Normity

Een verwerkingsregister is een overzicht van alle verwerkingen van persoonsgegevens binnen een organisatie, verplicht onder artikel 30 AVG. Per verwerking worden doel, grondslag, categorieën betrokkenen, categorieën gegevens, bewaartermijn, ontvangers en eventuele doorgifte buiten de EU vastgelegd.

Een verwerkingsregister is verplicht voor organisaties met meer dan 250 medewerkers én voor alle organisaties die structureel of risicovol persoonsgegevens verwerken (ook kleinere). In de praktijk vallen vrijwel alle Nederlandse organisaties hieronder. Ook verwerkers (leveranciers die voor jou persoonsgegevens verwerken) moeten een register bijhouden.

Per verwerking minimaal: naam en contactgegevens van de verantwoordelijke, doel van de verwerking, grondslag, categorieën betrokkenen (klanten, medewerkers), categorieën gegevens (NAW, gezondheid), categorieën ontvangers, doorgifte buiten EU, bewaartermijn en een algemene beschrijving van technische en organisatorische maatregelen.

De verwerkingsverantwoordelijke registreert alle eigen verwerkingen (doel, grondslag, enzovoort). De verwerker (bijvoorbeeld een SaaS-leverancier) registreert welke verwerkingen zij namens welke klant uitvoert. De registers hebben overlappende maar niet identieke eisen. Veel organisaties zijn beide tegelijk en houden twee registers bij.

Nee, het verwerkingsregister is géén openbaar document. Wel moet je het desgevraagd kunnen overleggen aan de Autoriteit Persoonsgegevens. Openbaar via je website hoef je het register niet te maken — daarvoor dient de privacyverklaring, die een samenvatting biedt voor betrokkenen.

Het register moet actueel zijn op elk moment dat de AP erom vraagt. Dat betekent: bij elke nieuwe verwerking (nieuwe tool, nieuwe dienst, nieuw proces) uitbreiden. Gewijzigde verwerkingen bijwerken. Periodiek (minimaal jaarlijks) integraal herzien. Eigenaarschap per verwerking beleggen helpt om het actueel te houden.

Een verwerkingsregister is intern en gedetailleerd — bedoeld voor audit en toezicht. Een privacyverklaring is extern en samengevat — bedoeld voor betrokkenen om hen te informeren over hun rechten en welke gegevens je verwerkt. Het register is de bron; de privacyverklaring een publiekelijke uitsnede ervan.

Een register kan in Excel, maar raakt bij groei snel onoverzichtelijk. Dedicated privacy-tooling (zoals Normity, OneTrust, ComplianceDesk) biedt versiebeheer, workflows, koppeling met DPIA's, verwerkersovereenkomsten en datalekregistratie. Voor organisaties met meer dan 20 verwerkingen is dedicated tooling sterk aan te raden.