Register van ver­wer­kings­ac­ti­vi­tei­ten

Het is vooreerst belangrijk om te weten wat persoonsgegevens zijn en wanneer er sprake is van de verwerking van persoonsgegevens.

Persoonsgegevens zijn alle gegevens die informatie bevatten over een geïdentificeerd persoon of een persoon die identificeerbaar is, dat wil zeggen die onderscheiden kan worden binnen een bepaalde groep, de zogenaamde betrokkenen. Het gaat om iemands naam, (privé of professioneel) adres, telefoonnummer, e-mailadres, diens persoonlijke situatie, beroepsprestaties, lidmaatschap, rekeningnummer, locatie, … Ook een IP adres dat via een cookie wordt verzameld of een rijksregisternummer is een persoonsgegeven.

Het is irrelevant of de gegevens objectief of subjectief zijn, juist of fout, bewezen of onbewezen, publiek beschikbaar, etc. Het moet wel gaan om een levende, natuurlijke persoon. Gegevens over een overledene of een rechtspersoon zijn geen persoonsgegevens in de zin van de AVG. Let uiteraard wel op met de gegevens over bijvoorbeeld een eenmanszaak. Die zullen ook vaak informatie bevatten over de natuurlijke persoon ‘achter’ de eenmanszaak.

Er is sprake van de verwerking van persoonsgegevens wanneer de persoonsgegevens worden geraadpleegd, verzameld, doorgegeven, ter beschikking gesteld of op gelijk welke andere manier worden gebruikt op voorwaarde dat dit ‘gebruik’ verloopt via een geautomatiseerd proces, bijvoorbeeld via een computer of een router, of via een gestructureerd papieren bestand. De gegevensbeschermingsautoriteiten zijn al snel van oordeel dat er sprake is van verwerking. Ook (handgeschreven) notities van een telefoongesprek, de evaluatie van een medewerker, etc. betreft de verwerking van persoonsgegevens.

Het register van verwerkingsactiviteiten omschrijft alle verwerkingen. Het moet met name de volgende zaken omvatten (artikel 30 AVG): de naam en contactgegevens van de advocaat en/of zijn kantoor, desgevallend ook de naam en contactgegevens van de functionaris voor gegevensbescherming, de verwerkingsdoeleinden, de categorieën van betrokkenen en de categorieën van persoonsgegevens, de categorieën van verwerkers, gezamenlijke verwerkingsverantwoordelijken en andere ontvangers en desgevallend dat zij buiten de EER gevestigd zijn, (een verwijzing naar) de relevante documenten voor doorgiftes buiten de EER, de bewaartermijnen en een algemene omschrijving van de technische en organisatorische beveiligingsmaatregelen.

Het register van verwerkingsactiviteiten is de eerste informatiebron voor de toezichthoudende autoriteit. Het dient als eerste bewijsmiddel van de advocaat om aan te tonen dat hij/zij conform de AVG persoonsgegevens gebruikt. Het is dan ook van bijzonder belang om dat register op te stellen en bij te houden.

1. Aanbevelingen en modelregisters

2. Identificatie van en informatie omtrent de verschillende soorten verwerkingsactiviteiten

We hebben een lijst opgesteld met de meest gebruikelijke doeleinden waarvoor een advocatenkantoor persoonsgegevens verwerkt.

Per doeleinde is een verwerkingsfiche beschikbaar met concrete informatie die u kan opnemen in uw register voor zover van toepassing op uw kantoor.

Elke verwerkingsfiche bevat concrete informatie voor één of meerdere van de volgende zaken, voor zover daarvoor een bijzonder aandachtspunt bestaat voor de advocaat:

• De omschrijving van het doel van de verwerking, met in begrip van relevante categorieën van persoonsgegevens en bewaartermijn;
• De identificatie van de categorieën van betrokkenen (bijvoorbeeld cliënten, werknemers);
• De meest geschikte grondslag(en) voor de verwerking;
• De verplichtingen inzake transparantie en rechten van betrokkenen;
• (De kwalificatie van) de ontvangers (bijvoorbeeld de advocaat van de tegenpartij, gerechtelijke instanties, de tegenpartij zonder advocaat) en (indien van toepassing) specifieke richtsnoeren/verplichtingen inzake de vereiste contractuele afspraken;
• De analyse van de noodzaak tot de aanstelling van een DPO;
• De analyse van de noodzaak tot het opstellen (en de eventuele uitwerking) van een gegevensbeschermingseffectbeoordeling;
• Andere technische en organisatorische maatregelen die nuttig/verplicht zijn.

U kan de informatie in deze fiches, voor zover die correct is voor uw verwerkingen, overnemen in uw register.