De GDPR stelt dat de verwerkingsverantwoordelijke een verantwoordingsplicht heeft.
Hij moet dus kunnen aantonen dat hij verwerkingen van persoonsgegevens uitvoert in overeenstemming met de GDPR.
Maar het is niet enkel omwille van de GDPR dat men zijn verwerkingen inzake persoonsgegevens moet documenteren.
Er zijn immers nog andere redenen waarom een verwerkingsverantwoordelijke best zijn activiteiten rond het verwerken van persoonsgegevens documenteert.
Door de GDPR opgelegde verplichtingen
In dit onderdeel zal kort worden ingegaan op sommige van de verplichtingen die aan verwerkingsverantwoordelijken worden opgelegd inzake documentatie.
Naleving van de basisbeginselen
Zoals hierboven reeds werd aangegeven definieert de GDPR in art.5 de beginselen inzake de verwerking van persoonsgegevens.
Persoonsgegevens moeten volgens deze bepaling immers rechtmatig, transparant, voor een specifiek doel bedoeld verwerkt zijn, minimaal, juist, opslagbeperkend etc. worden verwerkt.
Punt 2 stelt daarbij expliciet dat de verwerkingsverantwoordelijke de naleving van deze bepaling moet kunnen aantonen, de zogenaamde verantwoordeingsplicht.
Dit betekent dat verwerkingsverantwoordelijken het voldoen aan deze basisbeginselen zal moeten documenteren, en best zo gedetailleerd mogelijk.
Aangezien gegevensverwerkingen zelden of nooit statische activiteiten zijn, moet de verwerkingsverantwoordelijke op gepaste tijdstippen zijn documentatie reviewen, en waar nodig aanpassen.
Dit vereist dat verwerkingsverantwoordelijken regelmatig, bijvoorbeeld jaarlijks, een audit uitvoeren of laten uitvoeren op hun gegevensverwerkingen; om na te gaan of hun gegevensverwerkingen inzake persoonsgegevens nog in lijn zijn met de GDPR.
Toestemming van de betrokkene
In sommige gevallen is de rechtsgrond waarop een verwerkingsverantwoordelijke zich baseert voor een bepaalde verwerking van persoonsgegevens de toestemming van de betrokkene.
Zo bepaalt de GDPR bijvoorbeeld dat het verwerken van bijzondere categorieën van persoonsgegevens, zoals geloofsovertuigingen, het lid zijn van een vakbond, gezondheidsgegevens, … normaal niet mogen worden verwerkt, tenzij de betrokkene uitdrukkelijk toestemming daarvoor heeft gegeven.
Het is daarom voor de verwerkingsverantwoordelijke enorm belangrijk dat deze expliciete toestemming duidelijk en ondubbelzinnig voor iedere verwerking en per betrokkene werd gedocumenteerd, zodat men er zich achteraf op kan baseren wanneer er problemen ontstaan.
Helaas blijkt dit in de praktijk niet steeds te gebeuren.
Genomen passende maatregelen
Verwerkingsverantwoordelijken moeten passende technische en organisatorische maatregelen nemen om te kunnen waarborgen dat zij handelen in overeenstemming met de GDPR.
Zij moeten met andere woorden deze maatregelen kunnen aantonen, hetgeen documentatie vereist, evalueren en waar nodig aanpassen.
Dit kan bijvoorbeeld door jaarlijks een audit uit te voeren of te laten uitvoeren om te kijken of de ooit genomen maatregelen nog al dan niet actueel zijn.
Dergelijke documentatie kan o.a. de volgende elementen bevatten:
- een beschrijving van de verwerking;
- de mogelijke risico’s voor de betrokkenen die de verwerking met zich meebrengt;
- de technische maatregelen die werden genomen om de geïdentificeerde risico’s te elimineren of te beperken, zoals bijvoorbeeld de keuze van bepaalde toegangstechnieken, de keuze van bepaalde soorten van versleuteling van gegevens;
- de organisatorische maatregelen die werden genomen om de geïdentificeerde risico’s te elimineren of te beperken, zoals bijvoorbeeld wie binnen de organisatie toestemming moet gegeven voor toegang en wie de toegang effectief technisch activeert;
- de adviezen van de DPO, indien van toepassing;
- de reden(en) om de adviezen van de DPO niet na te leven.
Dergelijke informatie kan in sommige gevallen reeds, en zou het ook reeds moeten zijn, opgenomen zijn in de DPIA dat de verwerkingsverantwoordelijke heeft opgesteld voor een bepaalde verwerking.
Verantwoordelijkheden onder verwerkingsverantwoordelijken
In gevallen waarbij er meerdere verwerkingsverantwoordelijken zijn doen verwerkingsverantwoordelijken er best aan hun onderscheiden verantwoordelijkheden te documenteren in een overeenkomst.
Ook dit gebeurt helaas niet altijd in de praktijk.
In sommige gevallen beseft men zelfs niet eens dat er meerdere verwerkingsverantwoordelijken zijn.
Dergelijke situaties komen o.a. voor bij ledenorganisaties die lid zijn van een overkoepelend orgaan.
Verwerkingsverantwoordelijken dienen er zich van bewust te zijn dat problemen zich zelden onmiddelijk manifesteren.
Het correct documenteren van de onderscheiden verantwoordelijkheden is daarom niet enkel belangrijk om te weten wie voor wat verantwoordelijk is, maar ook om de eventuele aansprakelijkheid te bepalen in geval er later problemen opduiken.
Bloep, 1 oktober 2025.