Wat hoort er minimaal in je verwerkingsregister en wat voeg je zelf toe?

Artikel 30 AVG somt op wat er in een verwerkingsregister hoort, maar die opsomming is geschreven als wettekst en niet als invulformulier. Deze checklist vertaalt de verplichte onderdelen naar kolommen die je vandaag kunt invullen. Daarnaast staan de velden die nergens verplicht zijn en die je toch wilt hebben, omdat je register zonder die velden binnen een jaar veroudert.

Een bruikbaar register bestaat uit twee lagen

De eerste laag is wat de wet vraagt. Die laag is korter en overzichtelijker dan de meeste mensen denken: een handvol onderwerpen, per verwerking ingevuld. Wie die laag compleet heeft, voldoet aan artikel 30 AVG.

De tweede laag is wat jij nodig hebt om het register bij te houden en om er iets aan te hebben op het moment dat het spannend wordt. Wie is eigenaar van deze regel, welke leverancier zit erachter, wanneer is het voor het laatst nagekeken. Die velden staan nergens in de verordening, maar ze bepalen of het document leeft.

Houd de twee lagen zichtbaar uit elkaar, bijvoorbeeld met twee kleurgroepen of twee tabbladen. Vraagt de Autoriteit Persoonsgegevens je register op, dan toon je de wettelijke laag zonder eerst interne notities te moeten wegpoetsen.

Checklist 1: de verplichte velden

Loop deze punten af voor elke verwerking in je register. Blijft een veld leeg, dan is dat geen invulprobleem maar een signaal dat je de verwerking zelf nog niet goed genoeg kent.

• Naam en contactgegevens van de verwerkingsverantwoordelijke. Je organisatie zoals die in het Handelsregister staat, met een contactadres. Heb je een functionaris gegevensbescherming, dan komen diens gegevens erbij. Dit blok vul je een keer in en zet je bovenaan het register.
• Het doel van de verwerking. Waarvoor gebruik je deze gegevens, in gewone zinnen. Per doel een eigen regel.
• De categorieen betrokkenen. Werknemers, sollicitanten, klanten, leden, patienten, bezoekers, nabestaanden. Categorieen dus, geen namenlijst.
• De categorieen persoonsgegevens. Contactgegevens, bankgegevens, burgerservicenummer, beeldmateriaal. Markeer bijzondere persoonsgegevens uit artikel 9 AVG apart, gezondheidsgegevens voorop.
• De ontvangers. Wie krijgt de gegevens: de accountant, de salarisadministrateur, de softwareleverancier, de Belastingdienst, een pensioenuitvoerder.
• Doorgifte buiten de Europese Unie. Gaan er gegevens naar een land buiten de EU, dan noteer je welk land dat is en op welke waarborg de doorgifte rust.
• De bewaartermijn. Waar mogelijk een concrete termijn. Kun je die niet geven, dan beschrijf je hoe je de termijn bepaalt.
• De beveiligingsmaatregelen. Een algemene beschrijving van de technische en organisatorische maatregelen, zoals toegangsrechten, tweefactorauthenticatie, back-ups en de afspraken met je leveranciers.

De verplichte velden, met de misser die er het vaakst in sluipt

Veld	Wat je invult	Wat er vaak misgaat
Doel	Een zin die uitlegt waarvoor de gegevens dienen	Een systeemnaam in plaats van een doel
Betrokkenen	De groepen mensen van wie je gegevens hebt	Alleen klanten genoemd, personeel vergeten
Gegevens	De soorten gegevens per groep	Bijzondere gegevens niet apart gemarkeerd
Ontvangers	Partijen binnen en buiten je organisatie	Alleen de leverancier, niet de subverwerker
Doorgifte	Land en waarborg bij verwerking buiten de EU	Leeg gelaten omdat niemand het nagevraagd heeft
Bewaartermijn	De termijn en de reden daarvoor	De tekst "zolang als nodig" zonder toelichting
Beveiliging	Toegang, versleuteling, back-up, afspraken	Een verwijzing naar een beleid dat niet bestaat

Checklist 2: de velden die je zelf toevoegt

De volgende kolommen zijn vrijwillig. Ze kosten bij het invullen een paar minuten per regel en betalen zich terug zodra er iemand iets vraagt, iets wijzigt of iets misgaat.

• Regelnummer. Een vast kenmerk per verwerking, zodat je er in andere documenten naar kunt verwijzen.
• Eigenaar. De persoon met naam en functie die deze regel actueel houdt. Zonder eigenaar houdt niemand hem bij.
• Systemen en opslagplaatsen. Ook de mailbox, de gedeelde map en de papieren ordner achter de balie.
• Verwerker en overeenkomst. Welke leverancier het uitvoert, of er een verwerkersovereenkomst is volgens artikel 28 AVG en wanneer die is getekend.
• Risico-oordeel. Laag, midden of hoog, met een aantekening of een gegevensbeschermingseffectbeoordeling volgens artikel 35 AVG nodig is.
• Datum laatste controle. De dag waarop iemand de regel heeft nagekeken, niet de dag waarop hij is aangemaakt.
• Versie en status. Concept of vastgesteld, met een versienummer dat bij elke wijziging oploopt.
• Koppeling met incidenten. Een verwijzing naar het datalekregister, zodat je bij een incident meteen ziet welke regel geraakt wordt.

Wie deze acht kolommen voor het eerst toevoegt aan een bestaande lijst, merkt dat de discussie verschuift van invullen naar organiseren. Dat is precies de bedoeling. Hoe je die inventarisatie in de goede volgorde aanpakt, staat beschreven in de gids over een verwerkingsregister opstellen stap voor stap.

Drie velden waar het altijd op vastloopt

Het doel

Een doel is geen afdeling en geen pakket. "Personeelszaken" is geen doel, "de arbeidsovereenkomst uitvoeren en de loonheffingen afdragen" wel. De toets is simpel: kun je uit het doel afleiden welke gegevens je nodig hebt en hoelang, dan is het doel scherp genoeg.

Past er meer dan een doel onder een regel, splits de regel dan. Een adressenbestand dat zowel voor facturatie als voor commerciele mailings wordt gebruikt, zijn twee verwerkingen met twee grondslagen en twee bewaartermijnen.

De grondslag

Vul de grondslag pas in nadat het doel staat. In de meeste organisaties dekt de uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang het grootste deel van de verwerkingen. Toestemming is de uitzondering, geen standaardantwoord: je moet haar kunnen aantonen en de betrokkene mag haar altijd intrekken.

Kies je voor een gerechtvaardigd belang, noteer dan in een enkele zin welk belang dat is en waarom het zwaarder weegt dan de privacy van de betrokkene. Die zin is later je hele onderbouwing.

De bewaartermijn

Noteer altijd de termijn en de reden. Voor de administratie geldt een bewaarplicht van 7 jaar, voor gegevens over onroerende zaken 10 jaar. In de zorg geldt voor het medisch dossier een bewaartermijn van 20 jaar op grond van de Wgbo, gerekend vanaf de laatste wijziging. Waar geen wettelijke termijn geldt, kies je zelf en schrijf je op waarom die termijn redelijk is.

Wat er juist niet in je register hoort

Een register beschrijft verwerkingen, het is zelf geen gegevensbestand. Deze zaken laat je eruit.

• Persoonsgegevens zelf. Geen namenlijsten, geen klantenbestand, geen personeelsnummers. Alleen categorieen.
• Inloggegevens en technische sleutels. Beschrijf de maatregel, niet het wachtwoord.
• Volledige contracten. Verwijs naar de verwerkersovereenkomst met datum en vindplaats in plaats van de tekst te plakken.
• Verwerkingen van een andere partij. Wat een klant onder eigen verantwoordelijkheid doet, hoort in het register van die klant.

De laatste controle voor je het register vaststelt

1. Staat elke groep mensen in het register: personeel, sollicitanten, klanten, leveranciers en bezoekers?
2. Heeft elke regel een doel dat je hardop kunt uitleggen aan iemand van buiten?
3. Is elke bewaartermijn voorzien van een reden?
4. Heeft elke externe partij die in jouw opdracht verwerkt een overeenkomst volgens artikel 28 AVG?
5. Zijn de bijzondere persoonsgegevens uit artikel 9 AVG apart gemarkeerd?
6. Staat er een datum, een versienummer en een eigenaar op?

Zes vragen, een half uur werk. Ze halen er meer uit dan een uitgebreide juridische toets, omdat ze precies raken wat een toezichthouder als eerste opvraagt. Een register dat je in vaste velden bijhoudt en met een druk op de knop exporteert, houd je met het verwerkingsregister van AVG Register Pro in een omgeving waar die zes controles vast zitten ingebouwd.

Blijft de vraag of het in een spreadsheet kan of dat je software nodig hebt: die afweging staat uitgewerkt in de vergelijking tussen een register in Excel en registersoftware. Wie eerst wil weten wie deze checklist heeft opgesteld en vanuit welke praktijk, vindt dat op de pagina over de auteur van deze site.

Conclusie: een compleet register is vooral een kwestie van kolommen

De verplichte velden uit artikel 30 AVG zijn te overzien. Het verschil tussen een register dat aan de wet voldoet en een register waar je iets aan hebt, zit in de tweede laag: eigenaar, systemen, verwerker, controledatum en versie. Wie die kolommen vanaf het begin meeneemt, hoeft ze later niet met terugwerkende kracht te reconstrueren.

AVG Register Pro levert beide lagen als vaste velden, markeert bijzondere persoonsgegevens, koppelt leveranciers aan registerregels en exporteert het geheel als pdf met datum en versienummer. Wil je weten hoe jouw verwerkingen erin passen, vraag dan een demo aan via het contactformulier en schrijf er kort bij wat je nu al hebt liggen.