Wanneer moet de Wpg-audit worden uitgevoerd: vanaf welk meetmoment, hoe vaak en over welke controleperiode?

De regels staan in artikel 33 Wpg, artikel 6:5 Besluit politiegegevens en de Regeling periodieke audit politiegegevens (Rpap). Via het Besluit politiegegevens boa gelden ze ook voor boa-werkgevers. De NOREA-handreiking Privacy audit Wpg voor boa's (2024) werkt ze uit tot een vast auditstramien.

Frequentie:

• externe privacyaudit: eenmaal in de vier jaar (artikel 6:5, eerste lid, Bpg);
• interne audit: ten minste jaarlijks, mede ter voorbereiding op de externe audit (artikel 3, eerste lid, Rpap; zie ‘Wat is de interne audit en wie voert die uit’);
• hercontrole: binnen een jaar na de externe audit, als daaruit tekortkomingen blijken (zie ‘Wanneer moet er een hercontrole (heraudit) komen, en wanneer moet een externe IT-auditor die uitvoeren’).

Meetmoment en controleperiode in de tweede auditcyclus (NOREA-handreiking §2.6 en §2.7):

• controleperiode: 1 januari 2021 tot en met 31 december 2024; de eerste cyclus eindigde op 1 januari 2021;
• opzet en bestaan: getoetst binnen de laatste 12 maanden van de controleperiode (1 januari tot en met 31 december 2024);
• werking: in beginsel over een aaneengesloten periode van 12 maanden voorafgaand aan de audit (1 januari tot en met 31 december 2024), omdat de werking over vier jaar niet goed te toetsen is;
• toezichtmaatregelen (in het normenkader aangeduid met TZM, zoals de interne audits en het jaarverslag van de FG): werking over de hele controleperiode;
• het assurance-rapport gaat in de periode 1 maart 2025 tot 1 maart 2026 naar de Autoriteit Persoonsgegevens (zie ‘Hoe lever ik het auditrapport aan bij de Autoriteit Persoonsgegevens’).

Volgende cyclus: de handreiking noemt nog geen data voor de derde cyclus. Bij hetzelfde ritme loopt de controleperiode van 1 januari 2025 tot en met 31 december 2028, maar de aangekondigde nieuwe regeling (Rpat; zie ‘Komt er een nieuwe regeling voor audits bij boa-werkgevers (Rpat)’) kan dat wijzigen. Plan daarom nu al de jaarlijkse interne audits en zorg dat de toezichtmaatregelen vanaf 1 januari 2025 aantoonbaar werken: de auditor kijkt daarvoor terug over de hele periode.