Bij het opstellen van een VVT, ofwel een verwerkingsregister, breng je systematisch in kaart welke persoonsgegevens jouw organisatie verwerkt, met welk doel, op welke grondslag en hoe lang die gegevens worden bewaard. Het register van verwerkingsactiviteiten is een wettelijke verplichting onder de AVG voor de meeste organisaties en vormt de basis voor aantoonbare privacyverantwoording. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen, bijhouden en presenteren van een VVT aan de toezichthouder. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.
Welke verwerkingen moet je opnemen in een VVT?
In een VVT neem je alle verwerkingsactiviteiten op waarbij persoonsgegevens betrokken zijn. Dat betekent: elke activiteit waarbij jouw organisatie persoonsgegevens verzamelt, opslaat, gebruikt, deelt of verwijdert. Denk aan salarisadministratie, klantenbestand, nieuwsbrieven, cameratoezicht en personeelsdossiers. Als er persoonsgegevens bij komen kijken, hoort de activiteit in het register thuis.
Een veelgemaakte misvatting is dat het VVT alleen grote of gevoelige verwerkingen bevat. Dat klopt niet. Ook ogenschijnlijk kleine processen, zoals het bijhouden van een contactpersonenlijst of het versturen van offertes, vallen onder de registratieplicht. Bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens of BSN-nummers, verdienen extra aandacht en moeten altijd worden opgenomen.
Praktisch gezien werk je het overzichtelijkst als je per afdeling of bedrijfsproces inventariseert welke gegevens worden verwerkt. Zo voorkom je dat verwerkingen over het hoofd worden gezien.
Wat moet er verplicht in elke verwerking staan?
De AVG schrijft voor wat er minimaal in elke verwerking binnen het verwerkingsverantwoordingsregister moet staan. Voor verwerkingsverantwoordelijken zijn dit de verplichte elementen:
- De naam en contactgegevens van de verwerkingsverantwoordelijke
- Het doel van de verwerking
- De categorie betrokkenen (bijvoorbeeld klanten, medewerkers)
- De categorie persoonsgegevens die worden verwerkt
- De ontvangers of categorieën ontvangers aan wie gegevens worden verstrekt
- Eventuele doorgifte aan derde landen buiten de EU
- De bewaartermijnen
- Een beschrijving van de technische en organisatorische beveiligingsmaatregelen
Als je een functionaris voor gegevensbescherming (FG) hebt aangesteld, vermeld je ook diens contactgegevens. Voor verwerkers, organisaties die persoonsgegevens verwerken in opdracht van een andere partij, gelden vergelijkbare maar iets afwijkende eisen. Het is verstandig om bij het opstellen van een VVT een vast sjabloon te gebruiken, zodat elke verwerking compleet en consistent wordt vastgelegd. Een goed ingericht verwerkingsregister AVG sluit ook aan op de eisen die gelden binnen bredere informatiebeveiligingsmaatregelen.
Wie is verantwoordelijk voor het bijhouden van de VVT?
De eindverantwoordelijkheid voor het VVT ligt altijd bij de verwerkingsverantwoordelijke, dat wil zeggen de organisatie zelf, vertegenwoordigd door de directie of het bestuur. In de praktijk wordt het dagelijkse beheer vaak belegd bij de privacy officer, de functionaris voor gegevensbescherming of de CISO.
Belangrijk is dat de verantwoordelijkheid niet alleen formeel wordt toegewezen, maar ook daadwerkelijk wordt ingevuld. Dat betekent dat de eigenaar van het register actief betrokken is bij wijzigingen in bedrijfsprocessen, nieuwe verwerkingen tijdig signaleert en het register periodiek controleert. Bij grotere organisaties is het gebruikelijk om per afdeling een aanspreekpunt te benoemen dat wijzigingen doorgeeft aan de centrale beheerder van het register.
Heeft jouw organisatie een verwerkersovereenkomst met andere partijen gesloten? Dan dragen ook verwerkers een eigen verantwoordelijkheid voor hun deel van het register. Zorg dus dat je contractueel helder hebt wie wat bijhoudt.
Hoe houd je een VVT actueel na de eerste opzet?
Een VVT actueel houden vereist een vast proces, geen eenmalige actie. Na de eerste opzet is het register snel verouderd als er geen beheerritme wordt afgesproken. De meest effectieve aanpak combineert periodieke reviews met een meldingsproces voor nieuwe of gewijzigde verwerkingen.
Praktische stappen om het register actueel te houden:
- Plan minimaal één keer per jaar een volledige review van alle verwerkingen
- Stel een intern meldproces in voor nieuwe systemen, leveranciers of processen
- Koppel het VVT aan je wijzigingsbeheerproces, zodat IT-wijzigingen automatisch worden getoetst op privacyimpact
- Betrek afdelingshoofden bij de jaarlijkse review, zij kennen de praktijk het best
- Documenteer ook wanneer een verwerking wordt beëindigd en verwijder of archiveer het betreffende onderdeel
Organisaties die werken aan een ISO 27001-certificering of vergelijkbare normenkaders merken dat een goed bijgehouden VVT ook bijdraagt aan de bredere compliance-doelstellingen. Het register is dan niet alleen een privacydocument, maar een levend onderdeel van het informatiebeheer.
Welke fouten worden het vaakst gemaakt bij een VVT?
De meest voorkomende fout bij het opstellen van een VVT is dat het register wordt gezien als een eenmalig project in plaats van een doorlopend beheerproces. Organisaties stellen het register op, voldoen daarmee aan de initiële eis, en laten het vervolgens jarenlang ongewijzigd terwijl de werkelijkheid verandert.
Andere veelgemaakte fouten zijn:
- Onvolledige inventarisatie: Niet alle verwerkingen worden in kaart gebracht, vooral die van ondersteunende processen zoals IT-beheer, beveiliging of marketing worden regelmatig vergeten.
- Vage doelomschrijvingen: Omschrijvingen als “bedrijfsvoering” of “administratie” zijn te breed en voldoen niet aan de AVG-eis van specificiteit.
- Ontbrekende bewaartermijnen: Veel registers vermelden geen concrete bewaartermijnen of verwijzen alleen naar “wettelijke termijnen” zonder die te specificeren.
- Geen aandacht voor verwerkers: Verwerkingen die plaatsvinden via externe softwareleveranciers of clouddiensten worden niet altijd opgenomen, terwijl de organisatie ook daarvoor verantwoordelijk is.
- Geen eigenaarschap: Het register bestaat, maar niemand voelt zich verantwoordelijk voor het bijhouden ervan.
Door deze valkuilen te kennen, kun je ze bij de opzet al voorkomen en een register bouwen dat ook bij een toetsing door de Autoriteit Persoonsgegevens standhoudt.
Wanneer moet je de VVT kunnen tonen aan de toezichthouder?
Je moet het verwerkingsregister AVG op elk moment kunnen tonen aan de Autoriteit Persoonsgegevens (AP). De AP kan op verzoek inzage vragen, bijvoorbeeld bij een klacht, een datalek of een gerichte controle. Er is geen aankondigingstermijn die jou de tijd geeft om het register eerst op orde te brengen. Het register moet dus altijd up-to-date en beschikbaar zijn.
Dat betekent in de praktijk dat het register niet alleen compleet en actueel moet zijn, maar ook toegankelijk. Sla het op een centrale, beveiligde locatie op waar de verantwoordelijke persoon het snel kan raadplegen en aanleveren. Een register dat ergens in een persoonlijke map staat of alleen bij één medewerker bekend is, voldoet niet aan de geest van de AVG.
Naast de toezichthouder kunnen ook zakelijke partners, opdrachtgevers of klanten vragen om inzage in (delen van) jouw privacypraktijken. Een goed bijgehouden VVT voor informatiebeveiliging versterkt het vertrouwen en toont aan dat jouw organisatie privacy serieus neemt. Wil je zeker weten dat jouw register en bredere beveiligingsaanpak voldoen aan de geldende eisen? Bekijk dan wat wij bieden op het gebied van certificering of neem contact op voor een vrijblijvend gesprek.
Veelgestelde vragen
Wat gebeurt er als mijn VVT niet op orde is bij een controle?
V: Wat gebeurt er als mijn VVT niet op orde is bij een controle?nA: Als de Autoriteit Persoonsgegevens bij een controle constateert dat jouw verwerkingsregister ontbreekt of onvolledig is, kan zij een waarschuwing, een last onder dwangsom of zelfs een boete opleggen. Een actueel en volledig register is daarom niet alleen een formaliteit, maar een concrete bescherming tegen handhavingsrisico’s.
Hoe weet ik of mijn organisatie verplicht is een VVT bij te houden?
V: Hoe weet ik of mijn organisatie verplicht is een VVT bij te houden?nA: Vrijwel elke organisatie die persoonsgegevens verwerkt is verplicht een VVT bij te houden; alleen organisaties met minder dan 250 medewerkers kunnen onder bepaalde voorwaarden een beperkte uitzondering genieten, maar alleen als de verwerking niet structureel plaatsvindt of geen bijzondere persoonsgegevens betreft. In de meeste gevallen geldt de verplichting dus gewoon.
Waarom is het belangrijk om bewaartermijnen concreet te vermelden in het register?
V: Waarom is het belangrijk om bewaartermijnen concreet te vermelden in het register?nA: De AVG vereist dat je persoonsgegevens niet langer bewaart dan noodzakelijk voor het doel waarvoor ze zijn verzameld, en een concreet vermelde bewaartermijn in je register toont aan dat jouw organisatie hier bewust mee omgaat. Vage verwijzingen zoals ‘wettelijke termijn’ zonder specificatie zijn onvoldoende en kunnen bij een controle als tekortkoming worden aangemerkt.
Wanneer moet ik het VVT updaten na een wijziging in mijn bedrijfsprocessen?
V: Wanneer moet ik het VVT updaten na een wijziging in mijn bedrijfsprocessen?nA: Je moet het VVT bijwerken zodra er een nieuwe verwerking start, een bestaande verwerking wijzigt of een verwerking wordt beëindigd, bijvoorbeeld bij de introductie van een nieuw softwaresysteem, een nieuwe leverancier of een gewijzigd werkproces. Wacht hier niet mee tot de jaarlijkse review, maar verwerk wijzigingen direct om te voorkomen dat het register de werkelijkheid niet meer weerspiegelt.
Gerelateerde artikelen
- Welke informatie staat in een auditrapport die niet op het certificaat zelf terug te vinden is?
- Wanneer is het juiste moment om een ISO 27001 certificeringsaudit te plannen?
- Waarom is de onafhankelijkheid van een certificerende instelling belangrijk?
- Hoe herken je een phishingaanval gericht op je organisatie?
- Wat gebeurt er tijdens een ISO 27001 audit?
