Verwerkingsregister, DPIA en de overstap afronden

Module 9: Mensen en regels · Leestijd: 12 minuten

Leerdoel: Na deze les kun je het verwerkingsregister en de privacyverklaring bijwerken na de overstap, bepalen of een DPIA nodig is, de oude dienst netjes laten verwijderen en de overstap formeel afronden met een eindchecklist.

Kernbegrippen: verwerkingsregister (art. 30), uitzondering minder dan 250 medewerkers, DPIA (art. 35), DPIA-lijst van de AP, privacyverklaring (art. 13 en 14), ontvangers, doorgifte, meldplicht datalek (art. 33), verwijderen bij de oude dienst, bevestiging van verwijdering, evaluatie, eindchecklist

De overstap is pas klaar als de papieren kloppen

De mail loopt, de bestanden staan er, iedereen werkt in de nieuwe omgeving. Technisch ben je klaar. Maar voor de AVG is er nog werk: je documentatie beschrijft nog de oude situatie. Bij een vraag van een klant, een controle of een datalek wil je laten zien hoe het nu zit. Deze les rondt de overstap af.

Dit is uitleg, geen juridisch advies.

Het verwerkingsregister

Artikel 30 lid 1 van de AVG verplicht de verantwoordelijke een register van verwerkingsactiviteiten bij te houden. Daarin staat per verwerking (bijvoorbeeld "klantbestellingen", "personeelsadministratie", "nieuwsbrief"):

• naam en contactgegevens van de verantwoordelijke (en eventueel de functionaris gegevensbescherming);
• de doelen van de verwerking;
• de categorieën betrokkenen en persoonsgegevens;
• de ontvangers, waaronder verwerkers;
• doorgiften naar landen buiten de EER, met de waarborgen;
• de bewaartermijnen, waar mogelijk;
• een algemene beschrijving van de beveiligingsmaatregelen, waar mogelijk.

Geldt dat ook voor een kleine organisatie?

Artikel 30 lid 5 bevat een uitzondering voor organisaties met minder dan 250 medewerkers. Maar die uitzondering geldt niet als de verwerking waarschijnlijk een risico inhoudt, als ze niet incidenteel is, of als er bijzondere persoonsgegevens (zoals gezondheid) of strafrechtelijke gegevens bij zitten. De Autoriteit Persoonsgegevens legt uit dat verwerkingen in de praktijk zelden incidenteel zijn: zodra je medewerkers of vaste klanten hebt, verwerk je structureel. Voor Bakkerij De Korrel met loonadministratie, klantbestellingen en ziekmeldingen geldt de uitzondering dus niet.

Er ligt een Europees voorstel om de registerplicht voor kleinere organisaties te verlichten (het zogenoemde Omnibus IV-pakket; in juni 2026 bereikten Raad en Parlement een voorlopig akkoord). Zolang dat niet in werking is, geldt het huidige artikel 30. En ook daarna blijft een overzicht handig: je hebt het nodig om de rest van je verplichtingen te kunnen nakomen.

Wat pas je aan na de overstap?

Loop elke regel van je register langs en pas aan:

Een overstap is een mooi moment om de bewaartermijnen eindelijk echt te regelen. Voor fiscale administratie geldt in Nederland een bewaarplicht van in de regel zeven jaar; voor sollicitatiegegevens adviseert de AP in principe vier weken na de procedure. Kijk welke termijnen voor jouw sector gelden.

Moet je een DPIA doen?

Een DPIA (data protection impact assessment, in de AVG "gegevensbeschermingseffectbeoordeling") is een gestructureerde risicoanalyse vooraf. Artikel 35 verplicht een DPIA als een verwerking waarschijnlijk een hoog risico inhoudt voor de betrokkenen, vooral bij nieuwe technologie.

Hoe weet je of dat zo is?

1. De AP-lijst. De Autoriteit Persoonsgegevens heeft in 2019 een lijst van zeventien soorten verwerkingen gepubliceerd waarvoor een DPIA altijd verplicht is. Daar staan onder meer grootschalige verwerking van gezondheidsgegevens, cameratoezicht, het monitoren van werknemers, communicatiegegevens, locatiegegevens, profilering en biometrie op.
2. De Europese criteria. De Europese toezichthouders hebben negen criteria opgesteld (zoals gevoelige gegevens, grote schaal, kwetsbare betrokkenen, stelselmatige monitoring, nieuwe technologie). Voldoet een verwerking aan twee of meer, dan is een DPIA in de regel nodig.

Voor een bakkerij die mail en bestanden overzet, is een DPIA meestal niet verplicht. Voor een huisartsenpraktijk die patiëntcommunicatie naar een nieuwe dienst verplaatst, of een school met leerlinggegevens, ligt dat anders. Ook als het niet verplicht is, kan een korte risicoanalyse nuttig zijn. De afweging uit les 1.5 is daar een goed begin van. Heb je al een DPIA voor de oude dienst, werk die dan bij.

De privacyverklaring

In je privacyverklaring vertel je betrokkenen (klanten, sollicitanten, websitebezoekers) hoe je met hun gegevens omgaat (art. 13 en 14). Daarin staan onder meer de ontvangers of categorieën ontvangers en eventuele doorgiften buiten de EER. Stond er "wij gebruiken diensten van bedrijven in de Verenigde Staten op basis van het Data Privacy Framework", dan pas je dat aan. Verander niets dat niet klopt: noem alleen wat je echt zeker weet uit de VWO en de subverwerkerslijst.

Datalekken: weet wie je belt

Na de overstap is je aanbieder veranderd, en dus ook de route bij een datalek. Zet in je procedure:

• het contactadres van de nieuwe aanbieder voor beveiligingsincidenten;
• de termijn waarbinnen de aanbieder jou volgens de VWO informeert;
• wie bij jou beslist of er gemeld moet worden, want de melding bij de toezichthouder moet binnen 72 uur na ontdekking (art. 33);
• waar je het datalekregister bijhoudt: ook lekken die je niet hoeft te melden, moet je intern vastleggen (art. 33 lid 5).

Afronden bij de oude dienst

Zeg de oude dienst pas op als alles een paar weken goed werkt (les 3.3). Daarna:

1. Laatste controle: is alles overgekomen? Zijn er gedeelde mappen, formulieren of koppelingen die nog naar de oude dienst wijzen?
2. Exporteer een laatste archief voor je eigen administratie, als je dat wilt bewaren (bijvoorbeeld mail die onder de bewaarplicht valt). Bewaar het versleuteld.
3. Verwijder accounts en gegevens bij de oude dienst, of laat ze verwijderen. Artikel 28 lid 3 sub g verplicht de oude verwerker de gegevens na afloop te verwijderen of terug te geven, naar jouw keuze. Vraag om een bevestiging van verwijdering en bewaar die bij je register.
4. Ruim koppelingen op: "inloggen met"-koppelingen bij andere diensten, apps met toegang, en verificatierecords in je DNS (les 4.3).
5. Pas je register, je privacyverklaring en je datalekprocedure aan (zie hierboven).

Evalueren

Plan een maand na de wissel een korte evaluatie met de ambassadeurs (les 9.1). Wat ging goed, wat niet, wat doe je de volgende keer anders? Noteer ook je exit-plan voor de nieuwe dienst (les 8.2) en zet een datum in de agenda om het jaarlijks te testen.

In de praktijk: zo ziet het eruit bij een aanbieder

Veel aanbieders hebben een functie om je gegevens te downloaden of je account te laten verwijderen. Bij WebOké staat in de WebOké-handleiding hoe je je gegevens downloadt of laat verwijderen. Bij grote Amerikaanse diensten heet dat meestal "gegevens exporteren" en "account verwijderen", en heeft de beheerder van een organisatieaccount eigen exportfuncties. Lees vooraf hoe lang de dienst gegevens na verwijdering nog in back-ups bewaart; dat staat vaak in de privacyverklaring of de VWO.

Eindchecklist

• [ ] Alle onderdelen uit de inventaris (les 3.1) staan in de nieuwe omgeving en zijn gecontroleerd
• [ ] Verwerkersovereenkomst(en) met de nieuwe aanbieder(s) gesloten en bewaard (les 9.2)
• [ ] Verwerkingsregister bijgewerkt: ontvangers, doorgiften, beveiliging, bewaartermijnen
• [ ] DPIA beoordeeld (nodig of niet, en waarom vastgelegd)
• [ ] Privacyverklaring aangepast
• [ ] Datalekprocedure met nieuwe contactgegevens
• [ ] Oude dienst opgezegd, gegevens verwijderd, bevestiging bewaard
• [ ] Koppelingen en oude DNS-records opgeruimd
• [ ] Back-up van de nieuwe omgeving ingericht en getest (les 8.1)
• [ ] Exit-plan voor de nieuwe dienst vastgelegd (les 8.2)
• [ ] Evaluatie gehouden

Samenvatting

• Werk na de overstap het verwerkingsregister bij: ontvangers, doorgiften, beveiliging en bewaartermijnen.
• De uitzondering voor minder dan 250 medewerkers geldt in de praktijk zelden; een voorstel om dat te verlichten is nog niet in werking (stand november 2026).
• Een DPIA is verplicht bij hoog risico (AP-lijst, Europese criteria); voor gewone kantoorgegevens meestal niet.
• Pas je privacyverklaring en datalekprocedure aan.
• Laat de oude dienst je gegevens verwijderen en vraag om een bevestiging.

Quiz

Opdracht

Opdracht E9.3: Rond je overstap af. Werk voor drie verwerkingen uit je organisatie de regels in het verwerkingsregister bij (ontvangers, doorgifte, beveiliging, bewaartermijn), beoordeel met de AP-lijst en de Europese criteria of een DPIA nodig is, en vul de eindchecklist in.

Verder lezen

De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• WebOké handleiding 11.7: Privacy: je gegevens downloaden of laten verwijderen
• Nextcloud handleiding 16.7: Collega vertrekt: bestanden, agenda en gedeelde mappen veilig overnemen
• Nextcloud handleiding 15.13: Veelgestelde vragen over beveiliging en privacy
• Verordening (EU) 2016/679 (AVG), artikelen 13, 14, 28, 30, 33 en 35, op EUR-Lex
• Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een DPIA verplicht is (AP, Stcrt. 2019), op wetten.overheid.nl (BWBR0042812)
• Autoriteit Persoonsgegevens, onderwerpen "Register van verwerkingsactiviteiten" en "DPIA": https://www.autoriteitpersoonsgegevens.nl