De Autoriteit Persoonsgegevens controleert mijn organisatie, wat nu?

Als de Autoriteit Persoonsgegevens (AP) aanklopt voor een controle, is het belangrijk om rustig en gestructureerd te reageren. Een AP-onderzoek betekent niet automatisch dat je iets fout hebt gedaan, maar het is wel een serieuze situatie die vraagt om voorbereiding en transparantie. Voor zorgorganisaties speelt daarbij ook NEN 7510-certificering een rol, omdat de AP toetst of persoonsgegevens aantoonbaar goed zijn beveiligd. In dit artikel beantwoorden we de meest gestelde vragen over wat een AP-controle inhoudt, hoe je je voorbereidt en wat de mogelijke gevolgen zijn.

Wat onderzoekt de Autoriteit Persoonsgegevens precies tijdens een controle?

De Autoriteit Persoonsgegevens onderzoekt tijdens een controle of jouw organisatie voldoet aan de Algemene Verordening Gegevensbescherming (AVG). Concreet kijkt de AP of je persoonsgegevens rechtmatig verwerkt, of je de juiste technische en organisatorische beveiligingsmaatregelen hebt getroffen, en of je betrokkenen correct informeert over het gebruik van hun gegevens.

De AP richt zich daarbij op meerdere aspecten tegelijk. Denk aan de aanwezigheid van een verwerkingsregister, de naleving van bewaartermijnen, de omgang met datalekken en de rol van een eventuele Functionaris Gegevensbescherming (FG). Voor organisaties in de zorg komt daar nog een extra laag bij: de AP verwacht dat persoonsgegevens worden beveiligd conform erkende normen. NEN 7510 is daarvoor de relevante Nederlandse norm voor informatiebeveiliging in de zorg- en welzijnssector. Een functionerend informatiebeveiligingsmanagementsysteem (ISMS) is daarbij geen luxe, maar een concrete verwachting.

De AP kan zowel reactief als proactief controleren. Reactief onderzoek volgt op een klacht of melding van een datalek. Proactief onderzoek start de AP zelf, vaak gericht op een specifieke sector of een thema dat zij als risicovol beschouwt.

Hoe verloopt een controle van de Autoriteit Persoonsgegevens stap voor stap?

Een AP-controle verloopt doorgaans in een vaste volgorde. De AP kondigt het onderzoek aan met een officieel schrijven, vraagt vervolgens om documenten en informatie, voert eventueel interviews of een bedrijfsbezoek uit, en deelt daarna haar bevindingen. Jouw organisatie krijgt de kans om te reageren voordat de AP een definitief oordeel velt.

De stappen op een rij:

1. Aankondiging: Je ontvangt een brief of e-mail van de AP met uitleg over het doel en de reikwijdte van het onderzoek.
2. Informatieverzoek: De AP vraagt specifieke documenten op, zoals beleidsstukken, verwerkersovereenkomsten en risicoanalyses.
3. Verificatie en interviews: In sommige gevallen bezoekt de AP jouw locatie of spreekt zij medewerkers om de praktijk te toetsen aan de documenten.
4. Conceptrapport: De AP stuurt een conceptrapport met bevindingen. Je hebt het recht om hierop te reageren, met een zogeheten zienswijze.
5. Definitief rapport: Na verwerking van jouw reactie stelt de AP het definitieve rapport vast en besluit zij over eventuele vervolgstappen.

Gedurende het hele traject geldt een medewerkingsplicht. Je bent verplicht om eerlijk en volledig te antwoorden op vragen van de AP. Dat betekent niet dat je jezelf onnodig in een lastige positie moet brengen, maar ontwijken of onjuiste informatie verstrekken maakt de situatie altijd erger.

 

 

Welke documenten moet je aanleveren bij een AP-onderzoek?

Bij een AP-onderzoek moet je in de meeste gevallen een set kerndocumenten aanleveren die aantonen hoe je omgaat met persoonsgegevens. De exacte lijst hangt af van het onderwerp van het onderzoek, maar er zijn documenten die vrijwel altijd worden gevraagd.

Veelgevraagde documenten zijn:

• Het register van verwerkingsactiviteiten
• Het privacybeleid en eventuele interne gedragscodes
• Verwerkersovereenkomsten met leveranciers en partners
• Uitgevoerde Data Protection Impact Assessments (DPIA’s)
• Documentatie rondom datalekken en de afhandeling daarvan
• Bewijs van technische beveiligingsmaatregelen, zoals toegangscontrole en encryptie
• Voor zorgorganisaties: documentatie van het ISMS en de Verklaring van Toepasselijkheid (VvT) conform NEN 7510

Het is belangrijk dat deze documenten actueel zijn en de werkelijkheid weerspiegelen. Een mooi beleidsdocument dat in de praktijk nooit wordt nageleefd, werkt juist tegen je. De AP vergelijkt documenten altijd met de dagelijkse praktijk en stelt gerichte vragen om te toetsen of beleid ook daadwerkelijk wordt uitgevoerd.

Zorgorganisaties die werken met een gecertificeerd ISMS op basis van NEN 7510 staan hier sterker voor. De norm vereist namelijk dat beheersmaatregelen aantoonbaar zijn gedocumenteerd en regelmatig worden geëvalueerd. Meer achtergrond over informatiebeveiliging vind je in ons kennisoverzicht.

Wat zijn de mogelijke gevolgen als de AP een overtreding constateert?

Als de Autoriteit Persoonsgegevens een overtreding van de AVG constateert, beschikt zij over een breed scala aan handhavingsinstrumenten. De ernst van de overtreding, de omvang van de schade en de mate van verwijtbaarheid bepalen welke maatregel de AP oplegt.

De AP kan de volgende maatregelen nemen:

• Waarschuwing of berisping: Bij lichtere overtredingen of een eerste constatering kan de AP volstaan met een formele waarschuwing.
• Last onder dwangsom: De AP verplicht je een overtreding te beëindigen, op straffe van een dwangsom als je dat niet doet.
• Bestuurlijke boete: Bij ernstige of herhaalde overtredingen kan de AP een boete opleggen. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van welk bedrag hoger is.
• Tijdelijk verwerkingsverbod: In uitzonderlijke gevallen kan de AP een verbod opleggen om bepaalde gegevens te verwerken totdat de situatie is hersteld.

Naast de directe financiële gevolgen kan een AP-onderzoek ook reputatieschade opleveren, zeker als bevindingen openbaar worden gemaakt. De AP publiceert regelmatig haar handhavingsbeslissingen, wat een organisatie in een kwetsbare positie kan brengen tegenover klanten, patiënten en zakenpartners.

Hoe kun je een boete of maatregel van de AP voorkomen?

Een boete of maatregel van de Autoriteit Persoonsgegevens voorkom je door proactief en aantoonbaar te voldoen aan de AVG. Dat betekent niet alleen het hebben van beleid op papier, maar ook het daadwerkelijk naleven en regelmatig toetsen van dat beleid in de praktijk.

De belangrijkste preventieve maatregelen zijn:

• Houd je register van verwerkingsactiviteiten actueel en compleet
• Sluit verwerkersovereenkomsten af met alle partijen die persoonsgegevens namens jou verwerken
• Voer risicoanalyses (DPIA’s) uit bij nieuwe of ingrijpende verwerkingen
• Zorg voor een helder en werkend meldproces voor datalekken
• Train medewerkers regelmatig op privacybewustzijn en hun rol daarin
• Voer interne audits uit om te toetsen of beleid en praktijk overeenkomen

Voor zorgorganisaties geldt aanvullend dat het implementeren en onderhouden van een ISMS conform NEN 7510 een krachtig middel is om naleving aantoonbaar te maken. NEN 7510 dekt een significant deel van de AVG-eisen af, al vervangt het de AVG niet volledig. Een gecertificeerde organisatie kan bij een AP-controle concreet laten zien hoe informatiebeveiliging is geborgd, wat het vertrouwen van de toezichthouder vergroot.

Transparantie en samenwerking tijdens een onderzoek tellen ook mee. Organisaties die actief meewerken, snel reageren en al corrigerende maatregelen hebben genomen, worden doorgaans milder behandeld dan organisaties die tegenwerken of niets hebben ondernomen.

Wanneer is externe ondersteuning bij een AP-controle verstandig?

Externe ondersteuning is verstandig zodra een AP-controle raakt aan complexe juridische of technische vraagstukken, of wanneer jouw organisatie intern onvoldoende kennis of capaciteit heeft om adequaat te reageren. Hoe eerder je externe expertise inschakelt, hoe beter je positie tijdens het onderzoek.

Concrete situaties waarin externe ondersteuning meerwaarde biedt:

• Je beschikt niet over een interne FG of privacyspecialist
• De gevraagde documenten zijn niet op orde of deels verouderd
• Het onderzoek raakt aan informatiebeveiliging en je ISMS is niet aantoonbaar ingericht
• Er is sprake van een datalek dat aan de basis ligt van het onderzoek
• Je wilt een zienswijze indienen op het conceptrapport van de AP
• De AP heeft een last onder dwangsom opgelegd en je moet aantonen dat je aan de eisen voldoet

Een externe adviseur helpt je niet alleen met de directe respons op de AP, maar ook met het structureel verbeteren van je privacybeheer zodat herhaling wordt voorkomen. Voor zorgorganisaties is het daarbij zinvol om te kijken naar een gecombineerde aanpak van AVG-compliance en ISO 27001 of NEN 7510, zodat informatiebeveiliging en privacybescherming samen worden geborgd.

Hoe Diks Process Support helpt bij een AP-controle en NEN 7510

Wij begrijpen dat een AP-controle veel vragen oproept en dat je snel duidelijkheid wilt over waar je staat. Als technisch-bedrijfskundig adviesbureau helpen wij organisaties om hun informatiebeveiliging en privacybeheer aantoonbaar op orde te krijgen, zowel ter voorbereiding op een controle als tijdens een lopend onderzoek.

Wat wij voor jou kunnen doen:

• Een GAP-analyse uitvoeren om te bepalen waar jouw organisatie staat ten opzichte van de AVG en NEN 7510
• Documentatie op orde brengen, waaronder het verwerkersregister, DPIA’s en de Verklaring van Toepasselijkheid
• Een ISMS implementeren of optimaliseren conform NEN 7510 of ISO 27001
• Begeleiding bieden bij de communicatie richting de AP en het opstellen van een zienswijze
• Interne audits en managementreviews uitvoeren zodat naleving aantoonbaar is
• Medewerkers trainen op privacybewustzijn en hun verantwoordelijkheden

We werken niet voor je, maar met je. Dat betekent dat we aansluiten bij jouw organisatie, meedenken op alle niveaus en zorgen voor praktische, uitvoerbare oplossingen. Wil je weten hoe sterk jouw organisatie staat bij een AP-controle? Neem contact op en we bespreken samen de mogelijkheden.

 

Gerelateerde artikelen

• Wat zijn de voordelen van NEN 7510 certificering?
• Welke training is nodig voor ISO 9001?
• Hoe houd je veiligheidsafspraken levend in een drukke periode?
• Hoe werkt een nulmeting voor de Safety Culture Ladder?
• Hoe lang duurt een SCL audit?
• Hoe bereid je je medewerkers voor op een SCL audit?
• Wat zijn de juridische aspecten van SCL?
• Hoe bereid je je voor op een SCL audit?
• Welke ervaring moet een interim HSE officer hebben?
• Kan je ISO 27001 combineren met ISO 9001?