de Autoriteit Persoonsgegevens komt controleren wat moet ik kunnen laten zien

Het verwerkingsregister staat centraal bij een controle

Bij een controle van de Autoriteit Persoonsgegevens draait het in de meeste gevallen om één document als vertrekpunt: het verwerkingsregister. Daarin staat welke persoonsgegevens verwerkt worden, met welk doel, wie er toegang toe heeft, hoe lang ze bewaard worden en of ze met anderen gedeeld worden. Dit register is niet vrijblijvend — artikel 30 van de AVG beschrijft wat erin moet staan en voor wie de verplichting geldt. Naast het register vraagt een toezichthouder doorgaans ook naar de verwerkersovereenkomsten met de leveranciers die namens het bedrijf gegevens verwerken, en naar de manier waarop de beveiliging van die gegevens is ingericht.

Wat een controle verder oplevert, hangt af van waar het bedrijf zich op richt. Zo kan gevraagd worden naar de privacyverklaring die naar klanten of websitebezoekers gaat, naar bewijs dat een datalek destijds op tijd is beoordeeld, of naar de afweging die gemaakt is bij een risicovolle verwerking. Voor wie moet vaststellen wat er precies in het register hoort te staan, geeft wat moet er in een verwerkingsregister staan? een overzicht van de onderdelen. En omdat een controle zich ook uitstrekt tot de afspraken met SaaS-leveranciers of andere partijen die gegevens verwerken, is het antwoord op wat moet er in een verwerkersovereenkomst staan? relevant voor wat er getoond moet kunnen worden.

Waar dit uit volgt: artikel 30 en artikel 32 AVG

De verplichting om een register bij te houden staat in artikel 30 van de AVG, en dat register is in de praktijk het eerste stuk dat bij een controle op tafel komt. Artikel 32 van de AVG beschrijft de verplichting om passende technische en organisatorische maatregelen te treffen om gegevens te beveiligen, en een toezichthouder kan vragen hoe die maatregelen ingevuld zijn. Deze twee artikelen gelden rechtstreeks in de hele Europese Unie, dus de kern van wat getoond moet kunnen worden is overal gelijk. Wie de controle uitvoert en waar die aangevraagd of afgehandeld wordt, verschilt wel per land: in Nederland is dat de Autoriteit Persoonsgegevens, in andere lidstaten een andere nationale toezichthouder met eigen werkwijzen. Meer over de rol van de Nederlandse toezichthouder staat op de website van de Autoriteit Persoonsgegevens.