Een AVG-audittool kiest u niet op een beloofde ‘compliancescore’, maar op de manier waarop uw team een bevinding kan herleiden tot een verwerking, een wettelijke eis, een bewijsstuk en een besluit over herstel. De AVG kent geen algemene plicht om jaarlijks een betaald software-auditrapport te maken. Wel moet de verwerkingsverantwoordelijke naleving kunnen aantonen, op grond van artikel 5 lid 2 en artikel 24 AVG. Een interne nulmeting, periodieke controle of gerichte externe beoordeling kan daarbij helpen. Deze gids vergelijkt die werkvormen en laat zien wat een tool in een proef moet bewijzen.
Begin met de vraag die u wilt beantwoorden. Een onderneming die voor het eerst alle processen inventariseert, heeft een andere behoefte dan een organisatie die na een overname tientallen open maatregelen moet opvolgen. Bij een hoog-risicoverwerking hoort mogelijk een afzonderlijke gegevensbeschermingseffectbeoordeling; een algemene audit vervangt die niet. De AP als toezichthouder kan bij een concreet onderzoek om onderbouwing vragen. De AP over de verantwoordingsplicht noemt meerdere manieren om aan te tonen hoe u de regels uitvoert. Een leverancier mag dus niet beweren dat alleen diens auditmodule rechtsgeldige verantwoording oplevert.
Maak de scope kleiner dan ‘de hele AVG’
Bepaal welke rechtspersoon, bedrijfsonderdelen, systemen en periode u onderzoekt. Kies enkele verwerkingen die verschillende risico’s laten zien: personeelsadministratie, klantcontact en bijvoorbeeld een app met tracking. Leg per verwerking vast wie verantwoordelijk is, welke gegevens worden gebruikt, met welk doel, op welke grondslag en bij welke leveranciers. Het register van verwerkingsactiviteiten is vaak een nuttig vertrekpunt, mits het actueel genoeg is om als kaart te dienen. Ontbreekt het register, dan is die lacune zelf een bevinding; een tool kan de feiten niet uit een leeg sjabloon afleiden.
Vertaal daarna verplichtingen naar toetsvragen. Artikel 5 vraagt onder meer doelbinding, minimale gegevensverwerking en beperkte bewaartermijnen. Artikel 6 vraagt een passende grondslag per doel. Artikel 28 stelt eisen aan verwerking door een verwerker, artikel 32 aan risicogebaseerde beveiliging en artikel 33 aan de afhandeling van een inbreuk in verband met persoonsgegevens. Een vaste checklist is een beginpunt, maar een vraag als ‘hebben wij een privacybeleid?’ zegt weinig over de werking van die maatregelen. Vraag welke feitelijke waarneming en welk document het antwoord ondersteunen. Onze AVG-checklist voor bedrijven helpt de onderwerpen afbakenen; de audit beoordeelt daarna of uw praktijk erbij past.
Een bevinding moet ook de context bewaren. ‘Bewaartermijn ontbreekt’ is bruikbaar als het dossier laat zien bij welke klantgegevens, in welk systeem, wie nu beslist over verwijdering en welk gevolg de onzekerheid heeft. Zonder context wordt de volgende audit een herhaling van dezelfde vragen. Een tool mag velden voor risico, eigenaar en bewijs verplicht maken, maar moet ook een gemotiveerde ‘niet van toepassing’ toelaten. Anders dwingt de software teams tot kunstmatige antwoorden en worden dashboards mooier dan de werkelijkheid.
Spreadsheet, auditmodule of externe deskundige?
Een spreadsheet kan voor een eerste, beperkte nulmeting uitstekend werken. Maak kolommen voor eis, feitelijke situatie, bewijs, eigenaar, risico, vervolgactie en herbeoordelingsdatum. Sla bewijsstukken op in een beveiligde map met vaste bestandsnamen en toegangsrechten. Het zwakke punt is niet het bestandsformaat zelf, maar de manier waarop versies, gelijktijdige bewerking en opvolging worden georganiseerd. Een zorgvuldig beheerde spreadsheet met een gedeeld actieoverzicht kan beter zijn dan een slecht ingerichte auditapplicatie.
Auditsoftware wordt vooral nuttig wanneer meerdere eigenaren tegelijk wijzigingen aanbrengen, bewijs uit verschillende systemen komt en u dezelfde controles herhaalt. Vraag of een bevinding aan een eerdere toets en een concrete verwerking kan worden gekoppeld. Een wijzigingshistorie moet laten zien wie een conclusie heeft aangepast, op basis van welk bewijs en met welke goedkeuring. Controleer of de tool een export levert die iemand zonder abonnement kan begrijpen. Een lijst met groene verkeerslichten zonder toelichting heeft weinig bewijskracht.
Een externe adviseur is zinvol voor onafhankelijke tegenspraak, specialistische technische beoordeling of een lastig juridisch vraagstuk. Dat is een rol, geen verplichte inkoopcategorie. Een tool kan documenten ordenen maar kan een onjuiste grondslag niet zelf juridisch goedkeuren. Spreek daarom vooraf af wie interviews voert, wie bewijs beoordeelt en wie een herstelbesluit neemt. Vraag bij een offerte welke onderdelen werkelijk onder de prijs vallen; vergelijk geen beperkte deskreview met een onderzoek dat ook technische tests en gesprekken omvat. Er is geen betrouwbare universele marktprijs voor ‘een AVG-audit’.
De proef: één bevinding van vraag tot sluiting
Gebruik een fictieve, maar realistische casus. Een webwinkel bewaart in het CRM bestelhistorie voor klantenservice; een export gaat naar een marketingpartij. In het artikel 30-register staat nog de oude leverancier en de bewaartermijn is onduidelijk. Laat iedere kandidaat de actuele gegevensstroom reconstrueren, de onderliggende documenten koppelen, de ontbrekende informatie markeren en een eigenaar aanwijzen. Vraag expliciet wat het systeem als onbekend weergeeft. Een leveranciersdemo die onbekende velden automatisch als compliant inkleurt, is ongeschikt als auditbewijs.
Voeg een tweede feit toe: het marketingteam gebruikt een nieuw segment voor aanbiedingen. De auditor moet kunnen vragen of het oorspronkelijke doel en de grondslag dat gebruik dekken en welke informatie aan betrokkenen is gegeven. De tool hoeft geen automatisch juridisch oordeel te produceren; hij moet zorgen dat de relevante feiten zichtbaar blijven en een mens een onderbouwd oordeel kan vastleggen. De beginselen van artikel 5 bieden hier een inhoudelijk kader, maar geen standaardantwoord voor iedere organisatie.
Laat vervolgens een correctie registreren: leverancier bevestigd, contract beoordeeld, bewaartermijn gekozen en technische verwijderregel ingepland. Sluit de bevinding pas wanneer bewijs van de werkende maatregel is toegevoegd. Heropen dezelfde casus een maand later en beoordeel of de tool nog laat zien wat de oorspronkelijke bevinding was, wat werd veranderd en waarom. Een dashboard dat bij het aanvinken van een taak het oorspronkelijke risico overschrijft, maakt de auditgeschiedenis minder bruikbaar. Test daarna een export en controleer of een collega de beslissing zonder de oorspronkelijke auditor kan volgen.
Welke bewijsstukken horen bij een audit?
Bij een grondslagvraag kunt u een besluitnotitie, de feitelijke gebruikersreis en de relevante privacyinformatie koppelen. Voor leveranciers zijn een overeenkomst en een actuele subverwerkerslijst nuttig, maar ook bewijs dat afgesproken beveiliging of ondersteuning in de praktijk werkt. Artikel 28 AVG staat een schriftelijke overeenkomst of een andere bindende rechtshandeling onder Unierecht of lidstatelijk recht toe; in gewone leveranciersrelaties wordt veelal een verwerkersovereenkomst gebruikt. Bewaar niet alleen het getekende document, maar noteer welke verwerking het dekt en welke taken nog open zijn.
Voor beveiliging kijkt u naar risico, maatregel en controle-uitkomst. Een beleidstekst is geen bewijs dat toegangsrechten bij vertrek van medewerkers daadwerkelijk worden ingetrokken. Een steekproef van accounts of een gedocumenteerde test kan meer zeggen. Leg vast welke persoonsgegevens in auditbewijs zelf terechtkomen; kopieer niet zomaar een klantenbestand naar de audittool. Beperk toegang, bewaartermijnen en exportrechten. Bij een ingeschakelde SaaS-aanbieder vraagt u welke rol de leverancier vervult en welke gegevens en subverwerkers betrokken zijn.
Hetzelfde onderscheid geldt bij datalekken. Niet elk technisch incident is een inbreuk in verband met persoonsgegevens. Voor zo’n inbreuk verplicht artikel 33 lid 5 de verwerkingsverantwoordelijke de feiten, gevolgen en genomen maatregelen te documenteren. Melding aan de AP volgt zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennisname, tenzij een risico voor personen onwaarschijnlijk is; een latere melding vraagt om redenen voor vertraging. Een audittool kan controleren of een beslisroute en documentatie bestaan, maar moet incidentafhandeling niet vervangen door een algemeen groen vinkje. De gids meldplicht datalekken behandelt de stappen afzonderlijk.
Vergelijk kandidaten zonder onbewezen functies
PrivacyPerfect beschrijft op de eigen website privacyprocessen zoals inventarisatie, beoordelingen en verzoeken. Dat is aanleiding om een gecombineerde demonstratie aan te vragen, geen bewijs dat de auditworkflow bij uw inrichting werkt. Vraag hoe bevindingen uit een nulmeting aan verwerkingen en verbeteracties worden gekoppeld en wat als losse export beschikbaar komt. Laat niet een verkoopdia maar uw eigen casus beslissen.
Vanta en Sprinto positioneren zich primair rond compliance- en beveiligingsworkflows, met eigen uitspraken over bewijs en raamwerken. Als uw organisatie ook een informatiebeveiligingscontrole uitvoert, kan het zinvol zijn zulke kandidaten mee te nemen. Vraag precies welke AVG-vragen, rechtsgrondbesluiten en rechtenprocessen in het gekozen pakket zitten. Bewijs voor een beveiligingsnorm is niet automatisch bewijs voor rechtmatige verwerking of juiste privacyinformatie. Hun eigen productpagina’s zijn geen onafhankelijke beoordeling.
Een module binnen een breder privacyplatform kan aantrekkelijk zijn wanneer register, DPIA en actiebeheer al in dezelfde omgeving leven. Beoordeel de werking met dezelfde casus en vraag naar kosten voor gebruikers, opslag, implementatie en ondersteuning. De vergelijking van AVG-compliancesoftware bespreekt de bredere platformkeuze; deze gids concentreert zich op de auditcyclus. Gebruik de gids voor softwarekosten om een offerte in componenten te ontleden, zonder vooraf een prijs voor een niet-gespecificeerd pakket aan te nemen.
Inkoopvragen die pas bij gebruik zichtbaar worden
Vraag wie vragenlijsten mag aanpassen. Een auditmodel moet versiebeheer hebben: bij een wets- of proceswijziging moet zichtbaar zijn welke oude antwoorden onder een eerdere vraagversie vielen. Controleer of bewijs een eigenaar en vervaldatum kan krijgen. Een certificaat dat tijdens de nulmeting geldig was, kan bij de volgende beoordeling verlopen zijn. Laat de leverancier tonen hoe het systeem een ontbrekend of verouderd bewijsstuk meldt zonder automatisch te concluderen dat de verwerking onrechtmatig is.
Vraag ook hoe uitzonderingen worden beslist. Een auditor kan een afwijking als laag risico markeren; dat moet een gemotiveerd besluit van de juiste persoon zijn, geen verborgen instelling die de bevinding laat verdwijnen. Test rechten per rol: de auditee mag bewijs aanleveren, maar misschien niet de eigen conclusie definitief goedkeuren. Vraag of notities en documenten kunnen worden afgeschermd voor teams die ze niet nodig hebben. Een auditdossier bevat vaak informatie over kwetsbaarheden, contracten en werknemers; bredere toegang ‘omdat het handig is’ is geen goed selectiecriterium.
Beproef de exit voordat u tekent. Laat een voorbeeldexport maken met vragen, bevindingen, versies, acties, verantwoordelijken en bewijsverwijzingen. Bespreek wat bij het einde van de dienstverlening wordt teruggegeven, verwijderd en zo nodig krachtens een toepasselijke wettelijke bewaarplicht behouden. Een pdf-samenvatting alleen kan te weinig zijn om de controle later voort te zetten. Vraag of links naar extern opgeslagen documenten intact blijven en wat een migratie naar een andere structuur kost. De aanschafbeslissing omvat ook de mogelijkheid om weg te gaan.
Vertaal bevindingen naar een bestuurbaar verbeterplan
Een nulmeting eindigt vaak met veel kleine observaties en enkele wezenlijke risico’s. Laat de tool onderscheid maken tussen een ontbrekend document, een maatregel die nog niet is uitgevoerd en een structureel verkeerde werkwijze. Een ontbrekende ondertekening kan eenvoudig te herstellen zijn; onduidelijke toegang tot gevoelige dossiers vraagt mogelijk eerst een technische ingreep. Zonder dit onderscheid raakt het management verstrikt in het aantal open taken in plaats van het gewicht van de risico’s.
Vraag tijdens de proef om twee bevindingen die elkaar raken, bijvoorbeeld een onvolledig leveranciersoverzicht en een contract zonder actuele subverwerkersinformatie. Kan het systeem één gezamenlijke oorzaak tonen zonder beide verplichtingen te laten verdwijnen? Laat een eigenaar een tussenmaatregel vastleggen, met reden waarom het definitieve herstel later komt. Een deadline in de tool is geen wettelijke vrijstelling; hij maakt de beslissing en opvolging zichtbaar. Plan een onafhankelijke hertoets zodra de maatregel is uitgevoerd, zodat ‘taak voltooid’ niet automatisch ‘risico weg’ betekent.
Vraag tenslotte hoe de auditbevinding naar de proceseigenaar terugkomt. Een centraal privacyteam kan het risico benoemen, maar alleen de operationele eigenaar weet of een wijziging in klantcontact of IT werkelijk is uitgevoerd. Laat de tool een bewijsstuk door de eigenaar aanleveren en door een andere rol beoordelen. Daarmee voorkomt u dat de persoon die een taak afsluit ook zonder toets vaststelt dat de maatregel effectief is. Bij kleine teams kan een periodieke collegiale controle deze scheiding eenvoudig invullen.
Veelgestelde vragen
Is een jaarlijkse AVG-audit wettelijk verplicht?
De AVG schrijft geen algemene jaarlijkse audit met software of externe adviseur voor. Zij stelt wel inhoudelijke verplichtingen en verlangt dat naleving aantoonbaar is. Bepaal de controlefrequentie op basis van risico, wijzigingen en eventuele sectorspecifieke regels of contractuele afspraken. Een nieuwe verwerking of incident kan reden zijn voor een gerichte tussentijdse toets, ook als de vorige algemene controle nog recent is.
Voldoet een ingevulde checklist als bewijs?
Zij kan het begin van een bewijsdossier zijn, maar een aangekruist antwoord toont niet vanzelf dat een maatregel werkt. Koppel de relevante feiten, documenten en toetsdatum aan de conclusie. Noteer ook onzekerheden en herstelpunten. Een eerlijk dossier met een open actie is vaak bruikbaarder dan een volledig groen overzicht waarvan niemand de onderbouwing terugvindt.
Moet ik een consultant of software kiezen?
Dat hangt af van het probleem. Voor onafhankelijke juridische of technische tegenspraak kan een deskundige nodig zijn; voor herhaalbare interne opvolging kan een eenvoudige tool of goed beheerde spreadsheet volstaan. Vraag beide routes om dezelfde beoogde uitkomst en vergelijk hun afbakening, beschikbare mensen en driejarige totale kosten. Software heft de behoefte aan een bevoegd besluit niet op.
Is een auditrapport voldoende bij een AP-onderzoek?
Nee. De AP kan afhankelijk van het onderzoek onderliggende documenten, feiten en uitleg vragen. Een recent rapport helpt als het de werkelijke situatie, bewijs en herstelbesluiten getrouw weergeeft. Een leverancier kan geen garantie geven op het oordeel van de toezichthouder. Zorg dat de organisatie haar keuzes zelf kan uitleggen en gegevens veilig kan aanleveren.
Kies op controleerbare opvolging
Laat de selectie afhangen van wat er na de eerste nulmeting gebeurt: wie neemt een bevinding over, wie controleert herstel, welke versie van bewijs blijft bewaard en wat kan worden geëxporteerd? Een kleine organisatie kan dit met een spreadsheet en goede afspraken bereiken. Als meerdere teams en terugkerende controles de samenhang onoverzichtelijk maken, kan een audittool waarde toevoegen. De uitkomst is geen groen keurmerk, maar een navolgbaar besluit over echte risico’s en maatregelen.