Wat is een verwerkingsregister?
Het register is een overzicht van je verwerkingsactiviteiten, niet van systemen of datavelden. Een verwerkingsactiviteit is iets wat je met persoonsgegevens doet voor één doel, zoals de salarisadministratie of het versturen van een nieuwsbrief. De meeste organisaties komen uit op 15 tot 60 activiteiten. Het register is schriftelijk, ook elektronisch, en je stelt het op verzoek ter beschikking van de Autoriteit Persoonsgegevens (artikel 30 lid 3 en 4).
Organisaties met minder dan 250 medewerkers zijn alleen vrijgesteld voor verwerkingen die incidenteel zijn, waarschijnlijk geen risico voor mensen opleveren en geen bijzondere (artikel 9) of strafrechtelijke persoonsgegevens (artikel 10) bevatten. Salarisadministratie, klantadministratie en personeelsdossiers zijn niet incidenteel, dus in de praktijk houdt vrijwel elke werkgever daarvoor een register bij.
Wat de verwerkingsverantwoordelijke vastlegt
| Artikel 30 lid 1 | Kolom in je register | Voorbeeld |
|---|---|---|
| a | Naam en contactgegevens van de verwerkingsverantwoordelijke, eventuele gezamenlijke verantwoordelijke, vertegenwoordiger en functionaris gegevensbescherming (FG) | Eén keer bovenaan het register |
| b | Verwerkingsdoeleinden | Salaris betalen en fiscale verplichtingen nakomen |
| c | Categorieën betrokkenen en persoonsgegevens | Medewerkers; identificatie, bankrekening, salaris, BSN |
| d | Categorieën ontvangers, ook in derde landen | Salarisverwerker, Belastingdienst, pensioenfonds |
| e | Doorgiften naar derde landen en de waarborg | Geen, of: Verenigde Staten, adequaatheidsbesluit |
| f | Bewaartermijnen, indien mogelijk | Fiscale bewaarplicht van 7 jaar, daarna verwijderd |
| g | Algemene beschrijving van de beveiligingsmaatregelen (artikel 32) | Toegang alleen voor HR, tweestapsverificatie, versleutelde opslag |
Niet verplicht volgens artikel 30, maar een kolom waard: de grondslag uit artikel 6, de proceseigenaar, de herkomst van de gegevens, of een DPIA nodig is en de datum van de laatste controle. De grondslag heb je toch nodig voor je privacyverklaring.
Het register van de verwerker
Verwerk je persoonsgegevens in opdracht van klanten, bijvoorbeeld als SaaS-leverancier, salarisverwerker of IT-dienstverlener, dan vraagt artikel 30 lid 2 om een apart, korter register:
- naam en contactgegevens van elke verwerkingsverantwoordelijke (klant) voor wie je werkt, en van je eigen vertegenwoordiger en FG;
- de categorieën verwerkingen die je voor elke verwerkingsverantwoordelijke uitvoert;
- doorgiften naar derde landen en de waarborg;
- een algemene beschrijving van je beveiligingsmaatregelen.
Veel organisaties zijn allebei: verwerkingsverantwoordelijke voor eigen medewerkers en klanten, verwerker voor de gegevens die klanten in hun dienst zetten. Houd beide registers bij, duidelijk gescheiden.
Voorbeeld: een bedrijf met 40 medewerkers
Een softwarebedrijf met 40 medewerkers, als verwerkingsverantwoordelijke. Drie van zijn verwerkingsactiviteiten:
| Activiteit | Doel en grondslag | Betrokkenen en gegevens | Ontvangers en doorgiften | Bewaartermijn | Maatregelen |
|---|---|---|---|---|---|
| Salaris- en personeelsadministratie | Salaris, loonheffing en sociale zekerheid; overeenkomst en wettelijke plicht (art. 6 lid 1 sub b en c) | Medewerkers; identificatie, contact, bankrekening, salaris, BSN, verlofdagen | Salarisverwerker (verwerker), Belastingdienst, pensioenfonds; geen doorgifte | Fiscale bewaarplicht van 7 jaar | Toegang alleen voor HR, tweestapsverificatie, versleutelde opslag |
| Klantenservice | Vragen van klanten beantwoorden; overeenkomst (art. 6 lid 1 sub b) | Contactpersonen van klanten; naam, e-mail, inhoud van het ticket | Helpdeskleverancier (verwerker), gehost in de EU; geen doorgifte | 2 jaar na afsluiten van het ticket | Toegang per rol, logging |
| Nieuwsbrief | Productnieuws; toestemming (art. 6 lid 1 sub a) | Abonnees; e-mail, naam, datum van aanmelding | Verzendplatform (verwerker); Verenigde Staten, adequaatheidsbesluit | Tot afmelding; bewijs van toestemming 3 jaar | Dubbele opt-in, toegang alleen voor marketing |
Gratis sjabloon (CSV)
Twee CSV-bestanden die openen in Excel, LibreOffice en Google Sheets: één voor je register als verwerkingsverantwoordelijke, met de drie voorbeeldregels hierboven, en één voor je register als verwerker. Zet de gegevens van de verantwoordelijke en de FG bovenaan het document dat je deelt.
Veelgemaakte fouten
- Eén regel per systeem ("CRM", "SharePoint") in plaats van per doel, waardoor doelen en grondslagen vaag blijven.
- Bewaartermijn "zo lang als nodig" in plaats van een termijn of de regel die hem bepaalt.
- Ontbrekende verwerkers zoals cloud-, e-mail- en salarisleveranciers.
- Doorgiften naar leveranciers buiten de EU zonder waarborg: adequaatheidsbesluit, modelcontractbepalingen of bindende bedrijfsvoorschriften.
- Een register dat in 2018 één keer is gemaakt en sindsdien nooit is nagekeken.
Het register bijhouden in Dazr
- Eén register, beide rollen: elke verwerkingsactiviteit legt de rol (verwerkingsverantwoordelijke of verwerker) vast, met doelen, grondslag, betrokkenen, gegevenscategorieën, ontvangers, doorgiften met hun waarborg, bewaartermijn, maatregelen en herkomst.
- Eén keer invullen: gegevens van de verantwoordelijke, vertegenwoordiger en FG vul je één keer in; ze staan in elke export.
- Gekoppeld: activiteiten zijn gekoppeld aan leveranciers en DPIA's, en risico's uit een DPIA aan het risicoregister.
- Export: het register als PDF voor de Autoriteit Persoonsgegevens of een auditor, als Excel of CSV om mee te werken; elke wijziging staat in het activiteitenlog.
- Abonnement: het verwerkingsregister en DPIA's zitten in Pro, € 99 per maand, met 14 dagen gratis proberen. Gratis bevat het datalekregister met de 72-uursklok.
Dazr helpt je het register volledig en actueel te houden; het kiest geen grondslag voor je en geeft geen juridisch advies.
Bron: Verordening (EU) 2016/679 (AVG), artikel 30, en het position paper van de Artikel 29-werkgroep over artikel 30 lid 5 van 19 april 2018. Laatst gecontroleerd op 7 november 2026.
Veelgestelde vragen
Heeft een klein bedrijf een verwerkingsregister nodig?
Meestal wel. De uitzondering voor minder dan 250 medewerkers geldt niet voor verwerkingen die regelmatig, risicovol of bijzonder zijn, en salaris- en klantgegevens verwerk je regelmatig. De EU heeft voorgesteld deze drempel te wijzigen; kijk of een wijziging in werking is voordat je erop vertrouwt.
Is er een officieel sjabloon?
Nee. Artikel 30 schrijft de inhoud voor, niet de vorm. Een spreadsheet of een register in een tool is prima, zolang alle verplichte onderdelen erin staan.
Moeten we het register publiceren?
Nee. Het is een intern document dat je op verzoek aan de Autoriteit Persoonsgegevens laat zien. Wat je mensen vertelt, staat in je privacyverklaring.
Hoe vaak moeten we het bijwerken?
Telkens als een verwerking begint, verandert of stopt, en minstens één keer per jaar in een volledige controle. Leg per activiteit de datum van de laatste controle vast.