Een verwerkingsregister is een beschrijving van wat een organisatie met persoonsgegevens doet. Artikel 30 AVG schrijft voor welke informatie de verwerkingsverantwoordelijke en de verwerker vastleggen. Het artikel schrijft geen bepaald spreadsheet, programma of aantal regels voor. Dit model laat zien hoe u een activiteit afbakent, de verplichte velden invult en de beschrijving bij wijzigingen bruikbaar houdt. Het is bedoeld als werkdocument: vul geen echte klant- of werknemersgegevens in het register zelf in.
De Autoriteit Persoonsgegevens (AP) benadrukt dat het register voor organisaties onder 250 medewerkers vaak toch verplicht is, onder meer omdat gewone klant- of personeelsverwerking niet incidenteel is. De AP heeft ook aanbevelingen voor begrijpelijke registers gepubliceerd: maak duidelijk welke activiteit bij welk doel hoort en waar gegevens zich bevinden. Die locaties zijn een nuttige aanvulling, geen letterlijk verplicht veld van artikel 30. Voor een algemene uitleg van de verplichting is er onze gids over het register van verwerkingsactiviteiten; deze pagina levert het invulmodel en de beslissingen erachter.
Kies eerst de juiste rol
Een organisatie kan in de ene activiteit verantwoordelijke en in een andere verwerker zijn. Een webwinkel bepaalt bijvoorbeeld zelf waarom hij klantgegevens gebruikt voor bestellingen. Een softwareleverancier kan namens die webwinkel klantgegevens opslaan volgens diens instructies, maar is zelf verantwoordelijke voor zijn personeelsadministratie. Artikel 30 lid 1 beschrijft het register van de verantwoordelijke; lid 2 het register van de verwerker. U hoeft niet noodzakelijk twee softwaretoepassingen te gebruiken, maar de verschillende rollen en verplichte gegevens moeten herkenbaar blijven. Onze uitleg van verwerkingsverantwoordelijke versus verwerker helpt bij twijfel over een dienst.
Maak de rol niet afhankelijk van wat in een contract als label staat. Vraag wie het doel en de wezenlijke middelen bepaalt. Een externe salarisdienst kan bepaalde processen in opdracht uitvoeren, terwijl zijn eigen beveiligingslogboeken een andere rol hebben. Als meerdere rechtspersonen één register gebruiken, moet bij elke activiteit duidelijk zijn welke entiteit verantwoordelijk is. Een holdingnaam bovenaan is onvoldoende wanneer dochters de doelen afzonderlijk bepalen. De AP laat gezamenlijke registers toe voor bepaalde publieke organen, mits de verantwoordelijke per verwerking zichtbaar blijft.
Een verwerkersovereenkomst onder artikel 28 AVG beschrijft de uitbestedingsrelatie; het register legt de activiteit vast. De documenten vullen elkaar aan. Een contract kan meer details over een leverancier bevatten dan het register nodig heeft. Een nieuw contract of een nieuwe subverwerker is wel een goed signaal om te controleren of ontvangers, doorgiften en beveiliging in de betreffende registerregel nog kloppen.
Wat moet in het register van de verantwoordelijke staan?
Artikel 30 lid 1 noemt de naam en contactgegevens van de verantwoordelijke en, waar toepasselijk, gezamenlijke verantwoordelijken, vertegenwoordiger en functionaris gegevensbescherming; de verwerkingsdoeleinden; categorieën betrokkenen en persoonsgegevens; categorieën ontvangers, waaronder ontvangers in derde landen of internationale organisaties; toepasselijke doorgiften, inclusief identificatie van land of organisatie en in bepaalde gevallen documentatie van passende waarborgen; indien mogelijk de beoogde termijnen voor verwijdering per gegevenscategorie; en indien mogelijk een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen. Lees de voorwaardelijke formuleringen nauwkeurig. Niet ieder bedrijf heeft een vertegenwoordiger of FG; niet iedere verwerking heeft een derde-landdoorgifte.
Rechtsgrond, bron van gegevens, systeemlocatie, proceseigenaar en laatste controledatum zijn zeer bruikbare extra velden, maar staan niet allemaal als zelfstandig verplicht onderdeel in artikel 30 lid 1. De AP beveelt bijvoorbeeld aan opslaglocaties te vermelden, omdat die helpen bij verzoeken om inzage of verwijdering. Voeg zulke velden toe waar ze uw organisatie echt helpen; markeer in een model welke velden uit de wet komen en welke uw eigen stuurinformatie zijn. De juiste rechtsgrond volgens artikel 6 moet uiteraard wel bestaan, ook wanneer zij niet expliciet als artikel-30-veld wordt genoemd.
Omschrijf categorieën en doeleinden concreet genoeg om de activiteit te begrijpen. „Klantbeheer” kan uiteenlopen van facturatie tot aanbevelingen en klachten; één regel met een lange lijst van doelen maakt de relaties tussen gegevens, ontvangers en termijnen onduidelijk. Tegelijk is niet elke handeling een aparte activiteit. Inboeken, archiveren en verzenden van een factuur kunnen onderdelen van dezelfde facturatieverwerking zijn. Splits wanneer doel, gegevensstroom of risico wezenlijk verschilt. Er bestaat geen vaste formule „één regel per doel maal betrokkenencategorie maal rechtsgrond” en geen wettelijk gemiddeld aantal activiteiten voor een mkb-bedrijf.
Invulmodel voor een verantwoordelijke
Gebruik onderstaande velden als rij of als formulier. De voorbeeldtekst beschrijft een fictieve organisatie en is geen advies over een bepaalde wettelijke bewaartermijn.
| Veld | Voorbeeld: afhandeling van sollicitaties |
|---|---|
| Naam en contact | Voorbeeld BV, privacycontact van de organisatie |
| Gezamenlijk verantwoordelijke / vertegenwoordiger / FG | Niet van toepassing, of naam en contact als aangesteld |
| Doel | Ontvangen, beoordelen en beantwoorden van sollicitaties voor een vacature |
| Betrokkenen | Sollicitanten en referenten voor zover contact is toegestaan |
| Gegevenscategorieën | Contactgegevens, cv, motivatie, gespreksnotities; geen onnodige bijzondere gegevens |
| Ontvangers | HR-team, betrokken leidinggevende, categorie van recruitmentverwerker |
| Derde-landdoorgifte | Geen, of land, ontvanger en toepasselijke waarborg vastleggen |
| Beoogde verwijdertermijn | Per categorie criterium of concrete termijn na sluiting vacature, met onderbouwing |
| Beveiliging | Beperkte HR-toegang, versleutelde opslag, herstelprocedure en toegangscontrole |
| Extra: rechtsgrond en eigenaar | Gemotiveerde artikel-6-grondslag; HR als proceseigenaar |
De voorbeeldrij bevat bewust geen echte naam, e-mailadres, sollicitatiebrief of kandidaatbeoordeling. Het register beschrijft categorieën; de persoonsgegevens zelf horen in het operationele systeem. Zelfs een fictief voorbeeld moet vermijden dat lezers een specifieke bewaartermijn of rechtsgrond klakkeloos kopiëren. Bij een echte activiteit moet de HR-afdeling aangeven welke gegevens daadwerkelijk worden verzameld, wie selectiebesluiten neemt en of externe wervingsbureaus als verwerker of zelfstandig verantwoordelijke optreden.
Voor bewaartermijnen is „voor altijd” niet te verenigen met opslagbeperking. Artikel 30 vraagt waar mogelijk om beoogde termijnen per categorie. Als de exacte datum niet tevoren vaststaat, leg een toetsbaar criterium vast: bijvoorbeeld een periode na afronding van een procedure, of zolang een concreet juridisch geschil loopt voor de daarvoor noodzakelijke stukken. Onderbouw het beleid en controleer of de werkelijke systemen die termijnen ondersteunen. Onze artikelen over AVG-bewaartermijnen en een bewaartermijnenbeleid als model helpen die stap uit te werken.
Model voor het register van een verwerker
De verwerker houdt op grond van artikel 30 lid 2 gegevens bij over zichzelf, de verantwoordelijken voor wie hij optreedt, eventuele vertegenwoordiger en FG, de categorieën verwerkingen die hij voor iedere verantwoordelijke uitvoert, eventuele derde-landdoorgiften en waarborgen en, indien mogelijk, een algemene beschrijving van beveiligingsmaatregelen. Zijn register hoeft niet simpelweg een kopie van elk klantenregister te zijn. Het moet wel tonen voor welke verantwoordelijke welke categorie diensten wordt uitgevoerd. Een SaaS-aanbieder kan bijvoorbeeld „opslag en beschikbaar stellen van klantcontacten in opdracht van Klant A” registreren en voor Klant B een andere verwerkingscategorie opnemen wanneer de dienstverlening anders is.
Een groot aantal klanten kan de vorm beïnvloeden. Een verwijzing naar een actueel klantenoverzicht is nuttig als daardoor de wettelijk vereiste informatie werkelijk beschikbaar en begrijpelijk is. Een lege verwijzing naar „alle klanten” zonder verdere differentiatie kan tekortschieten. Leg daarnaast vast welke technische maatregelen in het algemeen gelden en welke klant- of dienstspecifieke verschillen bestaan. De onderliggende contracten en verwerkersovereenkomst-template kunnen detail bevatten, maar de AP moet het verwerkersregister op verzoek kunnen krijgen.
Sommige organisaties bieden een platform aan en gebruiken de inhoud van klanten voor eigen productanalyses. Dat tweede gebruik kan een andere rechtsrol en grondslag vergen. Verberg het niet in één verwerkersregel. Een bruikbaar register helpt zulke rolwisselingen te ontdekken; het beoordeelt ze niet automatisch juridisch correct. Vraag daarom bij nieuwe productfuncties zowel de dienstverantwoordelijke als de privacyfunctie naar het doel van het gebruik.
De uitzondering onder 250 werknemers
Artikel 30 lid 5 is geen algemene mkb-vrijstelling. Bij minder dan 250 werknemers geldt de uitzondering niet voor verwerking die niet slechts incidenteel is, waarschijnlijk risico oplevert of bijzondere categorieën dan wel strafrechtelijke gegevens omvat. Die voorwaarden staan naast elkaar: één relevante uitzondering op de vrijstelling kan de registerplicht voor die verwerking doen ontstaan. De AP wijst erop dat personeels- en klantgegevens doorgaans voortdurend worden verwerkt. Dat maakt de vrijstelling voor veel organisaties beperkt, zonder te betekenen dat ieder denkbaar eenmalig contact per se een eigen registerregel vraagt. Lees dit samen met onze AVG-gids voor kleine bedrijven.
Beoordeel een beroep op de uitzondering zorgvuldig en leg vast welke activiteiten en feiten u hebt onderzocht. Een bedrijf met tien medewerkers dat dagelijks bestellingen verwerkt, kan zich niet op het lage personeelsaantal alleen beroepen. Andersom hoeft een kleine eenmalige verwerking niet door een verzonnen risico tot verplichte registratie te worden gemaakt. Een vrijwillig overzicht kan ook zonder wettelijke verplichting nuttig zijn om gegevensstromen te kennen. De beslissing over een uitzondering moet bij verandering van het werk opnieuw worden bekeken.
Hoe houdt u het model actueel?
Wijs per activiteit een eigenaar in de organisatie aan. Die hoeft niet de FG te zijn; de FG kan wel adviseren of monitoren. De pagina over de taken van de FG legt die positie uit. Leg vast welke gebeurtenissen een controle uitlokken: nieuw doel, andere gegevenscategorie, nieuwe ontvanger, grensoverschrijdende toegang, andere bewaartermijn, beëindigde dienst of wijziging in beveiliging. Een vaste periodieke doorloop kan fouten opsporen, maar artikel 30 schrijft geen kwartaalreview of jaarlijkse formele audit voor.
Koppel de signalen aan processen die al bestaan. Een nieuwe leverancier komt langs in inkoop; een nieuw marketingkanaal in campagnegoedkeuring; een gewijzigde verwijdertermijn in bewaarbeleid; een nieuw algoritme in productontwikkeling. Voor direct marketing en de AVG kunnen doel en ontvangers snel veranderen. Wanneer deze teams weten welke wijzigingen zij moeten melden, blijft het register bruikbaar zonder dat een privacyteam elke dag alle systemen handmatig vergelijkt.
Een eenvoudige kwaliteitscontrole neemt een paar echte activiteiten en loopt de velden langs. Klopt de naam van de verantwoordelijke? Is het doel herkenbaar voor de proceseigenaar? Zijn categorieën gegevens en ontvangers actueel? Kan IT de opslaglocatie vinden en een verwijderverzoek uitvoeren? Staat een internationale supporttoegang als mogelijke doorgifte genoteerd waar relevant? De antwoorden kunnen open punten opleveren; noteer wie ze oplost. De AP-aanbeveling om locaties op te nemen maakt het register ook bruikbaar voor rechten van betrokkenen.
Wat kan de AP opvragen?
Artikel 30 lid 4 verlangt dat het register op verzoek aan de toezichthouder beschikbaar wordt gesteld. De AP heeft daarnaast onderzoeksbevoegdheden. De AVG geeft geen algemene vaste termijn van vijf of tien werkdagen voor elk registerverzoek; volg de concrete brief of beschikking. Zorg dat een medewerker het actuele register kan vinden en in een leesbaar formaat kan delen. Als meerdere systemen of vennootschappen betrokken zijn, controleer dan of het exportbestand duidelijk toont welke activiteit bij welke verantwoordelijke hoort. Een automatische export is handig, maar niet als hij concepten en goedgekeurde versies door elkaar zet.
Een register is niet standaard een openbaar document voor iedere websitebezoeker. Andere openbaarheidsregels kunnen voor publieke instellingen relevant zijn, maar dat is een afzonderlijke beoordeling. Het register bevat idealiter beschrijvingen en zo weinig mogelijk directe persoonsgegevens, toch kunnen beveiligingsdetails of namen van interne contactpersonen gevoelig zijn. Bepaal wie het volledige document ontvangt en welke informatie in een privacyverklaring voor betrokkenen hoort. Artikel 5 AVG en de verantwoordingsplicht worden door een goed register ondersteund, maar het register alleen bewijst geen volledige naleving.
Een overtreding van artikel 30 valt in de categorie van artikel 83 lid 4 AVG. De precieze gevolgen hangen af van ernst, omstandigheden en toezichthoudend optreden. Vermijd daarom de claim dat een ontbrekende regel automatisch tot een bepaalde boete leidt. Ons overzicht van AVG-boetecategorieën licht de wettelijke kaders toe. De betere reden om het register te onderhouden is dat het de organisatie laat zien welke gegevens zij gebruikt en welke maatregelen zij moet controleren.
Tabel of software?
Artikel 30 laat een schriftelijk of elektronisch register toe. Een zorgvuldig beheerde spreadsheet kan voldoen, ook bij meer dan dertig activiteiten. Een applicatie kan nuttig zijn bij veel proceseigenaren, verschillende rechtspersonen, frequent wisselende leveranciers of een behoefte aan goedkeuringsstappen. Er is geen wettelijke of bewezen economische grens van dertig activiteiten. Test een werkelijke wijziging en export: hoeveel stappen kost het om een verwerker toe te voegen, welke velden raken verouderd en kan een collega zonder uitleg het resultaat lezen? Ons artikel over verwerkingsregister-software biedt een aparte selectiemethode.
De beveiligingsplicht van artikel 32 geldt voor het onderliggende verwerken en ook voor passende bescherming van het register zelf. Geef niet iedereen toegang tot systeemlocaties, leveranciers en maatregelen als zij die niet nodig hebben. Een tool met veel velden kan onbedoeld extra persoonsgegevens verzamelen; dat maakt het overzicht niet beter. Een heldere categorieomschrijving, eigenaar en wijzigingsproces zijn vaak waardevoller dan een ingewikkeld dashboard.
Veelgestelde vragen
Moet de rechtsgrond in elke artikel-30-rij staan?
De rechtsgrond is voor het register van de verantwoordelijke geen afzonderlijk letterlijk verplicht veld in artikel 30 lid 1. De verwerking moet uiteraard wel een geldige grondslag hebben. Daarom is het meestal verstandig die als extra veld met motivering op te nemen of naar de onderbouwing te verwijzen.
Mag ik het register in Excel maken?
Ja, als het volledig, actueel en op verzoek beschikbaar is. Controleer toegangsrechten, versies en verantwoordelijkheid voor wijzigingen. Er bestaat geen aantal regels waarboven Excel juridisch verboden is.
Wat als ik ook verwerker ben?
Leg uw eigen activiteiten als verantwoordelijke en de categorieën diensten namens klanten volgens artikel 30 lid 2 vast. Gebruik gerust één systeem, zolang de rollen, verantwoordelijken en verplichte velden goed te onderscheiden zijn.
Moet een DPIA in het register staan?
Artikel 30 verlangt geen volledige DPIA als registerveld. Een verwijzing naar de beoordeling of het dossier is praktisch, vooral wanneer een nieuw doel of een technische wijziging een nieuwe risicobeoordeling vraagt. Voor de werkwijze zie ons DPIA-stappenplan.
Wat is de kortste bruikbare registerregel?
Een regel die alle toepasselijke verplichte velden bevat en het doel, de betrokkenen, gegevens, ontvangers en verwijderlogica begrijpelijk maakt. Kort kan goed zijn; vaag niet. Het voorbeeld hierboven is een beginpunt, geen universele standaard voor elk bedrijf.