Beoordeel de registratieplicht zorgvuldig
De AVG kent een uitzondering voor organisaties met minder dan 250 medewerkers, maar die uitzondering is beperkt en bevat belangrijke voorwaarden. Onder meer niet-incidentele verwerkingen, bepaalde risico’s en de verwerking van bijzondere of strafrechtelijke gegevens kunnen maken dat registratie toch nodig is. Klein zijn betekent dus niet dat een bedrijf zijn doorlopende personeels- of klantenprocessen buiten beschouwing kan laten.
Onderzoek bovendien in welke rol de organisatie handelt. Een verwerkingsverantwoordelijke registreert andere informatie dan een verwerker die voor opdrachtgevers werkt. Een onderneming kan beide rollen hebben voor verschillende activiteiten. Houd die overzichten herkenbaar gescheiden, zonder uit iedere zakelijke samenwerking automatisch een verwerkersrelatie af te leiden.
Kies processen als eenheid van beschrijving
Hetzelfde programma kan verschillende doelen ondersteunen. Een contactplatform bevat bijvoorbeeld gegevens voor verkoop, klachten en nieuwsbrieven. Omgekeerd kan één proces over meerdere applicaties, mailboxen en papieren documenten lopen. Daarom is een register met uitsluitend productnamen onvoldoende om de verwerking te begrijpen.
Kies een detailniveau waarop wezenlijke verschillen zichtbaar blijven. Splits activiteiten wanneer doel, betrokkenen of bewaarbeleid duidelijk verschillen. Maak het register ook niet zo fijnmazig dat iedere e-mail een afzonderlijke regel krijgt. Een korte toelichting op de gekozen indeling, aangevuld met herkenbare voorbeelden en een aangewezen contactpersoon voor twijfelgevallen, helpt medewerkers om latere activiteiten op dezelfde manier toe te voegen.
Een ledenorganisatie gebruikt één pakket voor drie doelen
Deze fictieve organisatie gebruikt voor alle drie de activiteiten hetzelfde ledenpakket. Toch verschillen de toegang, ontvangers en bewaarbehoefte. Eén regel met de omschrijving ledenadministratie zou die verschillen verbergen. Door de activiteiten uit elkaar te halen kan de beheerder gerichte rechten instellen en tijdelijke excursielijsten verwijderen zonder de onderbouwing van een betaling kwijt te raken.
| Activiteit | Relevante gegevensgroep | Eigen aandachtspunt |
|---|---|---|
| Inschrijving als lid | Contactgegevens en lidmaatschapsstatus | Vaststellen wie de ledenlijst beheert en welke communicatie noodzakelijk is |
| Aanmelding voor excursies | Deelnemers, gekozen datum en bereikbaarheid | Bepalen welke tijdelijke lijst een excursiebegeleider werkelijk nodig heeft |
| Verstrekken van vrijwilligersvergoedingen | Betalingsgegevens en onderbouwing van de vergoeding | Afzonderlijk beoordelen welke administratie moet blijven bestaan |
Leg verplichte en ondersteunende informatie vast
Voor een verantwoordelijke noemt de AVG onder meer identificatie en contactgegevens, doeleinden, categorieën betrokkenen en persoonsgegevens, ontvangers en eventuele doorgifte naar derde landen. Waar mogelijk horen ook voorziene verwijdertermijnen en een algemene beschrijving van beveiligingsmaatregelen in het overzicht. De precieze wettelijke inhoud hangt samen met de rol waarin het register wordt bijgehouden.
Aanvullende velden kunnen praktisch nuttig zijn, zoals de gekozen grondslag, proceseigenaar en verwijzingen naar afspraken of een DPIA. Maak zichtbaar welke velden een eigen beheerskeuze zijn. Zet geen wachtwoorden, volledige medische dossiers of persoonsgegevens van alle betrokkenen in het register. Het beschrijft categorieën en processen; gevoelige bronbestanden worden daardoor niet noodzakelijk onderdeel van het register zelf.
Verzamel informatie via de werkvloer
Vraag medewerkers te laten zien hoe een aanvraag werkelijk binnenkomt, waar een bestand wordt opgeslagen en wie een export ontvangt. Een gesprek met alleen de softwarebeheerder mist vaak papieren lijsten of lokale werkkopieën. Gebruik voorbeelden met afgeschermde gegevens en noteer onzekerheden totdat de juiste verantwoordelijke ze heeft beantwoord.
Vergelijk de uitkomst met leverancierscontracten en gepubliceerde informatie. Als het register zegt dat gegevens uitsluitend intern blijven, terwijl een externe helpdesk toegang heeft, moet dat verschil worden onderzocht. Het register hoort de werkelijkheid te beschrijven. Het aanpassen van één veld maakt een onjuiste gegevensdeling nog niet rechtmatig.
Organiseer wijzigingen en eigenaarschap
Wijs een beheerder aan die de samenhang bewaakt en laat proceseigenaren inhoudelijke wijzigingen bevestigen. Koppel actualisering aan herkenbare gebeurtenissen, zoals een nieuwe dienst, andere leverancier of gewijzigde bewaartermijn. Een jaarlijkse controle kan nuttig zijn, maar voorkomt niet dat een grote verandering tussentijds ongedocumenteerd blijft.
Bewaar het register elektronisch of schriftelijk op een vindbare, beheerde plek. Versiegeschiedenis helpt om te begrijpen wanneer een verwerking is veranderd. Een werkbaar resultaat bevat ook openstaande onderzoekspunten, zodat onbekende doorgiften of onduidelijke bewaartermijnen zichtbaar blijven. Voor een hoog risico kan een DPIA nodig zijn. De uitleg aan betrokkenen wordt vervolgens uitgewerkt in een passende privacyverklaring, die op dezelfde feiten aansluit maar een ander doel en publiek heeft.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbescherming (2016/679)Geraadpleegd op 2026-09-12