Het verwerkingsregister (artikel 30 van de GDPR) klinkt zwaarder dan het is. Het is de ruggengraat van je GDPR-dossier, en tegelijk het makkelijkste stuk om zelf op te stellen. Je hoeft geen wetteksten te kennen; je moet gewoon eerlijk beschrijven wat je met gegevens doet.
Werk per activiteit
Begin met een lijst van je verwerkingsactiviteiten: de dingen waarvoor je persoonsgegevens gebruikt. Bij een typische kmo zijn dat er niet zo veel:
- klantenbeheer en facturatie,
- nieuwsbrief en marketing,
- personeelsadministratie,
- sollicitaties,
- camerabewaking (indien van toepassing),
- website en contactformulier.
Beantwoord per activiteit vijf vragen
Voor elke activiteit noteer je:
- Welke gegevens verwerk je? (naam, e-mail, rijksregisternummer, ...)
- Waarom (het doel)? (een bestelling afhandelen, loon uitbetalen, ...)
- Op welke grondslag? (een contract, een wettelijke plicht, toestemming, of een gerechtvaardigd belang)
- Hoelang bewaar je ze?
- Met wie deel je ze? (je boekhouder, je IT-partner, een nieuwsbrieftool, ...)
Zet dat in een tabel met die vijf kolommen, één rij per activiteit. Dat is je register.
Waar mensen op vastlopen, en de oplossing
- Grondslag kiezen. Twijfel je? De meeste verwerkingen steunen op een contract (je levert iets), een wettelijke plicht (loonadministratie) of een gerechtvaardigd belang (fraudepreventie). Toestemming gebruik je vooral voor marketing naar mensen met wie je nog geen relatie hebt.
- Bewaartermijnen. Je hoeft niet op de dag nauwkeurig te zijn. Werk met redelijke termijnen (bijvoorbeeld: klantgegevens tot zeven jaar na de laatste factuur voor de boekhouding) en pas ze aan je situatie aan.
- Derden vergeten. Elke partij die in jouw naam gegevens verwerkt, hoort in de laatste kolom, en met elk van hen heb je ook een verwerkersovereenkomst nodig.
Houd het levend
Een register is geen eenmalig document. Neem het één keer per jaar door en pas het aan als je een nieuwe tool of activiteit toevoegt. Dat is meteen het bewijs dat je er bewust mee bezig bent.
Konforma stelt je precies deze vragen in gewone taal en bouwt daaruit je register op, met sjablonen per activiteit en een koppeling naar je verwerkersovereenkomsten. Doe de gratis GDPR-check of lees wat er verder in je GDPR-dossier hoort.