Het verwerkingsregister is een van de weinige AVG-verplichtingen waar je direct op aangesproken kunt worden. Vraagt de Autoriteit Persoonsgegevens ernaar, dan moet je het kunnen laten zien. Geen register betekent geen discussie: je voldoet niet.
Toch is het in veel organisaties een spreadsheet die ooit is gemaakt en daarna nooit meer is bijgewerkt. In dit artikel: wat erin moet, waar het misgaat, en hoe je het levend houdt.
Let op de term. In de wet heet het register van verwerkingsactiviteiten (artikel 30 AVG). In de praktijk hoor je zowel "verwerkingsregister" als "verwerkersregister". Dat laatste is strikt genomen onjuist (een verwerkersregister zou een lijst van je verwerkers zijn), maar iedereen bedoelt hetzelfde document.
Moet jouw organisatie er een hebben?
Artikel 30 lid 5 kent een uitzondering voor organisaties met minder dan 250 medewerkers. Maar die uitzondering vervalt zodra een van deze drie situaties speelt:
- De verwerking is niet incidenteel, dus structureel, zoals een personeelsadministratie of klantenbestand
- De verwerking brengt een risico mee voor de rechten en vrijheden van betrokkenen
- Het gaat om bijzondere persoonsgegevens of strafrechtelijke gegevens
In de praktijk betekent dit dat vrijwel elke organisatie een register moet bijhouden. Heb je personeel in dienst, dan verwerk je structureel persoonsgegevens en val je al onder de eerste uitzondering.
Wat moet erin staan?
Artikel 30 lid 1 noemt zes onderdelen voor de verwerkingsverantwoordelijke:
| Onderdeel | Voorbeeld |
|---|---|
| Naam en contactgegevens | Van jouw organisatie, eventueel van de FG |
| Doel van de verwerking | "Salarisadministratie en loonaangifte" |
| Categorieën betrokkenen en gegevens | "Medewerkers: NAW, BSN, bankrekening, loongegevens" |
| Ontvangers | "Salarisadministratiekantoor, Belastingdienst, pensioenuitvoerder" |
| Doorgifte naar derde landen | "Geen" of de landnaam met de gebruikte waarborg |
| Bewaartermijnen | "Loonadministratie: 7 jaar na einde dienstverband" |
| Beveiligingsmaatregelen | Algemene beschrijving conform artikel 32 |
Ben je zelf verwerker voor een ander, dan geldt lid 2 en houd je een eenvoudiger register bij: welke categorieën verwerkingen je voor welke opdrachtgever uitvoert.
Waar het in de praktijk misgaat
Het register en de contracten leven gescheiden
Dit is de kern van het probleem. In je register staat "salarisadministratie, ontvanger: extern kantoor". In een mailbox of gedeelde map staat de bijbehorende verwerkersovereenkomst. Die twee weten niets van elkaar.
Gevolg: wissel je van leverancier, dan wordt het contract wel opgezegd maar het register niet bijgewerkt. Of andersom. Bij een audit zie je dat direct, want de twee spreken elkaar tegen.
Niemand is eigenaar per regel
Een register met veertig verwerkingen en één verantwoordelijke ("de FG") wordt niet onderhouden. Per verwerking hoort iemand aanwijsbaar te zijn: de HR-manager voor de personeelsadministratie, de marketingmanager voor de nieuwsbrief.
Bewaartermijnen staan er als "conform wettelijke termijn"
Dat is geen bewaartermijn, dat is een verwijzing. Zet er het aantal jaren neer en waar die termijn vandaan komt. Meer over de termijnen zelf staat in ons artikel over hoe lang je contracten moet bewaren.
Er is geen moment waarop je ernaar kijkt
Een register is een momentopname. Zonder een vaste herbeoordeling (jaarlijks is gebruikelijk) veroudert hij binnen een half jaar.
Zo houd je het actueel
De AVG schrijft geen vorm voor. Een spreadsheet mag. Maar een register wordt pas betrouwbaar als het gekoppeld is aan de onderliggende afspraken en aan een eigenaar met een deadline.
- Koppel elke verwerking aan het contract of de verwerkersovereenkomst waar hij uit voortkomt
- Wijs per verwerking een eigenaar aan, geen afdeling maar een persoon
- Zet de bewaartermijn in jaren, met de grondslag erbij
- Plan een jaarlijkse herbeoordeling met een concrete datum
- Leg vast wanneer een verwerking is gestopt, niet alleen wanneer hij begon
- Controleer bij elke nieuwe leverancier of er een verwerking bijkomt
Dat laatste punt is waar de meeste winst zit. Nieuwe verwerkingen ontstaan bij de inkoop van een nieuwe tool. Als die inkoop langs een vast proces loopt, kun je op dat moment vaststellen of het register bijgewerkt moet worden, in plaats van er een jaar later achter te komen.
Waar contractbeheer helpt
Het register zelf is een privacydocument, geen contractdocument. Maar de twee delen bijna al hun gegevens: welke leverancier, welk doel, welke termijn, wie is eigenaar, wanneer loopt het af.
In Looop leg je de onderliggende verwerkersovereenkomsten vast als eigen contracttype, gekoppeld aan de relatie waar ze bij horen. Daarmee wordt een aantal dingen makkelijker:
- Je ziet in één filter welke verwerkersovereenkomsten er lopen en bij wie
- Taken met een eigenaar en een deadline laten je de jaarlijkse herbeoordeling inplannen, per verwerking, in plaats van als één grote klus
- Verloopmeldingen waarschuwen je als een overeenkomst afloopt, zodat je het register kunt bijwerken op het moment dat er iets verandert
- Rapportages laten zien hoeveel van dit type contracten je hebt en wat er komend kwartaal afloopt
Voor een juridisch team dat het register beheert is deze pagina een goed startpunt.
Contractmanagementsoftware is geen vervanging van je register. Het is de bron waaruit je het register betrouwbaar kunt bijwerken. De juridische beoordeling blijft mensenwerk.
Beginnen zonder eindeloos project
Een compleet register bouwen voelt als een groot project, en dat is precies waarom het blijft liggen. Een werkbare aanpak:
- Begin bij je leverancierslijst. Vrijwel elke verwerking hangt aan een contract met een externe partij.
- Voeg je interne verwerkingen toe. Personeelsadministratie, verzuim, sollicitaties, cameratoezicht, toegangspassen.
- Vul per regel eerst doel, gegevens en ontvanger in. Bewaartermijnen en beveiligingsmaatregelen kun je in een tweede ronde aanscherpen.
- Zet er een herbeoordelingsdatum op en wijs een eigenaar aan.
Weet je niet hoeveel contracten en documenten er binnen je organisatie rondgaan, dan helpt de contractchecklist op onze pagina over de ROI-berekening. Die loopt elf categorieën langs en is bedoeld om precies dit soort inventarisaties compleet te krijgen.
Veelgestelde vragen
- Is een verwerkingsregister verplicht?
- Voor vrijwel elke organisatie wel. Artikel 30 AVG kent een uitzondering onder de 250 medewerkers, maar die vervalt bij structurele verwerkingen, zoals een personeelsadministratie, bij risicovolle verwerkingen en bij bijzondere persoonsgegevens.
- Wat moet er in een verwerkingsregister staan?
- Naam en contactgegevens, het doel van elke verwerking, de categorieën betrokkenen en gegevens, de ontvangers, doorgifte naar derde landen, de bewaartermijnen en een algemene beschrijving van de beveiligingsmaatregelen.
- Hoe houd je een verwerkingsregister actueel?
- Koppel elke verwerking aan het contract of de verwerkersovereenkomst waar hij uit voortkomt, wijs per verwerking een eigenaar aan, zet bewaartermijnen in jaren, plan een jaarlijkse herbeoordeling en controleer bij elke nieuwe leverancier of er een verwerking bijkomt.
