Verwerkingsregister opstellen

Verwerkt uw bedrijf persoonsgegevens? U bewaart, gebruikt of deelt bijvoorbeeld namen, adresgegevens en telefoonnummers? Dan moet u kunnen laten zien dat u zich houdt aan de privacywet, de Algemene verordening gegevensbescherming (AVG). Dit is de verantwoordingsplicht. U moet misschien een verwerkingsregister hebben. In een verwerkingsregister staat informatie over de persoonsgegevens die u verwerkt.

Is een verwerkingsregister verplicht?

Of een verwerkingsregister AVG voor u verplicht is, heeft te maken met het soort gegevens dat uw bedrijf verwerkt en hoe groot uw bedrijf is:

• Werken er meer dan 250 mensen in uw bedrijf? Dan moet u een verwerkingsregister bijhouden.
• Werken er minder dan 250 mensen in uw bedrijf? Dan hoeft u niet altijd een verwerkingsregister bij te houden.

In deze situaties moet u altijd een verwerkingsregister bijhouden, dus ook als u minder dan 250 medewerkers heeft:

• U verwerkt met enige regelmaat persoonsgegevens (dit is in de meeste bedrijven het geval, denk aan persoonsgegevens van medewerkers of klanten).
• U verwerkt persoonsgegevens met een hoog risico voor de rechten en vrijheden van de betrokken personen.
• U verwerkt bijzondere persoonsgegevens (bijvoorbeeld gegevens over gezondheid, geloof of politieke voorkeur) of strafrechtelijke gegevens.

Bent u verplicht een verwerkingsregister bij te houden? Dan moet u dit laten zien als de Autoriteit Persoonsgegevens dat vraagt.

Verwerkingsverantwoordelijke en verwerker moeten verwerkingsregister bijhouden

Bent u de organisatie die bepaalt waarom en hoe de persoonsgegevens worden gebruikt? Dan bent u de verwerkingsverantwoordelijke. U moet een verwerkingsregister bijhouden.

Verwerkt u persoonsgegevens in opdracht van een andere organisatie? Dan bent u de verwerker. Dan moet u ook een verwerkingsregister bijhouden.

Wat moet er in een verwerkingsregister staan?

In het verwerkingsregister staat informatie over persoonsgegevens die u verwerkt. U mag zelf weten hoe u het verwerkingsregister opstelt. Volgens de privacywet moet er in ieder geval het volgende in een verwerkingsregister staan:

• naam en contactgegevens van uw bedrijf of van uw verwerkingsverantwoordelijke
• met welke andere organisaties u bepaalt welke gegevens u verwerkt en hoe, als u die heeft
• contactgegevens van de functionaris gegevensbescherming, als u die heeft
• het doel van de gegevensverwerking
• een beschrijving van de groepen personen van wie u gegevens verwerkt
• een beschrijving van de soort persoonsgegevens die u verwerkt
• de datum waarop u de gegevens moet wissen
• met welke organisaties u de persoonsgegevens deelt en of dit organisaties buiten de EER zijn
• wat u doet om de persoonsgegevens te beveiligen

Voorbeeld verwerkingsregister

Er bestaat geen standaard model van een verwerkingsregister. U mag zelf bepalen hoe u het verwerkingsregister opstelt. Zoekt u een voorbeeld van een verwerkingsregister voor uw bedrijf? Informeer dan bij uw brancheorganisatie. Bekijk een voorbeeld op de website van Kamer van Koophandel.

Privacyverklaring

Als u persoonsgegevens verwerkt heeft u naast een verantwoordingsplicht ook een informatieplicht. U moet uw klanten laten weten wat u met hun persoonsgegevens doet. Dat kunt u doen met een privacyverklaring.