In het kader van de algemene verordening gegevensbescherming (hierna AVG of GDPR) werd aan ondernemingen een aantal bijkomende verplichtingen opgelegd. Naast een document waarin de betrokkenen worden ingelicht aangaande hun rechten en verplichtingen (privacypolicy), dient een onderneming een verwerkingsregister bij te houden. Het betreft een database waarin alle stromen van persoonsgegevens worden bijgehouden.
Voor wie?
De AVG (Algemene verordening gegevensbescherming) legt het bijhouden van een verwerkingsregister op aan ondernemingen van meer dan 250 werknemers. Deze uitzondering dient genuanceerd te worden aangezien bedrijven van minder dan 250 werknemers toch een verwerkingsregister moeten bijhouden in volgende gevallen:
- Het is waarschijnlijk dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van betrokkenen;
- De verwerking betreft bijzondere/gevoelige categorieën van gegevens;
- De verwerking is niet incidenteel
Hieruit volgt reeds dat het opmaken van een verwerkingsregister sterk aan te raden is. Het bijhouden van persoonsgegevens kan immers altijd “een risico” zijn. De gegevensbeschermingsautoriteit gaat ervanuit dat de opmaak van een verwerkingsregister verplicht is, tenzij het om een louter incidentele verwerking gaat. Wat wordt begrepen onder een louter incidentele verwerking? Dit betekent dat bepaalde gegevens slechts éénmaal worden opgevraagd (bijvoorbeeld in het kader van een wedstrijd) en deze nadien niet worden bijgehouden. In alle andere gevallen is de opmaak van een verwerkingsregister noodzakelijk.
Inhoud
Een verwerkingsregister bevat volgende zaken:
- de verwerkingsverantwoordelijke: de onderneming die de persoonsgegevens verwerkt;
- de grond voor de verwerking: toestemming, overeenkomst, gerechtvaardigd belang,…;
- het doeleinde voor de verwerking: bijvoorbeeld klantenbinding, facturatie,…
- de betrokkenen: bijvoorbeeld klanten, werknemers,…
- omschrijving van de categorie persoonsgegevens: bijvoorbeeld naam, adres, e-mail,…;
- omschrijving van de genomen organisatorische en technische maatregelen ter bescherming: bijvoorbeeld wachtwoordenbeleid, vertrouwelijkheidsclausules,..
- termijn gedurende dewelke de gegevens worden bijgehouden: bijvoorbeeld 2 jaar of de wettelijke verplichting.
De inhoud zal verschillend zijn naar gelang u een verwerkingsverantwoordelijke (de onderneming die de persoonsgegevens verwerft en bijhoudt) dan wel een verwerker (de onderneming die kennis neemt van voormelde persoonsgegevens in de uitvoering van haar activiteit).
Hoe aanpakken?
De opmaak van een verwerkingsregister is een noodzakelijke stap in de bewustwording en het beheer van persoonsgegevens. Een met zorg opgemaakt verwerkingsregister zal u een overzicht geven van uw verwerkingsstromen, uw verwerkers, uw beveiligingsmechanismen, en eventuele termijnen om gegevens bij te houden.
Gezien de complexiteit van een dergelijk register zal de bijstand van iemand met kennis van zaken geen overbodige luxe zijn. Wij staan u graag bij om u hierin te begeleiden en dit samen met u aan te pakken.
