--- title: "Het verwerkingsregister (RoPA) | Pitch" description: "Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt." url: https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know --- [pitch](https://www.pitch.law/nl) [Academy](https://www.pitch.law/nl/academy) [Privacy & gegevensbescherming](https://www.pitch.law/nl/academy/topics/privacy) # Het verwerkingsregister (RoPA) Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt. - Door Door Bart Lieben, Advocaat - Gepubliceerd 25 februari 2026 ## Het juridisch kader Artikel 30 AVG verplicht verwerkingsverantwoordelijken en verwerkers een schriftelijk register van hun verwerkingsactiviteiten bij te houden, ook in elektronische vorm. Het register is intern. Je publiceert het niet, maar je moet het op verzoek ter beschikking stellen van de toezichthoudende autoriteit (artikel 30, lid 4), in België de Gegevensbeschermingsautoriteit (GBA). Het register van een verwerkingsverantwoordelijke bevat, per verwerkingsactiviteit (artikel 30, lid 1): - de naam en de contactgegevens van de verwerkingsverantwoordelijke, een eventuele gezamenlijke verantwoordelijke, de vertegenwoordiger en de functionaris voor gegevensbescherming (DPO); - de verwerkingsdoeleinden; - de categorieën van betrokkenen en van persoonsgegevens; - de categorieën van ontvangers, ook in derde landen; - doorgiften naar derde landen of internationale organisaties en, voor bepaalde doorgiften, de gedocumenteerde waarborgen; - indien mogelijk, de beoogde termijnen voor het wissen van de verschillende categorieën van gegevens; - indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen. Een verwerker houdt een eigen register bij op grond van artikel 30, lid 2: de verwerkers en verantwoordelijken voor wie hij optreedt, de categorieën van verwerking voor elke verantwoordelijke, doorgiften en een algemene beschrijving van de beveiligingsmaatregelen. ### Wie moet een register bijhouden Artikel 30, lid 5 stelt ondernemingen en organisaties met minder dan 250 werknemers vrij, maar niet als de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van personen, als de verwerking niet incidenteel is of als ze bijzondere categorieën van gegevens of gegevens over strafrechtelijke veroordelingen omvat. Loonadministratie, klantenbeheer en een vaste mailinglijst zijn niet incidenteel. In de praktijk moet dus bijna elke organisatie die regelmatig persoonsgegevens verwerkt een register bijhouden, hoe klein ook. ### Waarvoor dient het register Het register is een van je belangrijkste middelen om de verantwoordingsplicht onder artikel 5, lid 2 aan te tonen. Het is ook de basis voor andere verplichtingen: de informatie die je geeft op grond van artikelen 13 en 14, het antwoord op inzageverzoeken, de keuze van bewaartermijnen, de selectie van verwerkers en het opsporen van verwerkingen waarvoor je een DPIA nodig hebt. ## In de praktijk Een Gents softwarebedrijf met 40 werknemers verkoopt een abonnementsproduct aan zakelijke klanten. Het verwerkt persoonsgegevens in minstens twee rollen. Als verwerkingsverantwoordelijke verwerkt het gegevens van werknemers, sollicitanten, contactpersonen van klanten en websitebezoekers. Als verwerker host het de gegevens van de eindgebruikers van zijn klanten. Het houdt dus twee registers bij: een register als verantwoordelijke met misschien tien tot vijftien activiteiten (loonadministratie, werving, CRM, marketingmail, website-analyse, leveranciersbeheer) en een register als verwerker waarin elke klant staat voor wie het gegevens verwerkt. Voor website-analyse noteert de vermelding het doel (inzicht in het gebruik van de site), de categorieën (toestel- en gebruiksgegevens van bezoekers), de ontvanger (de analyseleverancier), de doorgiftepositie (bewaart de leverancier gegevens buiten de EER, en op welke grond), de bewaartermijn (bijvoorbeeld veertien maanden ruwe gegevens) en de beveiligingsmaatregelen. De vermelding verwijst ook naar de verwerkersovereenkomst met de leverancier, en daarom houd je het register en je [verwerkersovereenkomsten](https://www.pitch.law/nl/solutions/data-processing-agreements) best samen up-to-date. Typische zwakke plekken zijn een register dat één keer werd opgesteld en nooit werd bijgewerkt, vermeldingen die een afdeling beschrijven in plaats van een doel, een ontbrekende bewaartermijn ("zolang nodig") en verwerkers die ontbreken. De toezichthouder leest een onvolledig register als teken dat de onderliggende verwerking niet onder controle is. ### Het register actueel houden Het praktische antwoord is eigenaarschap: één benoemde persoon per verwerkingsactiviteit die de vermelding minstens één keer per jaar bevestigt, en telkens als er een nieuwe tool of een nieuw doel bijkomt. [Onze registerfunctie](https://www.pitch.law/nl/technologies/privacy-register) bewaart de vermeldingen in een gedeeld dossier dat je team bewerkt en de DPO goedkeurt, en de [DPIA-functie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) start vanuit de registervermelding als een activiteit een hoog risico inhoudt. ## Veelgestelde vragen ### Is het verwerkingsregister hetzelfde als een privacyverklaring? Nee. De privacyverklaring informeert personen op grond van artikelen 13 en 14. Het register is een intern document voor verantwoording en voor de toezichthouder. Ze moeten wel met elkaar overeenstemmen. ### Heeft een kmo met tien werknemers een register nodig? Meestal wel. De vrijstelling voor minder dan 250 werknemers vervalt zodra de verwerking niet incidenteel is of een risico of bijzondere categorieën inhoudt, en dat dekt loon- en klantenadministratie. ### Moeten we elk systeem opnemen? Het register is georganiseerd per verwerkingsactiviteit, niet per systeem. Eén activiteit kan meerdere systemen gebruiken en één systeem kan meerdere activiteiten dienen. ### Kan de toezichthouder ons beboeten omdat we geen register hebben? Ja. Geen register bijhouden valt onder artikel 83, lid 4, a), dat boeten toelaat tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. In de praktijk komt een ontbrekend register meestal ter sprake bij een breder onderzoek. ## Hoe dit samenhangt Een goed bijgehouden register is de basis van [DPO as a Service](https://www.pitch.law/nl/solutions/dpo-as-a-service) en het vertrekpunt als je [verwerkersovereenkomsten](https://www.pitch.law/nl/solutions/data-processing-agreements) opstelt of nakijkt. Bewaartermijnen komen aan bod in [hoe lang je persoonsgegevens mag bewaren](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) en doorgiften in [internationale doorgiften van gegevens](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii). ## In het kort - Wat artikel 30 AVG je verplicht vast te leggen - Wie een register moet bijhouden, ongeacht de omvang - Hoe je vermeldingen actueel houdt ## Hier helpen we mee - [Oplossingen](https://www.pitch.law/nl/solutions/dpo-as-a-service) ### [Externe DPO](https://www.pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://www.pitch.law/nl/solutions/dpo-as-a-service) - [Oplossingen](https://www.pitch.law/nl/solutions/data-processing-agreements) ### [Verwerkersovereenkomsten](https://www.pitch.law/nl/solutions/data-processing-agreements) [Verwerkersovereenkomsten volgens artikel 28 AVG, opgesteld, nagekeken en onderhandeld voor verwerkingsverantwoordelijken en verwerkers, inclusief subverwerkers en doorgiften.](https://www.pitch.law/nl/solutions/data-processing-agreements) ## Tech die we gebruiken - [Technologie](https://www.pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://www.pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://www.pitch.law/nl/technologies/privacy-register) - [Technologie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [DPIA](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) - [Technologie](https://www.pitch.law/nl/technologies/contract-studio) ### [Document Studio](https://www.pitch.law/nl/technologies/contract-studio) [Onze Document Studio stelt juridische documenten op en analyseert ze, in een beveiligde on-premise omgeving. En ze houdt de documenten in je dossiers bij wanneer er nieuwe gegevens binnenkomen of een volgende procedurestap nadert.](https://www.pitch.law/nl/technologies/contract-studio) - [Technologie](https://www.pitch.law/nl/technologies/breach-response-workflow) ### [Datalekken afhandelen](https://www.pitch.law/nl/technologies/breach-response-workflow) [Een workflow voor artikelen 33 en 34 AVG met een afteller van 72 uur, een referentie per inbreuk en een gestructureerde melding aan de toezichthouder, goedgekeurd door een jurist.](https://www.pitch.law/nl/technologies/breach-response-workflow) ## Meer over Privacy & gegevensbescherming - ### [Cookies en toestemming](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) - ### [Datalek: de 72-urenregel](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) [Wanneer je een inbreuk op persoonsgegevens moet melden aan de toezichthouder en aan betrokkenen, hoe de 72 uur worden geteld en wat je moet documenteren.](https://www.pitch.law/nl/academy/data-breach-response-the-72-hour-countdown) - ### [Hoe lang mag je persoonsgegevens bewaren?](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) [Het beginsel van opslagbeperking in artikel 5, lid 1, e) AVG, hoe je bewaartermijnen bepaalt en hoe je in de praktijk wist.](https://www.pitch.law/nl/academy/data-retention-policies-how-long-should-you-keep-personal-data) - ### [Inzageverzoeken van betrokkenen](https://www.pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) [Hoe het recht op inzage werkt onder artikel 15 AVG, hoe je de termijn bewaakt, wat je mag weigeren en wat een goed antwoord bevat.](https://www.pitch.law/nl/academy/data-subject-access-requests-dsars-practical-guide) - ### [Gegevens doorgeven buiten de EU](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii) [Hoe hoofdstuk V AVG werkt na Schrems II: adequaatheidsbesluiten, het EU-VS Data Privacy Framework, modelcontractbepalingen en de beoordeling die erbij hoort.](https://www.pitch.law/nl/academy/international-data-transfers-post-schrems-ii) - ### [Je website doorlichten op GDPR](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) [Wat een technologie-audit van een website onderzoekt, waarom je privacyverklaring en de echte gegevensstromen uit elkaar groeien en welke wettelijke plichten worden getoetst.](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)