Het verwerkingsregister (RoPA)

Het juridisch kader

Artikel 30 AVG verplicht verwerkingsverantwoordelijken en verwerkers een schriftelijk register van hun verwerkingsactiviteiten bij te houden, ook in elektronische vorm. Het register is intern. Je publiceert het niet, maar je moet het op verzoek ter beschikking stellen van de toezichthoudende autoriteit (artikel 30, lid 4), in België de Gegevensbeschermingsautoriteit (GBA).

Het register van een verwerkingsverantwoordelijke bevat, per verwerkingsactiviteit (artikel 30, lid 1):

• de naam en de contactgegevens van de verwerkingsverantwoordelijke, een eventuele gezamenlijke verantwoordelijke, de vertegenwoordiger en de functionaris voor gegevensbescherming (DPO);
• de verwerkingsdoeleinden;
• de categorieën van betrokkenen en van persoonsgegevens;
• de categorieën van ontvangers, ook in derde landen;
• doorgiften naar derde landen of internationale organisaties en, voor bepaalde doorgiften, de gedocumenteerde waarborgen;
• indien mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën van gegevens;
• indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen.

Een verwerker houdt een eigen register bij op grond van artikel 30, lid 2: de verwerkers en verantwoordelijken voor wie hij optreedt, de categorieën van verwerking voor elke verantwoordelijke, doorgiften en een algemene beschrijving van de beveiligingsmaatregelen.

Wie moet een register bijhouden

Artikel 30, lid 5 stelt ondernemingen en organisaties met minder dan 250 werknemers vrij, maar niet als de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van personen, als de verwerking niet incidenteel is of als ze bijzondere categorieën van gegevens of gegevens over strafrechtelijke veroordelingen omvat. Loonadministratie, klantenbeheer en een vaste mailinglijst zijn niet incidenteel. In de praktijk moet dus bijna elke organisatie die regelmatig persoonsgegevens verwerkt een register bijhouden, hoe klein ook.

Waarvoor dient het register

Het register is een van je belangrijkste middelen om de verantwoordingsplicht onder artikel 5, lid 2 aan te tonen. Het is ook de basis voor andere verplichtingen: de informatie die je geeft op grond van artikelen 13 en 14, het antwoord op inzageverzoeken, de keuze van bewaartermijnen, de selectie van verwerkers en het opsporen van verwerkingen waarvoor je een DPIA nodig hebt.

In de praktijk

Een Gents softwarebedrijf met 40 werknemers verkoopt een abonnementsproduct aan zakelijke klanten. Het verwerkt persoonsgegevens in minstens twee rollen. Als verwerkingsverantwoordelijke verwerkt het gegevens van werknemers, sollicitanten, contactpersonen van klanten en websitebezoekers. Als verwerker host het de gegevens van de eindgebruikers van zijn klanten. Het houdt dus twee registers bij: een register als verantwoordelijke met misschien tien tot vijftien activiteiten (loonadministratie, werving, CRM, marketingmail, website-analyse, leveranciersbeheer) en een register als verwerker waarin elke klant staat voor wie het gegevens verwerkt.

Voor website-analyse noteert de vermelding het doel (inzicht in het gebruik van de site), de categorieën (toestel- en gebruiksgegevens van bezoekers), de ontvanger (de analyseleverancier), de doorgiftepositie (bewaart de leverancier gegevens buiten de EER, en op welke grond), de bewaartermijn (bijvoorbeeld veertien maanden ruwe gegevens) en de beveiligingsmaatregelen. De vermelding verwijst ook naar de verwerkersovereenkomst met de leverancier, en daarom houd je het register en je verwerkersovereenkomsten best samen up-to-date.

Typische zwakke plekken zijn een register dat één keer werd opgesteld en nooit werd bijgewerkt, vermeldingen die een afdeling beschrijven in plaats van een doel, een ontbrekende bewaartermijn ("zolang nodig") en verwerkers die ontbreken. De toezichthouder leest een onvolledig register als teken dat de onderliggende verwerking niet onder controle is.

Het register actueel houden

Het praktische antwoord is eigenaarschap: één benoemde persoon per verwerkingsactiviteit die de vermelding minstens één keer per jaar bevestigt, en telkens als er een nieuwe tool of een nieuw doel bijkomt. Onze registerfunctie bewaart de vermeldingen in een gedeeld dossier dat je team bewerkt en de DPO goedkeurt, en de DPIA-functie start vanuit de registervermelding als een activiteit een hoog risico inhoudt.

Veelgestelde vragen

Is het verwerkingsregister hetzelfde als een privacyverklaring?

Nee. De privacyverklaring informeert personen op grond van artikelen 13 en 14. Het register is een intern document voor verantwoording en voor de toezichthouder. Ze moeten wel met elkaar overeenstemmen.

Heeft een kmo met tien werknemers een register nodig?

Meestal wel. De vrijstelling voor minder dan 250 werknemers vervalt zodra de verwerking niet incidenteel is of een risico of bijzondere categorieën inhoudt, en dat dekt loon- en klantenadministratie.

Moeten we elk systeem opnemen?

Het register is georganiseerd per verwerkingsactiviteit, niet per systeem. Eén activiteit kan meerdere systemen gebruiken en één systeem kan meerdere activiteiten dienen.

Kan de toezichthouder ons beboeten omdat we geen register hebben?

Ja. Geen register bijhouden valt onder artikel 83, lid 4, a), dat boeten toelaat tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. In de praktijk komt een ontbrekend register meestal ter sprake bij een breder onderzoek.

Hoe dit samenhangt

Een goed bijgehouden register is de basis van DPO as a Service en het vertrekpunt als je verwerkersovereenkomsten opstelt of nakijkt. Bewaartermijnen komen aan bod in hoe lang je persoonsgegevens mag bewaren en doorgiften in internationale doorgiften van gegevens.