Deelproject 2.1 Opstellen verwerkingsregister

De AVG verplicht scholen om hun verwerkingsactiviteiten vast te leggen. Je kunt dit doen door het opstellen en bijhouden van een volledig en actueel verwerkingsregister. Het verwerkingsregister is een belangrijk middel bij het bewaken van de privacy van leerlingen en medewerkers en is onmisbaar bij het voldoen aan de verantwoordingsplicht.

Wat is een verwerkingsregister?

Verwerk je persoonsgegevensAlle gegevens waarmee direct of indirect een natuurlijk persoon (mens) kan worden geïdentificeerd. Het kan bijvoorbeeld gaan om een naam, BSN-nummer, geboortedatum, telefoonnummer of IP-adres.? Dan moet je je niet alleen aan de regels van de AVG houden, maar ook daadwerkelijk laten zien dat je dat doet. Dat heet de verantwoordingsplicht. Een van de manieren om aan de verantwoordingsplicht te voldoen is het bijhouden van een register van verwerkingsactiviteitenEen register met informatie over verwerkingen van persoonsgegevens., ook wel een verwerkingsregister. Dit is een verplicht document waarin je onder meer bijhoudt welke persoonsgegevens worden verwerkt, van wie die gegevens zijn, waarvoor ze worden gebruikt en wie er toegang toe heeft.

Belang van een verwerkingsregister

Scholen verwerkenAlles wat er met persoonsgegevens wordt gedaan, wordt in de wet verwerken genoemd. Verwerken is dus onder meer: online en offline persoonsgegevens verzamelen, kopiëren, opslaan, verspreiden, publiceren, delen én uitwisselen. Het maakt dus niet uit wat je doet met persoonsgegevens: alles noemen we verwerken en valt onder de wettelijke bescherming. veel persoonsgegevens. Onder andere van leerlingen, oudersWaar ouders staat worden de wettelijke vertegenwoordigers bedoeld: personen die de ouderlijke verantwoordelijkheid dragen voor het kind. Dit kunnen ook verzorgenden zijn., verzorgers en medewerkers. Denk aan leerlingdossiers, medische gegevens (bijvoorbeeld over allergieën), financiële informatie (bijvoorbeeld ouderbijdragen) en beeldmateriaal (schoolfoto’s, video’s). Een verwerkingsregister helpt in kaart te brengen welke gegevens je allemaal verwerkt en om te beoordelen of dat ook is toegestaan. Je laat zo zien dat je zorgvuldig met persoonsgegevens omgaat. Door een systematische en regelmatige aanpak te hanteren bij het verwerken van persoonsgegevens, blijf je als school bovendien in controle over je gegevensverwerkingen en wordt de privacy van betrokkenenDe personen van wie persoonsgegevens worden verwerkt. goed gewaarborgd.

Voordelen van een verwerkingsregister

Het verwerkingsregister is een handig hulpmiddel bij handelingen en activiteiten waarin er met persoonsgegevens wordt gewerkt.

• Het helpt bij het opstellen van privacyverklaringen, uitvoeren van gegevensbeschermingseffectbeoordelingen (DPIA’s) en het beheersen van risico’s, zoals beveiligingsincidenten en datalekken.
• Bij een incident helpt het register om snel te bepalen welke gegevens mogelijk zijn getroffen en welke herstelmaatregelen nodig zijn.
• Het maakt het mogelijk om beter om te gaan met verzoeken van betrokkenen – zoals inzageverzoeken – omdat direct duidelijk is welke gegevens waar zijn opgeslagen.
• Ook biedt het ondersteuning bij het monitoren van internationale gegevensdoorgifte. Worden persoonsgegevens overgedragen naar landen buiten de EU/EER? Dan kan je met hulp van het register aantonen hoe die overdracht verloopt en welke waarborgen zijn getroffen.

Wie doet wat

Bij het opstellen van een register van verwerkingsactiviteiten zijn verschillende rollen
betrokken met elk hun eigen taken:

• De schooldirectie of schoolbestuurHet schoolbestuur is het bevoegd gezag en daarmee eindverantwoordelijk voor alles dat met IBP te maken heeft. is meestal verwerkingsverantwoordelijkeDegene die het doel en de middelen bepaalt bij het verwerken van persoonsgegevens, zoals een schoolbestuur. en is eindverantwoordelijk voor het verwerkingsregister en ziet erop toe dat een register van verwerkingsactiviteiten wordt opgesteld.
• De proceseigenaar is verantwoordelijk voor een compleet register en het up-to-date ervan.
• De ict-coördinator, privacy officerIn het VO meestal betrokken bij de uitvoering van IBP. Deze rol kan ook afhankelijk van het soort onderwijs (PO of VO) en van de grootte van de organisatie, ook vervuld worden door een manager IBP, verantwoordelijke IBP, informatiemanager, security officer, functioneel beheerder, ICT-beheerder, ICT-coördinator of kwaliteitsmedewerker., IBP-verantwoordelijkeIn het PO meestal betrokken bij de praktische uitvoering van IBP. Deze rol kan afhankelijk van het soort onderwijs (PO of VO) en van de grootte van de organisatie, ook vervuld worden door een privacy officer, manager IBP, ICT-coördinator, informatiemanager, security officer, functioneel beheerder, ICT-beheerder of kwaliteitsmedewerker. en/of de informatiemanager ondersteunt, adviseert, coördineert en bewaakt de uitvoering.
• De Functionaris Gegevensbescherming (FGIemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de Algemene Verordening Gegevensbescherming (AVG).) controleert periodiek de volledigheid en actualiteit van het register.

Aan de slag

Met het volgen van onderstaande stappen zorg je dat je een verwerkingsregister opstelt en bijhoudt voor jouw organisatie volgens de regels van de AVG.

Voorbeelddocumenten