Bouw uw verwerkingsregister — het document dat inspecteurs als eerste opvragen

Artikel 30 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 verplicht elke verwerkingsverantwoordelijke een schriftelijk register van verwerkingsactiviteiten bij te houden. De uitzondering voor organisaties met minder dan 250 werknemers (art. 30 lid 5) geldt alleen als de verwerking incidenteel is, onwaarschijnlijk een risico vormt voor de rechten en vrijheden van betrokkenen, en geen bijzondere categorieën van persoonsgegevens (art. 9) of strafrechtelijke gegevens (art. 10) omvat. Loonadministratie, een klantenbestand of een nieuwsbrief zijn reguliere, geen incidentele activiteiten — de uitzondering geldt dus in de praktijk zelden. Bij een inspectie is het verwerkingsregister meestal het eerste document dat toezichthouders, zoals de Autoriteit Persoonsgegevens, opvragen.