Uw organisatie heeft te maken met veel verschillende belangrijke persoonsgegevens, zoals BSN-nummers, bankrekeningnummers, nationaliteiten, kopieën van paspoorten, ziekmeldingen, etc. Het is uiterst belangrijk om inzicht te hebben in de verwerkingen van al deze gegevens, om te weten of u deze gegevens mag gebruiken en waarvoor u ze daadwerkelijk gebruikt. Hiervoor is het van belang om een zogenaamde ‘register van de verwerkingsactiviteiten’ aan te maken en bij te houden. Hierin kunt u in kaart brengen welke persoonsgegevens u bijhoudt, waar deze gegevens vandaan komen, met wie u deze deelt of hebt gedeeld en hoelang je ze mag bewaren. Hoe pakt u dit aan?
1 - Ten eerste zult u een register aan moeten maken. Het meest makkelijke is een Word- of Excelbestand. Voor de meeste organisaties zal dit ook wel voldoende zijn. Heeft u een grote organisatie waarin veel gewerkt wordt met belangrijke persoonsgegevens, is het wellicht verstandiger om een meer gespecialiseerde tool te gebruiken.
2 - Ten tweede zult u de volledigheid van het register moeten controleren, en dat is vaak een lastige. Niet iedereen uit de organisatie komt uit zichzelf melden waar alle persoonsgegevens zich bevinden. Zitten alle persoonsgegevens wel in hetzelfde systeem? En heeft u er wel eens over nagedacht hoe vaak u e-mails verzend met bijzondere persoonsgegevens, zoals een loonstrook (met BSN-nummer!)? Probeer het register zo volledig mogelijk te krijgen.
3 - Ten slotte zult u moeten kiezen wie er verantwoordelijk gaat zijn voor het maken én bijhouden van het register. Het register is geen eenmalig project, maar een proces dat elke dag bijgehouden zal moeten worden. Het maakt de AVG niet uit wie hier intern verantwoordelijk voor is, als het maar wordt gedaan. Voor grotere organisaties is het wellicht handig om dit decentraal te regelen: één aanspreekpunt voor HR, één voor ICT, één voor inkoop, etc.
Wilt u meer weten over wat u volgens de AVG moet doen met belangrijke persoonsgegevens die u deelt met derden? Lees dan hier artikel 3. < TERUG