Het verwerkingsregister onder de AVG: wanneer is het verplicht?

Wanneer is een verwerkingsregister verplicht? 

Artikel 30 begint met te stellen dat iedereen die verantwoordelijk is voor verwerking van persoonsgegevens verplicht is een verwerkingsregister bij te houden. Lid 5 geeft daarop wel een uitzondering, maar die is heel beperkt. Hoewel er meer criteria zijn, is er één het belangrijkste voor de vraag of een verwerkingsregister verplicht is, namelijk of er uitsluitend incidentele verwerking van persoonsgegevens plaatsvindt. 

De conclusie is dat bijna ieder bedrijf verplicht is een verwerkingsregister te hebben. Voor een zelfstandige die voor een beperkt aantal opdrachtgevers werkt en geen acquisitie-database of andere databases houdt met persoonsgegevens, en uitsluitend incidentele verwerkingen heeft, is het niet verplicht. Maar veel andere uitzonderingen zullen niet bestaan. Voor de meeste ondernemingen is dus duidelijk wanneer zij verplicht zijn een verwerkingsregister bij te houden.

Twee soorten verwerkingsregisters 

Er zijn twee soorten verwerkingsregisters: Een soort voor verwerkingsverantwoordelijken en een voor verwerkers. De verantwoordelijke is de organisatie die de persoonsgegevens verwerkt voor haar eigen doelen. Een organisatie die bijvoorbeeld voor het genereren van loonstroken een cloudapplicatie gebruikt, is verantwoordelijk voor de verwerking van de betrokken persoonsgegevens. 

De aanbieder van het cloudsysteem is weliswaar verantwoordelijk voor het systeem dat deze gegevens verwerkt, maar hij heeft geen eigen doel voor de inhoud van de persoonsgegevens. Hij is dan een ‘verwerker’, die slechts ten behoeve van de verantwoordelijke de betreffende persoonsgegevens verwerkt. Ook voor verwerkers is het daarom van belang om te beoordelen of en wanneer een verwerkingsregister verplicht is.

Welke gegevens leg je vast in een verwerkingsregister? 

Voor iedere verwerking met een eigen verwerkingsdoel (of gekoppelde doelen) moeten gegevens worden vastgelegd. Nogmaals: puur gerelateerd aan de persoonsgegevens in kwestie, niet aan bredere bedrijfsdoelen of systeemdoelen. Gegevens die vereist zijn per verwerking zijn:

• Als er een medeverantwoordelijke is, de gegevens daarover

• Het doel (of doelen)

• Categorieën van mensen wiens gegevens verwerkt worden 

• De categorieën van gegevens die verwerkt worden

• (Categorieën van) ontvangers van de persoonsgegevens, met vermelding of dat buiten de EU is (verwerkers, medeverantwoordelijken en overige derde ontvangers).

• Voor doorgiften buiten de EU de details ervan, onder meer de rechtsgrond voor de doorgifte

• Bewaartermijnen

• Beveiligingsmaatregelen

Voor de verwerker is het wat beperkter, omdat deze niet alle bovenstaande gegevens zal kunnen kennen. 

Het verwerkingsregister als onderdeel van AVG-compliance 

In de praktijk zijn ondernemingen zonder register meestal niet volledig AVG-compliant. Als je een register maakt en onderhoudt, ben je verplicht allerlei zaken te controleren. In de praktijk leggen de meeste ondernemingen meer gegevens vast dan wat artikel 30 eist, bijvoorbeeld de rechtsgrondslag (en separaat die voor bijzondere persoonsgegevens). Dat is nuttig om direct te zien of de verwerking rechtmatig is of niet. 

Een verwerkingsregister vormt daarmee een belangrijk onderdeel van een goede privacy- en compliance-inrichting binnen een organisatie. Daarom is het niet alleen belangrijk om te weten wanneer een verwerkingsregister verplicht is, maar ook om het register goed in te richten en bij te houden.

Conclusie

In de praktijk moet nagenoeg iedere ondernemer een verwerkingsregister hebben. Vooral als de onderneming grotere hoeveelheden persoonsgegevens verwerkt, of gegevens die als ‘gevoelig’ beschouwd verwerkt, is het aan te bevelen professionele ondersteuning in te schakelen om te zorgen dat er een is. 

Heb je vragen over het verwerkingsregister of andere verplichtingen uit de AVG? Onze privacyrechtadvocaten helpen je graag bij het inrichten van een goede privacyhuishouding.