U kunt uw verwerkingsregister in principe volledig zelf bijhouden. De AVG schrijft geen specifiek programma of format voor: een goed onderhouden document of spreadsheet voldoet, zolang het compleet, juist en actueel is. Waar het op aankomt is niet het gereedschap, maar de inhoud: welke persoonsgegevens u verwerkt, met welk doel, wie erbij kan, hoe lang u ze bewaart en welke andere partijen ze onder ogen krijgen.
De praktische vraag is dus niet of het mag, maar of het bij uw bedrijf houdbaar blijft. Bij een handjevol vaste verwerkingen — een boekhoudpakket, een salarisadministratie, een CRM — is een zelfgemaakt overzicht vaak prima te onderhouden. Zodra het aantal tools groeit, verwerkers wisselen of medewerkers zelf software aanschaffen, wordt het onderhoud een terugkerende klus die makkelijk vooruitgeschoven wordt.
Wat hoort er sowieso in te staan
Een register beschrijft per verwerking het doel, de categorieën gegevens en betrokkenen, de bewaartermijn of een indicatie daarvan, en de partijen waarmee gegevens worden gedeeld. Bij verwerkingen die via een externe partij lopen, hoort ook te blijken of daar een verwerkersovereenkomst onder ligt. De precieze eisen en de uitzonderingen daarop staan in de AVG zelf en zijn uitgewerkt in richtsnoeren van de Autoriteit Persoonsgegevens en de EDPB. Wilt u dit per situatie uitgezocht zien, dan vindt u dat in de kennisbank waar dit per situatie is uitgezocht.
Waarom het op papier lastig wordt
Het probleem is meestal niet het opzetten, maar het bijhouden. Een MKB-bedrijf sluit in de loop van een jaar nieuwe SaaS-abonnementen af, stopt met andere, en de verwerkersovereenkomst die erbij hoort verandert soms zonder dat iemand het merkt. Een spreadsheet die bij de start klopte, is na een paar maanden vaak alleen nog een momentopname. Dat wordt pas zichtbaar op het moment dat het ertoe doet: bij een verzoek van een betrokkene, bij een aanbesteding, of wanneer een toezichthouder ernaar vraagt.
Daar zit het echte onderscheid tussen zelf doen en het laten ondersteunen. Zelf een register bijhouden is geen probleem zolang er iemand is die structureel de tijd neemt om het te controleren en aan te vullen. Bij veel kleine bedrijven is die tijd er wel bij de start, en verdwijnt hij zodra de waan van de dag het overneemt.
Zelf doen, een tool gebruiken, of uitbesteden
Tussen volledig zelf doen en volledig uitbesteden ligt een middenweg: een systeem dat het register vult vanuit een bibliotheek van bekende tools en u waarschuwt als er iets ontbreekt of verandert. Dat scheelt niet het denkwerk over wat er in moet staan — dat blijft aan u — maar wel het risico dat een wijziging onopgemerkt blijft. Of dat voor uw bedrijf de moeite waard is, hangt af van het aantal verwerkingen en hoe vaak dat aantal verandert. Een overzicht van wat daarbij hoort en wat het kost, staat op de pagina met de prijzen van het systeem.
Wie het liever eerst zelf probeert, kan dat gewoon doen. De AVG verplicht niet tot een betaald systeem. Wat de wet wel vraagt, is dat het register op elk moment een juiste weergave is van de werkelijkheid — niet alleen op de dag dat het is gemaakt.
Wat u nooit kunt uitbesteden
Of u het register nu in een spreadsheet bijhoudt of in een systeem laat vullen: de verantwoordelijkheid voor de juistheid blijft bij de organisatie liggen, niet bij het gereedschap. Een tool kan signaleren dat een verwerkersovereenkomst verlopen is of dat een nieuwe SaaS-tool nog niet is opgenomen, maar de beslissing wat u daarmee doet, en of een verwerking eigenlijk wel nodig is, blijft aan u. Voor de invulling van uw specifieke situatie is dat iets om met een jurist of, bij twijfel over de wet zelf, met de Autoriteit Persoonsgegevens te bespreken.
Wilt u eerst zien hoe zoiets in de praktijk werkt voordat u kiest tussen zelf doen en ondersteuning, dan kunt u de veelgestelde vragen over het register doorlezen of via de registreerpagina een zakelijk account aanmaken en het verschil zelf bekijken.
Als u wilt weten waar uw bedrijf op dit moment staat, is de gratis quick-scan een goed startpunt: geen verplichting, alleen een indicatie van wat voor uw situatie relevant is.