Verwerkingsregister (AVG artikel 30) met voorbeeld
Een verwerkingsregister is een overzicht van alle verwerkingen van persoonsgegevens in je organisatie: welke gegevens, van wie, waarvoor, hoelang en met wie je ze deelt. De plicht staat in artikel 30 van de AVG , waar het “register van de verwerkingsactiviteiten” heet. De Autoriteit Persoonsgegevens noemt het register een van de verplichte maatregelen onder de verantwoordingsplicht.
Voor ISO 27701 is het register het fundament van je PIMS. Zonder register kun je geen risicoanalyse, DPIA of rechtenverzoek goed afhandelen. Op deze pagina vind je wat er verplicht in moet, een voorbeeld dat je kunt overnemen en de fouten die auditors het vaakst zien.
Ben je verplicht een verwerkingsregister bij te houden?
Bijna altijd wel. Organisaties met meer dan 250 medewerkers moeten altijd een register hebben. Kleinere organisaties ook, zodra één van deze drie situaties geldt (artikel 30 lid 5):
| Situatie | Komt dit bij jou voor? |
|---|---|
| De verwerking is niet incidenteel | Vrijwel altijd: salarisadministratie en klantgegevens zijn structureel |
| De verwerking brengt een risico voor betrokkenen mee | Bijvoorbeeld cameratoezicht of locatiegegevens |
| Je verwerkt bijzondere persoonsgegevens | Gezondheid, ziekteverzuim, religie, biometrie |
De AP zegt zelf dat verwerkingen in de praktijk zelden incidenteel zijn. Een bedrijf met vijf medewerkers en een klantenbestand heeft dus ook een register nodig. De uitzondering voor kleine organisaties is in de praktijk heel smal.
Wat moet er in een verwerkingsregister staan?
De AVG schrijft per rol voor welke informatie erin moet. Ben je verwerkingsverantwoordelijke, dan leg je per verwerking het volgende vast.
| Verplicht veld (art. 30 lid 1) | Toelichting |
|---|---|
| Naam en contactgegevens | Van je organisatie, eventuele gezamenlijke verantwoordelijken en je functionaris gegevensbescherming (FG) |
| Doeleinden | Waarom je de gegevens verwerkt |
| Categorieën betrokkenen | Bijvoorbeeld klanten, medewerkers, sollicitanten |
| Categorieën persoonsgegevens | Bijvoorbeeld NAW, BSN, verzuimgegevens |
| Categorieën ontvangers | Aan wie je gegevens verstrekt, ook verwerkers |
| Doorgifte buiten de EER | Naar welk land, en op welke basis |
| Bewaartermijnen | Wanneer je de gegevens wist, als dat bekend is |
| Beveiligingsmaatregelen | Een algemene beschrijving |
De AP raadt aan ook de grondslag per verwerking op te nemen. Dat is niet verplicht, maar zonder grondslag in het register kun je je verantwoordingsplicht lastig waarmaken. ISO 27701 vraagt er feitelijk wel om.
Voorbeeld verwerkingsregister (verantwoordelijke)
Fictief voorbeeld. Installatiebedrijf Van Dijk heeft 40 medewerkers en werkt voor particulieren en woningcorporaties. Dit zijn vier regels uit het register. Neem de kolommen over en vul ze voor je eigen verwerkingen in.
| Verwerking | Doel | Grondslag | Betrokkenen | Gegevens | Ontvangers | Bewaartermijn | Beveiliging |
|---|---|---|---|---|---|---|---|
| Salarisadministratie | Loon betalen, loonaangifte | Wettelijke plicht, overeenkomst | Medewerkers | NAW, BSN, IBAN, loon | Salarisverwerker, Belastingdienst | 7 jaar na einde jaar (fiscaal) | Toegang alleen HR en directie |
| Verzuimregistratie | Re-integratie en loondoorbetaling | Wettelijke plicht | Medewerkers | Ziek- en hersteldatum, geen diagnose | Arbodienst | 2 jaar na einde verzuim | Apart dossier, alleen HR |
| Werkbonnen en planning | Opdrachten uitvoeren | Overeenkomst | Klanten, huurders | Naam, adres, telefoon, foto’s van installatie | Planningssoftware (verwerker) | 7 jaar (factuurgegevens) | Persoonlijke accounts, tweestapsverificatie |
| Voertuigvolgsysteem | Ritregistratie en planning | Gerechtvaardigd belang | Monteurs | Locatie, ritten | Leverancier track-and-trace | 1 jaar | Geen inzage tijdens privétijd |
Let op de laatste regel. Locatiegegevens van werknemers staan op de lijst van de AP waarvoor een DPIA verplicht is. Het register wijst je zo vanzelf op verwerkingen die extra aandacht nodig hebben.
De bewaartermijnen in dit voorbeeld zijn indicaties. Controleer per verwerking welke wettelijke termijn geldt, bijvoorbeeld de fiscale bewaarplicht. Waar geen wettelijke termijn is, kies je zelf een termijn en onderbouw je die.
Verwerkingsregister van een verwerker
Werk je in opdracht van klanten, zoals een softwareleverancier of administratiekantoor, dan houd je een apart register bij (artikel 30 lid 2). Dat is korter.
| Verplicht veld | Voorbeeld voor een SaaS-leverancier |
|---|---|
| Naam en contactgegevens van jou, elke klant en je FG | Klant: Gemeente X, contact: privacyteam |
| Categorieën verwerkingen per klant | Hosting en beheer van het zaaksysteem, back-ups, support |
| Doorgifte buiten de EER | Geen; supporttool in de EU |
| Beveiligingsmaatregelen | Versleuteling, logging, jaarlijkse pentest |
Veel bedrijven zijn allebei: verwerker voor klantdata, verantwoordelijke voor eigen personeel. Dan heb je twee registers, of één register met een duidelijke kolom “rol”.
Hoe stel je een verwerkingsregister op?
Begin niet met een leeg Excel-bestand, maar met gesprekken. Loop per afdeling na welke systemen en lijsten met persoonsgegevens er zijn. HR, verkoop, klantenservice en IT leveren de meeste verwerkingen op.
Leg daarna per verwerking de velden uit de tabel vast. Koppel elke verwerking aan de systemen uit je assetregister en aan de verwerkersovereenkomst met de leverancier. Zo zie je meteen waar een overeenkomst ontbreekt.
Wijs per verwerking een eigenaar aan. Die eigenaar meldt wijzigingen, zoals een nieuwe leverancier of een nieuw doel. Plan minimaal één keer per jaar een controle.
Verwerkingsregister en ISO 27701
ISO 27701 maakt van het register een levend document. De norm vraagt dat je weet welke persoonsgegevens je verwerkt, voor welk doel en op welke grondslag. Bij de ISO 27701-audit is het register een van de eerste documenten die de auditor opvraagt.
| Wat de auditor controleert | Hoe je het aantoont |
|---|---|
| Volledigheid | Register sluit aan op systemen, leveranciers en processen |
| Actualiteit | Wijzigingsdatum en eigenaar per regel |
| Grondslag per doel | Ingevuld en onderbouwd |
| Koppeling met risico’s | Hoog-risicoverwerkingen hebben een DPIA |
| Bewaartermijnen worden nageleefd | Verwijderlog of steekproef |
Een register dat ooit is opgesteld en nooit is bijgewerkt, is de meest gevonden afwijking. Software kan helpen; lees daarvoor PIMS-software kiezen.
Veelgemaakte fouten in het verwerkingsregister
- Systemen in plaats van verwerkingen. “Microsoft 365” is geen verwerking. “Klantcorrespondentie” wel.
- Geen bewaartermijn. “Zo lang als nodig” is niet genoeg. Noem een termijn of een moment.
- Bijzondere gegevens niet apart benoemd. Verzuim, gezondheid en BSN horen expliciet in het register.
- Het register staat los van de praktijk. Nieuwe tools komen erbij zonder dat iemand het register aanpast.
Veelgestelde vragen over het verwerkingsregister
Mag een verwerkingsregister in Excel?
Ja. De AP zegt dat je zelf mag weten hoe je het register opstelt, zolang de verplichte velden erin staan. Een spreadsheet is voor een klein bedrijf prima. Met veel verwerkingen of meerdere rollen wordt software overzichtelijker.
Moet je het verwerkingsregister openbaar maken?
Nee. Je moet het register wel op verzoek aan de Autoriteit Persoonsgegevens kunnen laten zien (artikel 30 lid 4). Betrokkenen informeer je via je privacyverklaring, niet via het register.
Hoe vaak werk je het verwerkingsregister bij?
Bij elke wijziging: een nieuwe tool, een nieuw doel of een nieuwe leverancier. Plan daarnaast minimaal één keer per jaar een volledige controle met de eigenaren van de verwerkingen.
Meer lezen
- DPIA uitvoeren - Voor verwerkingen met hoog risico uit je register
- Verwerkersovereenkomst - Voor elke verwerker die in je register staat
- Stappenplan ISO 27701 - Het register als stap 3
- AP over het verwerkingsregister - Uitleg van de toezichthouder