AVG compliance: welke documenten heeft een bedrijf nodig?

Snel antwoord: Voor AVG compliance begint een bedrijf met een actueel verwerkingsregister, passende verwerkersovereenkomsten en aantoonbare beveiliging. Artikel 5 lid 2 vraagt bewijs van naleving; artikel 30, 28 en 32 vullen dat in. Privacy-informatie, grondslagen, een eventuele effectbeoordeling en een functionaris vragen een toets per werkelijke verwerking, ongeacht de omvang^1,2,3.

Samenvatting als mindmap

AVG compliance: welke documenten heeft een bedrijf nodig?
│
├─ Beschrijf de verwerking
│   ├─ Doel, gegevens en ontvangers in register
│   ├─ Termijnen en beveiliging waar mogelijk
│   └─ Privacy-info en grondslag laten aansluiten
│
├─ Leg afspraken vast
│   ├─ Rol van elke externe dienst beoordelen
│   ├─ Verwerker vraagt bindende regeling
│   └─ Contract verwijst naar de echte activiteit
│
├─ Toon beveiliging aan
│   ├─ Risico en maatregel bij elkaar houden
│   ├─ Uitvoering en werking controleren
│   └─ Auditacties opvolgen
│
└─ Houd het dossier actueel
    ├─ Beoordeel DPIA en functionaris afzonderlijk
    ├─ Verwerk wijzigingen in alle stukken
    └─ Bewaar beslissing, eigenaar en datum

Een dossier per verwerking

De nuttigste eerste keuze voor een bedrijf met 50 tot 500 medewerkers is de indeling van het dossier. Begin bij wat werkelijk met persoonsgegevens gebeurt, niet bij een map met lege modellen. Maak een overzicht van bijvoorbeeld personeelsadministratie, klantcontact en toegang tot bedrijfssystemen, en wijs voor elke activiteit iemand aan die de beschrijving kan controleren. De EDPB noemt het verwerkingsregister een overzicht van de verwerkingsactiviteiten; artikel 5 lid 2 verlangt dat de verantwoordelijke naleving kan aantonen^1,2.

Een bedrijf dat gegevens voor klanten, personeel en leveranciers in verschillende toepassingen gebruikt, heeft meer aan een verbonden dossier dan aan documenten die elkaars inhoud tegenspreken. De rij in het register is het startpunt. Daarop sluiten een eventuele leveranciersafspraak, de gekozen beveiligingsmaatregelen en de reden voor een bewaartermijn aan. Dat is een werkmethode voor aantoonbaarheid, geen claim dat iedere rij hetzelfde pakket documenten verplicht maakt.

Neem een handelsbedrijf dat bestellingen, loonadministratie en sollicitaties verwerkt. Een afzonderlijke beschrijving per activiteit laat zien dat niet iedere afdeling dezelfde gegevens, ontvangers of verwijdertermijn heeft. Het bedrijf kan vervolgens de feitelijke werkwijze toetsen. Een generiek document met de zin “wij voldoen aan de AVG” beantwoordt die vragen niet. De EDPB raadt juist aan de activiteiten te identificeren waarvoor persoonsgegevens worden verwerkt².

Inhoud van het register

Artikel 30 lid 1 verlangt bij een verantwoordelijke onder meer de doeleinden van verwerking, categorieën betrokkenen en persoonsgegevens, categorieën ontvangers, relevante doorgiften naar derde landen, beoogde termijnen voor wissen waar mogelijk en een algemene beschrijving van beveiligingsmaatregelen waar mogelijk. De EDPB zegt dat het register schriftelijk moet zijn, waarbij een elektronisch bestand ook kan. Dit is een inhoudelijke lijst, geen voorschrift voor één bepaald sjabloon^1,2.

Schrijf een rij zo dat een collega de activiteit kan herkennen. “HR” is te breed als binnen die afdeling sollicitaties en salarisverwerking andere doelen en ontvangers hebben. Voor een sollicitatieactiviteit kan de beschrijving aangeven welke categorie sollicitanten het betreft, welke gegevens worden gebruikt en wie ze ontvangt. Het voorbeeld bewijst niets over een verplichte bewaartermijn; die moet voor de eigen activiteit worden bepaald. De kwalificatie “waar mogelijk” in artikel 30 mag niet ongemerkt verdwijnen¹.

De EDPB geeft voorbeelden van activiteiten zoals werving, salarisadministratie, opleiding en toegangsbeheer. Zo'n voorbeeld helpt een bedrijf zijn eigen inventaris te beginnen, maar hoeft niet letterlijk in ieder register te staan. Ook een kleine nevenactiviteit kan relevant zijn wanneer zij persoonsgegevens verwerkt. Het register moet de werkelijkheid weerspiegelen. Een kolom “eigenaar van de beschrijving” is een praktisch hulpmiddel om wijzigingen te ontvangen, niet een extra veld dat artikel 30 met die naam voorschrijft².

Voor ondernemingen met 250 of meer medewerkers geldt de uitzondering van artikel 30 lid 5 niet. Bij minder dan 250 medewerkers is zij beperkt: het register blijft nodig voor verwerkingen die waarschijnlijk een risico voor betrokkenen opleveren, niet incidenteel zijn of bijzondere categorieën gegevens dan wel strafrechtelijke gegevens omvatten. Routinematige personeels- en klantprocessen zijn doorgaans niet incidenteel. Beoordeel dus elke activiteit op deze uitzonderingen voordat een bedrijf een registerrij weglaat^1,2.

In woorden verloopt de boom zo: beschrijf eerst de activiteit in het register. Verwerkt een externe partij gegevens namens het bedrijf, beoordeel dan de rol en leg bij een verwerker de vereiste regeling vast. Beschrijf daarnaast de passende beveiliging en het bewijs dat gekozen maatregelen werken. Blijft een besluit onduidelijk, leg de open vraag apart voor.

Privacy-info en grondslag

Een registerrij noemt het doel, maar is niet hetzelfde als de informatie die een betrokkene ontvangt. Vergelijk de interne beschrijving per activiteit met de tekst die klanten, sollicitanten of medewerkers daadwerkelijk zien. Artikelen 13 en 14 vereisen onder meer de identiteit en contactgegevens van de verantwoordelijke, het doel en de rechtsgrond, de ontvangers, eventuele doorgifte buiten de EER, de bewaartermijn of criteria daarvoor, de rechten van betrokkenen en het klachtrecht. Bij gerechtvaardigd belang noem je ook dat belang. Wanneer gegevens niet rechtstreeks bij de betrokkene zijn verkregen, vermeld je bovendien de categorieën persoonsgegevens en de bron. Artikel 13 geldt bij directe verkrijging; artikel 14 bij indirecte verkrijging, met hun eigen informatie- en tijdregels¹.

Leg ook vast op welke grondslag de activiteit rust en wie die keuze heeft beoordeeld. Artikel 6 noemt zes mogelijkheden: toestemming voor een specifiek doel; noodzakelijkheid voor uitvoering van een overeenkomst of stappen op verzoek vóór sluiting; noodzakelijkheid om een wettelijke verplichting na te komen; bescherming van vitale belangen; noodzakelijkheid voor een taak van algemeen belang of openbaar gezag met wettelijke basis; en noodzakelijkheid voor een gerechtvaardigd belang, tenzij belangen of grondrechten van de betrokkene zwaarder wegen. Die laatste grondslag geldt niet voor overheidstaken. Kies per activiteit en documenteer waarom de voorwaarden juist daar zijn vervuld¹.

Het praktische verschil tussen drie stukken is belangrijk. Het register helpt de organisatie haar verwerkingen te overzien. Privacy-informatie legt aan de betrokkene uit wat de organisatie doet. De vastgelegde grondslag verklaart waarom de betreffende verwerking volgens de organisatie rechtmatig is. Die drie antwoorden moeten inhoudelijk bij elkaar passen. Een los document met een keurige titel maar tegenstrijdige doelen ondermijnt juist de aantoonbaarheid waar artikel 5 lid 2 om vraagt^1,2.

Bij een nieuw formulier kan het bedrijf daarom eerst de gegevensvelden vergelijken met het doel in de registerrij. Daarna worden de zichtbare uitleg en de interne grondslag bekeken. De EDPB beschrijft gegevensbescherming door ontwerp en standaardinstellingen als aandacht voor wat voor een specifiek doel nodig is. Deze stap is een zinvolle controle vóórdat een formulier breed wordt gebruikt; hij vervangt geen volledige juridische beoordeling van de privacy-informatie².

Afspraken met verwerkers

Artikel 28 lid 3 verlangt voor verwerking door een verwerker een bindende overeenkomst of andere rechtshandeling. Daarin moeten onder meer onderwerp en duur, aard en doel van de verwerking, soorten persoonsgegevens, categorieën betrokkenen en de verplichtingen en rechten van de verantwoordelijke worden geregeld. Een document met alleen de titel “verwerkersovereenkomst” is dus niet genoeg; de beschreven dienst moet overeenkomen met wat de partij werkelijk doet¹.

Begin met de ontvangerskolom in het register. Zoek per externe dienst uit of de partij voor het bedrijf persoonsgegevens verwerkt en welke rol zij bij deze activiteit heeft. Niet iedere leverancier is door zijn factuuradres automatisch een verwerker. Voor een partij die wel als verwerker optreedt, hoort de bindende regeling bij de betreffende verwerking, zodat doel, gegevens en duur kunnen worden vergeleken¹.

Bij een loonadministratiedienst zijn bijvoorbeeld de diensten en de gegevenscategorieën uit de feitelijke opdracht relevant. Een overeenkomst die andere diensten of een veel ruimere omschrijving gebruikt, moet worden nagekeken. Het bedrijf kan op de registerrij verwijzen naar de actuele overeenkomst en de interne verantwoordelijke voor die relatie. Dat voorkomt dat iemand bij een wijziging alleen het contract bijwerkt en het register vergeet. Het is een beheermethode, geen extra contractvorm uit de verordening.

Voor verdieping helpt de uitleg over verantwoordelijke of verwerker en de uitleg over een verwerkersovereenkomst. De rolvraag gaat vooraf aan het kiezen van een overeenkomst. Wie die volgorde omdraait, kan een document opstellen zonder te weten welke activiteit het moet dekken.

Bewijs van beveiliging

Artikel 32 lid 1 verlangt passende technische en organisatorische maatregelen om een beveiligingsniveau te bereiken dat past bij het risico. De EDPB noemt bij de beoordeling de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens. Zij vraagt ook maatregelen uit te voeren, te verifiëren en periodiek te controleren, met opvolging van actieplannen op het hoogste niveau. Het dossier moet dus meer tonen dan een lijst maatregelen die ooit is bedacht^1,3.

Maak voor een gekozen activiteit zichtbaar welk risico is bekeken, welke maatregel daarbij past, hoe de werking is vastgesteld, wie de controle deed en welke vervolgactie uit een afwijkend testresultaat voortkwam; zo kan de verantwoordelijke later onderscheiden tussen een gekozen maatregel en een maatregel die werkelijk functioneert. Voor toegang tot personeelsgegevens kan het bedrijf bijvoorbeeld documenteren welke functies toegang nodig hebben, welke rechten zijn ingesteld en wanneer die instelling is gecontroleerd. Dat is een voorbeeld van bewijsvoering; de precieze maatregel moet bij het werkelijke risico passen. Een bewering dat “alle gegevens veilig zijn” laat de afweging en controle onzichtbaar.

De algemene beschrijving van beveiliging in het register heeft een andere functie dan een technisch beheerplan. Artikel 30 noemt die algemene beschrijving waar mogelijk; artikel 32 verlangt de passende maatregelen zelf. Een beknopte registerverwijzing naar een uitgebreider maatregelenoverzicht kan het dossier leesbaar houden. Wanneer een audit een tekortkoming vindt, helpt een gedateerde opvolgactie aantonen dat die bevinding niet alleen is genoteerd maar behandeld^1,3.

Termijnen en verwijderen

Artikel 30 lid 1 noemt beoogde termijnen voor het wissen van verschillende gegevenscategorieën, waar mogelijk. De EDPB spreekt in het register over mogelijke bewaartermijnen, bekeken vanuit operationele bruikbaarheid en archivering. Daarmee wordt geen uniforme termijn voor alle gegevens in een middelgroot bedrijf gegeven. De termijn hoort bij de activiteit en de categorie gegevens^1,2.

Beschrijf bijvoorbeeld afzonderlijk wat er met gegevens van een afgeronde sollicitatie en met gegevens in de salarisadministratie gebeurt. Dit artikel geeft bewust geen getal voor die voorbeelden: de geciteerde claims leveren geen universele duur. Een dossier dat overal “zo lang als nodig” herhaalt zonder eigen afweging, maakt moeilijk zichtbaar wanneer gegevens werkelijk worden verwijderd. Noteer de gekozen termijn, de reden en wie wijzigingen in het proces doorgeeft.

Een termijn op papier is pas bruikbaar als het bedrijf kan aanwijzen welke systemen en afdelingen die gegevens bevatten. Het register noemt de activiteit en de ontvangers; die kaart helpt de uitvoerder om de bewaarkeuze niet te beperken tot één map terwijl een kopie elders blijft bestaan. Voor de algemene afweging over bewaartermijnen biedt hoe lang persoonsgegevens te bewaren verdere context. De kern van dit dossier is dat de gekozen regel controleerbaar is.

DPIA en functionaris

Een gegevensbeschermingseffectbeoordeling (DPIA) is vóór de verwerking verplicht wanneer die waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen oplevert. Volgens de EDPB geldt dit in het bijzonder voor drie gevallen: grootschalige verwerking van gevoelige of strafrechtelijke gegevens; stelselmatige, uitgebreide geautomatiseerde beoordeling van personen, waaronder profilering, waarop beslissingen met rechtsgevolg of vergelijkbare grote gevolgen berusten; en grootschalige stelselmatige observatie van openbaar toegankelijke ruimten. Controleer daarnaast de nationale lijst van verwerkingen waarvoor een DPIA vereist is. Het aantal medewerkers alleen beslist dit niet^1,2.

Voor de functionaris gegevensbescherming geeft artikel 37 een andere toets. Aanwijzing is verplicht voor een overheidsinstantie of openbaar lichaam, behalve gerechten bij hun rechterlijke taken. Ook is zij verplicht wanneer de kernactiviteiten bestaan uit verwerkingen die wegens aard, omvang of doel regelmatige en stelselmatige observatie van betrokkenen op grote schaal vereisen, of uit grootschalige verwerking van bijzondere categorieën of gegevens over strafrechtelijke veroordelingen en strafbare feiten. Unierecht of nationaal recht kan aanvullende aanwijzingsplichten stellen. Leg vast welke kernactiviteiten en schaal het bedrijf feitelijk heeft¹.

De twee toetsen blijven afzonderlijk. Een vakje “DPIA gedaan” beschrijft geen risicoanalyse; een naam op een contactlijst bewijst geen wettelijke aanwijzingsplicht. Bewaar de beoordeling van het hoge risico, de toepasselijke nationale lijst, de kernactiviteiten en de schaal als onderbouwing van beide besluiten^1,2.

Geheimhouding en beleid

Een geheimhoudingsverklaring of privacybeleid kan een nuttige plaats hebben in de interne organisatie, maar de aangehaalde bronnen in dit artikel noemen geen universele modeltekst die voor ieder bedrijf dezelfde status heeft. De dossierkeuze begint met de werkelijke toegang en het risico. De EDPB vraagt bij beveiliging om een beoordeling van vertrouwelijkheid, integriteit en beschikbaarheid; een ondertekende verklaring is niet automatisch bewijs dat toegangsrechten goed staan of controles zijn uitgevoerd³.

Controleer daarom eerst wie persoonsgegevens in het werk nodig heeft en welke instructie die persoon krijgt. Vergelijk die praktijk met de vastgelegde beveiligingsmaatregelen en test of toegangsrechten ermee stroken. Als een interne verklaring of werkinstructie een gekozen maatregel ondersteunt, bewaar haar bij dat onderdeel van het dossier. Zo krijgt het papier een aantoonbare functie, terwijl de organisatie geen schijnzekerheid ontleent aan de enkele aanwezigheid van een document.

Het dossier actueel houden

Een werkbaar AVG-dossier heeft een wijzigingsroute. Wanneer een afdeling een nieuwe leverancier, een gegevensveld of een doorgifte toevoegt, moet iemand weten welke registerrij, overeenkomst en beveiligingsbeschrijving geraakt worden. Het register is volgens de EDPB juist bedoeld als overzicht van de activiteiten. Artikel 5 lid 2 vraagt bovendien om aantoonbaarheid, wat moeilijk is wanneer de stukken elkaar tegenspreken^1,2.

Laat de proceseigenaar daarom bij een wijziging drie vragen beantwoorden: verandert het doel of de gegevenscategorie, verandert de ontvanger of verwerker, en verandert het risico of de gekozen maatregel? De antwoorden wijzen naar de stukken die moeten worden herzien. Bewaar de eerdere beslissing met datum, zodat later duidelijk is waarom het dossier veranderde. De EDPB vraagt bij beveiliging ook om verificatie en opvolging van auditacties; die uitkomsten horen bij dezelfde wijzigingsroute³.

Een nieuwe koppeling of gebruikersgroep kan het maatregelenoverzicht achterhalen; een nieuw team kan een oudere beleidsmap onjuist maken. Leg daarom per geraakt document de eigenaar en de datum van de laatste inhoudelijke controle vast. Laat bij de wijziging ook de werking van toegangsrechten en andere getroffen maatregelen verifiëren. Een ongewijzigde tekst bewijst niet dat de beveiliging nog werkt^1,3.

Een jaarlijkse controle kan nuttig zijn, maar mag geen vervanging worden voor een melding zodra het proces wijzigt. Een nieuwe leverancier kan immers midden in het jaar beginnen. Het bedrijf kiest zelf een werkbare eigenaar en overlegstructuur; het juridische doel is dat de documenten de feitelijke verwerking en de getroffen maatregelen blijven beschrijven. Een korte, bijgewerkte registerrij met aantoonbare verwijzingen is waardevoller dan een grote map waarvan niemand weet wie hem onderhoudt.

Voor de bredere context staat AVG-verantwoording in de EU naast dit praktische dossier. De toepassing van de AVG buiten de EU is een afzonderlijke grensvraag. Ook AI-governance naast privacyregels behandelt een andere laag dan deze documentinventaris.

Wat dit dossier niet beslist

Dit overzicht levert geen uniforme documentmap op die voor ieder bedrijf van 50 tot 500 medewerkers automatisch volledig is. Het wettelijke register heeft voorgeschreven elementen, maar de concrete activiteiten bepalen wat er verder in het dossier moet worden onderbouwd. De criteria voor een functionaris en een DPIA staan hierboven; de feitelijke schaal, risico's en eventuele aanvullende nationale regels bepalen de uitkomst voor de eigen organisatie^1,2.

Het overzicht beslist ook geen specifieke bewaartermijn of passende beveiligingsmaatregel zonder kennis van de verwerking en het risico. Artikel 32 spreekt over een niveau passend bij het risico; artikel 30 kwalificeert bepaalde velden met “waar mogelijk”. Een standaardgetal of afvinklijst zou die nuances verhullen. Leg open punten vast en laat ze beoordelen voordat het dossier als afgerond wordt gepresenteerd¹.

Volgende stappen

Kies één echte activiteit, vul de registervelden uit artikel 30 in en verbind daaraan de relevante leveranciersafspraak en beveiligingsbewijzen. Herhaal die methode voor de overige activiteiten en wijs een eigenaar aan voor wijzigingen. De GDPR Accountability Documentation maakt op basis van de eigen antwoorden van het bedrijf een eenmalige, op maat gemaakte set documenten, waaronder een verwerkingsregister en, voor opgegeven verwerkers, een overeenkomst.