Kan de Autoriteit Persoonsgevens of een andere waakhond niet gewoon een keer een brief sturen naar elke medische instantie die nog geen externe controle heeft laten uitvoeren? of misschien dat als jezelf opgeeft bij de KVK als verwerkende persoonsgegevens dat je daarna verplicht bent om elk jaar minstens 1 controle uit te voeren die centraal wordt geregistreerd?