Moet een KMO met minder dan 250 werknemers een verwerkingsregister bijhouden?

Meestal wel. Artikel 30.5 van de AVG stelt ondernemingen met minder dan 250 personen in dienst vrij, maar de Gegevensbeschermingsautoriteit noemt die uitzondering zeer beperkt toepasbaar: ze vervalt zodra de verwerking een risico inhoudt, gevoelige of gerechtelijke gegevens betreft, of gewoonlijk is. Klantenbeheer, personeelsbeheer en leveranciersbeheer worden uitdrukkelijk als gewoonlijke verwerking genoemd.

Wat moet er precies in het register staan?

Artikel 30.1 van de AVG somt op: je contactgegevens, de verwerkingsdoeleinden, de categorieën van betrokkenen en van gegevens, de categorieën van ontvangers, doorgiften buiten de EER met de bijhorende waarborgen, de beoogde wistermijnen indien mogelijk, en een algemene beschrijving van je technische en organisatorische beveiligingsmaatregelen indien mogelijk.

Bestaat er een officieel model of voorbeeld?

Ja. De Gegevensbeschermingsautoriteit stelt een gratis Excel-model ter beschikking met een tabblad contactgegevens, een registermodel voor de verwerkingsverantwoordelijke, een registermodel voor de verwerker en een ingevuld voorbeeld. Je mag ook een eigen tabel gebruiken, zolang de verplichte informatie erin staat.

Wat riskeer ik als ik geen register heb?

Het ontbreken van een register, of een slechte uitvoering van die verplichting, kan volgens de GBA gesanctioneerd worden met een administratieve geldboete tot 10 miljoen euro of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet, als dat cijfer hoger is. Het register moet bovendien op het eerste verzoek van de GBA voorgelegd worden.

Verwerkingsregister: voorbeeld en uitleg, Echoo

Je loopt de AVG-checklist af en er staat één punt op dat je niet kunt afvinken: een verwerkingsregister. Of een klant stuurt een vragenlijst door en vraagt of je het “even wil bezorgen”. Het klinkt als iets waar een jurist een week voor nodig heeft. In de praktijk is het een tabel die je in een namiddag ingevuld krijgt, zolang je weet welke kolommen erin horen.

Dit artikel legt uit wat het register is, wanneer je KMO er een moet hebben, wat er verplicht in staat, en hoe een ingevuld voorbeeld eruitziet.

Weet je niet waar je vandaag staat? Doe de gratis cybersecurity-scan: elf vragen, en je ziet meteen welke beveiligingsmaatregelen je in de laatste kolom van je register kunt zetten.

Wat is een verwerkingsregister?

Een verwerkingsregister is een overzicht van je gegevensstromen. Geen lijst van klanten, maar een lijst van soorten verwerkingen: personeelsbeheer, klantenbeheer, facturatie, nieuwsbrief, camerabewaking. Per stroom noteer je wie de gegevens verwerkt, welke gegevens het zijn, waarom je ze hebt, aan wie ze doorgaan, hoelang je ze bijhoudt en hoe ze beveiligd zijn.

De officiële naam is het register van de verwerkingsactiviteiten, uit artikel 30 van de AVG. De Gegevensbeschermingsautoriteit noemt het ook de interne documentatieplicht.

Let op het onderscheid: dit is een AVG-verplichting, geen NIS2-verplichting. Val je onder NIS2, dan komt daar een eigen set maatregelen bij, maar het register geldt ook voor bedrijven die ver buiten NIS2 vallen.

Moet mijn KMO een verwerkingsregister bijhouden?

Hier ontstaat het misverstand. Artikel 30.5 van de AVG bevat een uitzondering voor ondernemingen met minder dan 250 personen in dienst, en dat lijkt de meeste Belgische KMO’s vrij te stellen. Alleen: de uitzondering vervalt in vier gevallen, en die dekken zowat elk bedrijf met personeel of klanten.

De GBA zet de vier gevallen op een rij. Je moet wél een register bijhouden als:

de verwerking een risico inhoudt voor de rechten en vrijheden van de betrokkenen;
de verwerking gevoelige gegevens betreft (gezondheid, biometrie, vakbondslidmaatschap, religieuze of politieke overtuiging, seksuele gerichtheid, etnische afkomst);
de verwerking gerechtelijke gegevens betreft (strafrechtelijke veroordelingen en strafbare feiten);
de gegevensverwerking gewoonlijk is, bijvoorbeeld bij verwerkingsactiviteiten gelinkt aan klantenbeheer, personeelsbeheer of leveranciersbeheer.

Die laatste is de beslissende. Heb je een vast klantenbestand, een personeelsadministratie of een leveranciersbestand, dan is je verwerking gewoonlijk en geldt de vrijstelling niet. De GBA is er zelf ook duidelijk over: het toepassingsgebied van de uitzondering is zeer beperkt, en de autoriteit beveelt álle verwerkingsverantwoordelijken aan om er toch een bij te houden.

Er is wel een verzachting die zelden opgemerkt wordt: je mag je register beperken tot je gewoonlijke verwerkingen. Strikt incidentele verwerkingen hoeven er niet in, zolang ze geen risico inhouden en geen gevoelige gegevens betreffen. Wat de AVG verder van je vraagt, staat in de AVG voor kleine bedrijven.

Wat moet er in het register staan?

Artikel 30.1 somt zeven punten op voor de verwerkingsverantwoordelijke. De GBA vat diezelfde inhoud samen als zes vragen, en dat is de bruikbaarste manier om je kolommen te zetten.

Vraag	Wat je invult	Uit artikel 30
Wie verwerkt de gegevens?	Je bedrijfsnaam en contactgegevens, eventuele gezamenlijke verantwoordelijken, en je DPO als je er een hebt.	punt a
Wat verwerk je?	De categorieën van betrokkenen (klanten, personeel, sollicitanten) en de categorieën van gegevens.	punt c
Waarom verwerk je ze?	De verwerkingsdoeleinden, in gewone woorden.	punt b
Waar gaan ze heen?	De categorieën van ontvangers, en doorgiften buiten de EER met de bijhorende waarborgen.	punten d en e
Hoelang hou je ze bij?	De beoogde wistermijnen, indien mogelijk.	punt f
Hoe zijn ze beveiligd?	Een algemene beschrijving van je technische en organisatorische maatregelen, indien mogelijk.	punt g

Ben je zelf verwerker voor een ander bedrijf, dan geldt artikel 30.2 en is de lijst korter: wie je opdrachtgevers zijn, welke categorieën van verwerkingen je voor hen doet, doorgiften buiten de EER, en je beveiligingsmaatregelen.

De GBA raadt aan om er meer in te zetten dan het strikte minimum, zoals de rechtsgrond per verwerking (toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang, algemeen belang of vitaal belang) en een overzicht van je datalekken. Dat kost je twee kolommen extra en maakt van het register meteen een werkinstrument in plaats van een formaliteit.

Verwerkingsregister: een ingevuld voorbeeld

Hieronder drie ingevulde regels voor een fictieve KMO, “Voorbeeld bvba”, met vijftien medewerkers en een externe IT-partner. Neem de structuur over en vervang de inhoud door wat bij jou echt gebeurt.

Verwerking 1: personeelsbeheer. Betrokkenen: medewerkers, stagiairs en sollicitanten. Gegevens: identificatie- en contactgegevens, rijksregisternummer, functie, loon- en prestatiegegevens, rekeningnummer, afwezigheden. Doel: loonadministratie, contractbeheer en het nakomen van onze sociale verplichtingen. Rechtsgrond: wettelijke verplichting en de arbeidsovereenkomst. Ontvangers: ons sociaal secretariaat (verwerker) en de bevoegde overheidsdiensten, binnen de EER. Bewaartermijn: zolang het dienstverband loopt, daarna volgens de wettelijke bewaartermijnen voor sociale documenten; gegevens van niet-weerhouden kandidaten worden na zes maanden gewist. Beveiliging: de personeelsmap is enkel toegankelijk voor de zaakvoerder en de HR-verantwoordelijke, met persoonlijke accounts en tweestapsverificatie.

Verwerking 2: klantenbeheer en facturatie. Betrokkenen: contactpersonen bij klanten en prospects. Gegevens: naam, functie, zakelijk e-mailadres en telefoonnummer, facturatie- en betalingsgegevens, offerte- en dossierhistoriek. Doel: offertes opmaken, opdrachten uitvoeren, factureren en klanten opvolgen. Rechtsgrond: de overeenkomst, en voor de boekhoudkundige stukken een wettelijke verplichting. Ontvangers: ons boekhoudkantoor en de leverancier van onze boekhoudsoftware (verwerkers), binnen de EER. Bewaartermijn: boekhoudkundige stukken zeven jaar, overige klantgegevens tot twee jaar na het laatste contact. Beveiliging: persoonlijke accounts, tweestapsverificatie op e-mail en boekhouding, versleutelde laptops, dagelijkse back-up.

Verwerking 3: nieuwsbrief. Betrokkenen: iedereen die zich inschrijft. Gegevens: e-mailadres, voornaam, datum en bron van de inschrijving. Doel: klanten en geïnteresseerden informeren over onze diensten. Rechtsgrond: toestemming, met een uitschrijflink in elke mail. Ontvangers: onze mailingdienst (verwerker); staat die buiten de EER, dan noteer je hier het land en de waarborg, bijvoorbeeld modelcontractbepalingen. Bewaartermijn: tot uitschrijving. Beveiliging: toegang tot het mailingplatform enkel via een persoonlijk account met tweestapsverificatie.

De meeste KMO’s komen op vijf tot tien regels uit. Vergeet de stille verwerkingen niet: camerabewaking, bezoekersregistratie, het gps-systeem in de bestelwagens, en de leverancierscontacten.

In welke vorm hou je het bij?

De regels rond de vorm zijn kort, en staan bij de GBA over het opstellen van je register.

Het register moet schriftelijk opgesteld zijn. Dat mag in elektronische vorm.
Het mag niet tegelijk in papieren en elektronische vorm bestaan. Kies er dus één, anders krijg je twee versies die uit elkaar lopen.
Het moet leesbaar en begrijpelijk zijn voor de GBA, en op het eerste verzoek voorgelegd worden.
Je kiest zelf de taal, maar de GBA kan een vertaling in een landstaal vragen, op jouw kosten.
Werk het bij zodra je activiteiten veranderen. De GBA vindt het nuttig om de informatie tot vijf jaar na het einde van een verwerking te bewaren, met vermelding van de datum waarop je ermee gestopt bent.

Wil je niet zelf een tabel uittekenen: de GBA stelt een gratis Excel-model voor het register ter beschikking, met een tabblad begrippen, een tabblad contactgegevens, een model voor wie verwerkingsverantwoordelijke is, een tweede model voor wie verwerker is, en een ingevuld voorbeeld. Eén kanttekening: het model is compleet en dus ook breed. Voor een kleine zaak volstaat het om de verplichte kolommen te gebruiken en de rest leeg te laten.

Wat riskeer je zonder register?

De GBA is er expliciet over: het ontbreken van een register, of een slechte uitvoering van de verplichting, kan gesanctioneerd worden met een administratieve geldboete tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, als dat cijfer hoger is. Dat plafond komt uit artikel 83, lid 4 van de AVG, dat onder meer de artikelen 25 tot en met 39 dekt.

Zulke bedragen zijn plafonds voor de zwaarste gevallen, niet het tarief voor een KMO die een kolom vergat. Het praktische risico ligt elders: het register is meestal het eerste document dat gevraagd wordt. Bij een klacht van een ex-medewerker, bij een vragenlijst uit de toeleveringsketen, en bij het aanvragen van een cyberverzekering.

Waar dit in het grotere geheel past

Een register is papier, net als een informatiebeveiligingsbeleid. Het beschrijft wat je doet, het vervangt het niet. De volgorde die werkt is telkens dezelfde: eerst weten waar je staat, dan de gaten dichten die er echt toe doen, en dan pas opschrijven wat er staat. Welke maatregelen dat zijn en in welke volgorde je ze aanpakt, staat in de complete cybersecuritygids voor KMO’s.

Het register geeft je wel iets terug. Wie zijn gegevensstromen één keer uittekent, ziet meestal drie dingen die hij niet wist: een oud pakket waar nog klantgegevens in staan, een leverancier waarmee nooit iets op papier is gezet, en een map waar te veel mensen bij kunnen.

Kort samengevat

Een verwerkingsregister is een overzicht van je gegevensstromen, niet van je klanten.
De vrijstelling voor bedrijven met minder dan 250 werknemers is volgens de GBA zeer beperkt toepasbaar: klantenbeheer, personeelsbeheer en leveranciersbeheer maken je verwerking gewoonlijk.
Vul per verwerking de zes vragen in: wie, wat, waarom, waar, hoelang en hoe beveiligd, en zet er de rechtsgrond bij.
Het mag schriftelijk of elektronisch, maar niet allebei tegelijk, en het moet op het eerste verzoek voorgelegd worden.
De GBA heeft een gratis Excel-model; ontbreekt het register, dan kan dat gesanctioneerd worden met een boete tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Weet je niet welke beveiligingsmaatregelen je in de laatste kolom kunt zetten? De gratis scan geeft je in drie minuten een lijst van wat er staat en wat nog ontbreekt.

Deze gids is informatief en geen juridisch advies. Laat je voor je concrete situatie bijstaan door een specialist.