Register van verwerkingen: een werkend register op grond van artikel 30 AVG

7 min lezen · Bijgewerkt 2026-11-12

Artikel 30 AVG verplicht tot een register van verwerkingsactiviteiten. Het is de werklijst van wat u met persoonsgegevens doet. Als het klopt, wordt de rest (de verklaring, de overeenkomsten, de antwoorden op verzoeken) makkelijker. Als het een eenmalige spreadsheet is die u nooit meer opent, helpt het u niet.

Wie een register moet bijhouden

Zowel verwerkingsverantwoordelijken als verwerkers hebben een registratieplicht, met iets andere inhoud. Er is een vrijstelling voor organisaties met minder dan 250 werknemers, maar die is beperkt. U heeft nog steeds een register nodig voor verwerking die niet incidenteel is, die waarschijnlijk een risico voor mensen meebrengt, of die bijzondere categorieën of strafrechtelijke gegevens betreft (artikel 30, lid 5). Een typisch startupproduct dat doorlopend gebruikersaccounts bewaart, is niet 'incidenteel'. Plan om een register bij te houden.

Wat u moet opschrijven

Voor een verwerkingsverantwoordelijke vraagt artikel 30, lid 1, om: uw naam en contactgegevens (en die van de FG, als u die heeft); de doelen; de categorieën van betrokkenen en van persoonsgegevens; de categorieën van ontvangers; doorgiften naar een derde land en het doorgifte-instrument; de beoogde termijnen voor wissing waar mogelijk; en een algemene beschrijving van de beveiligingsmaatregelen waar mogelijk. Verwerkers houden een vergelijkbaar register bij van de verwerking die zij namens elke verwerkingsverantwoordelijke doen (artikel 30, lid 2).

Schrijf het in taal die uw team begrijpt. Eén regel per doel is duidelijker dan één regel per tool. Zet leveranciers bij de ontvangers, en verwijs per leverancier naar de verwerkersovereenkomst en het doorgifte-instrument. Werk de regel bij als u een tool toevoegt, een doel wijzigt, of een functie sluit.

Hoe u het register levend houdt

Toets het register als u een leverancier binnenhaalt, een functie lanceert, of een gegevensbeschermingseffectbeoordeling (artikel 35) uitvoert. Gebruik het bij een inzageverzoek, zodat u niet opnieuw hoeft te zoeken. Als de AP ernaar vraagt, moet u het ter beschikking stellen (artikel 30, lid 4).

Een rapport in huisstijl is het register niet, maar een goede beoordeling laat zien waar het register dun is. De onboarding en rapporten van DPOne zijn bedoeld om dat werk te voeden, niet om het register te vervangen waarvoor u verantwoordelijk blijft.

Veelgestelde vragen

In welke taal moet het register worden bijgehouden?

De AVG schrijft geen taal voor. Houd het bij in een taal waarmee uw team en, zo nodig, de AP kunnen werken. Voor een Nederlandse onderneming is Nederlands of Engels gebruikelijk. Werkt u in meer talen, wees dan consistent en nauwkeurig.

Is een GEB hetzelfde als een register van verwerkingen?

Nee. Een gegevensbeschermingseffectbeoordeling op grond van artikel 35 is een diepere analyse voor risicovolle verwerking. Het register is de inventarisatie. Vaak heeft u beide nodig, en het register is een input voor de GEB.