Artikel 3

1. De verantwoordelijke draagt zorg dat, mede ter voorbereiding op de privacy audit, tenminste jaarlijks een interne audit plaatsvindt.
2. De interne audit wordt uitgevoerd door middel van een Electronic Data Processing (EDP) audit, ook wel IT-audit genoemd.
3. De interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet en heeft tot doel voor het onderdeel of de onderdelen van de wet waar de interne audit zich op richt, op systematische wijze te toetsen of aan de bepalingen van de wetop adequate wijze uitvoering is gegeven. Hiertoe vindt een beoordeling plaats van de volgende aspecten binnen de organisatie van de auditee:
a. de opzet en het bestaan van maatregelen en procedures die in de borging van de wettelijke eisen moeten voorzien;
b. de werking van de getroffen maatregelen en procedures.
4. De interne audit vindt plaats aan de hand van en overeenkomstig een auditplan. In het auditplan komen minimaal de volgende elementen aan de orde:
a. het doel van de interne audit;
b. de inhoud/object van de interne audit;
c. de doorlooptijd van de interne audit;
d. de onderzoeksinstrumenten die bij de interne audit worden ingezet en de bijdrage daarvan;
e. de wijze waarop en de termijn waarbinnen wordt gerapporteerd;
f. de beveiliging van de ten behoeve van de interne audit verzamelde informatie;
g. de geheimhoudingsplicht waartoe een ieder die betrokken is bij een interne audit verplicht is;
h. de aanbieding en verspreidingskring van de interne auditrapportage.
5. Indien de verantwoordelijke de toegang tot bepaalde gegevens noodzakelijk noch wenselijk acht voor een goede uitvoering van de interne audit, kan hij de toegang daartoe weigeren, dan wel aan beperkende voorwaarden verbinden. De verantwoordelijke deelt de interne auditor schriftelijk en gemotiveerd zijn beslissing mede.
6. De resultaten van de interne audit worden in een auditrapportage vermeld. De auditrapportage bevat minimaal:
a. een beschrijving van de bij het uitvoeren van de audit gevolgde werkwijze;
b. een beschrijving van de resultaten van de privacy audit;
c. het oordeel en de aanbevelingen van de auditor.
7. Na afronding van de interne audit wordt de rapportage onverwijld aangeboden aan de verantwoordelijke.