Naar het menu

/// Het Register van de verwerkingsactiviteiten (artikel 30 AVG).

Op grond van artikel 30 van de vanaf 25 mei a.s. geldende Algemene Verordening Gegevensbescherming (AVG) moet iedere verwerkingsverantwoordelijke (en overigens iedere verwerker) een zogenoemd Register van de verwerkingsactiviteiten bijhouden. Ongeacht welke omvang de organisatie heeft. Dus, van eenmanszaak, sportclub, vrijwilligersorganisatie tot multinational aan toe.

Tenzij de verwerking “incidenteel” is en overigens geen risico voor betrokkenen met zich mee brengt en niet betrekking heeft op bijzondere persoonsgegevens (lid 5 van artikel 30 AVG). In dat geval hoeven organisaties met minder dan 250 werknemers, kleine organisaties dus, geen register bij te houden.

Maar, wat moet verstaan worden onder “incidenteel”?

 

De uitleg die zowel de Europese Commissie (Commissie) als de Nederlandse Autoriteit Persoonsgegevens (AP) aan het begrip “incidenteel” geeft leidt ertoe dat bij een gebruikelijke verwerking van persoonsgegevens zelden sprake zal zijn van “incidentele” verwerking.

Zo is de administratie met betrekking tot personeel, niet-incidenteel. Financiële administratie is ook niet-incidenteel. En, ga zo maar door.

 

Op de site van de Commissie valt te lezen:

 

“Yes, the application of the data protection regulation depends not on the size of your company/organisation but on the nature of your activities.”

 

En, de AP vermeldt op zijn site:

 

         “In de praktijk zijn verwerkingen zelden incidenteel.”

 

De AVG kent een officiële toelichting, de zogenoemde Preambule met 173 Overwegingen.

Overweging 13 geeft een nadere toelichting op de uitzondering van het verplicht bijhouden van een register voor organisaties met minder dan 250 werknemers.

Interessant in dit verband is de enigszins cryptische opmerking in Overweging 13:

 

“Voorts worden de instellingen, organen en instanties van de Unie, en de lidstaten en hun toezichthoudende autoriteiten aangemoedigd om bij de toepassing van deze verordening de specifieke behoeften van de kleine, middelgrote en micro-ondernemingen in aanmerking te nemen.”

 

Om welke “specifieke behoeften” zou het gaan? De Preambule geeft daarop geen antwoord.

In brede kring wordt echter aanvaard dat het in het belang is van organisaties, en speciaal van de kleine tot zeer kleine organisaties, om niet geconfronteerd te worden met onevenredig zware administratieve lasten als gevolg van de invoering van de AVG.

Betekent dit nu dat kleine tot zeer kleine organisaties misschien vrijgesteld kunnen worden van het bijhouden van een register?

 

Onlangs heeft het onafhankelijke advies- en overlegorgaan van de Europese privacy toezichthouders, de WP 29, haar zienswijze gepubliceerd met betrekking tot deze problematiek.

Het adviesorgaan komt tot de conclusie dat het bijhouden van een register voor kleine tot zeer kleine organisaties, naar alle waarschijnlijkheid niet zal leiden tot “bijzonder zware lasten”.

Maar, tegelijk wordt in de zienswijze het advies gegeven aan de nationale toezichthoudende autoriteiten om vereenvoudigde modellen te publiceren waarmee het kleine organisaties gemakkelijker wordt gemaakt om aan de nieuwe administratieve eis van het bijhouden van een register, te voldoen.

Wellicht heeft het adviesorgaan daarbij rekening gehouden met de hierboven aangehaalde Overweging 13 van de Preambule bij de AVG.

Met dit advies van de WP 29 kan er nu dus van uitgegaan worden dat in beginsel altijd een register van verwerkingsactiviteiten moet worden bijgehouden.

Of deze nieuwe administratieve verplichting inderdaad niet zal leiden tot “bijzonder zware lasten” voor de organisatie, zal in de praktijk moeten blijken.

Op internet staan veel voorbeelden van registers.

Voor een complete AVG-tool, inclusief een register van verwerkingsactiviteiten, kijk ook eens op:

https://youtu.be/IF7p0cyhINk

De Boer & Egberts Advocaten (DBE) is een gedreven team dat zijn juridische expertise graag inzet voor kleine en grote bedrijven. Het team adviseert u over alle juridische kwesties die in uw organisatie aan de orde komen.