Een verwerkingsregister persoonsgegevens bestaat meestal uit een overzicht van de verwerkingen die bij u plaatsvinden, met per verwerking het doel, de grondslag, de categorieën gegevens en betrokkenen, de bewaartermijn, wie de gegevens ontvangt en welke beveiligingsmaatregelen daarbij horen. Waar gegevens naar een andere partij gaan, hoort daar meestal een verwerkersovereenkomst bij. Welke stukken in uw geval precies nodig zijn en hoe volledig het register moet zijn, is aan de Autoriteit Persoonsgegevens of aan een jurist om te beoordelen — dit artikel geeft alleen het algemene beeld.
Het detail dat bij dit onderwerp het meest speelt, is dat het register geen momentopname is. Bij een productveiligheidsdossier verzamelt u certificaten en testrapporten die, eenmaal binnen, een tijd geldig blijven. Bij een verwerkingsregister werkt dat anders: zodra u een nieuwe tool gebruikt, een nieuwe leverancier inschakelt of een nieuw type gegevens verzamelt, verandert het register mee. Het is minder een map met bewijsstukken en meer een lopend logboek van wat er binnen uw bedrijf met persoonsgegevens gebeurt.
Wat er doorgaans in het register staat
Per verwerking legt u meestal vast waarom u de gegevens verzamelt, op welke grondslag u dat doet, om welke gegevens en betrokkenen het gaat, hoe lang u ze bewaart en met wie u ze deelt. Denk aan de salarisadministratie van personeel, een klantenbestand dat u voor marketing gebruikt, of camerabeelden bij de ingang van uw pand. Elk van die voorbeelden is een aparte regel in het register, met een eigen doel en een eigen bewaartermijn. Een HR-manager die personeelsdossiers beheert en een kantoormanager die bezoekersregistratie bijhoudt, vullen dus allebei een stuk van hetzelfde register, ook al werken ze zelden vanuit hetzelfde overzicht.
Verwerkersovereenkomsten als apart stuk
Zodra een andere partij namens u gegevens verwerkt — een boekhoudkantoor, een clouddienst, een marketingbureau — hoort daar in de regel een aparte overeenkomst bij die vastlegt wat die partij wel en niet mag doen. Dat stuk hoort bij het register, maar is er geen vervanging van: het register beschrijft wát er gebeurt, de overeenkomst regelt wie daarvoor verantwoordelijk is. Bedrijven die met meerdere leveranciers werken, merken dat dit stapeltje overeenkomsten net zo snel groeit als het register zelf, en dat bijhouden wélke overeenkomst nog actueel is een aparte opgave wordt.
Waarom dit dossier nooit af is
Omdat het register meebeweegt met wat er in uw bedrijf gebeurt, is de vraag niet alleen welke stukken u nodig heeft, maar ook wie erop let dat ze kloppen zodra er iets verandert. Een nieuwe HR-tool, een extra vestiging, een leverancier die wisselt: telkens is de vraag of het register nog een juiste weergave is van de praktijk. Dat is een andere opgave dan eenmalig documenten verzamelen, en het is precies de reden waarom veel bedrijven dit register los laten liggen van de rest van hun compliance-dossier, terwijl het inhoudelijk overlapt met wat een productveiligheidsdossier of een verpakkingendossier al aan bedrijfsgegevens bevat.
Waar dit thuishoort, en waar overzicht helpt
De inhoudelijke vraag welke verwerkingen u moet registreren en hoe uitgebreid dat moet, hoort thuis bij een gespecialiseerd platform of bij een jurist; reglia doet daar zelf geen uitspraak over. Wat reglia wel doet, is de bedrijfsgegevens die in zo'n register terugkomen — uw KvK-nummer, vestigingen, contactpersonen — één keer laten invullen en beschikbaar stellen aan het platform dat het register bijhoudt, zodat u dat niet nog eens moet overtypen naast uw productveiligheidsdossier of verpakkingendossier. Op de pagina met aangesloten platformen ziet u welk platform zich specifiek met persoonsgegevens bezighoudt, en wat dat platform wel en niet van u verwacht.
Wilt u weten wat reglia daarbij precies met uw gegevens doet en wat niet, dan leest u dat op de uitleg over wat reglia wel en niet doet met uw gegevens. Vragen over hoe die gegevens zijn beveiligd, staan op de pagina over beveiliging en privacy, en veelgestelde vragen over het delen tussen platformen vindt u op de pagina met veelgestelde vragen.
Bekijk welke platformen er zijn aangesloten en welk platform het beste past bij het bijhouden van uw verwerkingsregister; dat overzicht geeft in een paar minuten een beeld van waar u voor deze verplichting terechtkunt.