Register van verwerkingen

Nieuw ten opzichte van de Wbp is het register van verwerkingen. Het register dient bepaalde informatie omtrent de verwerkingsactiviteiten te omvatten – welke informatie dit precies is hangt af van de rol van een organisatie. De verplichting is immers van toepassing op zowel verantwoordelijken als op verwerkers, maar verwerkers hoeven minder onderwerpen te belichten in hun eigen registers dan verantwoordelijken.

Art. 30 AVG.

Ook dit document maakt het voor organisaties mogelijk om hun activiteiten in kaart te brengen. Het register is veelal uitgebreider en concreter dan een gegevensbeschermingsbeleid en zal meestal alleen intern worden gebruikt. De AVG schrijft geen bepaalde vorm voor – vaak worden schema’s in Excel of specifieke programma’s gebruikt. Echter geldt wel de eis dat het register schriftelijk moet worden opgesteld; de AP kan inzage verlangen.

De mate van detail wordt ook niet voorgeschreven. In elk geval moet er van uit worden gegaan dat het register invulling geeft aan het beginsel van verantwoording (2.3.7).

Organisaties met meer dan 250 werknemers zijn verplicht een register van verwerkingen op te stellen. Indien een organisatie minder dan 250 werknemers heeft, maar toch voldoet aan een van de volgende punten, moet zij toch een register van verwerkingen hebben, indien:

De verwerking niet incidenteel is;

Persoonsgegevens worden verwerkt die een hoog risico inhouden voor de rechten en vrijheden van de betrokkenen;

Bijzondere persoonsgegevens, waaronder gezondheidsgegevens, worden verwerkt.

Omdat zorgaanbieders gezondheidsgegevens van cliënten verwerken, betekent dit dat iedere zorgaanbieder een register van verwerkingen zal moeten hebben. Daarnaast zullen deze verwerkingen ook niet worden aangemerkt als incidentele verwerkingen.

Het register dient up-to-date te worden gehouden. Het is belangrijk om in dat kader een of meerdere procesverantwoordelijken aan te wijzen die gedurende hun werkzaamheden alert zijn op verwerkingsactiviteiten die aanleiding kunnen geven tot een aanpassing van het register.