Wij zijn een klein bedrijf met 20 medewerkers. Moeten wij ook een register bijhouden?

Lid 5 stelt organisaties met minder dan 250 personen in dienst vrij, maar met drie uitzonderingen. De vrijstelling vervalt als de verwerking waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen, als de verwerking niet incidenteel is, of als het gaat om bijzondere categorieën gegevens uit artikel 9 lid 1 of strafrechtelijke gegevens uit artikel 10. Omdat bijvoorbeeld een personeels- of klantenadministratie meestal niet incidenteel is, geldt de plicht in de praktijk ook voor veel kleine organisaties.

Wat moet er precies in het register staan?

Voor de verwerkingsverantwoordelijke somt lid 1 zeven onderdelen op: contactgegevens, doeleinden, categorieën betrokkenen en gegevens, categorieën ontvangers, doorgiften buiten de EU, waar mogelijk de bewaartermijnen en waar mogelijk een algemene beschrijving van de beveiligingsmaatregelen. Voor de verwerker geldt de kortere lijst uit lid 2, per verwerkingsverantwoordelijke. Het register mag digitaal worden bijgehouden (lid 3).

Moet ik het register ergens indienen?

Nee, u hoeft het niet in te dienen. Lid 4 zegt dat u het op verzoek ter beschikking stelt aan de toezichthoudende autoriteit. Overweging 82 legt uit dat het register dient om naleving te kunnen aantonen en de toezichthouder te helpen bij het toezicht op de verwerkingen.

Artikel 30: Register van de verwerkingsactiviteiten

Praxikon houdt artikel 30 (Register van de verwerkingsactiviteiten) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 30 verplicht organisaties om een register bij te houden van hun verwerkingsactiviteiten: een overzicht van welke persoonsgegevens zij verwerken, waarom, van wie, aan wie ze worden verstrekt en hoe ze zijn beveiligd. De verwerkingsverantwoordelijke houdt een register van de verwerkingen onder zijn verantwoordelijkheid (lid 1), de verwerker een register van de categorieën verwerkingen die hij voor elke verwerkingsverantwoordelijke uitvoert (lid 2). Het register is schriftelijk of elektronisch (lid 3) en moet op verzoek aan de toezichthoudende autoriteit worden gegeven (lid 4). Het artikel bestaat omdat de AVG van organisaties vraagt dat zij hun naleving kunnen aantonen; overweging 82 noemt het register het middel daarvoor en de basis voor het toezicht. Organisaties met minder dan 250 medewerkers zijn vrijgesteld, maar die uitzondering vervalt zodra de verwerking waarschijnlijk een risico oplevert, niet incidenteel is of bijzondere of strafrechtelijke gegevens betreft (lid 5).

Kernbegrip: Verwerkingsregister: het overzicht van alle verwerkingen van persoonsgegevens waarmee een organisatie kan laten zien wat zij met welke gegevens doet (lid 1 en lid 2)

Raakt direct:verwerkingsverantwoordelijkeverwerkerfunctionaris voor gegevensbeschermingtoezichthouder

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Elke verwerkingsverantwoordelijke en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke houdt een register van de verwerkingsactiviteiten die onder hun verantwoordelijkheid plaatsvinden. Dat register bevat alle volgende gegevens: a) de naam en de contactgegevens van de verwerkingsverantwoordelijke en eventuele gezamenlijke verwerkingsverantwoordelijken, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming; b) de verwerkingsdoeleinden; c) een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens; d) de categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties; e) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, met inbegrip van de vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; f) indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist; g) indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1.

De verwerker, en, in voorkomend geval, de vertegenwoordiger van de verwerker houdt een register van alle categorieën van verwerkingsactiviteiten die zij ten behoeve van een verwerkingsverantwoordelijke hebben verricht. Dit register bevat de volgende gegevens: a) de naam en de contactgegevens van de verwerkers en van iedere verwerkingsverantwoordelijke voor rekening waarvan de verwerker handelt, en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke of de verwerker en van de functionaris voor gegevensbescherming; b) de categorieën van verwerkingen die voor rekening van iedere verwerkingsverantwoordelijke zijn uitgevoerd; c) indien van toepassing, doorgiften van persoonsgegevens aan een derde land of een internationale organisatie, onder vermelding van dat derde land of die internationale organisatie en, in geval van de in artikel 49, lid 1, tweede alinea, bedoelde doorgiften, de documenten inzake de passende waarborgen; d) indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen als bedoeld in artikel 32, lid 1.

Het in de leden 1 en 2 bedoelde register is in schriftelijke vorm, waaronder in elektronische vorm, opgesteld.

Desgevraagd stellen de verwerkingsverantwoordelijke of de verwerker en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke of de verwerker het register ter beschikking van de toezichthoudende autoriteit.

De in de leden 1 en 2 bedoelde verplichtingen zijn niet van toepassing op ondernemingen of organisaties die minder dan 250 personen in dienst hebben, tenzij het waarschijnlijk is dat de verwerking die zij verrichten een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens, als bedoeld in artikel 9, lid 1, of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10 betreft.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Leg voor elke verwerkingsactiviteit de zeven onderdelen uit lid 1 vast: contactgegevens, doeleinden, categorieën betrokkenen en gegevens, categorieën ontvangers, doorgiften buiten de EU, bewaartermijnen en een algemene beschrijving van de beveiliging. Houd het register schriftelijk of digitaal bij (lid 3) en zorg dat u het direct kunt overleggen als de toezichthoudende autoriteit erom vraagt (lid 4). Heeft u minder dan 250 medewerkers, controleer dan of een van de uitzonderingen in lid 5 u toch verplicht.

Verwerker

Houd per verwerkingsverantwoordelijke bij welke categorieën verwerkingen u voor hem uitvoert, met contactgegevens van alle partijen, eventuele doorgiften buiten de EU en een algemene beschrijving van uw beveiligingsmaatregelen (lid 2). Ook u geeft het register op verzoek aan de toezichthoudende autoriteit (lid 4).

Functionaris gegevensbescherming

Uw naam en contactgegevens staan in het register van de verwerkingsverantwoordelijke en van de verwerker (lid 1 onder a en lid 2 onder a). Controleer of die gegevens actueel zijn.

Compliance checklist

Er is een register van verwerkingsactiviteiten in schriftelijke of elektronische vorm (lid 1 en lid 3).Het register bevat de naam en contactgegevens van de verwerkingsverantwoordelijke, eventuele gezamenlijke verwerkingsverantwoordelijken, de vertegenwoordiger en de functionaris voor gegevensbescherming (lid 1 onder a).Per verwerking zijn de doeleinden, de categorieën betrokkenen, de categorieën persoonsgegevens en de categorieën ontvangers vastgelegd (lid 1 onder b, c en d).Doorgiften aan een derde land of internationale organisatie staan in het register, met vermelding van dat land of die organisatie en, bij doorgiften onder artikel 49 lid 1 tweede alinea, de documenten over de passende waarborgen (lid 1 onder e).Waar mogelijk zijn de beoogde bewaartermijnen en een algemene beschrijving van de beveiligingsmaatregelen uit artikel 32 lid 1 opgenomen (lid 1 onder f en g).Als verwerker houdt de organisatie een register bij van de categorieën verwerkingen per verwerkingsverantwoordelijke (lid 2).Het register kan op verzoek aan de toezichthoudende autoriteit worden overgelegd (lid 4).Bij minder dan 250 medewerkers is beoordeeld en vastgelegd of een van de uitzonderingen uit lid 5 alsnog een register vereist.

Gerelateerde overwegingen

(82)

Om de naleving van deze verordening aan te kunnen tonen, dient de verwerkingsverantwoordelijke of de verwerker een register bij te houden van verwerkingsactiviteiten die onder zijn verantwoordelijkhei...

Kruisverwijzingen

Art. 9: Verwerking van bijzondere categorieën van persoonsgegevens Art. 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten Art. 32: Beveiliging van de verwerking Art. 49: Afwijkingen voor specifieke situaties

Veelgestelde vragen

← Art. 29: Verwerking onder gezag van de verwerkingsverantwoordelijke of de verwerker Art. 31: Medewerking met de toezichthoudende autoriteit →

Samenhang

Thema’s waarin dit terugkomt

De tegenhanger in de andere wet

Analyses

Is een AI-register verplicht? Wat de AI Act echt eist van je AI-inventarisatie
2026-07-06