Veelgemaakte fouten
Waarom is een ingevuld verwerkingsregister soms toch waardeloos en wat herstel je eerst?
Er zijn organisaties die een verwerkingsregister hebben en er toch niets aan hebben. Het bestand is ingevuld, de kolommen zijn gevuld, maar bij de eerste vraag van een klant, een leverancier of de Autoriteit Persoonsgegevens blijkt het document niets te bewijzen. Dit zijn de zeven fouten die daarvoor zorgen, in de volgorde waarin je ze het beste herstelt.
Ingevuld is niet hetzelfde als bruikbaar
Een register is geen formaliteit die je afvinkt maar een beschrijving van je organisatie. Zodra die beschrijving niet meer klopt, werkt het document tegen je: het wekt de indruk dat je iets hebt geregeld terwijl de werkelijkheid anders loopt.
De fouten hieronder komen zelden alleen. Ze hangen samen en ze ontstaan bijna altijd op hetzelfde moment: tijdens een eenmalige invulronde waarin iemand een sjabloon zo snel mogelijk wilde dichttimmeren. Het goede nieuws is dat ze zich ook in een enkele middag laten herstellen, mits je in de juiste volgorde begint.
Een handige toets vooraf: pak een willekeurige regel uit je register en probeer daarmee drie vragen te beantwoorden. Welke gegevens raakt deze verwerking, wie is ervoor verantwoordelijk, en waar staan die gegevens vandaag. Lukt dat niet binnen een minuut, dan zit een van de zeven fouten hieronder in jouw register.
Fout 1: het register beschrijft systemen in plaats van doelen
Een lijst met de namen van je software is geen verwerkingsregister. Toch beginnen veel organisaties zo, omdat een systeemlijst makkelijk te maken is. Het resultaat is een register waarin twintig pakketten staan en niemand kan zien waarvoor de gegevens erin worden gebruikt.
Artikel 30 AVG vraagt om verwerkingen: samenhangende doelen. Personeelsadministratie is een verwerking, ook als de gegevens in drie pakketten staan. Andersom kan een pakket meerdere verwerkingen bedienen, bijvoorbeeld facturatie en marketing tegelijk.
Herstel: zet naast elke systeemnaam de vraag "waarvoor gebruiken wij dit". Het antwoord is je nieuwe regel. Systemen verhuizen naar een kolom ernaast.
Fout 2: de doelomschrijving is zo vaag dat er alles onder past
"Bedrijfsvoering", "administratie" en "dienstverlening" zijn geen doelen maar categorieen van bijna alles. Ze maken het onmogelijk om te toetsen of een gegeven nog nodig is, en dus ook onmogelijk om iets weg te gooien.
Een goed doel benoemt de handeling en de reden: het uitvoeren van de arbeidsovereenkomst, het innen van contributie, het beoordelen van sollicitanten voor een openstaande functie. Uit zo'n zin volgt vanzelf welke gegevens je nodig hebt en hoelang.
Herstel: herschrijf elk doel tot een zin met een werkwoord erin. Past er meer dan een activiteit onder, splits de regel dan in twee.
Fout 3: overal staat toestemming als grondslag
Toestemming voelt als het veiligste antwoord, en juist daarom staat het te vaak ingevuld. Het is echter de zwaarste grondslag om vol te houden: je moet kunnen aantonen dat de betrokkene haar heeft gegeven, en zij mag haar op elk moment intrekken. Doet iemand dat bij je loonadministratie, dan sta je met lege handen.
In de meeste organisaties dekken de uitvoering van een overeenkomst, een wettelijke verplichting en een gerechtvaardigd belang samen het overgrote deel van de verwerkingen. Toestemming blijft over voor zaken als een nieuwsbrief of beeldmateriaal voor promotie.
Herstel: loop elke regel met toestemming langs en vraag: zou de verwerking stoppen als de betrokkene nee zegt? Is het antwoord nee, dan klopt de grondslag niet en kies je een andere.
Fout 4: bewaartermijnen staan er zonder reden bij
"Zolang als nodig" is geen bewaartermijn maar een uitstel van de beslissing. Hetzelfde geldt voor een termijn die overal 7 jaar is, ook bij verwerkingen waar de fiscale bewaarplicht helemaal niet op ziet.
De bewaarplicht voor de administratie is 7 jaar, voor gegevens over onroerende zaken 10 jaar. Voor het medisch dossier geldt op grond van de Wgbo een termijn van 20 jaar, gerekend vanaf de laatste wijziging. Buiten die wettelijke termijnen bepaal je zelf een periode en schrijf je erbij waarom die redelijk is.
Herstel: zet achter elke termijn een kolom met de reden. Blijft die kolom leeg, dan is de termijn nog niet vastgesteld maar overgeschreven.
Fout 5: de leveranciers ontbreken in het register
Bijna elke verwerking loopt tegenwoordig via een externe partij: het boekhoudpakket, de salarisadministrateur, de hostingpartij, de leverancier van je planningssoftware. Die partijen zijn verwerkers, en met elk van hen hoort een verwerkersovereenkomst volgens artikel 28 AVG.
Staat die koppeling niet in je register, dan weet je bij een incident niet welke leverancier je moet bellen en bij een audit niet welke overeenkomst je moet opzoeken. Wie precies wanneer zo'n overeenkomst nodig heeft, staat uitgewerkt in het overzicht over wanneer een verwerkersovereenkomst verplicht is en wat erin moet.
Herstel: maak per leverancier een kaart met de overeenkomst, de datum en de subverwerkers, en koppel die kaart aan de registerregels waar hij bij hoort.
Fout 6: er is geen eigenaar, geen datum en geen versie
Dit is de stilste fout en tegelijk de dodelijkste. Een register zonder eigenaar wordt door niemand bijgehouden. Een register zonder datum en versienummer bewijst niets, omdat je niet kunt laten zien wat wanneer gold.
Vraagt de Autoriteit Persoonsgegevens je register op, dan gaat het niet alleen om de inhoud maar ook om de vraag of het document actueel is. Een bestand met de wijzigingsdatum van drie jaar geleden beantwoordt die vraag op de verkeerde manier.
Een register zonder datum is bovendien lastig te bespreken. Vraagt een opdrachtgever of een verzekeraar om inzage in je privacyadministratie, dan kijkt hij als eerste hoe recent het document is. Staat daar niets, dan gaat het gesprek daarover en niet over de inhoud.
Herstel: wijs per regel een eigenaar aan met naam en functie, zet een versienummer en een vaststellingsdatum op het geheel, en plan twee vaste controlemomenten per jaar.
Fout 7: het register staat los van incidenten en verzoeken
Het register is bedoeld als vertrekpunt voor de rest van je privacywerk. Precies daarom wordt het waardeloos zodra het los staat van de twee momenten waarop het echt telt.
Het eerste moment is een datalek. Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert, en intern registreren moet je elk datalek. Zonder koppeling zoek je in die eerste uren nog uit welke gegevens er in het geraakte systeem zaten. Hoe die uren verlopen, staat beschreven in het stappenplan voor de eerste 72 uur na een datalek.
Het tweede moment is een verzoek van een betrokkene. Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar moet je binnen een maand beantwoorden, met een verlenging van maximaal twee maanden. Het register vertelt je waar je moet zoeken.
Herstel: geef elke registerregel een vast nummer en gebruik dat nummer in je datalekregister en in je afhandeling van verzoeken.
In welke volgorde je herstelt
Alles tegelijk aanpakken loopt vast. Deze volgorde werkt, omdat elke stap de volgende makkelijker maakt.
| Stap | Wat je doet | Wat het oplevert |
|---|---|---|
| 1 | Doelen herschrijven en regels splitsen | Een register dat over je werk gaat |
| 2 | Grondslagen opnieuw kiezen | Minder toestemming, meer houdbaarheid |
| 3 | Bewaartermijnen motiveren | Onderbouwing bij elke termijn |
| 4 | Leveranciers koppelen | Zicht op verwerkers en overeenkomsten |
| 5 | Eigenaar, datum en versie toevoegen | Een document dat aantoonbaar actueel is |
Merk je tijdens het herstellen dat er velden ontbreken, leg je register dan naast de checklist met alle velden die in een verwerkingsregister horen. Wie liever eerst weet wie deze zeven fouten heeft verzameld en waarom, leest dat op de pagina over de auteur van deze site.
Conclusie: repareren gaat sneller dan opnieuw beginnen
Een register dat niets bewijst hoef je zelden weg te gooien. In vrijwel alle gevallen zitten de gegevens er wel in, maar op de verkeerde manier gegroepeerd, met een te vage omschrijving en zonder eigenaar. Herschrijf de doelen, corrigeer de grondslagen, motiveer de termijnen, koppel de leveranciers en zet er een datum op. Daarmee is het document weer een beschrijving van je organisatie.
Om te voorkomen dat dezelfde fouten terugkeren, houdt het verwerkingsregister van AVG Register Pro de velden vast, wijst het per regel een eigenaar aan, herinnert het die eigenaar aan de halfjaarlijkse controle en bewaart het elke versie. Wil je jouw huidige register een keer samen doorlopen, vraag dat dan aan via het contactformulier.
