Klopt het dat je onder 250 medewerkers geen verwerkingsregister hoeft bij te houden?

De uitzondering bestaat echt: artikel 30 AVG noemt organisaties met minder dan 250 medewerkers. Alleen staat er direct achter wanneer die uitzondering vervalt, en die voorwaarden gelden voor bijna elk gewoon bedrijf. Dit artikel laat zien wat er precies staat, waarom de vlieger zelden opgaat en wat je dan wel moet doen.

Wat artikel 30 AVG letterlijk regelt

Artikel 30 AVG verplicht organisaties een register bij te houden van de verwerkingen die onder hun verantwoordelijkheid vallen. Dat register beschrijft per verwerking het doel, de categorieen betrokkenen en persoonsgegevens, de ontvangers, eventuele doorgifte buiten de Europese Unie en de bewaartermijn.

Vervolgens komt de bepaling waar veel ondernemers over struikelen: de plicht geldt niet voor een organisatie met minder dan 250 medewerkers. Wie daar stopt met lezen, concludeert dat een bedrijf met acht mensen niets hoeft. Maar de zin gaat verder, en juist die staart bepaalt de praktijk.

De uitzondering vervalt namelijk zodra een van deze drie situaties zich voordoet: de verwerking is niet incidenteel, de verwerking houdt een risico voor de rechten en vrijheden van betrokkenen in, of het gaat om bijzondere persoonsgegevens. Het zijn geen cumulatieve voorwaarden. Een van de drie is al genoeg om de plicht terug te laten komen.

Waarom de uitzondering bijna nooit opgaat

Kijk naar wat een gewone organisatie dagelijks doet en de conclusie ligt er snel. De AVG geldt sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. In al die jaren is er nauwelijks een bedrijf gevonden dat aan alle drie de voorwaarden ontsnapt.

Wat incidenteel in de praktijk betekent

Incidenteel is geen synoniem voor klein of onbelangrijk. Het woord slaat op de frequentie en op de vraag of de verwerking bij je normale bedrijfsvoering hoort. Een verwerking die elke maand terugkeert, die in een systeem is ingericht of die aan een lopend contract vastzit, is per definitie niet incidenteel.

Een eenmalige actie die daarna nooit meer voorkomt kan incidenteel zijn: het adressenlijstje voor een jubileum dat je na afloop weggooit, bijvoorbeeld. Zodra je die lijst bewaart voor een volgende keer, is het argument weg. En dat is precies wat er in de praktijk gebeurt, want weggooien doet vrijwel niemand.

Personeelsgegevens zijn nooit incidenteel

Heb je ook maar een werknemer, dan verwerk je iedere maand loongegevens, iedere ziekmelding en iedere verlofaanvraag. Dat is structureel werk, geen incidentele handeling. Loondoorbetaling bij ziekte loopt bovendien op tot maximaal 104 weken, dus ook verzuimdossiers zijn langlopend en terugkerend.

Klantadministratie evenmin

Facturen sturen, adressen bewaren, betalingen bijhouden: het gebeurt week in week uit. Bovendien geldt voor je administratie een bewaarplicht van 7 jaar, en voor gegevens over onroerende zaken 10 jaar. Een verwerking die je jarenlang moet bewaren, kun je moeilijk incidenteel noemen.

Bijzondere persoonsgegevens zitten dichterbij dan je denkt

Artikel 9 AVG noemt onder meer gezondheidsgegevens. Zodra je verzuim registreert, een bedrijfsarts inschakelt of in een praktijk werkt met dossiers van patienten, zit je in die categorie. Ook een vereniging die dieetwensen of medische bijzonderheden van deelnemers bijhoudt, raakt dit artikel.

Veelgehoorde situaties en de vraag of de uitzondering standhoudt

Situatie	Wat er aan de hand is	Uitzondering?
Bedrijf met drie werknemers	Maandelijkse loonadministratie en verzuim	Nee, structureel en bijzondere gegevens
Eenmanszaak met vaste klanten	Facturatie en klantcontact het hele jaar door	Nee, niet incidenteel
Vereniging met vrijwilligers	Ledenadministratie en incasso van contributie	Nee, doorlopende verwerking
Praktijk in de zorg	Dossiers met gezondheidsgegevens	Nee, artikel 9 AVG
Stichting die eenmalig een enquete afneemt	Geen personeel, geen vervolg, anonieme antwoorden	Mogelijk, maar zeldzaam

De uitzondering geldt per verwerking, niet per organisatie

Dit is het punt dat het vaakst wordt gemist. De vrijstelling hangt niet aan je bedrijf maar aan de afzonderlijke verwerking. Zelfs als een van je verwerkingen echt incidenteel en risicoloos zou zijn, moet je de andere verwerkingen gewoon vastleggen.

Praktisch betekent dat: je kunt niet met een gerust hart concluderen dat het register niet nodig is. Je zou per verwerking moeten onderbouwen waarom die buiten de plicht valt. Die onderbouwing kost meer werk dan de verwerking simpelweg opschrijven, en levert bovendien niets bruikbaars op.

Er komt nog iets bij. De AVG verlangt van elke organisatie dat zij kan aantonen dat zij zich aan de regels houdt. Ook als een verwerking buiten artikel 30 zou vallen, moet je nog steeds weten welke grondslag je gebruikt, hoelang je bewaart en wie de gegevens ontvangt. Dat is exact de informatie die in een register staat. De uitzondering scheelt je dus hooguit de vorm, niet het denkwerk.

De vraag is niet of je onder de 250 medewerkers zit. De vraag is of er ook maar een verwerking is die je regelmatig herhaalt. Zo ja, dan heb je een register nodig.

Wat de Autoriteit Persoonsgegevens kan vragen

De Autoriteit Persoonsgegevens houdt in Nederland toezicht op de AVG. Zij kan je register opvragen, en dan moet je het kunnen overleggen. Dat gebeurt niet alleen bij een controle: ook na een melding van een datalek of na een klacht van een betrokkene komt de vraag naar je verwerkingsregister vrijwel altijd langs.

Het register is dan geen doel op zich maar het bewijsstuk waarmee je laat zien dat je weet wat er in je organisatie gebeurt. Wie op dat moment moet gaan inventariseren, staat met lege handen op het slechtst denkbare moment.

De maximale boete onder de AVG bedraagt 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dat plafond is niet bedoeld voor een bedrijf met acht medewerkers, maar het geeft aan hoe zwaar de wetgever aan deze verplichtingen tilt. Belangrijker voor het mkb: een ontbrekend register maakt elk vervolgonderzoek langer en vervelender.

Er is nog een tweede publiek dat naar je register vraagt, en dat komt vaker langs dan de toezichthouder. Grote opdrachtgevers, gemeenten, zorgverzekeraars en aanbestedende diensten vragen bij het sluiten van een contract steeds vaker om inzicht in je privacyadministratie. Wie dan binnen een dag een gedateerd overzicht kan sturen, hoeft geen weken uit te trekken voor een leveranciersvragenlijst.

Het register dat je met kleine organisatie wel maakt

De praktische conclusie is bevrijdender dan hij klinkt. Een klein bedrijf heeft geen register van honderd pagina's nodig. Twintig tot veertig regels dekken meestal alles, en de meeste daarvan schrijf je in een middag op.

1. Zet de verwerkingen op een rij die je sowieso hebt: personeel, klanten, website, leveranciers.
2. Beschrijf per regel het doel in gewone taal, en kies daarna de grondslag.
3. Noteer de bewaartermijn en de reden waarom die termijn redelijk is.
4. Markeer de regels waar bijzondere persoonsgegevens in zitten.
5. Wijs per regel een eigenaar aan en plan twee controlemomenten per jaar.

De volledige werkwijze staat uitgewerkt in de gids over het opstellen van een verwerkingsregister in vijf stappen. Wie het register al heeft liggen maar twijfelt aan de kwaliteit, vindt de bekendste valkuilen terug in het overzicht van de fouten die een ingevuld register waardeloos maken.

Vergeet de verwerkers niet

Ook een kleine organisatie besteedt werk uit. Je boekhouder, je salarisadministratie, je hostingpartij en je planningssoftware verwerken persoonsgegevens in jouw opdracht. Met elk van hen heb je een verwerkersovereenkomst nodig volgens artikel 28 AVG. Welke afspraken daarin horen en wanneer een partij echt verwerker is, staat in het overzicht over verwerkersovereenkomsten en wat erin moet staan.

Wat de plicht nog meer met zich meebrengt

Het register staat niet op zichzelf. Er hangen twee verplichtingen aan vast die kleine organisaties graag over het hoofd zien, en beide worden makkelijker als je register klopt.

• Datalekken. Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Intern registreren moet je elk datalek, ook de gemelde en de niet gemelde.
• Verzoeken van betrokkenen. Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar beantwoord je binnen een maand, met een verlenging van maximaal twee maanden. Zonder register weet je niet in welke systemen je moet zoeken.

Wie een register in een centrale omgeving wil bijhouden, met vaste velden, herinneringen en een export als pdf, kan daarvoor het verwerkingsregister van AVG Register Pro gebruiken. Waarom de nadruk juist bij kleine organisaties op aantoonbaarheid ligt, licht de auteur van deze site toe op zijn eigen pagina.

Conclusie: de uitzondering is echt, maar niet voor jou

Het klopt dat artikel 30 AVG een uitzondering kent voor organisaties met minder dan 250 medewerkers. Het klopt niet dat die uitzondering betekent dat kleine bedrijven niets hoeven. Zodra de verwerking niet incidenteel is, een risico voor betrokkenen inhoudt of bijzondere persoonsgegevens betreft, keert de plicht terug, en dat is bij personeels- en klantgegevens vrijwel altijd het geval.

AVG Register Pro is gemaakt voor precies die situatie: een organisatie zonder eigen privacy officer die het gewoon op orde wil hebben, zonder er weken aan kwijt te zijn. Wil je weten hoe jouw verwerkingen eruitzien in een register, vraag dan een demo aan via het contactformulier en beschrijf kort wat je organisatie doet.