Register van verwerkingsactiviteiten: zo maakt u het bruikbaar

Een register van verwerkingsactiviteiten maken begint bij de gegevensstromen die vandaag werkelijk bestaan, niet bij de kolommen van een leeg sjabloon; iedere samenhangende activiteit krijgt haar eigen rol, eigenaar en bewijs, zodat een levende kaart ontstaat waarmee wijzigingen kunnen worden gevolgd en waarmee de organisatie kan uitleggen wat zij als verwerkingsverantwoordelijke of verwerker doet.

Snel antwoord Een register van verwerkingsactiviteiten maken doet u per echte, samenhangende activiteit: leg eerst systemen, bestanden, koppelingen, uitwisselingen en eigenaren vast en bepaal daarna de rol en de velden van artikel 30. De uitzondering voor minder dan 250 werknemers is nauw, cumulatief en activiteitsspecifiek; werk het register bij veranderingen bij en bewaar bewijs van besluiten.

Laatst bijgewerkt: 7 september 2026

Begin bij activiteiten, niet bij een leeg sjabloon

Een bruikbaar register beschrijft handelingen met persoonsgegevens: de eerste inventaris omvat toepassingen, gedeelde schijven, papieren dossiers, formulieren, koppelingen, uitvoerbestanden, e-mails, leveranciersportalen en terugkerende uitwisselingen. Noteer per spoor wie eigenaar is, waar gegevens binnenkomen, wat ermee gebeurt en naar welke volgende partij of opslagplaats zij gaan.

Groepeer die sporen vervolgens tot samenhangende activiteiten, want “online opslag”, “personeel” of “klanten” is doorgaans te breed. “Sollicitaties beoordelen en kandidaten informeren” of “bestellingen aannemen, leveren en administreren” geeft wel een bruikbare grens: een doelgerichte gegevensstroom met herkenbare betrokkenen, ontvangers, verwijderpaden en eigenaar.

De activiteit hoeft niet gelijk te lopen met één systeem: een bestelling kan via een webformulier binnenkomen, in een verkoopomgeving worden verwerkt, met een vervoerder worden gedeeld en in een financiële administratie eindigen. Omgekeerd kan één klantplatform meerdere doelen dienen, zodat een systeemlijst wel bewijs voor de inventaris is, maar niet de structuur van het register.

Maak de grens ook niet kunstmatig klein. Tien rijen voor ieder technisch stapje versnipperen doel, verantwoordelijkheid en bewaartermijn, terwijl één reuzenrij verschillen tussen marketing, levering en klachtenafhandeling verbergt. Kies de eenheid waarop doel, gegevenscategorieën, ontvangers en verwijderpad nog samenhangend kunnen worden uitgelegd.

Ken elke rij een werkwoordelijke naam, eigenaar en trigger toe; de eigenaar bevestigt de feitelijke beschrijving en zorgt dat wijzigingen het register bereiken. De trigger kan uit inkoop, productontwikkeling, personeelsbeheer, beveiliging of contractbeheer komen, zodat het register een beheerd proces wordt in plaats van een jaarlijkse zoekactie.

Gebruik interviews om verborgen werk te vinden en vraag niet alleen welke systemen bestaan, maar ook welke spreadsheets worden geëxporteerd, welke lijsten per e-mail reizen, welke gegevens een team handmatig corrigeert en welk tijdelijk bestand nooit wordt verwijderd. Juist de afwijking van het formele proces levert vaak de ontbrekende activiteit of ontvanger op.

Scheid het register van verantwoordelijke en verwerker

Artikel 30 geeft de verwerkingsverantwoordelijke en de verwerker verschillende registerplichten ¹. Eén organisatie kan beide rollen hebben, maar de rol wordt per afgebakende handeling vastgesteld. Zo kan zij persoonsgegevens namens opdrachtgevers verwerken en daarnaast zelfstandig het doel van personeelsbeheer, facturatie of eigen beveiligingsregistratie bepalen.

De tabel toont een verschil in wettelijke velden, niet een reden om twee losstaande waarheden te bewaren: de verwerkingsverantwoordelijke moet begrijpen welke keten zijn activiteit draagt, terwijl de verwerker moet kunnen tonen welke categorieën hij voor welke klant uitvoert. Contract, instructies en feitelijke werking horen met de juiste rij te corresponderen.

Bepaal de rol per activiteit voordat u een bestaand sjabloon invult. Een leverancier die een eigen doel toevoegt, kan voor die afzonderlijke verwerking verwerkingsverantwoordelijke zijn. Een klant die de technische uitvoering grotendeels aan de leverancier overlaat, blijft verantwoordelijk wanneer hij doel en essentiële middelen bepaalt; de contractnaam is bewijs, geen eindbeslissing.

Houd bij de verwerker opdrachtgevers uit elkaar, want “gegevensopslag voor opdrachtgevers” als één rij kan verbergen dat gegevenscategorieën, doorgiften en instructies uiteenlopen. Een vaste verwerkingscategorie mag worden hergebruikt, maar wordt per verwerkingsverantwoordelijke gekoppeld aan de juiste overeenkomst, systemen en bijzonderheden. De gemeenschappelijke bouwsteen wist de grens tussen opdrachtgevers dus niet uit.

Een organisatie hoeft niet noodzakelijk twee verschillende toepassingen te gebruiken, want één beheerd bestand kan beide rolweergaven bevatten, mits elke rij een expliciete rol heeft en filters geen activiteiten laten verdwijnen. Controleer bij export of het juiste register voor de juiste hoedanigheid volledig en leesbaar kan worden samengesteld.

Breng de velden voor de verantwoordelijke in kaart

Voor de verwerkingsverantwoordelijke kent artikel 30 zeven inhoudelijke takken: bij contactgegevens staan de verwerkingsverantwoordelijke, een eventuele gezamenlijke verantwoordelijke en vertegenwoordiger, en de functionaris voor gegevensbescherming wanneer die is aangewezen ¹. Een interne afdelingsnaam die buiten de organisatie niemand kan bereiken, maakt dit veld niet bruikbaar.

De doeleinden leggen uit waarom de activiteit nodig is, want “administratie” of “dienstverlening” is te vaag wanneer daaruit niet blijkt welk resultaat wordt nagestreefd. Koppel ieder doel aan de categorieën betrokkenen en persoonsgegevens die daarvoor werkelijk worden gebruikt en maak zo overbodige velden en verborgen nevengebruik zichtbaar.

Ontvangers worden als categorieën vastgelegd: beschrijf wie gegevens ontvangt in een vorm die betekenisvol genoeg is om de stroom te begrijpen, want betaaldienstverlener, vervoerder of arbeidsgezondheidsdienst zegt meer dan “derden”. Vermijd tegelijk een lijst met handelsnamen die bij iedere leverancierswissel onbruikbaar wordt; koppel namen en contractbewijs desgewenst als onderliggende documentatie.

Bij doorgiften vermeldt de rij het derde land of de internationale organisatie en, waar de specifieke bepaling dat vraagt, de documentatie van passende waarborgen ¹. Een hostingregio alleen is onvoldoende wanneer ondersteuning, beheer of subverwerking elders toegang geeft. Volg de feitelijke toegangsketen en leg de bron van de conclusie vast.

Waar mogelijk bevat het register beoogde termijnen voor het wissen van de verschillende gegevenscategorieën en een algemene beschrijving van technische en organisatorische beveiligingsmaatregelen ¹. “Volgens beleid” kan alleen als bruikbare verwijzing gelden wanneer dat beleid identificeerbaar, actueel en aan de activiteit gekoppeld is; anders wordt de inhoudelijke vraag slechts doorgeschoven.

Het diagram is een veldkaart, geen vervanging voor de inhoud. Vanuit één record vertakken contactgegevens, doeleinden, mensen en gegevens, ontvangers, doorgiften met waarborgen, mogelijke wistermijnen en beveiliging in hoofdlijnen. Een rij is pas bruikbaar wanneer die takken dezelfde activiteit beschrijven en naar hun bewijs terugleiden.

Overweging 82 verbindt het register met aantoonbare naleving en de mogelijkheid om toezicht op verwerkingen uit te oefenen ². Schrijf dus niet alleen wat het formulier technisch accepteert, maar wat een collega of toezichthoudende autoriteit nodig heeft om doel, bereik en beheersing van de activiteit te begrijpen.

Bouw voor de verwerker een eigen klantbeeld

Het verwerkersregister bevat de naam en contactgegevens van de verwerker en van iedere verwerkingsverantwoordelijke namens wie hij handelt, plus toepasselijke vertegenwoordigers en functionarissen voor gegevensbescherming ¹. De lijst is geen klantenbestand voor verkoop; zij verbindt iedere verwerkingscategorie met de partij die instructies geeft.

Beschrijf per verwerkingsverantwoordelijke de categorieën verwerkingen, want “een toepassing leveren” zegt nog niet welke gegevenshandeling plaatsvindt. “Gebruikersaccounts opslaan, hulpvragen behandelen en op instructie verwijderen” is controleerbaarder, mits gegevensgroepen, systemen, overeenkomst en instructiegrenzen als bewijs zijn gekoppeld.

Leg toepasselijke doorgiften vast, inclusief derde land of internationale organisatie en de vereiste waarborgen, en voeg waar mogelijk een algemene beveiligingsbeschrijving toe ¹. Hergebruik een centrale beveiligingsbijlage alleen wanneer duidelijk is welke versie voor welke dienst en periode gold; een generieke verwijzing zonder versie kan een historische controle niet dragen.

Scheid eigen doelen van klantwerk, want facturatie, personeelsbeheer, leveranciersbeoordeling of eigen productanalyse kan een verwerking onder eigen verantwoordelijkheid zijn. Zet die activiteiten in het register van de verwerkingsverantwoordelijke; anders ontstaat een verwerkersregister dat zelfstandige doeleinden onzichtbaar maakt.

Maak bij gedeelde infrastructuur ook de grens per opdrachtgever zichtbaar. Een centrale verwerkingscategorie kan als bouwsteen dienen, maar iedere koppeling vermeldt de verwerkingsverantwoordelijke, overeenkomst, instructies, relevante gegevenscategorieën, doorgiftecontext en wijzigingsstatus. Een wijziging bij één opdrachtgever verandert zo niet stilzwijgend de registratie voor alle andere.

Controleer periodiek of productgedrag en contract nog overeenkomen, want een nieuwe analysefunctie, langere logbewaring of andere subverwerker kan een categorie, doorgifte of rol wijzigen. Het register moet zo'n verschil vroeg zichtbaar maken, niet pas wanneer een vragenlijst of verzoek van de toezichthoudende autoriteit binnenkomt.

Maak één samenhangende rij per activiteit

Een rij moet één activiteit vanaf de aanleiding tot en met verwijdering kunnen dragen. Deze vijf bouwstappen houden die lijn zichtbaar:

1. Formuleer doel en startmoment. Benoem het beoogde resultaat en de gebeurtenis die de verwerking start, bijvoorbeeld een bestelling, sollicitatie of hulpvraag. Een afdelings- of toepassingsnaam is daarvoor te vaag.
2. Volg de levenscyclus. Teken waar gegevens binnenkomen, worden ingezien, gewijzigd, gecombineerd, verstrekt, opgeslagen en gewist. Neem handmatige uitvoerbestanden en papieren routes naast de formele systemen mee.
3. Scheid doelen en verwijderpaden. Wanneer dezelfde gegevens voor levering, marketing en wettelijke administratie dienen, ontstaan afzonderlijke activiteiten of duidelijk gescheiden subdoelen met eigen termijnen en besluitvorming.
4. Verbind het bewijs. Verwijs naar procesbeschrijving, overeenkomst, doorgiftebeoordeling, bewaarbeleid, beveiligingsmaatregelen en systeem- of leveranciersrecord. Versie en eigenaar maken iedere verwijzing herleidbaar.
5. Benoem eigenaar en wijzigingstriggers. Leg vast wie de rij bevestigt en welke gebeurtenis herbeoordeling start, zoals een nieuw doel, veld, ontvanger, land, bewaartermijn, koppeling of andere rol.

De vijf stappen voorkomen twee tegengestelde fouten: een rij die alleen een samenvatting bevat, verliest ontvangers, doorgiften en bewaarpaden. Een technisch datamodel met honderden velden kan juist het doel en de verantwoordelijkheid onvindbaar maken, terwijl de activiteit de ruggengraat vormt waaraan technische details en bewijs worden gekoppeld.

Test de samenhang door één rij hardop te lezen: kan een collega uitleggen waarom de verwerking start, welke mensen en gegevens zij omvat, wie ontvangt, wanneer gegevens verdwijnen en wie wijzigingen beheert? Zo niet, dan ontbreekt inhoud of is de rij te breed; splits op doel of bewaarpad, niet op willekeurige schermen.

Gebruik dezelfde naam in aangrenzende processen: als inkoop “leveranciersbeheer” zegt en beveiliging dezelfde activiteit “externe toegang” noemt, verbind de termen of kies een hoofdnaam met aliassen. Anders ontstaan dubbele rijen die ieder een ander deel van de werkelijkheid bevatten.

Behandel minder dan 250 niet als vrijstelling

Artikel 30, lid 5, bevat geen algemene vrijstelling voor kleine ondernemingen. Minder dan 250 werknemers opent slechts de toets van een beperkte afwijking, per afzonderlijke activiteit ¹. Volgens het Europees Comité voor gegevensbescherming werken de inhoudelijke voorwaarden samen; daardoor kan één activiteit in het register moeten staan terwijl een andere activiteit mogelijk aan de afwijking voldoet ³.

“Incidenteel” is iets anders dan “niet voortdurend”, want routinematig personeels- en salariswerk keert terug en is daarom niet incidenteel. Hetzelfde geldt voor geregeld klantbeheer, levering of ondersteuning, ook bij een klein volume; de AVG geeft hiervoor geen zelf te kiezen frequentiegrens, dus beschrijf de feitelijke herhaling en plaats van de activiteit in het bedrijf.

De risicovoorwaarde is zelfstandig, want een incidentele activiteit kan gevolgen hebben voor rechten en vrijheden, bijvoorbeeld door ingrijpende beslissingen of kwetsbare betrokkenen. Evenmin kan een laag ingeschat risico de aanwezigheid van bijzondere of strafrechtelijke gegevens neutraliseren; de drie voorwaarden blijven naast elkaar staan.

Beoordeel geen “organisatiebrede uitzondering”. Maak een lijst van activiteiten en noteer per rij werknemersingang, incidenteel karakter, risico en gegevenscategorieën. Wanneer één uitzondering faalt, moet die activiteit in het register; dat antwoord zegt nog niets over een werkelijk losse, zeldzame activiteit met andere feiten.

Kies bij twijfel voor opname. Het register is niet alleen een verplichting maar ook het hulpmiddel waarmee onduidelijkheid over doel, ontvangers en bewaartermijn wordt opgelost. Een dun dossier dat de uitzondering alleen op personeelsomvang baseert, kan de cumulatieve toets niet aantonen.

Houd het register schriftelijk en beschikbaar

Het register is schriftelijk, waarbij een elektronische vorm uitdrukkelijk mogelijk is, en wordt op verzoek aan de toezichthoudende autoriteit beschikbaar gesteld ¹. Artikel 30 schrijft geen product voor. Een rekenblad, database of beheerde toepassing kan voldoen als de inhoud volledig, leesbaar, uitvoerbaar en aantoonbaar beheerd is.

Kies het hulpmiddel op basis van samenwerking en wijzigingsvolume. Een eenvoudige spreadsheet kan werken voor een beperkt aantal activiteiten en eigenaren. Bij veel entiteiten, rollen, koppelingen of goedkeuringsroutes helpt een database met toegangsbeheer, verplichte velden en versiegeschiedenis. Het gereedschap mag de inhoud niet vervangen.

Zorg dat een export de uitleg behoudt. Afkortingen, interne codes en verwijzingen moeten buiten het team begrijpelijk zijn of naar beschikbaar bewijs leiden. Test periodiek of een aangewezen medewerker het juiste register kan leveren zonder eerst informatie uit persoonlijke mailboxen bijeen te zoeken.

Een controlespoor beantwoordt wie welke rij veranderde, waarom, vanaf welke datum en op basis van welk bewijs. Artikel 30 schrijft geen versieplatform voor, maar oude besluiten die herleidbaar blijven versterken de aantoonbaarheid en bruikbaarheid van het register ². Beperk bewerkingsrechten zonder de proceseigenaren buiten het actualiseringsproces te zetten.

Wijs een registerbeheerder aan die structuur, kwaliteit en achterstanden bewaakt. De inhoud blijft bij proceseigenaren: zij kennen het werk en bevestigen wijzigingen. De beheerder stelt vragen, verbindt dubbelingen en rapporteert open punten, maar mag ontbrekende feiten niet zelf invullen om het overzicht netjes te maken.

Werk één activiteit volledig uit

Een ingevulde activiteit laat beter dan een leeg model zien welk detailniveau werkt. Het voorbeeld hieronder gaat over het afhandelen en leveren van bestellingen. Het is één illustratie: de eigen organisatie neemt termijnen, systemen, landen en leveranciers uitsluitend over uit haar feitelijke processen en onderliggende bewijs.

De rij claimt geen universele bewaartermijn, ontvanger of doorgiftewaarborg. Zij laat zien hoe een doel met gegevens, keten en bewijs wordt verbonden. De werkelijke invulling haalt namen, locaties, termijnen en maatregelen uit actuele systemen, overeenkomsten en beleid en markeert wat nog moet worden bevestigd.

Controleer horizontaal of de velden elkaar tegenspreken. Als het doel alleen levering noemt maar gegevens later voor profilering worden gebruikt, ontbreekt een doel of activiteit. Als de ontvangers een vervoerder noemen maar de gegevenscategorie geen afleveradres bevat, is de stroom onvolledig. Zulke inconsistenties zijn inhoudelijke signalen, geen opmaakproblemen.

Controleer verticaal of gekoppeld bewijs nog actueel is. Een leveranciersrecord kan een nieuwe subverwerker bevatten, terwijl de rij nog naar een oude doorgiftebeoordeling verwijst. Noteer daarom versie, geldigheidsdatum en eigenaar van belangrijke bijlagen. Een link zonder context kan stilletjes naar veranderde inhoud gaan.

Laat de proceseigenaar en een onafhankelijke tweede lezer de rij beoordelen. De eigenaar ziet feitelijke afwijkingen; de tweede lezer ziet jargon, verborgen aannames en ontbrekende verbanden. Beide lezingen samen maken de rij bruikbaar voor beheer en voor een verzoek van buiten het team.

Scheid wettelijke velden van nuttige extra's

Aanvullende velden kunnen het beheer versterken, maar nemen geen enkel veld van artikel 30 over. Maak in het gegevensmodel onderscheid tussen wettelijke inhoud, afgeleide informatie en interne hulpmiddelen. Een uitgebreid overzicht kan anders volledig ogen terwijl juist een doel, categorie ontvangers of doorgifte ontbreekt.

Gebruik uitbreidingen die een besluit of handeling ondersteunen. Een kolom die nooit wordt gelezen of waarvan niemand eigenaar is, maakt invoer zwaarder zonder beheersing toe te voegen. Meet welke velden achterstallig blijven en of hun uitkomst ergens wordt gebruikt.

Leg relaties liever als verwijzing vast dan dezelfde feiten op meerdere plaatsen te kopiëren. Een bewaarbeleid kan één gezaghebbende bron hebben waar de registerrij naar verwijst. De verwijzing bevat wel het relevante criterium, de versie en eigenaar, zodat een wijziging in het beleid als trigger naar de betrokken rijen kan terugkeren.

Houd de wettelijke velden zichtbaar in uitvoerbestanden en overzichten. Een gebruikersscherm mag aanvullende informatie over tabbladen verdelen, maar een verzoek of interne beoordeling moet de vereiste inhoud zonder handmatige reconstructie opleveren. Probeer die uitvoer met zowel een eenvoudige als een complexe activiteit.

Beheer het register als levend bewijs

Het register verandert mee met de werkelijkheid. Een nieuw doel, andere gegevens, een extra groep betrokkenen, ontvanger, koppeling, land, termijn, systeem, leverancier of rol is een directe trigger. Ieder wijzigingsproces hoort daarom te vragen of het voorstel een bestaande activiteit wijzigt of een nieuwe activiteit creëert.

Gebeurtenisgestuurd bijwerken is de eerste verdedigingslinie. Koppel registercontrole aan inkoop, productwijzigingen, nieuwe formulieren, toegangswijzigingen, contractverlenging, migraties en beëindiging. De proceseigenaar hoeft niet het hele register te kennen; die moet wel weten hoe een wijziging wordt gemeld en wie haar verwerkt.

Een evenredig periodiek vangnet vindt veranderingen die geen formele route hebben geraakt. Daarvoor bestaat geen universele wettelijke herzieningstermijn. De gekozen frequentie volgt uit wijzigingstempo, risico, aantal eigenaren en betrouwbaarheid van de triggers en wordt gemotiveerd. Een stabiel proces hoeft dus niet dezelfde controlecadans te hebben als een dienst die iedere maand verandert.

Bewaar per wijziging de vorige waarde, nieuwe waarde, reden, bron, datum en beslisser. Maak open bewijs zichtbaar en geef het een eigenaar. Een lege cel kan betekenen dat iets niet van toepassing is, nog onbekend is of vergeten werd; gebruik statussen die dat onderscheid bewaren.

Gebruik de presentatie over het Britse verwerkingsregister^EN(artikel in het Engels) alleen als aanvullend presentatieformat. De EU-velden, rolafbakening en eigen bewijsbronnen blijven leidend voor deze activiteit. Een presentatie kan de bespreking versnellen, maar is niet het register zelf.

Maak tenslotte achterstand meetbaar. Rapporteer rijen zonder eigenaar, onbevestigde wijzigingen, verlopen bewijs en activiteiten die niet meer in systemen of contracten worden herkend. Een levend register is niet foutloos; het maakt fouten en onzekerheid zichtbaar voordat zij stilzwijgend beleid worden.

Zorg dat maandag een werkbaar begin oplevert

Wie nog geen register heeft, hoeft niet eerst het perfecte gegevensmodel te ontwerpen. Zeven concrete acties leveren een eerste versie op die klein genoeg is om deze week al te toetsen:

1. Benoem een registerbeheerder en proceseigenaren. Leg uit wie structuur bewaakt, wie feiten bevestigt en waar open vragen worden geëscaleerd.
2. Verzamel de bestaande sporen. Neem systeemlijsten, bestanden, contracten, formulieren, koppelingen, uitwisselingen, bewaarbeleid en beveiligingsdocumentatie samen zonder ze al als volledige waarheid te behandelen.
3. Voer korte procesgesprekken. Vraag wat een gebeurtenis start, welke gegevens werkelijk worden gebruikt, welke handmatige omwegen bestaan en wie informatie ontvangt.
4. Groepeer tot samenhangende activiteiten. Geef iedere activiteit een doelgerichte naam en splits wanneer doelen, rollen of verwijderpaden wezenlijk verschillen.
5. Bepaal de rol en vul de wettelijke velden. Scheid de weergave als verwerkingsverantwoordelijke van die als verwerker en koppel iedere conclusie aan contract en feitelijke beslissingen.
6. Test uitzondering, bewijs en uitvoer. Beoordeel de minder-dan-250-afwijking per activiteit, markeer ontbrekende bronnen en controleer of een leesbare export kan worden geleverd.
7. Activeer wijzigingstriggers en een vangnet. Verbind inkoop, product, personeel, beveiliging en leverancierswijzigingen met het register en plan een evenredige controle op gemiste veranderingen.

Na deze zeven stappen ligt er een beheersbare eerste versie. Verdiep vervolgens enkele risicovolle of vaak veranderende activiteiten. Het doel is niet ieder leeg veld zo snel mogelijk als afgerond markeren, maar zorgen dat iedere wezenlijke conclusie een eigenaar, bron en herkenbare status heeft.

Plan een korte tweede-lezersessie met iemand die de processen niet heeft geïnventariseerd. Laat die persoon één activiteit volgen van doel tot wissen en één leveranciersketen volgen tot doorgifte en beveiliging. Vragen die niet uit de rij kunnen worden beantwoord, worden concrete verbeterpunten.

Veelgestelde vragen

Wat is een register van verwerkingsactiviteiten?

Het is een schriftelijke kaart van activiteiten waarvoor de organisatie verwerkingsverantwoordelijke of verwerker is. Per activiteit verbindt het contactgegevens, doel of verwerkingscategorie, mensen en gegevens, ontvangers, doorgiften, termijnen voor wissing en beveiliging. Het ondersteunt aantoonbaarheid en moet op verzoek beschikbaar zijn ². Een statische softwarelijst vervult die functie niet.

Welke velden moet een verwerkingsverantwoordelijke opnemen?

Neem contactgegevens, doeleinden, categorieën betrokkenen en persoonsgegevens, categorieën ontvangers, toepasselijke doorgiften en waarborgen, waar mogelijk beoogde wistermijnen en waar mogelijk een algemene beveiligingsbeschrijving op ¹. Maak elk veld concreet voor dezelfde activiteit en koppel bewijs. Een verwijzing als “volgens beleid” werkt alleen wanneer bron, versie en eigenaar terugvindbaar zijn.

Welke velden moet een verwerker opnemen?

Een verwerker legt eigen contactgegevens en die van iedere verwerkingsverantwoordelijke vast, plus de categorieën verwerkingen per verantwoordelijke, toepasselijke doorgiften en waarborgen en waar mogelijk een algemene beveiligingsbeschrijving ¹. Houd klanten gescheiden. Verwerkingen voor eigen doelen horen in de weergave van de organisatie als verwerkingsverantwoordelijke, niet verstopt tussen klantinstructies.

Geldt de uitzondering voor organisaties met minder dan 250 werknemers?

Niet automatisch. Minder dan 250 is slechts de ingang. De activiteit moet ook incidenteel zijn, waarschijnlijk geen risico voor rechten en vrijheden opleveren en geen bijzondere of strafrechtelijke gegevens bevatten ³. Alle voorwaarden moeten samen gelden. Beoordeel per activiteit; routinematige personeels- en salarisverwerking is niet incidenteel en hoort dus in het register.

Mag het register in een spreadsheet worden bijgehouden?

Ja. Artikel 30 staat elektronische vorm toe en schrijft geen product voor ¹. Een spreadsheet kan volstaan wanneer rollen, rijen en velden duidelijk zijn, bewijs en versies herleidbaar blijven, eigenaren wijzigingen verwerken en een leesbare export beschikbaar is. Bij veel entiteiten, koppelingen of goedkeuringsstappen kan een beheerde database beter passen.

Hoe vaak moet het verwerkingsregister worden bijgewerkt?

Werk het bij zodra doel, gegevens, betrokkenen, ontvangers, doorgiften, termijnen, systemen, leveranciers, rol of beveiliging verandert. Er is geen universele wettelijke kalendertermijn. Combineer gebeurtenisgestuurde triggers met een evenredig periodiek vangnet. Bewaar per wijziging reden, bron, datum, eigenaar en vorige waarde, zodat het register actueel én controleerbaar blijft.