Wat moet er in een verwerkingsregister staan?

Acht vaste onderdelen vormen de kern van het register

Een verwerkingsregister bevat voor elke verwerking van persoonsgegevens een vaste set gegevens: de naam en contactgegevens van de organisatie (en van een eventuele functionaris gegevensbescherming), het doel van de verwerking, een beschrijving van de categorieën betrokkenen en de categorieën persoonsgegevens die worden verwerkt, de categorieën ontvangers aan wie gegevens worden verstrekt, en — als gegevens naar een land buiten de EU gaan — informatie over die doorgifte en de gebruikte waarborgen. Daarnaast horen er, voor zover mogelijk, de bewaartermijnen per categorie gegevens in te staan en een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen die worden getroffen.

Voor een organisatie die zelf verwerker is voor anderen — bijvoorbeeld een SaaS-leverancier die gegevens namens klanten verwerkt — ziet het register er iets anders uit: dan gaat het om de naam en contactgegevens van elke verwerkingsverantwoordelijke waarvoor wordt gewerkt, de categorieën verwerkingen die per opdrachtgever worden uitgevoerd, doorgifte-informatie en een beschrijving van de beveiligingsmaatregelen, maar niet om doel en bewaartermijn zoals bij de verantwoordelijke zelf. Een MKB-bedrijf dat softwaretools van derden gebruikt voor bijvoorbeeld salarisadministratie, klantenbeheer of e-mailmarketing, is voor die verwerkingen doorgaans zelf verwerkingsverantwoordelijke en vult het register dus in vanuit het eerste perspectief, met de toeleverancier als verwerker in de kolom ontvangers of verwerkers.

De basis: artikel 30 van de AVG

Deze indeling volgt rechtstreeks uit artikel 30 van de AVG, dat in lid 1 de inhoud voor verwerkingsverantwoordelijken beschrijft en in lid 2 de aangepaste inhoud voor verwerkers. De Autoriteit Persoonsgegevens geeft op haar website nadere toelichting op de praktische invulling van dit register en op de vraag voor wie de verplichting geldt.