De vrijstelling voor kleine organisaties bestaat bijna niet
Artikel 30, lid 5 lijkt organisaties onder de 250 medewerkers vrij te stellen, maar de uitzonderingen daarop — niet-incidentele verwerking, bijzondere categorieën van gegevens, verwerking met risico voor de rechten van betrokkenen — dekken vrijwel elke onderneming. Personeelsadministratie en klantenbeheer zijn per definitie niet incidenteel. De praktische conclusie: ga ervan uit dat het register verplicht is, en gebruik de vrijstelling niet als argument.
Wat er per verwerking in moet
- Doeleinden van de verwerking
- Categorieën betrokkenen en categorieën persoonsgegevens
- Categorieën ontvangers
- Doorgiften naar derde landen en de bijbehorende waarborgen
- Beoogde bewaartermijnen
- Technische en organisatorische beveiligingsmaatregelen (algemene beschrijving)
Het veld dat het vaakst leeg blijft is de bewaartermijn, en het is juist het veld waar een controle op doorvraagt. Een termijn die alleen in het hoofd van iemand bestaat is geen termijn; hij hoort naast het doel te staan, met de bepaling waaruit hij volgt.
Verwerkingsverantwoordelijke of verwerker
De verwerkingsverantwoordelijke documenteert zijn eigen verwerkingen; de verwerker documenteert de categorieën verwerkingen die hij namens elke opdrachtgever uitvoert. Eén organisatie kan beide rollen hebben — en dus beide registers moeten bijhouden. Bij dienstverleners is dat eerder regel dan uitzondering: verwerkingsverantwoordelijke voor het eigen personeel, verwerker voor de klantgegevens die zij verwerken.
Spreadsheet of eigen software
Eén register per klant, met evaluatiemomenten
In DPO Workspace heeft elke klant zijn eigen register van artikel 30, gekoppeld aan documenten, effectbeoordelingen en datalekken. Import vanuit Excel of CSV, export met rechtsgrond en wetsartikel. 30 dagen gratis, geen creditcard nodig.
Gratis proberenVeelgestelde vragen
Is het verwerkingsregister ook verplicht voor kleine organisaties?
Artikel 30, lid 5 AVG stelt organisaties met minder dan 250 medewerkers formeel vrij, maar de uitzonderingen op die vrijstelling — verwerking die niet incidenteel is, bijzondere categorieën van gegevens, verwerking die een risico inhoudt voor de rechten van betrokkenen — omvatten in de praktijk vrijwel elke bedrijfsvoering. Personeel, klanten en leveranciers zijn geen incidentele verwerkingen. Voor de meeste Nederlandse organisaties is het register dus feitelijk verplicht, ongeacht de omvang.
Wat moet het register van de verwerkingsverantwoordelijke bevatten?
Voor elke verwerking (art. 30, lid 1): de doeleinden; de categorieën betrokkenen en de categorieën persoonsgegevens; de categorieën ontvangers; eventuele doorgiften naar derde landen met de bijbehorende waarborgen; de beoogde bewaartermijnen; en een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen. Daarnaast de contactgegevens van de verwerkingsverantwoordelijke, van eventuele gezamenlijke verwerkingsverantwoordelijken, van de vertegenwoordiger en van de FG.
Is een spreadsheet genoeg om het register bij te houden?
Formeel wel — de AVG vraagt een schriftelijke vorm, elektronisch daaronder begrepen. In de praktijk voldoet een spreadsheet zolang er weinig verwerkingen zijn en één verwerkingsverantwoordelijke. Zodra er meer klanten bij komen, met periodieke evaluaties en verbanden met effectbeoordelingen en datalekken, wordt de spreadsheet het zwakke punt: versies lopen uiteen, termijnen worden gemist en er blijft geen bruikbaar spoor over voor een controle.
Waarin verschilt het register van de verwerker?
De verwerkingsverantwoordelijke documenteert zijn EIGEN verwerkingen (art. 30, lid 1); de verwerker documenteert de categorieën verwerkingen die hij NAMENS elke verwerkingsverantwoordelijke uitvoert (art. 30, lid 2). Eén organisatie kan beide registers moeten bijhouden: als verwerkingsverantwoordelijke voor het eigen personeel en de eigen klanten, en als verwerker voor de diensten die zij aan anderen levert.
Wie controleert het verwerkingsregister in Nederland?
De Autoriteit Persoonsgegevens. Het register is doorgaans het eerste document waar een toezichthouder bij aanvang van een onderzoek om vraagt, en daarom moet het actueel zijn en niet op het laatste moment worden samengesteld.