Het korte antwoord
Ja. Als je persoonsgegevens van klanten, personeel of leveranciers verwerkt, heb je een GDPR-register nodig, ook wel verwerkingsregister of AVG-register genoemd. Dit is verplicht volgens artikel 30 van de GDPR, en de verplichting begint zodra je je eerste klant, leverancier of werknemer hebt.
De mythe van ‘minder dan 250 werknemers’
Artikel 30(5) lijkt organisaties met minder dan 250 werknemers vrij te stellen. In de praktijk geldt die vrijstelling zelden, want er zijn drie uitzonderingen op, en bijna elk bedrijf valt in minstens één ervan:
- De verwerking is meer dan incidenteel. Facturen sturen naar terugkerende klanten, elke maand loon uitbetalen, contactgegevens van leveranciers bewaren, dat zijn allemaal regelmatige activiteiten, geen incidentele.
- Je verwerkt bijzondere categorieën. Gezondheidsgegevens, biometrische data, gegevens over minderjarigen of andere data uit artikel 9 sluiten je uit.
- De verwerking kan risico’s vormen voor rechten. Klantprofilering, marketingautomatisering, monitoring van werknemers, en gelijkaardige activiteiten vallen daaronder.
De vrijstelling was bedoeld voor heel specifieke gevallen, zoals een eenmalige actie van een liefdadigheidsorganisatie. Heb je een echt bedrijf met vaste klanten en personeel, dan geldt de registerplicht voor jou.
Wat het register moet bevatten
Volgens artikel 30(1) moet het register voor elke verwerking de volgende info bevatten:
- Wie: wiens gegevens je verwerkt (klanten, personeel, leveranciers, partners)
- Wat: de categorieën persoonsgegevens (naam, e-mail, adres, betaalgegevens, enz.)
- Waarom: het doel van de verwerking (facturatie, aanwerving, marketing, enz.)
- Rechtsgrond: toestemming, contract, wettelijke verplichting, gerechtvaardigd belang, enz.
- Ontvangers: welke derde partijen de gegevens ontvangen, en of die binnen of buiten de EU zitten
- Bewaartermijn: hoe lang je elke categorie bewaart
- Beveiliging: de technische en organisatorische maatregelen die je hebt genomen
Houd aparte registers bij voor activiteiten waarbij je verwerkingsverantwoordelijke bent (jij beslist waarom en hoe de gegevens worden verwerkt) en waar je verwerker bent (je verwerkt gegevens namens iemand anders).
Wat als je er geen hebt
De Gegevensbeschermingsautoriteit kan je register opvragen bij een controle of na een klacht. Kun je het niet voorleggen, dan is dat op zich al een GDPR-inbreuk. Boetes voor ontbrekende of onvolledige registers zijn al uitgedeeld in heel de EU, ook aan KMO’s. Naast de boete is het register ook je interne kompas: zonder register kun je geen verzoeken van betrokkenen behandelen, geen datalekken beheren en geen compliance aantonen.
Hoe begin je
Je hebt drie opties:
- Zelf bouwen in een spreadsheet. Gratis, maar onderhoudsintensief en snel onvolledig.
- Een consultant inschakelen. Grondig, maar duur en afhankelijk van hun beschikbaarheid.
- Een tool zoals GDPRWise gebruiken. Het platform stelt de juiste vragen per sector, genereert het register op basis van je antwoorden, en houdt het actueel.
GDPRWise scant je website, stelt de juiste vragen voor jouw sector, en produceert een volledig artikel-30-register dat je aan de toezichthouder kunt voorleggen.