GDPR – Registers van Verwerkingsactiviteiten

De Algemene Verordening Gegevensbescherming verplicht volgens Art. 30 van de AVG tot schriftelijke documentatie en een overzicht van de procedures waarmee persoonsgegevens worden verwerkt. De registers van verwerkingsactiviteiten moeten belangrijke informatie over gegevensverwerking bevatten, waaronder gegevenscategorieën, de groep van betrokkenen, het doel van de verwerking en de gegevensontvangers. Dit moet volledig beschikbaar worden gesteld aan de autoriteiten op verzoek.

De verplichting om een register van verwerkingsactiviteiten bij te houden, wordt niet alleen opgelegd aan de verwerkingsverantwoordelijke en hun vertegenwoordiger, maar ook direct aan de verwerker en hun vertegenwoordigers zoals bepaald in Art. 30(2) van de AVG. Als uitzondering zijn bedrijven of instellingen met minder dan 250 werknemers vrijgesteld van het bijhouden van een register, als de verwerking naar verwachting geen risico vormt voor de rechten en vrijheden van de betrokkenen, als er geen speciale categorieën van gegevens worden verwerkt of als de verwerking slechts incidenteel is, zoals aangegeven in Art. 30(5) AVG. In de praktijk is deze uitzondering zelden van toepassing. Afgezien van de moeilijkheden die zich voordoen bij de interpretatie van wat als “alleen incidenteel” wordt beschouwd, zal in de meeste bedrijven – zelfs met een brede interpretatie van de term – gegevens ondubbelzinnig regelmatig worden verwerkt, inclusief gegevensverwerking voor de website, hun webwinkel, salarisberekening of CRM-systemen. Men moet opmerken dat de verplichting voor documentatie en dus registers van verwerkingsactiviteiten een aandachtspunt zal zijn bij inspecties van de autoriteiten met betrekking tot de implementatie van de Algemene verordening gegevensbescherming.

Als een bedrijf geen gegevens over verwerkingsactiviteiten bijhoudt en/of geen volledige index aan de autoriteiten verstrekt, is het volgens Art. 83(4)(a) van de AVG onderhevig aan boetes. De mogelijke boetes kunnen oplopen tot 10 miljoen euro of 2% van hun jaarlijkse omzet. Dit totaal wordt in de regel alleen door de autoriteiten in uitzonderlijke gevallen beoordeeld. Hiervoor worden de autoriteiten aangemoedigd, zoals uiteengezet in overweging 13, “rekening te houden met de specifieke behoeften van micro-, kleine en middelgrote ondernemingen bij de toepassing van deze Verordening.”