Verwerkingsregister AVG - Gratis Voorbeeld

1. Vul op het tabblad Verwerkingsregister per verwerking een unieke Verwerkings-ID in en geef de activiteit een duidelijke naam.
2. Beschrijf vervolgens het doel, de betrokken groep en de categorieën persoonsgegevens zo concreet mogelijk. Denk aan personeelsdossiers, klantdata of camerabeelden.
3. Vul de rechtsgrond in en noteer wie intern eigenaar is, zodat je weet wie op review moet reageren.
4. Werk de bewaartermijn, beveiligingsmaatregelen en eventuele gegevensdeling met derden per regel bij. Daarmee houd je ook de privacyrisico’s zichtbaar.
5. Controleer de kolom voor Review >12 mnd en het reviewjaar om verwerkingen op tijd opnieuw te beoordelen.
6. Gebruik het Dashboard om actief, afgehandeld en risicovol snel te filteren voor overleg met HR, IT of management.
7. Werk de toelichting bij als je procesafspraken, classificaties of beoordelingsregels toevoegt voor je organisatie.

Het tabblad Verwerkingsregister is de kern van dit sjabloon. Bovenaan staan 19 kolommen, van Verwerkings-ID en verwerking tot bewaartermijn, beveiligingsmaatregelen en reviewinfo. Daarmee kun je per regel een concrete activiteit vastleggen, zoals personeelsadministratie, payroll of een CRM-koppeling.

In de praktijk werkt dit goed voor een HR-medewerker, privacy officer of administrateur die meerdere processen moet bijhouden. Bij 12 verwerkingen en een review per kwartaal heb je al snel 48 controlepunten per jaar, dus een vaste structuur scheelt echt werk. De kolom Status helpt je onderscheid maken tussen actief, in review en afgehandeld.

Welke velden je direct gebruikt

De combinatie van Rechtsgrond AVG, Bewaartermijn en Beveiligingsmaatregelen maakt het register bruikbaar voor de dagelijkse praktijk. Zet bijvoorbeeld bij personeelsgegevens neer dat je ze 7 jaar bewaart na uitdiensttreding en dat alleen HR toegang heeft via autorisaties. Dat is veel sterker dan een losse lijst met procesnamen.

Waarom het dashboard erbij hoort

Het tweede tabblad geeft je management in één oogopslag grip op aantallen en status. Als je 30 verwerkingen beheert en er 8 op review staan, zie je meteen waar prioriteit zit. Voor een organisatie met meerdere afdelingen is dat handiger dan een lang tekstdocument of een pdf-lijst.

Onder art. 30 AVG moet je als verwerkingsverantwoordelijke een register van verwerkingsactiviteiten kunnen tonen. Dat register bevat onder meer de doeleinden, categorieën betrokkenen, ontvangers, doorgifte aan derde landen en een algemene beschrijving van technische en organisatorische beveiligingsmaatregelen. Voor de meeste Nederlandse organisaties is dit geen beleidsstuk, maar een werkdocument dat up-to-date moet blijven.

De juridische keuze tussen alleen een register in Word of een gestructureerd Excel-bestand is eenvoudig: voor operationeel beheer wint Excel. Je kunt er filters, reviewdatums en statusvelden in gebruiken, waardoor je bij een audit of vraag van de Autoriteit Persoonsgegevens sneller laat zien wat actueel is. Bij 25 tot 50 verwerkingen is dat veel praktischer dan losse notities verspreid over mailboxen en mappen.

Wanneer een DPIA relevant wordt

De kolom DPIA vereist? (Ja/Nee) is nuttig omdat je verwerkingen met verhoogd risico apart wilt volgen. Denk aan grootschalige monitoring, bijzondere persoonsgegevens of koppelingen tussen HR- en verzuimsystemen. Bij een proces met cameratoezicht op 3 locaties, 40 medewerkers en bewaartermijnen van 28 dagen wil je die beoordeling niet uit het oog verliezen.

Welke bewijslast je hiermee ondersteunt

Met een ingevuld register kun je laten zien dat je de verwerking in kaart hebt, wie verantwoordelijk is en wanneer de laatste review was. Dat is sterker bewijs dan alleen beleid op papier. In de praktijk is een goed gevuld register vaak het eerste document dat een privacyteam of auditor wil zien.

De grootste fout is dat mensen het register als een eenmalige invuloefening zien. Na de eerste inrichting blijven reviewdatums leeg of ouder dan 12 maanden, terwijl processen al lang zijn veranderd. De kolom Review >12 mnd in dit sjabloon is juist bedoeld om die achterstanden zichtbaar te maken.

Een tweede fout is dat men te vaag blijft over persoonsgegevens. Alleen “persoonsgegevens” invullen zegt niets; je wilt weten of het om BSN, salarisgegevens, contactgegevens of verzuiminformatie gaat. Bij 15 verwerkingen met gevoelige data loopt je risico snel op als je dat onderscheid niet scherp maakt.

Te brede omschrijvingen

Termen als “administratie” of “klantbeheer” zijn vaak te breed. Splits liever op in concrete activiteiten, bijvoorbeeld personeelsadministratie, loonverwerking en toegangsbeheer. Dan kun je per proces ook eerlijker beoordelen of een DPIA nodig is.

Vergeten van externe partijen

Veel bestanden missen de velden voor verwerker, ontvanger en gegevensdeling met derden. Juist daar gaat het vaak mis bij salarissoftware, cloudopslag of marketingtools. Als je jaarlijks 6 leveranciers hebt met toegang tot persoonsgegevens, wil je precies weten welke partij wat ontvangt en onder welke afspraak.

Bij die 6 leveranciers past ook een risicoanalyse, zodat je per partij de kans op gegevensdeling en de impact ervan naast elkaar zet.

Dit sjabloon werkt het best als je het koppelt aan je eigen processen en afdelingen. Voeg bijvoorbeeld een kolom toe voor afdeling, systeemnaam of classificatie als je organisatie meer dan 20 verwerkingen heeft. Dan kun je filteren op HR, finance, IT of marketing zonder extra documenten.

Een tweede nuttige uitbreiding is een vaste beoordelingsscore voor risico of prioriteit. Bij een simpele schaal van 1 tot 5 kun je 30 verwerkingen sneller rangschikken dan met alleen kleur of vrije tekst. Dat helpt vooral als je periodiek wilt bespreken welke verwerkingen als eerste een update krijgen.

Handige uitbreidingen

• Voeg een kolom toe voor systeemnaam, zoals HRM, CRM of payroll.
• Werk met een vaste reviewfrequentie, bijvoorbeeld 12 of 24 maanden.
• Koppel het register aan een apart overzicht voor verwerkersovereenkomsten.
• Maak een filter op bijzondere persoonsgegevens, zoals BSN of gezondheidsgegevens.

Als je meer rapportage wilt, kun je het dashboard uitbreiden met tellingen per status of per eigenaar. Bij 40 tot 60 verwerkingen is zo’n samenvatting vaak precies wat de directie wil zien. Zo blijft het bestand bruikbaar voor zowel privacybeheer als intern overleg.

Die samenvatting sluit ook goed aan op het vastleggen van vergadernotities, zodat besluiten en acties direct naast de status per eigenaar staan.