Verwerkingsregister: voorbeeld voor klanten en salaris

Een verwerkingsregister beschrijft wat je organisatie met persoonsgegevens doet. Het is geen lijst met alle klanten of medewerkers. Hieronder vul je twee activiteiten in: klantorders afhandelen en de loonadministratie uitvoeren. Je ziet wat in de rij hoort, welke keuzes nog onderbouwing vragen en hoe je het register actueel houdt.

1. Beschrijf een proces, geen los computersysteem

Het fictieve bedrijf Havenservice heeft twaalf medewerkers. Het verwerkt dagelijks klantorders en maandelijks salarisgegevens. “Excel” of “e-mail” als verwerking is te vaag: hetzelfde systeem kan voor meerdere doelen worden gebruikt. “Klantorder afhandelen” maakt duidelijker waarom de informatie nodig is.

Artikel 30 van de AVG beschrijft het register. De uitzondering voor organisaties met minder dan 250 personen geldt niet zonder meer, onder andere wanneer de verwerking niet incidenteel is. Kleine bedrijven kunnen dus ook een register nodig hebben. Bepaal eerst of je voor de activiteit verwerkingsverantwoordelijke of verwerker bent; de verplichte gegevens verschillen.

2. Vul twee activiteiten in zonder echte persoonsgegevens

Dit zijn ingevulde procesbeschrijvingen met bewuste controlepunten. Een universele bewaartermijn voor de hele rij zou hier misleidend zijn: een contactnotitie en een fiscaal bewijsstuk kunnen een ander doel en een andere termijn hebben. Leg daarom de concrete termijnen en hun startmoment vast in de bewaarinstructie waar de rij naar verwijst.

3. Maak de grondslag en toegang specifiek

Een overeenkomst met een klantonderneming betekent niet automatisch dat iedere verwerking van gegevens van haar werknemers op “uitvoering overeenkomst” kan rusten. Benoem de betrokkene en toets de passende grondslag. Gebruik ook niet standaard toestemming voor alles; intrekbare toestemming past niet vanzelf bij een wettelijke loonverplichting.

Beperk de gegevens tot wat voor het doel nodig is en bewaar ze niet langer dan daarvoor noodzakelijk, met inachtneming van toepasselijke wettelijke bewaarplichten. Dat zijn uitgangspunten uit artikel 5 AVG. Beschrijf in je eigen werkwijze wie mag lezen, wijzigen, exporteren en verwijderen. “Alleen medewerkers” is bij salarisinformatie onvoldoende precies.

4. Controleer leveranciers en doorgifte

Inventariseer welke externe partijen namens jou gegevens verwerken. Leg afspraken met verwerkers vast waar artikel 28 AVG dat vereist. Niet iedere ontvanger is automatisch een verwerker: een zelfstandig verantwoordelijke instantie heeft een andere rol. Onderzoek ook waar opslag en toegang plaatsvinden; een Nederlandse factuur zegt niet waar gegevens worden verwerkt.

5. Gebruik de registerbladen gericht

1. Vul BEDRIJFSGEGEVENS met de verantwoordelijke organisatie en contactgegevens.
2. Pas op VERWERKINGSREGISTER de voorbeeldactiviteiten aan; verwijder niet-toepasselijke processen en voeg ontbrekende toe.
3. Gebruik GRONDSLAGEN als referentie en beschrijf de onderbouwing bij je eigen activiteit.
4. Werk VERWERKERS, DERDE_LANDEN en TOM_MAATREGELEN bij op basis van gecontroleerde afspraken en inrichting.
5. Leg open vragen en een herbeoordelingsdatum vast. Markeer een verwerking pas actueel nadat de informatie is gecontroleerd.

Het product bevat ook een datalekregister en een dashboard. Die ondersteunen documentatie; ze bepalen niet zelfstandig of melding, een DPIA of andere maatregelen nodig zijn. Een compleet register is één onderdeel van je privacyverantwoordelijkheid, geen automatisch bewijs van volledige naleving.

6. Werk het register bij wanneer het proces verandert

Stel dat Havenservice een nieuwe bezorgdienst inschakelt. Controleer de gedeelde gegevens, rol van de leverancier, afspraken, toegang en eventuele doorgifte. Pas daarna de ontvangers en bewijsverwijzing in de orderrij aan. Alleen de naam van de leverancier vervangen laat mogelijk belangrijke wijzigingen onbesproken.

Voor een vereniging vind je een ledenadministratievoorbeeld met beperkte gegevens en contributie. De ledenlijst bevat concrete personen; het verwerkingsregister beschrijft wat de vereniging met die gegevens doet.