Verwerkingsregister en compliance-registers

Wat het doet

Een verwerkingsregister in een spreadsheet is na een paar maanden meestal achterhaald. Onze registermotor maakt er een gestructureerd, gedeeld dossier van. Jouw team houdt het bij, de advocaat of functionaris voor gegevensbescherming (DPO) kijkt het na en keurt het goed.

Dezelfde motor bevat ook andere compliance-registers: het register van AI-systemen onder de AI-verordening en registers voor de NIS2-richtlijn en voor DORA. Elke vermelding heeft een uitleg die het bijbehorende artikel noemt, en je kunt er bewijsstukken aan hangen. De tool ordent de informatie. De juridische beoordeling van wat een vermelding moet zeggen en of ze compleet is, blijft bij de jurist.

Functies

Verwerkingsregister (artikel 30 AVG)

Elke verwerkingsactiviteit is een vermelding met de elementen uit artikel 30, lid 1: het doel, de categorieën van betrokkenen en persoonsgegevens, de categorieën van ontvangers, doorgiften naar derde landen en de gebruikte waarborg, de beoogde wistermijnen en een algemene beschrijving van de beveiligingsmaatregelen. Er zijn aparte weergaven voor verwerkingsverantwoordelijken en verwerkers, want artikel 30, lid 2 vraagt voor verwerking in opdracht van anderen een ander register. Zie wat een verwerkingsregister moet bevatten.

Bewaring en doorgiften per vermelding

Bewaartermijn, rechtsgrond en doorgiftemechanisme leggen we vast bij de vermelding. Zo zijn je keuzes zichtbaar en kan iemand er vragen over stellen. Bewaartermijnen en internationale doorgiften worden zo een gedocumenteerde beslissing in plaats van een aanname.

Andere compliance-registers

De motor bevat ook registers voor de AI-verordening, NIS2 en DORA. Voor de AI-verordening is het register de inventaris van de systemen en hun classificatie. Het register en de beoordelingen voor de AI-verordening bouwen daarop voort, en risicoclassificatie legt de categorieën uit. Welk regime voor jou geldt, is een juridische vraag die we eerst beantwoorden. De motor beslist dat niet.

Uitleg die de artikelen noemt

Bij de velden staat een korte uitleg met het relevante artikel, zodat wie de vermelding invult weet wat de wet vraagt en waarom. Dat scheelt onvolledige vermeldingen en vragen aan de DPO.

Bewijsstukken

Documenten die een vermelding staven, zoals een verwerkersovereenkomst, een beleid, een screenshot van een configuratie of een beoordeling, upload je en hang je aan de vermelding die ze bewijzen. Vraagt de toezichthouder ernaar, dan ligt het bewijs bij de bewering.

Bewerken en goedkeuren

Je bewerkt vermeldingen in het klantenportaal. De advocaat of DPO kijkt de wijzigingen na en keurt ze goed. Elke goedgekeurde versie krijgt een datum.

Weergave van verwerkers en leveranciers

Verwerkers en leveranciers staan als vermeldingen gekoppeld aan de verwerkingen die ze ondersteunen, met de verwerkersovereenkomst erbij. Handig als je leveranciers beoordeelt, of moet laten zien wie welke gegevens verwerkt.

Wat je mag verwachten

• Een actueel verwerkingsregister, geëxporteerd als HTML of PDF, dat je op verzoek aan de Gegevensbeschermingsautoriteit kunt geven.
• Dezelfde export voor je registers onder de AI-verordening, NIS2 en DORA, als die voor jou gelden.
• Een gedateerde geschiedenis van goedgekeurde versies en gekoppelde bewijsstukken.
• Een lijst met openstaande punten: onvolledige vermeldingen, vermeldingen zonder bewaartermijn, doorgiften zonder vastgelegde waarborg.

Voorbeeld van begin tot eind

Neem een Mechels e-commercebedrijf dat start vanuit een spreadsheet. We nemen de bestaande regels over en de motor toont per regel welke verplichte elementen ontbreken. De marketingmanager vult in het portaal de vermeldingen aan voor de nieuwsbrief, de webshop en de klantendienst, kiest bewaartermijnen en voegt de leveranciersovereenkomsten toe als bewijs. De DPO bekijkt elke vermelding, vraagt een correctie bij een doorgifte naar een Amerikaanse leverancier en keurt de set goed. De export in HTML of PDF wordt gedateerd bewaard. Drie maanden later komt er een loyaliteitsapp bij: er ontstaat een nieuwe vermelding, gemarkeerd als wachtend op goedkeuring, en de export wordt opnieuw gemaakt zodra de DPO akkoord geeft.

Elke versie blijft beschikbaar. Je kunt dus laten zien wat het register op een bepaalde datum zei, bijvoorbeeld als een klantenaudit of een toezichthouder naar een eerdere periode vraagt.

Waar we het inzetten

Het register is de basis van onze DPO as a Service. We gebruiken het ook bij het opstellen of nakijken van verwerkersovereenkomsten, want elke verwerker hoort in het register. De registers voor AI-systemen ondersteunen ons werk rond naleving van de AI-verordening, en de vermeldingen over datasets en wederpartijen ondersteunen datalicenties en datadeling.

Vertrouwelijke inhoud wordt op onze eigen hardware afgeschermd voordat een cloud-AI het ziet; kan die check niet draaien, dan gaat er niets weg. Ons platform wordt in de EU gehost.