Assurancerapport Privacy Audit Pi-NL 2020-2023

De Auditdienst Rijk (ADR) heeft in 2024 een privacy audit uitgevoerd inzake de passagiersgegevens die de Passagiersinformatie-eenheid Nederland (Pi-NL) verwerkt in opdracht van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV). De Pi-NL verwerkt passagiersgegevens (zogenoemde Passenger Name Record) om de mogelijke betrokkenheid van luchtvaartpassagiers bij een terroristisch misdrijf of andere vormen van ernstige criminaliteit te kunnen voorkomen, opsporen, onderzoeken en vervolgen. Deze verwerkingen vallen onder de reikwijdte van de wet 'gebruik van passagiersgegevens voor de bestrijding van terroristische en ernstige misdrijven' (PNR-wet). De privacy audit is uitgevoerd in het kader van de PNR-wet en de artikelen uit de Wpg die van overeenkomstige toepassing zijn verklaard. De ADR onderzocht of de betrokken instanties voldoen aan de procedures en maatregelen die zijn opgenomen in bovenstaande wetten. De ADR heeft voor de privacy audit gekeken naar de periode tussen 1 januari 2020 tot en met 31 december 2023. Assurancerapport Privacy Audit Pi-NL 2020-2023

Veranderende wet- en regelgevingCybersecurity en gegevensbeveiligingGovernance en verslaggeving

Waarom deze indeling: De audit toetst de naleving van de PNR-wet en de van overeenkomstige toepassing verklaarde Wpg-artikelen en leidt tot een oordeel met beperking, met een wettelijk verplichte hercontrole binnen een jaar (Wet & regelgeving). De bevindingen met risico midden betreffen gegevensbeveiliging: ontbrekende procesbeschrijving en periodieke controles op autorisaties, naast tekortkomingen in de datalekprocedure 2020-2022 (Cyber & data). Het tekortschieten van beheersingsmaatregelen in opzet, bestaan en werking en gebreken in verwerkingsregister en documentatieplicht raken de interne beheersing en verantwoording (Governance).

Toegekend met een AI-model (Fable 5) op basis van de zestien thema's van Risk in Focus; niet door mensen gevalideerd. Om de labels beter te onderbouwen gaan we ze gefaseerd herbeoordelen met een tweede, onafhankelijk model van een andere aanbieder (OpenAI naast Anthropic); vanwege tokenlimieten gebeurt dat stapsgewijs. Ziet u een fout? Laat het weten.

Ministerie

Ministerie van Justitie en Veiligheid

Onderdeel volgens het rapport

PI-NL (Passagiersinformatie-eenheid Nederland)

Bron

Auditdienst Rijk

Toegepaste standaard

NOREA 3000D

Datum

2024-09-24

Het rapport zelf

originele publicatie

Omschrijving

officiële omschrijving, overgenomen van de publicatiepagina

Risicolabels

toegekend met een AI-model (Fable 5) volgens de zestien thema's van Risk in Focus (ECIIA), niet door mensen gevalideerd

Bijgewerkt

augustus 2026