Het AVG Verwerkingsregister  is een overzicht van de onderneming waarin alle handelingen die betrokken zijn bij de verwerking van een of meer persoonsgegevens. De  invoering van deze nieuwe privacywetgeving, de Algemene Verordening Gegevensverwerking (AVG), brengt een aantal verplichtingen voor ondernemers met zich mee. Ondernemers moeten nu kunnen aantonen welke persoonsgegevens zij verwerken, in welke processen, handelingen of werkzaamheden ze dit doen.

Afhankelijk van de soort onderneming kan dit uitgebreider of eenvoudiger zijn.

Als ondernemer moet je aangeven welke persoonsgegevens je met bepaalde processen verwerkt. Zo kunnen we een onderscheid maken in interne processen, dus bijvoorbeeld de handelingen waarbij gegevens alleen intern verwerkt worden, en gegevens die ook (deels) extern verwerkt worden.

Het verwerkingsregister ziet voornamelijk op de bewerkingen waarbij daadwerkelijk persoonsgegevens verwerkt worden. Interne en persoonlijke notities worden niet gezien als een bewerking en hoeven niet opgenomen in het verwerkingsregister.

Daar komt bij dat wanneer iets onder een beroepsgeheim valt, ook niet in een AVG Verwerkingsregister opgenomen hoeft te worden.

Het is toch altijd belangrijk om alles op te nemen volgens de AVG Verordening. Dit kun je verder uitbreiden, zolang je maar de minimaal vereiste informatie in het AVG Verwerkingsregister zet.

Sinds de invoering van de AVG moet jouw onderneming, op het moment dat de Autoriteit Persoonsgegevens jou verzoekt om een overzicht van alle verwerkingen die jouw onderneming doet, moet je dit direct kunnen aantonen. Het overzicht geeft aan welke processen er zijn in jouw onderneming en hoe jouw onderneming daarmee omgaat. Dit kun je zo uitgebreid maken als je wilt, zolang je maar voldoet aan de minimale vereisten die de AVG eraan stelt. Het is daarom altijd handig om al die verwerkingen in een overzicht te zetten.

Het AVG Verwerkingsregister geeft in een overzicht weer welke persoonsgegevens zij ontvangt van haar klanten, ook wel betrokkenen genoemd. Daar komt bij dat alleen die persoonsgegevens, die strikt noodzakelijk zijn, verwerkt mogen worden en ook direct verwijderd moeten worden zodra het doel bereikt is, of anderszins niet meer nodig zijn om een doel te bereiken.

Je zal dan ook moeten aangeven met welk doel de gegevens verzamelt worden. Zo is het voor iedereen duidelijk dat contactgegevens verzamelt worden om contact met de klant te kunnen hebben. Hiervoor zul je als onderneming wel een expliciete toestemming voor hebben van de klant.

Deze toestemming moet schriftelijk gedaan zijn, en opgenomen worden in het AVG Verwerkingsregister of een ander overzicht waarbij je direct kunt aantonen hoe en wanneer je toestemming van je klant hebt gekregen om zijn persoonsgegevens te verwerken.

Ook zul je moeten aangeven hoe lang je de persoonsgegevens bewaard (bewaartermijnen), of de persoonsgegevens worden doorgegeven aan derden. Als dat zo is, zul je met deze personen een AVG verwerkersovereenkomst moeten aangaan. Ook is het belangrijk om na te gaan of deze verwerkers de gegevens in de EU of buiten de EU (en EER) verwerken, dit in verband met de specifieke (beveiliging)maatregelen die je zal moeten nemen.

Daarnaast zijn er nog een aantal andere belangrijke elementen die cruciaal zijn voor het AVG Verwerkingssregister.

Het is verplicht om een AVG Verwerkingsregister te laten zien zodra hierom gevraagd wordt. Wanneer je geen AVG Verwerkingsregister hebt, loop  je een risico op een boete. Daarnaast is het zo dat een onvolledige of onvoldoene AVG Verwerkingsregister ook niks oplevert.

De Autoriteit Persoonsgegevens zal je een boete of een last onder dwangsom opleggen als je niet aan de eisen kan voldoen. Concreet betekent dat het niet voldoen aan de vereisten een boete van tientallen duizenden euro's kan opleveren. Je kan dus maar beter een goed AVG Verwerkingsregister laten controleren of opstellen door deskundige juristen!