Zevenenzeventig vakken: wat een FG werkelijk archiveert, en waarom eenendertig niet volstonden

Waar dit vandaan komt

Een archief met eenendertig vakken lijkt compleet tot je het op een echte zaak gebruikt. Dan merk je dat verzamelde toestemmingen in «Overige documenten» belanden, dat het vakbondsakkoord over cameratoezicht geen eigen plek heeft, en dat de doorgifte-effectbeoordeling — die sinds Schrems II elke modelcontractbepaling vergezelt — nergens staat. «Overige documenten» is het vak waarin alles sterft wat de ontwerper niet had voorzien.

De vier die het zwaarst wogen

• Geautomatiseerde besluiten en profilering (art. 22). Met scoring, cv-filters en antifraudesystemen is het overal, en de boete van achthonderdvijfentwintig miljoen die dezer dagen in Nederland viel gaat precies hierover. Het had geen vak.
• Biometrische verwerkingen. Die vragen een eigen beoordeling en belandden in «Beveiligingsmaatregelen», waar niemand ze zoekt.
• Register van toegang en logbestanden. Het is het eerste bewijs dat wordt gevraagd bij een vermeende onrechtmatige toegang, en tevens de plicht die op systeembeheerders rust.
• Anonimisering en pseudonimisering. Bijna altijd beweerd, bijna nooit vastgelegd: het punt waarop toezichthouders de afgelopen twee jaar de meeste verdedigingen hebben ontmanteld.

En dan de rest

Vakbondsakkoorden en toestemmingen voor controle op afstand — zonder die zijn cameratoezicht en plaatsbepaling stroomopwaarts onrechtmatig, nog vóór de AVG. Het register van inbreuken uit art. 33 lid 5, een zelfstandige plicht die niet opgaat in de afhandeling van één incident. Middelen en onafhankelijkheid van de FG uit art. 38, de eerste vraag bij elke toetsing van de functie. Verzamelde toestemmingen en intrekkingen als het bewijs dat art. 7 lid 1 verlangt. En verder: informatie aan sollicitanten, kinderen, melders; systeembeheerders; vertegenwoordiger in de Unie; kaart van gegevensstromen; gegevensclassificatie; kwetsbaarheidstests; privacy by design in projecten; incidentresponsplan; mededelingen aan betrokkenen uit art. 34; cyberpolis; periodiek verslag van de FG.

Waarom de pagina opnieuw is gebouwd

Zevenenzeventig tegels in een raster vormen een muur, geen lijst. De gebieden zitten nu in zes families die overeenkomen met de zes dingen die een verwerkingsverantwoordelijke moet kunnen aantonen, en boven elke familie staat een mozaïek: één tegel per gebied, gevuld als er documenten in zitten. Het is geen illustratie uit een bibliotheek maar het portret van die klant, en het verandert terwijl u werkt. Een archieffoto zou voor iedereen gelijk zijn en niets zeggen.

Welke familie er het slechtst voor staat kiezen wij niet: dat doet de code, op basis van de dekking, en die stijgt naar boven met de volle kleur en een knop die meteen het eerste lege gebied opent. De andere vijf blijven bewust monochroom. Zes kleuren voor zes families waren zes kleuren die niets zeiden; kleur wordt door één ding per scherm gebruikt, en daarom valt het op.