Het register van verwerkingen beheren en publiceren

NormenAVGWpg

Een register opzetten is te doen. Het actueel houden is waar het vastloopt: het team IB&P weet niet wanneer een proces verandert, en de afdeling vergeet dat het register bestaat. Deze procedure legt de actualiteit bij de lijn en maakt het onderhoud ritmisch.

Hoe het werkt#

De proceseigenaar (meestal de teammanager) is eindverantwoordelijk voor de actualiteit van de eigen verwerkingen, inclusief de risicoclassificatie en de status van DPIA's.
De kennishouder houdt de items bij namens de proceseigenaar. Een verouderingstermijn van zes maanden in de registertool stuurt automatisch een controlemail.
De privacy officer coördineert, maakt nieuwe verwerkingen aan, koppelt proceseigenaar en kennishouder, beheert de rechten en zorgt voor publicatie.
De FG toetst kwaliteit, actualiteit en volledigheid.

Elke gemeente heeft een eigen register in een gedeelde beheeromgeving; de privacy officers kunnen bij alle vier, een proceseigenaar alleen bij de eigen gemeente. Het Wpg-register staat apart, omdat het meer kolommen vraagt. Alle registers zijn gepubliceerd en via de privacyverklaring vindbaar voor inwoners.

Wat erin zit#

De procedure, met de RACI over elf taken en een bijlage die per veld uitlegt wat je invult: risicoclassificatie (laag, gemiddeld, hoog, met de koppeling aan de lijst verplichte DPIA), pre-DPIA- en DPIA-status, privacyovereenkomst, algoritme en geautomatiseerde besluitvorming, verwerkingsverantwoordelijke, bewaartermijnen, applicaties, leveranciers en doorgifte buiten de EER.

Wat dit niet is#

Geen sjabloon voor het register zelf: de IBD heeft een handreiking en een Wpg-basisregister. De procedure noemt de registertool bij naam omdat de werkwijze (verouderingstermijn, automatische mail, publicatiepagina) erop leunt; met een ander pakket werkt het op dezelfde manier als dat die functies heeft.

Licentie#

EUPL-1.2.