Iedere ondernemer weet intussen wel dat hij niet zomaar persoonsgegevens mag verwerken en dat daar meestal een toestemming voor nodig is. Daarnaast heb je echter ook een verantwoordingsplicht. Je moet kunnen bewijzen dat je verwerking aan het AVG-beginsel voldoet, maar daarnaast moeten de meeste ondernemers ook een verwerkingsregister bijhouden. Wij van MKB Juristen geven aan wat je daarover moet weten.
Wat is een verwerkingsregister?
Het verwerkingsregister legt eigenlijk niet meteen nieuwe verplichtingen op, maar catalogeert alle persoonsgegevens die je verwerkt en hoe je met die persoonsgegevens omgaat. Via het verwerkingsregister toon je aan dat je voldoet aan de privacyregels. Door het opstellen en bijhouden van het verwerkingsregister moet je bovendien goed nadenken over alle persoonsgegevens, waardoor het voor een grotere mate van bewustwording zorgt.
Moet ik een verwerkingsregister hebben?
Organisaties met meer dan 250 medewerkers moeten altijd een verwerkingsregister bijhouden. Voor kleinere organisaties is het enkel verplicht als de verwerking niet incidenteel gebeurt en ook dan zijn er een aantal uitzonderingen, bijvoorbeeld voor bijzondere persoonsgegevens. Laat er echter geen twijfel over bestaan: het verwerken van persoonsgegevens is zelden incidenteel. Vrijwel iedere organisatie verwerkt niet-incidenteel persoonsgegevens van klanten, medewerkers of prospects en moet een verwerkingsregister hebben.
De Autoriteit Persoonsgegevens kan steeds vragen om het verwerkingsregister voor te leggen en dat moet je dan ook doen. Het is nu eenmaal een onderdeel van je verantwoordingsplicht. Doe je het niet of heb je geen verwerkingsregister? Dan riskeer je fikse boetes.
Wat moet er in het verwerkingsregister staan?
Het verwerkingsregister moet alle informatie bevatten over de door jou verwerkte persoonsgegevens. De AVG schrijft een aantal minimale verplichte vermeldingen voor, zoals de naam en contactgegevens van de vertegenwoordiger van je organisatie, de FG (functionaris gegevensbescherming) en internationale organisaties met wie je persoonsgegevens deelt. Daarnaast moeten ook volgende gegevens in het verwerkingsregister worden opgenomen (door de verwerkingsverantwoordelijke):
- Alle doeleinden waarvoor je persoonsgegevens verwerkt
- De categorieën van personen (bv. klanten of prospects)
- De categorieën van persoonsgegevens (bv. telefoonnummers of IP-adressen)
- De bewaartermijn
- De ontvangers van de persoonsgegevens
- Of je de persoonsgegevens deelt met organisaties buiten de EU (en met wie)
- Beschrijving van de technische en organisatorische maatregelen om de verwerkte persoonsgegevens te beveiligen
In principe mag je verder zelf kiezen hoe je het verwerkingsregister opstelt of bijhoudt. Houd er wel rekening mee dat je ook als verwerker een verwerkingsregister moet bijhouden. In dat geval mag het wel beknopter zijn:
- Naam en contactgegevens van de verwerkingsverantwoordelijke, eventueel ook van de FG
- Beschrijving van de categorieën van verwerkingen
- Eventuele internationale organisaties waarmee je persoonsgegevens deelt
- Eventuele internationale organisaties buiten de EU waarmee je persoonsgegevens deelt
- Beschrijving van de technische en organisatorische maatregelen om de verwerkte persoonsgegevens te beveiligen.
Laat een verwerkingsregister opstellen
Omdat iedere organisatie op een andere manier met persoonsgegevens omgaat, is geen enkel verwerkingsregister identiek. Zomaar een voorbeeld van het internet plukken zal dan ook niet werken. MKB Juristen stelt voor een lage vaste prijs het verwerkingsregister op maat van je organisatie op. Bespaar op juridische kosten, maar niet op kwaliteit. Doe een beroep op MKB Juristen voor het opstellen van een AVG-verwerkingsregister.
