R-01 Verwerkingsregister
AVG Register Pro maakt van je losse aannames een verwerkingsregister en een datalekregister die je zonder aarzelen aan de Autoriteit Persoonsgegevens laat zien.
| Nr | Verwerking | Grondslag | Bewaren | Status |
|---|---|---|---|---|
| V-01 | Personeelsdossiers | Wettelijke plicht | 7 jaar | Compleet |
| V-02 | Klanten en facturatie | Overeenkomst | 7 jaar | Compleet |
| V-03 | Nieuwsbrief | Toestemming | Tot intrekking | Aanvullen |
| V-04 | Sollicitaties | Toestemming | Eigen termijn | Compleet |
Geschetste weergave. Elke regel bewaart doel, grondslag, categorieen betrokkenen, ontvangers, doorgifte en bewaartermijn.
R-02 Het probleem
De AVG geldt sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. Toch begint het gesprek bij veel organisaties met dezelfde zin: er is ooit iets ingevuld, en sindsdien heeft niemand het aangeraakt.
Het register staat in een map op de laptop van iemand die twee reorganisaties geleden vertrok. Nieuwe tools, nieuwe leveranciers en nieuwe formulieren zijn er nooit bij gekomen.
De boekhouder wijst naar de directie, de directie wijst naar het systeembeheer. Zonder een vaste eigenaar per verwerking wordt geen enkele regel actueel gehouden.
Een laptop verdwijnt of een e-mail gaat naar de verkeerde lijst. Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, en dan blijkt dat niemand weet welke gegevens er precies in zaten.
Artikel 30 AVG kent een uitzondering onder 250 medewerkers, maar die vervalt zodra de verwerking niet incidenteel is, een risico oplevert of bijzondere persoonsgegevens betreft. In de praktijk geldt de plicht daardoor bijna altijd.
R-03 De aanpak
Je hoeft geen jurist te zijn om een register te maken dat klopt. Je hebt een vaste volgorde nodig en een plek waar de antwoorden blijven staan.
Je loopt langs personeel, klanten, website, leveranciers en camerabeelden met kant-en-klare sjablonen. Elke verwerking wordt een regel met een eigen nummer.
Per regel leg je doel, grondslag, categorieen betrokkenen, ontvangers en bewaartermijn vast. De software vraagt door zolang een veld leeg blijft.
Verwerkers krijgen een eigen kaart met hun verwerkersovereenkomst volgens artikel 28 AVG en de landen waar zij gegevens verwerken. Zo zie je welke leverancier bij welke regel hoort.
Twee keer per jaar krijgt de eigenaar van elke regel een herinnering. Wijzigingen worden bewaard als versie, zodat je later kunt laten zien wat wanneer gold.
R-04 Functies
Geen brede privacysuite, maar de zeven onderdelen die je nodig hebt om te laten zien dat je administratie op orde is.
Elke verwerking krijgt doel, grondslag, categorieen betrokkenen en persoonsgegevens, ontvangers, doorgifte buiten de Europese Unie en bewaartermijn. Een regel blijft onvolledig gemarkeerd zolang er een veld ontbreekt.
Vanaf het moment van ontdekking loopt een tijdlijn mee naar de grens van 72 uur. Je legt vast wat er gebeurd is, welke maatregelen zijn genomen en of melden nodig was.
Per leverancier bewaar je de verwerkersovereenkomst, de subverwerkers, de locatie van de verwerking en de opzegdatum. Elke kaart is gekoppeld aan de registerregels waar hij bij hoort.
Je kiest per regel een termijn en legt de reden erbij vast, bijvoorbeeld de fiscale bewaarplicht van 7 jaar. Bij het verstrijken krijgt de eigenaar bericht om op te schonen.
Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar krijgen een eigen dossier met de termijn van een maand, plus de verlenging van maximaal twee maanden als die nodig is.
Een druk op de knop levert het hele register als pdf met datum en versienummer, en als csv voor je eigen analyse. Handig voor de accountant, de verzekeraar en de toezichthouder.
Elke wijziging wordt bewaard met wie, wat en wanneer. Je bepaalt zelf wie mag lezen, wie mag wijzigen en wie eigenaar is van welke registerregel.
R-05 Wat het oplevert
Privacy is voor de meeste organisaties geen doel op zich. Het gaat erom dat je een vraag kunt beantwoorden zonder je agenda leeg te vegen.
Vraagt een klant, een verzekeraar of de toezichthouder wat je met gegevens doet? Je opent het register, exporteert de pdf en stuurt hem door.
Bij een datalek weet je meteen welke verwerking is geraakt, welke gegevens erin zitten en welke verwerker erbij betrokken is.
Verantwoordelijkheid staat niet meer bij iedereen en dus bij niemand. Elke regel heeft een naam en een datum waarop hij weer gecontroleerd wordt.
Register, verwerkersovereenkomsten, datalekken en verzoeken van betrokkenen staan op een plek in plaats van in vier mappen en twee mailboxen.
Versiebeheer laat zien wat er wanneer gold. Dat scheelt discussie als iemand achteraf vraagt hoe het vorig jaar geregeld was.
De velden staan in gewoon Nederlands. Je hebt geen juridisch woordenboek nodig om te begrijpen wat je invult en waarom.
R-06 Eerlijk over de grenzen
We tonen geen logo's van klanten en geen sterren. Wel wat de software doet, wat ze niet doet en welke regels erachter zitten.
Je verwerkingsregister, je datalekregister, je verwerkersovereenkomsten en de verzoeken van betrokkenen bijhouden, met versies en export. Administratie die klaarligt op het moment dat iemand ernaar vraagt.
Geen juridisch advies, geen automatische goedkeuring en geen vervanging van een functionaris gegevensbescherming. Of een verwerking rechtmatig is, beoordeel je zelf of laat je beoordelen.
Het verwerkingsregister volgt artikel 30 AVG, de verwerkersovereenkomst artikel 28 AVG en de data protection impact assessment artikel 35 AVG. Bijzondere persoonsgegevens, waaronder gezondheidsgegevens, vallen onder artikel 9 AVG.
Op servers binnen de Europese Unie. De AVG is leidend, wij treden op als verwerker en sluiten met elke klant een verwerkersovereenkomst. Toezichthouder in Nederland is de Autoriteit Persoonsgegevens.
De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat maximum geldt voor zware overtredingen, maar een ontbrekend register blijft het slechtste startpunt van een gesprek met de toezichthouder.
AVG Register Pro is een uitgave van MLJ. De software en deze artikelen worden gemaakt door Jimenez Julien. Lees op de pagina over de auteur van AVG Register Pro hoe hij werkt en waarom hij dit onderwerp kent.
Geschetste situatie, geen klantverhaal
Stel: een tandartspraktijk krijgt een e-mail van een oud-patient die inzage vraagt in zijn dossier. De praktijkmanager opent het register, ziet dat de verwerking Patientendossiers als grondslag de overeenkomst en een wettelijke plicht heeft, ziet welk softwarepakket de verwerker is, en opent een verzoekdossier met de termijn van een maand. Binnen tien minuten weet zij wie wat moet doen.
Dit voorbeeld hebben wij zelf opgesteld om de werkwijze te laten zien. Het is geen weergave van een bestaande klant en bevat geen echte gegevens.
R-07 Tarieven
Alle bedragen zijn per maand en exclusief btw. Het datalekregister zit in elk pakket, want een lek houdt geen rekening met je abonnement.
19euro per maand
Voor de kleine organisatie die haar register eindelijk compleet wil hebben.
39euro per maand
Voor praktijken en bedrijven met bijzondere persoonsgegevens en meerdere verwerkers.
79euro per maand
Voor organisaties met meerdere vestigingen, afdelingen of aangesloten stichtingen.
Twijfel je welk pakket past? Vraag een offerte op maat aan via het formulier, dan kijken we samen naar het aantal verwerkingen en gebruikers.
R-08 Veelgestelde vragen
Bijna altijd. Artikel 30 AVG kent een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft. Personeels- en klantgegevens verwerk je zelden incidenteel, dus in de praktijk geldt de plicht bijna altijd.
De Autoriteit Persoonsgegevens kan je register opvragen en dan moet je het kunnen overleggen. AVG Register Pro exporteert het hele register als pdf met datum en versienummer, zodat je binnen een paar minuten laat zien wat je verwerkt, waarom en op welke grondslag.
Ja, het datalekregister zit in elk pakket. Elk incident krijgt een tijdlijn vanaf het moment van ontdekking, want melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Intern registreren moet je elk datalek.
Nee. AVG Register Pro is administratie, geen juridisch advies. De software zorgt dat je register compleet, actueel en aantoonbaar is. Of een verwerking rechtmatig is, blijft een beoordeling die je zelf maakt of laat maken.
Op servers binnen de Europese Unie. De AVG is leidend, wij treden op als verwerker en sluiten met elke klant een verwerkersovereenkomst volgens artikel 28 AVG. Je bepaalt zelf welke collega mag lezen en wie mag wijzigen.
De meeste organisaties vullen een eerste versie in een dagdeel, met de sjablonen voor personeel, klanten, website en leveranciers als vertrekpunt. Daarna kost bijhouden een kort rondje langs de wijzigingen, twee keer per jaar.
Je exporteert alles als pdf en als csv, ook na opzegging. Het register blijft jouw document, wij houden het alleen bij en bewaren de opeenvolgende versies.
R-09 Uit het blog
Praktische stukken over het register, datalekken en verwerkersovereenkomsten, geschreven voor mensen zonder privacyafdeling.
Veelgestelde vragen
Wanneer heb je een verwerkersovereenkomst nodig, wat hoort erin en hoe koppel je die aan je register?
Praktijkvoorbeeld
Een geschetst voorbeeld met gezondheidsgegevens, verwerkers en een werkbare indeling per verwerking.
Kosten en budget
Licentie, invoertijd en onderhoud naast elkaar, plus de prijs van een register dat er niet is.
R-10 Contact
Vertel in een paar zinnen wat voor organisatie je bent, welke gegevens je verwerkt en waar het nu vastloopt. Dan laten we in een demo van een half uur zien hoe je register eruit zou zien in AVG Register Pro, met jouw eigen verwerkingen als voorbeeld.
Je zit nergens aan vast. Een aanvraag via dit formulier is vrijblijvend en levert je in elk geval een overzicht op van de velden die je nu nog mist.
Liever gewoon mailen? Dat kan naar jimenezjulien42@gmail.com. Je krijgt binnen twee werkdagen antwoord van een mens.