Houdt de onderneming een register van verwerkingsactiviteiten bij?

Register verwerkingsactiviteiten: vaak gevraagd, wisselend onderbouwd

Of de onderneming een register van verwerkingsactiviteiten bijhoudt, is per bedrijf verschillend en hangt af van de feitelijke situatie in het ketendossier: soms staat dit al vast als antwoord uit een eerdere vragenlijst, soms ontbreekt het bewijsstuk nog. Dit is een vraag die standaard voorkomt in vragenlijsten over privacy en gegevensbescherming, meestal in hetzelfde blok als de vragen over verwerkersovereenkomsten en datalekken. De klant die dit vraagt, wil meestal weten of er een document bestaat — niet hoe volledig het is.

Als het antwoord "ja" is, hoort daar een concreet bewijsstuk bij: het register zelf, of een uittreksel daarvan met de verwerkingen die relevant zijn voor de relatie met die klant. Ontbreekt dat stuk, dan is "nee" of "onbekend" het eerlijke antwoord — een register claimen zonder dat het systeem er een vindt, levert bij een steekproef van de klant meer vragen op dan een nee. Deze vraag staat vaak in hetzelfde rijtje als de vraag of de onderneming verwerkersovereenkomsten sluit met haar dienstverleners, en de twee antwoorden moeten onderling consistent zijn: een register zonder verwerkersovereenkomsten, of omgekeerd, valt op bij wie de lijst doorleest.

Waarom deze vraag inhoudelijk niet uit de CSRD volgt

De aangeleverde bron in dit dossier is Richtlijn (EU) 2022/2464 (CSRD), die gaat over duurzaamheidsrapportage en niet over een register van verwerkingsactiviteiten — dat begrip komt uit de AVG, niet uit de CSRD. Er is dus geen artikel uit deze richtlijn dat als onderbouwing dient voor deze vraag; het antwoord moet komen uit het ketendossier van de onderneming zelf, niet uit deze bron. Wie deze vraag samen met andere privacyvragen binnenkrijgt, herkent vaak dezelfde herkomst als bij de vraag over de statutaire naam van de onderneming: een vast blok basisgegevens dat door bijna elk klantportaal wordt opgevraagd, los van de vraag of de onderliggende regelgeving daadwerkelijk verplicht is voor deze onderneming.