GDPR-audit in België: wat er echt gecontroleerd wordt

Een GDPR-audit begint bij een Vlaamse kmo zelden uit eigen beweging. Meestal is er een aanleiding: een industriële klant stuurt een vragenlijst van negentig punten en eist een extern auditverslag, of een ex-medewerker dient een klacht in over een mailbox die te lang doorgeschakeld bleef.

Op dat moment merkt u dat de vraag verschoven is. Het gaat niet meer over of uw privacyverklaring correct is. Het gaat over of u kunt aantonen dat multifactorauthenticatie effectief afgedwongen wordt, dat uw back-up ooit succesvol is teruggezet, en dat het account van die vertrokken collega binnen de dag geblokkeerd werd.

In het kort

• Er zijn drie soorten audits die vaak door elkaar lopen: de audit die u zelf laat uitvoeren, de audit die uw klant bij u komt doen, en het onderzoek door de Gegevensbeschermingsautoriteit.
• De GDPR legt geen periodieke auditverplichting op, maar de verantwoordingsplicht uit artikel 5, lid 2 verplicht u wel om naleving aantoonbaar te maken.
• De Inspectiedienst van de GBA beschikt over vergaande bevoegdheden: onaangekondigd ter plaatse komen, informaticasystemen raadplegen en kopiëren, verhoren afnemen en systemen verzegelen.
• Een onderzoek dat start na één klacht mag zich uitbreiden tot een volledige controle van uw naleving. Dat bevestigde het Marktenhof in 2023.
• Voor artikel 32 volstaan beleidsdocumenten niet. Een auditor vraagt configuratie-exports, toegangsmatrices, logbestanden en hersteltestrapporten.

Wat controleert de GBA tijdens een GDPR-audit in België?

Tijdens een inspectie in België controleert de Gegevensbeschermingsautoriteit de naleving van de fundamentele beginselen. De Inspectiedienst toetst het verwerkingsregister, de verwerkersovereenkomsten, de wettelijke grondslagen en de technische maatregelen onder artikel 32 AVG. De toezichthouder onderzoekt of uw beleid overeenkomt met de operationele werkelijkheid, en kan het onderzoek uitbreiden voorbij de oorspronkelijke klacht.

Is een audit wettelijk verplicht?

Niet als periodieke verplichting. De AVG kent geen artikel dat u om de zoveel tijd tot een audit dwingt. Maar artikel 5, lid 2 legt de bewijslast bij u: u moet te allen tijde kunnen aantonen dat uw verwerkingen conform verlopen. Daar komt bij dat artikel 28 uw zakelijke klanten een contractueel auditrecht geeft, en dat artikel 32 u verplicht uw beveiligingsmaatregelen periodiek te testen en te evalueren. Samen maakt dat een terugkerende toetsing praktisch onvermijdelijk.

Drie soorten audits die door elkaar lopen

Wie zegt “we hebben een audit” bedoelt niet altijd hetzelfde, en het verschil in gevolgen is groot.

Wat er tijdens de audit gebeurt en wat klaar moet liggen

Dit is het deel dat online vrijwel nergens beschreven staat. De meeste pagina’s blijven bij de wettekst: zorg voor passende beveiliging. Een auditor werkt concreter. Hij doorloopt acht domeinen en vraagt per domein een bewijsstuk op.

1. Rechtsgronden en toestemming. Voor elke verwerking wordt de grondslag getoetst. Beroept u zich op gerechtvaardigd belang, dan moet er een gedocumenteerde belangenafweging liggen. Werkt u met toestemming, dan verwacht de auditor opt-inlogs met tijdstempel en context, plus een werkende intrekkingsprocedure.
2. Het verwerkingsregister. Een register uit 2018 dat nadien nooit is herzien, wordt onmiddellijk afgekeurd. Verwacht wordt een actueel overzicht met doelen, categorieën betrokkenen, bewaartermijnen, ontvangers en een beschrijving van de maatregelen. De formele vereisten staan in ons artikel over het verwerkingsregister.
3. Verwerkersovereenkomsten. De auditor loopt uw hele keten van dienstverleners af: cloudleveranciers, payrollpartners, IT-ondersteuners. Hij wil bilateraal ondertekende overeenkomsten zien, een bijgewerkt register van goedgekeurde subverwerkers en verificatieverslagen van derdenbeheer.
4. Bewaartermijnen en minimalisatie. Gevraagd wordt een retentiebeleid dat gekoppeld is aan uw operationele systemen, plus de opschoonconfiguraties in uw CRM, HR-pakket en mailarchief, en vernietigingscertificaten van oude hardware. De basis daarvoor is een doordachte gegevensclassificatie.
5. Rechten van betrokkenen. De auditor beoordeelt hoe u verzoeken tot inzage, correctie of wissing binnen de termijn van dertig dagen behandelt. Hij vraagt uw protocol, uw standaardsjablonen en een centraal logboek van afgehandelde verzoeken.
6. Datalekken en incidentbeheer. Verwacht wordt een gevalideerd incidentresponsplan en een intern datalekkenregister, inclusief de risicobeoordeling en de motivering waarom bepaalde incidenten niet gemeld zijn. De meldingscriteria staan in ons artikel over de 72-uursregel.
7. Effectbeoordelingen. Gevraagd worden de criteria waarmee u bepaalt wanneer een DPIA nodig is, en de uitgevoerde beoordelingen met risicoanalyse, mitigerende maatregelen en het advies van de DPO.
8. Internationale doorgiften. Bij gebruik van Amerikaanse clouddiensten controleert de auditor uw overdrachtsmechanismen: ondertekende modelcontractbepalingen en de bijhorende effectbeoordelingen.

Hoe u artikel 32 technisch aantoont

Hier scheidt een technische audit zich van een juridische. Een beleidsdocument dat stelt dat u encryptie toepast, bewijst niets. De auditor wil zien dat de controle actief is in de omgeving.

Toegangsbeheer

Gevraagd worden systeemexports die aantonen dat multifactorauthenticatie afgedwongen is voor alle accounts met toegang tot persoonsgegevens. Daarnaast een toegangsmatrix die laat zien dat rechten aan rollen hangen in plaats van aan losse toekenningen. En logbestanden die aantonen dat accounts van vertrokken medewerkers binnen 24 uur geblokkeerd worden. Dat laatste punt levert in Belgische dossiers opvallend vaak problemen op.

Encryptie

Voor gegevens in rust: configuratieoverzichten van actieve schijfversleuteling op alle endpoints, centraal beheerd via beleid. Voor databases en cloudopslag: documentatie van de toegepaste cryptografische standaarden. Voor transport: controle van uw TLS-configuratie, met de bevestiging dat verouderde protocollen uitgeschakeld zijn.

Logging en integriteit

Gevraagd wordt gecentraliseerde logging van authenticatiegebeurtenissen, rechtenverhogingen en beheerderswijzigingen. Belangrijker nog is het bewijs dat logbestanden beschermd zijn tegen manipulatie: beheerders mogen hun eigen sporen niet kunnen wissen. Daarbij hoort een gedocumenteerde bewaartermijn voor beveiligingslogs, afgestemd op forensisch onderzoek na een incident.

Back-up en herstel

Een back-up die nooit is teruggezet, is een aanname. De auditor vraagt architectuurdocumentatie die aantoont dat er minstens één offline of onveranderbare kopie bestaat, plus hersteltestrapporten die aantonen dat een herstel recent gelukt is binnen de vooropgestelde hersteltijd.

Periodiek testen

Artikel 32 vraagt uitdrukkelijk om het periodiek testen, beoordelen en evalueren van de maatregelen. Concreet: verslagen van terugkerende kwetsbaarhedenscans, rapporten van onafhankelijke penetratietesten, en een overzicht dat aantoont dat gevonden kwetsbaarheden volgens prioriteit zijn opgelost.

Wat de GBA in de praktijk beboet

De Inspectiedienst voert onderzoeken uit na doorverwijzing door de Geschillenkamer, op eigen initiatief bij ernstige aanwijzingen, of na een klokkenluidersmelding. De inspecteurs mogen zaakvoerders en medewerkers verhoren, dwingende vragenlijsten met strikte termijnen versturen, onderzoeken ter plaatse verrichten, informaticasystemen rechtstreeks raadplegen en kopiëren, politiebijstand vorderen, systemen verzegelen en processen-verbaal opstellen die bewijskracht hebben tot het tegendeel bewezen is.

Eén uitspraak verdient bijzondere aandacht voor kmo’s. Het Hof van Beroep te Brussel bevestigde in juni 2023 dat de Inspectiedienst haar onderzoek niet hoeft te beperken tot de feiten van de oorspronkelijke klacht. Een onderzoek naar een geïsoleerd incident kan wettig uitmonden in een volledige controle, waarbij ook een ontbrekend register of verouderde verwerkerscontracten gesanctioneerd worden.

De prioriteiten voor de komende jaren staan in het strategisch plan 2026-2028 van de GBA, waarin de toezichthouder inzet op proactieve controles bij grootschalige verwerkingen. Wat dat betekent voor een kmo, staat in onze analyse van het strategisch plan.

De klantvragenlijst: waar de audit meestal begint

In de praktijk komt de eerste auditdruk niet van de toezichthouder maar van een afnemer. Vijf vragen keren terug in vrijwel elke leveranciersbeoordeling.

• Waar staan de gegevens en wie zijn de subverwerkers? Uw klant moet doorgiften buiten de EER uitsluiten of juridisch afdekken. Verwacht bewijs: een overzicht van datacentra, ondertekende modelcontractbepalingen en effectbeoordelingen voor uw SaaS-tools.
• Hoe scheidt u klantdata? Verwacht bewijs: architectuurdocumentatie, verklaringen over isolatie per klant en de configuratie van uw toegangsbeheer.
• Welke cryptografische standaarden gebruikt u? Verwacht bewijs: technische validatie van uw schijfversleuteling en van uw transportbeveiliging.
• Binnen welke termijn meldt u een incident? Uw klant moet zelf binnen 72 uur kunnen rapporteren aan de GBA. Verwacht bewijs: een bepaling in de verwerkersovereenkomst met een meldtermijn van 24 tot 48 uur na ontdekking, plus uw escalatieprotocol.
• Laat u onafhankelijk testen? Verwacht bewijs: een managementsamenvatting van een recente externe penetratietest of security-audit, met de opvolging van de bevindingen.

Doe het werk één keer: de overlap met NIS2

Levert u aan essentiële of belangrijke entiteiten, dan krijgt u naast privacyvragen ook NIS2-vragen. De doelstellingen verschillen (de AVG beschermt individuen, NIS2 beschermt continuïteit), maar het technische fundament is grotendeels hetzelfde. Identiteits- en toegangsbeheer, versleuteling, incidentprocedures, back-upbeheer en periodieke kwetsbaarheidsbeoordelingen komen in beide kaders terug. Eén technische audit dekt die dus samen af.

Wat AVG-specifiek blijft: de rechtmatigheid van de verwerking, uw privacyverklaringen, het verwerkingsregister, de rechten van betrokkenen en de effectbeoordelingen. Wat NIS2-specifiek blijft: bedrijfscontinuïteit voor álle bedrijfskritische processen, formele crisisbeheersing en het risicobeheer van uw volledige toeleveringsketen. De volledige vergelijking staat in ons artikel over de overlap tussen GDPR en NIS2.

Wat kost het en hoe lang duurt het?

Auditprijzen in België zijn overwegend offerteafhankelijk, maar er circuleren enkele publieke vaste tarieven. Een Belgisch nichekantoor publiceert een instaptarief van 3.000 euro excl. btw voor een doorlichting van één dag ter plaatse met as-is-analyse, gap-analyse en nabespreking, en 1.500 euro excl. btw voor een gerichte audit van internationale doorgiften. Aan de andere kant van het spectrum starten softwarematige zelfbeoordelingen rond 99 euro.

Voor middelgrote kmo’s met complexe IT-omgevingen, maatwerkapplicaties of meerdere entiteiten bestaan er geen betrouwbare uniforme publieke prijzen. De uiteindelijke kost hangt af van het aantal te onderzoeken verwerkingsprocessen en van de diepgang van de technische verificatie. Wie u een vaste prijs geeft zonder uw omgeving te kennen, heeft de scope niet bekeken.

De doorlooptijd voor een kmo met 10 tot 50 medewerkers ligt doorgaans op twee tot vier weken, gerekend van de intake tot de oplevering van het rapport en het actieplan.

Vijf misvattingen die auditors telkens opnieuw tegenkomen

1. “Onze IT-partner regelt dat.” Uitbesteden verplaatst de uitvoering, niet de aansprakelijkheid. Als verwerkingsverantwoordelijke blijft u wettelijk aansprakelijk en kunt u een boete niet doorschuiven naar uw dienstverlener.
2. “Zakelijke e-mailadressen vallen er niet onder.” Onjuist. Elk gegeven dat herleidbaar is tot een natuurlijke persoon is een persoonsgegeven. De Geschillenkamer verwierp dat argument uitdrukkelijk in 2025.
3. “Ons register staat er.” Een register uit mei 2018 dat nooit is herzien, geldt bij inspectie als een directe inbreuk op de verantwoordingsplicht.
4. “We hebben de gegevens gepseudonimiseerd.” Pseudonimiseren is geen wissen. Zolang heridentificatie technisch mogelijk blijft, voldoet u niet aan artikel 17.
5. “De mailbox van die collega staat nog even doorgeschakeld.” Volgens vaste rechtspraak van de GBA mag dat maximaal ongeveer één maand duren, uitsluitend voor de afhandeling van lopende dossiers. Langere monitoring leidt tot zware sancties, zoals de beslissing van mei 2026 laat zien.

“Een audit is een momentopname voor een vinkje”

Dat bezwaar klopt volledig wanneer een audit bestaat uit het kopiëren van beleidssjablonen. Zo’n rapport beschermt u niet tegen een aanval en niet tegen handhaving.

Een audit die ook technisch kijkt, levert wel drie dingen op die meetbaar zijn. Ten eerste bewijskracht: artikel 5, lid 2 legt de bewijslast bij u, en wie bij een datalek kan aantonen dat er recent getoetst is en dat aanbevelingen opgevolgd worden, toont goede trouw. In de rechtspraak van de Geschillenkamer weegt dat door als verzachtende omstandigheid, tot en met het omzetten van een boete in een berisping. Ten tweede snelheid in verkooptrajecten: een kmo met een actueel auditverslag en concrete technische bewijsstukken doorloopt een leveranciersbeoordeling in dagen in plaats van maanden. Ten derde vindt een technische audit dingen die er werkelijk toe doen, zoals een vergeten testdatabase met klantgegevens of een beheerdersaccount dat nooit is ingetrokken.

Waar staat u vandaag?

De snelste manier om dat te weten, is niet een volledige audit maar een nulmeting. Die legt per domein vast wat er ligt, wat ontbreekt en wat prioriteit heeft, en maakt duidelijk of een volledige doorlichting nodig is of dat gerichte ingrepen volstaan.

Cyberplan voert die nulmeting uit vanuit de technische invalshoek: wij kijken naar wat uw systemen effectief afdwingen, niet alleen naar wat uw beleid belooft. Meer over onze aanpak leest u op de pagina over GDPR-compliance en technische beveiliging.

Veelgestelde vragen

Welke bedrijven in België bieden GDPR-audits en compliancebegeleiding aan?

De Belgische markt bestaat in 2026 uit drie soorten aanbieders: nichekantoren van advocaten voor de juridische toetsing, gespecialiseerde privacyadviesbureaus en DPO-dienstverleners, en cybersecuritybedrijven die de technische verificatie van artikel 32 uitvoeren. Voor een volledige audit combineert u doorgaans juridische en technische expertise.

Hoelang duurt een GDPR-audit voor een Vlaamse kmo?

Voor een kmo met 10 tot 100 medewerkers duurt een audit doorgaans twee tot vier weken, gerekend van de opstart en documentenverzameling tot de eindrapportage met actieplan.

Mag de GBA onaangekondigd binnenvallen?

Ja. De Inspectiedienst heeft de wettelijke bevoegdheid om onaangekondigd onderzoeken ter plaatse in te stellen, informaticasystemen te raadplegen en te kopiëren, en daarbij politiebijstand te vorderen.

Moet een kmo een DPO aanstellen?

Niet standaard. Dat is enkel verplicht wanneer de kernactiviteiten bestaan uit grootschalige regelmatige monitoring of grootschalige verwerking van gevoelige gegevens. Vrijwillige aanstelling kan altijd.

Hoelang mag de mailbox van een ex-werknemer blijven bestaan?

De GBA hanteert als vuistregel maximaal ongeveer één maand na vertrek, uitsluitend voor zakelijke continuïteit. Langer bewaren en zeker actief monitoren leidt tot sancties.

Volstaat een ISO 27001-certificaat als GDPR-bewijs?

Het levert sterk technisch bewijs voor artikel 32, maar dekt de juridische vereisten zoals het verwerkingsregister en de rechten van betrokkenen niet af. Beide zijn nodig.

Is pseudonimiseren voldoende bij een verwijderingsverzoek?

Nee. De GBA stelt dat pseudonimisering geen definitieve wissing is onder artikel 17 zolang heridentificatie technisch mogelijk blijft.

Wat riskeert u bij een foutief ingevulde klantvragenlijst?

Onjuiste verklaringen kunnen leiden tot contractbreuk, onmiddellijke opzegging van leverancierscontracten en aansprakelijkheidsclaims wanneer er zich later een beveiligingsincident voordoet.