Verwerkingsregister AVG art. 30 (2026): verplichte inhoud + model

Het verwerkingsregister is het verplichte overzicht van alle verwerkingen van persoonsgegevens binnen uw organisatie, voorgeschreven door artikel 30 AVG. Het is het eerste document dat de Autoriteit Persoonsgegevens (AP) bij een onderzoek opvraagt. Een compleet register bevat per verwerking minimaal: de doeleinden, de categorieën betrokkenen en gegevens, de ontvangers, eventuele doorgiften naar derde landen, de bewaartermijnen en een beschrijving van de beveiligingsmaatregelen. Hieronder vindt u de verplichte inhoud en een concreet model dat u direct kunt overnemen. Vrijwel elke Nederlandse organisatie is registerplichtig — de uitzondering voor kleine bedrijven gaat in de praktijk zelden op.

Deze pagina richt zich op het model en de invulling. Voor de bredere achtergrond, de MKB-uitzondering en de handhavingspraktijk verwijzen we naar onze uitgebreide gids register verwerkingsactiviteiten AVG art. 30.

Twee registers: verantwoordelijke én verwerker

Artikel 30 kent twee aparte registers. De verwerkingsverantwoordelijke houdt een register bij op grond van artikel 30 lid 1; de verwerker een register op grond van artikel 30 lid 2. Bent u beide (bijvoorbeeld een SaaS-leverancier die ook eigen personeel heeft), dan houdt u beide bij. De Uitvoeringswet AVG voegt hier niets aan toe — de verordening werkt rechtstreeks.

Verplichte inhoud — register verantwoordelijke

Per verwerkingsactiviteit legt de verantwoordelijke vast (art. 30 lid 1):

• Naam en contactgegevens van de verantwoordelijke, eventuele gezamenlijke verantwoordelijken, de vertegenwoordiger en de FG.
• De doeleinden van de verwerking.
• De categorieën van betrokkenen.
• De categorieën van persoonsgegevens.
• De categorieën van ontvangers (inclusief in derde landen).
• Doorgiften naar een derde land met de bijbehorende waarborgen (art. 46 of art. 49).
• De beoogde bewaartermijnen per categorie.
• Een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen.

Model: een ingevulde registerrij

Zo ziet één verwerking eruit in een deugdelijk register. Neem dit model over en herhaal het per verwerking:

Veld	Voorbeeld (salarisadministratie)
Verwerkingsnaam	Salarisadministratie
Verantwoordelijke	BV Voorbeeld, KvK 12345678
FG / contactpersoon	privacy@voorbeeld.nl
Doel	Loonbetaling en fiscale aangifte
Rechtsgrond	Overeenkomst (art. 6.1.b) + wettelijke plicht (art. 6.1.c)
Categorieën betrokkenen	Werknemers, ex-werknemers
Categorieën gegevens	NAW, BSN, bankrekening, salaris, verzuim
Ontvangers	Belastingdienst, pensioenfonds, payrollverwerker
Doorgifte derde land	Geen
Bewaartermijn	Loonadministratie 7 jaar (AWR); verzuim 2 jaar
Beveiliging	RBAC, encryptie at rest, MFA, audit log

De juiste rechtsgrond en onderbouwde bewaartermijnen zijn de twee velden waar in de praktijk het vaakst fouten in sluipen.

Granulariteit: hoeveel verwerkingen?

Een veelgemaakte fout is één regel “klantbeheer” — te grof om bruikbaar te zijn. Het andere uiterste, 500 microverwerkingen, is onbeheersbaar. Vuistregel: één verwerking per doel × per categorie betrokkenen × per rechtsgrond. In de praktijk komt een mkb-organisatie op 15 tot 40 verwerkingen, een middelgroot bedrijf op 40 tot 100.

Typische verwerkingen om op te nemen: HR (werving, personeelsadministratie, salaris, verzuim), klanten (CRM, facturatie, klantenservice, marketing), leveranciers, direct marketing en nieuwsbrieven, IT-beveiligingslogs, cameratoezicht en bezoekersregistratie.

Geldt de MKB-uitzondering?

Artikel 30 lid 5 stelt organisaties onder 250 werknemers vrij, tenzij de verwerking waarschijnlijk een risico inhoudt, niet incidenteel is, of bijzondere categorieën betreft. Omdat vrijwel elke organisatie structurele verwerking heeft (personeel, klanten), gaat de uitzondering zelden op. De AP interpreteert haar eng. Zie ook onze gids AVG voor het MKB.

Hoe de AP het register toetst

De AP kan het register opvragen onder artikel 30 lid 4 en artikel 58; de gebruikelijke termijn is vijf tot tien werkdagen. Een ontbrekend of onvolledig register is een zelfstandige overtreding en valt onder artikel 83 lid 4 (tot 10 miljoen euro of 2 procent van de omzet). In de praktijk is het register zelden de eerste boetegrond, maar wel een cumulatieve: bij onderzoek naar een datalek of een verzoek van een betrokkene toetst de AP het register als startpunt, en een tekortkoming signaleert een structureel accountability-probleem — het beginsel uit artikel 5 AVG.

Van model naar levend document

Een register is geen eenmalige exercitie. Werk het bij bij elke nieuwe verwerking, elke wijziging van doel of rechtsgrond, elke nieuwe verwerker of doorgifteland, en elke wijziging van bewaartermijn. Best practice: een kwartaalreview en een jaarlijkse formele audit. Tot ongeveer 30 verwerkingen volstaat een Excel-model; daarboven loont software wegens versiebeheer, workflow en de koppeling met DPIA’s, verwerkersovereenkomsten en het datalekregister. Een platform zoals Legiscope genereert het register uit begeleide vragenlijsten en houdt die koppelingen automatisch actueel.

Veelvoorkomende fouten in het register

Bij AP-onderzoeken en due-diligencetrajecten komen steeds dezelfde tekortkomingen naar boven. Vermijd ze:

• Te grove granulariteit. Eén regel “klantbeheer” is onbruikbaar; splits per doel en categorie betrokkenen.
• Verouderde inhoud. Een register dat “ooit is gemaakt” maar nooit is bijgewerkt, faalt de actualiteitstoets van de AP.
• Ontbrekende verwerkersregister. Bent u ook verwerker, dan mist vaak het tweede register (art. 30 lid 2).
• Niet-onderbouwde bewaartermijnen. “Onbepaald” of “zo lang als nodig” volstaat niet; koppel elke termijn aan een reden.
• Doorgiften zonder waarborgen. Verwerking buiten de EER zonder vermelding van de waarborgen (SCC’s) is een klassieke bevinding.
• Generieke beveiliging. Alleen “ISO 27001” zonder concrete maatregelen is te vaag.
• Geen koppeling met andere instrumenten. Een register dat losstaat van DPIA’s, verwerkersovereenkomsten en het datalekregister mist samenhang.

Het register als startpunt van elke controle

Het register is niet alleen een verplichting, maar ook uw beste voorbereiding. Bij elk AP-onderzoek, elke overname en elke grote klant die om due diligence vraagt, is het register het eerste dat wordt opgevraagd. Een compleet, actueel en goed gestructureerd register signaleert dat uw organisatie de gegevensverwerking beheerst; een ontbrekend of rommelig register wekt precies het tegenovergestelde vermoeden en nodigt uit tot dieper graven. Investeren in een deugdelijk register betaalt zich dus dubbel terug — als naleving én als visitekaartje.

Het register als basis voor andere verplichtingen

Het verwerkingsregister is niet alleen een op zichzelf staande verplichting, maar het fundament waarop de rest van uw AVG-programma rust. Uit elke registerregel volgen concrete vervolgvragen: is er een geldige rechtsgrond, is een DPIA nodig, is er een verwerkersovereenkomst met de genoemde ontvangers, klopt de bewaartermijn, en zijn de doorgiften naar derde landen afgedekt? Wie het register compleet en actueel houdt, heeft daarmee in feite een dashboard van openstaande compliance-acties. Andersom betekent een gat in het register bijna altijd een gat in een andere verplichting — reden waarom de AP het register als vertrekpunt van elk onderzoek gebruikt. Behandel het register daarom niet als een administratieve verplichting die u eenmaal afvinkt, maar als het besturingsdocument van uw hele gegevensbeschermingsbeleid.

Veelgestelde vragen

Mag ik mijn verwerkingsregister in Excel bijhouden?

Ja, de vorm is vrij. Excel volstaat tot ongeveer 30 verwerkingen. Bij grotere organisaties worden versiebeheer, workflow en de koppeling met andere registers complex, en loont dedicated software. De inhoud moet altijd aan artikel 30 voldoen.

Moet ik mijn register publiceren?

Nee. Het register is een intern document dat u op verzoek aan de AP overlegt. Voor overheidsorganen kan wel een transparantieplicht gelden via de Wet open overheid.

Wat is het verschil tussen het model voor de verantwoordelijke en de verwerker?

De verantwoordelijke beschrijft zijn eigen verwerkingen (doel, gegevens, ontvangers). De verwerker beschrijft welke categorieën verwerkingen hij voor welke verantwoordelijken uitvoert. Verschillende inhoud, beide verplicht wanneer u beide rollen vervult.

Hoe gedetailleerd moet de beveiligingsbeschrijving zijn?

Een algemene beschrijving volstaat (art. 30 lid 1 sub g): bijvoorbeeld “encryptie at rest, MFA op adminaccounts, RBAC, jaarlijkse pentest”. Detail per verwerking alleen waar de maatregelen verschillen. De diepte hangt af van het risico — zie artikel 32 AVG over beveiliging.

Conclusie

Het verwerkingsregister is de ruggengraat van uw AVG-compliance: zonder compleet en actueel register ontbreekt de basis voor vrijwel elke andere verplichting, en het is het eerste dat de AP opvraagt. Gebruik het model hierboven als vertrekpunt, houd de granulariteit op één verwerking per doel × betrokkenen × rechtsgrond, en behandel het register als een levend document met kwartaalreviews. Voor een handvol verwerkingen volstaat Excel; vanaf enkele tientallen loont software die het register genereert en koppelt aan uw DPIA’s, verwerkersovereenkomsten en datalekregister.

Zie ook: verwerkingsregister-software.