Verwerkingsregister en verwerkersovereenkomst: zo regelt u de AVG in de praktijk

Meestal komt de vraag van buiten. Een grote klant vraagt in een leveranciersvragenlijst naar uw verwerkingsregister. Het nieuwe salarisbureau mailt een verwerkersovereenkomst ter ondertekening. Of een medewerker belt op vrijdagmiddag dat de laptop met het klantenbestand in de trein ligt. Dan blijkt of de AVG (Algemene verordening gegevensbescherming, de Europese privacywet) meer is dan papier, in een installatiebedrijf met twintig man net zo goed als in een concern.

De AVG in gewone woorden

Persoonsgegevens zijn alle gegevens over een persoon die direct of indirect te identificeren is (bron: EUR-Lex, april 2016). Dus ook een klantnummer, een zakelijk e-mailadres met iemands naam of de locatie van een bedrijfsbus. Verwerken is vrijwel alles wat u ermee doet, van verzamelen tot raadplegen en wissen. Wie wat regelt, hangt af van de rol:

Wie een verwerkingsregister moet hebben

Een verwerkingsregister is een overzicht van wat uw organisatie met persoonsgegevens doet. Artikel 30 van de AVG verplicht verantwoordelijken en verwerkers ertoe (bron: EUR-Lex, april 2016). Organisaties met minder dan 250 medewerkers zijn uitgezonderd, maar alleen als de verwerking waarschijnlijk geen risico inhoudt voor de betrokkenen, incidenteel is en geen bijzondere of strafrechtelijke gegevens betreft (bron: EUR-Lex, april 2016).

Dat maakt de uitzondering vrijwel leeg. De Autoriteit Persoonsgegevens (AP), de Nederlandse privacytoezichthouder, zegt het zonder omwegen: in de praktijk zijn verwerkingen bijna nooit incidenteel (bron: AP, november 2026). Wie elke maand salarissen draait, verwerkt structureel en heeft dus een register nodig.

Wat er in het register staat

Per verwerking legt u vast: de doelen, de groepen betrokkenen, de soorten persoonsgegevens, de ontvangers, eventuele doorgifte buiten de EER (de EU plus Noorwegen, IJsland en Liechtenstein), waar mogelijk de bewaartermijnen en een algemene beschrijving van de beveiliging. Bovenaan staan de contactgegevens van uw organisatie (bron: EUR-Lex, april 2016).

De AP en de KVK raden aan ook de grondslag te noteren: de wettelijke reden waarop u de gegevens mag gebruiken, zoals een overeenkomst of toestemming (bron: AP, november 2026; KVK, oktober 2026). Een spreadsheet volstaat. Werk het bij zodra u iets nieuws met persoonsgegevens doet, zoals een AI-tool inzetten (zie AI-beleid).

Met wie u een verwerkersovereenkomst sluit

Verwerkt een andere partij persoonsgegevens voor u, dan legt u dat vast in een overeenkomst, en u kiest alleen verwerkers die voldoende garanties bieden voor de beveiliging (bron: EUR-Lex, april 2016). De AP noemt het uitbesteden van de administratie en een clouddienst die persoonsgegevens opslaat als voorbeelden (bron: AP, november 2026).

Niet elke ontvanger is verwerker. Een partij die zelf bepaalt wat zij met de gegevens doet, zoals de Belastingdienst, is zelf verantwoordelijke; dan is geen verwerkersovereenkomst nodig (bron: AP, november 2026). De NBA, de beroepsorganisatie van accountants, ziet een kantoor dat uw salaris- of financiële administratie voert doorgaans als verwerker, maar bij een controleopdracht als zelfstandig verantwoordelijke (bron: NBA, juni 2018). Leg de rol vast in de opdrachtbevestiging.

Wat er in een verwerkersovereenkomst moet

Volgens artikel 28 van de AVG beschrijft de overeenkomst onderwerp, duur, aard en doel van de verwerking, de soorten gegevens en de betrokkenen (bron: EUR-Lex, april 2016). De verwerker werkt alleen op uw schriftelijke instructie, legt geheimhouding op, beveiligt passend en schakelt alleen met uw schriftelijke toestemming een subverwerker in. Hij helpt bij verzoeken van betrokkenen en bij datalekken, laat controle toe en geeft aan het eind de gegevens terug of wist ze.

Over de snelheid zegt de wet alleen dat de verwerker een datalek zonder onredelijke vertraging aan u meldt. De AP raadt aan concreet af te spreken wie hij belt en hoe vaak hij u bijpraat (bron: AP, november 2026). Spreek ook een termijn af.

Datalekken: melden, informeren en vastleggen

Een datalek is een inbreuk op de beveiliging waardoor persoonsgegevens verloren gaan, veranderen of terechtkomen bij iemand die er niet bij mag (bron: EUR-Lex, april 2016). Denk aan een hack, een kwijtgeraakte laptop of een mail aan de verkeerde ontvanger. Ransomware (gijzelsoftware) die uw bestanden versleutelt, is volgens de AP een datalek dat u meestal moet melden (bron: AP, november 2026); zie het stappenplan bij een hack of ransomware.

1. 01

   Beperk de schade

   Wijzig wachtwoorden of vraag de ontvanger de mail te verwijderen. Noteer wat er gebeurde en wanneer.

2. 02

   Schat het risico in

   Welke gegevens, hoeveel mensen, wat kan iemand ermee? Versleutelde gegevens wegen lichter dan een open spreadsheet.

3. 03

   Meld bij de AP

   Is er risico voor de betrokkenen, meld dan uiterlijk binnen 72 uur nadat u ervan weet (bron: EUR-Lex, april 2016). Een eerste melding mag u later aanvullen.

4. 04

   Informeer de betrokkenen

   Bij een hoog risico informeert u ook de mensen zelf, onverwijld.

5. 05

   Leg het vast

   Elk datalek komt in uw eigen register, ook als u niet hoeft te melden.

Ervan weten betekent volgens de AP dat u redelijk zeker bent dat persoonsgegevens zijn getroffen; bij twijfel adviseert de AP te melden (bron: AP, november 2026). Die termijn loopt ook in het weekend door. In het register van datalekken staan per lek de feiten, de gevolgen en de maatregelen (bron: EUR-Lex, april 2016), plus het meldnummer.

Hoe lang u gegevens mag bewaren

De AVG kent geen vaste bewaartermijn: u bewaart gegevens niet langer dan nodig voor het doel (bron: EUR-Lex, april 2016). Andere wetten stellen soms een minimum, zoals de fiscale bewaarplicht van zeven jaar voor facturen en financiële administratie (bron: KVK, oktober 2026). Voor personeelsgegevens noemt de AP in het algemeen maximaal twee jaar na uitdiensttreding, zeven jaar voor een deel van de loonadministratie en vijf jaar voor loonbelastingverklaringen en de kopie van het identiteitsbewijs (bron: AP, november 2026). Spreek af wie opschoont, ook in back-ups en oude mailboxen.

DPIA en functionaris gegevensbescherming: wanneer verplicht

Een DPIA (data protection impact assessment) is een risicobeoordeling vooraf, verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de betrokkenen (bron: EUR-Lex, april 2016). De AP noemt zeventien soorten verwerkingen waarvoor een DPIA altijd moet, waaronder grootschalige of stelselmatige controle van werknemers en van locatiegegevens; die lijst is niet uitputtend (bron: AP, november 2019). Een volgsysteem in de bedrijfsbussen kan daar al onder vallen.

Een functionaris gegevensbescherming (FG, die binnen de organisatie toeziet op naleving van de AVG) is verplicht voor overheidsorganisaties en voor organisaties waarvan de kernactiviteit bestaat uit grootschalige, stelselmatige monitoring van mensen of grootschalige verwerking van bijzondere of strafrechtelijke gegevens (bron: EUR-Lex, april 2016). Volgens de Europese Commissie heeft een mkb-bedrijf alleen een FG nodig als gegevensverwerking zijn hoofdactiviteit is en bijzondere risico's meebrengt (bron: Europese Commissie, november 2026). Een aangestelde FG meldt u aan bij de AP (bron: AP, november 2026).

Rechten van betrokkenen en doorgifte buiten de EU

Mensen kunnen u vragen om inzage, correctie, verwijdering of beperking van hun gegevens, of om die mee te nemen naar een ander, en ze kunnen bezwaar maken (bron: EUR-Lex, april 2016). U reageert binnen een maand, in principe kosteloos (bron: AP, november 2026).

Doorgifte buiten de EER mag naar landen waarvan de Europese Commissie de bescherming vergelijkbaar vindt; anders zijn passende waarborgen nodig, zoals de modelcontractbepalingen van de Commissie, of een wettelijke uitzondering. Voor de Verenigde Staten geldt zo'n besluit alleen voor organisaties die deelnemen aan het Data Privacy Framework (bron: AP, november 2026). Vraag leveranciers waar de gegevens staan en zet het antwoord in uw register. Verwante onderwerpen staan in het overzicht ICT en data.

Voorbeeld verwerkingsregister, checklist verwerkersovereenkomst en register van datalekken

Hieronder vindt u een voorbeeld van een verwerkingsregister met alle kolommen en drie ingevulde regels, een checklist om de verwerkersovereenkomst van een leverancier te beoordelen, en een opzet voor het register van datalekken.