Wie moet een register bijhouden?
Artikel 30 lid 5 AVG kent een uitzondering voor organisaties met minder dan 250 medewerkers, maar die vervalt zodra de verwerking een risico inhoudt, niet incidenteel is, of bijzondere of strafrechtelijke persoonsgegevens betreft. Voor gemeenten en woningcorporaties is dat altijd het geval: huurdersadministratie en burgerzaken zijn structureel, en er zitten gezondheidsgegevens, gegevens over schulden of overlastmeldingen bij. In de praktijk geldt de plicht dus onverkort, ook voor een kleine corporatie.
De zeven onderdelen (artikel 30 lid 1)
- Naam en contactgegevens van de verwerkingsverantwoordelijke, eventuele gezamenlijke verantwoordelijken en de functionaris gegevensbescherming.
- De verwerkingsdoeleinden.
- Categorieën van betrokkenen en van persoonsgegevens.
- Categorieën van ontvangers, ook die in derde landen of bij internationale organisaties.
- Doorgiften buiten de EER, met vermelding van het land en, bij uitzonderingsgevallen, de documenten over de waarborgen.
- Bewaartermijnen, indien mogelijk, per categorie gegevens.
- Een algemene beschrijving van de beveiligingsmaatregelen, indien mogelijk.
Het register mag elektronisch zijn (lid 3) en moet op verzoek aan de AP worden gegeven (lid 4). Dat laatste is geen theorie: de AP inspecteert sinds 2025 gemeenten juist op het register, de DPIA's en de positie van de functionaris gegevensbescherming.
Het tweede register: dat van uw leverancier
Artikel 30 lid 2 legt een eigen register op aan de verwerker. Daarin staan per opdrachtgever: de categorieën verwerkingen die hij voor u doet, de doorgiften buiten de EER en een algemene beschrijving van de beveiligingsmaatregelen.
Praktisch: neem in de verwerkersovereenkomst op dat de leverancier dat register op verzoek laat zien. Dat is meteen de goedkoopste controle die u heeft. Wat hij daar over doorgiften en subverwerkers noteert, hoort te kloppen met wat in uw eigen register en in de bijlagen van de overeenkomst staat. Zie ook de checklist verwerkersovereenkomst.
Waar het register en de overeenkomsten uit elkaar lopen
Drie patronen die we vaak zien:
- De leverancier ontbreekt. Er is een verwerking geregistreerd ("meldingen woonoverlast"), maar niet wie hem uitvoert. Of andersom: er ligt een verwerkersovereenkomst met een partij die nergens in het register voorkomt.
- De bewaartermijn verschilt. Het register zegt vijf jaar, de overeenkomst zegt "conform wettelijke termijnen", en het systeem verwijdert niets. Drie antwoorden op één vraag.
- De doorgifte klopt niet. Het register zegt "geen doorgifte buiten de EER", terwijl de supportafdeling van de leverancier buiten Europa zit. Zie doorgifte buiten de EU.
Een werkbare volgorde
Het register is geen doel op zich; het is de inventaris waarmee u de rest kunt doen. Een volgorde die werkt:
- Begin bij de systemen, niet bij de processen. Vraag de lijst met applicaties op bij ICT en inkoop; die is meestal compleet, want er wordt voor betaald.
- Koppel per systeem de verwerking, de leverancier en de verwerkersovereenkomst. Ontbreekt er een overeenkomst, dan heeft u meteen een actiepunt.
- Vul de bewaartermijn in uit de selectielijst of het eigen beleid, en noteer eerlijk als hij er niet is.
- Markeer wat om een DPIA vraagt (zie wanneer is een DPIA verplicht) en wat gezamenlijke verantwoordelijkheid is (zie de rolverdeling).
- Spreek een ritme af: bij elke nieuwe of gewijzigde verwerking bijwerken, en jaarlijks langs de hele lijst.
Wat het register u oplevert
Een goed register is de kortste route naar drie andere verplichtingen. Bij een datalek weet u binnen een uur welke gegevens en welke groepen betrokkenen het raakt, wat u nodig heeft voor de melding binnen 72 uur. Bij een inzageverzoek weet u in welke systemen u moet zoeken. En bij een inspectie laat het zien dat u de organisatie kent. Dat laatste weegt zwaar: het verantwoordingsbeginsel van artikel 5 lid 2 AVG vraagt dat u kunt aantonen dat u de regels naleeft.
Wat Datavoogd hiermee doet
Datavoogd toetst het register niet, maar wel de documenten die eraan hangen. Eén van de toetsregels kijkt of de verwerkersovereenkomst regelt dat de verwerker zijn eigen register bijhoudt en op verzoek beschikbaar stelt, en andere regels toetsen of de omschrijving van gegevens, betrokkenen, bewaartermijnen en doorgiften concreet genoeg is om in uw register over te nemen. Datavoogd signaleert; de functionaris gegevensbescherming beslist.
Bronnen
- Verordening (EU) 2016/679 (AVG), artikel 5 lid 2 en artikel 30 lid 1 tot en met 5.
- Autoriteit Persoonsgegevens, Sectorbeeld Overheid 2024 (toezicht op register, DPIA's en de positie van de functionaris gegevensbescherming).
- Autoriteit Persoonsgegevens, aanbevelingen voor de verwerkersovereenkomst, november 2025.
Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.