AVG en verwerkingsregister horen bij elkaar: de registratie moet duidelijk maken welke verwerking plaatsvindt en wie daarvoor verantwoordelijk is.
Een verwerkingsregister is moeilijk bruikbaar te houden als bewijs elders staat, eigenaren onduidelijk zijn en verwerkingen losstaan van systemen, gebruikers, leveranciers en teams.
ITLedger helpt privacydocumentatie te onderhouden als gestructureerde, controleerbare informatie. Gegevensprofielen ondersteunen het verwerkingsregister; relaties, bestanden, historie en rapportages verbinden het met ITAM, CMDB en ITSM.
De volledige AVG/ROPA-module valt binnen het ITLedger-abonnement: EUR 69 per agent per maand exclusief btw, minimaal drie agents en jaarlijkse facturatie. Bekijk prijzen en documentatie voor je inrichting.
ITLedger organiseert bewijs en eigenaarschap. Juridische beoordeling blijft bij je privacyverantwoordelijke, functionaris gegevensbescherming of juridisch adviseur.
Vragen voor IT en compliance
Privacyregistraties worden vaak buiten dagelijkse IT-tools onderhouden. Daardoor ontstaan gaten bij controles:
- Bij welke verwerking hoort dit systeem en wie is verantwoordelijk?
- Welke verwerkers, ontvangers, contacten, teams en leveranciers zijn betrokken?
- Welke gegevens worden verwerkt, waar gaan ze heen en hoe lang blijven ze bewaard?
- Welke waarborgen, beveiligingsmaatregelen, DPIA’s, belangenafwegingen en privacyverklaringen bestaan?
- Wat veranderde sinds de vorige beoordeling?
- Kunnen we het register exporteren zonder het opnieuw samen te stellen?
ITLedger brengt die antwoorden dichter bij de gegevens die IT al beheert.
Signalen dat de werkwijze verbetering nodig heeft
Het register staat in een spreadsheet die maar enkele mensen begrijpen. Gegevensinventaris en stromen worden afzonderlijk bijgehouden. Doorgiften en waarborgen raken uit beeld. Bewijs en beoordelingsnotities staan in losse mappen. Een audit vraagt telkens opnieuw om het reconstrueren van beslissingen.
Daarbij beheert IT veel van de onderliggende systemen, terwijl privacydocumentatie buiten dat werk blijft. Management heeft juist behoefte aan een overzicht van status en ontbrekende informatie.
Gegevensprofielen voor verwerkingen
Een profiel bevat onder meer naam, rol, status, beschrijving, versie, geldigheidsdatums, doel, scope, grondslag, inventaris, stromen, doorgiften, waarborgen, beveiliging en bewaring. De invoer toont per onderdeel wat nog ontbreekt.
Partijen en eigenaarschap
Koppel verantwoordelijken, verwerkers, ontvangers, vertegenwoordigers, functionarissen gegevensbescherming, teams en gebruikers aan bestaande registraties. Zo blijven verantwoordelijkheden vindbaar en onderhoudbaar.
Bewijs bij de registratie
Voeg DPIA-notities, belangenafwegingen, privacyverklaringen, leveranciersdocumenten, beleid en ander beoordelingsmateriaal toe. Het wordt dan duidelijk op welke informatie een beslissing gebaseerd is.
Export van het verwerkingsregister
ROPA betekent Record of Processing Activities: het register van verwerkingsactiviteiten. Artikel 30 AVG beschrijft de registratieplicht en de benodigde informatie. Laat de toepasselijkheid voor je organisatie beoordelen.
Een register veroudert wanneer systemen, leveranciers, eigenaren en gegevensstromen veranderen. ITLedger maakt export mogelijk vanuit de onderhouden gegevensprofielen, partijen, assets en relaties. Controleer volledigheid en juistheid voordat je een export als compliancebewijs gebruikt.
Historie, dashboards en rapportages ondersteunen die controle. Dezelfde bewijsstructuur kan ook helpen bij NIS2, kwetsbaarheden, certificaten en contracten.
Voorbeeld: een nieuwe HR-applicatie
- Maak een conceptgegevensprofiel voor de verwerking.
- Leg doel, scope, grondslag, eigenaarsteam, gebruikers en betrokken partijen vast.
- Beschrijf de gegevensinventaris en verbind die met gegevensstromen.
- Leg bestemmingen, doorgiftewaarborgen, beveiliging en bewaring vast.
- Voeg DPIA-notities, leveranciersinformatie en ander bewijs toe.
- Laat het profiel beoordelen en werk de status bij.
- Gebruik historie, export en rapportages bij volgende controles.
De verwerking, onderbouwing en verantwoordelijken blijven zo verbonden.
Wat een bruikbaar register bevat
Heldere namen, doelen, rollen, statussen, eigenaren en datums vormen de basis. Partijen zijn consequent gekoppeld, inventaris en stromen zijn samen beschreven en grondslagen en bewaartermijnen zijn beoordeeld. Relevante doorgiften en waarborgen zijn zichtbaar. Bewijs en wijzigingshistorie maken de beoordeling navolgbaar.
Een rapportage moet ook ontbrekende informatie laten zien. Een ingevuld veld of gegenereerde export bewijst op zichzelf geen naleving.
Voor wie dit past
Deze aanpak past bij IT-managers die de systemen achter privacyregistraties beheren, complianceverantwoordelijken die een operationeel register willen en teams die audits, leveranciersbeoordelingen of managementreviews voorbereiden.
Het past minder als je uitsluitend juridisch advies zoekt, alleen een eenmalige export nodig hebt, het register volledig in een ander GRC-platform moet blijven of niemand eigenaarschap en periodieke beoordeling kan oppakken.
De praktische uitdaging
Een registerrij aanmaken is eenvoudig. Zes maanden later kunnen aantonen welk systeem, welke leverancier, eigenaar, documentatie en beslissing erachter zitten, vraagt om onderhoud en samenhang.
Verder lezen
- Productfuncties: gegevensprofielen, CMDB, documenten, historie en rapportages.
- Prijzen en vergelijkingen.
- Handleidingen voor inrichting en onderhoud.
- Artikelen over AVG, NIS2 en IT-beheer.
- Contact om je werkwijze te bespreken.
- Alle toepassingen en MSP-dienstverlening.