bewerkingenregister

Een bewerkingenregister is een document of digitaal systeem waarin een organisatie alle verwerkingen van persoonsgegevens vastlegt. Het doel is transparantie en verantwoording: het biedt een overzicht van welke data waarheen gaan, waarom ze worden verwerkt en hoe ze beveiligd zijn. In de Europese privacywetgeving (AVG/GDPR) is het verplicht voor de meeste organisaties om een register van verwerkingen bij te houden. In Nederlandse literatuur wordt dit vaak aangeduid als een bewerkingenregister. Het register helpt bij het identificeren van risico’s, het uitvoeren van privacy-by-design en het uitvoeren van Data Protection Impact Assessments (DPIA). Het dient als basis voor beantwoording van data subject requests en voor toezicht door de Autoriteit Persoonsgegevens.

Inhoud: een bewerkingenregister bevat doorgaans: de contactgegevens van de controller en, indien van toepassing, de gezamenlijke verwerkingsverantwoordelijken en verwerkers; de doeleinden van elke verwerking; de categorieën persoonsgegevens en van betrokkenen; de categorieën ontvangers; bedoelde overheids- of derde-land transfers; bewaartermijnen; beveiligings- en beschermingsmaatregelen; indien van toepassing: een verwijzing naar DPIA’s en leveranciers.

Wie moet het bijhouden: de controller is verantwoordelijk; processors houden mogelijk samen een register bij, afhankelijk van afspraken. Uitzonderingen bestaan voor kleine organisaties; de verplichting hangt af van de aard, omvang en risico van de verwerkingen.

Implementatie en onderhoud: digitaal en doorzoekbaar, met duidelijke eigenaarschap en procedures voor actualisatie. Het bewerkingenregister is geen vervanging voor overige privacymaatregelen, maar een centraal instrument voor naleving en governance.