AVG
AVG-verwerkingsregister in Luxemburg: verplichtingen en inhoud
Kort antwoord
Het verwerkingsregister waarin artikel 30 van de AVG voorziet, brengt alle verwerkingen van persoonsgegevens van een organisatie in kaart. In Luxemburg is het in beginsel verplicht voor elke verwerkingsverantwoordelijke en elke verwerker. De uitzondering voor organisaties met minder dan 250 werknemers is zeer beperkt en ontslaat bijna nooit van de plicht om het bij te houden.
Het verwerkingsregister is het centrale document van de AVG-naleving: het brengt elke verwerking van persoonsgegevens in kaart met de doeleinden, de rechtsgronden, de ontvangers en de bewaartermijnen. Het register, waarin artikel 30 van de AVG voorziet, geldt zowel voor de verwerkingsverantwoordelijke als voor de verwerker. De uitzondering voor organisaties met minder dan 250 werknemers is in werkelijkheid smal en vervalt zodra er een regelmatige verwerking of gevoelige gegevens zijn. Deze gids behandelt de verplichte inhoud, de methode om het register op te stellen, de bijwerking, de samenhang met de gegevensbeschermingseffectbeoordeling (DPIA) en de controle door de CNPD. Voor begeleiding kunt u de pagina AVG-advocaat en de pagina consult bij een advocaat van het kantoor raadplegen.
In het kort
- Nagaan of u verwerkingsverantwoordelijke of verwerker bent: in beide gevallen wordt een register verwacht.
- De uitzondering voor minder dan 250 werknemers niet overschatten: ze vervalt zodra er een regelmatige verwerking of gevoelige gegevens zijn.
- Voor elke verwerking de doeleinden, rechtsgronden, categorieën van gegevens en van personen, ontvangers en bewaartermijnen invullen.
- De doorgiften buiten de Europese Unie en de bijbehorende waarborgen documenteren.
- Het register afstemmen op de gegevensbeschermingseffectbeoordeling (DPIA) voor verwerkingen met een hoog risico.
- Het register actueel houden en het bij een controle aan de CNPD kunnen voorleggen.
| Rubriek | Verwachte inhoud |
|---|---|
| Identiteit | Naam en contactgegevens van de verwerkingsverantwoordelijke, de vertegenwoordiger en in voorkomend geval de DPO |
| Doeleinden | Doel van elke verwerking (lonen, aanwerving, prospectie, enz.) |
| Betrokkenen | Categorieën van personen: werknemers, klanten, prospecten, leveranciers |
| Verwerkte gegevens | Categorieën van gegevens: identiteit, contactgegevens, financiële gegevens, gevoelige gegevens |
| Ontvangers | Categorieën van interne en externe ontvangers |
| Doorgiften buiten de EU | Betrokken derde landen en waarborgen voor de doorgifte |
| Bewaartermijnen | Voorziene termijn voor elke categorie van gegevens |
| Beveiliging | Algemene beschrijving van de technische en organisatorische maatregelen |
Wat is het verwerkingsregister (artikel 30 van de AVG)
Het register van de verwerkingsactiviteiten is het document dat op gestructureerde wijze alle handelingen opsomt waarmee een organisatie persoonsgegevens verwerkt. Het is voorgeschreven door artikel 30 van de AVG en is de concrete vertaling van het beginsel van verantwoordingsplicht: de organisatie moet de regelgeving niet alleen naleven, maar dat ook kunnen aantonen.
Concreet brengt het register elke verwerking in kaart: de loonadministratie, de aanwerving, de commerciële prospectie, de camerabewaking, het klantenbeheer of nog de IT-beveiliging. Voor elke verwerking vermeldt het waarom de gegevens worden verwerkt, op welke rechtsgrond, welke personen en welke categorieën van gegevens betrokken zijn, aan wie de gegevens worden verstrekt en hoelang ze worden bewaard.
Het register is geen loutere administratieve formaliteit: het is het sturingsinstrument van uw naleving. Goed bijgehouden helpt het om risicovolle verwerkingen te identificeren, een eventuele effectbeoordeling voor te bereiden en snel te reageren op een controle door de CNPD (Commission nationale pour la protection des données) of op een verzoek tot uitoefening van rechten. Een AVG-advocaat helpt het te structureren zodat het uw activiteit getrouw weergeeft.
Wie moet een verwerkingsregister bijhouden
De registerplicht rust zowel op de verwerkingsverantwoordelijke, dat wil zeggen de organisatie die de doeleinden en de middelen van de verwerking bepaalt, als op de verwerker, die de gegevens voor rekening van een ander verwerkt. In Luxemburg valt nagenoeg elke onderneming, vereniging en publieke entiteit in een van deze categorieën.
De inhoud van het register verschilt naargelang uw rol. De verwerkingsverantwoordelijke documenteert zijn eigen verwerkingen en de doeleinden ervan. De verwerker houdt van zijn kant een register bij van de categorieën van verwerkingsactiviteiten die hij voor rekening van zijn klanten die verwerkingsverantwoordelijke zijn verricht. Eenzelfde onderneming kan overigens beide hoedanigheden combineren, afhankelijk van de betrokken verwerkingen.
Uw kwalificatie correct bepalen is een volwaardige juridische stap, want ze bepaalt uw verplichtingen en uw aansprakelijkheid. Deze analyse sluit vaak aan bij de analyse die wordt gemaakt bij het opstellen van een verwerkersovereenkomst, die eveneens aan de AVG moet voldoen.
De uitzondering voor minder dan 250 werknemers en haar grenzen
Artikel 30 van de AVG voorziet in een schijnbare vrijstelling voor organisaties met minder dan 250 werknemers. Veel bestuurders leiden daar ten onrechte uit af dat zij geen enkel register moeten bijhouden. De werkelijkheid is heel anders, want aan deze uitzondering zijn cumulatieve voorwaarden verbonden die haar grotendeels uithollen.
De vrijstelling geldt alleen als de verwerking waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van personen, als ze incidenteel is en als ze geen betrekking heeft op bijzondere categorieën van gegevens (gezondheid, opvattingen, biometrische gegevens, enz.), noch op gegevens betreffende strafrechtelijke veroordelingen. Zodra een onderneming de lonen, arbeidsovereenkomsten of een klantenbestand beheert, verricht ze echter regelmatige verwerkingen: de uitzondering vervalt.
In de praktijk moeten dus bijna alle organisaties een register bijhouden, ten minste voor hun terugkerende verwerkingen. In plaats van zich op een wankele vrijstelling te beroepen, stelt men beter een register op dat in verhouding staat tot de eigen activiteit. Een AVG-advocaat beveiligt deze analyse en voorkomt een vals gevoel van naleving.
De verplichte inhoud van het register van de verwerkingsverantwoordelijke
Voor de verwerkingsverantwoordelijke legt artikel 30 een precieze lijst van vermeldingen vast. Het register moet de naam en de contactgegevens van de verwerkingsverantwoordelijke vermelden en, in voorkomend geval, die van de vertegenwoordiger en van de functionaris voor gegevensbescherming (DPO). Voor elke verwerking preciseert het de nagestreefde doeleinden, bijvoorbeeld het personeelsbeheer of de facturering.
Het register beschrijft vervolgens de categorieën van betrokkenen (werknemers, klanten, prospecten, leveranciers) en de verwerkte categorieën van gegevens (identiteit, contactgegevens, financiële gegevens, in voorkomend geval gezondheidsgegevens). Het somt de interne en externe categorieën van ontvangers op, evenals de eventuele doorgiften naar derde landen en de waarborgen die daarvoor gelden.
Twee vermeldingen vervolledigen het geheel: de bewaartermijnen voor elke categorie van gegevens en een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen. De tabel hieronder herneemt al deze rubrieken om het opstellen van uw register te vergemakkelijken.
De inhoud van het register van de verwerker
De verwerker hoeft de door zijn klanten bepaalde doeleinden niet te documenteren, maar hij moet een eigen register bijhouden van de categorieën van verwerkingsactiviteiten die hij voor rekening van elke verwerkingsverantwoordelijke verricht. Dit register vermeldt zijn identiteit, die van elke verwerkingsverantwoordelijke voor wie hij optreedt en, in voorkomend geval, die van zijn DPO en zijn vertegenwoordiger.
Voor elke klant vermeldt de verwerker de verrichte categorieën van verwerkingen, de eventuele doorgiften buiten de Europese Unie en de bijbehorende waarborgen, evenals een algemene beschrijving van de toegepaste beveiligingsmaatregelen. Deze informatie moet overeenstemmen met de verwerkersovereenkomst die met de verwerkingsverantwoordelijke is gesloten.
Deze samenhang tussen het register en de overeenkomst is essentieel: de verwerkersovereenkomst regelt de relatie juridisch, het register documenteert de operationele werkelijkheid ervan. Een contractenadvocaat waakt over de samenhang tussen de twee documenten.
Hoe stelt u uw verwerkingsregister op
Het opstellen van een register begint met een inventaris van de verwerkingen. Daarbij wordt elke afdeling (personeelszaken, verkoop, boekhouding, IT) bevraagd om de handelingen op persoonsgegevens op te lijsten. Deze eerste inventarisatie is de zwaarste stap, omdat ze vaak vergeten verwerkingen aan het licht brengt.
Voor elke geïdentificeerde verwerking vult men vervolgens de rubrieken van artikel 30 in: doeleinde, rechtsgrond, categorieën van personen en van gegevens, ontvangers, doorgiften, bewaartermijnen en beveiligingsmaatregelen. De keuze van de rechtsgrond (toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang) is een delicaat juridisch punt dat een zorgvuldige controle verdient.
Softwaretools kunnen het bijhouden van het register ondersteunen en de bijwerking ervan vlotter laten verlopen, maar ze vervangen de juridische analyse niet. De kwalificatie van de verwerkingen, de keuze van de rechtsgronden en de beoordeling van de risico's vallen onder het advies van een advocaat, waarbij de digitale hulpmiddelen alleen de documentatie ondersteunen. Om de aanpak af te bakenen, kunt u een offerte aanvragen.
Bijwerking van het register en verband met de gegevensbeschermingseffectbeoordeling (DPIA)
Het register is een levend document: het moet bij elke wijziging in de organisatie worden bijgewerkt. Elke nieuwe verwerking, elke wijziging van doeleinde, elke nieuwe dienstverlener of elk nieuw IT-hulpmiddel moet erin worden weergegeven. Een bevroren register wordt snel onjuist en verliest zijn bewijswaarde tegenover de CNPD.
Het register is ook het vertrekpunt van de gegevensbeschermingseffectbeoordeling (DPIA). Wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen (stelselmatige monitoring, grootschalige verwerking van gevoelige gegevens, profilering), verplicht de AVG om vóór de start van de verwerking een DPIA uit te voeren.
Het register maakt het mogelijk de betrokken verwerkingen te identificeren en de DPIA op het juiste moment op te starten. De effectbeoordeling evalueert de risico's en bepaalt de maatregelen om ze te beperken. Deze twee documenten vullen elkaar aan: het register brengt in kaart, de DPIA gaat dieper in op de gevoelige verwerkingen. Een AVG-advocaat beveiligt de samenhang ertussen.
Controle door de CNPD en rol van de advocaat
In Luxemburg is de toezichthoudende autoriteit de Nationale Commissie voor gegevensbescherming (CNPD). Bij een controle heeft een van de eerste vragen betrekking op het verwerkingsregister: het moet onverwijld kunnen worden voorgelegd en de werkelijk verrichte verwerkingen getrouw weergeven. Een ontbrekend, onvolledig of verouderd register vormt een inbreuk op artikel 30.
Het register is dus tegelijk een nalevingsinstrument en een verdedigingsmiddel. Een nauwgezet bijgehouden register toont de goede trouw van de organisatie en haar nalevingsaanpak aan, wat wordt meegewogen bij de beoordeling van een eventuele inbreuk. Omgekeerd verzwakt het ontbreken ervan de hele positie van de onderneming tegenover de CNPD.
De rol van de advocaat is de kwalificatie van de verwerkingen, de keuze van de rechtsgronden en de risicobeoordeling betrouwbaar te maken en de organisatie vervolgens voor te bereiden op een eventuele controle. Het kantoor Cerno Law Firm, ingeschreven bij de Orde van Advocaten van Luxemburg, begeleidt deze aanpak in het kader van een consult bij een advocaat of van een specifieke nalevingsopdracht.
| Criterium | Verwerkingsverantwoordelijke | Verwerker |
|---|---|---|
| Voorwerp | Eigen verwerkingen | Categorieën van activiteiten per klant |
| Doeleinden | Te documenteren | Bepaald door de verwerkingsverantwoordelijke |
| Doorgiften buiten de EU | Te documenteren | Te documenteren |
| Beveiligingsmaatregelen | Te documenteren | Te documenteren |
| Contractuele band | Intern beleid | AVG-verwerkersovereenkomst |
Afhankelijk van uw profiel
Luxemburgse kmo
Zelfs met minder dan 250 werknemers verricht een kmo die de lonen, arbeidsovereenkomsten en een klantenbestand beheert regelmatige verwerkingen: de uitzondering speelt niet en voor deze terugkerende verwerkingen wordt een register verwacht.
Dienstverlener als verwerker
Als u gegevens verwerkt voor rekening van klanten (hostingprovider, agentschap, softwareleverancier), moet u per klant een register van de categorieën van verwerkingsactiviteiten bijhouden dat overeenstemt met uw verwerkersovereenkomsten.
Vereniging of asbl
Een vereniging verwerkt gegevens van leden, schenkers of begunstigden. Ze moet deze verwerkingen inventariseren, de rechtsgronden en bewaartermijnen ervan preciseren en een register bijhouden dat in verhouding staat tot haar activiteit.
Entiteit uit de gezondheidssector
De verwerking van gezondheidsgegevens valt onder de bijzondere categorieën van gegevens: de uitzondering voor minder dan 250 werknemers is niet van toepassing en naast het register is vaak een gegevensbeschermingseffectbeoordeling vereist.
Officiële bronnen
Wijzigingsgeschiedenis
- : Voorwaarden van de vrijstelling van het register van artikel 30, lid 5, van de AVG verduidelijkt: incidentele verwerking, geen risico, geen gevoelige gegevens noch gegevens betreffende strafrechtelijke veroordelingen.