Praktische gids
Hoe stel je als mkb-bedrijf stap voor stap een verwerkingsregister op?
Een verwerkingsregister opstellen voelt als juridisch werk, maar het is vooral administratie in een vaste volgorde. Wie bij de wettekst begint, verzandt in definities en geeft het na een uur op. Wie bij de eigen werkprocessen begint, heeft in een dagdeel een eerste versie die klopt en die je durft te laten zien.
Begin bij je processen, niet bij de wettekst
Artikel 30 AVG schrijft voor dat je een register bijhoudt van de verwerkingen die onder jouw verantwoordelijkheid vallen. Dat klinkt abstract, tot je het omdraait. Het register is niets anders dan een lijst van alle momenten waarop jouw organisatie iets doet met gegevens van mensen: personeel aannemen, facturen sturen, een nieuwsbrief versturen, camerabeelden bewaren.
De AVG geldt sinds 25 mei 2018 en wordt in Nederland aangevuld door de Uitvoeringswet AVG. De wettekst is sindsdien niet veranderd, de manier waarop organisaties eraan beginnen gelukkig wel. De aanpak die werkt is niet juridisch maar praktisch: je loopt je eigen organisatie langs alsof je aan een nieuwe collega uitlegt wat er gebeurt en waar de gegevens blijven.
Reserveer een dagdeel, zet twee mensen bij elkaar die weten hoe het werk echt loopt, en accepteer dat de eerste versie onvolledig is. Een register dat grotendeels klopt en dat je twee keer per jaar bijwerkt, is meer waard dan een perfect document dat na een invulronde in een map verdwijnt.
Stap 1: inventariseer je gegevensstromen
Loop langs de afdelingen of, in een klein bedrijf, langs de mensen zelf. Stel per persoon drie vragen: van wie bewaar jij gegevens, waar staan die, en waarom heb je ze nodig? Noteer eerst alles wat langskomt en filter later. Schrappen kost vijf minuten, iets vergeten kost je later een half dossier.
Vier vertrekpunten die bijna elke organisatie heeft
- Personeel: arbeidsovereenkomsten, loonadministratie, verzuim, gespreksverslagen en sollicitaties.
- Klanten en opdrachtgevers: offertes, orders, facturen, klachten en de correspondentie daarover.
- Website en communicatie: het contactformulier, de nieuwsbrief en de statistieken van je site.
- Leveranciers en dienstverleners: contactpersonen, contracten en de partijen die in jouw opdracht gegevens verwerken.
Daarnaast heeft elke organisatie iets eigens: een ledenadministratie, een wachtlijst, camerabewaking bij de ingang, een toegangspassysteem of een bezoekersregistratie bij de balie. Juist die eigen verwerkingen worden het vaakst vergeten, terwijl daar nogal eens de gevoeligste gegevens in zitten.
Kijk ook naar de plekken buiten je systemen
Gegevens leven niet alleen in software. Ze zitten in mailboxen, in gedeelde mappen, in een groepsapp, in een papieren map achter de balie en in het notitieboek van de eigenaar. Neem die opslagplaatsen mee in je inventarisatie, want een register dat alleen de officiele systemen beschrijft, beschrijft je organisatie niet.
Stap 2: maak van elke verwerking een genummerde regel
Zodra je lijst er ligt, groepeer je die tot verwerkingen. Een verwerking is een samenhangend doel, niet een systeem en niet een bestand. Personeelsadministratie voeren telt als een enkele regel, ook als de gegevens over drie pakketten verspreid staan. Klanten factureren telt ook als een enkele regel, ook als de facturen uit twee programma's komen.
Geef elke regel een nummer en een korte, herkenbare naam. Dat nummer gebruik je later overal: in je datalekregister, in de afspraken met leveranciers en in de gesprekken met collega's. Een organisatie van gemiddelde omvang komt meestal uit op twintig tot veertig regels. Kom je op honderdvijftig regels uit, dan beschrijf je systemen in plaats van doelen.
Stap 3: vul per regel de verplichte velden in
Nu pas komt de wet in beeld. Per verwerking leg je onder meer vast waarom je de gegevens verwerkt, om welke categorieen betrokkenen en persoonsgegevens het gaat, wie de gegevens ontvangt, of er gegevens buiten de Europese Unie gaan en hoelang je ze bewaart. Wat er precies in moet en welke velden je vrijwillig toevoegt, staat uitgewerkt in de checklist met alle velden van het verwerkingsregister.
Doel eerst, grondslag daarna
De volgorde is belangrijk. Schrijf eerst in gewone taal op waarvoor je de gegevens gebruikt, en kies daarna pas de grondslag die daarbij hoort. Wie andersom werkt, plakt overal "toestemming" op en komt in de knoop, want toestemming moet je kunnen aantonen en mag altijd worden ingetrokken.
Een doel als "administratie" zegt niets. "Loonbetaling en aangifte loonheffingen uitvoeren" zegt alles: het legt uit wat je doet, waarom het mag en hoelang je de gegevens nodig hebt.
Bewaartermijnen die je kunt uitleggen
Voor bewaartermijnen geldt: noteer de termijn en de reden. Voor je financiele administratie is de bewaarplicht 7 jaar, voor gegevens over onroerende zaken 10 jaar. Waar geen wettelijke termijn geldt, kies je zelf een termijn en schrijf je erbij waarom die redelijk is. Dat laatste is geen formaliteit: een termijn zonder motivering is precies wat een toezichthouder eruit pikt.
| Nr | Verwerking | Doel | Bewaartermijn |
|---|---|---|---|
| V-01 | Personeelsadministratie | Arbeidsovereenkomst uitvoeren en loonheffingen afdragen | 7 jaar voor de fiscale delen |
| V-02 | Facturatie en debiteuren | Geleverde diensten factureren en betaling opvolgen | 7 jaar |
| V-03 | Nieuwsbrief | Abonnees informeren over nieuwe artikelen | Tot intrekking van de toestemming |
| V-04 | Sollicitaties | Vacatures vervullen en kandidaten beoordelen | Eigen termijn, gemotiveerd vastgelegd |
Stap 4: koppel je leveranciers aan de regels
Zodra een externe partij in jouw opdracht persoonsgegevens verwerkt, is die partij verwerker. Denk aan je boekhoudpakket, je salarisadministrateur, je hostingpartij en de leverancier van je planningssoftware. Met elk van hen heb je een verwerkersovereenkomst nodig volgens artikel 28 AVG.
Maak per leverancier een kaart met de overeenkomst, de subverwerkers die hij inschakelt en de plek waar de verwerking plaatsvindt. Koppel die kaart aan de registerregels waar hij bij hoort. Zo zie je meteen welke leverancier bij welk proces zit, wat goud waard is als er iets misgaat. De vragen die daarbij het vaakst opkomen, komen langs in het overzicht over wanneer je een verwerkersovereenkomst nodig hebt en wat erin hoort.
Stap 5: maak het register onderhoudbaar
De grootste valkuil zit niet in het opstellen maar in het bijhouden. Een register veroudert stilletjes: er komt een nieuw pakket bij, een leverancier wordt vervangen, een formulier krijgt drie extra velden. Zonder eigenaar en zonder ritme staat er binnen een jaar een document dat niet meer over jouw organisatie gaat.
- Wijs per registerregel een eigenaar aan, met naam en functie.
- Plan twee vaste momenten per jaar waarop elke eigenaar zijn regels nakijkt.
- Bewaar elke wijziging als versie, zodat je kunt laten zien wat wanneer gold.
- Spreek af dat een nieuw systeem of een nieuwe leverancier pas live gaat als de regel is bijgewerkt.
Of je dat in een spreadsheet doet of in software, hangt af van je omvang en van hoeveel mensen eraan meewerken. De afweging tussen versiebeheer, herinneringen en bewijskracht staat uitgewerkt in de vergelijking van een register in Excel tegenover registersoftware. Wie het in een centrale omgeving wil bijhouden, met vaste velden en een exportknop, kan daarvoor het verwerkingsregister van AVG Register Pro gebruiken.
Wat je overslaat en later terugkrijgt
Drie dingen worden bij een eerste versie vrijwel altijd vergeten, en alle drie kosten ze later tijd.
- Het datalekregister. Elk datalek moet je intern registreren, ook als je het niet meldt. Melden bij de Autoriteit Persoonsgegevens moet binnen 72 uur na ontdekking, tenzij het onwaarschijnlijk is dat het lek een risico oplevert.
- Verzoeken van betrokkenen. Inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar moet je binnen een maand beantwoorden, met een verlenging van maximaal twee maanden. Zonder register weet je niet waar je moet zoeken.
- Bijzondere persoonsgegevens. Gezondheidsgegevens en andere categorieen uit artikel 9 AVG vragen om extra aandacht en om een expliciete markering in je register.
Wie voor het eerst een register maakt, wil vooral weten of het goed genoeg is. Dat oordeel hoef je niet alleen te vellen: op de pagina over de auteur achter deze site en zijn werkwijze lees je vanuit welke praktijk deze aanpak is opgeschreven.
Conclusie: een dagdeel nu, rust voor de rest van het jaar
Een verwerkingsregister opstellen is geen juridisch project maar een inventarisatie met een vaste volgorde: processen in kaart brengen, ze tot genummerde regels maken, de verplichte velden invullen, leveranciers koppelen en het geheel onderhoudbaar maken. Doe je dat in die volgorde, dan ligt er na een dagdeel iets bruikbaars.
AVG Register Pro is gebouwd om precies die volgorde vast te houden, met sjablonen voor personeel, klanten, website en leveranciers, met herinneringen voor de eigenaren en met een export als pdf met datum en versienummer. Wil je zien hoe je organisatie erin past, vraag dan een demo aan via het contactformulier en beschrijf kort waar je nu staat.
