Wat moet er in een verwerkingsregister staan?

Wat er in het verwerkingsregister staat

Een verwerkingsregister beschrijft, per verwerking die een organisatie doet met persoonsgegevens, wie waarvoor verantwoordelijk is en wat er met de gegevens gebeurt. Concreet gaat het om de naam en contactgegevens van de organisatie (en van de functionaris gegevensbescherming, als die er is), de doeleinden waarvoor gegevens worden verwerkt, de categorieën betrokkenen en de categorieën persoonsgegevens die het betreft, de categorieën ontvangers aan wie gegevens worden verstrekt, of gegevens buiten de EU terechtkomen en zo ja onder welke waarborgen, de bewaartermijnen die worden aangehouden of het criterium waarmee die worden bepaald, en een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen.

Een organisatie die zelf als verwerker optreedt — dus in opdracht van een andere partij persoonsgegevens verwerkt — houdt een vergelijkbaar maar iets beperkter register bij, gericht op de categorieën verwerkingen die voor elke opdrachtgever worden uitgevoerd. Voor kleinere organisaties bevat artikel 30 van de AVG een uitzondering: wie minder dan tweehonderdvijftig personen in dienst heeft, hoeft dit register niet bij te houden, tenzij de verwerking een risico oplevert voor de rechten en vrijheden van betrokkenen, niet incidenteel is, of bijzondere categorieën gegevens dan wel gegevens over strafrechtelijke veroordelingen betreft. In de praktijk raakt die uitzondering minder MKB-bedrijven dan hij lijkt te beloven, omdat regelmatige verwerking van klant- of personeelsgegevens al snel niet als incidenteel geldt.

Waar dit uit volgt: artikel 30 AVG

Deze onderdelen staan opgesomd in artikel 30, eerste en tweede lid, van de AVG, met de uitzondering voor kleinere organisaties in het vijfde lid van datzelfde artikel; de Autoriteit Persoonsgegevens licht op haar website toe hoe zij hiernaar kijkt in de Nederlandse praktijk.