundige en onafhankelijke IT-auditor kan worden afgegeven, op basis van internationaal erkende rapportagestandaarden en procedures. Vanzelfsprekend is een goedkeurend rapport vereist voor de toekenning van het Privacy Audit Proof-logo. De verklaring van de IT-auditor kan desgewenst worden opgevraagd bij de organisatie die het Privacy Audit Proof-logo gebruikt. Bovendien moet de privacy-audit periodiek opnieuw worden uitgevoerd, zodat de meest actuele normen en standaarden van toepassing zijn.

NOREA ziet toe op de randvoorwaarden en regelgeving met betrekking tot de uitvoering van deze privacy-audits alsmede de deskundigheid van de IT-auditors die deze audits mogen uitvoeren, blijkens hun inschrijving in het register van gekwalificeerde IT-auditors (RE’s).