Regels
Wie een verwerkingsregister moet bijhouden, welke velden erin horen en hoe een regel voor een AI-assistent eruitziet, met een uitgewerkt fictief voorbeeld.
Een verwerkingsregister is het schriftelijke overzicht van alle verwerkingen van persoonsgegevens waarvoor je organisatie verantwoordelijk is. Per verwerking leg je vast wie verantwoordelijk is, waarvoor je de gegevens gebruikt, over wie ze gaan, welke soorten gegevens het zijn, wie ze ontvangt, of ze de EU verlaten, hoe lang je ze bewaart en hoe je ze beveiligt.
De AVG noemt het een "register van de verwerkingsactiviteiten". De plicht staat in artikel 30 van de AVG. Het is een intern document, iets anders dan de privacyverklaring voor de buitenwereld, waarmee je kunt laten zien dat je weet wat je met persoonsgegevens doet. De Autoriteit Persoonsgegevens (AP) rekent het tot de verplichte maatregelen van de verantwoordingsplicht, naast onder meer de DPIA, het datalekregister en de privacyverklaring.
Volgens artikel 30 lid 1 houdt elke verwerkingsverantwoordelijke een register bij van de verwerkingen die onder zijn verantwoordelijkheid plaatsvinden. Lid 2 legt een vergelijkbare plicht op de verwerker. De uitzondering staat in lid 5.
Lid 5 zegt dat de plichten niet gelden voor ondernemingen of organisaties die minder dan 250 personen in dienst hebben. Daarop volgt een "tenzij" met drie situaties:
Is één van de drie van toepassing, dan geldt de registerplicht ook voor een kleine organisatie.
De AP schrijft dat verwerkingen in de praktijk zelden incidenteel zijn, en noemt als voorbeeld de gegevens van je eigen medewerkers, klanten, cliënten, patiënten of inwoners. Wie personeel of vaste klanten heeft, heeft dus vrijwel altijd een registerplicht. Op de vraag van een kleine zorgpraktijk of een register verplicht is, antwoordt de AP: ja, meestal wel.
De Europese Commissie heeft voorgesteld om lid 5 aan te passen. Volgens het bericht van de EDPB en de EDPS over hun gezamenlijke advies van 9 juli 2025 zou de uitzondering dan gelden voor organisaties met minder dan 750 werknemers, tenzij de verwerking waarschijnlijk een hoog risico inhoudt. Op 13 oktober 2026 hebben wij geen aangenomen tekst van die wijziging gevonden. Tot het zover is, geldt artikel 30 zoals het hierboven staat. Loop de stand na voordat je er een besluit op baseert.
Artikel 30 lid 1 somt zeven onderdelen op, van a tot en met g. De tabel hieronder zet ze naast wat je invult en naast een voorbeeld voor een AI-tool. Het voorbeeld is fictief.
| Veld (artikel 30 lid 1) | Wat je invult | Voorbeeld voor een AI-tool |
|---|---|---|
| a. Naam en contactgegevens | De verantwoordelijke, eventuele gezamenlijke verantwoordelijken, de vertegenwoordiger en de FG als je die hebt | Voorbeeldkantoor Noord B.V., contact via de privacyverantwoordelijke; geen FG aangesteld |
| b. Verwerkingsdoeleinden | Waarvoor je de gegevens gebruikt, zo concreet dat een buitenstaander het begrijpt | Dossiers doorzoeken en samenvatten met een AI-assistent om vragen van behandelaars te beantwoorden |
| c. Betrokkenen en gegevens | De groepen mensen en de soorten persoonsgegevens | Cliënten, wederpartijen, contactpersonen, medewerkers; naam, adres, contactgegevens, dossierinhoud, soms gezondheidsgegevens |
| d. Ontvangers | Aan welke soorten ontvangers je de gegevens verstrekt, ook buiten de EU | Eigen medewerkers met toegang tot het dossier; de aanbieder van de AI-assistent als verwerker; diens subverwerkers |
| e. Doorgifte | Of gegevens naar een land buiten de EER gaan, naar welk land, en bij de bijzondere doorgifte uit artikel 49 lid 1, tweede alinea, de documenten over de waarborgen | Verenigde Staten, voor zover de aanbieder daar verwerkt; de grondslag voor de doorgifte volgens het contract |
| f. Bewaartermijnen | Indien mogelijk: binnen welke termijn je de categorieën gegevens wist | Gesprekken en geüploade bestanden volgens de instelling van het abonnement; dossiers volgens de eigen bewaartermijn |
| g. Beveiliging | Indien mogelijk: een algemene beschrijving van de technische en organisatorische maatregelen | Zakelijk account met tweestapsverificatie, toegang per project, pseudonimisering vóór gebruik, logging, training van medewerkers |
De woorden "indien mogelijk" staan alleen bij de bewaartermijnen en bij de beveiliging. Ze zijn geen vrijbrief om die velden leeg te laten. Weet je de bewaartermijn nog niet, schrijf dan op hoe je haar bepaalt en wanneer je dat doet.
Artikel 30 noemt de grondslag van de verwerking niet. Veel organisaties nemen haar toch op, samen met de naam van de verwerker, een verwijzing naar de verwerkersovereenkomst en de vraag of er een DPIA is gedaan. Dat is een keuze. De AP zegt daarover dat je zelf mag weten hoe je het register opstelt, zolang de voorgeschreven informatie erin staat. Het register moet volgens lid 3 wel in schriftelijke vorm zijn, en elektronisch telt daarbij mee. Een spreadsheet voldoet aan die vormeis.
Verwerk je gegevens in opdracht van een ander, bijvoorbeeld als administratiekantoor of als aanbieder van een online dienst, dan houd je volgens lid 2 een eigen register bij. Dat is korter en heeft vier onderdelen.
Veel organisaties zijn beide: verantwoordelijke voor de eigen personeelsadministratie en verwerker voor een klant. Dan heeft het register twee delen. Wat je met de aanbieder van een AI-tool afspreekt, lees je in het artikel over de verwerkersovereenkomst met een AI-aanbieder.
De AP legt op haar pagina over de verantwoordingsplicht uit wie een register moet bijhouden en wat erin staat. Drie punten zijn voor de praktijk van belang.
Volgens artikel 30 lid 4 stel je het register desgevraagd ter beschikking van de toezichthoudende autoriteit. Je hoeft het dus niet in te sturen of te publiceren. Je moet het wel kunnen laten zien op het moment dat de AP erom vraagt. Een register dat je pas na zo'n verzoek gaat opstellen, komt te laat.
Het overzicht van verwerkingen is volgens de AP de verantwoordelijkheid van de organisatie zelf en geen taak van de functionaris gegevensbescherming. De FG houdt er toezicht op. In de praktijk houden FG's wel vaak een lijst bij, vooral van risicovolle verwerkingen. Wie in een organisatie waarvoor verantwoordelijk is, staat in het artikel over AI-governance.
In juli 2026 publiceerde de AP een hulpmiddel voor de inzet van generatieve AI, samen met haar advies over Microsoft 365 Copilot bij een gemeente. Het eerste onderdeel van dat hulpmiddel is het verwerkingsregister. De AP raadt aan het register vóór de inzet van generatieve AI te controleren, waar nodig te actualiseren en als basis te gebruiken om in te schatten welke bestaande verwerkingen worden geraakt. In het advies staat dat het register in ieder geval globaal moet laten zien op welke verwerkingen de inzet van een generatief AI-systeem invloed heeft, en dat een organisatie die zo'n systeem gebruikt in ieder geval een register moet hebben, zeker als het systeem bij bestanden met persoonsgegevens kan.
Ja, zodra er persoonsgegevens in terechtkomen: een naam in een vraag, een e-mail die je laat herschrijven, een dossier dat je uploadt. Het register beschrijft verwerkingen, geen software. Toch is een AI-tool bijna altijd een aanleiding om het register aan te passen, op twee manieren.
Gebruik je een AI-assistent om dossiers te doorzoeken, dan is dat een eigen verwerking met een eigen doel, eigen ontvangers en vaak een eigen bewaartermijn. Die krijgt een eigen regel. Het uitgewerkte voorbeeld staat hieronder.
De AP wijst erop dat generatieve AI doorgaans nieuwe verwerkingen meebrengt en ertoe kan leiden dat bestaande verwerkingen anders worden uitgevoerd. Krijgt een assistent toegang tot je documentomgeving, dan raakt dat de regels voor personeelszaken, klantdossiers en klachten tegelijk. Bij elk van die regels verandert de lijst van ontvangers, en soms de doorgifte.
Een register kan alleen beschrijven wat de organisatie weet. Gebruiken medewerkers een privéaccount, dan staat die verwerking nergens. Daarover gaat het artikel over shadow AI. Welke abonnementen een verwerkersovereenkomst hebben en welke niet, staat in de vergelijking van abonnementen.
Dit voorbeeld is fictief. Voorbeeldkantoor Noord is een verzonnen adviesbureau met veertig medewerkers dat een AI-assistent gebruikt om in afgesloten en lopende dossiers te zoeken.
De termijnen en data in dit voorbeeld zijn verzonnen. Vul nooit een bewaartermijn in die je niet in de voorwaarden of de instellingen van je eigen abonnement hebt gezien.
De regel is concreet: er staat ook in wat er níét in gaat, en er staat een datum bij alles wat kan veranderen. Of gezondheidsgegevens in zo'n tool horen, is een aparte vraag die je eerst beantwoordt. Zie het artikel over bijzondere persoonsgegevens.
De AP schrijft in haar advies dat het register zijn doel alleen bereikt als het volledig is en regelmatig wordt bijgewerkt. Een vast ritme werkt beter dan goede voornemens.
Overheden hebben daarnaast een eigen instrument voor algoritmes. Dat is iets anders dan het verwerkingsregister en wordt uitgelegd in het artikel over het Algoritmeregister en het IAMA.
PrivaSearch pseudonimiseert persoonsgegevens in documenten voordat een AI-assistent erin zoekt. Die verwerking hoort zelf ook in je register. Daarom maakt je omgeving in PrivaSearch een registervermelding voor deze ene verwerking: doel, betrokkenen, gegevenscategorieën, ontvangers, doorgifte, bewaartermijn en maatregelen. De regel is bedoeld om in je eigen register te plakken.
De regel komt uit één formulier, samen met drie andere documenten: een AI-beleid, een DPIA-startdocument en de uitgeschreven grondslag met belangenafweging. Ze worden deterministisch opgesteld, zonder taalmodel. De inhoud volgt de inrichting van je eigen omgeving, zodat er geen maatregel in staat die niet aanstaat. Welke documenten dat zijn en wat erin staat, lees je op de pagina over de AVG en de AI Act.
Het zijn startdocumenten en geen juridisch advies. De rest van je verwerkingsregister, het advies van je functionaris gegevensbescherming en de formele vaststelling blijven van jou. PrivaSearch vult dus één regel voor, niet je hele register.
Wat er in die regel bij ontvangers en doorgifte komt te staan, hangt af van wat je koppelt. Hoe de pseudonimisering en de verplichte review werken, staat op de pagina over de werking. Wat een gekoppelde assistent wel en niet te zien krijgt, staat op de pagina over AI-chatbots en de AVG. De partijen die bij de verwerking betrokken zijn, vind je in het subverwerkersoverzicht. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens, dus de regel blijft nodig. Wil je zien hoe de registervermelding eruitziet, vraag dan een demo aan.
Meestal wel. De uitzondering voor organisaties met minder dan 250 mensen in dienst vervalt als de verwerking niet incidenteel is, een risico inhoudt voor de betrokkenen of bijzondere of strafrechtelijke gegevens betreft. Een personeelsadministratie of een klantenbestand is niet incidenteel. De Autoriteit Persoonsgegevens schrijft dat verwerkingen in de praktijk zelden incidenteel zijn. Wie personeel of vaste klanten heeft, houdt dus vrijwel altijd een register bij.
Voor de verantwoordelijke zijn het zeven onderdelen: naam en contactgegevens, de doelen van de verwerking, de categorieën van betrokkenen en van persoonsgegevens, de categorieën van ontvangers, doorgifte naar landen buiten de EER, de bewaartermijnen en een algemene beschrijving van de beveiliging. Bij de laatste twee staat "indien mogelijk". Een verwerker houdt een korter register bij met vier onderdelen.
In dit artikel staat een fictieve regel voor een AI-assistent die dossiers doorzoekt, met alle zeven wettelijke velden en een paar velden die niet verplicht zijn. Gebruik de opzet en vul je eigen gegevens in. De bewaartermijn, de ontvangers en de doorgifte verschillen per aanbieder en per abonnement. Neem ze over uit je eigen contract en instellingen, met een peildatum erbij.
Nee. Je hoeft het register niet in te dienen en niet te publiceren. Je moet het wel ter beschikking kunnen stellen als de toezichthouder erom vraagt. Het moet daarom bestaan, in schriftelijke of elektronische vorm, en actueel zijn op het moment van de vraag.
De organisatie. Volgens de Autoriteit Persoonsgegevens is het overzicht van gegevensverwerkingen de verantwoordelijkheid van de organisatie zelf en geen taak van de functionaris gegevensbescherming. De FG houdt toezicht op het register en kan adviseren. In de praktijk beheert vaak een privacy officer of een medewerker bedrijfsvoering het document, met per regel een eigenaar uit de afdeling die de verwerking uitvoert.
De wet noemt geen termijn. Het register moet kloppen met wat je doet, dus elke nieuwe verwerking, tool, leverancier of bewaartermijn is een wijziging. Praktisch werkt een vaste controle, bijvoorbeeld elk kwartaal voor regels met een externe leverancier en jaarlijks voor de rest. Bij AI-tools veranderen voorwaarden en subverwerkers geregeld, dus zet een peildatum bij die regels.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →