Het korte antwoord
De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt, ongeacht de omvang. Dat betekent dat ook een installatiebedrijf met vier medewerkers, een eenmanszaak met klanten, of een stichting met vrijwilligers in beginsel onder de verordening valt zodra er namen, e-mailadressen, salarisgegevens of andere persoonsgegevens worden vastgelegd. Voor het bijhouden van een verwerkingsregister kent de AVG een uitzondering voor organisaties met minder dan 250 medewerkers, maar die uitzondering geldt alleen als aan een aantal voorwaarden tegelijk wordt voldaan.
In de praktijk voldoen weinig MKB-bedrijven aan al die voorwaarden, simpelweg omdat een personeelsadministratie, een klantenbestand of een cameraopname al snel als structurele verwerking wordt gezien. Of de uitzondering voor uw organisatie precies opgaat, is iets wat u het beste kunt nagaan aan de hand van de wettekst zelf of met een jurist; dit artikel beschrijft wanneer de vraag relevant wordt en waar u op kunt letten.
Wat de uitzondering precies inhoudt
De AVG bepaalt in artikel 30, vijfde lid, dat de verplichting om een verwerkingsregister bij te houden niet geldt voor organisaties met minder dan 250 medewerkers, tenzij de verwerking die zij uitvoeren een risico inhoudt voor de rechten en vrijheden van betrokkenen, niet incidenteel is, of bijzondere categorieën van persoonsgegevens betreft zoals gezondheidsgegevens. Al deze uitzonderingen op de uitzondering staan er met een reden: de wetgever wilde kleine organisaties niet vrijstellen van overzicht houden, alleen van de formele registerplicht in specifieke, beperkte gevallen.
Het woord "incidenteel" is daarbij het meest bepalende. Een salarisadministratie die elke maand loopt, een klantenbestand dat u dagelijks bijwerkt, of camera's die continu beelden vastleggen, zijn geen incidentele verwerkingen. Zodra een verwerking structureel onderdeel is van de bedrijfsvoering, ligt de uitzondering al snel buiten bereik.
Wanneer de vraag voor u speelt
De vraag "geldt dit voor mij" is vooral relevant voor zzp'ers zonder personeel en zonder vaste klantenadministratie, die af en toe een factuur sturen en verder weinig persoonsgegevens vastleggen. Voor hen kan de uitzondering in theorie opgaan. Zodra er personeel bijkomt, een CRM-systeem wordt gebruikt, sollicitaties worden bewaard, of een website bezoekersgegevens verzamelt via cookies of een contactformulier, is er vrijwel altijd sprake van structurele verwerking en is de uitzondering niet meer aan de orde.
Een installatiebedrijf met een personeelsadministratie, een planningssysteem met klantgegevens en misschien een camera bij de werkplaats valt daarmee buiten de uitzondering. Een HR-manager die sollicitatiegegevens, verzuimdossiers en salarisgegevens beheert, verwerkt al helemaal structureel. Voor deze bedrijven is een verwerkingsregister niet alleen een wettelijke kwestie, maar ook praktisch nuttig: het geeft in één oogopslag overzicht van welke systemen welke gegevens bevatten, wie daarbij mag, en hoe lang gegevens bewaard blijven.
Waarom het register ook zonder verplichting nuttig is
Onafhankelijk van de vraag of de uitzondering precies opgaat, vragen klanten, verzekeraars en aanbestedende partijen steeds vaker om aan te tonen dat een organisatie grip heeft op haar persoonsgegevens. Een verwerkingsregister is daarbij het eerste document waar men naar vraagt. Wie moet uitleggen welke SaaS-tools worden gebruikt, welke verwerkersovereenkomsten daarbij horen en wie waarvoor verantwoordelijk is, heeft baat bij een register dat al bijgehouden wordt, in plaats van er op het laatste moment een op te stellen.
Dat overzicht hoeft niet ingewikkeld te zijn. Het gaat om per verwerking vastleggen welke gegevens het betreft, met welk doel ze worden verwerkt, wie er toegang toe heeft, of er een derde partij bij betrokken is, en hoe lang de gegevens bewaard blijven. In de kennisbank met AVG-onderwerpen per situatie staat uitgewerkt wat er per type verwerking concreet in hoort, met de vindplaats in de officiële tekst erbij.
Hoe u dit voor uw eigen situatie beoordeelt
Of uw bedrijf onder de uitzondering valt, hangt af van de precieze aard en frequentie van de verwerkingen die u uitvoert, en dat is een beoordeling die per organisatie verschilt. De Autoriteit Persoonsgegevens publiceert richtsnoeren over de reikwijdte van de registerplicht, en voor een oordeel over uw specifieke situatie is het raadzaam die te raadplegen of een jurist te betrekken. Wat wij op gdpria.eu doen, is structuur aanbrengen: uitleggen wat de regel inhoudt, met bron, zodat u zelf kunt beoordelen waar u staat. Op de pagina over waar onze informatie vandaan komt leest u hoe die koppeling met de wettekst en de richtsnoeren precies werkt.
Veelgestelde twijfelgevallen, zoals een zzp'er met één vaste opdrachtgever of een stichting met alleen vrijwilligers, komen terug in de veelgestelde vragen over de AVG in de praktijk. Vaak blijkt dat de discussie over de uitzondering minder belangrijk is dan gedacht, omdat een overzichtelijk register sowieso helpt bij het beantwoorden van vragen van klanten of het afhandelen van een verzoek van een betrokkene.
Kort samengevat
De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt. De uitzondering op de registerplicht is smal en geldt alleen als de verwerking incidenteel is, geen risico met zich meebrengt en geen bijzondere gegevens betreft. Voor de meeste MKB-bedrijven met personeel, klanten of een website ligt die uitzondering buiten bereik, en is een overzicht van de eigen verwerkingen vooral praktisch nut.
Wilt u snel zien waar uw eigen situatie staat? Doe de gratis quick-scan of blader door de onderwerpen op een zakelijk account aanmaken en zelf beginnen.