Ga terug naar de hoofdpagina van de richtsnoeren inzake gegevensbescherming voor de organisatoren
Richtsnoeren inzake gegevensbescherming — vraag 7
Hoe moet u een gegevensverwerkingsregister opstellen?
Van toepassing op scenario 2 (de vertegenwoordiger treedt op als de enige verwerkingsverantwoordelijke), behalve wat betreft het gebruik van de bestandenuitwisselingsdienst van de Commissie
Het is wettelijk verplicht om een register bij te houden, vooral wanneer gevoelige gegevens worden verwerkt.
Een register van verwerkingsactiviteiten is een schriftelijk document, dat met name moet bestaan uit:
- de naam en de contactgegevens van de verwerkingsverantwoordelijke, evenals de functionaris voor gegevensbescherming, indien van toepassing;
- de categorieën van de betrokkenen en de categorieën van de verwerkte persoonsgegevens;
- de doeleinden van de verwerking en de referenties van het betrokken initiatief;
- de ontvangers van de persoonsgegevens, d.w.z. de personen aan wie de gegevens zijn of zullen worden verstrekt (hier: alleen de bevoegde nationale instanties voor verificatie en certificering van steunbetuigingen);
- de datums en kanalen van deze overdrachten;
- de gestelde termijnen voor het wissen van de gegevens;
- een algemene beschrijving van de technische en organisatorische veiligheidsmaatregelen, zoals versleuteling, herstelvermogen, tests en maatregelen ter waarborging van vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, fysieke beveiliging (zie vragen over beveiliging wanneer steunbetuigingen op papier worden verzameld en de verzamelde steunbetuigingen ter verificatie worden doorgestuurd naar de lidstaten.
OPMERKING:
U hoeft geen afzonderlijk register op te stellen voor verwerkingsactiviteiten die onder de gezamenlijke verantwoordelijkheid met de Commissie worden uitgevoerd, aangezien die reeds vallen onder het door de Commissie opgestelde register van verwerkingsactiviteiten (zie scenario 1) en het gebruik van de bestandenuitwisselingsdienst van de Commissie in het kader van scenario 2. U moet in uw eigen documentatie/website een link naar het register van de Commissie opnemen.
Referenties:
- artikel 30 AVG;
- artikel 31 van de EU-gegevensbeschermingsverordening.
